工程项目风险管理概述

项目风险管理1风险的概念1.0：项目风险的定义在进入风险管理领域之前，也许我们需要改变一下思维的角度。如果此前我们习惯于用积极的态度去对待一切事情的话，那么现在开始，我们需要用消极的眼光去看待一切了。在采购供应链管理的章节中，我们追求零库存的境界，以最大限度地节约成本；但是当风险降临时我们才发现库存的必要性，手中有粮，才能心中不慌。戴着泊诺的黄帽子，我们会建议公司的名称最好与产品的品牌保持一致，因为一旦品牌打响了公司会随之扬名。可是当我们戴上泊诺的黑帽子时，就会认为公司名称最好与产品品牌保持不同，因为万一产品砸了牌子，公司不至于被拖累致死，还有东山再起的机会。图-1.0给出了项目风险的定义。这个定义至少包含了三个含义：外因：风险来自于项目所处的外部环境的不确定性和不稳定性，因此很多来自外部影响力的变化难以预见。内因：风险来自于项目团队不能准确预见和不能控制的因素，这不但由于人们认识事物的局限性，而且由于信息的不完备性及滞后性。结果：除了不确定的外因和内因，认定风险还必须有结果，即项目的绩效偏离了干系人的预期。不过仅仅偏离预期还不一定都是风险，提前完成任务也是偏离预期，只有负面偏离预期并形成了损失，才叫做风险。风险并不一定都是灾难性的，项目实施中最常见的风险就是项目的质量不合格，成本超预算，工期拖延，也就是说项目的实施突破了图-1.30中质量、时间、成本三条边的约束。这意味着风险随时都有可能发生，它天天睡在我们身边。1.1：风险的认知状态人类对事物的认知，是一个渐进的过程，认识风险的过程亦是如此。这个认识过程可以分为三种占有信息的状态，也可以视为三个渐进的阶段：1）完全没有信息的状态；2）部分掌握信息的状态；3）完全掌握信息的状态。如图-1.1所示，这三种掌握信息的状态，决定着我们对风险的三种认知程度：在完全没有信息的状态下，风险几乎是不可能预见的。例如“非典”，它给全中国带来了意想不到的灾难，使很多项目中途搁浅，但是由于从前没有关于它的任何记录，任何迹象，因此谁也不可能事先预见它的光顾。几乎所有风险在第一次发生的时候都属于这种情况。在部分掌握信息的状态下，风险可能预见，但是难以准确预测。人们往往用已知部分的信息去推断未知部分的信息，这种推断有一定根据，但是谁也不敢保证完全准确。“非典”发生过一次之后，就从不可能预见的风险变成了可能预见但是难以准确预测的风险了，人们从上一次的记录中知道了它的存在形态、传播方式和条件，但是它是否还会再一次出现，何时出现，以什么形式出现，后果如何，谁都没有把握准确预测。其他项目有过各种各样失误或失败的记录，这些经验教训也被写进了教科书，但是它们是否能够避免在你的项目上重演，一半靠我们对于掌握信息的分析判断，另一半恐怕还得靠运气。在完全掌握信息的状态下，风险就是可以准确预测的了。例如天气变化，这类风险无时不刻处于人类的监控之中。建立在人类数千年历史记录上的气象监测技术，几乎可以准确预测一个地区几天之内的降水概率、温度、风速。如果你周末准备到野外郊游，只要抓起电话，一般都可以得到气候风险的准确预测。在项目风险管理中，完全不能预测的风险和可以准确预测的风险都属于极端现象，对前者的管理无从着手；对后者的管理已成规范，因此都不必给予更多关注。现实中的绝大部分情况都属于第二种类型的风险，这类风险才是风险管理的主要关注点。信息的不完备导致风险不能准确预测，这既有客观因素也有主观因素。客观原因是有关风险的信息本身不完备，即使你完全掌握也不足以准确判断风险；主观原因是有关风险的信息已比较完备，但是你掌握的信息不足以准确判断风险。而后一种情况，本身就构成管理风险，也是风险管理重点中的重点。1.2：项目风险的分类人类总是在鉴别和对比中认识事物的，我们也将这样认识风险。鉴别和对比是通过分类实现的，图-1.2中的矩阵表，显示了项目风险的基本分类。