高项 - 项目风险管理

个人总结，仅供参考，欢迎加好友一起讨论

博文更新参考时间点：2024-12

高项 - 章节与知识点汇总：点击跳转

高项 - 项目风险管理

风险管理ITO

规划

执行

监控

管理基础

风险概述

• 项目风险：一种不确定的事件或条件，一旦发生，就会对一个或多个项目目标造成正面或负面的影响。

  风险的三要素：风险事件、概率、影响。

• 项目存在两个层面上风险，项目风险管理过程同时兼顾这两个层面的风险。

  每个项目都有会影响项目达成目标的单个风险。

  由单个风险和不确定性的其他来源联合导致的整体项目风险。

• 风险态度和风险临界值

  风险态度：干系人对风险所采取的态度。分为风险规避者，风险中立者，风险激进者。

  风险临界值：某种特定的风险敞口级别，高于该级别的风险需要处理，低于该级别的风险则可接受。

风险的属性

• 风险的随机性：风险事件的发生及其后果都具有偶然性。许多事件的发生都遵循一定的统计规律， 这种性质叫随机性。风险事件具有随机性。

• 风险的相对性：风险总是相对项目活动主体而言的。同样的风险对于不同的主体有不同的影响。 承受能力因活动、人和时间而异。影响人们的风险承受能力的因素主要包括：

  收益的大小：收益越大，人们愿意承担的风险也就越大。

  投入的大小：项目活动投入得越多，对成功所抱的希望也越大，愿意冒的风险也就越小。

  项目活动主体的地位和拥有的资源：个人或组织拥有的资源越多，其风险承受能力也越大。

• 风险的可变性：当这些条件发生变化时，必然会引起风险的变化。风险的可变性含义包括： 风险性质的变化、风险后果的变化、出现新风险。

风险的分类

按风险后果划分：分为纯粹风险和投机风险。

1. 纯粹风险：不能带来机会、无获得利益可能的风险，叫纯粹风险。纯粹风险只有两种可能的后果：造成损失和不造成损失。纯粹风险造成的损失是绝对的损失。
2. 投机风险：既可能带来机会、获得利益，又隐含威胁、造成损失的风险。投机风险有三种可能的后果：造成损失、不造成损失和获得利益。
3. 纯粹风险和投机风险在一定条件下可以相互转化。项目管理人员必须避免投机风险转化为纯粹风险。风险不是零和游戏。很多情况下，涉及风险的各个方面都要蒙受损失，无一幸免。

按风险的可预测性划分

1. 已知风险。已知风险是指在认真、严格地分析项目及其计划之后就能够明确的那些经常发生的，而且其后果亦可预见的风险。已知风险发生概率高，但一般后果轻微，不严重。项目管理中已知风险的例子有：项目目标不明确，过分乐观的进度计划，设计或施工变更和材料价格波动等。
2. 可预测风险。可预测风险是指根据经验，可以预见其发生，但不可预见其后果的风险。后果有时可能相当严重。例子有：业主不能及时审查批准，分包商不能及时交工，施工机械出现故障等。
3. 不可预测风险。称未知风险或未识别的风险。有可能发生，但其发生的可能性即使最有经验的人亦不能预见的风险，未知风险或未识别的风险。 这些风险一般是外部因素作用的结果，例如地震、百年不遇的暴雨、通货膨胀和政策变化等。

