第讲软件项目风险管理

1、涉及章节：第10章 风险管理 P171193第10章 项目风险管理10.2 风险识别10.3 风险评估 10.4 风险规划 10.5 风险控制 10.1 概述 10.6 本章小结10.7 案例分析 第10章 项目风险管理1 软件项目风险管理概述风险定义美国软件工程研究所将风险定义为损失的可能性。三要素：事件、事件发生的概率、事件的影响风险同人们有目的的活动有关，同未来的活动有关，同人们变化的行为方式有关。已知的、可预测的、不可预测的风险具有两大属性：可能性和损失，可能性是风险发生的概率，损失是指预期与后果之间的差异，我们用可能性(Likelihood)和损失(Loss)的乘积来记录风险损失。风

2、险的根源在于事物的不确定性，虽然无法避免不确定性，但是可以通过适当的方法对其进行控制与管理。软件风险及其分类软件风险是有关软件项目、软件开发过程和软件产品损失的可能性。项目风险技术风险商业风险软件项目风险软件过程风险软件产品风险1 软件项目风险管理概述风险（范围角度）软件风险导致软件风险的原因进度过分紧迫；预算过分紧张；性能过分的超群，软件可靠性要求过高；人员缺乏经验，组织结构不适宜；期望过高而不现实；没有明确或理解合同的条款；软件规模估计不恰当；管理部门缺乏经验；风险分析和管理不恰当；缺乏政策性支持；不熟悉技术或过程；不熟悉必要的硬件；需求不一致（或定义不充分）；需求不断变动；软件开发计划不

3、恰当；软件开发过程模型不适用；缺乏软件工程技术和方法；缺乏自动化工具的支持1 软件项目风险管理概述风险管理风险管理是指在项目进行过程中不断对风险进行识别、评估、制定策略、监控风险的过程。通过风险识别、风险分析和风险评价去认识项目的风险，并以此为基础合理地使用各种风险应对措施、管理方法、技术和手段对项目的风险进行有效的控制，妥善处理风险事件造成的不利后果，以最小的成本保证项目总体目标的实现。风险管理的四个过程风险管理策略有两种： 救火模式和主动模式1 软件项目风险管理概述风险识别风险评估风险规划风险控制风险管理的四个层次风险管理可以分为四个层次： 危机管理：是在风险已经造成麻烦后才着手处理它们。

4、风险缓解：事先制定好风险发生后的补救措施，但不制定任何的防范措施。着力预防：将风险识别与风险防范作为软件项目的一部分加以规划和执行。消灭根源：识别和消灭可能产生风险的根源。1 软件项目风险管理概述内容提要10.2 风险识别10.3 风险评估 10.4 风险规划 10.5 风险控制 10.1 概述 10.6 本章小结 10.7 案例分析 2 风险识别风险识别 或称风险辨识，是试图通过系统化的方法寻找可能影响项目的风险（已知的和可预测的）以及确认风险特性的过程。风险识别的目标是：辨识项目面临的风险，揭示风险和风险来源，以文档及数据库的形式记录风险。风险识别活动包括：风险识别方法的确定；风险定义及分

5、类；风险文档编写。风险识别的输入、输出可能是项目的WBS、工作的陈述（Statement Of Work，SOW）、项目相关信息、项目计划假设、历史项目数据，其他项目经验文件、评审报告、公司目标等。风险列表2 风险识别输入标识风险评审风险输出风险识别参与人员、识别方法参与人员：项目组成员风险管理人员学科专家（组织内）客户项目的其他管理人员外部专家识别方法：德尔菲方法头脑风暴法情景分析法面谈法会议法SWOT分析法风险条目检查表2 风险识别风险识别方法德尔菲（Delphi）法德尔菲方法又称专家调查法，它起源于20世纪40年代末期，最初是美国兰德公司首先使用，很快就在世界上盛行起来，目前此法的应用已

6、遍及经济、社会、工程技术等各领域。我们在进行成本估算的时候也用到这种方法。用德尔菲方法进行项目风险识别的过程，是由项目风险小组选定与该项目有关的领域专家，并与这些适当数量的专家建立直接的函询联系，通过函询收集专家意见，然后加以综合整理，再匿名反馈给各位专家，再次征询意见。这样反复经过四至五轮，逐步使专家的意见趋向一致，作为最后识别的根据。 2 风险识别风险识别方法头脑风暴法召开项目组全体会议，进行关于项目风险的自由讨论，项目组成员在主持人的引导下完全自由地发言，不受限制，产生关于项目风险的概念。该方法是一种智力爆发的方法，因此项目经理和技术权威不太适合参加这种讨论。同时还应坚持不进行过多讨论，

