第讲软件项目风险管理详解

1、第6讲 软件项目的风险管理如果你不主动击败风险，风险就会主动击败你Tom Gill教学目的理解软件风险及其相关概念软件开发风险存在的必然性在软件开发过程中进行风险管理的重要性和必要性掌握对软件风险进行管理的方法运用在软件项目开发过程中进行风险管理讲授内容项目案例什么是软件风险？如何进行风险管理？风险评估风险控制小结项目案例案例角色和人物小王：软件项目负责人老王：公司技术老总开发小组：小李，老赵，小田，小谢项目实施存在风险(1/2)项目已成功实施1个月，某天小谢突然告诉小王，他已办理好了去德国的签证，2周后他会辞职离开公司前往德国留学 （人员）按照软件开发计划，需求分析应该在12月31日之前完成

2、，然而在软件项目实施过程中项目经理发现，由于原先对工作量估算过于乐观，需求分析在12月31日之前已经不可能完成（计划）项目实施存在风险(2/2)在软件设计阶段，软件设计负责人老王发现，用户需求中的某项需求(例如，将已有word文档的内容显示在Web页面上)至今尚未找到解决的技术途径（技术）在需求分析过程中，老王带领的需求分析小组和用户在进行交流的过程中发生了矛盾，出现了争吵，用户方说将不再配合需求分析小组的工作，而且他们确实没有配合开发方的工作（合作）案例提示我们风险在项目实施过程中大量存在软件风险形式多样软件风险事先难以确定软件风险会对软件项目的实施产生不良影响如果不对风险进行良好的管理，项

3、目就很难保证按照计划、在成本和进度范围内，开发出高质量的软件产品，甚至会导致项目失败什么是风险在词典中：风险是遭受损失、伤害、破坏的可能性。在项目中：遭受风险或者遭受损失的表现形式可能是产品的质量问题，或者是成本超支、工期的延误或者失败。对风险的描述包括：对可能导致损失的现状、可能性大小的描述；对遭受损失后果的描述。讲授内容项目案例什么是软件风险？如何进行风险管理？风险评估风险控制小结什么是软件风险？ 什么是软件风险？使软件项目的实施受到影响和损失、甚至导致失败的、可能会发生的事件软件风险的特点未来将要发生的事，事先难以确定带来损失，影响项目实施，甚至会导致项目失败变更没有风险管理是最大的风险

4、！软件风险的分类软件风险技术风险项目风险商业风险政治风险环境风险软件风险的分类项目风险：威胁到项目计划技术风险：威胁到软件的质量及交付时间商业风险：威胁到软件的生存能力环境风险：威胁到软件的合法性与相关法规相冲突，能否通过管理部门的鉴定政治风险：会不会造成政治方面困扰五大商业风险市场风险开发了个没有人真正需要的优秀软件策略风险开发的产品不再符合公司的整体商业策略销售风险建造了一个销售部门不知道如何去卖的产品管理风险由于重点的转移或团队人员的变动而失去了高级管理层的支持预算风险没有得到预算或人力上的保证讲授内容项目案例什么是软件风险？如何进行风险管理？风险评估风险控制小结如何进行风险管理什么是软

5、件风险管理？风险管理的成熟度模型如何进行风险管理？什么是软件风险管理?对影响软件项目、过程或产品的风险进行评估和控制的实践过程。在风险影响软件项目成功实施前，对它进行识别和处理，并预防和消除风险的发生识别风险(会有哪些风险？)预防和消除风险(最好别让风险发生)制定风险发生后的处理措施(万一发生该怎么办？)为什么需要软件项目风险管理软件风险是软件与生俱来的；软件风险随着系统复杂程度的增加而增加；软件风险阻碍人们实现目标软件项目风险管理可以降低软件项目风险造成的危害和损失第1级：问题阶段危机管理、救火模式人们忙于解决问题，没有时间考虑将来风险直到演变为问题后才着手处理管理层没有意识到风险，或者对风

6、险可能发生的时间估计有误管理层一听说风险，就责怪报告者，因此大部分人不会报告坏消息我疲于救火!受折磨风险管理的成熟度模型第2级：缓和阶段引入了风险概念对风险管理了解不多，而且缺乏经验没有有计划地减缓风险经理们采用应急计划以减少重大风险发生的可能性或后果我想知道什么会出错!风险管理的成熟度模型第3级：防范阶段风险管理从经理的活动变为小组的活动主动管理，识别和消除风险根源大部分人有经验，能识别风险，但对于如何量化风险没有把握。我想采取行动以便不留遗憾!风险管理的成熟度模型第4级：预知阶段量化的风险管理项目小组和客户运用风险管理，以合理的精度量化风险，以便能集中精力解除最关键的风险。主动迎接风险和评

