信息系统项目管理师（2022年）—— 重点内容：项目风险管理（11）

某系统集成项目制定风险管理计划时，发现病毒入侵有可能导致服务器死机或不能访问，此风险属于( 技术风险)。

技术风险包含以下：

(1)黑客攻击，或者病毒入侵会导致网站死机或者不能访问。防范措施是加强病毒和入侵检测，设置好防火墙。

(2)设备硬件损坏导致网站不能访问或者数据丢失，使客户遭受损失。防范措施是做好数据备份以及硬件备份。

(3)开发方出现问题使开发进度缓慢导致实施进度无法跟上计划。防范措施一是多方比较慎重选择合作方；二是签订规范合理合同，在出现纠纷时能通过法律途径保护本网站的正当权益。

---

风险识别过程的主要成果形成项目管理计划中风险登记册的最初记录。最终，风险登记册也将包括其他风险管理过程的成果。

风险识别输出：已识别风险清单、潜在应对措施清单、风险根本原因、风险类别更新。

风险类别：提供了一种结构化方法以便使风险识别的过程系统化、全面化，保证组织能够在一个统一的框架下进行风险识别，目的是提高风险识别的质量和有效性。

---

实施定性风险分析的输入、工具和技术、输出，如表所示

 ---

甲：EMV=(-25×50%)+(35×30%)+(70×20%)=12

乙：EMV=(-20×50%)+(30×30%)+(65×20%)=12

丙：EMV=(-10×50%)+(25×30%)+(55×20%)=13.5

丁：EMV=(10×50%)+(15×30%)+(40×20%)=17.5

因为要追求利益最大化，丁的EMV最大。

期望货币值：EMV=货币收益×概率 +货币损失×概率

当某些情况在未来可能发生或者不发生时，计算平均结果的一种统计技术。常在决策树分析中使用。把每个可能结果的数值与其发生的概率相乘，再把所有乘积相加，结果就是 EMV。

---

在识别风险时，先采用问卷匿名方式对项目重要风险进行征询，汇总后再由专家传阅并发表意见，多轮后最终得出项目风险的一致看法。该 风险识别 方法称为(德尔菲技术 )。

德尔菲技术是组织专家达成一致意见的一种方法。项目风险专家匿名参与其中，组织者使用调查问卷就重要的项目风险征询意见，然后对专家的答卷进行归纳，并把结果反馈给专家做进一步评论。这个过程反复几轮后，就可能达成一致意见。德尔菲技术有助于减轻数据的偏倚，防止任何个人对结果产生不恰当的影响。

德菲尔技术：问卷，匿名，求真，结论

---

定量风险分析工具，模型和模拟。项目模拟用一个模型，将详细规定的各项不确定性换算为它们对整个项目层次上的目标所产生的潜在影响。项目模拟一般采用蒙特卡洛技术。

蒙特卡洛模拟法是以统计抽样理论为基础，利用随机数，经过对随机变量已有数据的统计进行抽样实验或随机模拟，以求得统计量的某个数字特征并将其作为待解决问题的数值解。

帕累托图(Pareto chart)是将出现的质量问题和质量改进项目按照重要程度依次排列而采用的一种图表。

---

Project Risk Managesent processes consist of the following elements.except:( A)。

A hide the risks

B identify the risks

C assess the risks

D determine the risks

项目风险管理流程包括以下要素。除了：
hide the risks 隐藏风险
identify the risks 识别风险
assess the risks 评估风险
determine the risks 确定风险

