リスクは発生確率と発生時の影響の両面から考えることは、改めて述べる必要はないと思います。
それでは、
「発生確率が低く、発生時の影響が大きい」リスクと
「発生確率が高く、発生時の影響が小さい」リスクは
どちらに重きをおくべきでしょうか。

本稿の執筆時（2026年10月21日）、各所で個人情報漏洩の問題が報じられています。それに対して警視庁が、漏洩した個人情報を悪用した犯罪への注意喚起として「自分の個人情報がすでに流出しているとの前提での対策が大切だ」とサイトで公表しました。これは情報漏洩を完全に防ぐことだけでなく、情報が流出する可能性も想定し、悪用による被害に備えることの重要性を示しているのではないかと考えています。

同様のことは、自然災害への対応にも言えると思います。自然災害は発生そのものを防ぐことが難しく、正確に予測することにも限界があるため、発生するかどうかにかかわらず、発生した場合に備えておくことが重要です。8月の本メッセージでも、自然災害への対応と同様の考え方から、プロジェクトでも問題が発生した場合の対策を検討しておくことを記載しました。

プロジェクトでは、リスクが発生しないようにする対策が必要です。特に発生確率が高いリスクは、発生確率を低下させる対策を検討すると思います。しかし、その対策がうまくいくとは限りません。そのため、発生確率が低いリスクであっても、発生した場合の影響を踏まえ、必要な対策を検討しておくことが重要だと思っています。

また、コストや期間を要するリスク対策においては、リスク発生確率には関係なく、見積や計画に反映させておくことが必要と思います。ただし、すべてのリスクに対策を講じることは現実的ではありませんので、具体的な対象や反映方法は、プロジェクトの特性を踏まえ、ステークホルダーと調整する必要はあります。

プロジェクトは、様々な背景や状況により変化します。そのため、リスクを完全になくすことは困難です。だからこそ、発生確率の高低だけで判断するのではなく、発生した場合の影響にも目を向け、必要な備えを見積や計画に反映していくことが大切だと考えます。