PMBOK Guide 제6판에서 정의하고 있는 리스크 관리 프로세스는 모두 7개의 프로세스로 구성되어 있는데, Table 1과 같이 프로젝트 관리의 계획, 수행, 통제 단계로 구분할 수 있다. 총 7개의 리스크 관리 프로세스 중에서 5개의 프로세스는 계획 단계에 포함되며, 수행 단계와 통제 단계에 해당하는 프로세스는 각 1개씩이다. 이는 리스크 관리는 계획 단계의 준비가 매우 중요하다는 점을 강조하고 있다^[14].

ISO/IEC/IEEE 15288의 시스템 라이프 사이클 프로세스 4개 그룹 중 기술관리 프로세스에서 제시하는 리스크 관리 프로세스는 리스크 관리 계획, 리스크 프로파일 관리, 리스크 분석, 리스크 처리, 리스크 모니터링으로 구분되며, 세부 내용은 Table 2와 같이 정의한다^[15].

CMMI 모델에서의 리스크 관리는 관리(Managing) 범주의 사업 탄력성 관리(Managing Business Resilience) 역량 영역 내에 위험 및 기회 관리(RSK; Risk and Opportunity Management) 프랙티스 영역으로 제시되고 있다. CMMI 모델에서는 앞서 살펴본 바와 같이 리스크를 위험과 기회를 모두 포함하는 개념이 아닌 리스크를 부정적인 영향을 미치는 위험으로 정의한 것으로 보인다. 본 논문에서는 편의상 CMMI 모델의 “Risk and Opportunity”를 “리스크” 또는 “위험 및 기회”로 표현하였다. 리스크 관리 프랙티스는 다섯 단계 성숙도(ML; Maturity Level)에 대해 ML3까지의 프랙티스를 포함하고 있다. CMMI 성숙도 3단계(ML3) 이상의 인증을 획득하기 위해서는 리스크 관리의 모든 프랙티스를 충족해야 한다. CMMI 모델 성숙도 단계별 프랙티스의 구조를 살펴보면 영역별로 ML1∼ML5의 프랙티스 그룹으로 구성되는데, 상위 프랙티스 그룹은 하위 프랙티스 그룹을 포함하며, 상위 프랙티스는 하위 프랙티스 그룹에 추가되거나 변형되어 정의된다.

CMMI 모델의 리스크 관리 프랙티스에서도 ML1의 프랙티스는 “리스크를 식별, 기록 및 갱신한다”라는 하나의 프랙티스로 구성되어 있으며, 이는 리스크 관리에 대한 선언적 의미로 받아들일 수 있다. ML2와 ML3의 프랙티스들은 ML1에서 선언한 프랙티스를 보다 구체화하고 점진적으로 발전시키는 개념으로 볼 수 있으며, 세부 내용은 Table 3과 같이 정의한다^[16].

시험원은 시험업무에 대한 프로세스 분석 활동을 통해 공통으로 적용하는 사업/과제 및 시험업무 흐름도를 바탕으로 시험원의 통합된 표준 프로세스를 구축하였다. 통합된 표준 프로세스는 시험원의 방침/지침으로 구성하여 시험원 전 조직에 적용하였다^[17].

시험원의 통합된 시험업무 표준 프로세스는 ‘시험업무 수행지침’과 ‘시험업무 관리지침’ 두 가지로 구성되었다. 이 중 시험업무 관리지침의 목적은 각 부서에서 수행하는 시험업무 및 제반 시험지원 업무를 연간 단위로 통합 관리하기 위한 세부 활동과 표준절차를 규정하는데 있으며, 시험원에서 실시하는 연간 부서별 업무관리에 지침이 정하는 바를 따른다. 시험원의 리스크 관리와 관련한 지침은 시험업무 관리지침에서 정의한다.

시험원 각 부서는 업무과제에 대해 리스크를 관리하기 위한 계획을 수립하고, 수립한 리스크 관리 계획은 부서별 ‘시험업무관리계획서’에 작성하여 상위관리자에게 보고한다. 이후 시험업무관리계획서를 바탕으로 업무과제에 대한 리스크를 관리한다. 시험업무관리계획서에는 크게 일반적인 리스크 관리 계획과 발생 가능성(Probability) 및 영향(Impact)에 대한 기준이 설정되어 있다. 리스크 관리 계획은 과제관리시스템의 리스크 관리 기능을 활용하여 ‘리스크 목록표’를 작성하고 관리함으로써 지속적으로 리스크를 감시하고 통제한다. 필요시 부서장 및 모든 구성원은 리스크 대응전략을 수정하고 이해당사자간 원활한 의사소통을 위해 분야별 측정자료, 산출물 등을 과제관리시스템을 이용하여 공유한다.

