软件项目风险管理

1、0服务外包软件项目组织与管理 八1引言引言- -软件项目中的风险软件项目中的风险q不断变换的需求q低劣的计划和估算q不可信赖的承包人q欠缺的管理经验q人员问题q技术失败q政策的变化q性能欠佳。2引言引言qRothfeder 1988:对600家成功的公司调查，35%有项目失控的经历qJones 1991:大型项目按时完成的概率几乎为0，被取消的概率与赌博一样qTom Gilb：如果你不主动地击败风险，他们就会主动击败你的3软件项目管理软件项目管理 第八章第八章软件项目风险管理软件项目风险管理4本章要点本章要点一、软件项目风险基本概念一、软件项目风险基本概念二、软件项目风险管理的过程三、软件项目

2、风险管理计划四、案例分析5风险的定义风险的定义q损失发生的不确定性；q对潜在的，未来可能发生损害的一种度量，如果它确实发生了，则它的发生会对项目产生有害的或者负面的影响6项目风险的三要素项目风险的三要素n触发的事件n事件发生的概率n事件的影响7风险图示风险图示项目风险8风险类型风险类型q预测角度 q已知风险Known knownq可预测风险-Known unknown q不可预测风险-unknown unknownq范围角度 q人员风险、开发环境风险q技术风险、产品风险、过程风险q商业风险、管理风险、客户风险9风险的基本性质风险的基本性质q风险的客观性q风险的不确定性q风险的不利性q风险的可变

3、性q风险的相对性q风险同利益的对称性10本章要点本章要点一、软件项目风险基本概念二、软件项目风险管理的过程二、软件项目风险管理的过程三、软件项目风险管理计划四、案例分析11风险管理的四个过程风险管理的四个过程121-1-风险识别风险识别q风险识别是试图通过系统化地确定对项目计划的威胁，识别已知和可预测的风险。13风险识别风险识别输入标识风险按照一定的标准对风险分类排序评审风险风险表14方法及工具方法及工具q德尔菲方法q头脑风暴法q情景分析法q面谈法q风险条目检查表风险条目检查表15风险条目检查表风险条目检查表q检查表法是利用检查表作为风险识别的工具q检查表法是根据风险要素建立软件项目的风险条目

4、列表q列表中列出所有与风险因素有关的提问q可以使管理者集中识别常见的类型中的已知和可预测的风险有研究表明：有研究表明：ITIT项目常常存在一些共同的风险源项目常常存在一些共同的风险源16基于关键域的风险识别检查表基于关键域的风险识别检查表n产品规模n商业影响n需求相关n客户相关n过程定义n开发技术n开发环境n人员数目及经验17风险条目检查表举例（风险条目检查表举例（1 1）代号代号风险类别风险类别风险内容风险内容相关说明相关说明XQ01需求风险需求风险对软件缺少清晰的认识对软件缺少清晰的认识在软件项目早期忽视了这在软件项目早期忽视了这些不确定性，并且在软件些不确定性，并且在软件项目进展过程当中

5、得不到项目进展过程当中得不到解决，如果不控制与需求解决，如果不控制与需求相关的风险因素，那么时相关的风险因素，那么时间拖越长，将来的弥补所间拖越长，将来的弥补所付出的成本越大、风险也付出的成本越大、风险也越大。越大。XQ02对产品需求缺少认同对产品需求缺少认同XQ03做需求分析时客户参与不够做需求分析时客户参与不够XQ04客户没有优先需求客户没有优先需求XQ05缺少有效的需求变化管理过缺少有效的需求变化管理过程程XQ06对需求的变化缺少相关分析对需求的变化缺少相关分析GL01管理风险管理风险计划和任务定义不够充分计划和任务定义不够充分定义了项目追踪过程并且定义了项目追踪过程并且明晰项目角色和责

