软件项目管理-Risk-V300

1、AuthorVersionLast UpdatedVersion 3.0 by 李涛李涛nVersion 0.1, August 4, 2003nVersion 1.0, Nov 4, 2003nVersion 2.0, May 13, 2005nVersion 3.0, Oct 20, 2005n什么是风险？什么是风险？n对待风险的态度？对待风险的态度？n风险：可能发生并对项目产生危害的事件风险：可能发生并对项目产生危害的事件发生的可能性发生的可能性危害危害n当当风险（风险（Risk）就变成了就变成了问题（问题（Issue），当问题发生之前，其表象仅仅在于可能性当问题发生之前，其表象仅仅在于

2、可能性对可能发生的危害进行处理，风险管理对可能发生的危害进行处理，风险管理但如果风险已经转化成问题时，被称作危机管理但如果风险已经转化成问题时，被称作危机管理问题是风险的最终表现。但问题并不仅仅是在它发生的时候才出现，问题是风险的最终表现。但问题并不仅仅是在它发生的时候才出现，就如同质量问题。我们需要在风险转化成问题之前做准备工作就如同质量问题。我们需要在风险转化成问题之前做准备工作n实施风险管理并不能减少不确定性的危害，但能减少危害实施风险管理并不能减少不确定性的危害，但能减少危害产生的产生的意外意外及及损失损失n风险管理过程：风险管理过程：减少意外：识别出对项目产生危害的风险，风险识别减少

3、意外：识别出对项目产生危害的风险，风险识别减少损失：为风险造成的危害做准备，风险应对减少损失：为风险造成的危害做准备，风险应对有效投入：风险应对需要事前投入，在资源有限的情况下，关注影有效投入：风险应对需要事前投入，在资源有限的情况下，关注影响大的。风险分析响大的。风险分析变化：由于风险往往是来自外部的不确定性，关注其变化。风险监变化：由于风险往往是来自外部的不确定性，关注其变化。风险监控控n识别，分析，和应对计划都是属于计划的管理活动识别，分析，和应对计划都是属于计划的管理活动n风险缓解：事前投入风险缓解：事前投入n危机处理：事后补救危机处理：事后补救风险识别风险识别风险分析风险分析风险应对

4、计划风险应对计划风险列表风险影响危机处理危机处理风险缓解风险缓解风险转化风险应对计划n组织环境是否认可不确定性的存在组织环境是否认可不确定性的存在管理层是否认可不确定性？管理层是否认可不确定性？风险管理是需要投入的，对它的认可意味着你可以分配资源来降低风险管理是需要投入的，对它的认可意味着你可以分配资源来降低不确定性的危害不确定性的危害风险管理提供成本最低的不确定性防护风险管理提供成本最低的不确定性防护n对待不确定性的态度对待不确定性的态度不确定性并不可怕，但可怕的是忽视它不确定性并不可怕，但可怕的是忽视它对不确定性进行可能性分析，并为此做准备对不确定性进行可能性分析，并为此做准备n对计划的补

5、充对计划的补充计划过程的目的不仅仅是产生一个执行基准，但也必须清楚地了解计划过程的目的不仅仅是产生一个执行基准，但也必须清楚地了解基准存在的假设基础基准存在的假设基础计划没有被落实主要因素之一就是风险的影响计划没有被落实主要因素之一就是风险的影响n广义地说，项目在实施过程中的管理重点就在于控制不确广义地说，项目在实施过程中的管理重点就在于控制不确定性对项目的影响定性对项目的影响如果一切都会按照计划当中自觉地去运行的话，管理就简单了如果一切都会按照计划当中自觉地去运行的话，管理就简单了项目计划基于确定性信息项目计划基于确定性信息不确定性信息不确定性信息项目执行的真实状况项目执行的真实状况控制不确

