Управление рисками ИТ-проектов в организациях

ОСНОВНЫЕ ПОЛОЖЕНИЯ И РЕЗУЛЬТАТЫ ИССЛЕДОВАНИЯ,
ВЫНОСИМЫЕ НА ЗАЩИТУ

1) Уточнена сущность и дополнено содержание понятия «управление рисками в
ИТ-проектах» трактуемое, как совокупность процессов по оценке негативных
(позитивных) рисков, принятия управленческих решений по разработке мер
воздействия,мониторинганеидентифицированныхрисковиконтроля
идентифицированных рисков, где под термином «риск» понимается возможное
событие, которое порождается конкретными источниками (источниками риска),
наступление которого под воздействием определенных факторов (факторов риска)
способно оказать негативное (позитивное) влияние на запланированные проектные
цели, стимулируя материализацию проблемных (благоприятных) ситуаций.
Предложенная дефиниция понятия «управление рисками в ИТ-проектах» существенно
отличается от ныне существующих, так как включает в себя понятие «позитивный
риск», управление которым может положительно влиять на план проекта и на
проектные цели (содержание, длительность, стоимость и качество проекта)
предвосхищая ранее запланированные результаты.

На основании проведенного анализа было установлено, что в литературе нет
общепринятой и устоявшейся трактовки термина «риск», что создает проблему
интерпретации, определения и использования данного понятия в сфере информационных
технологий (таблица 1).
Критическое осмысление обозначенных в таблице 1 позиций по определению понятия
«риск» позволило заключить, что, говоря о риске, многие специалисты имеют в виду некую
неопределенность, которая может оказать влияние на запланированные цели. Необходимо
отметить, что данная точка зрения не отражает в полной мере сущность и содержание
понятия «риск», и значительно ограничивает его практическое применение в сфере
информационных технологий. В связи с этим автором диссертационного исследования была
уточнена сущность и дополнено содержание понятия «риск в ИТ-проектах», трактуемого как
возможное событие, которое порождается конкретными источниками (источники риска),
материализация которого под воздействием определенных факторов (факторы риска)
способно оказать негативное/позитивное влияние на запланированные проектные цели,
побуждая наступление проблемных/благоприятных ситуаций.
Благодаря предложенному автором диссертационной работы уточнению и
дополнению стало возможным выделение конкретных источников риска, актуальных для
ИТ-проектов: подрядчик и (или) поставщик, право, рынок, заказчик ИТ-проекта, стихийные
бедствия, пользователь ИТ-продукта, технология, проектный коллектив, руководитель ИТ-
проекта, информация и коммуникационный канал. С определением конкретных источников
риска была установлена их связь с фактором риска, совокупностью обстоятельств, которые,
воздействуя на данные источники риска, увеличивают либо уменьшают вероятность
наступления рискового события. Стоит отметить, что фактор риска зависит от времени.
Подобный взгляд на природу риска дает возможность заключить, что риск материализуется в
конкретный момент времени, трансформируясь в проблемную или в благоприятную
ситуацию (рисунок 1).
Наличие благоприятных последствий по причине наступления риска, в свою очередь,
послужило основанием для дифференциации рисковых событий на «негативные риски» и
«позитивные риски». «Негативный риск» – это событие, которое может отрицательно
повлиять на план проекта и на проектные цели, приводя к увеличению длительности
проекта, увеличению стоимости проектных работ, уменьшению качества итогового
продукта. Под «позитивным риском» понимается событие, которое может положительно
повлиять на план проекта и на проектные цели, предвосхищая запланированные результаты.

Таблица 1 – Основные точки зрения на определение термина «риск»
№Дефиниция термина «риск»Источники
Влияние неопределенности на цели (стратегические,ГОСТ Р ИСО 31000-2010. Менеджмент
тактические, операционные и проектные)риска: Принципы и руководство
И. Т. Балабанов, Д. М. Машков,
2Угроза и (или) опасность
С. Н. Митягов, Ю. В. Трифонов
Д. И. Филимонов,
3НеопределенностьВ. Н. Бурков и Д. А. Новиков,
И. И. Мазур и В. Д. Шапиро
Условие или неопределенное событие, которое в случаеСвод правил проектного управления
4наступления оказывает влияние хотя бы на одну цельProject Management Body of Knowledge
проекта (длительность, стоимость, качество, содержание)(PMBOK® Guide)
5Угроза и (или) возможностьП. Сангхира
Событие, которое одновременно несет угрозу, опасность,
6PricewaterhouseCoopers
неопределенность и возможность
Вероятность недополучения доходов и (или) вероятность
7П. Г. Грабовый, С. Н. Петрова
возникновения убытков
8Численная мера опасностиЕ. И. Шохин
Совокупность значений возможного ущерба в некоторойВ. Ю. Королев, В. Е. Бенинг,
стохастической ситуацииС. Я. Шоргин
Возможность получения убытков отГражданский кодекс Российской
предпринимательской деятельностиФедерации (ст.933 ГК РФ)
11Действия, сделанные наудачуВ. Даль
Неопределенное событие или набор неопределенныхManagement of Risk: Guidance for
событийPractitioners (M_o_R®)
Неопределенное событие или набор событий, которые в
PRojects IN Controlled Environments
13случае наступления, способно оказать влияние на процесс
(PRINCE2®)
достижения целей
Искусственная экономическая категория, совокупно
отражающая меру реальности нежелательного
14отклонения от цели хозяйственной деятельностиР. М. Качалов
предприятия и размер обусловленного этим отклонением
ущерба
Негативная часть неопределенного события, наступлениеThe Committee of Sponsoring Organizations
15которого может принести организации ущерб и (или)of the Treadway Commission «Enterprise
выгодуRisk Management» (COSO ERM)
16Вероятный неблагоприятный исход для субъектаА. Г. Мадера

