软考高项总结：第15章风险管理

一、管理基础

1、项目风险是一种不确定的事件或条件，一旦发生，会对项目目标产生某种正面或负面的影响。项目风险既包括对项目目标的威胁，也包括促进项目目标的机会。

（1）已知风险是那些已经经过识别和分析的风险，对于已知风险，对其进行规划，寻找应对方案是可行的；

（2）未知风险是无法管理的, 项目经理采取一般的应急措施处理未知风险；

2、项目在不同阶段会有不同的风险。风险会随着项目的进展而变化，不确定性也会随着项目进展而逐渐减少。最大的不确定性存在于项目的早期。

3、项目风险管理的目的在于降低风险不利影响，提高项目成功的可能性。

4、项目风险管理过程是个持续的不断迭代的过程。在项目策划阶段就应进行项目风险管理的策划，并随着项目进展监督和管理风险，确保项目正常进行，遇到突发性风险也能得到有效应对并处理。

5、项目风险会对项目目标产生负面或正面的影响，也就是风险与机会。

6、风险的属性

7、风险的分类

8、风险成本包括有形成本、无形成本以及预防与控制风险的成本。

9、管理新实践

10、风险管理过程定义和作用

11、裁剪考虑：项目规模、项目复杂性、项目重要性、开发方法

12、敏捷与适应方法

（1）要应对快速变化，就需要采用敏捷或适应型方法管理项目，如经常审查增量的工作产品，加快知识的分享，来确保对风险的认知和管理。在选择每个迭代期的工作内容时都要考虑风险；在每个迭代期间应该识别、分析和管理风险。

（2）此外，应根据对当前风险忍受度的深入理解，定期更新需求文件，并随项目进展重新排列工作优先级。

13、风险管理过程

二、规划风险管理

1、规划风险管理过程的数据流向图

2、规划风险管理ITO

3、规划风险管理：规划风险管理过程在项目立项阶段就应开始，并在项目早期完成。在项目生命周期的后期，可能有必要重新开展本过程。

4、数据分析：干系人分析法，确定项目干系人的风险偏好。

5、风险管理计划内容：

①风险管理策略；

②方法论；

③角色与职责；

④资金；

⑤时间安排；

⑥风险类别；

⑦干系人风险偏好；

⑧风险概率和影响；

⑨概率和影响矩阵；

⑩报告格式；

⑪跟踪；

三、识别风险

1、识别风险过程的数据流向图

2、识别风险ITO

3、识别风险基础知识

（1）识别风险时，要同时考虑单个项目风险以及整体项目风险的来源。风险识别活动的参与者可能包括：项目经理、项目团队成员、项目风险专家（若已指定）、客户、项目团队外部的主题专家、最终用户、其他项目经理、运营经理、干系人和组织内的风险管理专家。应鼓励所有项目干系人参与项目风险的识别工作。项目团队的参与尤其重要，以便培养和保持他们对已识别单个项目风险、整体项目风险级别和相关风险应对措施的主人翁意识和责任感。

（2）应采用统一的风险描述格式来描述和记录项目风险，以确保每一项风险都被清楚、明确地理解，从而为有效的分析和风险应对措施制定提供支持。

（3）在整个项目生命周期中，单个项目风险可能随项目进展而不断变化，整体项目风险的级别也会发生变化。因此，识别风险是一个迭代的过程。迭代的频率和每次迭代所需的参与程度因情况而异，应在风险管理计划中做出相应规定。

4、数据收集

5、人际关系与团队技能：帮助参会者专注于风险识别任务、准确遵循与技术相关的方法，确保风险描述清晰、找到并克服偏见，以及解决任何可能出现的分歧。

6、数据分析

7、提示清单：是关于可能引发项目风险来源的风险类别的预设清单。在采用风险识别技术时，提示清单可作为框架用于协助项目团队形成想法。可以用风险分解结构底层的风险类别作为提示清单，来识别单个项目风险。某些常见的战略框架更适用于识别整体项目风险的来源，如外部影响（政策、经济、社会、技术、法律、环境）、内部影响（技术、环境、商业、运营、政治）和性质（易变性、不确定性、复杂性、模糊性）。

8、风险登记册: 已识别风险的清单、潜在风险责任人、潜在风险应对措施清单

9、风险报告：提供关于整体项目风险的信息，以及关于已识别的单个项目风险的概述信息。风险报告的编制是一项渐进式的工作。随着实施定性风险分析、实施定量风险分析、规划风险应对、实施风险应对和监督风险过程的完成，这些过程的结果也需要记录在风险登记册中。完成识别风险过程时，风险报告内容主要包括：

