13. 위험 관리
[Check Point]
- 프로젝트에서 위험의 정의와 그 특성은 무엇인가?
- 위험을 완화하기 위해 하는 활동에는 무엇이 있는가?
- 프로젝트의 위험 관리는 어떻게 실시하는가?
- 프로젝트 위험을 평가하는 기법에는 어떤 것이 있는가?
- 프로젝트의 위험은 어떻게 식별하는가?
13.1 프로젝트 위험(Project Risk)
13.1.1 프로젝트 위험(Project Risk)
- 위험이라고 해석되는 영어표현으로는 Risk, Danger가 대표적이다. 하지만 프로젝트 관리에서 사용되는 위험은 Risk를 사용
한다.
- Risk는 장기적으로 미래의 어느 순간에 나쁜 영향이나 위험한 순간이 발생할 수 있다는 뜻이다. 따라서 발생할 수도 발생하
지 않을 수도 있는 사건을 의미한다. 이렇게 위험은 본질적으로 불확실성을 내포하고 있다.
- 위험은 금융 산업에서도 자주 사용되는데, 이 때에도 불확실성은(예, 환율, 주가 등) 위험의 가장 핵심이 되는 개념이다. 만
일 불확실하지 않고 확실하다면(발생가능성=1) 이는 위험이 아니라 문제라고 하는 것이 옳다.
- 위험은 예방하는것이고, 문제는 해결하는 것이다(Risk prevention, Problem solving).
- 위험을 관리한다는 것은 위험을 인식하였다는 것을 의미하며, 인식하지 않은 위험은 관리를 할 수 없다. 따라서 프로젝트
에 악영향을 미칠 수 있는 불확실한 위험 요소와 영향력을 인식하고, 위험 원인을 확실하게 인식해야 위험을 관리할 수 있
다.
- 불확실한 위험 요소는 프로젝트에 긍정적인 혹은 부정적인 결과를 초래할수 있다.
- 프로젝트 목표는 예산과 납기 내에 고객이 원하는 기능을 제공하는 것이다. 따라서 프로젝트의 목표에 영향을 미치지 않는
사건은 위험이 아니다.
- 실제 프로젝트에서 이슈가 되는 것은 프로젝트에 미치는 부정적인 영향력이다. 대부분의 책자에서 위험을 부정적인 영향
력을 미치는 사건으로 정의하는 것도 바로 이 때문이다. 하지만 프로젝트에서는 이익을 높이기 위해 높은 위험을 감수하기
도 함으로 위험사건은 프로젝트에 긍정적인 영향력을 미칠 수도 있다. 따라서 위험관리를 통해 프로젝트에 부정적인사건
의 발생확률/영향력은 최대한 낮추고 긍정적인 사건의 발생확률/영향력은 최대한 높이도록 관리해야 한다.
[NOTE] 위험의 두 가지 측면
- 긍정적 기회(Positive Opportunity)
- 부정적 위험(Negative Risk)
[NOTE] 위험 관리
위험 요소의 인식 - 분석 - 대응
13.1.2 위험의 3대 구성요소
- 위험은 발생할 수도, 발생하지 않을 수도 있는 특정 어느 사건(Event), 그 사건이 실제로 일어날 확률(Probability), 그 사건
이 실제로 일어났을 경우 프로젝트에 미칠 영향력(Impact)의 3가지 요소로 이루어진다.
- 위협사건, 위험의 발생확률, 위험의 영향력은 위험관리의 전체 프로세스에서 가장 중요한 핵심 요소이며 이 요소를 관리하
는 것이 위험관리이다.
13.1.3 위험의 특징
□ 위험사건의 상호연관성
- 위험사건은 다른 위험사건의 발생확률과 영향력에 영향을 미칠 수 있다.
- 위험사건은 또 다른 위험사건을 유발할 수 있다.(연쇄반응)
- 위험사건은 서로 연관되어 있다. 예를 들어 건물의 기초공사에 사용되는 철근의 납기지연이라는 위험사건은 전체 공사
기간 지연의 발생확률을 높이거나 원가상승 위험을 발생시킬 수 있다. 따라서 위험사건 상호간의 연관성을 파악하고 조
절해야 한다.
□ 위험의 영향력 의존성
- 위험에 따른 영향력이 커질수록 위험의 중요도 또한 커진다.
- 위험의 발생확률이 아주 낮더라도 그에 따른 영향력이 크다면 그 위험사건의 중요도는 높게 평가될 수 있다. 또한 위험
을 감수할 경우 이익이 아주 크다면 그 위험은 수용하게 된다. 예를 들어 천재지변에 의해 회사의 데이터 서버가 복구불
능 상태로 파괴될 확률은 낮지만 그에 따른 영향력은 회사의 존립에 영향을 줄 만큼 크기 때문에 백업서버를 지리적으로
멀리 떨어진 장소에 설치한다. 반면에 복권에 당첨될 확률은 아주 낮지만 복권구매에 사용되는 비용은 충분히 감당할 수
있을 만큼 작고 당첨되었을 경우 이익은 매우 크기 때문에 사람들은 복권을 구매하는 위험을 감수한다.
□ 위험의 상황 의존성
- 위험은 위험에 대한 입장이나 상태가 주어진 조건이나 상황에 영향을 받을 수 밖에 없다.