Термин «позитивный риск» (positive risk) упоминается во многих источниках. Так,
например, У. Сторидж из Калифорнийского университета в Беркли, утверждает, что
концепция «позитивного риска» сформировалась во многом благодаря правилам риск-
менеджмента COSO ERM, опубликованным в 2004 году. В своде лучших практик
управления проектами PMBOK® Guide 2017 года сказано, что целью управления
проектными рисками является повышение вероятности и (или) влияния позитивных рисков и
снижение вероятности и (или) влияния негативных рисков. Финансовый консультант
Д. Дункельбергер определяет «позитивный риск», как вероятное событие, которое может
оказать положительное влияние на проект. М. Карпентер, в своей работе утверждает, что о
наступлении «положительного риска» можно говорить только тогда, когда полученный
результат значительно предвосхитил ожидания. Риск-консультант Т. Дэвидсон, понимает
под «позитивными рисками» шансы и возможности. Дж. А. Лакман в своих трудах не только
активно использует термин «позитивный риск», но также предлагает алгоритм его
использования при добыче полезных ископаемых. В книге «Effective Opportunity Management
for Projects: Exploiting Positive Risk» Д. Хиллсон, исследуя природу риска, пришел к выводу,
что для успешного завершения проекта, необходимо не только управлять вероятными
угрозами, но и осуществлять менеджмент «позитивных рисков».

Фактор риска1Источник риска1Проблемная/благоприятная ситуация1
Фактор риска2Источник риска2Негативный/Проблемная/благоприятная ситуация2
……позитивный риск…
Фактор рискаnИсточник рискаnПроблемная/благоприятная ситуацияn

Рисунок 1 – Графическое представление взаимосвязи источника риска, фактора риска, риска
и проблемной/благоприятной ситуации

Влияние материализовавшихся негативного и позитивного рисков в ИТ-проекте,
можно охарактеризовать формулами 1 и 2, где Im negative – влияние в результате
материализации негативного риска, С1 – прямой материальный ущерб в результате
материализации негативного риска, С2 – материальные потери направленные на ликвидацию
последствий, полученных в результате материализации негативного риска, С3 –
материальные потери, полученные по факту вывода ИТ-проекта на уровень, который был до
материализации негативного риска, С4 – материальный ущерб, вызванный отклонением от
запланированных проектных целей, Im positive – влияние в результате материализации
позитивного риска, С5 – материальная польза, вызванная отклонением от запланированных
проектных целей.
Im negative = С1 + С2 + С3 + С4 ,(1)
Im positive = С5(2)
В качестве примера наступившего негативного риска можно рассмотреть
уничтожение сервера HP ProLiant MicroServer Gen8 стоимостью 90 000 руб. в результате
пожара ( С1 ). Для ликвидации полученных последствий, необходимо приобрести новый
сервер ( С2 ) и осуществить пуско-наладочные работы стоимостью 30 000 руб. ( С3 ). По факту
простоя работ в ИТ-проекте отклонение от запланированной длительности может составить
около 30 человеко-часов, или 25 500 руб. при стоимости часа разработки 850 руб./ч. ( С4 ).
Таким образом, влияние от материализации данного негативного риска составит 235 500 руб.
( Im negative ).
Наглядным примером влияния материализованного позитивного риска на проектные
цели ( Im positive ) является замена в процессе реализации в ИТ-проекте программиста уровня
квалификации Junior Developer на программиста уровня квалификации Senior Developer.
Программист высшего квалификационного уровня в ИТ-проекте будет выполнять
поставленные задачи быстрее, качественнее и с меньшим количеством ошибок (bugs). Как
правило, подобная замена приводит к значительному предвосхищению запланированных
результатов, например, на 50 человеко-часов. Следовательно, влияние от материализации
позитивного риска составит 42 500 руб. ( С5 ).
Таким образом, дополнение содержания понятия «рисками в ИТ-проектах» дает ряд
преимуществ:
•Во-первых, раскрывается сущность и природа рискового события,
устанавливаются причины наступления риска, что дает возможность значительно повысить
результативность мер управленческого воздействия, нивелируя не только источники рисков,
но и факторы рисков.
•Во-вторых, понимание того, что материализация «риска в ИТ-проектах» может
приводить к проблемным и благоприятным ситуациям, создает основу для разработки
методического инструментария по управлению угрозами и позитивными возможностями.
•В-третьих, понимание риска в ИТ-проектах как динамической величины,
зависящей от времени, представляет большой теоретико-практический интерес, т. к. риск-
ориентированный прогноз приобретает временной ориентир, что дает больше
управленческой свободы ИТ-организациям, руководителям ИТ-проектов и проектным
коллективам в выборе средств воздействия на данные рисковые события.
•В-четвертых, предложенная дефиниция уточняет сущность термина
«неопределенность» и «риск-менеджмент». Так, под «неопределенностью» следует понимать
совокупность непрогнозируемых, стохастических событий, наступление которых
невозможно прогнозировать. Сущность риска существенно отличается от природы
неопределенности. Риск порождается конкретными источниками под влиянием
определенных факторов. Следовательно, риск может быть предсказуемым и
прогнозируемым. Таким образом, с учетом приращения новых знаний в понимании природы
риска под «риск-менеджментом» совокупность процессов по оценке негативных/позитивных
рисков, принятия управленческих решений по разработке мер воздействия, мониторинга
неидентифицированных рисков и контроля идентифицированных рисков.

