IT项目管理课件：第11章 项目风险管理

1、第11章 风险管理一些有关风险的概念项目风险的定义这个定义至少包含了三个含义：外因：风险来自于项目所处的外部环境的不确定性和不稳定性，因此很多来自外部影响力的变化难以预见。 内因：风险来自于项目团队不能准确预见和不能控制的因素，这不但由于人们认识事物的局限性，而且由于信息的不完备性及滞后性。结果：除了不确定的外因和内因，认定风险还必须有结果，即项目的绩效偏离了干系人的预期。不过仅仅偏离预期还不一定都是风险，提前完成任务也是偏离预期，只有负面偏离预期并形成了损失，才叫做风险。风险的认知状态在完全没有信息的状态下，风险几乎是不可能预见的。例如“非典” 在部分掌握信息的状态下，风险可能预见，但是难以

2、准确预测。 “非典”发生过一次之后，就从不可能预见的风险变成了可能预见但是难以准确预测的风险了，人们从上一次的记录中知道了它的存在形态、传播方式和条件，但是它是否还会再一次出现，何时出现，以什么形式出现，后果如何，谁都没有把握准确预测。 在完全掌握信息的状态下，风险就是可以准确预测的了。例如天气变化，这类风险无时不刻处于人类的监控之中。如果你周末准备到野外郊游，只要抓起电话，一般都可以得到气候风险的准确预测。风险的分类从客观的角度出发，项目的风险可以横向划为内外两个范畴： 项目所处的外部环境产生的风险，被称为系统风险，系统风险是项目组织无法回避也无法控制的，只能被动应对，力求减少风险损失。项目

3、内部原因产生的风险，被称为非系统风险。非系统风险是项目组织有可能主动预防和控制的，这取决于组织的风险管理水平。海起风浪是系统风险，船出故障是非系统风险；亚洲金融危机是系统风险，而项目财务危机是非系统风险；非典疫情导致异地交流项目中止，是系统风险，组织防疫措施不力导致病毒扩散，是非系统风险。一般情况下，系统风险对项目的危害性要大于非系统风险，但项目经理对非系统风险的责任却大于系统风险。老天爷要下雨谁也怨不得，可是若自己没带伞就活该了。俗话说：天作孽尚可恕，自作孽不可恕。 风险的分类从主观的角度出发，项目的风险又可以纵向分为三个层次：认识风险，指那些难以预见的风险。它考验的是组织的学习能力；决策风

4、险，指那些难以预防的风险。它考验的是组织的管理能力；控制风险，指那些难以应对的风险。它考验的是组织的执行能力；未能识别“非典”病毒，是认识风险；识别了不知道该怎样对付它，是决策风险；有了对策但挡不住疫情蔓延，是控制风险。魏文王问扁鹊，他行医的兄弟三人中，谁的医术最好。扁鹊回答，长兄最好，二哥次之，自己最差。 风险的特征风险发生的随机性。 风险后果的相对性。 如赌博的后果风险发展的渐变性 心脏病是突发的，但是血管硬化是几十年累积的；地震海啸是突发的，但这是地壳长期运动的结果；项目的质量事故看起来是突发的，但这是管理松弛所酿成的苦果。风险的渐变性，使我们有可能采取抽样过去的方法来推断未来，通过分析

5、量变的进程去捕捉风险临近的脚步。风险管理三阶段 在风险的潜伏阶段，风险尚未显现，但其可能性存在于各种征兆之中。这个阶段的风险管理重在预防：识别潜在的风险：心脏病 可以血压检测90/140 规避和转移风险: 如喝酒可能导致高血压，可以改喝其他饮料；买保险。准备风险应对方案和危机处理预案 在风险的发生阶段，风险已经来临，风险将带来的损失已经不难预料，这个阶段的风险管理重在应对：选择和实施风险应对预案 ：如飞行故障、电脑瘫痪采取权宜措施缓解风险 ：应对绑匪、飞机延误采取补救措施抵消损失 ：如中东货币紧张可以采用资源互换风险管理三阶段 在风险的后果阶段，风险造成的损失已经成为事实，形势危急，这个阶段的