6、定性的影响接近n如果从结果来说，我们需要知道在考虑了风险的情况下，如果从结果来说，我们需要知道在考虑了风险的情况下，项目结果的影响，这可以用如下的风险图来表示（项目结果的影响，这可以用如下的风险图来表示（PERT分析）分析）任务完成的时间任务完成的时间任务完成时间的可能性任务完成时间的可能性n识别出对项目产生影响的不确定性因素识别出对项目产生影响的不确定性因素n一种结构化的方法是从一种结构化的方法是从WBS出发，出发，WBS包含了完整的项包含了完整的项目产品范围和工作范围。你需要评估每一个工作单元的目目产品范围和工作范围。你需要评估每一个工作单元的目标是否会受到不确定性因素的影响。从而产生一个

7、和标是否会受到不确定性因素的影响。从而产生一个和WBS对应的对应的Risk Breakdown Structure我知道我知道什么我不知道我不知道什么我知道我不知道什么n范围：范围：是否变化？是否正确？是否变化？是否正确？n质量，时间和成本的不确定性因素最终导致的几乎都是针质量，时间和成本的不确定性因素最终导致的几乎都是针对项目实施效率的影响对项目实施效率的影响在软件行业中，由于成本几乎主要是人力成本，而人力成本和进度在软件行业中，由于成本几乎主要是人力成本，而人力成本和进度相关，所以实施效率就由项目进度决定相关，所以实施效率就由项目进度决定n风险识别的能力由什么决定？风险识别的能力由什么决定

8、？n在对待不确定性上，项目经理应该体现出：在对待不确定性上，项目经理应该体现出：对内部原因产生的不确定性，通过自身的管理能力来减少和消除不对内部原因产生的不确定性，通过自身的管理能力来减少和消除不确定性的影响确定性的影响对外部原因导致的不确定性，积累经验来提高预测可能出现的不确对外部原因导致的不确定性，积累经验来提高预测可能出现的不确定性来提早准备定性来提早准备n对不确定性管理的能力是通过实践中逐步积累的，积累的对不确定性管理的能力是通过实践中逐步积累的，积累的途径就是：从问题中学习和总结途径就是：从问题中学习和总结n风险管理最重要的环节就是识别出对项目最关键，最有影风险管理最重要的环节就是识

9、别出对项目最关键，最有影响的风险响的风险这一过程可以是结构化的，也可以是发散性的这一过程可以是结构化的，也可以是发散性的结构化的方法：审查组织级的风险检查表结构化的方法：审查组织级的风险检查表发散思维：头脑风暴发散思维：头脑风暴将识别出的风险列成清单将识别出的风险列成清单n以你过去经历的一个项目作为案例，无论该项目是否成功以你过去经历的一个项目作为案例，无论该项目是否成功都请总结和分析项目中存在的问题，总结避免问题重复出都请总结和分析项目中存在的问题，总结避免问题重复出现的方法现的方法完整描述项目的过程完整描述项目的过程分析其中存在的问题和现象分析其中存在的问题和现象总结避免的方法总结避免的方

10、法n对识别出来的风险进行分析的目的是评估其影响，包括：对识别出来的风险进行分析的目的是评估其影响，包括：定性分析和定量分析定性分析和定量分析n定性分析主要是以主观的估计为主，适合于难以量化的风定性分析主要是以主观的估计为主，适合于难以量化的风险事件险事件n风险概率（风险概率（Risk probabilityRisk probability）事件发生的可能性有多大？发生的频率是多少？事件发生的可能性有多大？发生的频率是多少？得失量（得失量（Amount at stakeAmount at stake），事件的影响（），事件的影响（Impact of eventImpact of event）。）

11、。可能造成的损失程度如何？可能造成的损失程度如何？风险风险概率概率影响影响(impact)(impact)关键设计者转到另外项目关键设计者转到另外项目3 34 4在验收前用户改变在验收前用户改变4 43 3不可能得到领域专家作分析不可能得到领域专家作分析4 44 4平台（编译器，平台（编译器，OSOS）有大量错误）有大量错误1 14 4硬件进口过度地延期硬件进口过度地延期4 44 4人员连续性低于平均水平人员连续性低于平均水平4 43 3开发过程不合适开发过程不合适1 12 2n风险量化主要是对风险事件进行量化基础的分析风险量化主要是对风险事件进行量化基础的分析n风险量化的技术：风险量化的技术