2) Разработана классификация рисков, базирующаяся на классификационных
признаках актуальных для ИТ-проектов, таких как среда, внешний и внутренний
источники проектного риска, проектная цель, фаза жизненного цикла ИТ-проекта,
срочность риска, негативный и позитивный аспекты проектного риска, а также
уровень управления риском. Предложенная классификация рисков ИТ-проектов в
организациях способствует обнаружению специфических и скрытых рисковых событий
в ИТ-проектах, стимулирует развитие стандартизации мер управленческого
воздействия на риски, улучшает мониторинг и контроль рисков, а также
рационализует функцию планирования управления ИТ-проектами.

Диссертационное исследование показало, что многие международные ассоциации,
институты, отечественные и зарубежные ученые глубоко и существенно изучили
проблематику классификации рисков. Однако, несмотря на теоретическую проработанность
вопроса, остается нерешенной проблема: как необходимо классифицировать риски в ИТ-
проектах. Предлагаемые способы часто противоречат друг другу и имеют существенные
недостатки. Нерешенность указанной проблемы оказывает отрицательное влияние на
процессы управления рисками в ИТ-проектах, что приводит к низкому качеству
идентификации негативных/позитивных рисковых событий, невыявлению скрытых и
специфических рисков, частой потери управляемости по причине отсутствия
стандартизированных мер превентивного воздействия на риски.
Стоит отметить, что, как правило, отечественные и зарубежные ученые трактуют
термин «риск» в негативном ключе. Данное обстоятельство не могло не повлиять на
предлагаемые ими способы классификации рисковых событий, которые акцентируют
внимание в основном на отрицательных классификационных признаках. Однако, как было
показано ранее, «риск» обладает не только негативными свойствами, но и позитивными. На
основании чего была предложена классификация групп рисков, базирующаяся на
классификационных признаках, актуальных для сферы ИТ – среда, внутренние и внешние
проектные источники, цель ИТ-проекта, фаза жизненного цикла ИТ-проекта, срочность,
негативный и позитивный аспекты риска, уровень управления риском (таблица 2).
Таблица 2 – Классификация групп рисков в ИТ-проектах
Классификационный признак
№Значение классификационного признака группы риска в ИТ-проектах
группы риска в ИТ-проектах
Внешний риск
1Среда
Внутренний риск
Риск, связанный с подрядчиком(-ами) и поставщиком(-ами)
Правовой риск
Внешний проектный источникРыночный риск
рискаРиск, связанный с заказчиком(-ами)
Риск, связанный со стихийными бедствиями
Риск, связанный с пользователем ИТ-продукта
Риск, связанный с технологиями
Риск, связанный с коллективами ИТ-проектов
Внутренний проектный источник
3Информационный риск
риска
Риск, связанный с руководителями ИТ-проектов
Коммуникационный риск
Риск, связанный с длительностью ИТ-проектов
Риск, связанный со стоимостью ИТ-проектов
4Цель ИТ-проекта
Риск, связанный с качеством ИТ-продуктов
Риск, связанный с содержанием ИТ-продуктов
Риск, связанный с началом ИТ-проекта
Фаза жизненного цикла ИТ-Риск, связанный с организацией и подготовкой
проектаРиск, связанный с выполнением работ
Риск, связанный с окончанием ИТ-проекта
Экстренный риск
6Срочность рискаСрочный риск
Несрочный риск
«Тигр» – Катастрофический негативный риск
«Аллигатор» – Непредсказуемый негативный риск
7Негативный аспект риска
«Щеночек» – Часто встречаемый негативный риск
«Котенок» – Незначительный негативный риск
«Слон» – Созидательный позитивный риск
«Лев» – Непредсказуемый позитивный риск
8Позитивный аспект риска
«Обезьяна» – Часто встречаемый позитивный риск
«Кролик» – Незначительный позитивный риск
Управляемый риск
9Уровень управления рискаЧастично управляемый риск
Неуправляемый риск