按风险来源划分：自然风险、人为风险（行为、经济、技术、政策、组织）

按风险是否可管理划分：可管理风险（可预测并可控制的）、不可管理风险（随风险不确定性减少及管理水平提高，有些不可管理风险可以变为可管理风险）。

按风险影响范围划分：局部风险、整体风险。局部风险影响范围小，如：非关键路径活动延误。整体风险影响范围大，如：关键路径活动延误。

按风险后果承担者划分：项目业主风险、政府风险、承包商风险、投资方风险、设计单位风险、监理单位风险、供应商风险、担保方风险和保险公司风险。

风险成本及其负担

风险事件造成的损失或减少的收益以及为防止发生风险采取预防措施而支付的费用，都构成了风险成本。风险成本包括有形成本、无形成本以及预防与控制风险的成本。

• 有形成本

  直接损失：例如，压缩空气机房在施工过程中失火，直接损失包括空气压 缩机的重置成本、受伤人员的医疗费、休养费、工资等。

  间接损失：因灭火扑救、停工等发生的成本。

• 无形成本

  风险损失减少了机会。

  风险阻碍了生产率的提高。

  风险造成资源分配不当。

• 预防与控制风险的成本：向保险公司投保、向有关方面咨询、配备必要的人员、购置用于预防和减损的设备、对有关人员进行教育或训练以及人员和设备的维持和维护费用。

管理新实践

敏捷与适应方法

要应对快速变化，就需要采用敏捷或适应型方法管理项目，如经常审查增量的工作产品，加快知识的分享，来确保对风险的认知和管理。在选择每个迭代期的工作内容时都要考虑风险；在每个迭代期间应该识别、分析和管理风险。

5大过程组与沟通管理

过程概述

规划风险管理

规划风险管理：定义如何实施项目风险管理活动的过程。

本过程的作用：确保风险管理的水平、方法和可见度与项目风险程度，及项目对组织和其他干系人的重要程度相匹配。

规划风险管理过程在项目立项阶段就应开始，并在项目早期完成。在项目生命周期的后期，可能有必要重新开展本过程，例如，在发生重大阶段变更时，在项目范围显著变化时，或者后续对风险管理有效性进行审查且确定需要调整项目风险管理过程时。

输入

• 项目章程

• 项目管理计划

• 项目文件

• 事业环境因素

• 组织过程资产

工具与技术

• 干系人分析：通过干系人分析确定项目干系人的风险偏好。

输出

风险管理计划

风险管理计划：描述如何安排与实施风险管理活动（风险管理计划无风险）。

其内容：

1. 风险管理策略：描述用于管理本项目风险的一般方法。
2. 方法论：确定用于开展本项目风险管理的具体方法、工具及数据来源。
3. 角色与职责：确定每项风险管理活动的领导者、支持者和团队成员，并明确职责。
4. 资金：确定开展项目风险管理活动所需资金，制定应急储备和管理储备使用方案。
5. 时间安排：确定在项目生命周期中实施项目风险管理过程的时间和频率。
6. 风险类别：借助风险分解结构（RBS）来构建风险类别。（识别风险工具）
7. 干系人风险偏好：应该针对每个项目目标，把干系人的风险偏好表述成可测量的风险临界值。
8. 风险概率和影响：根据具体的项目环境、组织和关键干系人的风险偏好和临界值，来制定风险概率和影响。可能自行制定关于概率和影响级别的具体定义，或用组织提供的通用定义作为基础来制定。（识别风险工具）
9. 概率和影响矩阵：如果使用数值，就可以把两个数值相乘（概率 × 影响），得出每个风险的概率 - 影响分值，以便据此在每个优先级组别之内排列单个风险相对优先级。（识别风险工具）
10. 报告格式：确定将如何记录、分析和沟通项目风险管理过程的结果。
11. 跟踪：确定将如何记录风险活动，以及如何审计风险的管理过程。