7、不对别人的意见进行判断性评论，甚至明确不许使用身体语言表达评判意见，如：咳嗽、冷笑等。这样做的目的是最大限度地发挥民主，搜集来自各方面的意见。意见可以是多余的，但尽可能不要遗漏任何重要信息。然后风险管理人员将会议结果进行分类整理，作为风险的基础和其他风险识别方法的结果一起提交风险分析。一般在识别活动的早期进行。2 风险识别风险识别方法情景分析法情景分析法是根据项目发展趋势的多样性，通过对系统内外相关问题的系统分析，设计出多种可能的未来前景，然后用类似于撰写电影剧本的手法，对系统发展态势做出自始至终的情景和画面的描述。当一个项目持续的时间较长时，往往要考虑各种技术、经济和社会因素的影响，对这种项

8、目进行风险预测和识别，就可用情景分析法来预测和识别其关键风险因素及其影响程度。2 风险识别风险识别方法风险条目检查表风险条目检查表是利用检查表作为风险识别的工具，是一种最常用也是比较简单的风险识别方法，它是利用一组提问来帮助管理者了解项目在各方面有哪些风险。在风险条目检查表中，列出了所有可能的与每一个风险因素有关的提问，使得风险管理者集中来识别常见的、已知的和可预测的风险(如产品规模风险、依赖性风险、需求风险、管理风险及技术风险等)。 风险条目检查表一般根据风险要素进行编写，建立软件项目的风险条目列表，包括项目的环境、管理层的重视度、技术情况以及内部因素(如团队成员的技能或技能缺陷等)。 2

9、风险识别风险识别的结果2 风险识别内容提要10.2 风险识别10.3 风险评估 10.4 风险规划 10.5 风险控制 10.1 概述 10.6 风险管理实践 10.7 本章小结 3 风险评估风险评估又称风险预测，就是对识别出的风险做进一步分析，对风险发生的概率进行估计和评价，对风险后果的严重程度进行估计和评价，对风险影响范围进行估计和评价，以及对于风险发生时间进行估计和评价。风险评估可采用定性风险评估和定量风险评估来进行。风险评估过程风险评估过程如下： 确定风险类别确定风险驱动因素判定风险来源定义风险度量准则预测风险影响评估风险对风险进行排序将风险分析结果归档分析风险发生的概率，确定发生的可

10、能性（P）风险后果，发生后对项目目标的影响（I）风险值，风险的严重程度R=F(P,I)确定优先次序按风险的严重性排序确定最需要关注的TOP 10风险3 风险评估风险评估的方法定性风险评估定性风险评估主要是针对风险概率及后果进行定性的评估。例如采用历史资料法、概率分布法、风险后果估计法等。历史资料法主要是应用历史数据进行评估的方法，通过同类历史项目的风险发生情况，进行本项目的估算。 3 风险评估定性风险评估风险概率风险概率值： 1（确定）风险概率度量：高、中、低极高、高、中、低、极低不可能，不一定，可能和极可能3 风险评估定性风险评估风险后果（影响）风险后果风险影响项目目标的严重程度从无影响到无

11、穷大风险后果度量高、中、低极高、高、中、低、极低灾难，严重，轻微，可忽略3 风险评估定性风险评估前10位首要风险列表3 风险评估风险当前优先级别以前优先级别进入前10名的周数行动计划状态风险等级不断增长的用户需求115利用用户界面原型收集高质量的需求；将需求置于明确的变更控制之下高无法按进度表完成262要避免在完成需求分析之前对进度做出约定；在早期进行评审，以发现并解决问题；在项目进行过程中，要对进度表反复估计；增加项目组成员高项目分包商无法提供合格产品351要对分包商的技术实力与信誉度充分评估；合同一定要明确双方的责、权、利高410定性风险评估风险列表示例3 风险评估 风险评估的方法定量风险

12、评估定量风险评估是一种广泛使用的管理决策支持技术。一般，在定性风险分析之后就可以进行定量风险分析。定量风险分析过程的目标是量化分析每一个风险的概率及其对项目目标造成的后果，也分析项目总体风险的程度。定量风险评估可以包括以下方法：访谈因果关系分析决策树分析模拟法3 风险评估定量风险评估访谈确定概率分布模型领域专家访谈，信息采集-2SD+2SD-3SD-1SD+1SD+3SD68.3%95.5%99.7%ET=E+1SD =13.5+1.07=14.5P=50%+68.3%/2 =85%基于正态分布进度风险评估3 风险评估定量风险评估因果关系分析3 风险评估因果关系分析法鱼骨图 定量风险评估决策树

