리스크 레지스터는 우선 리스크와 담당자, 다음 대응이 읽힐 때 의사결정에 도움이 됩니다. 구성할 때는 프레젠테이션 데이터 스토리(영어)처럼 방법과 기준일, 노출도, 필요한 결정의 순서로 보여 주세요.
리스크 설명을 검토한 뒤에는 텍스트로 프레젠테이션 만들기를 이용해 슬라이드 초안으로 정리할 수 있습니다. 원본 레지스터와 근거 링크는 함께 보관하세요. 슬라이드를 만드는 것과 리스크 대응을 승인하는 것은 별개입니다.
방법과 기준일 기록하기
척도, 기간, 데이터 기준일을 적습니다. 가능성과 영향도를 곱하는지 다른 규칙을 쓰는지도 설명하세요. 오래된 점수를 현재 상태처럼 표시하지 않습니다.
우선 리스크를 이해하기 쉽게
각 리스크를 원인, 가능한 사건, 영향으로 설명합니다. 대응 전 고유 리스크와 대응 후 잔여 리스크를 분리합니다. 근거 없이 정밀한 확률을 만들지 말고 불확실성을 표시하세요.
계정 및 권한 관리 시스템의 마이그레이션을 예로 들어 보겠습니다. R-01은 가상의 계획 사례이며, 마이그레이션을 완료한 실적이 아닙니다.
| R-01 항목 | 계정 관리 시스템 마이그레이션 기록 |
|---|---|
| 목표와 평가 기간 | 예정된 출시 전에 전체 업무 흐름의 테스트를 마친다. 평가 기간은 시스템 전환을 결정할 때까지다. |
| 원인 | 기존 시스템과 새 시스템 간 역할 매핑을 아직 확인하지 못했다. |
| 발생 가능한 사건 | 전환을 결정할 시점에 새 인증·권한 관리 흐름이 종단 간 테스트를 할 수 있는 상태가 아니다. |
| 영향 | 필요한 업무 흐름 테스트를 마칠 수 없어 출시를 미뤄야 할 수 있다. 지연 기간은 아직 산정하지 않았다. |
| 책임 | 마이그레이션 책임자가 변경 사항을 보고하고, 프로젝트 후원자가 출시 변경을 승인한다. |
| 예방 조치와 근거 | 역할 매핑을 확인하고 관리자, 일반 사용자, 서비스 계정의 대표 경로를 테스트한다. 매핑 검토 기록과 실패를 포함한 테스트 결과를 보관한다. |
테스트 기한을 이미 넘겼다면 해당 마일스톤 미달은 미래의 가능성이 아니라 발생한 이슈입니다. 이슈 기록을 R-01과 연결하고 이력을 남깁니다. 수정한 출시 일정에 미칠 영향처럼 이후에 남는 불확실성은 따로 평가하며, 이미 발생한 사건을 미래 리스크로 다시 점수화하지 않습니다.
같은 위험이라도 프로젝트 단계나 사용 조건에 따라 영향이 달라질 수 있습니다. 범위가 바뀌었는데 예전 점수를 그대로 유지하지 말고 재평가가 필요한 이유와 시점을 기록합니다.
평가 날짜와 적용 범위를 기록하고, 실제 기록과 설명용 예시를 구분합니다. 확인하지 못한 가정은 가정으로 표시하세요.
담당자와 대응 확인하기
모든 대응에 담당자, 상태, 목표일, 확인할 증거를 연결합니다. ‘진행 중’만 적으면 검증 가능한 다음 행동이 아닙니다. 담당자나 기한이 없으면 미결정 사항으로 남깁니다.
R-01의 조기 경보 조건은 구체적으로 정합니다. 역할 매핑 확인이 주간 보고 주기 두 번 연속으로 막혀 있으면 마이그레이션 책임자가 후원자에게 판단을 요청합니다. 전환 결정이나 보안 조건 때문에 더 일찍 판단해야 한다면 두 번째 주기를 기다리지 않습니다. 두 주기라는 기준은 이 예시 프로젝트의 규칙이지 모든 리스크에 적용되는 기준은 아닙니다.
비상 계획은 전환을 미루고 미완료 테스트가 끝날 때까지 기존 계정 관리 서비스를 사용할 수 있도록 유지하는 것입니다. 승인권자, 기존 서비스의 지원을 계속 받을 수 있는지, 적용할 보안·운영 조건을 기록합니다. 마이그레이션 책임자는 제안할 수 있지만, 출시 변경은 후원자가 명시적으로 승인해야 실행이 허가된 것으로 볼 수 있습니다.
잔여 리스크를 낮게 평가하려면 역할 매핑 검토와 재시험 결과가 뒷받침되어야 합니다. 작업 티켓을 닫거나 한 번 로그인에 성공한 것만으로 세 종류의 계정 경로를 모두 확인한 것은 아닙니다. 실패를 해결하거나 판단 권한이 있는 사람이 내용을 이해하고 수용하기 전까지는 남은 노출도와 다음 검토 시점을 표시합니다.