6、风险管理重在应急和善后：选择和实施危机处理预案：实施灾难救助措施 ：如抗洪救灾、飞机失事资料存档总结教训 所有的风险和灾难留下的记录都是人类的遗产，它将为后人识别风险提供宝贵的线索。今天的人是站在前人肩膀上进步的，如果没有前人留下的资料，我们至今还在黑暗中摸索，还会在同一块石头上绊倒无数次。文档化管理，是我们迈向学习型组织必须跨过的门槛。风险管理的目标 尽早识别项目的各种风险。识别全部风险是不可能的，风险被认识得越早，组织就越有对付它的主动权。尽力避免风险事件的发生。完全避免风险发生很难，敌人何时进攻也许我们管不着，我们能尽力的是建好预防工事。哪怕风险不来，自己也要严阵以待，以万变应不变。尽量

7、降低风险造成的损害。既然风险已经发生，完全避免损失已经不太可能，我们只能强调尽量，即最大限度地减少风险的危害性。尽责总结风险带来的教训。人们最容易犯的错误是好了疮疤忘了疼，因此我们强调尽责，把风险的教训形成文档。这不但是对组织负责，以免在同一块石头上绊倒第二次；这同时也是对历史负责，把教训留给子孙后代。风险预期货币值 事件E发生概率 P结果V风险预期货币值 （EMV）：用货币综合表示风险对项目的影响 EMV=P*VEMV依 据工具与技术成 果规划会议和分析风险管理计划项目范围说明书成本管理计划进度管理计划沟通管理计划事业环境因素组织过程资产11.1规划风险管理项目技术的外部的项目管理需求技术质

8、量估算控制沟通分包商客户气候RBS组织的项目依赖关系资金优先级项目风险管理11.1规划风险管理11.2识别风险11.3风险评估11.4规划风险应对4.2制定项目管理计划风险管理计划5.2定义范围6项目时间管理7项目成本管理10.2规划沟通企业/组织组织过程资产事业环境因素沟通管理计划成本管理计划进度管理计划项目范围说明书依 据工具与技术成 果文档回顾信息搜集技术检查单分析假设分析图形技术SWOT分析专家判断风险登记册风险管理计划活动成本估算活动历时估算范围基准干系人登记册成本管理计划进度管理计划质量管理计划项目文件事业环境因素组织过程资产11.2 风险识别风险识别的过程 风险识别过程的输入依据

9、是 ：项目范围说明。 集成管理计划 事业环境因素 组织过程资产 风险识别的输出就是风险识别的清单，其中包括：风险的来源风险征兆潜在的风险风险识别三段论 首先是观察分析，筛选出可疑征兆进行鉴别，然后做出疑因假设，通过监测对疑因进行观察分析，排除不相关的因素，再进一步征兆鉴别，对比征兆进行判断，验证最初的假设，再对缩小了范围的疑因假设进行新一轮监测和观察分析，这个过程周而复始，直至锁定风险确切原因为止。 如医生看病、侦探破案风险识别的结果 风险识别的结果可以分为三个层次：显性风险，即那些已经被识别出来的常规性风险。 潜在风险，即那些暂时没有形成威胁，而需要特定条件才能诱发的风险因素。 如文档不全风

10、险征兆 ：气候干燥不是祸，但它是引起火灾的诱因；过度疲劳不是病，但它是疾病来临的前奏；纪律松弛不是事故，但它是事故发生的温床；拙于沟通不构成错误，但它是点燃客户怒火的引信。 风险因素分析法 风险因素分析法又被称为情景分析法，是风险因素识别的重要工具。其功能是分析判定在构成风险的各种要素中，何种因素对项目的影响最大。将不同的风险要素分别输入模拟的过程，然后观察输出的结果，进行综合分析。输出的结果可以由诸多风险指标构成：后果严重性指标，可以设定损失金额的标准；影响蔓延的范围，例如质量下降、工期拖延、成本超支等；对项目进程影响程度，或中止项目、或改变计划、或只受到轻微挫折。过程跟踪分析法 过程跟踪分