7、估备用方案我想知道成功的机会有多大!风险管理的成熟度模型第5级：机会阶段风险不一定是消极的，有风险的地方也蕴藏着机会风险被看作节约费用和比计划做得更好的机会风险，像质量一样，人人有责在开放和没有压力的环境中不断地识别、交流和应对风险我想超过我自已的期望!风险管理的成熟度模型风险管理的策略(1/2)危机管理救火模式，风险造成麻烦后才着手进行处理失败处理察觉到了风险之后采取措施，但只是在风险发生之后风险缓解识别了风险，并且事先制定好风险发生后的补救措施，但是不做任何防范措施。例如，知道不好事件可能会发生，等它发生。风险管理的策略(2/2)风险预防将风险识别和风险防范作为软件项目的一部分加以规划和执

8、行例如，知道哪些不好事件可能会发生，制定好了万一发生的应对措施，同时采取措施防止它发生。消灭根源识别和消除可能产生风险的根源例如，知道哪些不好事件可能会发生，制定好了万一发生的应对措施，同时采取措施消除风险根源，杜绝风险的发生风险管理的组成(1/3)风险管理风险评估风险控制风险识别风险分析风险优先级风险管理计划风险化解风险监控风险管理的组成(2/3)风险评估风险识别：识别风险，形成风险列表风险分析：判定每一个风险出现的概率、产生的影响及其重要性风险优先级：按照每个风险的重要性排出一个风险优先级风险评估是风险控制的基础风险管理的组成(3/3)风险控制风险管理计划：针对各个重要风险制定风险管理计划

9、，确保各个单独的风险管理计划之间以及它们与相互计划之间的一致性风险化解：执行风险管理计划，以缓解或消除风险风险监控：监控风险化解的过程，可能会识别出新的风险讲授内容项目案例什么是软件风险？如何进行风险管理？风险评估风险控制小结风险评估风险识别风险分析风险优先级风险识别风险的识别是风险管理的第一步。风险识别是确定何种风险可能会对项目产生影响，这些风险具有什么样的特征。通过分析，找出可能存在的风险，并将这些风险的特性归档，便于后边进行风险管理。从事风险识别的参与者，来源应多渠道尽可能地包括以下人员：项目队伍、风险管理小组、来自公司其它部分的某一问题的专家、客户、最终用户、其他项目经理、项目干系人、

10、外部的专家等。风险识别是一个反复重复的作业过程。项目与风险的关系是一个定常和持续的过程。因此，风险识别也是一个反复和重复的作用过程。一旦风险被识别出来，就可以开发和实施有效的风险应对。怎样进行风险识别一个有效的风险识别原则，实际上是基于不同的维度，或者不同的侧面来寻找和发现潜在风险。比如可以用项目计划的输出或者项目工作分解结构，作为项目风险识别的一个依据。风险识别要求对项目使命、范围，以及业主、赞助人或项目干系人的目标有充分的了解。应当对其它各种过程的输出进行审核，以便在整个项目范围内识别可能的风险。对不同方面的风险可以按照它的相关特性进行识别和归纳。在项目里可能有技术方面的风险，有质量方面的

11、风险或操作层面的风险。多维的风险识别方法(1)目标维：成本、进度、质量、安全要求有相对的成本、项目目标、成本目标、进度目标、质量目标、安全目标，根据目标的维度分析可能存在的风险，像成本超支风险、进度拖延的风险、质量不合格的风险、安全隐患的风险。多维的风险识别方法(2)时间维：不同阶段、需求分析、设计、编码/测试、集成项目的进展维度，在项目进展的不同阶段，对可能存在的风险进行分析。因素维：技术、非技术可以按照技术风险、非技术风险进行风险识别。分析技术类的风险是人为风险还是管理的风险？从多个角度、多个维度进行风险识别，可以有效地把可能存在的风险找出来，为有效项目风险管理提供良好的基础。多维的风险识

12、别方法(3)信息收集历史项目档案公开发表的资料记录方法因果分析图风险清单或列表风险识别软件风险的具体类别计划编制组织和管理开发环境最终用户客户承包商需求产品外部环境人员设计和实现过程十大软件风险功能无限蔓延计划过于乐观设计欠佳质量低劣银弹综合症：寄希望与某种新技术、新方法解决问题研发导向的开发人员薄弱研发人员与客户的磨擦不合格的承包商技术风险例子:风险列表风险分析评估风险发生的概率估算风险造成损失的大小计算风险危险度(Risk Explosure)风险分析的过程评估已经识别风险的影响和可能性大小的过程，确定风险可能造成的影响，同时对风险进行排序，确定特定风险与指导相应风险应对措施的开发。风险分

