信息系统项目管理师教程（第4版）笔记——第 15 章 项目风险管理

第 15 章 项目风险管理项目风险管理就像给项目 “扫雷 抓机遇”—— 风险是不确定的事件或条件可能搞砸项目威胁也可能帮项目加分机会。核心是通过一套完整流程提前识别、分析风险制定应对方案全程监控既减少损失又放大收益。项目早期不确定性最高风险也最大越往后风险会逐渐减少。15.1 管理基础15.1.1 项目风险概述风险的两层含义单个风险影响项目目标的具体事件如供应商延期交货、技术故障整体项目风险多个单个风险 其他不确定性叠加的综合影响如多个供应商同时出问题导致项目全面延期。风险的核心影响负面风险会导致工期延误、成本超支、质量不达标正面风险能带来提前完工、成本节约、绩效提升。15.1.2 风险的属性随机性风险是否发生、何时发生、后果如何都具有偶然性比如暴雨导致工地停工无法精准预测暴雨时间相对性同一风险对不同主体影响不同承受能力也不同收益越大愿意承担的风险越高比如高回报的投资项目企业愿意冒延期风险投入越多越怕风险比如投入 1 亿的项目比投入 100 万的项目更怕失败资源越足承受能力越强大公司比小公司更能应对原材料涨价风险可变性风险会随条件变化而变性质变化十年前用新软件是高风险现在成了常规操作风险降低后果变化技术进步让风险损失减少比如备份技术降低数据丢失风险新风险出现为赶进度加资源可能引发成本超支的新风险。15.1.3 风险的分类通俗示例版分类维度具体类型通俗解释 例子按后果纯粹风险只有损失无收益如工地失火、设备故障投机风险有赚、有赔、无影响如房地产投资、新技术研发按来源自然风险自然力导致洪水、地震、暴雨人为风险人的活动导致设计错误、政策变化、操作失误按可管理性可管理风险能预测、能控制如材料价格波动可提前锁价不可管理风险无法预测如百年一遇的疫情按影响范围局部风险影响小非关键路径活动延期总体风险影响全局关键路径活动延期导致项目整体延期按可预测性已知风险常见、后果可预见需求变更、人员流动可预测风险能预见发生后果不确定业主审批延迟不可预测风险完全无法预见政策突变、突发自然灾害15.1.4 风险成本及其负担风险成本的三类构成有形成本看得见的损失直接损失设备损坏、医疗费间接损失停工损失、罚款无形成本看不见的损失机会成本资金投项目后无法再投其他赚钱项目生产率下降员工因风险焦虑导致效率低预防与控制成本为防风险花的钱买保险、做风险培训、配备备用设备成本负担方个体负担项目主体的损失如施工方因暴雨停工的损失社会负担其他相关方的损失如消防队为工地灭火的人力物力开销。15.1.5 管理新实践非事件类风险不再只关注 “会不会发生”还关注 “波动和未知”变异性风险已知范围但数值波动如生产率比目标高或低、测试缺陷数波动用蒙特卡洛分析处理模糊性风险不知道未来会发生啥如新技术原理不清、政策未来变化用原型开发、专家咨询填补认知缺口项目韧性应对突发性风险预留应急预算和时间灵活的变更管理流程授权团队在限制内自主决策整合式风险管理项目、项目集、组织层面联动管理风险如项目层面的供应商风险可升级到组织层面统一协调。15.2 项目风险管理过程15.2.1 过程概述项目风险管理包含 7 个核心过程循环迭代规划风险管理定 “怎么管风险” 的规则识别风险找出项目可能面临的所有风险实施定性风险分析给风险排优先级先处理啥、后处理啥实施定量风险分析量化风险影响如损失多少钱、延期多少天规划风险应对给每个风险定应对方案实施风险应对执行应对方案监督风险全程跟踪风险变化调整应对措施。15.2.2 裁剪考虑因素根据项目情况调整管理方法比如小项目简化风险管理流程不用复杂的定量分析复杂项目新技术、多接口用更稳健的风险管理如多轮风险识别、详细定量分析敏捷项目每个迭代都做风险识别和应对。15.2.3 敏捷与适应方法敏捷项目变化快、不确定性高风险管理要 “高频、快速”每个迭代前识别风险频繁审查增量成果快速分享风险信息按风险优先级调整迭代工作内容先处理高风险任务。15.3 规划风险管理规划风险管理是 “定风险管理制度”明确怎么识别、分析、应对风险确保管理水平和项目风险匹配。15.3.1 输入项目章程含项目总体风险、关键干系人项目管理计划各子计划如范围基准、进度基准项目文件干系人登记册了解干系人风险态度事业环境因素组织的风险临界值如允许的最大成本超支比例组织过程资产历史项目的风险模板、风险分解结构RBS。15.3.2 工具与技术专家判断找有风险管理经验的人提建议数据分析干系人分析法了解干系人风险偏好会议开规划会议确定风险管理规则如多久查一次风险。