11、析是识别风险最简单也是最实用的方法。召开一个全体成员会议，把项目的商务模式和运行流程图画出来，让大家跟踪流程的每一个环节，集思广益，展开充分讨论，看什么地方可能发生风险，发生什么样的风险。 风险识别流程图 首先要建立风险管理信息系统。跟踪和检测风险信息，这就是风险管理信息系统每天的日常业务。例如气象台每天观云测温；水文站每天记录水位；对风险信号进行分析判断，即对上述有可能引起风险的迹象与正常标准进行对比，如果发现连续偏离正常标准的现象，则发出风险预警信号。对风险进行鉴别分类，实际上就是给风险定性。随后测算风险发生的概率，分析风险发生的原因，分析风险发生的后果，预测风险发展的趋势风险识别流程图

12、如果风险因素不止一个，需要在量化分析的基础上进行对比，根据其概率大小和危害程度进行排序，以便集中精力解决引起80%质量风险的那20%的关键因素。在上述所有的鉴别、分析、推断、排序等程序都完成之后，形成文字就是风险识别报告。提交最高决策层参考，同时更新风险识别清单和组织过程资产。风险识别报告可以意味着一个特定的风险识别过程的终结。头脑风暴识别法 学会用6顶帽子。 德尔菲法德尔菲法是一种反馈匿名函询法。其做法是在对所要预测的问题征得专家意见之后，进行整理、归纳、统计，再匿名反馈给各专家，再次征求意见，再集中，再反馈，直至得到稳定的意见。步骤：挑选内外部专家要求每位专家对所研讨的问题匿名分析所有专家

13、都会收到一份全组专家的综合分析答案，并要求所有专家在这次反馈的基础上重新分析，如有必要，该程序可重复进行SWOT分析法SWOT分析法是一种环境分析方法，自1971年提出至今，已广泛应用于战略研究、竞争分析与风险管理，成为企业竞争态势分析、战略分析以及项目风险识别的重要工具。所谓的SWOT是Strength（优势）、Weakness（劣势）、Opportunity（机遇）、Threat（挑战）的简写。隐含假定内外区分假定利害区分假定静态分析假定：SWOT实际上是在一个固定的时段对行业状况、项目状况进行比较，然后进行优势、劣势、机遇和挑战的分析，从而形成四种内外匹配的战略。SWOT分析结果：道斯矩

14、阵III优势列出自身优势IV劣势具体列出弱点I机会列出现有的机会VSO战略抓住机遇，发挥优势战略VIWO战略利用机会，克服劣势战略II挑战列出正面临的威胁VIIST战略利用优势，减少威胁战略VIIIWT战略弥补缺点，规避威胁战略SWOT分析法SWOT分析法优势一般体现在：技术优势资金优势人力资源优势无形资产优势：优秀的品牌形象，良好的商业信用。组织体系优势：完善的组织结构，高质量的控制体系竞争能力优势：对市场环境变化的灵敏反应，市场份额的领导地位。劣势则与优势恰恰相反。SWOT分析法机遇一般体现在：客户群的扩大趋势获得购并竞争对手的能力出现向其他地理区域扩张，扩大市场份额的机会新市场进入壁垒降

15、低。挑战一般体现在：出现将进入市场的强大的新竞争对手替代品抢占公司销售额汇率和外贸政策的不利变动市场需求减少。风险列表-基本信息风险ID描述识别人潜在原因潜在对策可能后果备注1234567项目风险管理11.1规划风险管理11.2识别风险11.3风险评估11.4规划风险应对8.1规划质量风险管理计划5.3创建WBS6项目时间管理7项目成本管理10.1识别干系人企业/组织组织过程资产事业环境因素干系人登记册成本管理计划进度管理计划范围基准11.5监控风险7.1估算成本12.1规划采购风险登记册6.4估算活动历时活动历时估算质量管理计划活动成本估算项目文件项目文件依 据工具与技术成 果风险概率和影响

