基于CMMI软件项目风险管理探究

1、基于cmmi软件项目风险管理探究摘要：有效的风险管理将提高软件产品质量、减少软件开 发成本和保证软件产品按时交付。该文描述了基于cmmi模 型的风险管理流程，对风险准备、风险评估和风险控制进行 了详细的分析研究。满足了 cmmi模型风险管理过程域的实 践要求，为改进软件过程以及软件项目经理进行风险管理提 供参考。关键词：cmmi；风险管理；风险评估；风险控制 中图分类号：tp311文献标识码：a文章编号： 1009-3044 (2013) 01-0063-04软件企业为了提高软件产品质量、减少软件产品成本、 保证软件产品按时交付、拿到通往国际软件开发的通行证， 引入了软件能力成熟度模型集成(c

2、mmi)。风险管理是一个持续的、前瞻的过程。持续性要求在软 件项目生存周期所有阶段标识和缓解风险，前瞻性要求关注 项目中的不确定性并进行预测，尽早标识风险。风险管理的 目标是在风险发生前识别风险，采取措施缓解风险，把风险 造成的影响降到最小。风险管理将直接影响到软件项目qcd 指标的实现，是影响软件项目成败的关键因素之一。cmmi模型风险管理过程域包括了 3个专用目标以及7个 专用实践的要求。专用目标sg1风险管理准备包括了 3个专 用实践：sp1. 1确定风险来源和类别；sp1.2定义风险参数; sp1.3建立风险管理策略。专用目标sg2识别和分析风险包 含了 2个专用实践：sp2. 1标识

3、风险；sp2. 2评价、分类和 排序风险。专用目标sg3缓解风险包括了 2个专用实践： sp3. 1制定风险缓解计划；sp3.2实施风险缓解计划。为达到cmmi模型风险管理过程域专用实践的要求，实 现专用目标，该文提出了风险管理的流程，从风险准备、风 险评估和风险控制三个方面展开详细分析和研究。1风险管理流程组织要收集历史项目风险数据以及获得的经验，按照风 险来源和类别建立组织级的风险库，从而指导新项目进行风 险管理。风险管理流程由三部分构成：风险管理准备、风险评估 和风险控制。风险管理准备需要确定来自项目内部和外部的 风险源、风险类别以及定义风险参数。风险评估是对风险进 行识别；从风险发生的

4、概率、发生后果和发生时段三个维度 进行风险量化；计算风险系数并对风险进行排序。风险控制 是确定风险管理策略，制定风险缓解计划和风险应急计划， 实施风险缓解计划以缓解风险，监控风险的变化情况，触发 风险管理措施。风险管理流程如图1所示。2风险准备2.1确定风险源风险源来自项目的内部和外部。随着项目的进展，可能 会发现更多的风险源。风险源标识可能发生风险的常见区 域。典型的内部和外部风险源包括：1）不确定的需求；2） 无先列的工作量；3）不可行的设计；4）不可得到的技术； 5）不现实的进度估计或分配；6）人员和技能不足、7）成 本或资金问题、8）分包商能力不确定或不足；9）卖方能力 不确定或不足；

5、10）与现实的和潜在的用户或其代表沟通不 够。尽早标识内部和外部的风险源，可以及早标识风险，并 在项目初期实施风险缓解计划，以规避风险的发生或减轻发 生时出现的后果。2.2确定风险类别建立和确定风险类别提供一种收集和组织风险的机制， 并确保对那些可能对满足项目目标有较严重的风险给予适 当的监督和管理关注。可以从以下几方面对风险进行分类1 ： 1、产品规模风险；2、技术风险；3、开发环境风险、 4、过程风险、5、资源风险、6、用户特性风险。2.3定义风险参数风险发生概率、风险发生后果、风险发生时段、风险系 数和风险管理阈值为定义的风险参数。风险发生概率、风险 发生后果、风险发生时段和风险系数提供