Для апробации предложенной классификации групп рисков в ИТ-проектах были
отобраны десять экспертов из различных ИТ-организаций (ООО «ЛидерГрупп», ООО
«Синтез Интеллектуальных Систем», ООО «Спейс-О технологии», ООО «Аксимедия Софт»,
ООО «Телебриз», ООО «Контек Софт», ООО «Сибэйдж»). Все респонденты имели
профессиональное образование и опыт работы в сфере информационных технологий не
менее четырех лет.
В результате было выявлено 83 негативных риска и 16 позитивных рисков.
Среди негативных рисков были идентифицированы: риск изменения требований в
процессе реализации ИТ-проекта; риск длительного изучения бизнес-процессов заказчика;
риск несвоевременного завершения работы; риск отсутствия связи с субподрядом(-ами) и
(или) поставщиком(-ами); риск низкого качества предоставляемых работ; риск отсутствия у
коллектива знаний, навыков и опыта, необходимых для реализации требований ИТ-проекта,
и др.
Основными позитивными рисками в ИТ-проектах являются: риск привлечения
руководителя, имеющего опыт управления ИТ-проектами более 2-х лет; риск привлечения в
проектный коллектив высококвалифицированного специалиста; риск уменьшения
численности проектного коллектива до 6 человек; риск привлечения руководителя, который
имеет профессиональное образование в области управления ИТ-проектами; риск
декомпозиции большого ИТ-проекта на малые, трудоемкостью не более 700 человеко-часов
и др.
На базе идентифицированных рисков были разработаны иерархические структуры
негативных и позитивных рисков (ИСР).
Полученные ИСР имеют большую практическую ценность для ИТ-организаций,
руководителей ИТ-проектов и проектных коллективов, т. к. знание о потенциальных
негативных и позитивных рисках помогает заблаговременно, до фазы организации и
подготовки, предупредить деструктивные воздействия на проектные цели, разработать и
реализовать превентивные меры, значительно повысить оперативность и качество
идентификации рисков.
На основании проведенной апробации было установлено:
•Предложенная классификация рисков в ИТ-проектах повышает качество
процесса идентификации рисков за счет выявления скрытых и специфических рисковых
событий. Кроме того, во время апробации разработанного методического инструментария
управления рисками были обнаружены скрытые риски, которые могли бы быть не выявлены,
если бы не была применена созданная классификация рисков в ИТ-проектах.
•Классификация способствует запуску процесса стандартизации мер
превентивного воздействия на риски. Так, например, во время апробации разработанного
методического инструментария управления рисками для определенных групп рисков
создавались универсальные превентивные меры по их нивелированию, диверсификации,
переносу и (или) ослаблению/усилению.
Благодаря классификации рисков были улучшены процессы мониторинга рисков и
контроля рисков. В диссертационной работе показано, что если ИТ-организации,
руководители ИТ-проектов и проектные коллективы обладают информацией о времени
актуализации рисков относительно фаз жизненного цикла, то они могут заблаговременно
мобилизовать материальные и временные резервы, либо, если данные рисковые события не
были материализованы, высвободить зарезервированные ресурсы и уменьшить тем самым
стоимость проектных работ.
Таким образом, совокупность полученных результатов от применения классификации
рисков в ИТ-проектах повышает качество процесса идентификации рисков за счет выявления
скрытых и специфических рисковых событий, способствует запуску процесса
стандартизации мер превентивного воздействия на рисковые события, улучшает мониторинг
и контроль рисков.

3)Сформированаметодикаопределениявремениактуализации
(материализации) рисков относительно фаз жизненного цикла ИТ-проекта с
выявлением постоянных рисков, способных материализоваться на любом этапе
реализации ИТ-проекта. Предлагаемый методический инструментарий дает
возможность получать исчерпывающую информацию о возможных событиях
способных оказать значительное воздействие на проектные цели, а также
идентифицировать временные периоды ИТ-проектов, которые представляют
наибольшую угрозу.

Несмотря на картографирование и обработку информации с помощью инструментов,
рекомендованных сводом правил проектного управления PMBOK® Guide, таких как
иерархическая структура рисков, ранжирование рисков и матрицы вероятностей наступления
рисков и возможного влияния на проектные цели, в ИТ-проектах также требуется определять
время актуализации рисков относительно фаз жизненного цикла проекта. Под фазой проекта
в диссертационной работе понимается совокупность логически связанных операций, которые
завершаются достижением одного или ряда запланированных результатов. Необходимо
отметить, что знание о времени материализации негативных/позитивных рисков
способствует превентивной подготовке ИТ-организаций, руководителей ИТ-проектов и
проектных коллективов к временным периодам, которые представляют наибольшую угрозу
либо благоприятную возможность.
Исследования показали, что каскадная модель жизненного цикла может быть
применима независимо от типа ИТ-проекта (портал, сайт, ПО, мобильное приложение,
корпоративная система, ERM-система), его размера (краткосрочный, среднесрочный,
долгосрочный) и сложности. В отличии от V-образной модели жизненного цикла, модели
быстрой разработки приложений, инкрементной модели жизненного цикла и спиральной
модели жизненного цикла Б. В. Боема, каскадная модель жизненного цикла состоит из
универсальных последовательных фаз, таких как начало ИТ-проекта, организация и
подготовка, выполнение работ, окончание ИТ-проекта, что и обусловило ее выбор при
создании методики определения времени актуализации рисков.
По результатам анализа иерархических структур негативных и позитивных рисков,
актуальных для ИТ-проектов, и фаз жизненного цикла было установлено, что наибольшая
концентрация негативных рисков сосредоточена в фазе «выполнение работ» (рисунок 2),
наибольшая концентрация позитивных рисков – в фазе «организация и подготовка». Также
было установлено, что в ИТ-проектах существуют постоянные риски, которые имеют
потенциал материализоваться в любой временной период существования ИТ-проекта.

а)б)

в)г)
Рисунок 2 – а) количество негативных рисков, распределенных относительно фаз
жизненного цикла ИТ-проекта, без учета постоянных рисков; б) количество негативных
рисков, распределенных относительно фаз жизненного цикла ИТ-проекта, с учетом
постоянных рисков; в) количество позитивных рисков, распределенных относительно фаз
жизненного цикла ИТ-проекта; г) общее количество негативных и позитивных рисков,
распределенных относительно фаз жизненного цикла ИТ-проекта, с учетом постоянных
рисков
Полученные результаты имеют большую практическую ценность, т. к. указывают ИТ-
организациям, руководителям ИТ-проектов и проектным коллективам наиболее
благоприятные временные периоды наступления рисков и фазы наибольшей угрозы. Помимо
прочего, обнаружение постоянных рисков позволяет формализовать методическую
рекомендацию, сутью которой является обязательное формирование материальных и
временных резервов на случай материализации данных рисков.
На основе полученных результатов автором диссертационного исследования была
разработана методика определения времени актуализации (наступления) рисков
относительно фаз жизненного цикла ИТ-проекта, сформулированы практические
рекомендации для ИТ-организаций, руководителей ИТ-проектов и проектных коллективов о
том, как необходимо определять время актуализации рисков относительно фаз проекта,
выявлять наиболее благоприятные и опасные фазы и для каких постоянных рисков
необходимо заблаговременно формировать материальные и временные резервы.