识别风险

识别风险：识别单个项目风险以及整体项目风险的来源，并记录风险特征的过程。

本过程的作用：①记录现有的单个项目风险，以及整体项目风险的来源；②汇总相关信息，以便项目团队能够恰当地应对已识别的风险。

鼓励所有项目干系人参与单个项目风险的识别工作。项目团队的参与尤其重要。

识别风险是一个迭代的过程。迭代的频率和每次迭代所需的参与程度因情况而异，应在风险管理计划中做出相应规定。

本过程应在整个项目期间开展。

输入

• 项目管理计划

  风险管理计划、其他管理计划。

  范围基准：包括的可交付成果及验收标准可能引发风险；还包括工作分解结构用于风险识别工作的框架。

  进度基准：可以找出存在不确定性或模糊性的里程碑日期和可交付成果交付日期。

  成本基准：可以找出存在不确定性或模糊性的成本估算或资金需求。

• 项目文件

  干系人登记册：规定了哪些人参与风险识别，详细说明哪些人适合扮演风险责任人角色。

  需求文件：确定哪些需求存在风险。

  假设日志：记录的假设条件和制约因素可能引发单个项目风险，还可能影响整体项目风险的级别。

  问题日志：记录的问题可能引发单个项目风险，还可能影响整体项目风险的级别。

• 其它

  采购文档：从组织外部采购商品和服务可能提高或降低整体项目风险，并可能引发更多的项目风险。

  协议：规定的里程碑日期、合同类型、验收标准和奖惩条款等都可能造成威胁或创造机会。

工具与技术

数据收集

• 头脑风暴：采用自由或结构化的形式开展头脑风暴，在引导者的指引下产生各种创意。可以用风险类别（如RBS）作为识别风险的框架。
• 访谈：应该在信任和保密的环境下开展访谈，以获得真实可信、不带偏见的意见。通过对资深项目参与者、干系人和主题专家的访谈，来识别项目风险的来源。
• 核对单/核查单：基于从类似项目和其他信息来源积累的历史信息和知识来编制核对单。因不能穷尽所有风险，必须确保不要用核对单来取代所需的风险识别工作；也应该注意考察未在核对单中列出的事项。

数据分析

• 根本原因分析

  用问题陈述（如项目可能延误或超支）作为出发点，从而识别出相应的威胁。

  用收益陈述（如提前交付或低于预算）作为出发点，从而识别出相应的机会。

• 假设条件和制约因素分析

  从假设条件的不准确、不稳定、不一致或不完整，可以识别出威胁。

  通过清除或放松会影响项目或过程执行的制约因素，可以创造出机会。

• SWOT分析（优势Strength、劣势Weakness、机会Opportunity、威胁Threat）

  首先，关注项目、组织或一般业务领域，识别出组织的优势和劣势。

  然后，找出组织优势可能为项目带来的机会，组织劣势可能造成的威胁。

  还可以分析组织优势能在多大程度上克服威胁，组织劣势是否会妨碍机会的产生。

• 文件分析

  通过对项目文件的结构化审查，可以识别出一些风险。项目文件中的不确定性或模糊性，以及同一文件内部或不同文件之间的不一致，都可能是项目风险的提示信号。

提示清单

提示清单：关于可能引发单个项目风险以及可作为整体项目风险来源的风险类别的预设清单。可以用风险分解结构（RBS）底层的风险类别作为提示清单。

输出

风险登记册

风险登记册：记录已识别单个项目风险的详细信息。

• 已识别风险的清单：在风险登记册中，每项单个项目风险都被赋予一个独特的标识号。要以所需的详细程度对已识别风险进行描述，确保明确理解。可以使用结构化的风险描述，来把风险本身与风险原因及风险影响区分开来。
• 潜在风险责任人：该责任人记录到风险登记册中。随后将由实施定性风险分析过程进行确认。
• 潜在风险应对措施清单：把它记录到风险登记册中。随后将由规划风险应对过程进行确认。
• 风险登记册在风险管理的过程就是不断地完善和更新风险登记册。

风险报告

风险报告：提供关于整体项目风险的信息，以及关于已识别的单个项目风险的概述信息。

风险报告内容主要包括：

1. 整体项目风险的来源：说明哪些是整体项目风险的最重要因素。
2. 关于已识别单个项目风险的概述信息：例如，已识别的威胁与机会的数量、风险在风险类别中的分布情况、测量指标和发展趋势。

实施定性风险分析

实施定性风险分析：评估单个项目风险发生的概率和影响以及其他特征，对风险进行优先级排序。

本过程的作用：重点关注高优先级的风险。

本过程会为每个风险识别出责任人，以便由他们负责规划风险应对措施，并确保应对措施的实施。 如果需要开展实施定量风险分析过程，那么实施定性风险分析也能为其奠定基础。

在整个项目生命周期中要定期开展实施定性风险分析过程。

输入

• 项目管理计划
• 项目文件
• 事业环境因素
• 组织过程资产

工具与技术

数据分析

• 风险数据质量评估：风险数据是开展定性风险分析的基础。风险数据质量评估旨在评价关于单个项目风险的数据的准确性和可靠性。

  可以开展问卷调查，了解项目干系人对数据质量各方面的评价，包括数据的完整性、客观性、相关性和及时性，进 而对风险数据的质量进行综合评估。计算这些方面的加权平均数，将其作为数据质量的总体分数。

