风险分析和管理

风险分析和管理第一页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室2

第6章风险分析和管理

6.1被动和主动的风险策略6.2软件风险6.3风险识别6.4风险预测6.5风险缓解、监控和管理6.6RMMM计划第二页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室3风险分析和管理RobertCharette［CHA89］在他的关于风险分析及管理的书中给出了风险概念的定义是：首先，风险关注未来将要发生的事情。今天和昨天已不再被关心。未来什么样的风险会导致软件项目彻底失败？其次，风险涉及改变，如思想、观念、行为、或地点的改变。客户需求、开发技术、目标环境以及所有其他与项目相关因素的改变……第三，风险涉及选择及选择本身所包含的不确定性。选择应该采用什么方法及工具？需要多少人员参与？….第三页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室46.1被动风险策略和主动风险策略被动风险策略从不担心发生任何问题，问题发生后再做出反应。软件项目组对存在的风险不闻不问，直到出了问题才赶紧采取措施，当种种努力失败后，项目处于真正的危机之中。主动风险策略项目开始时就预测、标识项目存在的各种风险，评估风险发生的概率和影响的大小並按重要性进行排序；项目组建立风险管理计划和意外事件处理计划，以便预防风险，及时处理突发事件。第四页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室56.2软件风险进行风险分析时，重要的是量化每个风险的不确定程度和损失程度。项目风险项目风险是指预算、进度、人员、资源、利益相关方、需求等方面的潜在问题以及它们对软件项目的影响。项目风险威胁到项目计划。技术风险技术风险是指设计、实现、接口、验证和维护等方面的潜在问题。技术风险威胁到要开发软件的质量及交付时间。商业风险商业风险威胁到要开发软件的生存能力。第五页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室66.2软件风险Charette【CHA89】提出的风险分类方式：已知风险通过仔细评估项目计划、开发项目的商业及技术环境以及其他可靠的信息来源之后可以发现的那些风险。可预测风险能够从过去项目的经验中推断出来的风险。不可预测风险可能会真的出现，但很难事先加以识别的风险。第六页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室76.2软件风险软件风险和其它风险一样存在不确定性,有些是很难预测的。对风险的不确定性进行量化，估算某一风险可能带来的损失。除关注软件项目的一般性风险外，还要关注软件项目的特殊风险，如项目的背景、特殊要求、关键内容、薄弱环节、技术难点、人员状况、工作环境等。

第七页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室86.3风险识别识别风险是试图系统化地确定对项目计划(估算、进度、资源分配)的威胁。通过识别已知的和可预测的风险，项目管理者已经迈出了第一步——在可能时避免这些风险，且当必要时控制这些风险。第八页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室96.3风险识别对侍风险不能采取回避态度项目开始时应对一般风险和产品特定风险进行系统标识，並随着项目的展开不断更新。一般风险对每一个软件项目而言都是潜在的威胁。产品特定风险只有那些对当前项目特定的技术、人员及环境非常了解的人才能识别出来。“本产品中有什么特殊的特性可能会威胁到我们的项目计划？”第九页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室106.3风险识别识别风险的有效方法－－建立风险条目检查表为了帮助项目管理人员、项目规划人员,全面了解软件开发过程存在的风险，

Boehm建议设计并使用各类风险检测表，表中条目指明,常見並可预测的风险。有些风险可以预料，有些很难预料。一般可预测风险产品规模、商业影响、客户、过程、技术、环境、人员及经验等。第十页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室11