6、任，就明晰项目角色和责任，就能处理这些管理风险因素。能处理这些管理风险因素。GL02实际项目状态不够明确实际项目状态不够明确GL03项目所有者和决策者分不清项目所有者和决策者分不清GL04对用户不切实际的承诺对用户不切实际的承诺员工之间的冲突员工之间的冲突18风险条目检查表举例（风险条目检查表举例（2 2） 代号代号风险类别风险类别风险内容风险内容相关说明相关说明JS01技术风险技术风险缺乏相关技术培训缺乏相关技术培训 软件技术的飞速发展和经历丰软件技术的飞速发展和经历丰富员工的缺乏，意味着项目团富员工的缺乏，意味着项目团队可能会因为技术的原因影响队可能会因为技术的原因影响软件项目的成功软件项

7、目的成功JS02对方法、工具理解得不够对方法、工具理解得不够JS03应用领域的经验不够应用领域的经验不够JS04出现新的技术和开发方法出现新的技术和开发方法WB01外部风险外部风险与外部转包商的关系不明确与外部转包商的关系不明确无法很好地控制外部的相关性，无法很好地控制外部的相关性，但可识别和预防。但可识别和预防。WB02不可抗力因素的存在不可抗力因素的存在WB03相关政策、法规的稳定性不够相关政策、法规的稳定性不够192-2-风险评估风险评估q确定风险发生概率的估计和评价，项目风险后果严重程度的估计和评价，项目风险影响范围的分析和评价，以及对于项目风险发生时间的估计和评价。20风险评估风险评

8、估q分析q风险发生的概率，确定发生的可能性（P）q风险后果，发生后对项目目标的影响（I）q风险值，风险的严重程度R=F(P,I)21风险评估风险评估q确定优先次序q按风险的严重性排序q确定最需要关注的TOP 10风险22风险评估的方法风险评估的方法- -定性风险评估定性风险评估q定性评估风险概率及后果23风险概率风险概率q风险概率值：q没有可能（0）q确定（1）q风险概率度量：q高、中、低q极高、高、中、低、极低q不可能，不一定，可能和极可能q等等24风险后果（影响）风险后果（影响）q风险后果q风险影响项目目标的严重程度q从无影响到无穷大q风险后果度量q高、中、低q极高、高、中、低、极低q灾难

9、，严重，轻微，可忽略q等等25风险概率及后果估计风险概率及后果估计- -矩阵图矩阵图 P RILowMediumHighHighLHHMediumLHHLowLMM26风险评估的方法风险评估的方法- -定量风险评估定量风险评估n盈亏平衡分析n模拟n访谈n决策树分析n量化风险条目检查表n。27访谈访谈q确定概率分布模型q领域专家访谈，信息采集28举例举例- -基于正态分布进度风险评估基于正态分布进度风险评估-2SD+2SD-3SD-1SD+1SD+3SD68.3%95.5%99.7%ET=E+1SD=13.5+1.07=14.5P=50%+68. 3%/2=85%29决策树分析决策树分析q决策树

10、分析是一种图表分析方法q提供项目所有可供选择的行动方案，行动方案之间的关系，行动方案的后果以及发生的概率q提供选择一个最佳的方案的依据30决策树分析与决策树分析与EMV ( Expected EMV ( Expected Monetary Value)Monetary Value)q损益期望值是决策树的一种计算值q根据风险发生的概率计算出一种期望的损益q例如：q 某行动方案成功的概率是50%，收益是10q EMV=10*50%=531决策树分析例子决策树分析例子风险值？风险值？EMV=0失败：失败：P=30%, outcome= -200,000 成功：成功：P=70%高性能：高性能：P=30

11、%, outcome=550,000EMV=550,000* 30%=165000低性能：低性能：P=70%, outcome=- 100,000EMV=-100,000* 70%=-70000EMV=95,000*70%=66500实施后：实施后：EMV=6,500不实施EMV=-200,000*30%=-6000032决策树分析例子决策树分析例子33课堂练习课堂练习q利用决策树风险分析技术来分析如下两种情况的，以便决定你会选择哪种方案：（要求画出决策树）q方案：随机投掷硬币两次，如果两次投掷的结果都是硬币正面朝上，你将获得元；投掷的结果背面每朝上一次你需要付出.元。q方案：随机投掷硬币两次