---

Risk(D )acknowledge the existence of a threat，but no proactive action is taken 。

A avoidance

B transfer

C mitigate

D acceptance

风险()承认威胁的存在，但不主动采取措施。
avoidance 规避
transfer 转移
mitigate 减轻
acceptance 接受

---

风险识别是一个反复的过程。随着项目生命周期的绩效，新风险可能会出现。 1、识别风险指确定哪些风险会影响项目，并将其特性记载成文。参加识别风险的人员 通常可包括：项目经理、项目团队成员、风险管理团队.（如有）、项目团队之外的相关领 域专家、顾客、最终用户、其他项目经理、利害关系者和风险管理专家。虽然上述人员 是识别风险过程的关键参与者，但应鼓励所有项目人员参与风险的识别。（选项A） 2、识别风险是一项反复过程。（选项D）随着项目生命期的绩效，新风险可能会出现。反复的频 率以及谁参与每一个迭加过程都会因项目而异。项目团队应参与该过程，以便针对风险 的及与风险相关的风险应对措施形成，并保持一种责任感。项目团队之外的利害关系者 也可为项目提供客观的信息。识别风险过程通常会直接引入下一个过程，即定性风险分 析过程。有时，如果识别风险过程是由经验丰富的风险经理完成的；则可直接进入定量分析过程。有些情况下，仅通过风险识别过程即可确定风险应对措施，并且对这些措施进行记录，以便在风险应对规划过程中进一步分析和实施。 3、风险识别过程的成果一般载入风险登记册中。风险识别过程的主要成果形成项目管理计划中风险登记册的最初记录。（选项B）最终，风险 登记册也将包括其他风险管理过程的成果。风险登记册的编制始于风险识别过程，主要 依据下列信息编制而成，然后可供其他项目管理过程和项目风险管理过程使用。

---

某信息系统建设项目中，为防范系统宕机风险，项目经理建设采购服务器时均配置冗作电源和冗余风扇。项目经理采用的风险应对策略为(A )。

A 减轻

B 转移

C 规避

D 消除

风险应对策略： 针对不利风险的应对策略有4种：回避、减轻、转移和接受。

回避：简单的说，就是不做有风险的事，或者在已经识别潜在风险的情况下，通过主观努力，回避高风险活动，以完全消除风险的威胁。 （PS：三十六计走为上计）

减轻：把风险事件的发生概率或者影响降低到可接受的临界范围内。例如：在一个系统中加入冗余部件，可以减轻主要部件故障所造成的影响。 （PS：伤痛在所难免，云南白药在你身边。）

转移：把风险的一部分或者全部消极影响，连同应对责任都转移给第三方，同时要向风险承担方支付必要的费用。 （PS：陈奕迅《爱情转移》：把一个人的温暖，转移到另一个的胸膛。）

接受：包括主动接受和被动接受。无论哪种，都说明项目团队已经决定不会为了处理某风险而变更项目管理计划，或无法找到任何合理的应对策略。前者是提供必要的风险储备，包括时间、资金或相应资源来应对风险。后者则不采取任何措施，等待风险发生，并接受结果。（PS：爱情来的太快就像龙卷风，离不开暴风圈来不及逃）

---

(C ) risks cannot be management proactively and therefore may be assigned a mangement reserve(储备).

A Know

B Natural

C Unknown

D Human

未知风险不能被主动管理，因此可以划拨管理储备。 A已知 B 自然 C 未知 D 人为

---

---

 图中 ① ②

 ①项目组成员 ②风险跟踪

解析：风险管理流程为：
①风险识别：由项目组成员共同实施；
②风险分析：由项目组成员共同实施；
③制定风险应对计划：项目经理；
④风险跟踪：风险负责人；
⑤风险控制；由项目组成员共同实施。

---

 

在项目风险分析过程中，灵敏度分析、建模和仿真是定量风险分析的技术

 ---

小李所负责的项目已经完成了20%。最近一次的挣值分析结果显示，成本绩效指数(CPI)为0.67，进度绩效指数(SPI)为0.87。在这种情况下，小李应该(实施风险应对审计以帮助控制风险 )。

由题目知，此项目成本超支，进度落后，所以需要赶工，增加资料，节约成本。但是增加资源也会带来成本上面的增加，所以需要进行风险的审计和预防。
这时最应该做的是:检查项目中的风险应对措施是否执行到位，对当前的风险采取进一步措施，这个风险应对就包含了进度、成本等控制，比较全面。

---

制定风险管理计划是描述在项目中如何组织和执行风险管理的项目计划，其中定义风险管理过程在项目整个生命周期中的执行频度，并定义风险管理活动的计划的工具或活动称为( 风险管理时间表)。