15.3.3 输出核心输出是风险管理计划项目管理计划的一部分主要内容风险类别用风险分解结构RBS分类示例RBS0 级RBS1 级RBS2 级项目风险所有来源技术风险需求定义、技术过程、技术兼容性管理风险沟通、资源提供、项目组合管理商业风险供应商、客户稳定性、合同条款概率和影响定义给概率如 “高概率” 是 51%-70%和影响如 “高影响” 是成本超支 100-500 万定标准概率和影响矩阵给风险打分排序示例高概率 高影响优先级 1立即处理低概率 低影响优先级 3列入观察清单其他干系人风险偏好、报告格式、跟踪方式。15.4 识别风险识别风险是 “找出所有可能的风险”记录风险特征全程迭代开展项目进展中会有新风险。15.4.1 输入项目管理计划范围基准可交付成果可能引发的风险、风险管理计划项目文件假设日志假设条件可能失效、需求文件、问题日志现有问题可能引发风险采购文档外部采购可能带来的风险如供应商延期协议合同条款、验收标准可能引发的风险事业环境因素行业风险数据库、类似项目研究资料组织过程资产历史项目的风险清单、核查单。15.4.2 工具与技术专家判断找行业专家、老项目经理提风险数据收集头脑风暴团队 外部专家一起 “发散”列出所有可能风险核查单用历史项目的风险清单做提醒如 “需求变更”“人员流动”访谈和资深干系人一对一聊挖掘隐性风险数据分析根本原因分析找风险的根源如 “延期风险” 的根源是 “资源不足”SWOT 分析分析项目优势、劣势、机会、威胁拓宽风险识别范围文件分析审查计划、合同、技术文档找模糊或不一致的地方如计划和合同验收标准冲突会议开风险研讨会集中识别风险。15.4.3 输出风险登记册核心记录已识别风险的详细信息包括风险清单每个风险有唯一标识潜在风险责任人潜在应对措施风险报告概述整体项目风险来源、已识别风险的分布如技术风险最多项目文件更新假设日志更新风险相关假设、问题日志记录新发现的问题。15.5 实施定性风险分析实施定性风险分析是 “给风险排优先级”通过评估概率、影响和其他特征确定哪些风险需要重点关注全程开展。15.5.1 输入项目管理计划风险管理计划概率影响定义、矩阵项目文件风险登记册已识别风险、干系人登记册风险责任人事业环境因素行业研究资料、商业风险数据库组织过程资产历史项目的定性分析结果。15.5.2 工具与技术专家判断评估风险的概率和影响数据收集访谈和风险责任人确认风险概率数据分析风险数据质量评估检查风险数据的准确性如数据不可靠需重新收集风险概率和影响评估给每个风险打分如 “需求变更” 概率 60%影响 “成本超支 200 万”其他风险参数评估紧迫性需尽快处理的风险、可管理性容易控制的风险风险分类按来源技术、管理、影响领域成本、进度分类方便制定通用应对方案数据表现概率和影响矩阵把风险映射到矩阵中分优先级高、中、低气泡图用三维数据展示风险如 X 轴可监测性、Y 轴邻近性、气泡大小代表影响会议开风险分析会确定风险优先级、分配责任人。15.5.3 输出项目文件更新风险登记册更新添加风险概率、影响、优先级、责任人、观察清单低优先级风险风险报告更新记录最重要的风险高优先级、优先级列表。15.6 实施定量风险分析实施定量风险分析是 “量化风险影响”对重要风险进行数值分析不是所有项目都需要如小项目可省略全程开展。15.6.1 输入项目管理计划风险管理计划、范围 / 进度 / 成本基准项目文件风险登记册高优先级风险、成本 / 持续时间估算、里程碑清单事业环境因素行业研究资料、商业风险数据库组织过程资产历史项目的定量分析结果。15.6.2 工具与技术专家判断帮助建立量化模型、解释结果数据收集访谈收集量化数据如风险发生的概率数值不确定性表现方式用概率分布表示不确定因素如活动持续时间用三角分布数据分析核心模拟常用蒙特卡洛分析通过数千次迭代模拟项目结果的分布如成本超支的概率输出 S 曲线敏感性分析找出对项目结果影响最大的风险用龙卷风图展示影响最大的风险在最上面决策树分析计算每个备选方案的预期货币价值EMV选最优方案。示例建设新厂投资 1.2 亿需求强劲60% 概率收益 8000 万需求疲软40% 概率亏损 3000 万EMV60%×8000 40%×(-3000)3600 万改造老厂投资 5000 万需求强劲60% 概率收益 7000 万需求疲软40% 概率收益 1000 万EMV60%×7000 40%×10004600 万选改造老厂EMV 更高影响图用图形展示风险、结果之间的关系辅助模拟分析。15.6.3 输出项目文件更新主要是风险报告整体项目风险量化结果如项目成功的概率 60%详细概率分析结果如应急储备需要 500 万才能达到 90% 的成功率单个风险优先级清单按敏感性分析结果排序风险应对建议如针对影响最大的风险制定强应对措施。