- 부품값 인상이라는 사건은 구매자에게는 위협적인 위험 사건이지만 판매자에게는 기회 위험사건이다. 이러한 위험의 상
황적 특수성에 맞는 표준 지침서는 존재할 수 없다. 프로젝트는 그 특성상(Unique) 서로 다를 수 밖에 없기 때문이다. 따
라서 프로젝트 관리자는 프로젝트 상황에 맞게 위험을 관리해야 한다.
□ 위험의 시간 민감성
- 위험이 발생될 예측시간에 따라 위험의 인식도 변화된다.
- 위험은 미래에 발생할 수 있는 사건이기 때문에 시간에 따른 위험의 인식도 변화된다. 위험이 발생되기까지 많은 시간
이 남아 있다고 느끼게 되면 위험의 심각성은 줄어들게 되지만, 남아있는 시간이 적다고 느끼게 되면 심각성은 커질 수
밖에 없다. 따라서 프로젝트 관리자는 위험의 중요성에 대해 명확한 기준을 세우고 관리해야 한다.
□ 위험의 가치 기반성
- 개인적, 조직적, 문화적 가치관에 따라 위험을 수용하는 정도에 영향을 준다.
- 프로젝트 관리자의 개인적 경험이나 가치관, 또는 회사의 전략적 방침에 따라 어떤 사건이 위험한 사건으로 분류되는지
그리고 위험의 중요성과 대응방법이 달라지게 된다. 예를 들어 큰 규모의 후속 프로젝트 수주를 위해 선행 프로젝트의
원가보다는 일정과 품질이 중요하다는 경영전략에 의해 착수된 프로젝트인 경우 원가에 영향을 주는 사건보다는 일정과
품질에 영향을 주는 사건이 위험사건으로 분류되고 중요성 또한 높아지게 된다.
[NOTE] 위험의 특징
- 위험 사건의 상호연관성
- 위험의 영향력 의존성
- 위험의 상황 의존성
- 위험의 시간 민감성
- 위험의 가치 기반성
[NOTE] 위험 식별과 위험 감시
위험 식별은 프로젝트에서 불확실한 부분을 찾아내고 영향력 및 대응방안을 분석하기 위한 첫 단계로서, 가능한 일찍
부터 모든 주요 이해당사자들과 함께 반복적으로 시행하는 것이 좋다. 따라서 위험 감시에는 기존 위험들에 대한 재확인 및 추이분석뿐 아니라, 신규 위험 식별로 반드시 병행되어야 효과적이다.
13.2 위험 관리(Project Risk Management)
13.2.1 위험 관리(Risk Management)의 의미와 목적
- 위험 관리란 프로젝트에 긍정적 혹은 부정적 영향을 미치는 위험 요인을 식별 및 분석하여 이에 대한 대응 방안을 수립하
기 위한 체계적 프로세스
- 위험 관리는 긍정적인 사건의 발생 가능성과 파급 효과는 극대화하고, 부정적인 사건의 영향력은 최소화하는 데 그 목적이
있다.
- 불확실성이 있는 곳에 위험이 존재한다. 그 불확실성의 정도를 이해해서 결국 문제에 대응할 수 있는 방법을 제공하는 것
이 위험 관리의 목적이다.
13.2.2 위험 관리의 필요성
- 조직에서는 위험을 프로젝트 성공에 대한 위협과 관련해서 인지하거나 프로젝트 성공의 기회를 향상시키는 기회로 받아들
인다.
- 프로젝트에 대해 위협인 위험은 보상과 잘 균형을 이루도록 해서 성공적으로 관리할 수 있다.
- 위험 대응 계획을 보면 조직에서 위험 대응과 회피간의 균형 상태를 알 수있다.
- 성공적인 프로젝트를 위해서는 조직에서 위험을 적극적이고 일관적으로 관리해야 한다
13.2.3 위험 관리의 효과
- 위험을 적극적으로 관리하게 되면, 위험 사건의 발생을 예측하고 대응계획을 준비하게 되어 갑작스러운 사고나 문제가 발
생하는 것을 예방할 수 있게 되고 그에 다른 영향력 또한 관리할 수 있게 된다.
- 위험 관리는 프로젝트의 실패 가능성을 낮추고 성과를 극대화 하는 활동으로 이를 통해 정해진 범위, 원가, 일정 내에서 프
로젝트를 완료할 수 있다.
[NOTE] 상부 보고대상 위험
1. 프로젝트 외부의 자원이 필요한 경우
2 조직에 치명적 영향을 줄 수 있는 경우
3. 대응 방법이 없으며, 책임질 수 밖에 없는 경우
13.3 위험 관리 프로세스
13.3.1 위험 관리 프로세스
- 위험 관리 프로세스는 크게 6단계로 구분된다.
• 첫번째로 위험관리의 목적과 범위 및 업무단계에 대한 세부계획을 세우는 위험관리계획서를 작성
• 두번째로 위험관리계획서에 의거하여 프로젝트의 위험을 식별하여 위험리스트를 작성
• 세번째로 식별된 위험들을 확률과 영향력에 따라 중요도를 정하여 위험 우선순위를 정한다.
