Sổ rủi ro mỗi tuần một dài nhưng rủi ro có giảm không? Theo dõi tổng phơi nhiễm bằng biểu đồ risk burndown
Báo cáo rủi ro thường chỉ đếm số dòng trong sổ, và con số đó chẳng nói lên điều gì. Biểu đồ risk burndown theo dõi tổng mức phơi nhiễm qua từng sprint hoặc từng tháng, giúp đội dự án và nhà tài trợ thấy rủi ro có thực sự được "đốt" đi hay không.
Tình huống minh hoạ
Tình huống và số liệu dưới đây là giả định, dùng để minh hoạ.
Một đội phát triển ứng dụng ví điện tử làm theo sprint hai tuần, dự kiến tám sprint đến bản phát hành đầu tiên. Mỗi buổi review, product owner báo cáo với nhà tài trợ: "Sổ rủi ro hiện có 23 mục, tuần trước 21 mục". Nhà tài trợ hỏi lại: "Vậy dự án đang an toàn hơn hay nguy hiểm hơn?" — không ai trả lời được.
Số lượng rủi ro không đo được mức độ nguy hiểm. Một rủi ro lớn chưa xử lý nặng hơn mười rủi ro nhỏ. Đội cần một chỉ số khác.
Phơi nhiễm rủi ro và biểu đồ burndown
Mức phơi nhiễm (risk exposure) của một rủi ro là xác suất nhân tác động — tương tự EMV nếu tác động tính bằng tiền, hoặc tính bằng ngày nếu quan tâm tiến độ. Tổng phơi nhiễm là tổng các rủi ro đang mở.
Biểu đồ risk burndown vẽ tổng phơi nhiễm theo thời gian (theo sprint hoặc theo tháng), giống cách biểu đồ burndown trong agile vẽ khối lượng công việc còn lại. Kỳ vọng là đường đi xuống: đội dự án lần lượt giảm xác suất, giảm tác động hoặc đóng rủi ro.
Trong tình huống trên, đội tính phơi nhiễm theo triệu đồng chi phí kỳ vọng:
| Sprint | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 |
|---|---|---|---|---|---|---|---|---|---|
| Tổng phơi nhiễm | 900 | 820 | 760 | 800 | 610 | 450 | 330 | 220 | 140 |
Đọc biểu đồ
- Đường đi xuống đều: đội đang thực hiện biện pháp ứng phó và đóng rủi ro đúng nhịp.
- Đường đi ngang: rủi ro được ghi nhận nhưng biện pháp không được làm. Đây là tín hiệu quan trọng nhất — sổ rủi ro đang là danh sách lo lắng, không phải kế hoạch hành động.
- Đường tăng lên (sprint 3): có rủi ro mới hoặc rủi ro cũ xấu đi. Trong tình huống, đối tác cổng thanh toán thông báo thay đổi chuẩn xác thực, làm phát sinh rủi ro mới. Tăng không phải là xấu — nó cho thấy đội vẫn đang nhận diện. Điều cần hỏi là: đã có biện pháp ứng phó chưa, và sprint sau có giảm không?
Tình huống liên quan
Hai rủi ro cùng điểm 0,18 nhưng một rủi ro sẽ đến trong hai tuần: thêm tính cấp bách, độ gần và khả năng phát hiện vào phân tích định tính
Ma trận xác suất – tác động cho hai rủi ro cùng một điểm số, nhưng một rủi ro có thể xảy ra ngay tuần sau và gần như không phát hiện trước được. Bài viết hướng dẫn bổ sung các tham số như tính cấp bách, độ gần, khả năng phát hiện và khả năng kiểm soát để xếp hạng rủi ro sát thực tế hơn.
Dự phòng 10% "theo lệ": tính dự phòng cho rủi ro đã biết từ EMV của cả mối đe doạ lẫn cơ hội
Nhiều dự án cộng một khoản dự phòng 10% mà không ai giải thích được từ đâu ra. Bài viết hướng dẫn tính khoản dự phòng cho rủi ro đã nhận diện từ giá trị tiền tệ kỳ vọng (EMV), bù trừ mối đe doạ với cơ hội, và chỉ ra khi nào phép cộng EMV không còn đủ.
Có nên chi 150 triệu khảo sát địa chất trước khi chọn phương án móng? Tính giá trị kỳ vọng của thông tin hoàn hảo (EVPI)
Trước một quyết định có nhiều bất định, đội dự án thường muốn "tìm hiểu thêm" — khảo sát, làm mẫu thử, thuê chuyên gia. Nhưng thông tin cũng tốn tiền và thời gian. Giá trị kỳ vọng của thông tin hoàn hảo (EVPI) cho biết mức trần mà việc tìm hiểu thêm đáng được chi.
Họp rủi ro hằng tuần thành buổi đọc lại sổ: tách rà soát rủi ro khỏi kiểm toán quy trình quản lý rủi ro
Buổi họp rủi ro kéo dài một tiếng mà chỉ đọc lại từng dòng trong sổ là dấu hiệu quen thuộc của quản lý rủi ro "cho có". Bài viết phân biệt hai hoạt động hay bị gộp làm một — rà soát rủi ro định kỳ và kiểm toán rủi ro — và gợi ý chương trình họp, câu hỏi kiểm toán cụ thể.