软件流程和管理（三）：Risk Management

目录

1. 理解风险管理的基本原理

1.1 Risk vs Uncertainty

1.2 为什么要进行正式的风险管理

2. 理解风险管理流程

3. Risk Management Planning

4. Identify Risks 定义风险

4.1 风险的特征

4.2 风险的种类

4.3 风险识别

4.4 Risk Identification - Example

5. analyze and assess risks 分析和评估风险

5.1 Risk Analysis 风险分析——Qualitative 定性

5.2 Risk Analysis 风险分析 —— Example

5.3 Risk Assessment 风险评估 —— Risk Matrix 风险矩阵

5.4 Risk Assessment 风险评估 —— Quantitative定量

6. respond to risks 应对风险（risk strategies 风险战略）

6.1 应对风险

6.2 风险应对策略 —— threats 威胁

6.3 Risk Response - Example

6.4 风险应对策略 —— opportunities 机遇

6.5 Risk Response Plan 风险应对计划

7. monitor and control risks 监测和控制风险

---

1. 理解风险管理的基本原理

风险是一种：

未来可能发生的、具有负面结果的事件。

Hazard 危害；peril 危险；或面临损失或伤害的风险。— Webster’s dictionary

一个不确定的事件或条件，如果它发生，会对项目目标产生积极或消极的影响。— PMBOK

上述前两个定义处理的是风险，而且总是负面的，而第三个定义考虑的是正面和负面的影响 — opportunities 机会（我们将坚持使用第三个定义）。

1.1 Risk vs Uncertainty

风险与不确定性是不同的，尽管它们是相关的。

Uncertainty 不确定性：

• 对某一事件/结果缺乏完全的确定性
• 该事件/结果发生的概率小于1
• 例如，一个体育赛事的结果

Risk 风险：

• 有影响的（has an impact）不确定因素
• 例如，如果你在体育赛事上下了赌注，或有一些其他的个人利益，那么体育赛事的结果就有风险。因为这个结果对你是有影响的，所以就从不确定事件/结果变成了风险。

风险是不确定性的结果，但不是每个不确定性都是风险。

1.2 为什么要进行正式的风险管理

我们每天都在处理生活中的风险，例如：计划去听讲座。讲座可能取消，或者你可能路上耽搁而迟到，并且这个结果是对你有影响的。

项目有许多可能的风险，这些风险可能对结果产生重大影响。

• Business risks 商业风险
• Project risks 项目风险
• Product risks 产品风险

一个有计划的风险管理流程是必不可少的。

项目风险管理的目标是：

最小化潜在负面风险的影响，同时最大化潜在正面风险的影响。

2. 理解风险管理流程

Plan 计划

如何对待和规划风险管理活动？

Identify 识别

识别可能的风险

Analyse and Assess (Qualitative and Quantitative) 分析和评估（定性和定量）

识别已确定的风险的相对优先次序（the relative priorities）

Respond (Action) 应对（行动）

我们怎样才能减少风险的可能性（likelihood）或影响（impact）？

Monitor and Control 监测和控制

怎样才能检测出我们的风险的持续状态（status）？我们怎样才能有效和高效地控制它们？

3. Risk Management Planning

• 风险管理规划的产出是一个风险管理计划 Risk Management Plan（RMP），它记录了整个项目的风险管理程序。
• 项目组应审查RMP，理解并执行组织和发起人的风险管理方法。
• 详细程度将随项目的需要而变化

The Risk Management Plan 风险管理计划

• Methodology 方法论
• Roles and Responsibilities 角色和责任
• Budget and Schedule 预算和时间表
• Risk Categories 风险类别
• Risk Probability and Impact 风险概率和影响
• Tracking 追踪
• Risk Documentation 风险文件
• Contingency Plans 应急计划
• Fall-back Plans 后备计划

4. Identify Risks 定义风险

4.1 风险的特征

通过分析以下内容，确定哪些事件应被视为风险：

• Probability：该事件发生的概率是否大于零？（概率大于零）
• Impact：该事件对项目的影响是什么？（有影响）
• Degree of control：我们是否对该事件或其结果有一定程度的控制？（可以有一定程度的控制）

Generic Risks 一般性风险

• 每个软件项目都会遇到的威胁或机会（例如人员流