6、了对风险进行量化 评估的一种手段，风险管理阈值提供了对触发风险管理措施的一种机制。需要在组织层面对这些参数进行量化的定义， 以指导对风险进行评估。对风险设置阈值，以确定触发管理措施。设置风险阈值 用来标识风险管理工作的范围，避免过多的资源消耗，当风 险系数超过规定的阈值时，启动选定的风险处理选项，当风 险系数在规定的阈值之内时，对其进行监控。触发管理措施 的风险管理阈值如表1所示。3风险评估3. 1风险识别从软件项目的具体情况出发，列举出可能出现的风险,包括确定风险的来源、风险产生的条件和风险描述。识别风险的方法有：1)风险检查表；2)头脑风暴；3)swot 分析等。风险检查表：将历史项目曾发

7、生过的风险，编制风险核对表。根据当前项目的特点，分析人员对风险核对表进行逐一检查核对，用来判别项目中是否存在表中所列或类似的风头脑风暴:是一种集思广益的群体决策方法。集中有关专家召开会议，创造一种自由的氛围，由专家们提出尽可能 多的风险。任何人不对别人提出的意见提出批评和评价，专 家们之间不展开讨论。swot分析2：首先将项目内各种主要的内部优势因素、 弱点因素、机会因素和威胁因素通过检查罗列出来，并依据 一定的次序按矩阵形式排列起来；然后运用系统分析的思 想，把各种因素项目匹配起来加以分析，从中得出一系列相 应的结论。3.2风险分析对已识别的风险可能何时发生、发生的可能性以及可能 造成的影响

8、进行分析，给出风险大小的量值。风险发生概率，即风险发生的实际可能性。分为5个级 别，每一个级别用一个具体的数字进行定量描述。风险发生 概率的量化如表2所示。4风险控制4.1风险管理策划将风险排序后，应确定风险管理策略，风险管理策略包括风险规避、风险转移、风险接受、风险控制和风险监控3。1）风险规避：是指改变或降低要求，但仍需满足用户需要。风险规避把风险置于项目范围之外，这是项目组对风险采用 的主动方法，规避永远是最好的策略。采用此策略需要制定 风险缓解计划；2）风险转移：是指重新分配需求，以缓解 风险，如一个具有髙风险的功能转移到一个能够成功实现它 的相关项目或系统中；3）风险接受：是指认可风

9、险，但是 不采取任何措施。当出现风险时把它当作问题处理，不再花 费额外的资源来管理风险；4）风险控制：是指采取积极步 骤，降低风险。风险控制将建立风险缓解计划以阻止风险的 发生。或建立风险应急计划减少风险发生时对项目的影响； 5）风险监控：是针对指定的风险参数的变化，监视并定期 重新评估风险。在许多情况下，风险将被监控。当监控到风 险值超过阈值时，触发必要的管理活动，启动风险缓解计划, 或者风险应急计划。根据风险管理策略制定风险缓解计划和风险应急计划。 风险缓解计划包括具体的措施、执行措滋的时间和责任人。 风险应急计划包括具体的措施和执行措施的责任人，当风险 发生时，及时采取相应措施，将影响降

10、至最小限度。4.2风险缓解对于超过风险阈值的风险，启动风险缓解计划。同时， 通过风险监控掌握风险系数的变化情况，如果通过实施缓解 措施，风险系数下降，说明缓解措施有效，可视情况决定是 否继续实施缓解措施；如果风险系数没有下降或反而上升， 说明风险没有被缓解，缓解措施无效，软件项目经理需要重 新制定缓解措施并进行实施。4. 3风险监控风险控制的方式包括定期监控和节点监控。定期监控是 按照每周/双周的频度进行风险监控；节点监控是在阶段/里 程碑评审前进行风险监控。风险监控的目的包括：1）识别 新的风险，进行风险分析，并纳入风险监控序列；2）对识 别的风险重新进行风险分析，对已经发生的风险，从风险监 控序列剔除；3)对所有风险监控序列中的风险进行排序；4) 根据设置的风险管理阈值，触发风险缓解计划。5结束语本文介绍了 cmmi模型中风险管理过程域专用目标和专 用实践，提出的风险管理流程很好地覆盖了风险管理过程域 所有的专用目标和专用实践，从而达到了满足cmmi模型中 风险管理过程域的要求。从风险准备、风险评估和风险控制 三个方面分析研究了具体实施方法，提供了从风险发生概 率、风险发生后果和风险发生时段三个维度进行风险度量的 方法。通过上述研究，旨在为软件企