12、，你需要付出元；如果两次投掷的结果都是硬币正面朝上，你将获得元。34课堂练习课堂练习课堂练习课堂练习0.250.25* *10= 2.510= 2.5元元0.50.5* *-1.5=-0.75-1.5=-0.75元元0.25*-3=- 0.75元元 GameA:EMV=GameA:EMV=1 10.250.25* *8=28=2元元0.50.5* *-2=-1-2=-1元元0.250.25* *-2=-0.5-2=-0.5元元GameB:EMV=GameB:EMV=0.50.510元-1.5元8元=10-2-2元-2元-3元35量化检查表量化检查表36McFarlans Risk Questi

13、onnaireMcFarlans Risk Questionnaire1.What is the project estimate in calendar (elapsed) time?( ) 12 months or lessLow = 1 point( ) 13 months to 24 monthsMedium = 2 points( ) Over 24 monthsHigh = 3 points2. What is the estimated number of person days for the system?( ) 12 to 375Low = 1 point( ) 375 t

14、o 1875Medium = 2 points( ) 1875 to 3750Medium = 3 points( ) Over 3750High = 4 points3. Number of departments involved (excluding IT)( ) OneLow = 1 point( ) TwoMedium = 2 points( ) Three or moreHigh = 3 points4. Is additional hardware required for the project?( ) NoneLow = 0 points( ) Central process

15、or type changeLow = 1 point( ) Peripheral/storage device changes Low = 1( ) TerminalsMed = 2( ) Change of platform, for exampleHigh = 3 PCs replacing mainframes37排序输入风险事件可能性影响风险值采取的措施1系 统 设 计 评审没有足够的时间进行产品测试70%50%35%2WBS对需求的开发式系统标准没有合适的测试案例 20%80%16%3需求和计划采用新技术可可能导致进度的延期50%30%15%。 风险评估结果实例风险评估结果实例38

16、3-3-风险规划风险规划针对风险分析的结果，为提高实现项目目标的机会，降低风险的负面影响而制定风险应对策略和应对措施的过程，即制定一定的行动和策略来对付、减少、以至于消灭风险事件39风险规划的主要策略风险规划的主要策略n回避风险n转移风险n损失控制n自留风险40- -回避风险回避风险q回避风险是对所有可能发生的风险尽可能的规避，采取主动放弃或者拒绝使用导致风险的方案q例如放弃采用新技术41- -回避风险回避风险注意事项注意事项q对风险有足够的认识q当其他风险策略不理想的时候，可以考虑q可能产生另外的风险q不是所有的情况都适用的42- -转移风险转移风险q转移风险是为了避免承担风险损失，有意识将

17、损失或与损失有关的财务后果转嫁出去的方法:例如q出售q分包q开脱责任合同q保险43- -损失控制损失控制n损失预防q损失抑制44- -自留风险自留风险q由项目组织自己承担风险事故所致损失的措施。 q自留风险的类型q主动自留风险和被动自留风险q全部自留风险和部分自留风险45实例实例q人员的频繁流动是一项风险，基于过去的历史和管理经验，频繁流动可能性的估计值为70%，开发时间增加15%，总成本增加12%，为了缓解这一风险，项目经理是采取的策略：46实例实例- -采取的策略采取的策略q与现有人员讨论人员流动的原因q项目启动时，做好会出现人员流动的准备，采取一些技术以确保人员的一旦离开后，项目仍然能继