13、分析决策树分析是一种图表分析方法提供项目所有可供选择的行动方案，行动方案之间的关系，行动方案的后果以及发生的概率提供选择一个最佳的方案的依据损益期望值(Expected Monetary Value，EMV)是决策树的一种计算值，根据风险发生的概率计算例如：某行动方案成功的概率是50%，收益是10 EMV=1050%=53 风险评估决策树分析练习利用决策树风险分析技术来分析如下两种情况的，以便决定你会选择哪种方案：（要求画出决策树）方案1：随机投掷硬币两次，如果两次投掷的结果都是硬币正面朝上，你将获得10元；投掷的结果背面每朝上一次你需要付出1.5元。方案2：随机投掷硬币两次，你需要付出2元；

14、如果两次投掷的结果都是硬币正面朝上，你将获得10元。3 风险评估决策树分析练习答案0.2510=$2.5元0.5-1.5=-$0.75元0.25-3=-$0.75元 G_A：EMV=10.258=$2元0.5-2=-$1元0.25-2=-$0.5元10元-1.5元8元=10-2-2元-2元-3元G_B：EMV=0.53 风险评估内容提要10.2 风险识别10.3 风险评估 10.4 风险规划 10.5 风险控制 10.1 概述 10.6 本章小结 10.7 案例分析4 风险规划针对风险分析的结果，为提高实现项目目标的机会并降低风险的负面影响而制定风险应对策略和应对措施的过程，即通过制定一系列的

15、行动和策略来对付、减少以至于消灭风险事件。主要应对策略回避风险转移风险接受风险缓解风险主要应对策略回避风险回避风险是对所有可能发生的风险尽可能的规避，采取主动放弃或者拒绝使用导致风险的方案。例如放弃采用新技术。注意事项对风险有足够的认识当其他风险策略不理想的时候，可以考虑可能产生另外的风险不是所有的情况都适用的4 风险规划主要应对策略转移风险、接受、缓解风险转移风险是为了避免承担风险损失，有意识将损失或与损失有关的财务后果转嫁出去的方法：例如出售、分包、开脱责任合同、保险。接受风险主动接受、被动接受缓解风险风险前缓解和风险后缓解。类型：之前采取相应措施，如提高人员待遇事先计划4 风险规划主要应

16、对策略解决人员频繁流动风险的策略人员的频繁流动是一项风险，基于过去的历史和管理经验，频繁流动可能性的估计值为70%，开发时间增加15%，总成本增加12%，为了缓解这一风险，项目经理应采取的策略是：与现有人员讨论人员流动的原因项目启动时，做好会出现人员流动的准备，采取一些技术以确保人员的一旦离开后，项目仍然能继续建立良好的项目组织和通信渠道，以使大家能够了解每个有关的开发活动的信息指定文档标准并建立相应的机制，以保证文档能够及时建立对所有工作组织细致的评审，使大多数人能够按计划进度完成自己的工作4 风险规划风险规划的结果项目风险计划或风险管理方案。风险计划应该提供一个风险分析表，包括：项目风险的

17、来源、类型项目风险发生的可能时间、范围项目风险事件带来的损失项目风险可能影响的范围 4 风险规划风险计划中采取的措施排序输入风险事件可能性影响风险采取的措施1系统设计评审没有足够的时间进行产品测试70%50%35%采取加班的方法修改计划去掉一些任务与客户商量延长一些时间2WBS对需求的开发式系统标准没有合适的测试案例20%80%16%找专业的测试公司完成测试工作3需求和计划采用新技术可可能导致进度的延期50%30%15%培训开发人员找专家作指导采取边开发边学习的方法，要求他们必须在规定的时间内掌握技术4 风险规划内容提要10.2 风险识别10.3 风险评估 10.4 风险规划 10.5 风险控

18、制 10.1 概述 10.6 本章小结 10.7 案例分析 5 风险控制风险控制通过对风险的规划和对项目全过程的控制，保证风险管理能达到预期的目标。风险控制是项目实施过程的一个重要工作，其目的是核对风险管理的策略和实施的实际效果是否和预见相同，同时获取反馈信息，改善风险计划和管理。风险管理描述的是整个项目生存期中风险识别、风险评估、风险规划和风险控制是如何架构和执行的。在项目的进行过程中，需要不断地进行风险控制。风险管理是一个连续的过程5 风险控制风险管理推荐的措施软件项目计划包括风险管理计划选定风险管理负责人使用TOP TEN风险清单，主要的风险管理工具为每项风险制订风险管理计划建立匿名风险汇报渠道风险