人员配备风险检测表(1)开发人员的水平如何。(2)开发人员在技术上是否配套。(3)开发人员的数量如何。(4)开发人员是否能够自始至终地参加软件开发工作。(5)开发人员是否能够集中全部精力投入到软件开发工作。(6)开发人员对自己的工作是否有正确的期望。(7)开发人员是否接受过必要的培训。(8)开发人员的流动是否能够保证工作的连续性。上述问题可以选用0,1,2,3,4,5来回答。完全肯定取值为0，反之为5，中间情况分别取值1,2,3,4值越大表示风险越大。人员配备风险检测表反映了人的因素给软件项目带来的风险。6.3风险识别第十一页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室126.3.1评估整体项目风险高层的软件管理者和客户管理者已经正式承诺支持该项目了吗？最终用户对项目和待开发的系统/产品热心支持吗？软件工程团队及其客户充分理解需求吗？客户已经完全地参与到需求定义中了吗?最终用户的期望现实吗？项目范围稳定吗？软件工程团队的技能搭配合理吗?项目需求稳定吗？项目团队的人员数满足项目需要吗？所有的客户/用户对项目的重要性和待开发的系统/产品的需求有共识吗？第十二页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室136.3.1评估整体项目风险如果对上述问题的任何一个回答是否定的，则应务必启动缓解、检测和管理风险的步骤。项目的风险程度与对这些问题否定回答的数量成正比。第十三页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室146.3.2风险因素和驱动因子美国军方风险因素是以如下的方式定义的：性能风险——产品能够满足需求且符合其使用目的的不确定的程度。成本风险——项目预算能够被维持的不确定的程度。支持风险——软件易于纠错、适应及增强的不确定的程度。进度风险——项目进度能够被维持且产品能按时交付的不确定的程度第十四页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室15风险因素和驱动因子第十五页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室166.4风险预测风险预测又称为风险估计，试图从两个方面评估每一个风险：风险发生的可能性或概率；风险相关问题产生的后果；风险预测活动（目的：按照优先级来考虑风险）建立一个尺度，以反映风险发生的可能性；描述风险产生的后果；估计风险对项目及产品的影响；标明风险预测的整体精确度，以免产生误解。第十六页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室176.4.1建立风险表风险表给项目管理者提供了一种简单的风险预测技术(风险表应该采用电子表格来实现，这样使得表中的内容易于操纵及排序)。风险表的样本见P548.第十七页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室186.4.1建立风险表

风险类别概率影响RMMM123项目开始时应在第一列列出所有风险;第二列给出风险类别；第三列给出每种风险发生的概率；第四列给出各种风险产生影响的评估值；第五列给出风险缓解、监控和管理计划。第十八页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室196.4.1建立风险表评估值按风险因素：性能、支持、成本、进度的影响类别求加权平均值影响类别取值：灾难的1，严重的2，轻微的3，可忽略的4。对风险表中的风险按照发生概率大小、影响大小，由大至小排序。第十九页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室20建立风险表第二十页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室216.4.1建立风险表风险表排序一旦完成了风险表的前四列内容，就要根据概率及影响来进行排序。高发生概率、高影响的风险放在表的上方，而低概率风险则移到表的下方。这样就完成了第一次风险排序。项目管理者研究已排序的表，并定义一条中止线。该中止线(表中某一点上的一条水平线)表示：只有那些在线之上的风险才会得到进一步的关注。而在线之下的风险则需要再评估以完成第二次排序。第二十一页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室226.4.1建立风险表第二十二页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室236.4.2评价风险的影响风险影响三要素风险的性质

风险发生时可能产生的问题。风险的范围风险引发损失的分布及严重性。风险的时间

风险发生的时间、持续的时间，应注意这时项目所处的状态。2.6软件开发过程的管理第二十三页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室246.4.2评价风险的影响确定风险影响的步骤确定每个风险元素发生的平均概率按照给出的标准确定每个元素的影响填写风险表並分析其结果风险预测和分析技术可以在软件项目进展过程中反复使用，项目组应定期复查风险表，评估每一个风险，以此为基础判断风险发生概率及影响的变化。必要时可潻加新的风险元素，删去不存在影响的元素，並对风险表重新排序。2.6软件开发过程的管理第二十四页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室256.4.2评价风险的影响风险显露是风险事件的预期值，该值等于风险概率乘以风险事件的成本。整体的风险显露度RERE=PXCP:风险发生的概率；

