软考高项（十五）项目风险管理 ★重点集萃★

👑 个人主页 👑 ：😜😜😜Fish_Vast😜😜😜
🐝 个人格言 🐝 ：🧐🧐🧐说到做到，言出必行🧐🧐🧐
🐸 推荐专栏 🐸 ：SpringBoot
🐸 推荐专栏 🐸 ：Java基础
🐸 推荐专栏 🐸 ：软考
🍉 博客描述 🍉 ：行好每一次程，写好每一篇文！
🍀 本篇简介 🍀 ：分享软考高项核心考点之项目风险管理内容。

输入、输出、工具与技术

1、项目风险管理过程包括：

2、风险事件的随机性：风险事件的发生及其后果都具有偶然性。风险事件具有随机性。

3、风险的相对性：同样的风险对于不同的主体有不同的影响。
（1）收益的大小：收益越大，人们愿意承担的风险也就越大。
（2）投入的大小：项目活动投入得越多，愿意冒的风险也就越小。
（3）项目活动主体的地位和拥有的资源：级别高的管理人员比级别低的管理人员能够承担的风险相对要大。个人或组织拥有的资源越多，其风险承受能力也越大。

4、风险的可变性：
（1）风险性质的变化；
（2）风险后果的变化；
（3）出现新风险

5、按照后果的不同，风险可划分为纯粹风险和投机风险。
（1）纯粹风险。不能带来机会、无获得利益可能得风险，叫纯粹风险。
（2）投机风险。既可能带来机会、获得利益，又隐含威胁、造成损失的风险，叫投机风险。

6、纯粹风险和投机风险在一定条件下可以相互转化。项目管理人员必须避免投机风险转化为纯粹风险。

7、风险不是零和游戏。很多情况下，涉及风险的各个方面都要蒙受损失，无一幸免。

8、按风险的可预测性划分，风险可以分为已知风险、可预测风险和不可预测风险。
（1）已知风险。已知风险是指在认真、严格地分析项目及其计划之后就能够明确的那些经常发生的，而且其后果亦可预见的风险。
（2）可预测风险。可预测风险是指根据经验，可以预见其发生，但不可预见其后果的风险。
（3）不可预测风险。不可预测风险是指有可能发生，但其发生的可能性即使最有经验的人亦不可能预见的风险。不可预测风险有时也称为未知风险或未识别的风险。它们是新的、以前未观察到或很晚才显现出来的风险。这些风险一般是外部因素作用的结果，例如地震、百年不遇的暴雨、通货膨胀和政策变化等。

9、风险事件造成的损失或减少的收益以及为防止发生风险采取预防措施而支付的费用，都构成了风险成本。风险成本包括有形成本、无形成本以及预防与控制风险的成本。

10、风险损失的有形成本包括风险事件造成的直接损失和间接损失。
（1）直接损失。直接损失指财产损毁和人员伤亡的价值。
（2）间接损失。间接损失指直接损失以外的其他损失、责任损失以及因此而造成的收益的减少。

11、风险损失的无形成本指由于风险所具有的不确定性而使项目主体在风险事件发生之前或之后付出的代价。主要表现在如下三个方面：
（1）风险损失减少了机会。
（2）风险阻碍了生产率的提高。
（3）风险造成资源分配不当。