• 네번째로 중요 위험들의 발생확률과 영향력 그리고 문제로 변경되는 시점(Triggering Point)에 대한 정량적인 지표를 산
출
• 다섯번째로 정량적인 지표를 근거로 위험에 대한 대응계획을 세운다.
• 여섯번째로 위험을 감시하고 대응한다.
[NOTE] 위험 관리의 시기
프로젝트의 위험은 가능한 일찍 식별을 시작하고, 프로젝트가 진행되는 기간중에 지속적, 반복적으로 관리되어야 한다.
- 각 프로세스의 주요 산출물은 다음과 같다.
• 위험 관리 계획 : 위험 관리 계획서
• 위험 식별 : 위험 리스트
• 정성적 분석 : 위험 우선 순위
• 정량적 분석 : 위험 평가서
• 위험 대응 계획 : 위험 대응 계획서
• 통제 및 모니터링 : 위험 대응 평가표
- 프로젝트 위험 관리 프로세스는 개인의 건강 관리와 유사한 측면이 많다. 개인의 건강 관리 목표가 건강한 삶의 유지(혹
은 질병으로 인한 부정적인 영향력을 최소화)에 있다면, 프로젝트 위험 관리의 목표 또한 위험으로 인한 부정적인 영향력
을 최소화하면서 프로젝트를 성공적으로 끝내는 것이다.
- 각 단계에 대한 세부 내용은 다음과 같다.
1) 위험 관리
- 위험 관리 프로세스를 프로젝트에서 어떻게 수행할 것인가를 계획하는 것이다. 즉, 위험의 식별, 정성/정량적 분석, 대
응 계획 수립, 모니터링과 통제를 어떻게 수행할 것인가를 구체적으로 정의하게 된다.
□ 방법
- 프로젝트에서 수행할 위험 관리의 접근 방법, 데이터 등을 정의한다.
- 위험관리의 기본 프로세스는 위험의 평가와 통제로 나눌 수 있는데, 그러한 방법은 프로젝트의 성격에 따라, 진행 단
계에 따라, 활용 가능한 정보에 따라 달라질 수 있음에 유의하여야 한다.
□ 책임과 역할
- 위의 위험 관리 방법에서 정의된 개별 액티비티를 수행할 역할과 책임을 정의하는 것으로, 프로젝트와 독립적인 집단
에서 위험을 평가하는 것이 보다 객관적이고 정확한 위험 식별에 유용하다.
- 효과적으로 위험관리를 하기 위해서는 프로젝트 팀원과 이해 당사자등의 관련 주체들이 참여해야 한다. 이를 위해 프
로젝트 관리자는 위험관리 프로세스에 관련자들이 참여할 수 있도록 역할과 책임을 정의해야 한다. 또한 위험관리 프
로세스를 시작하고 관리하며 다른 프로젝트 관리 활동과 통합하는 역할도 수행해야 한다. 이러한 활동을 통해 프로젝
트에서 발생하는 위험의 발생과 영향력을 줄이게 된다.
□ 수행 시점과 프로세스
- 개별 액티비티를 수행하는 시점과 프로세스를 정의하여야 한다.
□ 위험 민감도(Risk Tolerance)
- 조직이나 개인에 따라 위험에 대한 허용 수준은 달라진다.
- 위험을 추구하는 사람도 있고(Risk Seeker), 위험에 대하여 중립적인 사람도 있으며(Risk Neutral), 위험을 회피하는 사
람(Risk Avoider)도 있다. 이와 같이 의사결정 하는 사람의 위험에 대한 인식에 따라 대응 방법이 달라지는 것을 Utility
Theory라고 한다.
[NOTE] 위험 회피형
위험 회피형 인간은 위험을 기피하는 이상적인 인간의 행동으로 위험을 부담하는 경우에는 반드시 상응하는 보상을 바라는 형이다.
[NOTE] 위험 중립형
위험의 정도와 상관없이 투자하는 유형으로서, 기대 수익 극대화가 곧 기대 효용 극대화로 의사 결정의 목표가 된다.
[NOTE] 위험 선호형
위험을 선호하는 인간 행동으로, 높은 수익을 위해서라면 큰 위험도 부담하려는 투자자의 유형이다. 위험선호형 투자자의 효용 함수는 수익의 증가 함수이며, 한계효용은 부의 증가에 따라 증가한다.
□ 위험 수위
- trigger라고도 할 수 있는 위험 관리 활동을 위한 임계치로 이해할 수 있다. 즉, 어느 정도의 위험이면 대응 계획을 가
동시키는지 혹은 위험을 마감하는가에 대한 사전에 정의한 기준이 된다. 이러한 thresholds는 위험을 평가하는
stakeholder에 따라 달라짐에 유의하여야 한다. 보통 위험의 정량적 분석을 통해 수치가 정해지게 된다.
[NOTE] Thresholds(판별역)
- 자극을 동시 또는 순차적으로 주었을 때 사람이 인지할 수 있는 최소한의 자극을 말한다.
- 베버의 법칙에 따라 자극량의 증대에 따라 판별역도 증대된다.
- thresholds는 무게의 차이와 같은 양적차이뿐 아니라 빛깔의 차이와 같은 질적차이도 포함한다.
□ 추적 방법
- 미래의 다른 프로젝트를 위하여 위험 관리와 관련된 각종 활동들을 어떻게 문서화하고 위험 관리 프로세스를 어떻게
심사하는지를 정의한다.
