东北大学软件项目管理与过程改进复习提纲（2020）——第十一章《项目风险管理》

整体结构

1 项目风险管理的重要性

1、项目风险管理是关于识别、分析、响应项目全生命周期内的风险，并最好的满足项目目标的科学与艺术

2、管理项目风险需要专用的、有才华的专业人士。PMI引进了PMI风险管理专业人员证书

3、项目风险管理的益处：

• 预料并避免问题
• 阻止突发事件
• 改善沟通交流
• 满足用户需求
• 减少项目进度拖延及成本超支

4、风险（risk）：损失或损害的可能性

5、项目风险更一般的定义：可能对项目目标产生负面或正面影响的不确定性

6、风险管理是一种投资，会产生成本

7、风险偏好：risk appetite，实体为了获得期望的回报愿意承担的不确定性程度

• 风险喜好型（risk-seeking）：当更多回报或资金处于风险中，从风险活动中获得的满意会越少，风险承受能力越低
• 风险厌恶型（risk-averse）：对风险有很高的承受力
• 风险中性型（risk-neutral）：

8、风险承受力：risk tolerance，项目或业务目标的潜在影响中实体能够接受的最大的偏差

9、风险效用：risk utility，从潜在回报中得到的满意度

10、已知风险：known risk
未知风险：unkonwon risk

11、风险管理的6个主要过程：

• 计划风险管理
  针对某一项目决定如何编制与计划风险管理活动
  输出：风险管理计划
• 识别风险
  决定哪些风险可能影响项目，并将每种风险的特性形成文档
  输出：风险登记表
• 定性风险分析
  根据发生概率和影响对风险进行优先级排序
  输出：项目文档的更新
• 定量风险分析
  量化分析每一个风险可能对项目目标造成的影响
  输出：项目文档的更新
• 计划风险响应
  采取应对步骤提高概率并降低威胁性以达到项目的各种目标
  输出：项目管理计划的更新、项目文档的更新
• 控制风险
  在整个项目生命周期中检测已识别和遗留的风险，识别新的风险，执行风险响应计划，评估风险响应策略的有效性
  输出：工作绩效信息、变更请求、项目管理计划更新、组织过程资产更新

2 计划风险管理

1、计划风险管理：决定如何编制和计划项目风险管理活动的过程

2、风险管理计划（risk management plan）：记录了项目全过程中的风险管理流程，是项目管理计划的子集

3、应急计划（contingency plan）：如果所识别的风险事件发生，项目团队将会采取的预先规定的措施

4、退路计划（fallback plan）：是对项目目标的完成具有很大影响的风险的风险编制计划

5、应急储备金（contigency reserve）、应急津贴（contingency allowance）：由项目发起人或组织所提供的储备，用于将项目成本或进度超出预期的风险降低到可接受的程度
6、管理储备金（management reserve）：为了管理控制未知风险而设立的，不是成本基线的一部分，但是预算和资金需求的一部分，在变更被批准后被添加到成本基线中

3 IT项目风险的一般来源

1、风险类型

• 市场风险
• 财务风险
• 技术风险
• 人力风险
• 结构/组织风险

2、风险分解结构（risk breakdown structure）：针对一个项目潜在风险的分级分类架构

4 识别风险

1、识别风险：理解哪些哪些潜在事件可能损害或增强某个特定项目的过程

4.1 对识别风险的建议

识别风险的工具和技术

1、项目团队经常通过查阅项目文档、组织的近期和历史相关信息、可能影响项目的假设开始风险的识别过程。项目团队成员和外部专家经常会举行会议讨论这些信息。

2、信息收集技术：头脑风暴、德尔菲技术、访谈、根源分析法

• 头脑风暴（brainstorming）
• 德尔菲技术（Delphi technique）：从一组预测未来发展的专家中得到一致的意见
• 访谈（interviewing）：通过面对面、电话、电子邮件等获取信息
• SWOT