定义风险管理过程在项目整个生命周期中的执行频度，并定义风险管理活动的计划的工具或活动称为风险管理时间表。

---

项目经理在6月1日对一个软件开发项目进行了挣值分析，项目CPI是1.0，进度偏差是零。在6月3日，附近的河流泛滥，致使开发计算机房被淹，导致所有工作停工2周时间。该项目遭受了(B )。

A 已知的可预测风险

B 已知的不可预测风险

C 未知的可预测风险

D 未知的不可预测风险

按照风险的可预测性划分，可以划分为己知风险、可预测风险和不可预测风险。转自项目管理者联盟。
已知风险是在认真、严格分析项目计划后就能够明确的哪些经常发生的、而且后果亦可预见的风险。
可预测风险是根据经验，可以预见其发生，但不可预见其后果的风险。地震、暴雨属于此类风险。
不可预测风险是有可能发生，但其发生的可能性具有不可预见性的风险。即使是最有经验的人也不能预见的风险。百年不遇的暴雨属于不可预见的。
附近的河流泛滥，致使开发计算机房被淹，导致所有工作停工2周时间，属于已知的不可预测风险。未知只是风险，已知才有可预测和不可预测。所以说，未知的不能跟是否可预测搭配。

具有不确定性的事件是信息系统项目风险定义的都是风险定义的必要条件。 

有风险一定有不确定的是事件，有不确定的事件不一定都有风险。

不确定事件和风险，前者不一定能推出后者，后者一定能推出前者。所以是必要条件。

A和B，如果从A推出B，则A是B的充分条件。如果B推出A，则A是B的必要条件。如果A推出B，B也可以推出A，则A是B的充分必要条件，简称充要条件。口诀：正充、反必，全充要。

---

风险识别技术：头脑风暴法、面谈、Delphi法（德尔菲法）、核对表、SWOT技术、检查表和图解技术(因果分析图、流程图、影响图)。
Delphi法（德尔菲法）也称专家调查法，是一种采用通讯方式分别将所需解决的问题单独发送到各个专家手中，征询意见，然后回收汇总全部专家的意见，并整理出综合意见。随后将该综合意见和预测问题再分别反馈给专家，再次征询意见，各专家依据综合意见修改自己原有的意见，然后再汇总。这样多次反复，逐步取得比较一致的预测结果。
Delphi法主要特征：
吸收专家参与预测，充分利用专家的经验和学识；
采用匿名或背靠背的方式，能使每一位专家独立自由地作出自己的判断；
预测过程几轮反馈，使专家的意见逐渐趋同。

---

由于大型项目团队构成复杂，因此在制定风险管理计划时，首先要考虑( )。

A 组织及参与项目的人员的风险态度和风险承受度

B 已识别风险清单

C 项目风险的相对排序或优先度清单

D 风险的应对策略

解析：项目风险管理计划就是制定风险识别、风险分析、风险减缓策略，确定风险管理的职责，为项目的风险管理提供完整的行动纲领。它是确定如何在项目中进行风险管理活动，以及制定项目风险管理计划的过程。
本计划主要针对项目开发涉及的风险，包括在项目开发周期过程中可能出现的风险以及项目实施过程中外部环境的变化可能引起的风险等进行评估。
制定依据包括：

(1)项目许可。
(2)风险管理政策。
(3)规定的任务和责任。
(4)利害关系人的风险容忍度。
(5)风险管理计划模板。
(6) WBS。
由于大型项目团队构成复杂，因此在制定风险管理计划时，首先要考虑组织及参与项目的人员的风险态度和风险承受度。

---

风险预测一般是从风险发生的可能性和风险发生所产生的后果两个方面来评估风险。

---

风险的成本估算完成后，可以针对风险表中的每个风险计算其风险曝光度。某软件小组计划项目中采用60个可复用的构件，每个构件平均是100LOC，每个LOC的成本是13元人民币。下面是该小组定义的一个项目风险：
1.风险识别：预定要复用的软件构件中只有60%将被集成到应用中，剩余功能必须定制开发；
2.风险概率：50%；
3.该项目风险的风险曝光度是(15600 )。