（1）整体项目风险的来源：说明哪些是整体项目风险的最重要因素。

（2）关于已识别单个项目风险的概述信息：例如，已识别的威胁与机会的数量、风险在风险类别中的分布情况、测量指标和发展趋势。

10、风险登记册和风险报告在各过程中的更新

四、实施定性风险分析

1、实施定性风险分析过程的数据流向图

2、实施定性风险分析ITO

3、实施定性风险分析基础知识

（1）为了实现有效评估，就需要认清和管理本过程关键参与者对风险所持的态度。风险主观意识会导致评估已识别风险时出现偏见，所以应该注意找出偏见并加以纠正。

（2）本过程会为每个风险识别出责任人，以便由他们负责规划风险应对措施，并确保应对措施的实施。如果需要开展实施定量风险分析过程，那么实施定性风险分析也能为其奠定基础。

（3）在整个项目生命周期中要定期开展实施定性风险分析过程。在敏捷或适应型开发环境中，实施定性风险分析过程通常要在每次迭代开始前进行。

4、数据收集：访谈。结构化或半结构化的访谈可用于评估单个项目风险的概率和影响，以及其他因素。访谈者应该营造信任和保密的访谈环境，以鼓励被访者提出诚实和无偏见的意见。

5、数据分析

6、其他风险参数评估

7、人际关系与团队技能：引导，能够提高对单个项目风险的定性分析的有效性。

8、风险分类

（1）项目风险可依据风险来源、受影响的项目领域，以及其他实用类别（如项目阶段、项目预算、角色和职责）来分类，确定哪些项目领域最容易被不确定性影响；风险还可以根据共同根本原因进行分类。应该在风险管理计划中规定可用于项目的风险分类方法。

（2）对风险进行分类，有助于把注意力和精力集中到风险可能发生的最大的领域，或针对一组相关的风险制定通用的风险应对措施，从而有利于更有效地开展风险应对。

9、数据表现

10、项目文件（更新）

（1）假设日志：在实施定性风险分析过程中，可能做出新的假设、识别出新的制约因素，或者现有的假设条件或制约因素可能被重新审查和修改。

（2）问题日志：应该更新问题日志，以记录发现的新问题或当前问题的变化。

（3）风险登记册

更新内容可能包括：每项单个项目风险的概率和影响评估、优先级别或风险分值、指定风险责任人、风险紧迫性信息或风险类别，以及低优先级风险的观察清单和需要进一步分析的风险。

（4）风险报告：更新风险报告，以记录最重要的单个项目风险（通常为概率和影响最高的风险）、所有已识别风险的优先级列表以及简要的结论。

五、实施定量风险分析

1、实施定量风险分析过程的数据流向图

2、实施定量风险分析ITO

3、实施定量风险分析基础知识

（1）并非所有项目都需要实施定量风险分析。

（2）定量分析适用于大型或复杂的项目，具有战略重要性的项目，合同要求进行定量分析的项目和主要干系人要求进行定量分析的项目。

（3）在实施定量风险分析过程中，要使用被定性风险分析过程评估为对项目目标存在重大潜在影响的单个项目风险的信息。

（4）定量风险分析也可以在规划风险应对过程之后开展，以分析已规划的应对措施对降低整体项目风险最大可能的有效性。

4、数据收集：访谈。当需要向专家征求信息时，访谈尤其适用。访谈者应营造信任和保密的访谈环境，以鼓励被访者提出诚实和无偏见的意见。

5、人际关系与团队技能：引导。在由项目团队成员和其他干系人参加的专门风险研讨会中，配备一名熟练的引导者，有助于更好地收集输入数据。

6、不确定性表现方式：如果活动的持续时间、成本或资源需求是不确定的，就可以在模型中用概率分布来表示其数值的可能区间。概率分布可能有多种形式，最常用的有三角分布、正态分布、对数正态分布、贝塔分布、均匀分布或离散分布。

