프로젝트 위험 관리
더 많은 작업
프로젝트 위험 관리(Project Risk Management)는 프로젝트 목표에 영향을 줄 수 있는 불확실한 사건이나 조건을 계획적으로 식별·분석하고 대응하여, 위협의 영향은 줄이고 기회의 효과는 키우는 프로젝트 관리 활동이다.
프로젝트 위험(리스크)은 발생하면 범위·일정·원가·품질 같은 목표에 긍정적 또는 부정적 영향을 주는 불확실한 사건이다. 부정적인 것을 위협(Threat), 긍정적인 것을 기회(Opportunity)라 한다. 정보보호의 위험관리가 자산·위협·취약점을 바탕으로 보안 위협을 통제하는 데 집중하는 것과 달리, 프로젝트 위험 관리는 기회까지 관리 대상으로 삼는다는 점이 다르다.
PMBOK 6판은 리스크 관리를 10개 지식영역의 하나로 두고 7개 프로세스로 정리했다.[1] 7판은 이를 불확실성 성과영역과 리스크 원칙으로, 8판은 리스크 성과영역으로 다시 정리했지만 계획 → 식별 → 분석 → 대응 → 감시라는 흐름은 같다.
- 개별 리스크와 전체 프로젝트 리스크 — 하나하나의 리스크 사건과, 불확실성 전체가 프로젝트에 미치는 영향
- 리스크 선호도·한계선(Risk Appetite / Threshold) — 조직이 감수할 수 있는 불확실성의 정도와 그 경계
- 잔존 리스크(Residual Risk) — 대응한 뒤에도 남는 리스크
- 2차 리스크(Secondary Risk) — 대응 조치 때문에 새로 생기는 리스크
- 우발 사태 예비비(Contingency Reserve) — 식별된 리스크(알려진 미지)에 대비해 기준선 안에 잡는 예산·일정 / 관리 예비비(Management Reserve) — 식별되지 않은 리스크(알려지지 않은 미지)에 대비해 기준선 밖에 두는 예산
| 프로세스 | 프로세스 그룹 | 주요 산출물 |
|---|---|---|
| 리스크관리 계획수립 | 기획 | 리스크관리 계획서 |
| 리스크 식별 | 기획 | 리스크 관리대장(Risk Register), 리스크 보고서 |
| 정성적 리스크 분석 수행 | 기획 | 확률·영향 평가에 따른 우선순위 |
| 정량적 리스크 분석 수행 | 기획 | 일정·원가 목표 달성 확률, 우선순위 리스크 목록 |
| 리스크 대응 계획수립 | 기획 | 대응 전략, 리스크 소유자, 우발 사태 계획, 예비비 |
| 리스크 대응 실행 | 실행 | 합의된 대응 조치 실행, 변경 요청 |
| 리스크 감시 | 감시 및 통제 | 대응 효과 평가, 새 리스크 식별, 관리대장 갱신 |
리스크관리 계획서는 프로젝트에서 리스크 관리 활동을 어떻게 수행할지 정한 문서다. 개별 리스크에 대한 대응 계획이 아니라 관리 방식에 대한 계획이다.
| 항목 | 내용 |
|---|---|
| 리스크 전략 | 프로젝트의 리스크 관리 기본 방향 |
| 방법론 | 적용할 접근법, 도구, 데이터 출처 |
| 역할과 책임 | 리스크 관리자, 리스크 소유자, 팀원의 역할 |
| 자금 | 리스크 관리 활동 예산, 예비비 사용 규칙 |
| 일정 | 리스크 검토 주기와 시점(예: 단계 종료마다, 주간 회의) |
| 리스크 범주 | 리스크 분류 체계(RBS: 기술, 외부, 조직, 프로젝트 관리 등) |
| 이해관계자 리스크 선호도 | 목표별 허용 한계선 |
| 발생 확률·영향 정의 | 확률과 영향을 등급(매우 낮음~매우 높음)으로 나누는 기준 |
| 확률·영향 매트릭스 | 확률 × 영향으로 우선순위(높음·중간·낮음)를 정하는 규칙 |
| 보고 형식 | 리스크 관리대장·보고서의 형식과 배포 대상 |
| 추적 | 리스크 활동 기록과 교훈 관리 방법 |
리스크마다 발생 확률과 영향을 등급으로 평가해 확률·영향 매트릭스에 놓고 우선순위를 정한다. 긴급성, 근접성, 감지 용이성 같은 다른 특성도 함께 본다. 빠르고 비용이 적어 모든 프로젝트에서 수행한다.
우선순위가 높은 리스크와 전체 프로젝트 리스크를 수치로 분석한다. 규모가 크거나 중요한 프로젝트에서 수행한다.
