风险管理指南

风险管理指南

TOC\o"1-2"\h\z\u1. 目的 22. 合用范畴 23. 术语 24. 项目风险管理描述 24.1. 风险分类 24.2. 风险识别 34.3. 风险分析 44.4. 风险解决和减缓活动 55. 风险监控 66. 附录 66.1. 项目风险分析列表 66.2. 参考资料 97. 修订统计 9

目的描述项目进行过程中可能产生的风险的识别办法，制订防止风险的方法，及风险发生时的解决办法，供项目策划时根据具体项目的状况选择或裁剪使用。由此拟定项目采用科学的风险识别办法，制订具体的防止方法和解决办法，以避免风险的发生，或者当风险发生时，将损失减小到最低程度。

合用范畴合用于公司的全部合同项目和产品项目,风险管理贯穿于项目的整个生命周期。

术语项目风险：指项目中不利事件发生的不拟定性。软件风险：指软件开发过程中及软件产品本身可能造成的伤害或损失。风险管理：对项目风险进行识别、分析和解决的过程。

项目风险管理描述为了管理项目可能存在的风险，在进行项目策划时，需要进行风险分析，并制订风险管理计划，该计划可作为项目计划的一部分。风险管理应贯穿于项目工程的始终，它不是项目经理一人的任务，也不是一次性的任务，而是一种迭代的过程，任一项目组员都有责任进行风险管理。制订风险管理计划涉及：风险识别、风险分析、风险解决、风险跟踪。风险分类要进行风险管理，先明确项目风险怎么分类。按内容分范畴风险：与范畴变更有关的风险；质量风险：影响按照规定的技术性能和质量水平完毕任务；进度风险：影响在预算的时间范畴内完毕任务；成本风险：影响在预算的成本范畴内完毕任务；技术风险：技术变化；法律风险：许可权、专利、合同失效、诉讼、不可抗力；外部可预测风险：市场风险（原材料可运用性、需求）、日常运作（维修需求）、环境影响、社会影响、货币变动、通货膨胀、税收；外部不可预测风险：规章（不可预测的政府干预）、自然灾害；内部非技术风险：战略风险（公司的经营战略发生了变化）、管理风险（公司管理人员与否成熟等）。按可拟定性分已知风险：如现在测试环境不能满足顾客真实使用环境的模拟。可预知风险：如使用技术存在的缺点。不可预知风险：如外购进口设备运输途中可能出现的不能如期达成或损坏的风险。

风险识别风险识别是管理风险的第一步，即识别整个项目过程中可能存在的风险。普通是根据项目的性质，从潜在的事件及其产生的后果和潜在的后果及其产生的因素来检查风险。收集、整顿项目可能的风险并充足征求各方意见后形成项目的《风险和问题跟踪列表》。【过程管理平台中，填写和维护“风险列表”。】要进行风险识别的阶段在项目开始、每个阶段一开始、重要范畴变更同意之前都要进行风险识别，事实上它在整个项目生命周期内都是一种持续的过程。风险事件或风险来源要识别风险，就应当理解在项目各个阶段都有可能发生哪些风险。以软件开发为例：

初始阶段这个阶段涉及立项和需求分析及《软件需求规格阐明书》的设计（大部分业务建模和需求、少部分分析设计）。可能的风险事件有：项目目的不清；项目范畴不明确（范畴太大太小都不能够）；顾客参加少或和顾客沟通少；对业务理解不够；对需求理解不够等。

设计阶段在这个阶段进行总体设计和具体设计。可能的风险事件有：项目队伍缺少经验，如缺少有经验的系统分析员；没有变更控制计划，以至于变更没有根据，该变更的不变，不该变的也变，这样得来的设计势必会失败或者偏离顾客需求；仓促计划，可能带来进度方面的风险；漏项，由于设计人员的疏忽某个功效没有考虑进去等。

实施阶段在这个阶段进行大部分编码和测试，可能有设计变更或补充设计。可能的风险事件有：开发环境没有含有好；设计错误带来的实施困难；程序员开发能力差，或程序员对开发工具不熟；项目范畴变化（忽然要增加或修改某些功效，需要重新考虑设计）；项目进度变化（规定提前完毕任务等）；人员离开，在一种项目内软件开发工作有一定的持续性，需要移交和交接，有时人员离开对项目的影响会很大；开发团体内部沟通不够，造成程序员对系统设计的理解上有偏差；没有有效的备份方案；没有切实可行的测试计划；测试人员经验局限性；没有进行可行性研究等。

收尾阶段在这个阶段进行安装及维护（大部分布署）。可能的风险事件有：质量差；客户不满意；设备没有准时到货；资金不能回收；客户返馈意见引发大的变更等。风险识别的办法不同项目可能发生的风险事件不同，应当对具体项目识别出真正有可能发生在该项目的风险事件。风险识别的有效办法有诸多，如：

