プロジェクトのリスクマネジメント｜特定から監視までの流れとPMPの要点

プロジェクトのリスクとは、起きるかどうか分からないが、起きれば目標に影響する出来事や条件です。悪い影響を与えるものを脅威、よい影響を与えるものを好機と呼びます。

リスクマネジメントは、リスクを前もって見つけ、大きさを評価し、手を打ち、状況を見守る仕事です。目的はリスクをゼロにすることではありません。組織が受け入れられる範囲に収めながら、目標と価値を実現することです。

どこまでのリスクを受け入れられるかは、組織や関係者で違います。受け入れる度合い（リスク選好）と、超えたら対応が要る線（リスクのしきい値）を初めに確かめます。これが、すべての判断の土台です。

一度回して終わりではありません。フェーズの区切りや大きな変更の後など、決めたタイミングで繰り返します。各段階の中身は、この記事の後半で順に説明します。

リスクは、いくつかの切り口で分けると、洗い出しの漏れが減ります。

発生源の区分を階層にした一覧を、リスク・ブレークダウン・ストラクチャー（RBS）と呼びます。洗い出しでチェックリストとして使うと、得意な分野ばかりに目が向くのを防げます。

一般のビジネスでは、リスクマネジメントと危機管理（クライシスマネジメント）を分けて考えることがよくあります。プロジェクトでは、この区別が「リスク」と「課題」の区別に当たります。

プロジェクトでは、リスクが現実になったら課題として扱い、決めておいた対応策を実行します。違いはリスクと課題の違いで詳しく扱います。

2026年版のECOで、リスクは Business Environment のタスク5「リスクを計画し管理する」です。例示されている仕事は7つです（当サイトの訳・要約）。

旧版では、リスクは Process の17タスクの1つで、イネーブラーは2つだけでした。2026年版では Business Environment（26%）に入り、計画から伝達まで一連の流れが明記されています。特に「登録簿を維持する」「状況を伝える」は、旧版の書き方からは読み取りにくかった部分です。

リスクは Process6（財務）にも出てきます。「リスクとコンティンジェンシーの資金の割り当てを数値で示す」「財務の予備を管理する」の2つです。予備の金額も、リスクの分析を根拠に決める前提で準備しておきましょう。

リスクマネジメント計画は、リスクをどう扱うかの決まりごとです。個々のリスクの一覧ではありません。主に次のことを決めます。

• ✓進め方：どの手法で特定・分析するか、どの道具を使うか
• ✓役割と責任：誰がリスクのオーナーになり、誰が見直しを進めるか
• ✓リスク選好としきい値：どこまでなら受け入れ、どこから対応や報告が要るか
• ✓確率と影響の尺度：「高・中・低」が具体的に何を指すか（例：影響「高」＝費用が10%以上増える）
• ✓予算と頻度：リスク対応の費用（コンティンジェンシー予備）、見直しのタイミング
• ✓報告：リスクの状況を誰に、いつ、どの形で伝えるか

組織にリスク管理の方針やテンプレートがあれば、それを使います（組織のプロセス資産）。そのうえで、プロジェクトの規模に合わせて調整します。

特定では、チームや関係者と一緒にリスクを洗い出します。一人で考えるより、多くの視点を集めたほうが漏れが減ります。よく使う方法は、ブレーンストーミング、専門家への聞き取り、チェックリスト、前提と制約の見直し、SWOT 分析などです。チェックリストは過去の教訓から作ります。

リスクは「原因 → リスク → 影響」の形で書くと、対応を考えやすくなります。例：「主要な技術者が1人しかいないため（原因）、その人が抜けると（リスク）、設計が1か月遅れる（影響）」。

分析では、優先順位を付けます。まず確率と影響で「高・中・低」を付ける定性的な分析を行います。重要なものだけ、必要に応じて数字で見積もる定量的な分析を行います。違いは定性的リスク分析と定量的リスク分析の違いで詳しく扱います。

優先度の高いリスクには対応策を決めます。脅威なら回避・転嫁・軽減・受容・エスカレーション、好機なら活用・共有・強化・受容などの型があります。選び方はリスク対応策の種類で整理しています。

対応策ごとにリスクのオーナー（その対応を進める責任者）を決め、リスク登録簿に記録します。オーナーは PM とは限りません。そのリスクに一番詳しく、手を打てる人を選びます。

決めたら実行します。2026年版のECOは「リスクマネジメント計画を実行する」を独立したイネーブラーにしています。現場では計画だけ立てて実行しないことがよくあります。試験でも「対応策が実行されているか」を確かめる視点を持っておきます。対応にお金がかかる場合は、コンティンジェンシー予備から出します（コンティンジェンシー予備とマネジメント予備の違い）。

リスクの状況は変わり続けます。定期的に、次のことを確かめます。

• ✓登録済みのリスクの確率や影響が変わっていないか
• ✓トリガー（兆候）が出ていないか
• ✓実施した対応策が効いているか
• ✓新しいリスクが生まれていないか（変更や課題から生まれることも多い）
• ✓コンティンジェンシー予備が十分に残っているか

確かめた結果は、関係者に伝えます。ECO が「リスクの状況を伝える」を挙げているとおり、伝えることも仕事の一部です。スポンサーには上位のリスクと傾向を、チームには自分たちが関わるリスクを、というように相手に合わせます。

アジャイルの進め方そのものが、リスクを減らす仕組みになっています。

• ✓短い反復：数週間ごとに動くものを作るので、問題が早く見つかります。
• ✓頻繁なフィードバック：スプリントレビューで、作るものがずれていないかを早く確かめられます。
• ✓スパイク：技術的に不確かなことを、短い調査の作業で先に確かめます。
• ✓リスクを考えたバックログ：不確かさの大きい項目に早めに取り組むよう、優先順位を付けます。
• ✓見える化：リスクをボードに貼り出し、デイリースクラムやふりかえりで話し合います。

ただし、アジャイルでも全体の予算や規制に関わるリスクは、リスク登録簿などで管理し、ガバナンスに報告します。

判断の軸は次の3つです。

1. 1起きる前に手を打つ：兆候に気づいたら、問題になる前にリスクとして登録し、対応を考えます。「様子を見る」選択肢は誤りになりやすいです。
2. 2特定済みのリスクが起きたら、まずリスク登録簿：決めておいた対応策をオーナーと実行します。一から会議で考え直す必要はありません。
3. 3状況を隠さず伝える：悪い見通しも、早く関係者に伝えます。

Business Environment は試験全体の26%で、リスクはその8タスクの1つです。無料模試30問にも Business Environment の問題が8問入っているので、判断の軸を試してみてください。