从客观的角度出发，项目的风险可以横向划为内外两个范畴：项目所处的外部环境产生的风险，被称为系统风险，系统风险是项目组织无法回避也无法控制的，只能被动应对，力求减少风险损失。项目内部原因产生的风险，被称为非系统风险。非系统风险是项目组织有可能主动预防和控制的，这取决于组织的风险管理水平。海起风浪是系统风险，船出故障是非系统风险；亚洲金融危机是系统风险，而项目财务危机是非系统风险；非典疫情导致异地交流项目中止，是系统风险，组织防疫措施不力导致病毒扩散，是非系统风险。一般情况下，系统风险对项目的危害性要大于非系统风险，但项目经理对非系统风险的责任却大于系统风险。老天爷要下雨谁也怨不得，可是若自己没带伞就活该了。俗话说：天作孽尚可恕，自作孽不可恕。从主观的角度出发，项目的风险又可以纵向分为三个层次：认识风险，指那些难以预见的风险。它考验的是组织的学习能力；决策风险，指那些难以预防的风险。它考验的是组织的管理能力；控制风险，指那些难以应对的风险。它考验的是组织的执行能力；未能识别“非典”病毒，是认识风险；识别了不知道该怎样对付它，是决策风险；有了对策但挡不住疫情蔓延，是控制风险。一般情况下，认识风险要大于决策风险，因为认识是决策的前提；而决策风险又要大于控制风险，因为决策是应对的基础。但如果在认识不足且决策未定的情况下就鲁莽行事，那么应对就变成最大的风险了。盲人骑瞎马误入雷区，风险被一网打尽了。魏文王问扁鹊，他行医的兄弟三人中，谁的医术最好。扁鹊回答，长兄最好，二哥次之，自己最差。魏王听了很诧异，说你扁鹊载誉全国，被奉为神医，怎么会不如你那两个默默无闻的兄长？扁鹊说，我大哥可以在病态还没有暴露之前就采取预防措施将病因排除，因此在人们眼里就是个保健医生；我二哥可以在病状刚刚露头的时候就及时扑灭病灶，因此在人们眼里仅是个能治小病的乡村庸医；而我自己擅长治病危的病人，死马当做活马医，若是没能救活，死者不会抱怨，也不会传话告诉别人去诋毁我；而一旦碰上个起死回生的病例，凭患者现身说法的口碑就足以名扬天下了。扁鹊三兄弟的医术正体现了上述三个层次的风险管理水平。大哥擅长预见风险，二哥擅长预防风险，扁鹊则擅长应对风险。谁的水平高？1.3：项目风险的特征风险是项目管理中最复杂的概念，因为它在很大程度上涉及的是对未发生事件的推测，它既体现客观存在，也含有主观臆断。如图-1.3所示，风险的识别和平估，本身都带有很大的不确定性，我们需要从以下三个方面去把握它的特征：风险发生的随机性。风险事件往往是偶然的，这就造成了预测它的困难。然而这正是风险之所以存在的理由，如果风险的发生都变成规律性的，后果都变成了必然性的，就不再是风险了。人类已经熟知了冬季必有严寒降临，就不再把严寒当作风险了，它变成了理所当然并司空见惯的事情；人们已经确认吃砒霜必然致命，砒霜就不再是风险了，除非发生自杀或谋杀。游泳有风险，因为可能淹死人，但是什么人会被淹死则完全是随机事件，很难有规律可循。风险的随机性为它的识别和量化带来了很大困难，不过，一旦它能够被识别并量化，风险性也就大大降低了。风险后果的相对性。风险在某种程度上是相对于当事人的承受能力而言的，赌博输了一千元钱，对于一个年收入只有两千元的穷人就是巨大的风险，而对于一个年收入逾百万元的富人，只是个娱乐游戏。一次伤风感冒对于一个身强力壮的年轻人不算什么大风险，但是对于一个九十多岁的垂暮老人就是致命的危机。一个女人三十五岁仍未结婚，人们会担心她独身，一个男人三十五岁未婚，人们会羡慕他自由。这说明，风险的承受能力有客观指标，也有主观倾向，后者涉及到人的心理因素，这就为风险的量化带来了很大的弹性空间，常常令实证主义的科学手段捉襟见肘。风险发展的渐变性。风险的内因和外因都有一个从量变到质变的演变过程。正因为描述并监控这种演变，人们才需要为风险的进程设置里程碑并划分阶段。