• 风险概率和影响评估

  风险概率评估考虑的是特定风发生的可能性。

  风险影响评估考虑的是风险对项目目标（如进度、成本、质量或绩效）的潜在影响（消极和积极）。

  对每个已识别的单个项目风险进行概率和影响评估。

  低概率和影响的风险将被列入风险登记册中的观察清单，以供未来监控。

• 其他风险参数评估：紧迫性、邻近性、潜伏期、可管理性、可控性、可监测性、连通性、战略影响力、密切度等。考虑这些特征有助于进行更稳健的风险优先级排序。

风险分类

风险分类：确定哪些项目领域最容易被不确定性影响。

• 把注意力和精力集中到风险敞口最大的领域。
• 针对一组相关的风险制定通用的风险应对措施。

数据表现

• 概率和影响矩阵：此矩阵对概率和影响进行组合，以便于把单个项目风险划分成不同的优先级组别。

  

• 层级图：如果使用了两个以上的参数对风险进行分类，那就不能使用概率和影响矩阵，而需要使用其他图形。其中，X 轴代表可监测性，Y轴代表邻近性，影响值则以气泡大小表示。

  

输出

• 风险登记册：更新内容可能包括：每项单个项目风险的概率和影响评估、优先级别或风险分值、指定风险责任人、风险紧迫性信息或风险类别，以及低优先级风险的观察清单和需要进一步分析的风险。
• 风险报告：更新风险报告，以记录最重要的单个项目风险（通常为概率和影响最高的风险）、所有已识别风险的优先级列表以及简要的结论。

实施定量风险分析

实施定量风险分析：就已识别的单个项目风险和不确定性的其他来源对整体项目目标的影响进行定量分析的过程。

本过程的作用：①量化整体项目风险最大可能性；②提供额外的定量风险信息，以支持风险应对规划。

非所有项目都需要实施定量风险分析：适用于大型或复杂的项目、具有战略重要性的项目、合同要求进行定量分析的项目，或主要干系人要求进行定量分析的项目。

定量风险分析可以在规划风险应对过程之后展开，以分析已规划的应对措施对降低整体项目风险最大可能的有效性。定量风险分析通常需要专门的风险分析软件，以及编制和解释风险模式的专业知识。

输入

• 项目管理计划
• 项目文件
• 事业环境因素
• 组织过程资产

工具与技术

模拟

模拟：通常采用蒙特卡洛分析。

• 用计算机软件数千次迭代运行定量风险分析模型。
• 典型的输出包括：表示模拟得到特定结果的次数的直方图，或表示获得等于或小于特定数值的结果的累积概率分布曲线（S曲线）。

敏感性分析

敏感性分析：通常用龙卷风图来表示。

• 有助于确定哪些风险对项目具有最大的潜在影响，它有助于理解项目结果变异与定量风险分析模型中的要素变异之间存在怎样的联系。
• 把所有其他不确定因素固定在基准值，考察每个 因素的变化会对目标产生多大程度的影响。

决策树分析

决策树分析：用决策树在若干备选行动方案中选择一个最佳方案。

• 在决策树分析中，通过计算每条分支的预期货币价值（EMV），就可以选出最优的路径。
• 机会的EMV通常表示为正值，而威胁的EMV则表示为负值。

输出

风险报告

更新风险报告，反应定量风险分析的结果：

1. 对整体项目风险最大可能性的评估结果。
2. 项目详细概率分析的结果。
3. 单个项目风险优先级清单。
4. 定量风险分析结果的趋势。
5. 风险应对建议

规划风险应对

规划风险应对措施：为了应对项目风险，而制定可选方案、选择应对策略并商定应对行动的过程。

本过程的主要作用：①制定应对整体项目风险和单个项目风险的适当方法；②分配资源，并根据需要将相关活动添加进项目文件和项目管理计划中。

风险应对方案应该与风险的重要性相匹配，并且能够经济有效地应对挑战，同时在当前项目背景下现实可行，获得全体干系人的同意，并由一名责任人具体负责。

如果选定的策略并不完全有效，或者发生了已接受的风险，就需要制订应急计划。同时，也需要识别次生风险。次生风险是实施风险应对措施直接导致的风险。

输入

• 风险管理计划：风险角色和职责、风险临界值。
• 成本基准：包含了拟用于风险应对的应急资金的信息。
• 干系人登记册：列出了风险应对的潜在责任人。
• 风险登记册：包含了已识别并排序的、需要应对的单个项目风险的详细信息。
• 项目团队派工单：列明了可用于风险应对的人力资源。
• 资源日历：确定了潜在的资源何时可用于风险应对。
• 其它