建立风险项目检查表：能够从下列几方面来检查，产品规模风险，业务影响风险，与客户有关的风险，过程风险，技术风险，开发环境风险，与人员的模式和经验有关的风险。

建立因果分析图。

征求意见：就项目可能存在的问题和不拟定因素，征求项目构组员的意见。

参考以往项目的风险状况。

提问的方式：针对所识别的潜在风险，采用提问的方式拟定与否应认定为风险。拟定所识别的风险类型软件项目普通有以下五类风险：规模风险：项目产品本身（大系统和小系统）或由项目团体引发的风险；项目的风险是直接与产品的规模成正比的。风险因素有：预计产品的规模的办法（代码行，功效点，程序或文献的数目），产品规模预计的信任度，产品规模与以前产品规模平均值的偏差，产品的顾客数，复用的软件有多少，产品的需求变化多少。需求风险：不拟定的客户需求引发的风险。诸多项目在拟定需求时都面临着某些不拟定性。当在项目早期的需求不拟定性在项目进展过程当中得不到解决时，就会对项目的成功造成很大威胁。与客户有关的风险因素有：对产品缺少清晰的认识，对产品需求缺少认同，在做需求中客户参加不够，没有优先需求，由于不拟定的需要造成新的市场，不停变化需求，缺少有效的需求变化管理过程，对需求的变化缺少有关分析。有关性风险：项目的外部环境或因素的有关性产生的风险。我们经常不能较好地控制外部的有关性，因此缓和方略应当涉及可能性计划，方便从第二资源或协同工作资源中获得必要的构成部分，并且察觉潜在的问题。与外部环境有关的因素有：客户供应条目或信息，内部或外部转包商的关系，交互组员或交互团体依赖性，经验丰富人员的可得性，项目的复用性；管理风险：组织本身的管理水平、能力成熟度引发的风险。应定义项目追踪过程并且明晰项目角色和责任，以能解决这些风险因素：计划和任务定义不够充足，实际项目状态，项目全部者和决策者分不清，不切实际的承诺，员工之间的冲突。技术风险：由人员的技术水平和经验、使用的工具和技术的成熟度等引发的风险。在早期，识别风险从而采用适宜的防止方法是解决风险领域问题的核心，例如：培训、雇佣顾问以及为项目团体招聘适宜的人才等。重要有下面这些风险因素：缺少培训，对办法、工具和技术理解的不够，应用领域的经验不够，新的技术和开发办法，不能对的工作的办法。

风险分析风险分析是对识别出来的风险事件做风险影响分析，拟定避免或减轻风险的方略及方法以达成减少风险，确保项目顺利进行的目的。对拟定的风险事件还要进行描述，如：可能性、可能后果范畴、预计发生时间、发生频率等。和风险有关的因素和风险有关的重要四个因素：风险事件，破坏或影响项目的事件风险概率（%），事件发生的可能性风险得失量（金额），阐明可能造成的损失风险影响（周），等于风险概率×风险得失量周。风险分析环节风险分析要拟定每个风险对项目的影响大小，普通是对已经识别出来的项目风险进行量化预计。通过对风险及风险的互相作用的估算来评价项目可能成果的范畴，从成本、进度及性能三个方面对风险进行评价。评价风险影响：指一旦风险发生可能对项目造成的影响大小。如果损失的大小不容易直接预计，能够将损失分解为更小部分再评定它们。风险影响可用相对数值表达，建议将损失大小折算成对计划影响的时间表达。预计风险概率：它是风险发生可能性的比例表达，是一种主观判断。计算风险值和和风险等级：它是评定风险的重要参数。“风险值”=“风险概率”ד风险影响”。如：某一风险概率是25%，一旦发生会造成项目计划延长4周，因而，风险值=25%×4周=1周。风险等级（分为1级、2级、3级）。拟定风险优先级。哪些风险事件或来源能够避免，哪些能够无视不考虑（涉及能够承受），哪些要采用应对方法。

风险分析办法拟定型风险的分析办法：盈亏平衡分析（计算和分析产量、成本和盈利这三者之间的关系）；敏感性分析（考察与软件项目有关的一种或多个重要因素发生变化时对该项目投资价值指标的影响程度）；概率分析（运用概率论及数理统计办法，来预测和研究多个不拟定因素对软件项目投资价值指标影响的一种定量分析）。不拟定型风险的分析办法：有小中取大原则、大中取小原则、遗憾原则、最大数学盼望原则、最大可能原则。随机型风险的分析办法：最大可能原则、最大数学盼望原则、最大效用数学盼望原则、贝叶斯后验概率法等。建立风险跟踪列表当风险分析完毕后，将风险名称、风险的分类、风险值、风险等级和排出的风险优先级统计到《风险和问题跟踪列表》中的“风险跟踪列表”部分。【在过程管理平台中，填写和维护“风险列表”。】一旦完毕了《风险和问题跟踪列表》，就能够根据概率及影响来进行综合考虑，风险影响和出现概率从风险管理的角度来看，它们各自起着不同的作用。一种含有高影响但低概率的风险因素不应当占用太多的风险管理时间，但含有中到高概率、高影响的风险和含有高概率及低影响的风险，就应当进行风险解决。