12、风险管理计划描述如何安排与实施风险管理活动。风险管理计划内容主要包括：
（1）风险管理策略：描述用于管理本项目风险的一般方法。
（2）方法论：确定用于开展本项目风险管理的具体方法、工具及数据来源。
（3）角色与职责：确定每项风险管理活动的领导者、支持者和团队成员，并明确职责。
（4）资金：确定开展项目风险管理活动所需资金，制定应急储备和管理储备使用方案。
（5）时间安排：确定在项目生命周期中实施项目风险管理过程的时间和频率，确定风险管理活动并将其纳入项目进度计划。
（6）风险类别：确定对项目风险进行分类的方式。通常借助风险分解结构（RBS）来构建风险类别。风险分解结果是潜在风险来源的层级展现。风险分解结构有助于项目团队考虑单个项目风险的全部可能来源，对识别风险或归类已识别风险特别有用。
（7）干系人风险偏好：应在风险管理计划中记录项目关键干系人的风险偏好。应该针对每个项目目标，把干系人的风险偏好表述成可测量的风险临界值。这些临界值不仅将联合决定可接受的整体项目风险忍受水平，而且也用于制定概率和影响定义。
（8）风险概率和影响：根据具体的项目环境、组织和关键干系人的风险偏好和临界值，来制定风险概率和影响。
（9）概率和影响矩阵：概率和影响可以用描述性术语（如很高、高、中、低和很低）或数值来表达。如果使用数值，就可以把两个数值相乘，得出每个风险的概率–影响分值，以便据此在每个优先级组别之内排列单个风险相对优先级。
（10）报告格式：确定将如何记录、分析和沟通项目风险管理过程的结果。在这一部分，描述风险登记册、风险报告以及项目风险管理过程的其他输出的内容和格式。
（11）跟踪：确定将如何记录风险活动，以及如何审计风险的管理过程。

13、识别风险时，要同时考虑单个项目风险以及整体项目风险的来源。风险识别活动的参与者可能包括：项目经理、项目团队成员、项目风险专家、客户、项目团队外部的主题专家、最终用户、其他项目经理、运营经理、干系人和组织内的风险管理专家、应鼓励所有项目干系人参与项目风险的识别工作。

14、应采用统一的风险描述格式来描述和记录项目风险，以确保每一项风险都被清楚、明确地理解，从而为有效的分析和风险应对措施制定提供支持。

15、在整个项目生命周期中，单个项目风险可能随项目进展而不断变化，整个项目风险的级别也会发生变化。因此，识别风险是一个迭代的过程。迭代的频率和每次迭代所需的参与程度因情况而异。

16、核查单：基于从类似项目和其他信息来源积累的历史信息和知识来编制核查单。编制核查单时，可列出过去曾出现且可能与当前项目相关的具体项目风险。虽然核查单简单易用，但它不可能穷尽所有风险。还应该不时地审查核查单，增加新信息，删除或存档过时信息。

17、假设条件和制约因素分析：每个项目及其项目管理计划的构思和开发都基于一系列的假设条件，并受一系列制约因素的限制。这些假设条件和制约因素往往都已纳入范围基准和项目估算。开展假设条件和制约因素分析来探索假设条件和制约因素的有效性，确定其中哪些会引发项目风险。从假设条件的不准确、不稳定、不一致或不完整，可以识别出威胁；通过清除或放松会影响项目或过程执行的制约因素，可以创造出机会。

18、SWOT分析：对项目的优势、劣势、机会和威胁进行逐个检查。在识别风险时，它会将内部产生的风险包含在内，从而拓宽识别风险的范围。首先，关注项目、组织或一般业务领域，识别出组织的优势和劣势；然后，找出组织优势可能为项目带来的机会和组织劣势可能造成的威胁。还可以分析组织优势能在多大程度上克服威胁，组织劣势是否会妨碍机会的产生。

19、文件分析：通过对项目文件的结构化审查，可以识别出一些风险。

20、提示清单式关于可能引发项目风险来源的风险类别的预设清单。在采用风险识别技术时，提示清单可作为框架用于协助项目团队形成想法。可以用风险分解结构底层的风险类别作为提示清单，来识别单个项目风险。某些常见的战略框架更适用于识别整体项目风险的来源。

21、风险登记册记录已识别项目风险的详细信息。当完成识别风险过程时，风险登记册的内容主要包括：
（1）已识别风险的清单：在风险登记册中，每个项目风险都被赋予一个独特的标识号。需要按照所需的详细程度对已识别风险进行描述，确保明确理解。
（2）潜在风险责任人：如果已在识别风险过程中识别出潜在的风险责任人，就要把该责任人记录到风险登记册中。
（3）潜在风险应对措施清单：如果已在识别风险过程中识别出某种潜在的风险应对措施，就要把它记录到风险登记册中。随后将由规划风险应对过程进行确认。

