Risk Register (리스크 등록부)

무엇을 적는가

리스크 하나마다 서술, 평가, 대응, 담당이 한 줄에 놓인다. 서술은 원인과 사건과 영향을 잇는 문장이 좋다. "핵심 개발자가 이직 시장이 활발한 시기에(원인) 이탈하면(사건) 결제 모듈 일정이 한 달 밀린다(영향)"처럼 쓴다. 평가는 확률과 영향을 등급으로 매기고(5단계 곱셈이 흔하다) 곱해서 점수를 만든다. 이 점수는 정량적 위험 노출액이 아니라 상대적 우선순위를 매기기 위한 정성 척도다. 대응은 위협이라면 회피·전가·완화·수용 가운데 고르고(기회에는 활용·공유·증대·수용이 대칭으로 있다), 마지막으로 지켜볼 담당자를 정한다. 위협 대응 네 전략의 결은 이렇다. 회피는 계획을 바꿔 원인 자체를 없애는 것, 전가는 보험이나 계약으로 넘기는 것, 완화는 확률이나 영향을 줄이는 것이다. 수용은 알고도 감수하는 것인데, 비상 대응을 준비해 두는 능동적 수용과 발생 전까지 아무 조치도 하지 않는 수동적 수용이 있다.

왜 중요한가

걱정을 관리 대상으로 바꾸기 때문이다. 회의에서 떠돌던 "그거 괜찮을까요"가 등록부에 오르는 순간 점수와 담당자와 대응이 생긴다. 점수는 우선순위를 만들어 준다. 모든 리스크에 대비할 수는 없어도, 점수 상위 몇 개에 팀의 주의와 예산을 집중할 수는 있다. 리스크를 WBS 작업과 연결해 두면 어느 작업이 위험을 안고 있는지가 계획 위에서 보이고, 일정 버퍼를 어디에 둘지의 근거도 된다.

흔한 오해

착수 때 한 번 쓰고 잊는 문서가 되기 쉽다는 것이 첫째 함정이다. 리스크는 시간이 지나며 태어나고 자라고 소멸하므로, 등록부는 정기 리뷰가 있어야 산다. 둘째, 리스크와 이슈의 혼동이다. 리스크는 아직 일어나지 않은 일이고, 이미 일어났다면 리스크가 아니라 이슈로 전환해 별도의 관리로 넘긴다. 셋째, 긴 등록부를 좋은 관리로 착각하는 것이다. 잠들어 있는 백 개의 목록보다 상위 열 개의 살아 있는 대응이 훨씬 낫다.