有些风险表面上看是突发的，这是由于它的潜伏征兆长期被视若无睹的结果。心脏病是突发的，但是血管硬化是几十年累积的；地震海啸是突发的，但这是地壳长期运动的结果；项目的质量事故看起来是突发的，但这是管理松弛所酿成的苦果。风险的渐变性，使我们有可能采取抽样过去的方法来推断未来，通过分析量变的进程去捕捉风险临近的脚步。上述的三个特征，让人类在面对风险时处于一个非常尴尬的局面。一方面，我们需要通过进程去推断结局，这中间隐含着大量的随机因素和主观臆断，但另一方面，我们又不愿意最终证实那个自己推断的结局。就像你天天警告你的孩子吃饭不洗手就会得病，但是又绝不愿意亲眼看到那个验证你警告的真理。也就是说，在和风险的博弈中，我们总是在捕捉一个自己都不愿意抓住的影子，其中最大的成就就是没有成就。1.4：风险管理三阶段风险的渐进性，使我们有可能为它的发展进程设置里程碑。图-1.4告诉我们，风险的历程可以分为三个阶段，在不同阶段，风险管理各有不同的内容和重点。在风险的潜伏阶段，风险尚未显现，但其可能性存在于各种征兆之中。这个阶段的风险管理重在预防：识别潜在的风险，这是预防风险的第一要务，不能识别就无法预防。识别风险的一个重要手段是量化。我们在前面的章节中多次阐述，量化的好处是可以通过对比来鉴别风险征兆，可以设置临界点作为预警指标。例如，我们识别出高血压是引发心脏病的重大风险，为此我们设置出一套检测血压的量化指标，把预警临界值设置在90/140。这样，我们就可以通过与正常指标的对比来监测高血压的风险了。规避和转移风险，是预防潜在风险的另一个有效办法。当你识别出某件事情可能会有风险时，只要放弃做这件事，或者换一种较稳妥的方式去做它，就可以避免风险发生。如果你知道喝酒有可能导致高血压或心脏病，只要避免喝酒或者改喝红酒或啤酒，就可以规避风险。转移风险最常用的办法之一是买保险。即使你不幸患了心脏病，医疗费有保险公司买单，可以大大减少生命危险和经济损失。准备风险应对方案和危机处理预案，是预防风险的核心内容。一旦风险和危机来临，有应对预案就可以有效地降低风险的损失和危机的灾难。你可以把常用的药物分放在家里和办公室容易拿到的地方，把医院的电话输入电话机，预先嘱咐身边的人如何处理，这就是风险预案。一旦心脏病突发，这些事先准备好的预案就足以挽救你的生命。很多人就是因为没有这些预案而猝死非命。也许有些风险预案永远也用不上，但是这并不说明它们是多余的。只有风险降临的危机关头，人们才会感觉到它们性命攸关的价值。在风险的发生阶段，风险已经来临，风险将带来的损失已经不难预料，这个阶段的风险管理重在应对：选择和实施风险应对预案。事先准备的预案可以大大提高风险应对的决策效率，把决策简化到抉择。例如，当飞行故障发生时，油料往往只够飞半个小时，没有时间决策，只能在预先准备的预案中选择实施。当你的电脑系统被病毒侵袭的时候，当你的技术关键人突然辞职的时候，当你的主要客户因故拖延付款的时候，当你的主要供应商突然宣布提高价格的时候，如果你能够事先准备好应付的预案，你就会有更多的选择余地，有充分的应对时间，就不会在突然降临的风险打击下束手无策。采取权宜措施缓解风险。有些时候实施风险预案需要时间和条件，权宜措施就是为了争取时间和创造条件。面对绑匪，你首先应该派遣的不是军队而是谈判代表，后者将为前者的部署争取时间；面对航班脱期后愤怒的旅客，你首先需要调动的不是飞机而是饮料和食品，以抚慰旅客激动的情绪；当你的电脑被病毒袭击而瘫痪的时候，你首先要做的也许不是修复系统而是抢救文件；当客户拖延付款的时候，你当务之急也许不是催讨债款而是拆借周转资金。在很多情况下，权宜措施也是构成风险预案的组成部分，但是当风险预案没有料到的情况发生时，应急的权宜措施最能考验一个管理者的应变能力。采取补救措施抵消损失。当风险造成的损失不可避免的时候，可以堤外损失堤内补救。