16、评估概率和影响矩阵风险数据质量评估风险类别定量风险分析与建模技术风险紧急性评估专家判断风险登记表（更新）风险登记册风险管理计划项目范围说明书组织过程资产11.3 风险评估风险评估的过程 风险评估的主要输入依据是 ：组织过程资产。 识别风险清单。 项目投资者或发起人的风险承受能力 。风险评估的输出结果，是项目所产生的机会收益和为获取这些收益所承受的风险损失； 风险评估的指标风险评估的六把常用标尺：风险发生的可能性 风险后果的危害性 对风险的预测能力 风险发生的时间段 对风险的承受能力 风险可换取的收益 风险的概率评估 风险的发生概率统计，是量化风险的最主要手段。风险概率与成功概率互为余数，两者之

17、和为一。这样，我们同样可以用成功的概率来推算失败的风险。项目面对的风险经常不止一个，每一个风险都有一个发生几率，若估算所有的风险同时发生的概率，就涉及到复合概率的计算，就是概率交集。 例：国有企业成功的概率中涉及到领导能力（合格的管理能力、会搞政治 、还必须具有无私的品德 ）、成功的概论太小，失败的风险太大 概率和影响矩阵概率和影响矩阵概率威胁机会0.900.050.090.180.360.720.720.360.180.090.050.700.040.070.140.280.560.560.280.140.070.040.500.030.050.100.200.400.400.200.100

18、.050.030.300.020.030.060.120.240.240.120.060.030.020.100.010.010.200.040.080.080.040.200.010.010.050.100.200.400.800.800.400.200.100.05对目标的影响（比率标度）（如费用、时间或范围）每一风险按其发生概率及一旦发生所造成的影响评价级别。矩阵中所示组织规定的低风险、中等风险与高风险的临界值确定了风险的得分风险综合评估法 风险是一种综合现象，仅仅靠概率这样一个单项指标无法衡量它。就像我们无法只用一个“长”的指标去描绘一个立体的容积一样，三维空间必须用“长宽高”三个指标

19、才能完整表达。为了更有效地进行对比和沟通，我们需要设立多指标的综合风险值。风险量化的三个最重要的指标 ：风险发生几率，根据概率大小分为十个等级，概率越高等级越高；风险危害程度，根据造成损失大小分为十个等级，损害越大等级越高；风险可检测性，根据对风险的验测能力分为十个等级，可检测性越弱等级越高； 风险综合评估法 流感的发生概率很高，P=8；危害性不大，S=3，可检测程度较高，D=5，于是它的风险综合值：PSN = 8 x 3 x 5 = 120非典的发生概率很低，P=2；但是危及生命，S=8，可检测程度很低，D=7，于是它的风险综合值：PSN = 2 x 8 x 7 = 112飞机失事的发生概率

20、很低，P=2；危害性极大，S=10，可检测程度很低，D=7，于是它的风险综合值：PSN = 2 x 10 x 7 = 140汽车事故的发生概率较高，P=5；危害性比飞机小得多，S=5，可检测程度也相对高一些，D=6，于是它的风险综合值：PSN = 5 x 5 x 6 = 150 加权平均量化表 加权平均量化表也是一个常用的风险综合指标的评估工具，它通常被用在项目立项时的效益和风险评估上。其操作步骤如下： 将所识别出的所有风险填入表格左栏，作为评估指标；为每一个风险设定权重，代表该风险对项目成败的重要性，也可以视为风险的危害程度。例如项目风险中领导换届、气候影响权重不一样对每一种风险的发生的可能

21、性进行评估，给出概率值。按照风险加权综合求值公式，将每项风险的权重与概率相乘，得出该风险综合值，再将所有的风险综合值相加，最终得出风险加权综合值。将求出的风险加权综合值与预设的风险承受底线相比，如果低于这个底线，说明项目预期风险可以承受，批准立项；如果高于这个底线值，就说明项目的综合风险太大，超出投资者承受能力，项目将被枪毙。计算EMV（风险预期货币值）风险发生机率（P）后果EMV预期货币值重要人员离职0.5进度拖延3天，每天费用1万1.5万技术难题无法克服0.4终止项目，损失50万20万政治环境变化0.1撤出项目团队，损失30万3万天气异常0.2进度拖延1个月，每天费用1万6万决策树分析与E

