软考高项-项目风险管理

原文链接：https://www.zhihu.com/column/c_1846292668348493824

主线索

风险管理的必要性

• 你的项目技术负责人跳槽，其任务无人能接手。
• 你的分包商突然用手不干。
• 客户需求在项目中发生重大变化。
• 项目成员成效无法承担其他工作。
• 项目遇到难以解决的技术问题。
• 连续暴雨导致外部施工无法进行，进度严重延后。
• 设备或材料被盗，所有施工资料丢失。

风险管理的目的：

1. 利用或强化面临的风险（机会）。
2. 规避或减轻面临的风险（威胁）。

项目风险的特点

• 项目风险贯穿整个项目生命周期，并且项目的不同阶段会有不同的风险。
• 风险会随着项目的进展而变化，不确定性也会随着项目进展逐渐减少。
• 最大的不确定性存在于项目早期阶段，为了减少损失需要在早期阶段主动付出必要的代价。

项目风险管理的特点

• 项目风险管理的目的是在于降低风险的不利影响，提高项目成功的可能性。
• 项目风险管理过程是一个持续的动态过程。
• 项目风险管理同时兼顾两个方面的风险：
• 影响项目目标的单个风险；
• 由单个风险引发的其他风险，从而导致整体项目风险。
• 组织内部有一个地方可以去管理项目风险，平衡项目风险与收益，创造最大的项目价值。

风险的属性

1. 风险的随机性
2. 风险事件的发生及其后果都是具有偶然性的。许多事件的发生都遵循一定的统计规律，这种性质叫随机性。
3. 风险事件具有随机性。
4. 风险的相对性
5. 同样的风险对不同的主体有不同的影响。
6. 人的风险承受能力影响因素：
   1. 收益的大小：收益越大，人们愿意承担的风险也就越大。
   2. 投入的大小：投入的资金多，人们愿意承担的风险也就越小。
   3. 项目活动主体的地位和拥有的资源：级别高的管理人员比级别低的管理人员的风险相对要大。
7. 风险的可变性
8. 当前活动时的一切风险因环境发生变化时，自然会引起风险的变化。
9. 风险的可变性有如下定义：
   1. 风险性质的变化。
   2. 风险后果的变化。

按风险后果划分

1. 纯粹风险
2. 不能带来机会、无法获得利益可能的风险，称为纯粹风险。纯粹风险只有两种可能的后果：造成损失和不造成损失。纯粹风险造成的损失是绝对的损失。
3. 投机风险
4. 既可能带来机会、获得利益，又可能造成损失的风险，称为投机风险。投机风险有三种可能的后果：造成损失、不造成损失和获得利益。

纯粹风险和投机风险在一定条件下可以相互转化。项目管理人员必须避免将投机风险转化为纯粹风险，因为风险不是零和游戏。在多种情况下，损失及风险的各个方面都要受到损失，无一幸免。

按风险的可预测性划分

1. 已知风险
2. 已知风险是在认识、严密地分析项目及其计划之后能够明确发生的风险。它的后果是可预见的。已知风险发生的概率较高，但一般后果轻微。项目管理中的已知风险例子：项目目标不明确、过程中的变化设计及材料价格波动等。
3. 可预测风险
4. 可预测风险是指根据经验，可以预见其发生，但不预见其后果的风险。这类风险有时可能是明显的。项目管理中的例子有：业务不能及时审核批准，分包商不能及时交工、施工机械出现故障等。
5. 不可预测风险
6. 不可预测风险是指有可能发生，但其发生的概率并不明显的风险。这类风险也许未知或未被识别。它们往往是新的，以前未观察到或显现出来的风险。这些风险一般是外部因素作用的结果，如地震、百年不遇的洪涝等。

风险成本

1. 风险损失的有形成本
2. (1) 直接损失：直接损失指财产损坏和人员伤亡的价值。
3. (2) 间接损失：间接损失指直接损失以外的其他损失，责任损失以及因此而造成的收益减少，包括停工等发生的成本。
4. 风险损失的无形成本
5. 风险损失的无形成本是由于项目主体的不确定性而使项目在风险事件发生之前或之后的代价。
6. (1) 风险损失减少了机会。
7. (2) 风险阻碍了生产效率的提高。
8. (3) 风险导致资源分配不当。
9. 风险预防与控制的成本
10. 为了预防和控制风险损失，必然要采取各种措施。

管理新实践

项目风险管理的关注面正在扩大，尤其是发展趋势和新兴实践主要包括：

非事件类风险

目前，项目管理者识别并管理非事件类风险的意识正在不断加强。非事件类风险主要有两种类型： – 变异性风险：已规范的目标，活动或策略的某些类特性存在不确定性。例如，生产率可能会高或低于预期，测试发现的错误数可能多于预期或少于预期。变异性风险可以通过蒙特卡洛分析等方法处理，即用概率分布表示不确定的可能性，然后采取行动缩小可能结果的区间。 – 模糊风险：对未来可能发生事件存在的不确定性。知识不足可能影响项目达成目标的能力，不了解需求或未解决系统的问题，法框架的发展或项目内在的系统复杂性等。模糊风险需要先定义并明确理清的不确定处，通过获取外部专家的意见可以避免最佳实践的差异，也可以采用增加研讨、原型搭建等方法来处理模糊性风险。