工具与技术

威胁应对策略

机会应对策略

整体项目应对策略

应急应对策略

应急应对策略：仅在特定事件发生时才采用的应对措施。

• 有充分的预警信号，应该制定仅在某些预定条件出现时才执行的应对计划或弹回计划。

残余风险和次生风险

• 残余风险：执行风险应对计划后仍然残留的风险，通常是可接受的。
• 次生风险：实施风险应对措施而直接产生的风险

数据分析

• 备选方案分析：对备选风险应对方案的特征和要求进行简单比较，进而确定哪个应对方案最为适用。
• 成本效益分析：确定备选风险应对策略的成本有效性。

输出

风险登记册：需要更新以记录选择和商定的风险应对措施。更新可能包括：

1. 商定的应对策略
2. 实施所选应对策略所需要的具体行动
3. 风险发生的触发条件、征兆和预警信号
4. 实施所选应对策略所需要的预算和进度活动
5. 应急计划及启动该计划所需的风险触发条件
6. 回退计划，供风险发生且主要应对措施不足以应对时使用
7. 采取预定应对措施之后仍存在的残余风险，以及被有意接受的风险
8. 由实施风险应对措施而直接导致的次生风险。（如软件的补丁增量，可能引发新的错误）。

风险报告：更新以记录针对当前整体项目风险敞口和高优先级风险的经商定的应对措施，以及实施这些措施之后的预期变化。

变更请求：规划风险应对后，可能会就成本基准和进度基准，或项目管理计划的其他组件提出变更请求。

实施风险应对

实施风险应对：执行商定的风险应对计划的过程。

本过程的作用：①确保按计划执行商定的风险应对措施；②管理整体项目风险入口、最小化单个项目威胁，以及最大化单个项目机会。

只有风险责任人以必要的努力去实施商定的应对措施，风险才能得到主动管理。

输入

• 风险管理计划：列明了与风险管理相关的项目团队成员和其他干系人的角色和职责。
• 风险登记册：记录了每个风险的应对措施，并指定责任人。

工具与技术

• 影响力：有些风险应对措施可能由直属项目团队以外的人员去执行，或由存在其他竞争性需求的人员去执行。这种情况下，负责引导风险管理过程的项目经理或人员就需要施展影响力，去鼓励指定的风险责任人采取所需的行动。

输出

• 变更请求
• 项目文件(更新)

监督风险

监督风险：在整个项目期间，监督商定的风险应对计划的实施、跟踪已识别风险、识别和分析新风险，以及评估风险管理有效性的过程。

本过程的作用：使项目决策都基于关于整体项目风险敞口和单个项目风险的当前信息。

输入

• 项目管理计划

• 项目文件

  问题日志：用于检查未决问题是否更新，并对风险登记册进行必要更新。

  经验教训登记册、风险登记册、风险报告

• 工作绩效数据、工作绩效报告

工具与技术

• 储备分析：在项目的任一时点比较剩余应急储备与剩余风险量，从而确定剩余储备是否仍然合理。

  可以用各种图形（如燃尽图）来显示应急储备的消耗情况。

• 风险审计：评估风险管理过程的有效性。（第二大审计，针对过程）

  可开展的地方：日常项目审查会、风险审查会、专门的风险审计会。

• 风险审查会

  检查和记录风险应对在处理整体项目风险和已识别单个项目风险方面的有效性。

  识别出新的单个项目风险（包括已商定应对措施所引发的次生风险），重新评估当前风险，关闭已过时风险。

输出

• 风险登记册：添加新风险、更新已过时风险或已发生风险，以及更新风险应对措施。
• 风险报告：随着监督风险过程生成新信息，而更新风险报告。