22、MV计算投资决策项目A项目B50% 500万 50% -300万 80% 300万 20% -500万 EMV=0.5*500-0.5*300=100EMV=0.8*300-0.2*500=140决策树分析示例决策定义决策节点机会节点纯路径价值制定决策依据：每项选择的费用成果：已定决策依据：情景概率，发生后的收入成果：EMV计算：收入减费用建造或升级建造新厂改造老厂强需求弱需求强需求弱需求65% 200美元 80美元 35% 90美元 -30美元 65% 120美元 35% 60美元 70美元 10美元 -120美元 -50美元 EMV=0.65*80+0.35*(-30)=41.5美元EMV

23、=0.65*70+0.35*10=49美元盈亏平衡点分析 盈亏平衡点既代表一个项目承受风险的客观底线，也可代表主要干系人的主观心理底线。这个底线其实无时不刻地存在于我们每个人心底，左右着我们日常生活中的许多行为，口语表达就是“合算不合算”。 盈亏平衡点的求解公式非常简单：产量 x （价格 单位产品可变成本） 固定成本 = 0（经营利润）敏感性分析内部收益率0%20%25%30%+10%+20%增幅-10%-20%价格+10%1产销量+10%23投资额+10%18%20%27%29%23%21%成本+10%24%26%增值税+10%45要素敏感性分析 分别列出能够对项目收益产生影响的五个要素：价

24、格、成本、订货量、投资额和增值税。将这五个变量要素分别增加10%和减少10%输入现金流量的模拟分析模型 ，确定敏感因素风险分析概率树 所有的备选方案和可选路径推演完成后，需要找到最佳机会路径。方法是进行机会价值分析，找到获益最多的路径。机会价值分析的公式：机会价值 = 成功概率 x 成功收益 + 失败概率 x 失败损失阶段性风险分析 经验证明，风险发生概率在项目进程的前期较高，因为各种不确定因素比较多，而越到后期概率越低，因为未定因素逐渐明朗化；风险的危害性趋势刚好相反，项目前期比较低，因为投入较少，风险损失也较少，越到后期损失越大。根据上述趋势绘出风险概率和风险损失两条曲线，两者的乘积就代表

25、风险的机会损失，也就是风险的综合值。 风险列表-风险分析风险ID风险描述类别发生概率影响后果优先级备注1234567项目风险管理11.1规划风险管理11.2识别风险11.3风险评估风险管理计划风险登记册风险登记册（更新）7项目成本管理成本管理计划企业/组织组织过程资产6项目时间管理进度管理计划依 据工具与技术成 果消极风险和威胁的策略积极风险和机会的策略应急应对策略专家判断风险登记册（更新）与风险相关的合同决策项目管理计划（更新）项目文件（更新）风险管理计划风险注册表11.4风险应对风险应对的过程 风险应对过程的输入依据：风险识别清单。包括对风险的性质和特点的描述，原因分析和后果判断，以便有针

26、对性地选择应对方案。 备选应对预案。将事先制定的风险应对预案输入到风险应对中，可以把决策过程简化到对比和选择项目干系人承受风险的心理底线。这里的项目干系人主要指项目发起人和投资者，因为风险的后果和损失主要由他们承担。 风险应对过程的输出结果： 风险应对措施及合同文件。例如缓解、转移、分散风险的措施，降低风险危害的措施，限制风险扩散蔓延的措施，承受并挺过风险的措施和善后处理措施，其中包括应对措施中所涉及的合同文件，例如分包协议或保险合同等。风险清单和风险计划更新。 风险承担的底线 人们对风险的主观承受底线取决于以下几个因素：人的个性和心理素质。 对获取收益的期望值。 衡量风险的价值尺度。 如战争