Table 5에는 시험업무에 대한 리스크 관리 기준을 정의하고, P-I 매트릭스를 표현하였다. P-I 매트릭스에서 영향도는 영향도 조합의 최솟값인 0.2부터 최댓값인 1.0까지 0.1 간격으로 구분하였다. 실제 영향도의 계산 시에는 27개의 조합이 가능하지만, 간결한 매트릭스 표현을 위해 9개의 조합으로 표현하였다. 국가적으로 활용되는 무기체계 시험인프라와 시험업무의 특수성을 고려할 때, 조직의 수익창출이 요구되는 일반 기업과 달리 시험업무 수행 가능 여부에 절대적인 영향을 미치는 기술 영향도가 일정과 비용의 영향도 보다 상대적으로 중요하다. 이러한 특성을 고려하여 기술, 일정(또는 공헌도), 비용의 순서로 영향도 비중을 고려하였다. 가능성은 리스크의 발생 확률로써 리스크 평가 시 0.3, 0.6, 0.9로 구분하여 적용한다. 리스크의 평가는 비용, 기술, 일정 또는 공헌도, 발생 가능성에 대한 평가기준을 바탕으로 ‘리스크 변수(Risk Score)’를 계산한다. 리스크 관리 기준표에 따라 발생 가능성과 리스크 영향의 곱으로 표현하는 리스크 변수의 표현 범위는 최소 0.06에서 최대 0.90이며, 나타날 수 있는 모든 리스크 변수의 평균은 0.36이고, 표준편차는 0.20이다. 이때 평균으로부터 표준편차만큼 큰 리스크 변수(0.56 이상)를 고위험군(High Risk), 표준편차만큼 작은 리스크 변수(0.16 이하)를 저위험군(Low Risk)으로 분류하고, 고위험군과 저위험군 사이의 평균을 포함하는 범위의 리스크 변수를 중간 위험군(Moderate Risk)으로 분류하여 관리한다. 시험원은 고위험군으로 분류되는 리스크 항목과 함께, 중간 위험군의 리스크 항목 중 리스크 변수가 평균(0.36) 이상인 리스크 항목을 집중관리 하기로 정책적으로 결정하였다. 즉, 리스크 변수의 값이 0.36 이상인 항목에 대해서는 상세 대응전략, 위협 완화전략, 기회 실현전략 등을 수립하여 집중관리 한다.

리스크 발생 시 각 부서는 리스크 요소 중 실제로 발생한 사항을 주요 현안으로 분류하여 대응하고 그 결과를 기록, 관리한다. 또한 리스크 모니터링을 위해 각 부서에서는 매월 1회 이상 위험 및 기회에 대한 항목, 발생빈도, 영향 등에 대한 재평가 활동을 통해 식별한 리스크를 모니터링한다. 또한, 최소 주기로 반기 말마다 리스크를 재식별하여 관리하여야 한다.

조직 관리 업무와 사업 관리에 대한 리스크를 식별하는데 활용할 수 있는 체크리스트는 Table 6과 같이 활용할 수 있으며, 체크리스트를 활용한 리스크 항목의 식별, 재식별 활동을 권장 주기에 맞춰 수행할 것을 권고한다. 식별한 리스크 항목은 과제관리시스템의 ‘위험/기회 관리’ 기능을 활용하여 다양한 리스크 관리 프레임워크에서 명시하고 있는 ‘리스크 관리대장(Risk Resister)’을 작성, 유지한다. 식별한 리스크 항목을 등록하거나 등록 이후 편집할 수 있는 기능은 리스크 보고서(Risk Report)의 역할도 수행한다.

리스크 관리 계획이 포함된 시험업무관리계획서에는 이해당사자간 원활한 의사소통을 위해 분야별 측정자료, 산출물 등을 과제관리시스템을 이용하여 공유하도록 정의하고 있다.

시험원에서 수행하는 리스크 관리 프로세스에서는 PMBOK이 제시하는 정성적, 정량적 분석 프로세스 중에서 ‘정성적 리스크 분석’을 기본적으로 수행한다. 시험업무의 특성을 살펴보면 ‘정량적 리스크 분석’을 수행할 만큼 규모가 크거나, 복잡하지 않고 정량적 분석을 수행하는 것이 효율적이지 않기에 지금은 리스크 항목에 대한 정량적 분석은 수행하지 않는다. 리스크 항목을 식별하여 리스크 관리대장에 등록할 때, 각 리스크 항목에 대해 리스크 범주를 설정한다. 리스크 범주는 차후 리스크 관리 프로세스의 개선을 위해 관리 결과의 분석 및 평가를 수행할 때 활용된다.

리스크 항목에 대한 리스크 범주는 Table 7과 같은 기준에 따라, 과제관리시스템에서 설정한다. 리스크 범주는 범주1과 범주2의 두 가지로 구성되어 있다. 각각의 범주는 서로 종속적이지 않고 독립적이다.

범주1인 시험업무 수명주기(Lifecycle)인 요구/계획/수행/결과에 대한 분류와 함께 조직운영의 분류를 사용하며, 범주2는 식별한 리스크의 성격을 지정하며, 시험업무의 특성과 집중관리 대상의 영역을 고려하여 선정하였다. 예를 들어 ‘OOO’이라는 리스크 항목은 사업의 ‘수행/결과’ 단계에서 발생 가능성이 있으며, ‘기술’적인 리스크일 경우, 범주1은 ‘수행/결과’, 범주2는 ‘기술’로 설정하면 된다.