□ 보고 방법
- 위험의 평가와 tracking에 관련된 양식은 최소한 정의하는 것이 바람직하다.
2) 위험 식별
- 프로젝트에 영향을 미칠 수 있는 요소를 결정하고, 그 특징을 문서화하는 프로세스
- 프로젝트와 관련한 Stakeholder가 참여하여 식별
- PM을 포함한 몇몇 사람에 의한 위험식별은 잘못된 위험 관리를 유발할 가능성이 있다.
- 프로젝트 팀뿐만 아니라 고객이 함께 하는 것이 바람직하며, 필요할 경우 해당 업무 혹은 기술 분야의 전문가도 참여하
는 것이 바람직하다
[NOTE] 위험 식별
- Who? 프로젝트 Stakeholder
- When? : 프로젝트의 모든 라이프 사이클
- How? : 문서 리뷰, 델파이 기법, 체크리스트, 가정 분석
□ 언제 식별할 것인가?
- 위험 관리는 프로젝트 시작에서부터 끝날 때까지 수행하여야 한다. 그렇지만 계획 수립 단계의 위험 식별이 가장 중요
하다. 빨리 식별할수록 적은 비용으로 위험을 줄일 수 있다.
□ 어떻게 식별할 것인가?
- Documentation review : 프로젝트 계획서, 각종 가정들, 이전 유사 프로젝트 기록들에 대한 검토는 프로젝트 팀원이
위험 식별을 위하여 취하는 첫번째 활동이 된다.
- 전문가 인터뷰 : 해당 분야 전문가의 지식과 경험들을 통해 프로젝트에 잠재된 위험을 찾아내는 방법이다. 이전 경험
이나 전문지식이 없는 프로젝트이거나 수행환경이 복잡한 경우에 유용하다. 하지만 전문가 선정에 신
중을 기해야 하며 효과적인 인터뷰를 위한 철저한 사전준비와 검증절차가 필요하다.
- 브레인스토밍(Brainstorming) : 위험 식별 참가자들이 자유롭고 창의적으로 생각할 수 있는 환경에서 다양한 아이디어
를 제안하는 활동이다. 참가자들이 다른 참가자들에게 비판이나 부정적인 의견을 내놓
지 않도록 하는 것이 중요하다.
- Delphi technique : 델파이 기법은 전문가에 의하여 이루어지며, 익명으로 참여하는 방법으로(조정자가 우편이나 메일
로 접수를 받아 의견 제시자 이름을 밝히지 않음) 위험을 식별한다.
- 반복적인 토의를 통하여 consensus를 도출 : 1차 의견 정리 후 배포 후 2차 의견을 정리한다.
- Checklists : 각 회사에서 활용하는 위험 식별 체크리스트 혹은 각종 책자에서 발표되는 체크리스트를 활용하여 위험을
식별하는 방법이다.
- Assumptions analysis : 프로젝트 계획 수립 시 수립한 여러 가지 가정은 그 가정대로 되지 않을 경우 위험 요소가 된
다.
• Risk Categories : 위험의 유형을 미리 분류하여 체계적으로 위험을 관리하도록 한다.
[NOTE] Consensus
- 사회 구성원의 일반적인 합의를 뜻한다.
- 단순한 합의와 달리 압도적인 다수가 요구되며, 크게 세 가지 유형이 있다.
1. 자발적 콘센서스 (SpontaneousConsensus)는 전통 사회의 경우처럼 변화가 생겼을 때 새로운 환경에 필요한 생활 방
식을 점진적으로 채택하거나 사고를 하나로 집약시키는 것이다.
2. 도출적 콘센서스(Emergent Consensus)는 자유롭게 모든 관점을 검토한 뒤 의견을 모으는 것이다.
3. 조작적 콘센서스 (Manipulated Consensus)는 정교한 커뮤니케이션 기술과 공개적 의사 개진이 가능한 사회 질서를
요구하는 것으로, 현대 사회에 나타난 현상이다.
• Checklists : 체크리스트는 mutually exclusive(중복이 없어야하고 exhaustive(빠짐이 없어야 하여야 한다. 또한 조직에
서 자주 발생하는 위험 요소를 분석하여 체크리스트화 하여 활용하는 것이 바람직하다.
□ 어떻게 작성할 것인가?
- 위험이 발생할 조건, 사건, 주변상황, 발생장소 및 시기등에 대해 구체적이고 자세하게 작성해야 한다. 위험 사건에 대
한 정의가 구체적이지 못하면 위험에 대한 인식의 차이가 발생하게 되고 대응방법 또한 불명확해진다.
- 위험이 발생할 확률과 영향력을 예측하여 작성한다. 발생확률과 영향력에 대한 예측치가 없다면 위험에 대한 분석
과 대응계획을 수립할 수 없다.
- 위험 사건이 문제가 되었을 경우 영향(범위, 일정, 예산, 품질등)에 대한 정보가 포함되어야 한다.