4) Обоснован способ группировки позитивных рисков с представлением в нем:
«слонов», как созидательных рисков; «львов», как непредсказуемых рисков; «обезьян»,
как часто встречаемых рисков; «кроликов», как незначительных рисков. Данный
способ группировки позитивных рисков совершенствует и дополняет классическую
группировку рисков, позволяет определять позитивные риски требующие
дополнительных стимулирующих мер воздействия, получать информацию о
позиционировании позитивных рисков друг относительного друга и идентифицировать
наиболее значимые позитивные рисковые события, что существенно сокращает
материальные и временные затраты на управление рисками ИТ-проектов в
организациях.

Как правило, идентифицированные негативные риски распределяются на три группы:
катастрофические риски; умеренные риски; незначительные риски. Подобная группировка
ранжирует негативные рисковые события, помогая проектным коллективам и руководителям
ИТ-проектов в принятии управленческих решений в процессе создания мер воздействия.
Также стоит отметить, что в отечественной и зарубежной литературе зачастую приводятся и
рассматриваются только способы группировки негативных рисков.
Учитывая данное обстоятельство и полученные в ходе исследования аспектов
касательно позитивной природы риска, был проведен анализ имеющихся способов
группировки негативных рисков, по результатам которого был предложен авторский способ
группировки позитивных рисков. Данный способ базируется на концепции, предложенной
Т. Мерна и Ф. Ал-Хани. По их мнению, негативные риски необходимо распределять по
четырем группам:
•Катастрофический риск или «тигр» – это негативный риск, который имеет
высокую степень вероятности материализации и способен оказать значительное негативное
влияние на достижение проектных целей. Необходимо отметить, что по мнению Т. Мерна и
Ф. Ал-Хани, материализация хотя бы одного «тигра», например, проект покинул
руководитель проекта, становится катастрофической проблемой и чаще всего приводит к
полной остановке проектных работ.
•Непредсказуемый риск или «аллигатор» – это негативный риск, который имеет
низкую степень вероятности материализации, но обладает способностью оказывать
значительное негативное влияние на проектные цели. Как правило, к «аллигаторам»
относятся правовые риски (комплаенс риски). Например, ИТ-компания реализующая ИТ-
проект, может получить штраф в связи с нарушением императивных норм части 1 статьи 9.5
КоАП РФ, части 3 статьи 14.1 КоАП РФ, статьи 15.33.2 КоАП РФ, либо получить исковое
заявление от заказчика, субподрядчика (статья 706 ГК РФ), поставщика и др. Необходимо
отметить, что ущерб от материализации «аллигатора» сопоставим с ущербом, который
может быть получен от материализации «тигра».
•Часто встречаемый риск или «щеночек» – это негативный риск, который имеет
высокую степень вероятности материализации, но при этом не способен оказывать какого-
либо значительного влияния на проект. Примерами часто встречаемых рисков могут быть
риски, связанные с социально-психологической атмосферой в команде проекта, внутренней
мотивацией, конфликтами и др.
•Несущественный риск или «котенок» – это негативное рисковое событие,
которое имеет низкую степень вероятности материализации и при этом не обладает
способностью оказывать какого-либо значительного влияния. По мнению Т. Мерна и Ф. Ал-
Хани «котята» не способны хоть как-то навредить проекту, поэтому ученые утверждают, что
данными негативными рисками можно пренебречь.
Способ, предложенный Т. Мерна и Ф. Ал-Хани, обладает рядом преимуществ по
сравнению с группировками, которые рекомендуют применять PMBOK® Guide, PRINCE2®
и Н. Н. Талеб. В частности:
•во-первых, оперативно выявляются наиболее опасные риски для ИТ-проектов;
•во-вторых, распределение рисков относительно друг друга дает возможность
судить об общем состоянии ИТ-проекта в определенный момент времени;
•в-третьих, распознаются негативные риски, которые не представляют
существенной угрозы для проектных целей, следовательно, не требуют дополнительных
затрат для разработки мер превентивного воздействия и ресурсов для формирования
резервов.
На основании вышесказанного автором диссертационного исследования был
предложен способ группировки позитивных рисков, который обладает не менее значимыми
преимуществами и включает в себя следующие группы:
•Созидательный риск или «слон» – это позитивный риск, который имеет
высокую степень вероятности материализации и способен оказывать значительное влияние
на цели проекта в случае своего наступления. Как правило, «слон» материализуется
независимо от превентивных мер воздействия на риски, поэтому для позитивных рисков
данной группы автор настоящего диссертационного исследования не рекомендует проводить
какие-либо дополнительные стимулирующие меры.
•Непредсказуемый риск или «лев» – это позитивный риск, который имеет
низкую степень вероятности материализации, но обладает способностью оказывать
значительное влияние на проектные цели. Исходя из вышесказанного можно заключить, что
«лев» имеет большой практический интерес для руководителей ИТ-проектов. Например,
если заблаговременного будут проведены стимулирующие меры, то в ИТ-проект могут быть
привлечены Seniors (ведущие программисты). Если подобных мер не предпринять, то в ИТ-
проекте программистов высокого квалификационного уровня не будет. Результаты
исследований показывают, что материализация вышерассмотренного позитивного риска
повышает вероятность успешного достижения запланированных проектных целей до 70%.
•Часто встречаемый риск или «обезьяна». Сепарация данного позитивного
риска от остальных имеет большую практическую ценность, так как «дразня» руководителя
ИТ-проекта «обезьяна» вынуждает расходовать ограниченные проектные ресурсы не
оказывая при этом значительного влияния на процесс достижения запланированных целей,
поэтому важно отделять «обезьян» от остальных позитивных рисков.
•Незначительный риск или «кролик» – это позитивный риск, который имеет
низкую степень вероятности материализации и не обладает способностью оказывать
значительное позитивное влияние на процесс достижения запланированных целей. Автор
настоящего диссертационного исследования рекомендует «кролика» не учитывать и
пренебрегать им при разработке мер превентивного воздействия на риски (меры «плана А»)
и мер принятия рисков (меры «плана Б»).
Предложенный способ группировки позитивных рисков позволяет оперативно
получать информацию о позиционировании данных рисков друг относительно друга,
выявлять рисковые события, которые не требуют разработки мер воздействия, а также
идентифицировать наиболее важные и значимые позитивные риски, которые обладают
потенциалом предвосхищать запланированные проектные цели.
Для апробации авторского способа группировки позитивных рисков было
организовано экспертное оценивание. В экспертный состав вошли десять экспертов из
различных ИТ-организаций (ООО «ЛидерГрупп», ООО «Синтез Интеллектуальных Систем»,
ООО «Спейс-О технологии», ООО «Аксимедия Софт», ООО «Телебриз», ООО «Контек
Софт», ООО «Сибэйдж»). Следует отметить, что данная численность обусловлена двумя
факторами: во-первых, возможностью верификации экспертных оценок; во-вторых,
возможностью получения более достоверных оценок при большем количестве экспертных
мнений. Все респонденты имели профессиональное образование и опыт работы в сфере
информационных технологий не менее четырех лет. Оценивание включало в себя
следующие этапы:
•формирование правил обработки экспертных мнений;
•оценивание 83 негативных рисков и 16 позитивных рисков;
•анализ и обработка экспертных мнений.
4
641923
57743
566320 79 5
5917142212
4
6061
13612 10
627024
58381
1118
Вероятность

