略谈项目风险界定
文/胡百师
在上一期的项目实践版块中我们已讨论了「为什么应该保留TOP 10 Risk List？」的议题，大家一定要建立一个正确的观念：项目的TOP 10 Risk List一定会随着项目的进行而改变，项目进行的每一个阶段，都有不同的风险须要去面对。保留TOP 10 Risk List应该是项目经理必须养成的管理习惯，这个好习惯也将成为项目的保命仙丹。这绝不是危言耸听，没有危机意识的项目经理，绝无可能管理好他的项目。
一个项目在进行时，既然会产生不同的风险，而且可能在同一个阶段「同时发现」好几个风险。这个时候限于有效可处理时间与人力的限制条件下，项目经理如何去辨识风险的优先等级？就变成一件颇有学问的事。如果，一个不小心产生判断疏失，下错了决定，可能为项目带来无法挽救的危机。到时候项目经理个人，将演变成项目的另外一个可怕的风险。
首先让我们来看看如何辨识风险？在未完成风险辨识前，是没有资格谈如何制定风险的优先等级的。一般而言有组织的项目管理团队，都会着手建立「项目风险来源与种类查检表」或类似的窗体。一定有人会问项目风险来源要如何产生？根据我多年的经验诚心的告诉各位，那是一种历史资料的汇整与长期经验积累的结晶，然后经过大伙的脑力激荡一条一条的贡献并记录下来，这是一份需要传承、延续与被维护的数据。这份数据因为行业别的不同、因为项目种类、特性的不同，会呈现出不同的结果，其中的关键技巧很难抄袭。不过其思考方向，不外乎从项目人力、客户需求、运用技术、组织架构、项目时程与成本、下包商能力等几方面进行思考。这份查检表最主要的目的，乃为了提供项目经理在执行项目之前(或之初)，能客观的去考虑项目在进行时可能产生的危机，进而辨识出项目的潜在风险内容。如果辨识出的风险不在查检表的范围内，则进行新增的工作，让查检表的内容得以更臻至善。这种方式对一个项目管理新手而言，在辨识项目的风险上是一个很好的方法。能够让首次独挑大梁的项目经理勇于面对项目危机，过往的前人经验传承信息是十分重要的资产。这就是在面对一项新工作时我们常喜欢问的：「老张，有没有以前的范例？之前你们都是怎么做的？」，有了指导方针之后，在风险管里的路途上才不容易迷失了方向。
上面这种提示法，对没有经验的项目经理无疑是项目工作推动的救星，但对一个已有多年项目管理经验的老手来说，便会觉得没有多大意义。我保证有经验的项目经理是绝对不吃这一套的，他们会认为那些规矩是给新手的教条，只需要翻翻就好，甚至不屑一顾。他们强调的是：在项目里要能够及早闻到项目的危机，发觉项目的风险才叫做有功力。如果要靠「项目风险来源与种类查检表」这类文档进行查检，到那时项目早就不知道已发展到什么状况了！
没错，一个在战场上厮杀多年的项目经理，嗅觉必须灵敏、反应必须快速。但是在此，我要恳切的提醒那些自认 老手，甚至自认为高手或高手高手高高手的项目经理们，有句老话：「江湖跑老，胆子跑小」，一切还是小心一点比较好。自负往往是失败的前兆，前人的经验绝对有值得我们参考的地方，嗅觉也有失灵的时候，多吸收前人的精髓记取教训，再把自己的心得贡献出来，丰富查检表的内容，名留青史有何不好？不要因为太过相信自己的感觉而伤害了项目的成就，一个好的制度是需要告我们胼手胝足的去辛苦建立与维护的。请别忘了，「我们正在写历史」，IT行业的历史就靠我们这些到目前为止还能坚持下去的老兵们，一笔一笔的记录下去啊！
我不是在发牢骚，而是有感而发，我一直认为IT产业是良心事业，这个产业需要靠大家的良心去一点一滴的维持，才能够长长久久。没有良心的IT伙伴们只会为这个产业带来更大的灾难。
好了，言归正传。风险的辨识需要洞烛机先，并根据查检表的内容逐项进行检查，依项目不同阶段建立风险清单。在完成了风险列表的建立后，因为项目的人力、时程、预算…等因素限制，可能无法让项目经理得以「同时」放手的去化解项目的种种风险。这个时候，如何在风险清单中制定相关风险的优先等级？如何自危机最大的风险着手规避行动？对项目经理将是一大考验。
「发生机率」与「影响程度」为评定风险优先等级的二个重要因子，发生机率指的是该风险会发生的可能性，机率越高代表发生的可能性越大。影响程度指的是风险发生后对项目进行产生冲击的严重程度，影响程度越高表示对项目的冲击越深。正规的做法会强烈的建议对这二个因子订定可被评定其优先等级的量化指针，这个量化指标须要有明确的评估准则去支持。以发生机率而言，比如说：发生机率在百分之十以下，或是发生机率超过百分之八十。影响程度则举例如：项目总进度将落后二个月，或者是项目人力将超支百分之二十。每一项评估准则都会被赋予定量化的数值，这二个因子经过评估后所产生的定量化数值(大部分是把这二个因子的定量化数值相乘，称之为风险曝光程度)，会直接影响该风险的优先等级，数值越大优先等级则越高。这样对风险认定的行为，我们称他做「风险评估」，针对每一项可能发生的风险，都必须进行客观的风险评估，并将其结果予以记录，作为未来进行避险规划，产生具体降低风险行动(Action Plan)的有效依据。
上面的这段文字，看起来文绉绉的，也许很多人觉得好像是雾里看花越看越花，但实际上风险评估的手段就是如此进行的。而且大部分的大型系统集成项目，就我个人的经验，他们都执行得非常彻底，每一项潜在的风险都会受到严密的评估与监控。不过，一定有人会问：要如何客观的去制订各项评估标准订量化的数值呢？我在这里无法给各位肯定的答案，因为这是一个没有标准答案的问题，越客观的问题越难找到标准解答。我也只能「客观的」回答：在你的「主观」认定下将发生机率高、影响程度深的评估准则，赋予较大的定量化数值，然后去考虑风险曝光程度在某个数值以上的必须第一时间去处理。
请各不要把风险评估行动看得如此艰深，总的来说要进行风险管理先要进行风险的辨识，辨识的方法可以藉由已建立的「项目风险来源与种类查检表」协助你去思考，有了风险清单之后便可进一步去评估风险。风险评估的目的就是要针对风险清单里的各项风险，采取比较科学的方法去衡量他的轻重缓急，重的急的优先处理，轻的缓的有空再说。只要建立起这样正确的观念，要掌握项目的风险并不是一件难事，项目经理可以试着去做做看。
在大家了解了如何去辨识风险、评估风险之后，下一次我们将探讨一下，如何面对这些已被评估的风险？如何着手拟定避险策略？如何采取降低风险甚至规避风险的行动？
略谈项目风险界定
发表于 @ 2008年05月08日 10:16:24|评论(loading...)|编辑