[Deep Focus] PMBOK에서 제시하는 위험 유형의 예
- 기술/성능상의 위험
- 프로젝트 관리상의 위험(계획 및 통제)
- 조직과 관련된 위험(정책, 우선 순위, 자원 배분 등)
- 외부 위험(정부의 정책 변경 등)
3) 정성적 위험 분석 : 프로젝트의 목표에 영향을 미치는 위험 요인의 우선 순위 정하기 위하여 각 위험 및 상황에 대하여 질
적 분석을 수행하는 프로세스
[NOTE] 정성적 위험 분석
- 전문가의 판단에 의한 방법
- 조직의 리스크 방침을 반영하여 리스크를 등급화
□ 위험 노출도(Risk Exposure)
- 한정된 자원으로 프로젝트를 수행하는 경우 중요한 것은 위험들의 우선 순위를 결정하는 것이다.
- 어떠한 위험에 대하여 높은 우선 순위를 부여하여야 할 것인가의 문제는 어떤 위험부터 대응하여야 할 것인가의 문제
와 동일하게 생각할 수 있다.
- 위험의 우선 순위를 결정하는 데 있어 중요한 개념이 위험 노출도(Risk Exposure)이다.
- 위험 노출도는 다음의 두 가지 항목에 의하여 결정된다.
• 발생가능성(Likelihood, Probability) : 해당 위험 요소가 실제로 발생할 가능성
• 영향력(Impact, Consequence) : 해당 위험 요소가 발생하였을 경우 프로젝트의 성공에 미치는 부정적인 영향력
[NOTE] 확률 및 영향력 매트릭스 (probability and impact matrix)
위험 발생 가능성과 영향력에 따라 노출도를 결정하기 위한 표, 노출도의 계산은 발생가능성)* (영향력)으로 할 수도 있으며, 조직의 특정한 공식을 사용할 수도 있다.
- 위험 노출도는 사전 정의된 확률 및 영향력 매트릭스로부터 값을 구하고, 위험들의 노출도에 따라 우선 순위를 정하
게 된다.
- 확률 및 영향력 매트릭스는 위험에 대응하는 조직의 태도, 즉 영향력이 큰 위험이나 작은 위험이나 규모에 맞게 관리
할 것인지, 아니면 영향력이 큰 위험은 발생 가능성이 낮더라도 높은 노출도를 갖도록(즉, 우선순위가 높도록 하고 영
향력이 작은 위험은 발생 가능성이 높더라도 낮은 노출도를 갖도록 할 것인지 등을 표현하게 된다. 따라서 조직 차원
의 위험 관리 방법론이 존재한다면, 그 확률 및 영향력 매트릭스를 사용하는 것이 조직의 의견을 반영하는 방법이다. - 발생가능성과 영향력의 평가수치는 반드시 프로젝트 계획서에 설정되어 프로젝트 스폰서에게 승인을 받아야 한다.
• Interviewing : 위험의 정성적인 분석과 마찬가지로 전문가들의 의견을 모아서 위험의 발생 가능성과 영향력을 계
량화하는 방법이다.
• Overall risk ranking for the project : 조직에서 진행중인 프로젝트들과 비교한 해당 프로젝트의 위험 순위를 말한
다.
• List of prioritized risks : 식별된 위험의 그룹을 의미한다. 위험 노출도의 심각성에 따라, 혹은 WBS의 내용에 따라,
대응 시기에 따라 위험을 분류할 수 있다.
4) 정량적 위험 분석 : 위험의 확률과 결과를 측정하고, 프로젝트의 목표에 미치는 영향을 평가하는 프로세스
- 정량적 위험분석에서는 위험대응 계획을 세우기 위해 위험의 규모, 영향력 등을 평가하게 된다.
- 위험을 모니터링하고 대응을 위한 의사결정을 위해서는 위험의 불확실성을 수량적 방법을 이용하여 측정하여야 한다.
이를 위해 EMV(Expected Monetary Value), 수익성 지표 분석, PERT(Program Evaluation Review Technique), 주요경로
(Critical Path) 분석, 몬테 칼로 시뮬레이션(Monte Carlo simulation), 의사결정 나무 분석(Decision tree analysis)등과 같
은 기법을 사용한다.
[NOTE] 정량적 위험 분석
- 정성적으로 분석된 리스크 중 필요한 경우에 수행
- 대표적인 방법으로는 민감도 분석, 의사결정나무, 시뮬레이션 법이 있음
• 의사결정 나무 분석(Decision tree analysis) : 불확실한 상황에서 각 대안들의 상호작용을 나타내어 최적의 의사 결정을
도출하기 위한 방법이다. 각각의 의사 결정에 따라 불확실한 여러 가지 경우
가 발생하며 그때의 기대값을 계산하여 최적의 의사 결정을 선택한다. 이를
토대로 각 결과에 대한 EMV를 계산할 수 있다.
[NOTE] Decision tree analysis 계산 방법
(투자금) + (기대 수익) X (기대 수익의 발생 확률)
- 의사결정 노드 : 의사결정 트리의 왼쪽의 박스를 의사결정 노드라고 하며, 이는 하나의 선택을 나타낸다.
- 대안 : Alternative 연결경로는 의사결정을 위해 선택할 수 있는 대안을 나타낸다. 만일 두 개 이상의 대안이 선택 가능하
다면, 필요한 만큼 가지를 추가시키면 된다. 물론 각 경로들을 모두 더하면 선택 가능한 대안들을 100% 나타낼 수
있어야만 한다. 그리고 각 대안의 선택에 따른 비용은 가지 위에 적는다.
