Для меня всегда было проблематично обсуждать риски в некоторых абстракциях. Лучше бы конкретизировать тематику, т.к. риски бывают слишком уж разные. Ошибки в оценке и превышении бюджета, падение серверов или же болезнь сотрудников в день релиза)))
Два главных момента:
1. Нужно из под палки заставить всех работать в трекере. Как личный дневник участника команды. Время только по таймеру.
2. Навесить метрики на узкие места и начать регулярно их мониторить. (я всегда говорю про метрики, т.к. цифры не врут)
Допустим абстрактный пример:
Есть один проект, который с гос. подачи растет. Большой и известный растет и пухнет.
Там сверху водопад, который едет в 146% случаев. Конечный пользователь хочет то, что сам не понимает. Больше рисков чем там еще видел.
Первые пару месяцев был полный ад. Пробовали с разных сторон зайти. Накопив минимальный набор данных стали работать, как с системой с постоянно изменяющимися условиями, т.е. определили размеры итераций. Всех подрядчиков и участников нашей части работы тоже втянули в нашу итеративность. На размер итерации закладывали риски на аналитику и каждого подрядчика. Скорректировали ее размер, так чтобы все части системы работали без простоев. Далее прогнозирование величины риска в коэффициент. Про коэффициенты писал выше. Все тоже самое. Сами риски при этом определены по типам и степени угрозы. Такой классификатор дал возможность завершить работу.