例如出口产品如果在进口国因质量问题退货，则“出口转内销”，挽回部分损失；如果客户无力偿还债务，可以用汽车及电脑之类的资产抵扣部分损失；如果因下雨不能户外施工，就安排培训，以免浪费时间。失之桑榆，收之东隅。在风险的后果阶段，风险造成的损失已经成为事实，形势危急，这个阶段的风险管理重在应急和善后：选择和实施危机处理预案。如果血栓梗塞了心肌；如果洪水冲破了大堤；如果飞机掉进了海里；如果被媒体揭穿了老底；如果电脑文件全军覆没；如果欠债客户卷款逃逸；这时风险就变成了危机，应对就变成了应急。应急实际上和风险应对没什么区别，不过预案的作用会更突出，因为危机时刻没有时间容你深思熟虑，只能选择过去准备好的主意。实施灾难救助措施。危机往往伴随着灾难性的后果，损失已经铸成事实，形势无法逆转，因此需要考虑善后措施，如抢救生命，抚恤家属，挽回信誉，收拾残局，另寻替代方案等等。资料存档总结教训。这是善后要做的最后一件事情，但是它常常被忽略忘记。所有的风险和灾难留下的记录都是人类的遗产，它将为后人识别风险提供宝贵的线索。今天的人是站在前人肩膀上进步的，如果没有前人留下的资料，我们至今还在黑暗中摸索，还会在同一块石头上绊倒无数次。文档化管理，是我们迈向学习型组织必须跨过的门槛。1.5：风险管理的目标项目风险管理的理想目标是规避所有的系统风险，消灭所有的非系统风险。但是由于项目本身的特性，这个目标是很难达到的。根据上述风险管理阶段，我们将风险管理目标分解为四个可行的阶段性目标：尽早识别项目的各种风险，这是风险潜伏阶段的管理目标。识别全部风险是不可能的，因此我们强调尽早识别，风险被认识得越早，组织就越有对付它的主动权。尽力避免风险事件的发生，这也是风险潜伏阶段的管理目标。完全避免风险发生很难，因此我们强调竭尽全力。敌人何时进攻也许我们管不着，我们能尽力的是建好预防工事。哪怕风险不来，自己也要严阵以待，举轻若重，以万变应不变。尽量降低风险造成的损害，这是风险发生阶段的管理目标。既然风险已经发生，完全避免损失已经不太可能，我们只能强调尽量，即最大限度地减少风险的危害性。尽责总结风险带来的教训，这是风险后果阶段的管理目标。人们最容易犯的错误是好了疮疤忘了疼，因此我们强调尽责，把风险的教训形成文档。这不但是对组织负责，以免在同一块石头上绊倒第二次；这同时也是对历史负责，把教训留给子孙后代，提高全人类应付各种风险的能力。上述管理目标又被称为“四尽原则”，由于风险管理的目标难以量化验证，所以我们只能强调主观因素：尽早、尽力、尽量、尽责，如果我们尽到最大的努力，仍然逃不过风险的打击，那只能说是运气不好。毕竟谋事在人，成事在天。2风险的识别2.0：风险识别的过程如图-2.0所示，风险识别过程的输入依据是：项目范围说明。项目范围说明书阐述了项目可交付成果，立项宗旨，可交付成果的功能和效益，这一切寄托着所有干系人的期望值，也是衡量风险的依据。如果项目实施的结果偏离了这些预期，就意味着风险。集成管理计划。即各领域的管理计划，其中也包括风险管理计划。计划是评估绩效的尺度，只要实施绩效偏离了计划，就意味着风险。事业环境因素。包括了项目的范围、质量、工期、成本等所有内在约束条件，同时也包括了法律法规、社会习俗、信誉环境、市场背景等外在约束条件。项目的实施过程突破这些约束边界，是最常见的风险。组织过程资产。主要指历史信息和组织的经验教训。前人经历风险所留下的资料，是我们今天识别风险的线索。团队成员的经验教训，是识别项目风险最直接最有价值的无形资产。有时文字传载的参考信息，不如印在脑子里的直觉判断，长者的阅历在风险识别中最为可贵。难怪古话曰：不听老人言，吃亏在眼前。风险识别的输出就是风险识别的清单，其中包括风险的来源、风险征兆和潜在的风险。关于风险识别的工具和技术，我们将在后面的章节中详细讨论。