【信息系统项目管理师】第十五章 项目风险管理 考试重点_在风险管理计划中,根据干系人风险偏好,有时可能需要转化成可量的风险临界值

15.1管理基础

项目风险是一种不确定的事件或条件，一旦发生，会对项目目标产生某种正面或负面的影响。项目风险既包括对项目目标的威胁，也包括促进项目目标的机会。

• 已知风险是那些已经经过识别和分析的风险，对于已知风险，对其进行规划，寻找应对方案是可行的；
• 未知风险是无法管理的，项目经理采取一般的应急措施处理未知风险；

项目在不同阶段会有不同的风险。风险会随着项目的进展而变化，不确定性也会着项目进展而逐渐减少。最大的不确定性存在于项目的早期。

项目风险管理的目的在于降低风险不利影响，提高项目成功的可能性。

项目风险管理过程是个持续的不断迭代的过程。在项目策划阶段就应进行项目风险管理的策划，并随着项目进展监督和管理风险，确保项目正常进行，遇到突发性风险也能得到有效应对并处理。

项目风险会对项目目标产生负面或正面的影响，也就是风险与机会。

项目风险管理的核心概念—–三种性质的项目风险:

• 已知——已知风险：已识别并分析过的风险，可对这些风险规划应对措施。（计入时间/成本）
• 已知——未知风险：已识别，但又无法主动管理的风险，要分配一定的应急储备。（应急储备)
• 未知——未知风险—无法进行主动管理，因此需要分配一定的管理储备。（管理储备）

风险的属性

风险的分类

风险成本包括有形成本、无形成本以及预防与控制风险的成本。

管理新实践

15.2项目风险管理过程

15.3规划风险管理

规划风险管理：规划风险管理过程在项目立项阶段就应开始，并在项目早期完成。在项目生命周期的后期，可能有必要重新开展本过程。

数据分析：干系人分析法，确定项目干系人的风险偏好。

风险管理计划内容：1.风险管理策略；2.方法论；3.角色与职责；4.资金；5.时间安排；6.风险类别；7.干系人风险偏好；8.风险概率和影响；9.概率和影响矩阵；10.报告格式；11.跟踪

• 风险类别：借助风险分解结构（RBS）来构建风险类别。
• 干系人风险偏好：应该针对每个项目目标，把干系人的风险偏好表述成可测量的风险临界值。
• 风险概率和影响：根据具体的项目环境、组织和关键干系人的风险偏好和临界值，来制定风险概率和影响。可能自行制定关于概率和影响级别的具体定义，或用组织提供的通用定义作为基础来制定。
• 概率和影响矩阵：如果使用数值，就可以把两个数值相乘（概率×影响），得出每个风险的概率-影响分值，以便据此在每个优先级组别之内排列单个风险相对优先级。

15.4识别风险

识别风险

• 识别风险时，要同时考虑单个项目风险以及整体项目风险的来源。风险识别活动的参与者可能包括：项目经理、项目团队成员、项目风险专家（若已指定）、客户、项目团队外部的主题专家、最终用户、其他项目经理、运营经理、干系人和组织内的风险管理专家。应鼓励所有项目干系人参与项目风险的识别工作。项目团队的参与尤其重要，以便培养和保持他们对已识别单个项目风险、整体项目风险级别和相关风险应对措施的主人翁意识和责任感。
• 应采用统一的风险描述格式来描述和记录项目风险，以确保每一项风险都被清楚、明确地理解，从而为有效的分析和风险应对措施制定提供支持。
• 在整个项目生命周期中，单个项目风险可能随项目进展而不断变化，整体项目风险的级别也会发生变化。因此，识别风险是一个迭代的过程。迭代的频率和每次迭代所需的参与程度因情况而异，应在风险管理计划中做出相应规定。

数据收集

数据分析

人际关系与团队技能：帮助参会者专注于风险识别任务、准确遵循与技术相关的方法，确保风险描述清晰、找到并克服偏见，以及解决任何可能出现的分歧。

提示清单：是关于可能引发项目风险来源的风险类别的预设清单。可以用风险分解结构底层的风险类别作为提示清单，来识别单个项目风险。某些常见的战略框架更适用于识别整体项目风险的来源，如外部影响（政策、经济、社会、技术、法律、环境）、内部影响（技术、环境、商业、运营、政治）和性质（易变性、不确定性、复杂性、模糊性）。