3、风险识别另外三种技术

• 检查表
• 假设分析
• 创建图表

4.2 风险登记表

1、风险登记表（risk register）：包含了各个风险管理过程结果的温度

2、风险事件（risk event）：特定又不确定的事件，并且可能对项目造成危害或加强（产品性能测试失败、项目进度拖延）

3、表项

• 编号
• 级别：1表示最高
• 风险：风险名称
• 描述：风险描述
• 分类：风险事件的分类
• 根源：发生的根源，例如：有缺陷的服务器可能因为电力供应缺陷导致
• 触发器（trigger）：实际风险的指标或征兆
• 潜在响应
• 风险责任人（risk owner）
• 发生概率
• 影响：高、中、低
• 状态：风险事件发生了吗？响应措施完成了吗？风险事件与项目不再相关了吗？

5 定性分析

1、风险定性分析：评估风险的可能性和概率，确定其大小和优先级

5.1 概率/影响矩阵计算风险因子

1、概率/影响矩阵（probability/impact matrix）

2、一些项目团队通过概率的数字得分和影响的数字得分简单相乘的到风险得分

3、风险因子（riskfactor）：基于具体事件的发生概率和事件发生对项目的影响，得到表征事件总体风险的数字

5.2 十大风险事项跟踪

1、十大风险事项跟踪（top ten risk item tracking）：除了可以识别风险之外，还能通过监控风险在整个项目生命周期内保持风险意识，是管理部门或客户定期审查项目最重大的风险事项。

2、对项目十大风险的汇总：

• 各风险事件目前的级别
• 以前的级别
• 在一段时间内出现在列表上的次数
• 自从上次审查以来解决这一风险事项所取得的进展
  

6 定量分析

1、定量分析经常是在风险定性分析之后进行

2、主要技术：

• 数据收集：专家访谈、概率分配信息收集
• 风险定量分析
• 建模技术
• 专家判定

6.1 决策树和预期货币值

1、决策树（decision tree）

2、预期货币值（expected monetart value，EMV）：风险事件概率和风险事件货币值的乘积

6.2 模拟

1、蒙特卡洛分析（Monte Carlo analysis）：通过多次模拟一个模型的结果，来提供计算结果的统计分布

2、步骤

• 评估所考虑变量的范围
• 决定每个变量的概率分布
• 为每个变量根据概率分布选择一个随机值
• 利用每个变量选定的数值组合进行确定性分析
• 重复3、4，获得各模型结果的概率分布
  

6.3 灵敏度分析

1、灵敏度分析（sensitivity analysis）：通过改变一个或多个变量观察其对结果的影响

7 风险响应计划

1、应对负面风险的4项措施：

• 风险规避（risk avoidance）：消除某一具体的威胁
• 风险承担（risk acceptance）：接受后果
• 风险转移（risk transference）：将责任转给第三方
• 风险缓解（risk mitigation）：减少风险事件发生的概率（使用成熟的技术）

2、应对正面风险的4项措施：

• 风险开发（risk exploitation）：采取措施确保积极风险发生
• 风险共享（risk sharing）：把风险所有权分享给另外一方
• 风险增强（risk enhancement）：通过识别和最大化风险的关键驱动因素来增大机会
• 风险承担（risk acceptance）：不采取任何行动

3、风险响应策略还包括残余风险和二次风险的识别

• 残余风险（residual risk）：实施风险响应策略后剩余的风险
• 二次风险（secondary risk）：实施风险响应策略后的直接结果

8 控制风险

1、控制风险包括执行风险管理过程以应对风险事件，执行风险管理过程指确保风险意识是一项在整个项目过程中，全部由项目团队成员执行的不间断的活动

2、实施单独的风险管理计划：制定的里程碑检测风险、制定关于风险和风险响应的策略

3、在项目组没有可使用的应急计划时，会使用权变措施（workaround），对风险事件的未经计划的响应措施