12、：期望货币值期望货币值EMVPERT技术技术nEMV = 风险事件的概率风险事件的概率 x 风险事件货币值风险事件货币值直观地以货币形式来表现直观地以货币形式来表现n期望货币值的广泛应用于决策科学期望货币值的广泛应用于决策科学决策树分析，基于决策树分析，基于EMV技术，将一系列事件分解为更小、更简单的技术，将一系列事件分解为更小、更简单的情况情况n评估识别出的风险对项目的影响评估识别出的风险对项目的影响对每一条风险进行分析，确认其发生的几率对每一条风险进行分析，确认其发生的几率对对WBS上的每一个工作单元评估其影响上的每一个工作单元评估其影响工作单元不一定取最底层工作单元不一定取最底层评估主要

13、从实现效率（时间和成本）的基础上来进行评估主要从实现效率（时间和成本）的基础上来进行对成本的评估是用期望货币值对成本的评估是用期望货币值EMV来评价来评价EMV = 风险发生后的损失风险发生后的损失 X 发生几率发生几率对进度的评估则要复杂很多，有很多风险模型，但我们采用对进度的评估则要复杂很多，有很多风险模型，但我们采用PERT分分析中的方法，最乐观，最可能，最悲观析中的方法，最乐观，最可能，最悲观最乐观：没有任何风险发生最乐观：没有任何风险发生最可能：根据以往经验，一定程度风险发生后最可能：根据以往经验，一定程度风险发生后最悲观：不期望的风险发生后最悲观：不期望的风险发生后n从前面风险分析

14、的结果上我们可以评估出那些对项目影响从前面风险分析的结果上我们可以评估出那些对项目影响较大的风险，对风险排列出优先级别较大的风险，对风险排列出优先级别这一排列显然是依据损失成本来说的这一排列显然是依据损失成本来说的这一排列会忽视进度的影响，所以如果需要把进度因素考虑进去的这一排列会忽视进度的影响，所以如果需要把进度因素考虑进去的话，你在估计风险发生的损失时，不仅仅考虑返工的成本，还需话，你在估计风险发生的损失时，不仅仅考虑返工的成本，还需要考虑进度超期之后的虚拟成本（例如订单丢失，合同取消，拖要考虑进度超期之后的虚拟成本（例如订单丢失，合同取消，拖延回款等）延回款等）很多项目软件项目也采取较粗

15、糙的风险评估方法，仅仅进行主观的很多项目软件项目也采取较粗糙的风险评估方法，仅仅进行主观的风险定性分析，则只能了解哪些风险对项目影响较大，但不能准风险定性分析，则只能了解哪些风险对项目影响较大，但不能准确评估影响程度确评估影响程度n风险反应计划：制定处理对项目的成功构成威胁或风险的风险反应计划：制定处理对项目的成功构成威胁或风险的计划计划n应对风险的措施：应对风险的措施：规避，规避，Contingency转移，转移，Transition接受，接受，Acceptance减轻，减轻，Abatementn规避，根除风险发生的原因规避，根除风险发生的原因工程法：防止风险因素出现工程法：防止风险因素出现

16、p减少已经存在的风险因素减少已经存在的风险因素p将风险因素与潜在受损目标隔离将风险因素与潜在受损目标隔离教育：使相关人员接受风险及风险管理教育教育：使相关人员接受风险及风险管理教育制度：以制度化的方式从事项目活动制度：以制度化的方式从事项目活动n转移：借用合同或协议，在风险一旦发生时将损失的一部转移：借用合同或协议，在风险一旦发生时将损失的一部分转移到项目以外的第三方身上。分转移到项目以外的第三方身上。转移风险的四种方式：出售、发包、开脱责任合同、保险和担保转移风险的四种方式：出售、发包、开脱责任合同、保险和担保回避：是指当项目风险潜在威胁发生可能性大，不利后果也太严重，回避：是指当项目风险潜