解析：

风险曝光度(Risk Exposure，RE)的计算公式为RE=P×C。其中，P是风险发生的概率，C是风险发生时带来的项目成本。该软件小组计划采用60个可复用的构件，如果只有60%可能被使用，剩余的40%要开发，则60*40%=24个构件必须从头开发。因为构件平均是100 LOC，每个LOC的成本是13元人民币，则开发构件的整体成本C=24×100×13=31200元人民币。因此RE=0.5×31200=15600元人民币。

---

以下关于IT项目风险应对策略的描述中，( D)是错误的。

A 策略必须具有时效性

B 策略必须与风险的严重程度相一致，避免花费比风险后果更多的资源去预防风险

C 对于某个比较重要的风险，可以采用单个风险应对计划表来对其进行管理

D 为避免风险进一步扩大，尽可能让更少的项目干系人参与

---

风险管理包括风险识别、风险定性分析、风险定量分析、风险监控等内容。

风险分类是根据后果、来源、是否可管理、是否可预测等方面进行分类。

风险管理计划编制是决定如何动手处理、规划和实施项目的风险管理活动。

风险识别是决定了哪些风险会对项目造成影响，并记录下这些风险的属性。

风险识别依据：

风险管理计划、成本管理计划、进度管理计划、人力资源管理计划、范围基准、活动成本估算和活动持续时间估算、干系人登记册、项目文件、采购文件、事业环境因素、组织过程资产，没有风险类别。

定性风险分析是对项目的风险进行优先级排列，以便后续深入分析，或者根据风险概率和影响的评估采取适当的措施。

定量风险分析是测量风险出现的概率和结果，并评估它们对项目目标的影响。风险应对计划编制是开发一些应对方案和措施以提高项目成功的机会、降低项目失败的威胁。

定性风险分析的方法：有风险概率及影响评估、概率及影响矩阵、风险数据质量评估、 风险紧急度评估、风险分类等。

所以：通过概率和影响级别定义以及专家访谈，有助于纠正该过程所使用的数据中的偏差属于(定性风险分析 )。

定量风险分析的方法：有数据收集和表示技术、专家判断、定量风险分析和建模技术、灵敏度分析、货币期望价值分析（EMV）、决策树分析等。 

---

根据投资回收期的计算结果可知，这三个不确定性因素中，(每台售价 )是高风险因素(可能导致投资风险)。

解析：

按照风险分析原则差值越大风险则越大，先计算最大差值。最大差值就是除了负数之外的数据只差。

年产量：4.85 - 4.04 = 0.81（0的数据减去 +20%的数据）

每台售价：4.85 - 3.65 = 1.2

投资额：5.82 - 4.85 = 0.97

所以，每台售价的数值最大，风险最高。

---

软件开发中的风险与高级管理人员的支持程度有关，与对系统需求理解的程度有关，与开发资金的及时投入有关，但是与最终用户无关，系统的最后部署与运行不属于开发过程。Boehm提出的十大风险是：开发人员短缺、不能实现的进度和预算、开发了错误的软件功能、开发了错误的用户接口、华而不实的需求、需求不断地变动、外部执行的任务不符合要求、外部提供的组件不符合要求、实时性不符合要求、超出了计算机科学发展的水平。

---

根据参考教材，从风险识别得出的输出包含在一个叫作风险注册的文档中。
风险记录的最初条目是由风险识别的输出构成的，它也是项目管理计划的一部分。风险记录最终会包含风险分析的结果、优先级，以及实施其他风险管理过程措施后的影响。风险记录的准备开始于包含下列信息的风险识别过程，这些信息对其他项目管理和项目更新管理过程都有所帮助。其输出信息包括：已识别出的风险列表、风险征兆或警告信号、潜在的风险应对方法列表、风险的根本原因、更新的风险分类。