22、风险报告提供关于整体项目风险的信息，以及关于已识别的单个项目风险的概述信息。风险报告的编制是一项渐进式的工作。随着实施定性风险分析、实施定量风险分析、规划风险应对、实施风险应对和监督风险过程的完成，这些过程的结果也需要记录在风险登记册中。完成识别风险过程时，风险报告内容主要包括：
（1）整体项目风险的来源：说明哪些是整体项目风险的最重要因素；
（2）关于已识别单个项目风险的概述信息：例如，已识别的威胁与机会的数量、风险在风险类别中的分布情况、测量指标和发展趋势。

23、实施定性风险分析能为规划风险应对过程确定单个项目风险的相对优先级。本过程会为每个风险识别出责任人，以便由他们负责规划风险应对措施，并确保应对措施的实施。如果需要开展实施定量风险分析过程，那么实施定性风险分析也能为其奠定基础。

24、根据风险管理计划的规定，在整个项目生命周期中要定期开展实施定性风险分析过程。在敏捷或适应型开发环境中，实施定性风险分析过程通常要在每次迭代开始前进行。

25、风险数据质量评估旨在评价关于单个项目风险的数据的准确性和可靠性。

26、风险概率和影响评估。风险概率评估考虑的是特定风险发生的可能性，而风险影响评估考虑的是风险对一项或多项项目目标的潜在影响。低概率和影响的风险将被列入风险登记册中的观察清单，以供未来监控。

27、其他风险参数评估。在对单个项目风险进行优先级排序时，项目团队可能考虑如下其他风险特征：

28、风险分类：对风险进行分类，有助于把注意力和精力集中到风险可能发生的最大的领域，或针对一组相关的风险制定通用的风险应对措施，从而有利于更有效地开展风险应对。

29、层级图：如果使用了两个以上的参数对风险进行分类，那就不能使用概率和影响矩阵，而需要使用其他图形。例如，气泡图能显示三维数据。在气泡图中，把每个风险都绘制成一个气泡，并用x轴值，y轴值和气泡大小来表示风险的3个参数。气泡图如图所示，其中，x轴代表可监测性，y轴代表邻近性，影响值则以气泡大小表示。

30、并非所有项目都需要实施定量风险分析。项目风险管理计划会规定是否需要使用定量风险分析。定量分析适用于大型或复杂的项目，具有战略重要性的项目，合同要求进行定量分析的项目和主要干系人要求进行定量分析的项目。能否开展稳健的定量分析取决于是否有单个项目风险和其他不确定性来源的高质量数据，以及与范围、进度和成本相关的扎实的项目基线。

31、不确定性表现方式：需要建立能反映单个项目风险和其他不确定性来源的定量风险分析模型，并为之提供输入。三角分布、正态分布、对数正态分布、贝塔分布、均匀分布或离散分布。

32、模拟：在定量风险分析中，使用模型来模拟单个项目风险和其他不确定性来源的综合影响，以评估它们对项目目标的潜在影响。模拟通常采用蒙特卡洛分析，如下图所示。

33、敏感性分析：有助于确定哪些单个项目风险或不确定性来源对项目结果具有最大的潜在影响。敏感性分析的结果通常用龙卷风图来表示，如下图所示。

34、决策树分析：预期货币价值，如下图所示。

35、影响图：不确定条件下进行决策的图形辅助工具。它将一个项目或项目中的一种情境表现为一系列实体、结果和影响，以及它们之间的关系和相互影响。如果因为存在单个项目风险或不确定性来源而影响图中的某些要素的不确定性，就在影响图中以区间或概率分布的形式表示这些要素；然后，借助模拟技术（如蒙特卡洛分析法）来分析哪些要素对重要结果具有最大的影响。影响图分析可以得出类似于其他定量风险分析的结果，如S曲线图和龙卷风图。见下图所示。