风险登记册：已识别风险的清单、潜在风险责任人、潜在风险应对措施清单。

风险登记册格式包括：简短的风险名称、风险类别、当前风险状态、一项或多项原因、一项或多项对目标的影响、风险触发条件（显示风险即将发生的事件或条件）、受影响的WBS组件，以及时间信息（风险何时识别、可能何时发生、何时可能不再相关，以及采取行动的最后期限）。

风险报告：整体项目风险的来源、关于已识别单个项目风险的概述信息。

风险登记处示例

15.5实施定性风险分析

实施定性风险分析

• 为了实现有效评估，就需要认清和管理本过程关键参与者对风险所持的态度。风险主观意识会导致评估已识别风险时出现偏见，所以应该注意找出偏见并加以纠正。
• 本过程会为每个风险识别出责任人，以便由他们负责规划风险应对措施，并确保应对措施的实施。如果需要开展实施定量风险分析过程，那么实施定性风险分析也能为其奠定基础。
• 在整个项目生命周期中要定期开展实施定性风险分析过程。在敏捷或适应型开发环境中，实施定性风险分析过程通常要在每次迭代开始前进行。

数据收集：访谈。结构化或半结构化的访谈可用于评估单个项目风险的概率和影响，以及其他因素。访谈者应该营造信任和保密的访谈环境，以鼓励被访者提出诚实和无偏见的意见。

数据分析

人际关系与团队技能：引导，能够提高对单个项目风险的定性分析的有效性。

风险分类

• 项目风险可依据风险来源、受影响的项目领域，以及其他实用类别（如项目阶段、项目预算、角色和职责）来分类，确定哪些项目领域最容易被不确定性影响；风险还可以根据共同根本原因进行分类。应该在风险管理计划中规定可用于项目的风险分类方法。
• 对风险进行分类，有助于把注意力和精力集中到风险可能发生的最大的领域，或针对一组相关的风险制定通用的风险应对措施，从而有利于更有效地开展风险应对。

数据表现

项目文件（更新）

• 假设日志：在实施定性风险分析过程中，可能做出新的假设、识别出新的制约因素，或者现有的假设条件或制约因素可能被重新审查和修改。
• 问题日志：应该更新问题日志，以记录发现的新问题或当前问题的变化。
• 风险登记册：更新内容可能包括：每项单个项目风险的概率和影响评估、优先级别或风险分值、指定风险责任人、风险紧迫性信息或风险类别，以及低优先级风险的观察清单和需要进一步分析的风险。
• 风险报告：更新风险报告，以记录最重要的单个项目风险（通常为概率和影响最高的风险）、所有已识别风险的优先级列表以及简要的结论。

15.6实施定量风险分析

实施定量风险分析

• 并非所有项目都需要实施定量风险分析。
• 定量分析适用于大型或复杂的项目，具有战略重要性的项目，合同要求进行定量分析的项目和主要干系人要求进行定量分析的项目。
• 在实施定量风险分析过程中，要使用被定性风险分析过程评估为对项目目标存在重大潜在影响的单个项目风险的信息。
• 定量风险分析也可以在规划风险应对过程之后开展，以分析已规划的应对措施对降低整体项目风险最大可能的有效性。

数据收集：访谈。当需要向专家征求信息时，访谈尤其适用。访谈者应营造信任和保密的访谈环境，以鼓励被访者提出诚实和无偏见的意见。

人际关系与团队技能：引导。在由项目团队成员和其他干系人参加的专门风险研讨会中，配备一名熟练的引导者，有助于更好地收集输入数据。

不确定性表现方式：如果活动的持续时间、成本或资源需求是不确定的，就可以在模型中用概率分布来表示其数值的可能区间。概率分布可能有多种形式，最常用的有三角分布、正态分布、对数正态分布、贝塔分布、均匀分布或离散分布。

数据分析

项目文件（更新）

• 风险报告内容：①对整体项目风险最大可能性的评估结果；②项目详细概率分析的结果；③单个项目风险优先级清单；④定量风险分析结果的趋势；⑤风险应对建议。

15.7规划风险应对

规划风险应对

• 风险应对方案应该与风险的重要性相匹配，并且能够经济有效地应对挑战，同时在当前项目背景下现实可行，获得全体干系人的同意，并由一名责任人具体负责。
• 如果选定的策略并不完全有效，或者发生了已接受的风险，就需要制订应急计划。同时，也需要识别次生风险。次生风险是实施风险应对措施直接导致的风险。

数据收集：访谈。项目风险的应对措施可以在与风险责任人的结构化或半结构化的访谈中制定。访谈者应该营造信任和保密的访谈环境，以鼓励被访者提出诚实和无偏见的意见。

人际关系与团队技能：引导，能够提高项目风险应对策略制定的有效性。熟练的引导者可以帮助风险责任人理解风险、识别并比较备选的风险应对策略、选择适当的应对策略，并克服偏见。