15.7 规划风险应对规划风险应对是 “给风险定应对方案”针对整体项目风险和单个风险制定可选方案、选择策略、商定行动全程开展。15.7.1 输入项目管理计划风险管理计划、成本基准应急资金项目文件风险登记册优先级风险、风险报告整体风险级别、资源日历资源可用性事业环境因素干系人风险偏好组织过程资产历史项目的应对策略模板。15.7.2 工具与技术专家判断选择合适的应对策略数据收集访谈和风险责任人商定应对措施人际关系与团队技能引导协调各方达成共识应对策略核心风险类型应对策略通俗解释 例子威胁负面风险上报风险超出项目范围交给上级如政策风险交给公司法务规避消除风险如用成熟技术替代新技术规避技术风险转移把风险责任转给第三方买保险、签履约保函减轻降低概率或影响加冗余设备、多轮测试接受不采取行动低优先级风险如小概率的材料小幅涨价机会正面风险上报机会超出项目范围交给上级如大客户合作机会交给公司市场部开拓确保机会发生分配最优资源确保提前完工拿奖金分享和第三方共享机会和合作伙伴联合投标共享收益提高增加概率或影响加大宣传提高客户签约概率接受不主动行动低优先级机会如小客户的额外订单应急应对策略制定应急计划如 “如果供应商延期 10 天就启动备用供应商”明确触发条件整体项目风险应对策略针对整体风险的规避、开拓、转移 / 分享、减轻 / 提高、接受数据分析成本收益分析比较应对策略的成本和收益、备选方案分析选最优应对方案决策多标准决策分析按应对成本、有效性等标准排序。15.7.3 输出变更请求应对策略可能导致范围、进度、成本基准变更项目管理计划更新范围 / 进度 / 成本基准如增加应对活动的预算项目文件更新风险登记册更新记录应对策略、具体行动、触发条件、应急计划、次生风险如转移风险导致的费用增加风险风险报告更新记录商定的应对措施及预期效果。15.8 实施风险应对实施风险应对是 “执行应对方案”确保商定的措施落地避免 “只说不做”全程开展。15.8.1 输入项目管理计划风险管理计划角色职责项目文件风险登记册应对措施、责任人、风险报告整体风险应对策略组织过程资产历史项目的应对措施执行经验。15.8.2 工具与技术专家判断确认应对措施的执行方式人际关系与团队技能影响力推动非项目团队成员执行应对措施项目管理信息系统用软件跟踪应对措施的执行进度如把应对活动加入进度计划。15.8.3 输出变更请求执行应对措施可能导致的基准变更项目文件更新风险登记册更新记录应对措施的执行情况、风险状态如 “已关闭”“仍活跃”风险报告更新反映整体风险的变化如应对后整体风险级别降低经验教训登记册记录执行中的挑战和有效做法。15.9 监督风险监督风险是 “跟踪风险变化”检查应对措施效果识别新风险评估风险管理有效性全程开展。15.9.1 输入项目管理计划风险管理计划监督频率、政策项目文件风险登记册、风险报告、经验教训登记册工作绩效数据已实施的应对措施、已发生的风险、风险状态工作绩效报告偏差分析、挣值数据如成本超支可能引发新风险。15.9.2 工具与技术数据分析技术绩效分析对比实际技术成果和计划如实际缺陷数比计划多说明质量风险未控制好储备分析检查应急储备是否足够如应急资金只剩 10%但还有多个高风险未处理需补充审计风险审计评估风险管理过程的有效性如应对措施是否有效会议风险审查会定期召开检查风险状态、识别新风险、关闭过时风险。15.9.3 输出工作绩效信息风险管理的执行效果如 “80% 的高优先级风险已有效应对”变更请求需调整应对措施或基准的变更项目管理计划更新如风险管理计划调整监督频率项目文件更新风险登记册更新添加新风险、关闭过时风险、更新风险状态风险报告更新反映最新的整体风险级别和高优先级风险组织过程资产更新风险管理模板、经验教训。15.10 风险管理示例主要风险清单记录项目核心风险及应对进展定期维护如每周回顾示例本周排名上周排名持续周数风险应对进展115需求逐渐增加已制定需求变更控制流程完成 UI 原型收集需求255多余需求或开发设计聚焦核心功能评审用核对单检查 “多余设计”风险应对计划针对单个风险制定详细方案示例需求逐渐增加为什么需求泛滥可能达 40%导致成本超支、工期延误怎么做用 UI 原型收集高质量需求需求基线化变更需走正式流程分阶段交付减少变更必要性触发条件需求变更超基线 5%提升风险级别责任人工程负责人UI 原型、变更委员会变更控制、项目经理分阶段交付所需代价UI 原型需 1 人 6 个月分阶段交付增加 5% 工作量但减少集成风险。