IPA リスクマネジメント — 頻出論点と過去問

頻出論点

1. この分野は何か

プロジェクトの進行中には、要員や調達の遅れのようなマイナスの脅威だけでなく、新技術の活用のようなプラスの好機も含め、計画時点では確定できない事象が絶えず生じます。こうした不確実な事象をあらかじめ洗い出して発生確率と影響の大きさを評価し、予算やスケジュールに備えを組み込む活動と、途中で出た仕様や計画の変更要求を審査してベースラインの崩れを防ぐ活動は表裏一体の関係にあります。事前の備えをどのプロセスで行い、変更の可否を誰がどの手順で決めるかがプロジェクトの統制を支えています。

2. 実際の出題のされ方

仕様変更の申し出や調達上のトラブルに直面した際、どの委員会や計画で対処するかを問う出題が入口となります。ITパスポートでは、複数の領域にまたがる変更を調整するマネジメント領域、変更管理委員会（CCB）の役割と審査の考え方、認可された新機能追加に伴うWBSの更新、契約範囲外の作業要求への対処を問う問題が出題されています。さらに応用情報技術者の午前では、コンティンジェンシ計画で定める内容や製造委託時に策定する対処計画を選ぶ問題、リスク特定におけるデルファイ法の説明や好機に対する強化戦略の説明を選ぶ問題が出題されています。

規格上のプロセス分類と定量的なリスク分析の計算は、応用情報技術者の午前ならびにプロジェクトマネージャの午前IIで扱われます。応用情報技術者の午前では、PMBOKガイド第6版のリスクの定量的分析の記述、コンティンジェンシ計画を作成するプロセス、JIS Q 21500:2018の「リスクの管理」の目的を選ぶ問題のほか、需要変動の確率と収益・投資額の表やデシジョンツリーから期待金額価値（EMV）を計算させる問題が出ています。またプロジェクトマネージャの午前IIにおいては、JIS Q 21500:2018が定める「リスクの特定」および「リスクの評価」が属するプロセス群、「リスクへの対応」で行う活動、変更要求と承認された変更を受け渡すプロセス群、感度分析の結果を表す図の名前、EMVの算出式、およびスコープクリープの発生原因となる行動を選ぶ問題が出題されています。

リスク用語の定義や脅威への対応戦略、ならびにリスク低減策の監査は、ITサービスマネージャとシステム監査技術者で問われます。このうちITサービスマネージャの午前IIでは、JIS Q 0073:2010で結果と起こりやすさの範囲を定めてリスクの順序付けや図示に用いる手段の用語、最も大きな影響をもつリスクを評価する分析技法の名前、脅威に対する転嫁戦略の説明や具体例、スコープクリープの定義を選ぶ問題が出ています。システム監査技術者の午後IIでは、新技術導入や海外拠点連携に伴うリスクを許容範囲内へ抑える防止策・発見策の妥当性や、災害を想定した情報システムの業務継続計画（IT-BCP）の実効性が問われます。

午後の事例問題では、応用情報技術者やプロジェクトマネージャにおいて、プロジェクト初期のリスク予防と進行中の変更統制を組み合わせる判断が問われます。技術的不確かさに対する事前検証、必達納期がある中での段階リリースや優先順位の入れ替え、外注先との共同リスク管理、正式な変更手続を経ない機能追加の抑止、法改正や外部環境変化に伴う計画見直しが組み合わされます。

3. 学習のポイント

プロジェクトマネジメント規格のJIS Q 21500:2018（ISO 21500:2012）では、対象群「リスク」に置かれた4つのプロセスが計画・実行・管理の3つのプロセス群に分かれています。潜在的なリスク事象とその特性を決める「リスクの特定」と、発生確率や結果を測って処置の優先順位を定める「リスクの評価」は計画のプロセス群に属します。これに対し、好機を高め脅威を軽減する選択肢と対策を決め、予算やスケジュールに資源と活動を投入してリスクを扱う「リスクへの対応」は実行のプロセス群に属し、リスク対応が実行されて期待どおりの効果を上げているかを確かめる「リスクの管理」は管理のプロセス群に属します。PMBOKガイド第6版では計画プロセス群に「リスク対応の計画」、実行プロセス群に「リスク対応策の実行」が分かれて置かれていますが、JIS Q 21500:2018ではコンティンジェンシ計画の作成を含む「リスクへの対応」が実行のプロセス群に分類されているため、両規格の区分を混ぜないことが大切です。