Вероятность
6621625
7573

481675
302931
8151545544
2392
4043
779 13 15
8083823632
528
4942 37
5310
5045
782633411112
7914
012345012345
Ущерб / ВлияниеДоход / Влияние

а)б)
Рисунок 3 – а) способ группировки негативных рисков, актуальных для сферы ИТ,
предложенный Т. Мерна и Ф. Ал-Хани, б) способ группировки позитивных рисков,
актуальных для сферы ИТ1

Обработка экспертных мнений осуществлялась с помощью вербально-числовой
шкалы и коэффициентов Харрингтона от 0 до 5, где 0 – нет вероятности/влияния, 5 – очень
высокая вероятность/влияния. Эксперты оценивали два параметра риска: вероятность
Степень вероятности наступления риска и степень влияния риска определяется с помощью коэффициентов
Харрингтона, где 5 – очень высокая вероятность/влияние, 4 – высокая вероятность/влияние, 3 – средняя
вероятность/влияние, 2 – низкая вероятность/влияние, 1 – очень низкая вероятность/влияние, 0 – нет
вероятности/влияния.
наступления риска и его возможное влияние в случаях материализации. Для получения
интегральных оценок использовался коэффициент Кендалла. Так, при полной
согласованности экспертов их оценка вероятности наступления риска и его влияния
заносилась в итоговый реестр. Интегральные оценки с низкой согласованностью или при ее
отсутствии выносились на общее экспертное обсуждение, где респонденты принимали
окончательное решение, какое значение вероятности/влияния следует внести в итоговый
реестр.
В качестве объекта оценивания были выбраны отобранные ранее этими же
экспертами 83 негативных риска и 16 позитивных рисков, актуальных для ИТ-проектов.
В результате апробации все негативные и позитивные рисковые события были
распределены по группам. Было установлено, что к «тиграми» относится 25 негативных
рисков, к «аллигаторам» – 30 негативных рисков, к «щеночкам» – 21 негативный риск, к
«котятам» – 7 негативных рисков, к «слонам» – 3 позитивных риска, ко «львам» – 12
позитивных рисков и к «кроликам» – 1 позитивный риск (рисунок 3). Необходимо отметить,
что для рисков, которые попадали в пограничное состояние между группами, окончательное
решение о присвоении «группы риска» принималось респондентами на общем обсуждении.
Подобное графическое позиционирование негативных и позитивных рисковых
событий друг относительно друга и знания о количестве «тигров», «аллигаторов» и «львов»,
актуальных для ИТ-проектов, имеет большую практическую ценность для ИТ-организаций,
руководителей ИТ-проектов и проектных коллективов. Так, основываясь на данной
информации, может быть формализована методическая рекомендация по формированию
обязательных стимулирующих мер воздействия для 25 наиболее негативных рисков,
относящихся к группе «тигры», для 30 негативных рисков – к группе «аллигаторы» и 12
позитивных рисков, которые относятся к группе «львы».
На основании проведенной апробации было установлено:
•во-первых, предложенный способ группировки рисков позволяет определять
наиболее благоприятные позитивные риски, которые требуют дополнительных
стимулирующих мер;
•во-вторых,способгруппировкипозитивныхрисковоперативно
идентифицирует наиболее значимые риски, существенно сокращая материальные и
временные затраты на управление рисковыми событиями в ИТ-проектах;
•в-третьих, графическое представление позитивных рисков дает возможность
ИТ-организациям, руководителям ИТ-проектов и проектным коллективам определить
позиционирование рисковых событий друг относительно друга и судить об общем состоянии
ИТ-проектов.