17、在威胁发生可能性大，不利后果也太严重，又无其它策略可用时，主动放弃项目或改变项目目标与行动方案，又无其它策略可用时，主动放弃项目或改变项目目标与行动方案，从而规避风险的一种策略。从而规避风险的一种策略。n减弱：通过减少风险事件发生的概率来减轻风险事件的影减弱：通过减少风险事件发生的概率来减轻风险事件的影响。注意和风险规避的区别响。注意和风险规避的区别n接受：风险发生时，接受其结果接受：风险发生时，接受其结果n根据风险优先级排列，为项目风险制定反应计划根据风险优先级排列，为项目风险制定反应计划对那些对项目影响程度较大的风险制定反应计划对那些对项目影响程度较大的风险制定反应计划反应计划分为风险发生

18、前的缓解计划和风险发生后的危机处理计划反应计划分为风险发生前的缓解计划和风险发生后的危机处理计划为风险缓解计划分配预算资源为风险缓解计划分配预算资源对某些损害程度高的风险制定危机处理计划对某些损害程度高的风险制定危机处理计划n但应该花费多少在风险管理成本上呢？也就是怎样平衡收但应该花费多少在风险管理成本上呢？也就是怎样平衡收益和投入呢？益和投入呢？n评估每一项风险的期望货币值评估每一项风险的期望货币值某任务，主力人员某任务，主力人员40可能出现离职，离职后会导致项目出现额外可能出现离职，离职后会导致项目出现额外的的4 staff-weeks成本，则该风险的损失为成本，则该风险的损失为4 sw

19、X 0.4 = 1.6 swn应对风险的风险储备金等同于所有风险损失的期望货币值应对风险的风险储备金等同于所有风险损失的期望货币值n风险是不确定性导致的项目损失，采取措施可以减少损失，风险是不确定性导致的项目损失，采取措施可以减少损失，但措施是在损失发生之前投入的。该投入多少呢？但措施是在损失发生之前投入的。该投入多少呢？这一点有点像质量管理中的预防和返工成本之间的关系，但出现质这一点有点像质量管理中的预防和返工成本之间的关系，但出现质量问题的几率是确定的（是由组织内部的能力来决定），而风险量问题的几率是确定的（是由组织内部的能力来决定），而风险发生的几率却是真正不确定的（有组织内不可控因素或

20、外部环境发生的几率却是真正不确定的（有组织内不可控因素或外部环境决定）。决定）。如同质量的经济性，过度预防和过高返工都是低效率。而最佳的做如同质量的经济性，过度预防和过高返工都是低效率。而最佳的做法是：预防的费用低于发生的返工成本法是：预防的费用低于发生的返工成本但在计算返工成本上，风险发生的损失和质量返工成本不一样。因但在计算返工成本上，风险发生的损失和质量返工成本不一样。因为前者是不确定性，后者是确定性为前者是不确定性，后者是确定性期望货币值期望货币值 (EMV) = 损失或收益损失或收益 X 可能性可能性质量的返工成本质量的返工成本 损失损失 X 100n即使采取措施，风险也可能会发生，这个时候就必须采取即使采取措施，风险也可能会发生，这个时候就必须采取额外措施来应对额外措施来应对接受，危机处理接受，危机处理n所以我们需要对风险进行监控所以我们需要对风险进行监控任务完成的时间任务完成的时间任务完成时间的可能性任务完成时间的可能性原来的风险分布原来的风险分布采取措施后的风险分布采取措施后的风险分布最后期限最后期限仍会发生不期望的事情仍会发生不期望的事情n按照风险反应计划实施风险缓解活动按照风险反应计划实施风险缓解活动n周期