36、风险应对方案应该与风险的重要性相匹配，并且能够经济有效地应对挑战，同时在当前项目背景下现实可行，获得全体干系人的同意，并由一名责任人具体负责。

37、针对危险，可以考虑如下5中备选的应对策略：
（1）上报。如果项目团队或项目发起人认为某威胁不在项目范围内，或提议的应对措施超出了项目经理的权限，就应该采用上报策略。被上报的风险将在项目集层面、项目组合层或组织的其他相关部门加以管理，而非项目层面。项目经理确定应就威胁通知哪些人员，并向该人员或组织部门传达关于该威胁的详细信息。对于被上报的威胁，组织中的相关人员必须愿意承担应对责任，这一点非常重要。威胁通常要上报给其目标会受该威胁影响的层级。威胁一旦上报，就不再由项目团队做进一步监督，虽然仍可出现在风险登记册中供参考。
（2）规避。风险规避是指项目团队采取行动来消除威胁，或保护项目免受威胁的影响。它可能适用于发生概率较高，且具有严重负面影响的高优先级的威胁。规避策略可能涉及变更项目管理计划的某些方面，或改变会受负面影响的目标，以便于彻底消除威胁，将它的发生概率降低到零。风险责任人也可以采取措施，来分离项目目标与风险万一发生的影响。规避措施可能包括消除威胁的原因、延长进度计划、改变项目策略，或缩小范围。有些风险可通过澄清需求、获取信息、改善沟通或取得专有技能来加以规避。
（3）转移。转移涉及将应对威胁的责任转移给第三方，让第三方管理风险并承担威胁发生的影响。采用转移策略通常需要向承担威胁的一方支付风险转移费用。风险转移可能需要通过一系列行动才得以实现，主要包括购买保险、使用履约保函、使用担保书和使用保证书等；也可以通过签订协议，把具体风险的归属和责任转移给第三方。
（4）减轻。风险减轻是指采取措施来降低威胁发生的概率和影响。提前采取减轻措施通常比威胁出现后尝试进行弥补更加有效。减轻措施包括采用较简单的流程、进行更多次测试和选用更可靠的卖方。还可能涉及原型开发，以降低从实验台模型放大到实际工艺或产品中的风险。如果无法降低概率，也许可以从决定风险严重性的因素入手，来减轻风险发生的影响。例如，在一个系统中加入冗余部件，可减轻原始部件故障所造成的影响。
（5）接受。风险接受是指承认威胁的存在。此策略可用于低优先级威胁，也可用于无法以任何其他方式经济有效地应对的威胁。接受策略又分为主动或被动方式。最常见的主动接受策略是建立应急储备，包括预留时间、资金或资源以应对出现的威胁；被动接受策略则不会主动采取行动，而只是定期对威胁进行审查，确保其并未发生重大改变。

38、针对机会，可以考虑如下5种备选策略：
（1）上报。如果项目团队或项目发起人认为某机会不在项目范围内，或提议的应对措施超出了项目经理的权限，就应该采取上报策略。被上报的机会将在项目集层面、项目组合层面或组织的其他项目部门加以管理，而非项目层面。项目经理确定应就机会通知哪些人员，并向该人员或组织部门传达关于该机会的详细信息。对于被上报的机会，组织中的相关人员必须愿意承担应对责任，这一点非常重要。机会通常要上报给其目标会受该机会影响的那个层级。机会一旦上报，就不再由项目团队做进一步监督，虽然仍可出现在风险登记册中供参考。
（2）开拓。如果组织想确保把握住高优先级的机会，就可以选择开拓策略。此策略将特定机会的出现概率提高到100确保其肯定出现，从而获得与其相关的收益。开拓措施可能包括：把组织中最有能力的资源分配给项目来缩短完工时间，或采用全新技术活技术升级来节约项目成本并缩短项目持续时间。
（3）分享。分享涉及将应对机会的责任转移给第三方，使其享有机会所带来的部分收益。必须仔细为已分享的机会安排新的风险责任人，让那些最有能力为项目抓住机会的人担任新的风险责任人。采用机会应对策略，通常需要向承担机会应对责任的一方支付风险费用。分享措施包括建立合伙关系，合作团队、特殊公司和合资企业分享机会。
（4）提高。提高策略用于提高机会出现的概率和影响。提前采取提高措施通常比机会出现后尝试改善收益更加有效。通过关注其原因，可以提高机会出现的概率；如果无法提高概率，也许可以针对决定其潜在收益规模的因素来提高机会发生的影响。机会提高措施包括为早日完成活动而增加资源。
（5）接受。接受机会是指承认机会的存在。此策略可用于低优先级机会，也可用于无法以任何其他方式经济有效地应对的机会。接受策略又分为主动接受策略和被动接受策略。最常见的主动接受策略是建立应急储备，包括预留时间、资金或资源，以便在机会出现时加以利用；被动接受策略则不会主动采取行动，而只是定期对机会进行审查，确保其并未发生重大改变。