5) Разработан инструментарий управления рисками ИТ-проектов, который
применим для проектов различной длительности, типов, численности проектных
коллективов, а также способов управления ИТ-проектами, учитывающий негативные
и позитивные аспекты природы риска, оперативно реализующий базовые процессы
риск-менеджмента,снижающийотклонениефактическихтрудозатрат от
запланированных, что является основанием для приращения научных знаний в
области риск-менеджмента и дополнения ГOCTа P ИCO 31000-2019 «Meнeджмeнт
pиска. Пpинципы и pyкoвoдcтвo».

В результате приращения знаний о природе риска, классификации групп рисков,
актуальных для ИТ-проектов, методике определения времени актуализации рисков
относительно фаз жизненного цикла, способе группировки позитивных рисков был обогащен
классический инструментарий управления рисками, формализованный в ГОСТе Р ИСО
31000-2019 «Менеджмент риска: Принципы и руководство». Также в процессе анализа
методов оценки рисков, закрепленных в ГОСТе Р ИСО/МЭК 31010-2011 «Менеджмент
риска: Методы оценки риска», было установлено, что общепринятые методы
идентификации, анализа, оценивания и разработки мер воздействия на рисковые события
требуют адаптации применительно к сфере информационных технологий. В связи с чем
автором диссертационного исследования был выработан алгоритм управления рисками ИТ-
проектов.
Созданный алгоритм был апробирован в семи ИТ-организациях и одиннадцати ИТ-
проектах различной длительности, типов, численности проектных коллективов и способов
реализации проектов (таблица 3). Данный алгоритм управления рисками ИТ-проектов
базируется на национальном ГОСТе Р ИСО 31000-2019 «Менеджмент риска: Принципы и
руководство» и включает в себя такие процессы, как идентификация рисков, анализ рисков,
оценивание рисков, разработка мер воздействия на риски. Все процессы были адаптированы
для сферы информационных технологий и обогащены знаниями, полученными в ходе
диссертационного исследования.

Таблица 3 – ИТ-организации и ИТ-проекты, где была проведена экспериментальная
апробация разработанного алгоритма управления рисками
СпособКоличествоПланируемая
НазваниеНазваниеТип
№реализациичеловек вдлительностьРазмер проекта2
организациипроектапроекта
проектапроектепроекта, день
ООО «Синтез
1Интеллектуальн«Сайт ТГУ»СайтWaterfall6126Среднесрочный
ых Систем»
ООО
2«МирКар»СайтWaterfall413Краткосрочный
«Лидер Групп»
ООО«HyperVibe»ПОWaterfall651Краткосрочный
3«Спейс-О«Reading
ПОWaterfall456Краткосрочный
Технологии»Log»
ООО
«CINEMOOD
4«АксимедиаМПWaterfall763Краткосрочный
»
Софт»
«Расчет и
учетERM-
Agile9294Среднесрочный
заработнойсистема
платы»
ООО«Портал
5ПорталAgile6126Среднесрочный
«Контек Софт»логистики»
«ТорговаяERM-
Agile8231Среднесрочный
площадка»система
ERM-
«ТМЦ»Agile563Краткосрочный
система
6ООО «Телебриз»«DigitalTV»ПОAgile10120Среднесрочный
«ERM-ERM-
7ООО «Сибэйдж»Waterfall8416Долгосрочный
система»система

В результате апробации было установлено, что временной период, необходимый для
применения алгоритма, составляет 8,2 ч.÷13,6 ч. Полученная информация может служить
нормировочным критерием во время исполнения руководителем ИТ-проекта функции
планирования. Также эмпирически доказано, что созданный алгоритм выявляет
специфические и скрытые негативные и позитивные риски. Качество идентификации рисков
проверялось по формуле 3, где k – показатель качества идентификации рисков; n1 – число
К краткосрочным ИТ-проектам относятся проекты, трудозатраты которых составляют менее 700 человеко-
часов, к среднесрочным – 700-2 500 человеко-часов, долгосрочным – более 2 500 человеко-часов.
наступившихнеидентифицированныхрисков;n2–числонаступивших
идентифицированных рисков.
n2
k=,(3)
n1 + n2
Анализ данных, представленных в таблице 4, показал:
• процесс идентификации рисков на основе разработанного алгоритма управления
рисками ИТ-проектов обеспечивает высокое качество выявления как для негативных рисков,
так и для позитивных, о чем свидетельствуют значения показателя k ;
• в долгосрочных ИТ-проектах возможна материализация неидентифицированных
негативных рисков, в связи с чем ИТ-организациям, руководителям ИТ-проектов и
проектным коллективам рекомендуется систематически повторять процесс выявления
рисков с привлечением сторонних экспертов на более поздние фазы жизненного цикла
(выполнение работ, завершение проекта).
Также в процессе апробации был определен экономический эффект от использования
созданного алгоритма управления рисками ИТ-проектов. Для оценки экономической
эффективности применялся затратный метод (формулы 4, 5 и 6, где E p – экономический
эффект от использования риск-менеджмента; C p – затраты на риск-менеджмент; L –i

фактические убытки от наступленияi -гоидентифицированного риска; H  – фактические
i

расходы на обработкуi -гоидентифицированного риска; Lj
– фактические убытки от
наступления j -го неидентифицированного риска; H  – фактические расходы на обработку
j

j -го неидентифицированного риска; N – количество идентифицированных рисков; K –
количество неидентифицированных рисков, R p – результат управления рисками; M 0 –i

вероятные потери от наступления i -го идентифицированного риска без проведения мер
«плана А» и «плана Б»; M i – вероятные потери от наступления i -го идентифицированного
риска после проведения мероприятий «плана А» и «плана Б»).