- 몬테카를로 시뮬레이션 — 활동 기간·원가의 확률 분포로 수천 번 시뮬레이션해 목표 일정·예산 달성 확률을 구한다.
- 민감도 분석 — 어떤 리스크가 결과에 가장 크게 영향을 주는지 본다. 결과를 토네이도 도표로 나타낸다.
- 기대 금전 가치(EMV) — Σ(발생 확률 × 금전적 영향). 위협은 음수, 기회는 양수로 계산한다.
- 의사결정 나무 분석 — 대안별 EMV 를 비교해 최선의 대안을 고른다.
EMV 예 — 30% 확률로 2억 원 손실(위협)과 20% 확률로 5천만 원 절감(기회)이 있으면 EMV = 0.3 × (−2억) + 0.2 × 0.5억 = −5천만 원. 이 값이 우발 사태 예비비 산정의 근거가 된다.
- 우선순위 확인 — 정성·정량 분석 결과에서 대응이 필요한 리스크를 고른다.
- 리스크 소유자 지정 — 리스크마다 대응을 책임질 사람을 정한다.
- 대응 전략 선택 — 위협·기회 유형별 전략 가운데 비용 대비 효과가 큰 것을 고른다.
- 구체적 조치 정의 — 활동, 예산, 일정, 담당자를 정해 프로젝트 계획에 반영한다.
- 우발 사태 계획·대체 계획 — 특정 징후(트리거)가 나타날 때만 실행하는 우발 대응(Contingent Response)과, 1차 대응이 실패할 때의 대체 계획(Fallback Plan)을 준비한다.
- 잔존·2차 리스크 식별 — 대응 뒤 남는 리스크와 대응 때문에 생기는 리스크를 확인한다.
- 예비비 산정 — 수용하기로 한 리스크와 우발 대응에 필요한 우발 사태 예비비를 잡는다.
- 문서 갱신 — 리스크 관리대장, 프로젝트관리 계획서, 기준선을 변경 통제 절차에 따라 갱신한다.
| 전략 | 내용 | 예 |
|---|---|---|
| 상부 보고(Escalate) | 프로젝트 범위 밖이거나 프로젝트 관리자 권한을 넘는 위협을 상위 조직(프로그램·포트폴리오)에 넘긴다 | 전사 정책 변경 리스크를 경영진에 보고 |
| 회피(Avoid) | 위협을 없애거나 영향에서 완전히 벗어난다 | 검증되지 않은 신기술 대신 검증된 기술 채택, 범위 축소 |
| 전가(Transfer) | 위협의 영향과 대응 책임을 제3자에게 넘긴다. 리스크 자체가 없어지지는 않는다 | 보험, 이행 보증, 고정가 계약, 외주 |
| 완화(Mitigate) | 발생 확률이나 영향을 허용 수준까지 낮춘다 | 시제품 제작, 추가 테스트, 이중화, 핵심 인력 백업 |
| 수용(Accept) | 위협을 인정하고 조치하지 않는다. 적극적 수용은 예비비를 잡아 두고, 소극적 수용은 발생하면 그때 처리한다 | 영향이 작은 리스크에 우발 사태 예비비 배정 |
| 전략 | 내용 | 위협 전략과의 대응 |
|---|---|---|
| 상부 보고(Escalate) | 프로젝트 권한 밖의 기회를 상위 조직에 넘긴다 | 상부 보고 |
| 활용(Exploit) | 기회가 반드시 실현되도록 불확실성을 없앤다 | 회피 |
| 공유(Share) | 기회를 가장 잘 잡을 수 있는 제3자와 소유권을 나눈다 | 전가 |
| 증대(Enhance) | 기회의 발생 확률이나 효과를 높인다 | 완화 |
| 수용(Accept) | 기회를 인정하되 적극적으로 추구하지 않는다 | 수용 |
전체 프로젝트 리스크에는 회피·활용, 전가·공유, 완화·증대, 수용을 적용하며, 리스크가 너무 크면 프로젝트 취소·범위 재조정까지 검토한다.
- 리스크 검토 회의와 리스크 감사로 대응 효과를 점검한다.
- 트리거를 감시해 우발 대응을 제때 실행한다.
- 새 리스크를 식별하고 종료된 리스크를 닫는다.
- 예비비 소진 추이를 남은 리스크와 비교한다(예비비 분석).
- 기술 성과 측정, 획득 가치 지표로 리스크 징후를 찾는다.
- ↑ 「A Guide to the Project Management Body of Knowledge (PMBOK Guide)」 6th ed., PMI, 2017.