13、析的阶段定性分析阶段和定量分析阶段定性风险分析与定量风险分析定性风险分析定性风险分析是评估已识别风险的影响和可能性的过程。这一过程用来确定风险对项目目标可能产生的影响，对风险进行排序。定性风险分析要求使用已有的定性分析方法和工具来评估风险发生的概率和后果。这一过程往往需要重复进行，以跟上项目风险的变化。定性分析主要是从一些概念方面或者用一些不很精确的表述、风险的性质、特性、包括后果的影响大小做一个分析和排序。定性分析里可以采用一些数字来表示风险的大小，但是数字分析主要是在一些经验或者经验估计的基础上进行的。定性风险分析与定量风险分析定量风险分析定量分析是把单个的分析结果系统化、综合化，得出某一

14、项风险对一些项目总体的影响，后果和可能性大小。定性风险分析方法和步骤在定性分析中通常采用概率这个术语。风险的概率是指某一个风险发生的可能性。使用定性术语可以将风险的概率及其后果描述为极高、高、中、低、极低五档。风险后果是指风险发生对项目目标产生的影响。后者指的是一个结果，前者指的是一种可能性。风险的这两个维度适用于具体风险事件，而不适用于项目整体。使用风险概率和风险后果来分析风险，可以帮助我们甄别出哪些风险需要强有力的控制与管理。评估风险发生的概率(1/2)主观性较强，采用方法熟悉系统、有经验的人参与评估多人独立评估，综合折中采用分类：非常可能(0.8-1.0), 很可能(0.6-0.8)，或

15、许(0.40.6)，不太可能(0.2-0.4)，不可能(0-0.2)评估风险发生的概率(2/2)风险的定性描述及评级范围值评估一个风险对项目主要目标的影响项目目标非常低0.05 低0.1 中0.2 高0.4 非常高0.8成本不明显的成本增加成本增加小于5%成本增加介于5-10% 成本增加介于10-20% 成本增加大于20% 进度不明显的进度进度拖延小于5% 项目整体进度拖延缓5-10% 项目整体进度拖延10-20% 项目整体进度拖延20% 范围范围减少几乎察觉不到范围的次要部分受到影响范围的主要部分受到的影响范围的减少不被客户接受实际上无项目最终产品质量质量等级降低几乎察觉不到只有某些非常苛求

16、的工作受到影响质量的降低需要得到客户批准质量降低不被客户接受项目最终产品实际上不能使用定量风险分析方法定量风险分析过程的目标定量风险分析过程的目标是量化分析每一风险的概率及其对项目目标造成的后果，同时也要分析项目总体风险的程度。这一过程使用的技术手段和决策分析包括：测定达成某一特定项目目标的概率；量化项目的风险暴露额，决定可能需要的成本大小和进度计划应急准备金的大小、数量；通过量化各风险对项目风险的相应影响，甄别出最需要关注的风险；找出理想的和可实现的成本、进度计划及工作范围目标。概率分布通过量化分析，量化各风险对项目总风险的影响，找出哪些是需要关注的风险。按照轻重对风险进行排序，找出理想的对

17、策。量化风险分析涉及到一些概率论的基本知识，这就需要了解概率的分布特征。概率的分布主要有四种：离散分布和连续分布均匀分布正态分布分布概率变量:风险损失的期望值、标准差或方差应用PERT技术确定活动的概率最可能时间：期望任务在正常情况下所花的时间(m)乐观的时间：期望任务完成的最短时间（a）悲观的时间：考虑所有可能情况下的最坏可能时间（b）期望时间：te评估风险发生造成的损失可以基于“进度”，“成本”或者“工作量”来进行估算计算风险危险度风险危险度 = 风险概率 风险损失风险优先级(1/2)统计表明，项目80%成本用于解决20%的问题风险管理重点关注20重要的部分根据风险的危险度确定风险的重要性

18、，忽略其他的部分风险优先级(2/2)案例1：风险分类 阅读以下关于信息系统项目管理过程中人群风险分类方面问题的叙述，回答问题1至问题3。8.1.1 案例场景某公司召开会议，商量是否实施ERP项目，三个部门主要负责人就此问题发表自己的看法。甲：我们公司不应该实施这个项目。现在我们刚把办公自动化系统搞好，还没有适应，工作效率也没提高多少，再上 ERP 有些不适应，而且这个ERP项目花费太大。ERP在国内很多企业都搞失败了，成功的几率不会多大。如果我们也失败了，会给公司带来灾难性的后果。利用搞ERP的这些钱我们可以做一些短、平、快的项目，多招一些开发高手，提高公司的收益，而不是搞这些无端的风险投资。