7、数据分析

8、项目文件（更新）

风险报告内容：

①对整体项目风险最大可能性的评估结果；

②项目详细概率分析的结果；

③单个项目风险优先级清单；

④定量风险分析结果的趋势；

⑤风险应对建议。

六、规划风险应对

1、规划风险应对过程的数据流向图

2、规划风险应对ITO

3、规划风险应对基础知识

（1）风险应对方案应该与风险的重要性相匹配，并且能够经济有效地应对挑战，同时在当前项目背景下现实可行，获得全体干系人的同意，并由一名责任人具体负责。

（2）如果选定的策略并不完全有效，或者发生了已接受的风险，就需要制订应急计划。同时，也需要识别次生风险。次生风险是实施风险应对措施直接导致的风险。

4、数据收集：访谈，项目风险的应对措施可以在与风险责任人的结构化或半结构化的访谈中制定。访谈者应该营造信任和保密的访谈环境，以鼓励被访者提出诚实和无偏见的意见。

5、人际关系与团队技能：引导，能够提高项目风险应对策略制定的有效性。熟练的引导者可以帮助风险责任人理解风险、识别并比较备选的风险应对策略、选择适当的应对策略，并克服偏见。

6、威胁应对策略

7、机会应对策略

8、应急应对策略

（1）可设计一些仅在特定事件发生时才采用的应对措施。对于某些风险，如果项目团队相信其发生会有充分的预警信号，那么就应该制订仅在某些预定条件出现时才执行的应对计划。

（2）应该定义并跟踪应急应对策略的触发条件，例如，未实现中间的里程碑，或获得卖方更高程度的重视。采用此技术制订的风险应对计划通常称为应急计划，其中包括已识别的，用于启动计划的触发事件。

9、整体项目风险应对策略

10、数据分析

11、决策：多标准决策分析，有助于对多种风险应对策略进行优先级排序。

12、项目文件（更新）

（1）风险登记册

内容包括：

①商定的应对策略；

②实施所选应对策略所需要的具体行动；

③风险发生的触发条件、征兆和预警信号；

④实施所选应对策略所需要的预算和进度活动；

⑤应急计划及启动该计划所需的风险触发条件；

⑥回退计划，供风险发生且主要应对措施不足以应对时使用；

⑦采取预定应对措施之后仍存在的残余风险，以及被有意接受的风险；

⑧由实施风险应对措施而直接导致的次生风险。

（2）风险报告：更新以记录针对当前整体项目风险敞口和高优先级风险的经商定的应对措施，以及实施这些措施之后的预期变化。

七、实施风险应对

1、实施风险应对过程的数据流向图

2、实施风险应对ITO

3、实施风险应对：只有风险责任人以必要的努力去实施商定的应对措施，项目的整体风险入口和单个威胁及机会才能得到主动管理。

4、人际关系与团队技能：影响力。有些风险应对措施可能由项目团队以外的人员执行，或由存在其他竞争性需求的人员执行。这种情况下，负责引导风险管理过程的项目经理或人员就需要施展影响力，去鼓励指定的风险责任人采取所需的行动。

八、监督风险

1、监督风险过程的数据流向图

2、监督风险ITO

3、监督风险过程采用项目执行期间生成的绩效信息，以确定：

①实施的风险应对是否有效；

②整体项目风险级别是否已改变；

③已识别单个项目风险的状态是否已改变；

④是否出现新的单个项目风险；

⑤风险管理方法是否依然适用；

⑥项目假设条件是否仍然成立；

⑦风险管理政策和程序是否已得到遵守；

⑧成本或进度应急储备是否需要修改；

⑨项目策略是否仍然有效等。

4、数据分析

5、审计：风险审计可用于评估风险管理过程的有效性。

（1）项目经理负责确保按项目风险管理计划所规定的频率开展风险审计。

（2）风险审计可以在日常项目审查会和风险审查会上开展，团队也可以召开专门的风险审计会。

（3）在实施审计前，应明确定义风险审计的程序和目标。

6、会议

应该定期安排风险审查，来检查和记录风险应对在处理整体项目风险和己识别单个项目风险方面的有效性。在风险审查中，还可以识别出新的单个项目风险（包括已商定应对措施所引发的次生风险）、重新评估当前风险、关闭已过时风险、讨论风险发生所引发的问题，以及总结可用于当前项目后续阶段或未来类似项目的经验教训。根据风险管理计划的规定，风险审查可以是定期项目状态会中的一项议程，也可以召开专门的风险审查会。

7、管理风险的顺序：

①识别

②定性（必须要做）

③定量（可以不做）

④规划应对

⑤实施应对

8、风险应对工具使用场景