项目韧性

有一种风险只有在发生后才能被发现，这种风险称为突发性风险。可以通过加强项目自主性来应对这种风险。要求重点如下：

1. 除了已知风险列出的风险预警，还要针对突发风险预留合理的预警时间。
2. 采用灵活的项目过程，包括实时的风险管理，以便在保持项目目标进展的正确方向时，及时应对突发风险。
3. 按照目标明确且具有时间限制的项目团队在商定范围内完成工作。
4. 留存早期预警信号，以尽早识别突发风险。

综合风险管理

项目在存在多个组织背景时，可能影响项目集或项目组合的整体风险面。应确保这些风险在层级管理时得到有效管理；而在层级之间识别其他风险，也可以有效给予项目团队管理支持，应该利用网络的风险管理方法，来确保所有风险管理工作的连续性。这样能促进项目与组织的整体具有风险控制的效率，有利于推动整体的价值。

裁剪考虑因素

每个项目都有其独特性，因此在必要时，可以对项目风险管理流程进行审视。裁剪时考虑的因素主要包括：

1. 项目规模：由于规模、进度、范围和人员的不同，项目规模要求采取细致的风险管理策略。
2. 项目类型：由于技术水平、新技术应用、行业或外部环境的复杂性，是否需要使用更复杂的风险管理方法或是简单易用的风险管理方法？
3. 项目环境：项目的影响因素有多个层次，项目风险的等级可能会因为创建环境的复杂性而有所不同，重要的风险是否会影响产品的质量？
4. 开发模式：选择敏捷或传统开发方式，项目的风险管理过程可以按阶段展开，敏捷或传统应如何在项目管理中体现？

敏捷与应对方法

• 从本质上讲，越来越变化的环境中存在着诸多的不确定性和风险。要应对快速变化，需采用敏捷对策管理方法。这要求团队常常审视自身的工作产品，增加知识的分享，以便快速识别风险。在选择每个阶段的工作内容时，都需要考虑风险；在每个阶段应及时识别、分析和管理风险。
• 此外，应对当前风险程度的深入理解，需定期更新需求文件，并持续更新项目优先级。

规划风险管理

作用

确保风险管理的水平、方法和可见度与项目风险程度相匹配，与对组织和其他干系人的重要程度相匹配。

ITTO

风险管理计划的内容

风险管理计划是项目管理计划的组成部分，描述如何安排与实施风险管理活动。风险管理计划的主要内容包括：

1. 风险管理策略；
2. 方法论；
3. 角色与职责；
4. 资金：确定开展项目风险管理活动所需资金，制定应急储备和管理储备使用方案；
5. 时间安排；
6. 风险分类：通常将风险分为结构（RBS）来帮助识别风险类别；
7. 个人风险偏好；
8. 风险概述及影响：根据具体的项目环境，组织和相关干系人的风险偏好值，来制定风险概述和影响；
9. 概括性影响标准：组织如何在项目开始前确定优先级排序规则，并制定其纳入组织过程资产，也为具体项目提供优先级排序；
10. 报告格式；
11. 跟踪：确认将如何记录风险活动，以及如何审计风险的管理过程。

风险分解结构（RBS）

样例

1. 项目
   1. 技术的
      1. 需求
      2. 技术
      3. 质量

1. 组织的
   1. 项目依赖关系
   2. 资金
   3. 优先级

风险管理计划

• 风险概率和影响
• 风险管理计划中，风险概率和影响的制定依据项目环境，组织及相关干系人的风险偏好值，来确定风险概况和影响。
• 项目可能自定义关于风险概率和影响级别的具体定义，也可以用组织的通用定义作为基础来制定。
• 根据扩展项目风险管理计划的详细程度，确定标准等级和影响级别对风险管理的方法，通常以类别（通常为五级）来应对更详细的风险管理方式。
• 通过对影响因素的评估（工具和技术）和正面机会（工期缩短、成本节约的效率改善），表格示例的量表可用于项目评估成效和机会。

风险管理计划 – 概率和影响矩阵

• 风险管理计划中，组织可在项目开始前确定优先级排序规则，并将其纳入组织过程资产，也可为具体项目量身定制优先级排序规则。
• 在常见的概率和影响矩阵中，会同时列出机会和威胁；以正面影响定义机会，以负面影响定义威胁。
• 概率和影响可以用描述性术语（如很高、高、中、低和很低）或数值来表达。
• 如果使用数值，就可以以两个数字相乘，得出每个风险的概率和影响值，以便对此在每个优先级组别之内排列表单。