19、案例1：风险分类 乙：不应该一棒子打死ERP，ERP是一种新兴事务，ERP不是万能的，但是不上ERP又是万万不行的。企业规模到了一定程度，管理和决策就是一个重要的问题。ERP是知识经济时代的管理方案，是面向供应链和“流程制”的智能决策支持系统，其先进的管理思想可以帮助企业最大限度地利用已有资源，解决管理和决策问题。但是实施 ERP 风险很大，很多企业都失败了，主要原因在于项目实施的管理问题，没有及时识别项目中的风险并及时处理，项目监控机制不好，高层支持不够，老员工的适应性差等，最终导致“ERP天折”。我们公司以后想获得更大发展，应该实施ERP ，现在有些条件不够，整体上ERP不太可行，我们可以

20、分步实施。我们可以借鉴其他企业实施 ERP 的经验，先进行小范围ERP试验、积累经验，等以后时机成熟了，我们就整体实施ERP 。案例1：风险分类 丙：ERP 应该上，而且要迅速上，不应该等。如果其他企业都上了ERP，那么我们公司再依靠ERP获得收益就没有什么希望了。ERP本身就是一把双刃剑，虽然有风险，但是收益也大，现在我们的目标是收益，对于风险要想法化解。项目实施中要注意借鉴其他企业的经验，摸着石头过河，形成自己的特色，提高自己公司的管理和决策水平，争取把公司做大做强。小的、可以自己解决的风险自己处理；难以处理的、不确定的风险进行外包，实施风险转移；如果管理有问题的话，可以从专业咨询公司招聘

21、顾问来担当项目经理的职务。总之，尽一切可能实施 ERP，实现收益最大化。案例1：风险分类 【问题1】如图8-1所示，横轴表示项目投资的大小，纵轴表示项目成功的概率，A、B, C代表三种不同应对风险的人。请写出A,B,C的名字和特征，并且指出上述案例中甲、乙、丙分别属于哪一种对象(250字左右)。 案例1：风险分类 【问题2】如果公司有以下三种职位，你认为甲、乙、丙分别适合做什么：项目经理、程序员、产品销售人员(请说清楚原因，不超过150字)。【问题3】根据你自己的经验，阐述 ERP 实施中的主要风险和应对措施(600字左右)。案例1：参考答案【问题1】A 为风险规避者：属于保守派。他们自始至终

22、都不愿意接受较大的风险，希望利用少量投资就可以得到较高的成功概率；随着投资的增加，他们希望成功概率越来越大，最后达到百分之百。B 为风险中立者：属于中庸派。当投入少时，他们可以接受较大的风险；当投入逐渐增加时，他们就开始变得谨慎起来，希望获得成功的概率提高了，最后达到百分之百。C 为风险冒险者：属于冒险派。他们自始至终都愿意接受较大的风险，当投入少时，他们可以接受较大的风险；随着投入的增加，他们也会变得谨慎一些，希望成功概率有所增加，最后达到百分之百。上述案例中，甲、乙、丙分别对应 A, B, C.案例1：参考答案【问题2】甲属于风险规避者，做事小心谨慎，不愿意冒大风险，比较适合做程序员。乙属

23、于风险中立者，做事深思熟虑、讲究章法，制定计划切实可行、可进可退，比较适合做项目经理。丙属于风险冒险者，做事大胆，敢于冒风险，一切以效益为先，积极追求成功，具有强烈的成功欲望，比较适合做产品销售人员。案例1：参考答案【问题3】ERP 实施中的主要风险和应对措施如下：(1)项目范围的风险。对于不确定性越大、风险越大的ERP项目，通常采用单价合同。这种方式对客户存在较大风险，客户一般倾向于固定价或总价合同方式，但这种方式对供应商又存在较大风险。因此，双方往往在项目实施范围上发生争执。因此，ERP项目合同中，应在项目实施前的范围界定工作上多花一些时间，对项目实施范围做尽可能清晰的界定。(2)项目进度

24、的风险。目前ERP项目实施存在强调“快速”的倾向，但实际操作中提高 ERP 项目进度绝非易事。一味在项目进度计划时求快，甚至是刻意追求某个具有特殊意义的日期作为项目里程碑，将对项目的控制造成很大压力，甚至导致失败。因此，ERP 项目实施中的项目进度需要适当留有余地和柔性；任务分解详细适中，便于操作和考核；在执行过程中，应强调项目按进度执行的重要性；同时，合理利用赶工及快速跟进等方法，充分利用资源，争取保质保量完成任务。案例1：参考答案【问题3】(3)项目人力资源的风险。人力资源是ERP项目实施过程中最为关键的资源。人力资源获取与建设中遇到的问题，均会导致项目失败。因此，实施双方应对参与人员进行