E p = Rp − C p ,(4)
 NN
  KK
C p =   Li +  Hi  +   L j +  H j (5)
 i=1i =1   j =1j =1
NN
R p =  M 0i −  M i(6)
i =1i =1

Таблица 4 – Оценка экономического эффекта от использования созданного алгоритма
управления рисками ИТ-проектов
№Название проектаC p , деньR p , деньE p , день
1«Сайт ТГУ»64,5189124,5
2«МирКар»61812
3«HyperVibe»3,15349,9
4«Reading Log»12,16754,9
5«CINEMOOD»1,16361,9
6«Расчет и учет заработной платы»43,2336292,8
7«Портал логистики»10135125
8«Торговая площадка»25,2255229,8
9«ТМЦ»56762
10«DigitalTV»34,4153118,6
11«ERM-система»38,6452413,4
Таблица 5 – Результаты отклоненийфактическихдлительностейИТ-проектовот
запланированной длительности
ОтклонениеОтклонение
ПланируемаяФактическаяфактическойфактической
Название
№длительностьдлительностьдлительности проектадлительности проекта
проекта
проекта, деньпроекта, деньот запланированнойот запланированной
длительности, деньдлительности, %
1«Сайт ТГУ»1261896333,3
2«МирКар»1318527,8
3«HyperVibe»515323,8
4«Reading Log»56671116,4
5«CINEMOOD»636300,0
«Расчет и учет
6заработной2943364212,5
платы»
«Портал
712613596,7
логистики»
«Торговая
8231255249,4
площадка»
9«ТМЦ»636746,0
10«DigitalTV»1201533321,6
11«ERM-система»416452368,0

В ходе анализа данных (таблица 4) было установлено, что разработанный алгоритм
управления рисками ИТ-проектов показал наилучшие экономические эффекты для большого
проекта «ERM-система», средних проектов «Торговая площадка», «Расчет и учет заработной
платы», «Портал логистики», «DigitalTV» и «Сайт ТГУ». Самые низкие показатели
экономической эффективности наблюдались в малых ИТ-проектах, что может быть
объяснено низкой стоимостью данных проектов и непродолжительным периодом
разработки. В связи с этим можно заключить, что данный алгоритм в большей степени
актуален для средних и больших ИТ-проектов, что подтверждают результаты отклонений
фактических длительностей проектов от запланированных (таблица 5).
С учетом полученных результатов, предлагаемый алгоритм управления рисками
может быть применен в любом ИТ-проекте независимо от типа, размера, численности
проектного коллектива, способа управления проектами. Использование алгоритма
гарантирует уменьшение фактической длительности и стоимости ИТ-проекта, путем
превентивного воздействия на негативные/позитивные риски, способствует снижению
отклонения фактических трудозатрат от запланированных, повышает шансы на успешное
достижение проектных целей. Полученные эмпирические результаты подтверждены
справками о внедрении диссертационного исследования, а созданный алгоритм управления
рисками одобрен и внедрен в исследуемые хозяйствующие субъекты сферы ИТ.
Положительные отзывы и позитивные эмпирические результаты предполагают, что
созданный алгоритм обладает практической ценностью и эксплуатационным потенциалом,
что является основанием для обогащения и дополнения ГОСТа Р ИСО 31000-2019
«Менеджмент риска: Принципы и руководство».

III. ЗАКЛЮЧЕНИЕ

На основании обобщения основных результатов можно заключить, что цель
диссертационного исследования достигнута. В диссертационной работе представлены
разработанные автором: классификация рисков ИТ-проектов в организациях; методика
определения времени актуализации рисков относительно фаз жизненного цикла с
выявлением постоянных рисков, актуальных для сферы информационных технологий;
группировка позитивных рисков; алгоритм управления рисками, который может быть
использован в ИТ-проектах различной длительности, типов, численности проектных
коллективов и способов управления. Решены поставленные задачи: выявлены современные
тенденции развития теории и практики управления ИТ-проектами и рисками в них;
установлены характерные особенности негативных и позитивных рисков ИТ-проектов;
проанализированы основные методы оценки рисков; разработана методика превентивного
воздействия, мониторинга и контроля над негативными и позитивными рисками в ИТ-
проектах; апробирован созданный методический инструментарий оценки, воздействия,
мониторинга и контроля над негативными и позитивными рисками в семи ИТ-организациях
и в одиннадцати ИТ-проектах.
Таким образом, результаты диссертационного исследования могут быть использованы
в любом субъекте сферы ИТ, в том числе и национальных ИТ-проектах, таких как
«Автоматизированная система управления транспортным комплексом», «АИС Маркировка»,
«ИТ-система обмена знаниями и технологиями в сфере сельского хозяйства», «ИТ-система
социального обеспечения», «ИТ-система учета отходов», «ГИС-система Контингент»,
«Единый транспортный сервис в рамках противодействия незаконным финансовым
операциям», «Автоматизированная система контроля применения контрольно-кассовой
техники», а также в других проектах, инициированных в рамках Указа Президента РФ от
09.05.2017 года № 203 «О Стратегии развития информационного общества в Российской
Федерации на 2017–2030 годы», Распоряжения Правительства РФ от 28.06.2017 года № 1632-
р «Об утверждении программы «Цифровая экономика Российской Федерации»» и
Постановления Правительства РФ от 02.03.2019 года №234 «О системе управления
реализацией национальной программы “Цифровая экономика Российской Федерации”».