风险解决和减缓活动当完毕了风险分析后，就已经拟定了项目中存在的风险以及它们发生的可能性和对项目的风险冲击，并可排出风险的优先级。就能够根据风险性质和项目对风险的承受能力制订对应的防止方法和解决办法的计划，即风险解决和减缓。对每个高优先级风险，项目组都要制订出解决和减缓风险的活动计划。风险规避的方略一旦监视到风险，就应采用合理方法进行风险规避，能够从变化风险性质、变化风险发生的概率、变化风险的影响大小等多方面着手。风险规避的方略普通有：避免：通过分析找出来发生风险事件的因素，消除这些因素来避免某些特定的风险事件发生。如避免客户不满意，可采用这些方法，客户参加业务建模阶段，需求阶段要多和客户沟通，理解客户真正的需求，目的系统的模型或DEMO系统要向客户演示，并得到反馈意见，如果反馈的意见和DEMO系统出入比较大时，一定要将修改后的DEMO系统在次向客户演示，直到双方都达成共识为止，要有双方承认的验收方案和验收原则，做好变更控制和配备管理。减缓：通过减少风险事件发生的概率或得失量来减轻对项目的影响。如通过风险识别发现，项目组的程序员对所需开发技术不熟。能够采用熟悉的技术来减缓项目在成本或进度方面的影响。也能够事先进行培训来减缓对项目的影响接受：接受风险造成的后果。如自然灾害造成的风险，在一种大的软件项目中，为了避免自然灾害造成的后果，考虑异地备份中心。转移：使用合作伙伴、项目外包、保险与担保等手段来转移风险的办法，以减轻风险对项目带来的影响。回避：当项目风险潜在威胁的可能性极大，并会带来严重的后果，无法转移又不能承受时，通过变化项目来规避风险。普通会通过修改项目目的、项目范畴、项目构造等方式来回避风险的威胁。后备方法：重要体现在后备费用、预留进度时间、后备技术力量三个方面，这些后备方法在项目计划中就应预留，确保在项目实施过程中，能充足调用后备力量解决问题。制订风险规避计划针对需要采用规避方略的风险事件，要制订规避计划，一旦发生风险事件，就实施规避计划。例如：在一种软件开发项目中，某开发人员有可能离职，离职后会对项目造成一定的影响，则应当对这个风险事件开发应对计划，过程能够参考以下：进行调研，拟定流动因素。在项目开始前，把缓和这些流动因素的工作列入风险管理计划。项目开始时，做好计划一旦人员离开时便可执行，以确保人员离开后项目仍能继续进行。制订文档原则，并建立一种机制，确保文档及时产生。对全部工作进行细微详审，使更多人能够按计划进度完毕自己的工作。对每个核心性技术人员培养后备人员。在考虑风险成本之后，决定与否采用上述方略。风险管理报告无论项目进展的状况如何，都必须将风险管理的计划、行动、成果统计到《风险和问题跟踪列表》,在过程管理平台中填写和维护“风险列表”。风险管理的持续性规定《风险和问题跟踪列表》的连贯性和不间断性，因此，该报表为项目的实施、控制、管理、决策提供信息基础。对于项目采用的特殊的风险管理问题和方法，可在项目/开发计划的风险管理部分阐明，参见《项目/开发策划书》，也能够形成单独的风险管理计划文档。

风险监控制订了风险防备计划后，风险并非不存在，在项目推动过程中还可能会增大或者衰退。因此，在项目执行过程中，需要时刻监督风险的发展与变化状况，并拟定随着某些风险的消失而带来的新的风险。

风险监控涉及两个层面的工作：其一是跟踪已识别风险的发展变化状况，涉及在整个项目周期内，风险产生的条件和造成的后果变化，衡量风险减缓计划需求。其二是根据风险的变化状况及时调节风险应对计划，并对已发生的风险及其产生的遗留风险和新增风险及时识别、分析，并采用适宜的应对方法。对于已发生过和已解决的风险也应及时在《风险和问题跟踪列表》进行统计,在过程管理平台中填写和维护“风险列表”。

风险贯穿于项目的整个生命周期中，因而风险管理是个持续的过程，建立良好的风险管理机制以及基于风险的决策机制是项目成功的重要确保。风险管理是项目管理流程与规范中的重要构成部分，制订风险管理规则、明确风险管理岗位与职责是做好风险管理的基本保障。