HM Treasury의 Orange Book은 리스크 대응을 승인 책임, 모니터링, 비상 계획과 연결합니다. R-01의 조치는 프로젝트 예시이며, 이 문서에서 정한 필수 절차는 아닙니다.
검토를 요청한다면 누가 언제 어떤 자료를 검토하고 어떤 조건에서 종료하는지 적습니다. 담당자와 기한이 없는 대응은 미결정 사항으로 올려 에스컬레이션하고, 상태가 바뀔 때마다 이유와 확인자를 남깁니다.
고유 위험과 잔여 위험 비교하기
대응을 시작하기 전의 고유 위험과 대응을 적용한 뒤 남는 잔여 위험을 별도로 보여 주세요. 대응이 완료된 것처럼 보이게 하는 것이 목적이 아니라, 어떤 신호가 확인되면 잔여 위험을 낮게 판단할 수 있는지 밝히는 것이 목적입니다. 확인할 증거가 없으면 상태를 진행 중으로만 적지 말고 미결정 또는 검증 대기로 표시합니다.
리스크 덱을 읽는 순서
- 이번 회의에서 답할 판단 질문과 데이터 기준일
- 가능성·영향도 척도와 평가 방법
- 히트맵 또는 우선순위 목록
- 상위 위험의 원인·사건·영향 및 근거
- 대응, 담당자, 목표일, 잔여 위험
- 결정, 조건, 다음 검토일
상세한 원자료와 평가자 메모는 부록으로 옮기되, 본문에서 각 우선 위험을 어떤 근거로 올렸는지는 확인할 수 있게 합니다. 한 슬라이드에 모든 위험을 작은 글자로 넣기보다, 결정이 필요한 위험과 관찰만 필요한 위험을 나눕니다.
근거와 변경 이력 남기기
각 점수와 상태에 자료 출처, 수집일, 검토자를 연결합니다. 실제 측정값이나 공식 기록이 없는 예시 숫자를 사실처럼 쓰지 않습니다. 새 자료가 들어와 순위가 바뀌면 이전 판단을 지우지 말고, 무엇이 바뀌었고 왜 재평가했는지 변경 이력에 남깁니다. 이 기록이 있어야 다음 회의에서 같은 논의를 처음부터 반복하지 않습니다.
다음 검토에서는 같은 기준으로 점수를 비교하고, 대응이 실제로 잔여 위험을 줄였는지 확인합니다.
시나리오와 민감도 설명하기
한 가지 전망만 제시하지 말고, 조건이 달라질 때 우선순위가 어떻게 바뀌는지 보여 줍니다. 수요, 일정, 의존성처럼 실제 의사결정에 영향을 주는 변수를 낮음·기준·높음 등의 시나리오로 나눌 수 있습니다. 이는 미래를 예측한다는 뜻이 아니라, 어떤 조건에서 대응을 앞당기거나 보류할지 결정하는 경계선을 보여 주는 방법입니다.
시나리오에 사용한 가정과 확인하지 못한 부분을 표기합니다. 시나리오의 숫자를 고객 결과나 확정된 확률처럼 표현하지 말고, 다음에 확인할 신호와 책임자를 함께 적습니다.
결정 로그와 다음 검토
회의가 끝나면 위험을 승인·수용·완화·에스컬레이션 중 어떤 상태로 둘지 기록합니다. 수용한 위험에는 수용 조건과 만료일, 완화하는 위험에는 담당자와 목표일, 에스컬레이션에는 결정권자와 필요한 추가 근거를 적습니다. 다음 검토일과 그때 확인할 자료도 지정합니다.
점수는 방법을 설명할 뿐 미래를 보장하지 않습니다. 확인된 사실, 가정, 추적할 신호를 구분하세요. 레지스터가 제공하지 않는 정밀도를 가장하지 않고도 자원 배분이나 에스컬레이션을 결정할 수 있습니다.
자료의 품질과 확인 수준
위험 평가에 사용한 자료의 성격도 함께 적습니다. 운영 로그나 승인된 문서처럼 직접 확인한 자료, 담당자의 판단, 아직 확인하지 못한 가정을 같은 색상과 문장으로 섞지 않습니다. 출처가 서로 충돌하면 한쪽을 조용히 버리지 말고 차이를 보여 준 뒤, 어떤 자료를 기준으로 삼았는지와 추가 확인 담당자를 지정합니다.
인수인계에 필요한 최소 정보
리스크 레지스터를 다른 팀에 넘길 때는 위험 설명, 현재 상태, 담당자, 다음 기한, 근거 링크, 중단 또는 에스컬레이션 조건을 한 묶음으로 제공합니다. 새 담당자가 표만 보고도 무엇을 확인해야 하는지 알 수 있어야 합니다. 회의 자료와 원본 레지스터의 버전을 맞추고, 공개할 수 없는 정보는 범위와 접근 권한을 별도로 표시합니다.