27、在不同国家对风险的定义不一样项目经理如果能触摸到老板承受风险的心理底线，心里就有数该在什么时候，采取什么措施应付风险了。否则动手早了庸人自扰，动手晚了又贻误战机，左右不是人。风险应对主要措施名称特点情景回避Avoid改变计划或范围去掉WBS中有风险的工作包或由第三方来消除缓解Mitigate降低概率或后果雇佣有经验的雇员转移Transference转给第三方购买保险或第三方担保积极接受Acceptance准备备用计划准备应急储备金有风险不能回避和减轻，准备备用计划被动接受Acceptance什么都不作风险应对的措施 转移风险型，是最常用也是最有效的方法。 如买保险分散风险型，其主要思路是分担压

28、力，弃卒保车，避免全军覆没。如抗洪抢险时的分洪减压措施；金融危机来临之时，分购币种的保值措施；强敌压境时，化整为零的保存实力措施等等。建筑工地发生的事情。 降低风险型，主要思路是通过其他额外措施来弥补风险造成的损失。例如，外贸不合格的转为内销，资金周转不开了清仓甩货，产品不合格降价处理等等。 缓解风险型，主要思路是采取缓冲手段为解决风险争取时间和条件。例如当组织发生财务危机时，先截流而后开源，先砍掉部分次要的项目，剪枝保干，防止财务状况继续恶化。风险应对的措施 限制风险型，主要思路是最大限度缩小风险影响范围，防止其蔓延。 如非典隔离承受风险型，这也是没有办法的办法，既然风险没法应对，只能硬着头

29、皮顶过去。这时候需要做的，是提高自己承担风险的心理素质，把损失计入风险预防成本。风险的应对机制 风险应对机制由三个部分构成：风险应对领导架构。 风险信息处理系统，包括信息搜集、分析、反馈、发布系统，事先准备好的备选方案，所有相关人员的联络方法和电话号码，各种备查的专业资料等。 如飞机紧急救援处理系统风险应对的资源储备，这是风险应对的物质保障，巧妇难为无米之炊。 如民政局救灾物资风险列表-风险应对计划风险ID风险征兆预计日期应对措施备选措施应对者备注1234567项目风险管理11.1规划风险管理11.2识别风险11.4规划风险应对风险管理计划风险登记册风险登记册（更新）项目文件项目文件（更新）4

30、.2制定项目管理计划12.1规划采购项目管理计划（更新）与风险相关的合同决策依 据工具与技术成 果风险再评估风险审计偏差与趋势分析技术绩效测量储备分析状态审查会风险登记册（更新）组织过程资产（更新）变更请求项目管理计划（更新）项目文件（更新）风险登记册项目管理计划工作绩效信息绩效报告11.5 风险监控风险控制的过程 风险控制过程的输入依据：风险管理计划。 风险识别清单。 批准变更申请。 工作绩效信息。 风险控制过程的输出结果：第一种结果，风险的潜在因素受到有效控制，最终消失，风险被化解。 第二种结果，监控系统无法阻止风险发生，说明风险控制体系存在漏洞，需及时修改补充风险清单，更新风险管理计划，

31、并及时采取纠正措施。 第三种情况，控制系统失控，风险意外爆发，说明风险未能被清晰识别，应将该风险的过程存档，纳入风险清单，然后总结教训，更新组织过程资产，以便提高今后风险识别的能力。同时为应对风险后果将引起一系列连锁反应，应该及时变更或调整项目管理各项计划。 风险的管理计划 风险管理计划是风险控制的依据，它由五个部分组成：风险识别计划：建立常设的风险信息处理系统，负责采集分析风险因素，设法识别那些隐性的风险，外部的风险和潜在的风险，并设置数量化的风险预警指标，以便于实施监控。对风险发生的几率、原因、危害、特征、发展趋势进行综合分析，形成风险识别清单，为决策提供参考。风险防范计划：建立规章制度，预防那些显性的常规风险和内部管理风险。例如与技术人员签订保密协议和非竞争性协议（离职之后在规定时段内不得从事竞争性行业），建立技术档案制度，以防止由技术骨干跳槽引起的技术风险；制定操作规程以防范质量故障；建立管理人员问