识别风险

作用

1. 记录现有的单个项目风险，以及整体项目风险来源
2. 汇总相关信息，以便于项目团队能够恰当的应对已识别的风险。

识别风险重要注意事项

• 识别风险时，要同时考虑单个项目风险以及整体项目风险的来源。
• 风险识别活动的关键参与者包括：项目经理、项目团队成员、项目风险专家（若已指定）、客户、项目团队外部的主要干系人，最终用户等。
• 除了关键参与者，还应鼓励所有项目干系人参与项目风险的识别工作。
• 应采用统一的风险识别模式来捕捉和记录项目风险。
• 识别风险是一个持续的过程。

ITTO

SWOT分析

对项目的优势、劣势、机会和威胁（简称SWOT）进行检查。在识别风险时，它会将内部产生的风险包含在内，从而拓宽识别风险的范围。首先，关注项目、组织或一般业务领域，识别出组织的优势和劣势；然后，找出组织优势可能带来的机会和组织劣势可能造成的威胁。还可以分析组织优势能否在多大程度上克服威胁，组织劣势是否会酿成机会的产生。

风险登记册

风险登记册记录已识别项目风险的详细信息。随着实际施行风险分析、规划应对措施及监控风险等过程的发展，这些过程的结果也要记录入风险登记册。

1. 已识别风险的清单；
2. 潜在风险责任人：如果在识别风险过程中识别出潜在的风险责任人，就要把该责任人记录到风险登记册中。随后将由其施行性风险分析过程进行确认。
3. 潜在风险应对措施清单：如果在识别风险过程中识别出某种潜在的风险应对措施，就要把它记录到风险登记册中。随后将由规划风险应对过程进行确认。

补充风险管理重要概念

重点关注高优先级的风险

ITTO

数据表现-概率和影响矩阵

按照发生概率及一旦发生所造成的影响，对每个风险进行评级。在矩阵中显示组织对低风险、中风险、高风险所规定的临界值，根据这些临界值吧每个风险分别归入高风险、中风险或低风险。

风险值 = 风险发生概率×风险发生后的后果

数据分析-其他风险参数评估

层级图

如果使用了两个以上的参数对风险进行分类，就不能使用概率和影响矩阵，而需要使用其他图形。例如，气泡图能够显示三维数据。在气泡图中，将每个风险表示为一个气泡，并用 x（横）轴值、y（纵）轴值和气泡大小来表示三个参数。

X轴表示可检测性，Y轴表示临近性

实施定量风险分析

作用

1. 量化整体项目风险最大可能性
2. 提供额外的定量风险信息，一支持风险的应对规划 本过程并非项目必须，但如果采用，他会在整个项目期间持续开展。

定性风险分析：对风险进行排序 定量风险分析：对风险的影响进行量化

注意事项

• 并非所有项目都需要实施定量风险分析。项目风险管理计划会规定是否需要使用定量风险分析。定量分析适用于大规模或复杂的项目，具体要求进行定量分析的项目和相关要求应在项目风险管理计划中明确。
• 实施定量风险分析时，应遵循规范和流程，特别是要强调风险对项目目标的影响。
• 定量风险分析也可以在规划风险应对过程之后开展，以分析已规划的应对措施对风险降低的有效性。

ITTO

工具与技术-数据分析（模拟）

工具与技术-数据分析（敏感性分析）

有助于确定单个项目风险对不确定性资源对项目结果的最大潜在影响。 它在项目结果变量与风险分析模型中的主要变量之间建立联系。 敏感性分析的结果通常用龙卷风图表示，图中标志是确定项目风险分析模型中各项要素对其能影响的项目结果之间的关系程度。 这些要素可包括项目风险、易变的活动和具体的可明确定义特性；每个要素按其影响程度降序排列，形成典型的龙卷风状。

工具与技术-数据分析（决策树分析）

1. 用决策树在若干备选方案中选择一个最佳方案。
2. 在决策树中，使用不同的分支代表不同的决策或事件，即项目的备选路径。
3. 每个决策或事件都与相应的成本和单个项目风险（包括概率和影响）有关。
4. 决策树的节点表示特定路径发展的最后结果，可以是负面或正面的结果。
5. 在决策树分析中，通过计算每条分支的预期收益值，就可以选出最优的路径。

计算风险预期货币值（EMV）

预期货币值概率（）影响预期货币值=概率（P）×影响

规划风险应对

作用

1. 制定应对整体项目风险和单个项目风险的应对方法
2. 分配资源，并根据需要将相关活动添加进项目文件和项目管理计划中。

ITTO

威胁应对策略

机会应对策略

整体项目风险应对策略

实施风险应对

作用

1. 确保按计划执行商定的风险应对措施
2. 管理整体项目风险入口、最小化单个项目威胁，以及最大化按个项目机会。

ITTO

监督风险

作用

保证项目决策是在整体项目风险和单个项目风险当前信息的基础上进行

ITTO

风险审计

风险审计是一种审计类型，可用于评估风险管理过程的有效性。项目经理负责确保项目风险管理计划所规定的频率开展风险审计。风险审计可以在日常项目审查会和风险审查会上开展，团队也可以召集专门的风险审计会议。在实施审计前，应明确规定风险审计的程序和目标。