C:风险发生时带来的项目成本；第二十五页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室266.4.2评价风险的影响风险预期值计算示例1：例：考虑掷两个骰子，假设摇出7为不期望事件，该事件将使你损失60元。试计算摇出7的风险概率和风险影响，计算风险预期值。解：风险概率为两个骰子所有的36种组合中的6种，或1/6.风险影响为60元。风险预期值为：1/6*60=10元第二十六页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室276.4.2评价风险的影响风险预期值计算示例2：例：考虑一个未发现错误的发生概率为0.5%的项目，该错误将使公司损失100000元，计算风险预期。解：风险预期为每种概率的风险预期之和。0.005X100000+0.995X0=500元第二十七页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室286.4.2评价风险的影响风险预期值计算示例3：例：考虑一个未复审的错误概率为0.5%的项目，该错误将使公司损失100000元。考虑对该项目使用附加评审方法，可以发现其中50％的错误，每个错误平均花费100元，试计算风险预期，该附加评审方法值得采用吗？解：未复审：0.005*100000=500

附加复审：

0.0025X100000＋0.9975X100

＝250.25＋99.75＝350<500附加评审方法值得采用.第二十八页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室29课外作业某公司的历史数据表明每KLOC的错误率为0.0036.一种新的评审技术表明每100KLOC价值1000元，并减少错误数50％。假设每个错误平均花费公司10000元。当前项目的大小估算为50KLOC。计算每种方法的风险预期（无评审和有评审），新的评审方法值得采用吗？解：无采用评审技术：

0.0036×50KLOC×10000+0.9964×0=$1800

采用新的评审技术：

0.0018×50KLOC×10000+500=$1400

或：0.0018×50KLOC×10000+0.9982×50KLOC*10=$1400新的评审技术值得采用第二十九页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室306.4.2评价风险的影响三元组［ri,li,xi］是风险管理的基础设高级职员流动给项目带来风险r1,

根据历史的经验或直观感觉，高级职员离开课题组的概率l1=70%,

这一风险导致事件x1发生

项目开发时间延长15%，成本增加20%．第三十页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室316.4.2评价风险的影响定义风险管理三元组[ri，li，xi]i=1,2,3…

其中：ri表示风险

li表示风险发生的概率

xi表示风险产生的影响对大多数软件项目，应该定义性能、成本、支持及进度的风险参考水平值，当某一风险或风险组合值超过水平值时项目被迫停止。第三十一页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室326.5风险缓解、监控和管理风险分析的目的协助项目组建立处理风险的策略。有效的风险处理策略风险避免；风险监控；风险管理及异常事件处理。风险缓解计划

软件项目组主动避免风险发生的最好策略。如，当人员流动被标识为一个较大的风险时，应建立一种对策降低人员流动。落实风险缓解计划

项目管理者应该对引发风险的因素和采取措施取得的效果进行监控;当风险发生时,采取积极的补救措施。第三十二页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室336.5风险缓解、监控和管理第三十三页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室34项目负责人采取的风险管理措施(1)项目开始前控制产生风险的原因。项目开工后应设法减轻风险的影响。(2)了解项目开发人员变动的原因，在项目开发期间应控制上述原因，尽量减少人员的流动。(3)在工作方法和技术上采取适当措施，防止因人员流动给工作带来损失。(4)项目在开发过程中应及时公布并交流项目开发的信息。(5)建立组织机构，确定文档标准、并及时生成文档。(6)对工作进行集体复审，使多数人都能了解工作的细节，跟上工作进度。(7)为关键技术准备后备人员。第三十四页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室356.6RMMM计划风险缓解、监控和管理计划

RiskMitigation,Monitoring,andManagementPlan

将风险分析工作文挡化，成为项目的一部分。执行RMMM计划需要成本当软件项目比较大时，可能标出30至40种风险，如果为每种风险定义3至7种风险管理步骤，则风险管理本身就是一个项目。将Pareto的20-80规则用于软件项目的风险标识，即20%的风险具有0.80的权，而其余的80%风险只有0.20的权。要善于标识属于20%的主要风险，降低RMMM计划的规模和复杂性。＝第三十五页，共四十页，2022年，8月28日2023/4/1集美大学信息教研室36RMMM计划大纲

计划大纲1.引言

1.1文挡的范围和目的

1.2主要风险综述

1.3责任

管理者

技术人员2.项目风险表

2.1中止线以上的风险描述

2.2影响概率及影响因素3.风险缓解、监控和管理