- 사건 : 원과 연결된 경로는 가지(Branch), 사건(Event) 혹은 (Scenario)를 나타내며, 이를 통해 각각의 선택에 따른 최종 결
과에 도달할 수 있다.
- 결과 : 가능한 경로 혹은 대안들의 최종 결과를 나타낸다. 결과에는 각 시나리오에 따른 사건의 발생확률(%)과 파급효과
(%)가 포함된다.
- 효용이론(Utility Theory) : 의사결정시 자신에게 유익한 것이 최대로 되는 것이나 해가 되는 것이 최소로 되는 것을 일반
적으로 선택한다는 이론으로 위험 정도에 대한 의사 결정권자의 대응 정도를 나타낸 이론이
다. 의사결정시 각각의 사건에 대한 확률과 영향력에 대한 결과와 의사결정권자의 효용선택이
더해져서 의사결정이 일어나게 된다.
[NOTE] Utility Theory
불확실한 상황에서의 판단은 결과에 대한 효용의 기대치에 입각하여 이루어진다는 이론으로, 기대 효용 가설이라고 한다. 1730년 스위스의 물리학자 베르누이는 사람은 화폐에 대해 한계 효용이 감소하는 효용 함수를 갖고 있으며, 이득의 기대치가 무한대인 도박이라도 실제로는 그 도박에 참가하는 사람이 없다는 '상트페테르 부르크의 역설'을 발표하였다. 1950년 들어 이 가설은 공리 체계로 발전되었고, 그 후 게임 이론과 밀접하게 연관되어 발전하였다. Utility Theory가 전제하고 있는 인간관은 이기주의에 기초하고 있으며, 인간은 타인에 대해서 적대적인 관념을 갖는다고 본다. 또한 인간의 모든 동기는 쾌락을 달성하고 고통을 회피하려는 욕구에 있다고 가정하였다.
• 기대화폐가치 EMV(Expected Monetary Value) : 발생확률과 이로 인한 파급효과를 혼합하여 위험이나 위험 노출도를 전
체적인 시각에서 바라 볼 수 있도록 한다. 주로 위험으로 인해 프로젝트
의 원가에 미치는 영향을 추정하기 위해 사용하며 EMV를 통해 프로젝트
를 통해 기대할 수 있는 가치를 측정할 수 있다.
- 기대화폐가치(EMV) = 발생확률(Probability) × 파급효과 (Impact)
• 몬테칼로 시뮬레이션 : 컴퓨터상에서 난수표를 생성하여 모의 프로젝트 복수 개를 수행하고, 그 때의 결과에(주로 원가 및
일정) 기초하여 원가 및 일정의 확률 분포를 결정하는 방법이다.
- 일정이나 원가등의 프로젝트 작업에 영향을 미치는 각각의 위험사건의 확률과 영향력을 수만번 모의실행하고 그에 따른
확률 분포로 위험을 분석한다.
- 주요 경로(Critical Path) 분석 : 프로젝트 종료일에 영향을 끼치는 작업경로는 프로젝트 수행 중 변경될 수 있는 가능성이
높다. 각각의 작업에 대한 수행일의 확률을 몬테카를로 시뮬레이션을 이용하여 분석하고 주
요 경로에 포함될 가능성이 높은 작업을 선별해야 한다.
[NOTE] 몬테칼로(Monte Carlo) 시뮬레이션이 필요한 경우
- 위험요인의 수가 많아 모든 경우를 분석하기 어려운 경우
- 위험들이 각각의 확률분포를 갖고 잇는 경우
- 결과치의 확률분포를 알고자 하는 경우
- 프로젝트의 예산, 일정 내에 프로젝트가 마무리될 확률(=성공확률)을 계산하려는 경우
[NOTE] Tornado Diagram
민감도 분석의 결과를 나타내는 Tool. 위험들이 고정된 상태를 기준점으로 하고,각 위험의 변경에 따른 결과의 변화를 가로방향으로 나타내되, 영향력 변동이 큰것부터 위에서 아래로 배치하는 도표
• Sensitivity analysis : 민감도 분석이라고도 하는 이 방법은 다른 위험들은 고정시킨 상태에서 임의의 한 위험을 한 단위
변동시켰을 때 프로젝트에 미치는 영향력이 어떻게 변동하는가를 분석하는 방법이다.
• Triggers : 위험이 발생할 것이라는 간접적인 지표로 Warning Signal의 의미이다. 예를 들어, CPI가 0.8 이하로 낮아지면 어
딘가 위험 요소가 있다고 미리 가정하는 것이다.
5) 위험 대응 계획 : 기회를 증진시키고 프로젝트의 목표에 대한 위협을 감소시키기 위한 절차 및 기법을 개발하는 프로세스
- 위험에 대한 대응 계획을 수립한다는 것은 위험을 줄이는 계획을 수립한다는 것이다.
- 구체적으로는 위험의 발생 가능성을 줄이는 방안과 위험이 발생하였을 때의 영향력을 줄이는 방안을 생각할 수 있다.
- 수립은 무엇을, 누가, 언제, 어떻게 한다는 구체적인 계획을 포함하여야 한다. 물론 프로젝트의 상황, 위험 노출도, 비
용 대비 효과성 등을 고려하여 위험 대응 계획을 수립하여야 할 것이다.