18、续q建立良好的项目组织和通信渠道，以使大家能够了解每个有关的开发活动的信息q指定文档标准并建立相应的机制，以保证文档能够及时建立q对所有工作组织细致的评审，使大多数人能够按计划进度完成自己的工作47风险管理应对计划风险管理应对计划排序输入风险事件可能性影响风险值采取的措施1系 统 设 计 评审没有足够的时间进行产品测试70%50%35%1采取加班的方法2修改计划去掉一些任务3与客户商量延长一些时间2WBS对需求的开发式系统标准没有合适的测试案例 20%80%16%找专业的测试公司完成测试工作3需求和计划采用新技术可可能导致进度的延期50%30%15%1培训开发人员2找专家作指导3采取边开发边学

19、习的方法，要求他们必须在规定的时间内掌握技术。 484-4-控制风险控制风险项目跟踪控制项目跟踪控制q实施和跟踪风险管理计划，保证风险计划的执行，评估削减风险的有效性。q针对一个预测的风险事实上是否发生了，确保针对某个风险而制定的风险消除步骤正在合理使用q监视剩余的风险和识别新的风险，q收集可用于将来的风险分析信息49本章要点本章要点一、软件项目风险基本概念二、软件项目风险管理的过程三、软件项目风险管理计划三、软件项目风险管理计划四、案例分析50风险管理计划风险管理计划q风险应对计划（top 10清单）q岗位职责q时间q预算q追踪等等51任务可能的风险产生的阶段产生的原因避免的措施发生后的处理

20、制定设计阶段的规范和标准时间风险项目准备需制定的规范和标准较多，而同时需完成其他工作，使得可使用的时间和资源有限 开发环境确认资源风险系统设计由于设备未到位导致延误开发 管理系统设计技术风险 系统设计基于TeMIP平台开发SDH专网管理系统对于公司乃至国内都是全新的课题，由于技术的掌握程度和经验的欠缺在系统设计前请TeMIP专家进行相关培训 对功能规格和系统设计的调整时间风险0版本开发评测结果对功能规格和系统设计影响较大 0版本开发时间风险0版本开发 由于学习曲线过长延误时间 系统测试资源风险0版本开发开发人员与SQA人员对工作站和服务器使用的争夺 MD现场调试资源风险1版本开发由于设备问题延

21、误现场调试 现场运行环境确认资源风险2版本开发由于设备问题延误验收测试的进行 任务可能的风险产生的阶段产生的原因避免的措施发生后的处理制定设计阶段的规范和标准时间风险项目准备需制定的规范和标准较多，而同时需完成其他工作，使得可使用的时间和资源有限 开发环境确认资源风险系统设计由于设备未到位导致延误开发 管理系统设计技术风险 系统设计基于TeMIP平台开发SDH专网管理系统对于公司乃至国内都是全新的课题，由于技术的掌握程度和经验的欠缺在系统设计前请TeMIP专家进行相关培训 对功能规格和系统设计的调整时间风险0版本开发评测结果对功能规格和系统设计影响较大 0版本开发时间风险0版本开发 由于学习曲

22、线过长延误时间 系统测试资源风险0版本开发开发人员与SQA人员对工作站和服务器使用的争夺 MD现场调试资源风险1版本开发由于设备问题延误现场调试 现场运行环境确认资源风险2版本开发由于设备问题延误验收测试的进行 任务可能的风险产生的阶段产生的原因避免的措施发生后的处理制定设计阶段的规范和标准时间风险项目准备需制定的规范和标准较多，而同时需完成其他工作，使得可使用的时间和资源有限 开发环境确认资源风险系统设计由于设备未到位导致延误开发 管理系统设计技术风险 系统设计基于TeMIP平台开发SDH专网管理系统对于公司乃至国内都是全新的课题，由于技术的掌握程度和经验的欠缺在系统设计前请TeMIP专家进行相关培训 对功能规格和系统设计的调整时间风险0版本开发评测结果对功能规格和系统设计影响较大 0版本开发时间风险0版本开发 由于学习曲线过长延误时间 系统测试资源风险0版本开发开发人员与SQA人员对工作站和服务器使用的争夺 MD现场调试资源风险1版本开发由于设备问题延误现场调试 现场运行环境确认资源风险2版本开发由于