附录项目风险分析列表风险分类潜在风险因素规避方法建议商业风险合同类型风险合同的约束风险合同中与第三方的合作风险主承包商风险子承包商风险有关承包商风险协作管理方风险卖方因素风险政治因素风险目的、范畴不明确，不知项目何时终止规范销售、采用原则合同、工作任务书模板。订立补充合同、阐明、备忘录客户方风险客户的技术素养局限性客户的承诺风险客户内部对需求理解不一致客户的需求不明确对客户需求变化缺少控制机制客户需求频繁变更客户需求发生重大变化无法与客户就交付形式、交付时间和交付内容达成共识客户对软件产品不承认，不在交付清单和试运行报告上签字客户不验收或迟延验收客户盼望与产品功效差距太大，客户反映强烈高级工程师介入售前，提供业务咨询、实施方略、方案设计等支持，尽量不开空头支票。变通解决、说服客户、减少客户需求。客户对实施人员、最后应用效果不满意、发生投诉的状况。实施工程师认证上岗制度，提高实施工程师的素质和工作能力；对项目实施质量管理，由高级工程师对方案进行审核；及时更换实施工程师、由高级工程师对方案进行优化调节人力资源风险人员时间和精力不能满足人员的质量意识不强人员的协作意识不强人员的沟通意识不强人员的主动性不够人员没有接受过必要的培训人员不稳定，发生变动在项目构成立时规定全部项目构组员保持固定；健全项目构组员的激励方法。发生人员变动前及早安排其它人员接替工作，离开时办理工作交接。人员数量紧张软硬件资源和环境风险缺少必要的软件硬件设备不含有测试所需的资源规定和安排不能满足测试环境准备不充足核心计算机资源（指对计算机内存和硬盘空间这些资源可能超出现在可能提供的数量这种风险）进度风险项目时间紧张来自项目进度监控的风险软件产品生命周期各个阶段发生进度延迟项目计划任务不明确，进度安排和资源配备不合理计划没有得到切实执行，实施进度延期，不能如期完毕阶段工作制订计划时尽量考虑全方面，留有余地；获得客户高层的支持和推动，克服障碍；及时调节下步计划，并将计划调节因素形成备忘录，提交客户确认。如涉及到工作量的增加，考虑与否追加实施费用。成本风险项目费用与否超出预算与否有足够的资金可用技术风险系统所采用的软件技术风险系统所采用新技术系统所采用的技术与否成熟项目经理、项目人员技术能力局限性专利风险软件需求阶段过程风险需求的范畴界定需求的稳定性（能否获得客户对需求文档的承诺，以确保客户不随便变更需求）需求的完整性需求的清晰性(需求与否含糊不清）需求的合理性需求的可行性需求的可描述性（文档能否对的、完备地体现顾客需求）需求开发人员对项目所涉及的具体业务以及对顾客需求的理解没有对的理解客户需求没有适宜的需求分析办法和建模工具需求的变更实施范畴在工作任务书中明拟定义；需求调研成果进行确认；需求、实施范畴的调节必须执行项目变动控制程序、考虑与否追加实施费用、订立补充合同软件设计阶段过程风险设计的功效性设计的难度设计的接口设计的性能设计的易测性设计的硬件约束设计的可实现性编码及单元测试的可行性设计方案与否能满足客户需求设计的变更软件的易用性软件的可扩展性软件编码阶段过程风险源代码书写的规范性源代码的可读性单元测试覆盖率代码管理风险软件测试阶段过程风险集成测试的环境风险测试范畴不合理，无法明拟定义测试项测试用例的选择缺少代表性、不完备测试人员的培训不充足测试所需的资源规定和安排不能满足软件维护过程风险工程特性的可维护性工程特性的可靠性工程特性的保险方法工程特性的安全性质量风险软件产品出现功效性错误软件产品出现性能问题单元测试问题报告数量过多各单元模块集成后，整个系统出现重大问题系统的某些性能指标不能达成客户需求明拟定义的验收指标软件产品复制过程中发生质量问题系统出错甚至数据丢失完善产品、上线前的测试、建立规范操作、数据备份等系统运行制度。其它风险公司高级管理层对本项目不够重视人员管理风险配备管理风险无法对的标记本项目的风险不能对的评价项目风险选择的风险对策不能有效地化解或减轻风险无法发现风险管理计划中风险识别、风险评价、风险方略的问题项目失败造成的市场风险提供适宜的、稳定的产品；按实施办法论规范实施；合同、工作任务书的定义和约束：目的、范畴、客户方的责任。宣传成功案例，抵消项目失败的负面影响；总结教训参考资料《风险管理——软件系统开发办法》，ElaineM.Hall著，王海鹏周靖译，清华大学出版社，9月《项目风险管理》，卢有杰等著，清华大学出版社，1998年7月《CMMImplementationGuide:ChoreographingSoftwareProcessImprovement》K