- 위험은 부정적인 위험인 위협과 긍정적인 위험인 기회로 나누어지며, 위험의 대응도 위협에 대응하는 회피, 전달, 축소,
수용과 기회에 대응하는 활용, 공유, 증대, 수용이 있다. 각각에 대한 자세한 내용은 다음과 같다.
1) 위협 대응 방법
- 회피(Avoid) : 심각한 위험의 경우 발생 가능성을 원천적으로 제거하는 방법을 의미하며, 주로 계획 변경을 통하여 이
루어진다.
- 전달(Transfer) : 위험 조치에 대한 책임을 제3자에게 넘기는 것으로, 위험 자체를 넘기는 것이 아님에 유의하여야 한
다. 위험 조치에 대한 책임을 넘기는 대신 이에 상응하는 risk premium을 지불하여야 한다. 주로 재무
위험에 대한 대책으로 적합하며, 보험이 대표적인 예가 된다.
- 축소(Mitigate) : 위험의 발생 가능성이나 영향력(혹은 둘 다)을 줄이는 방안이다.
- 수용(Acceptance) : 식별된 위험에 대한 분석 정보가 미흡하거나 아무런 예방 조치를 취하지 않는 경우를 의미한다.
적극적인 수용(Activeacceptance)의 경우에는 contingency plan을 준비하고 수용하며, 소극적인
수용(Passive acceptance)의 경우에는 아무런 대책 없이 수용을 하는 것을 의미한다. 가장 일반적
인 유형은 허용 가능한 위험의 수준(contingency allowance)을 사전에 정의하여 일정 수준 이하의
위험을 수용하는 것이다.
[NOTE] 위험 회피와 위험 대응
- 불확실한 상황하에 문제 발생을 주시하다가 발생시 문제를 피하는 것은 위험 회피가 아니다.
- 위험 회피란 불확실한 상황 자체를 없애거나, 불확실한 상황의 영향력이 프로젝트에 미치지 않도록 하는 것이다.
[NOTE] 위험 전달과 위험 축소
- 프로젝트에서 자체 해결하기 어려운 문제를 제 3자인 외부업체에 의뢰하는 것은 위험 전달이 아니다.
- 위험 전달은 위험이 프로젝트에 미치는 영향을 제 3자에게 보내는 것이다.
- 프로젝트에서 외부업체에게 외주를 맡기는 이유는 결과를 더욱 확실히 얻기 위함이지 책임을 회피하려는 것은 아니
기 때문에 외주는 위험 축소이지 전달은 아니다.
2) 기회 대응 방법
- 활용(Exploit) : 기회가 확실히 일어날 수 있도록 하여 불확실성을 제거하는 방법을 의미하며, 위협에 대한 대응인 회
피에 대비되는 개념이다.
- 공유(Share) : 기회를 가장 잘 포착할 수 있는 제 3자에게 이익을 위임하는 것이다.
- 증대(Enhance) : 긍정적인 위험의 발생 가능성이나 영향력을 증가시키는 방안이다. 기회의 원인을 강화시키거나, 기회
에 대한 프로젝트의 민감도를 증가시킨다.
- 수용(Acceptance) : 긍정적인 위험을 잘 관리하면 프로젝트에 긍정적인 영향을 최대화할 수 있으나, 많은 경우 긍정적
인 위험에 대해서는 추가 자원을 투입하지 않고 수용을 하게 된다.
□ 위협 대응 계획 수립 시 유의 사항은 다음과 같다.
- 위험은 제거하는 것이 아니다
• 위험은 제거하는 것이 아니라 일정 수준 이하로 줄이는 것이다. 물론 경우에 따라 매우 심각한 위험의 경우에는 제
거할 위험도 있지만 대부분의 위험은 일정 수준 이하로 줄이는 것이 목표다.
- 모든 위험에 대하여 대응하는 것이 아니다
• 프로젝트에서 식별된 모든 위험에 대하여 대응하는 것은 거의 불가능하다. 경우에 따라 일정 수준 이하의 위험은 그
대로 수용할 수 있다.
- 위험은 상호 연계되어 있다
• 프로젝트 대부분의 위험은 상호 연계되어 프로젝트에 영향을 미친다. 따라서 개별 위험을 분리하여 관리할 것이 아
니라, 프로젝트 전체의 입장에서 종합한 위험 대응 계획을 수립하여야 한다.
- 위험은 변해간다
• 위험은 살아 있는 유기체와 같아서 프로젝트 진행 도중 지속적으로 변해간다. 프로젝트 내부 상황의 변화로 인하
여 변경될 수도 있고, 외부 상황의 변경으로 인하여 변해갈 수도 있다.
[NOTE] 잔여 위험(Residual Risk)
- 부정적인 위험에 대해 축소시키고 남은 나머지를 잔여위험이라 한다.
- 위험 축소시에는 비용대비 효과적인 위험 대응을 위해 수용 가능한 정도까지만 위험을 축소시키게 되고 축소되고 남
은 위험이 잔여위험이 된다.
- Residual Risk : 위험은 제거가 목표로 하는 것이 아니므로, 대응 계획 수립 이후에도 줄여지지 않을 위험의 수준이 있다.