リスクの分析では、個々のリスクを発生確率と影響度の2軸で順位付けする定性的分析と、不確実な要素がプロジェクト全体の目標（総コストや期間）に与える複合的な影響を数値で見積もる定量的分析を使い分けます。定量的分析でどの変数の変動が目標に最も大きく響くかを調べる際は、他の要素を基準値に固定して1つずつ動かした変動幅を上から長い棒順に並べた図で表します。

事象ごとの発生確率と影響金額を掛け合わせる期待金額価値（EMV）やデシジョンツリーで複数の投資案・開発案を比べる際は、問題に示された各シナリオの金額が「初期投資や対策費用を差し引く前の収入・効果額」なのか、「すでに初期投資や対策費用を差し引いた後の純損益」なのかを最初に確かめます。各分岐の金額が費用控除前の収入として与えられ、初期投資額が別途示されている場合は、各シナリオの収入に発生確率を掛けて足し合わせた期待収入から初期投資額を1回だけ差し引きます。反対に、ツリーの分岐終点にすでに初期投資を控除した後の純損益が書かれている場合は、終点の純損益に発生確率を掛けて足し合わせた値そのものがEMVとなるため、そこから初期投資額をもう一度引くと費用の二重控除になります。

リスクへの対応は、事象が起きる前に原因や発生確率へ働きかける予防的な対策と、事象が実際に起きた段階で発動する事後的な対処計画に分かれます。外注先の選定で実績のある企業を起用して遅延確率を下げるような対策は事前の軽減策であるのに対し、部品の調達難などが実際に起きたときの発動条件（トリガー）と代替手順をあらかじめ定めておく計画はコンティンジェンシ計画（緊急時対応計画）に当たります。

進行中の作業で生じた変更要求は、JIS Q 21500:2018において実行のプロセス群から出力されて管理のプロセス群へ送られ、審査で認められたものが承認された変更として再び実行のプロセス群へ戻されます。変更要求を審査する変更管理委員会（CCB）は発注者やプロジェクトマネージャなどの主要なステークホルダーで構成され、スコープの変更を伴う要求も含めてコストや納期への影響を評価し、悪影響が許容できなければ却下します。軽微な機能追加であっても見積りや正式な承認手続を省いて作業を進めると、時間・コスト・資源の調整なしに範囲が膨らむスコープクリープを招くため、午後の事例問題でもクリティカルパスやEVMへの影響を定量評価した上で優先順位の入れ替えや段階リリースを合意する手続が重視されます。

4. 間違えやすいところ

リスクの特定で用いるデルファイ法の説明を選ぶ問題では、複数人が一堂に集まり他者の意見を批判せずに自由な発想でアイデアを出し合う手法とする誤答肢がありました。参加者が直接集まって批判を控えながらアイデアを量産する進め方はブレーンストーミングの特徴であり、発言力の強い人物への同調を避ける仕組みとは異なります。

プラスの影響を及ぼすリスク（好機）への対応戦略のうち「強化」の説明を選ぶ問題では、発生確率を100%にまで高めて好機が確実に起こるよう保証するとする誤答肢がありました。不確実性を取り除いて好機を100%確実に実現させる対応は、好機に対する「活用」の戦略に当たります。

プロジェクトにおけるリスク対応の例のうち「転嫁」に該当するものを選ぶ問題で、完了時期は守れるものの実コストが予定を上回ると判明したため予備費を充てるとする誤答肢がありました。予備費を充ててコスト超過を自分のプロジェクト内で賄う対応は、リスクの責任を第三者へ移さずに自ら抱える「受容」の戦略です。

JIS Q 0073:2010におけるリスクマトリックスの定義を選ぶ問題では、組織が追求または保有する意思のあるリスクの量および種類とする誤答肢がありました。組織としてどの程度のリスクまで引き受ける意思があるかという量と種類を指すのは、同規格における「リスク選好」の定義です。