 ---

主要风险清单是常用的项目风险管理工具，如下图所示。以下关于风险清单的叙述中，(C )是不正确的。

A 该风险清单应在需求分析之前建立，并在项目结束前不断定期维护

B 项目经理、风险管理责任人应每隔一周左右回顾该风险清单

C 应该对风险清单中的部分主要风险制定详细的风险应对计划

D 对风险清单的回顾应包含在进度计划表中，否则可能被遗忘

解析：

网友解析：要对所有而不是主要风险制定应对计划。

APP解析：在风险清单中列出的风险并不一定会对项目造成影响，首先需要对列出的风险进行分析，包括定性分析和定量分析。在这之后才进行风险应对。

---

以下关于项目风险识别的叙述中，正确的是：(B )。

A 主要由项目经理负责项目风险识别活动

B 风险识别是一种系统活动，而不是一次性行为

C 主要识别项目的内在风险

D 风险识别包括外在因素对项目本身可能造成的影响评估

主要由项目经理负责项目风险识别活动：没有规定项目风险识别是主要由项目经理负责项目风险识别活动，应该全员参与。
风险识别是一种系统活动，而不是一次性行为：描述正确
主要识别项目的内在风险：没有规定项目风险识别主要是识别项目的内在风险
风险识别包括外在因素对项目本身可能造成的影响评估：影响定性风险分析。

---

计算出路线1和路线2的加权平均用时，根据计算结果选择出行路线。以下结论中，正确的是：( )。

路线1的加权平均用时为40.5分钟，路线2的加权平均用时为48分钟，因此选择路线1。

解析：

决策树分析方法进行简单计算：路线1: 加权平均用时=35*90%+90*10%=40.5分钟
路线2: 加权平均用时=20*30%+60*70%=48分钟
故选择加权平均用时少的线路1

---

 

---

( )风险应对策略是指通过改变计划，以排除风险，或者保护项目目标不受影响，或对受到威胁的一些项目目标放松要求。

A 消极

B 积极

C 接受

D 提高

1、消极风险或威胁的应时策略
回避：回避风险指改变项目计划，以排除风险或条件，或者保护项目目标，使其不受影响。（PS：三十六计走为上计）
转移：转移风险指设法将风险的后果连同应对的责任转移到第三方身上。（PS：爱情转移）
减轻：减轻指设法把不利的风险事件的概率或后果降低到一个可接受的临界值。（PS：如果伤痛在所难免，云南白药在你身边）
接受：指项目团队决定接受风险的存在，而不采取任何措施（除非风险真的发生）的风险应对策略。

2、积极风险或机会的应对策略
开拓、分享、提高（该策略旨在通过提高积极风险的概率或其积极影呐，识别并最大程度发挥这些积极风险的驱动因素）。

---

( D)不属于风险管理计划编制的成果。

A 风险类别

B 风险概率

C 风险影响力的定义

D 风险记录

风险记录是属于风险识别过程的成果，一般又称为风险登记册。此文件随着项目风险管理过程的推进，不断更新。

---

项目整体绩效评估中风险评估是一个十分重要的技术。风险评估不是简单的凭空想象，必须(D )后才能方便操作。

A 制定风险管理计划

B 风险识别

C 风险定性分析

D 风险定量分析

风险评估不只是简单的凭空想象，必须进行量化后才能方便操作。

反复进行再评估的次数和详细程度，应该根据相对于项目目标的项目进展情况而定。

---

纯粹风险和投机风险（不是人为风险），在一定条件下可以相互转化。项目管理人员 必须避免投机风险转化为纯粹风险。

风险包括威胁和机会。

风险会随项目进展变化，不确定性会随项目渐进明细而逐渐减小

风险后果包括后果发生的频率、收益或损失大小。

---

A公司刚刚中标一个大型系统集成项目，其中一台设备计划从国外采购，近期汇率波动明细，A公司准备与客户协商使用国产进行替代，这是采用了(A )风险应对策略。

A 回避

B 转移

C 减轻

D 接受

 回避风险指改变项目计划，以排除风险或条件，或者保护项目目标，使其不受影响，或对受到威胁的一些目标放松要求，例如，延长进度或减少范围等。（PS：三十六计走为上计）

---