- Secondary Risks : 위험 대응 계획 이행으로 인하여 발생하는 이차적 위험을 의미한다. 예를 들어 공정 지연의 위험에 대
응하기 위하여 Fast Tracking을 사용한 경우 재작업의 위험을 포함하는 경우이다.
- Contractual Agreements : 보험과 같이 계약으로 위험에 대한 대응을 할 수 있다.
- Contingency Reserve Amounts Needed : 위험의 정성적 분석에서 제시되는 확률 분석에 의한 프로젝트의 예상 납기, 신
뢰 구간으로 제시된 원가, 위험 허용 수준을 비교하여 프로젝트 위험을 관리하
기 위한 buffer를 결정하여야 한다.
- Inputs to Other Processes : 대부분의 경우 식별된 위험에 대응하기 위해서는 추이 예산이나 시간을 필요로 하게 된다.
따라서 이러한 활동들이 다른 프로세스에 통합되어 프로젝트 계획에 반영되어야 위험 대응
이 효과적으로 이행할 수 있다.
6) 위험 감시 및 통제 : 프로젝트의 생애 주기에 걸쳐 잔존 위험 사항을 감시하고, 새로운 위험을 식별하며, 위험 감소 계획을
실행하고 이러한 각각의 조치에 대한 효과를 평가하는 프로세스
[NOTE] PMBOK에서 제시하는 위험 감시 및 통제 프로세스의 목적
- 신규위험 식별, 분석, 계획
- 기존의 주요 위험 및 기타 위험 추적
- 기존 위험의 재분석
- 비상계획 실행조건 확인
- 잔여 위험 감시
- 위험 대응계획 검토 및 효과성 평가
- 위험 감시 및 통제 프로세스는 계획단계에서 작성한 위험관리계획서에 의해 프로젝트 생명 주기 전체에 걸쳐 위험을 감시
하고 각각의 위험 대응 방안을 실행 및 추적해야 한다. 이 단계에서는 프로젝트 초기 단계인 계획단계에서 행한 위험식별,
정성적 위험 분석, 정량적 위험 분석, 위험 대응 계획의 산출물을 이용하여 프로젝트 전체 과정 전체를 통해 위험을 감시하
고 통제하는 활동을 수행한다. 이런 활동을 위해 프로젝트 팀은 위험을 감시하고 식별된 위험에 대해 비상계획
(Contingency Plan)을 수행할 수 있도록 훈련되어 있어야만 한다. 또한 프로젝트 관리자는 위험관리 책임자를 지정하여 권
한을 위임하거나 직접 위험관리 프로세스를 감독해야 한다. 그를 위해 아래와 같은 사항을 준수 해야 한다.
• 위험 체크리스트를 이용하여 위험의 진행 사항을 면밀히 감독한다.
• 위험이 Triggering Point에 도달하는지 정기적으로 모니터링 한다.
• 위험이 요행이 발생할 경우 적시에 위험 대응 방안을 실행한다.
• 위험 대응방안의 효과성을 철저히 평가한다.
• 필요하다면, 추가적인 대응 방안을 강구한다.
• 지속적으로 감독하고 추적한다
[Summary]
POINT1 위험 관리
- 위험 관리(Project Risk Management)란 프로젝트에 긍정적 혹은 부정적 영향을 미치는 위험 요인을 식별 및 분석하
여 이에 대한 대응 방안을 수립하는 활동을 말한다.
POINT2 위험 관리 프로세스
- 위험 관리 계획은 위험 관리 프로세스를 프로젝트에서 어떻게 수행할 것인가를 계획하는 것이다. 즉, 위험의 식별, 정성/
정량적 분석, 대응 계획 수립, 모니터링과 통제를 어떻게 수행할 것인가를 구체적으로 정의하게 된다.
- 위험 식별에는 프로젝트와 관련한 Stakeholder가 참여하여 식별한다. 그러나 PM을 포함한 몇몇 사람에 의한 위험 식별
은 잘못된 위험 관리를 유발할 가능성이 있다. 프로젝트 팀뿐만 아니라 고객이 함께 하는 것이 바람직하며, 필요할 경우
해당 업무 혹은 기술 분야의 전문가도 참여하는 것이 바람직하다.
- 위험 관리는 프로젝트 시작에서부터 끝날 때까지 수행하여야 한다. 그렇지만 계획 수립 단계의 위험 식별이 가장 중요하
다. 빨리 식별할수록 적은 비용으로 위험을 줄일 수 있다.
- 위험에 대한 대응 계획을 수립한다는 것은 위험을 줄이는 계획을 수립한다는 것으로, 구체적으로는 위험의 발생가능성
을 줄이는 방안과 위험이 발생하였을 때의 영향력을 줄이는 방안을 생각 할 수 있다.
- 위험 대응 계획 수립은 무엇을, 누가, 언제, 어떻게 한다는 구체적인 계획을 포함하여야 한다. 물론 프로젝트의 상황, 위험
노출도, 비용 대비 효과성 등을 고려하여 위험 대응 계획을 수립하여야 할 것이다.
[Key Word]
- 위험 관리
- 델파이 기법
- Interviewing, Sensitivity analysis, Decision tree analysis, Simulation, Utility Theory
- 제거(Avoidance), 전달(Transference), 축소(Mitigation), 수용(Acceptance)
[Template] 위험 관리 계획서
[Template] 위험 대응 계획서