25、认真的评估，这种评估是双向的。同时，应保证项目人员对项目的投入程度。(4)对ERP认识不正确的风险。有的企业把ERP视为企业管理的灵丹妙药，可以解决一切问题；还有的人简单地将ERP 视为当前业务流程的电子化。因此，需要对用户进行大量的培训，尽可能在用户产生“ERP不能满足我的需求和期望”这种想法之前，让用户知道“现阶段对ERP合理的需求期望是什么”。 案例2：风险管理方案 2000年，国内一家省级电信公司(H公司)打算上某项目，经过发布RFP (需求建议书)，以及谈判和评估，最终选定希赛信息技术有限公司(CSAI)为其提供 IP 电话设备。宏达公司作为 CSAI 的代理商，成为了该项目的系统集

26、成商。李先生是该项目的项目经理。该项目的施工周期是三个月。由CSAI负责提供主要设备，宏达公司负责全面的项目管理和系统集成工作，包括提供一些主机的附属设备和支持设备，并且负责项目的整个运作和管理。CSAI和宏达公司之间的关系是一次性付账。这就意味着 CSAI 不承担任何风险，而宏达公司虽然有很大的利润，但是也承担了全部的风险。3个月后，整套系统安装完成。但自系统试运行之日起，不断有问题暴露出来。H公司要求宏达公司负责解决，可其中很多问题涉及 CSAI 的设备问题。因而，宏达公司要求 CSAI 予以配合。但由于开发周期的原因，CSAI无法马上达到新的技术指标并满足新的功能。于是，项目持续延期。为

27、完成此项目，宏达公司只好不断将CSAI 的最新升级系统(软件升级)提供给H公司，甚至派人常驻在H公司(外地)。 案例2：风险管理方案 又经过了3个月，H公司终于通过了最初验收。在宏达公司同意承担系统升级工作直到完全满足RFP 的基础上，H公司支付了10%的验收款。然而，2002年底，CSAI 由于内部原因暂时中断了在中国的业务，其产品的支持力度大幅下降，结果致使该项目的收尾工作至今无法完成。【问题1】请用200字以内文字描述该项目存在的主要问题和原因。【问题2】请用300字以内文字结合你本人的实际项目经验，描述如何解决案例中所述问题的办法。【问题3】请用400字以内文字说明如果你是李经理，你觉

28、得应如何制定有效的项目风险管理方案吗？ 案例2：参考答案 【问题1】该项目最终失败的原因主要在于风险控制和风险处理机制。在很多 IT 项目中，由于竞争和其他原因造成了风险过度集中在某一个相对弱势的角色身上。在本案例中，宏达公司就处于这样的境地：一方面它需要依赖代理 CSAI 的产品生存，另一方面要它还必须要满足用户的具体需求。 案例2：参考答案 【问题2】一般情况下，如果项目经理在项目合同签订以前加入项目，可以充分利用项目采购管理一章的知识，了解自己公司在项目中的位置，对买方提出的 RFP 认真回答，规避潜在的风险，这是非常重要的。对于 RFP 中过高的要求不能完全满足时，应充分说明。在项目的

29、进行过程中，项目经理和项目的拥有人要将风险管理纳入日常工作的重要步骤。要明确成本与风险、成本与时间的关系。制定完善的风险管理计划，建立管理风险预警机制。 案例2：参考答案 【问题3】在全面分析评估风险因素的基础上，制定有效的管理方案是风险管理工作的成败之关键，它直接决定管理的效率和效果。因此，翔实、全面、有效成为方案的基本要求，其内容应包括：风险管理方案的制定原则和框架、风险管理的措施、风险管理的工作程序等。讲授内容项目案例什么是软件风险？如何进行风险管理？风险评估风险控制小结风险控制风险管理计划风险化解风险监控风险控制策略对已经识别的风险进行定性分析、定量分析和进行风险排序，制订相应的应对措施和整体策略。风险管理计划(1/2)针对每一个重要的风险，制定一个处理该风险的计划风险由谁引起表现形式是什么可能什么时候发生为什么发生如何避免或者消除它的发生发生后的处理措施风险管理计划(2/2)例子，小谢将在项目实施过程中离开公司*项目组的小谢项目组成员小谢由于出国离开公司小谢可能会在6月1日前后出国为了进一步学习和深造和小谢协商能否在