리스크 항목의 분석을 위해 시험업무관리계획서에서 정의한 ‘발생 가능성 평가기준’과 ‘위험 영향 평가기준’, ‘기회 영향 평가기준’을 사용하여 ‘위험변수’ 및 ‘기회변수’를 산출한다. 리스크의 변수는 과제관리시스템이 자동으로 계산한다.

각각의 위험 및 기회 항목마다 발생 가능성과 영향을 평가하여 리스크 변수를 계산하면, 리스크 변수의 값에 따라 각 리스크 항목의 우선순위가 결정된다. 리스크 항목의 변수를 계산하여 우선순위를 결정하는 이유는 리스크 항목의 관리에 투입할 수 있는 자원과 노력의 양이 제한되어 있기 때문이다. 프로젝트를 수행하면서 가능한 많은 리스크 항목을 식별하기 위해 노력하는데, 프로젝트에 투입되는 인력, 비용 등의 자원 제약 때문에 식별한 모든 리스크를 관리할 수는 없다. 따라서, 리스크 관리의 선택과 집중이 필요하며, 높은 리스크 변수를 가진 리스크에 관리 역량을 집중할 수밖에 없다. 리스크 변수가 크다는 것은 리스크가 발생할 경우 프로젝트에 미치는 영향도 크고, 발생 가능성도 높다는 의미이다.

식별한 리스크 항목에 대하여 대응 전략 등을 포함한 대응 계획을 수립한다. 리스크 분석 결과 ‘리스크 변수’의 값이 0.36 이상인 항목에 대해서는 상세 대응전략, 위험 완화전략 및 기회 실현전략 등을 수립하여 집중관리 한다.

리스크 대응 전략은 위험과 기회에 대한 전략으로 나누어 볼 수 있으며, 일반적으로 Table 8과 같은 전략을 바탕으로 계획을 수립한다.

식별한 리스크 항목에 대하여 대응 전략 등을 포함한 대응 계획을 수립한 후에는 리스크가 발생하지 않았을 경우 리스크 관리 계획에 따라 위험 완화전략 및 기회 실현전략 등을 실행하고, 리스크가 실제로 발생했을 경우에는 발생한 위험 항목 및 기회 항목을 ‘현안 관리표(Issue Register)’에 등록하여 리스크 대응방안을 실행하고 이를 추적, 관리한다.

다시 정리하면, 리스크가 발생하지 않았을 경우에는 위험에 대해서는 발생 가능성과 영향을 낮추기 위해 노력하고 기회에 대해서는 발생 가능성과 영향을 높이기 위해 노력해야 하며, 리스크가 발생했을 경우에는 현안으로 설정하여 대응 계획을 실행함으로써 현안을 바로 처리하도록 노력해야 한다.

각 부서에서는 정기적으로 위험요소 및 기회요소를 재평가하여 리스크 관리 목록을 최신화한다. 리스크를 재평가한다는 것은 식별된 리스크 항목에 대해 정기적, 주기적으로 비용, 기술, 일정 또는 공헌도, 발생 가능성을 분석 및 평가하는 것이다. 분석 및 평가 등 재평가 활동을 통해 리스크 변수의 변화와 우선순위의 변화를 관찰하고, 수립된 리스크 대응 전략을 수정하며, 재평가 결과 리스크 변수가 0.36 이상이 되면 상세 리스크 대응 전략을 수립하는 활동을 반복한다.

식별한 리스크는 언제 발생할지 알 수 없기 때문에 항상 주시하고 있어야 한다. 그러나, 프로젝트 수행에 있어 리스크만 바라보고 있을 수는 없기에 정기적 또는 주기적으로 리스크 항목을 관리하는 노력이 필요한 것이다. 리스크의 재평가 주기는 매월 1회 이상으로 권고한다.

현안은 해결에 대한 즉각적인 관심을 요구한다. 추가적인 영향을 완화하기 위해 바로 조치해야 할 사건이다.

시험원에서는 시험업무 관리지침을 통해 위험요소 및 기회요소로 식별하지 않은 중요한 현안이 발생하면 발생한 현안을 ‘현안 관리표(Issue Register)’에 등록하여 대응방안을 수립 및 실행하고 이를 추적, 관리하도록 규정하고 있다. 또한, 이미 식별한 위험과 기회에 대해서도 리스크가 발생하면 현안으로 등록하여 처리하도록 규정하고 있다. 현안관리 또한 과제관리시스템에 기능이 구현되어 있다. 과제관리시스템을 활용한 현안의 관리는 현안의 식별(발생원 및 범주 식별, 현안 내용 파악), 원인 분석, 대책 수립, 처리 담당자지정 및 처리 경과 기록 등의 절차로 수행한다.