威胁应对策略

机会应对策略

应急应对策略

• 可设计一些仅在特定事件发生时才采用的应对措施。对于某些风险，如果项目团队相信其发生会有充分的预警信号，那么就应该制订仅在某些预定条件出现时才执行的应对计划。
• 应该定义并跟踪应急应对策略的触发条件，例如，未实现中间的里程碑，或获得卖方更高程度的重视。采用此技术制订的风险应对计划通常称为应急计划，其中包括已识别的，用于启动计划的触发事件。

次生风险：实施风险应对措施的直接结果。由于应对一个风险而产生的另一个风险

残余风险：执行风险应对计划后仍然残留的风险，通常是可接受的。

整体项目风险应对策略

数据分析

决策：多标准决策分析，有助于对多种风险应对策略进行优先级排序。

项目文件（更新）

• 风险登记册：内容包括：①商定的应对策略；②实施所选应对策略所需要的具体行动；③风险发生的触发条件、征兆和预警信号；④实施所选应对策略所需要的预算和进度活动；⑤应急计划及启动该计划所需的风险触发条件；⑥回退计划，供风险发生且主要应对措施不足以应对时使用；⑦采取预定应对措施之后仍存在的残余风险，以及被有意接受的风险；⑧由实施风险应对措施而直接导致的次生风险。
• 风险报告：更新以记录针对当前整体项目风险敞口和高优先级风险的经商定的应对措施，以及实施这些措施之后的预期变化。

15.8实施风险应对

实施风险应对：只有风险责任人以必要的努力去实施商定的应对措施，项目的整体风险入口和单个威胁及机会才能得到主动管理。

人际关系与团队技能：影响力。有些风险应对措施可能由项目团队以外的人员执行，或由存在其他竞争性需求的人员执行。这种情况下，负责引导风险管理过程的项目经理或人员就需要施展影响力，
去鼓励指定的风险责任人采取所需的行动。

15.9监督风险

监督风险过程采用项目执行期间生成的绩效信息，以确定：①实施的风险应对是否有效；②整体项目风险级别是否已改变；③已识别单个项目风险的状态是否已改变;④是否出现新的单个项目风险；⑤风险管理方
法是否依然适用；⑥项目假设条件是否仍然成立；⑦风险管理政策和程序是否已得到遵守;⑧成本或进度应急储备是否需要修改；⑨项目策略是否仍然有效等。

项目文件

• 问题日志：用于检查未决问题是否更新，并对风险登记册进行必要更新。
• 经验教训登记册:在项目早期获得的与风险相关的经验教训可用于后期阶段。
• 风险登记册：主要内容包括已识别单个项目风险、风险责任人、商定的风险应对策略，以及具体的应对措施。它可能还会提供其他详细信息，包括用于评估应对计划有效性的控制措施、风险的症状和预警信号、残余及次生风险，以及低优先级风险观察清单。
• 风险报告：包括对当前整体项目风险入口的评估，以及商定的风险应对策略，还会描述重要的单个项目风险及其应对计划和风险责任人。

数据分析

审计：风险审计可用于评估风险管理过程的有效性。

• 项目经理负责确保按项目风险管理计划所规定的频率开展风险审计。
• 风险审计可以在日常项目审查会和风险审查会上开展，团队也可以召开专门的风险审计会。
• 在实施审计前，应明确定义风险审计的程序和目标。

会议：应该定期安排风险审查，来检查和记录风险应对在处理整体项目风险和己识别单个项目风险方面的有效性。在风险审查中，还可以识别出新的单个项目风险（包括已商定应对措施所引发的次生风
险）、重新评估当前风险、关闭已过时风险、讨论风险发生所引发的问题，以及总结可用于当前项目后续阶段或未来类似项目的经验教训。根据风险管理计划的规定，风险审查可以是定期项目状态会中的一项议程，也可以召开专门的风险审查会。

项目中常见风险、原因、预防措施

典型的风险以及应对如下：

1.技术风险。产生原因通常有采用未经验证的新技术。

应对措施有：开发采用原型法，强化技术评审，全程不间断测试，及时备份等。

2.人员流失风险。产生原因有：压力过大、工作变动、缺乏激励措施、个人原因、项目周期冗长。

应对措施有：加强团队建设与管理，强化激励措施确保激励有效；一旦发生，及时安排人员接替离职人员工作，做好移交工作，确保项目进度不受影响。