39、应急应对策略：可以设计一些仅在特定事件发生时才采用的应对措施。对于某些风险，如果项目团队相信其发生会有充分的预警信号，那么就应该制订仅在某些预定条件出现时才执行的应对计划。

40、风险应对措施的规划和实施不应只针对单个项目风险，还应针对整体的项目风险。用于应对单个项目风险的策略也适用于整体项目风险：
（1）规避。如果整体项目风险有严重的负面影响，并已超出商定的项目风险临界值，就可以采用规避策略。此策略涉及采取集中行动，弱化不确定性对项目整体的负面影响，并将项目拉回到临界值以内。例如，取消项目范围中的高风险工作，就是一种整个项目层面的规避措施。如果无法将项目拉回到临界值以内，则可能取消项目。这是最极端的风险规避措施，仅适用于威胁的整体级别在当前和未来都不可接受的情况。
（2）开拓。如果整体项目风险有显著的正面影响，并已超出商定的项目风险临界值，就可以采用开拓策略。此策略涉及采取集中行动，获得不确定性对整体项目的正面影响。例如，在项目范围中增加高收益的工作，以提高项目对干系人的价值或效益；或者，也可以与关键干系人协商修改项目的风险临界值，以便将机会包含在内。
（3）转移或分享。如果整体项目风险的级别很高，组织无法有效加以应对，就可能需要让第三方代表组织对风险进行管理。若整体项目风险是负面的，就需要采取转移策略，这可能涉及支付风险费用：如果整体项目风险高度正面，则由多方分享，以获得相关收益。整体项目风险的转移和分享策略主要包括：建立买方和卖方分享整体项目风险的协作式业务结构、成立合资企业或特殊目的公司，或对项目的关键工作进行分包。
（4）减轻或提高。本策略涉及变更整体项目风险的级别，以优化实现项目目标的可能性。减轻策略适用于负面的整体项目风险，而提高策略则适用于正面的整体项目风险。减轻或提高策略包括重新规划项目、改变项目范围和边界、调整项目优先级、改变资源配置、调整交付时间等。
（5）接受。即使整体项目风险已超过商定的临界值，如果无法针对整体项目风险采取主动的应对策略，组织可能选择继续按当前的定义推动项目进展。接受策略又分为主动接受策略和被动接受策略。最常见的主动接受策略是为项目建立整体应急储备，包括预留时间、资金或资源，以便在项目风险超出临界值时使用；被动接受策略则不会主动采取行动，而只是定期对整体项目风险的级别进行审查，确保其未发生重大改变。

41、监督风险过程采用项目执行期间生成的绩效信息，以确定：
① 实施的风险应对是否有效；
② 整体项目风险级别是否已改变；
③ 已识别单个项目风险的状态是否改变；
④ 是否出现新的单个项目风险；
⑤ 风险管理方法是否依然适用；
⑥ 项目假设条件是否仍然成立；
⑦ 风险管理政策和程序是否已得到遵守；
⑧ 成本或进度应急储备是否需要修改；
⑨ 项目策略是否仍然有效等。

42、技术绩效分析：开展技术绩效分析，把项目执行期间所取得的技术成果与取得相关技术成果的计划进行比较。

43、储备分析：储备分析是指在项目的任一时点比较剩余应急储备与剩余风险量，从而确定剩余储备是否仍然合理。可以用各种图形（如燃尽图）来显示应急储备的消耗情况。

44、风险审计是一种审计类型，可用于评估风险管理过程的有效性。项目经理负责确保按项目风险管理计划所规定的频率开展风险审计。

45、适用于监督风险过程的会议是风险审查会。应该定期安排风险审查，来检查和记录风险应对在处理整体项目风险和已识别单个项目风险方面的有效性。