2.1：风险识别三段论图-2.1演示了风险识别的三段流程：首先是观察分析，筛选出可疑征兆进行鉴别，然后做出疑因假设，通过监测对疑因进行观察分析，排除不相关的因素，再进一步征兆鉴别，对比征兆进行判断，验证最初的假设，再对缩小了范围的疑因假设进行新一轮监测和观察分析……，这个过程周而复始，直至锁定风险确切原因为止。上述三段论流程实际上与医生看病、侦探破案、科学探索、甚至我们日常修理汽车或电脑故障等流程都非常相似。在整个过程中，关键的环节是疑因假设。要判断一个人是不是好医生，好侦探，大科学家，好修理工，好项目经理，就看他是否能够准确地假设疑因。要是这个假设错了方向，整个团队都跟着瞎忙。2.2：风险识别的结果风险识别的结果可以分为三个层次：显性风险，即那些已经被识别出来的常规性风险。所属不同行业的项目会有不同的常规风险，技术人员流失在科研开发项目中是常规风险，但在一般土建工程中就不属于常规风险，而恶劣气候对土建工程是常规风险，但在科研开发项目中就未必。还有很多常规风险是所有项目共同的，比如工期拖延，质量事故，成本超支，客户倒账等。对常规的显性风险可以用制度性的措施来防范，例如财务审计制度，库存盘点制度，事故责任制度，技术保密制度等等。潜在风险，即那些暂时没有形成威胁，而需要特定条件才能诱发的风险因素。例如，项目组织技术档案不健全，这本身不一定是风险，只要技术关键人在职，技术方案都在他们脑子里或电脑里，不至于出大问题，但是一旦技术关键人流失，危机立即就爆发，整个项目有可能陷入瘫痪。团队成员之间的个人恩怨，看起来不属于项目的风险，但是一旦矛盾双方在某项工作上形成合作关系，掣肘摩擦事件就会层出不穷，风险就暴露出来了。潜在的风险就像路上埋的地雷，是可以主动避免的风险。识别潜在的风险就像扫雷，比识别显性风险困难得多，但只要你察觉到了地雷的存在，风险就消除了一大半，因为你就有机会在它爆炸之前避开它或排除它了。风险征兆，如果潜在的风险是需要特定条件诱发的话，那么风险征兆就是诱发它们的那些特定条件。气候干燥不是祸，但它是引起火灾的诱因；过度疲劳不是病，但它是疾病来临的前奏；纪律松弛不是事故，但它是事故发生的温床；拙于沟通不构成错误，但它是点燃客户怒火的引信。特定的条件往往需要一个量变的积累，如果我们能够在风险征兆尚未积累成因的时候就捕捉到它，就可以釜底抽薪，把风险扼杀在摇篮里。风险征兆的另一个含义，是预示系统风险降临之前的典型迹象，如暴风雨之前的闷热，股市崩盘之前的泡沫繁荣，政策大转弯之前的媒体舆论，对于这种外部的系统风险，只能被动地应变，如果我们能够掌握这些迹象出现的规律，就等于有了预示风险的预警指标，就有了提前实施应变措施的主动权。质量控制中的七点失控原理，为我们识别潜在风险和风险征兆提供了一个有效的工具。如果你做一个工作，结果连续七次都从一边偏离了正常标准，尽管哪一次也没有超出可容忍范围，你也需要认真检查一下，是否什么地方潜藏着风险的隐患。2.3：风险因素分析法风险因素分析法又被称为情景分析法，是风险因素识别的重要工具。其功能是分析判定在构成风险的各种要素中，何种因素对项目的影响最大。图-2.3提供了一个似曾相识的画面，让我们想起了质量管理中的实验设计法，两者的工作原理其实同出一辙，只不过实验设计法检测的是各要素对过程的正面作用，而风险因素分析法检测的是各要素对过程的负面作用。将不同的风险要素分别输入模拟的过程，然后观察输出的结果，进行综合分析。输出的结果可以由诸多风险指标构成：后果严重性指标，可以设定损失金额的标准；影响蔓延的范围，例如质量下降、工期拖延、成本超支等；对项目进程影响程度，或中止项目、或改变计划、或只受到轻微挫折。一个新产品研发生产项目可能面临四种风险：竞争性的替代产品在市场上出现，后果有可能导致产品降价30%；原材料价格上涨，后果将是成本增加，需要追加预算成本15%；设备供应商质量不过关，后果可能是设备故障频繁，引发废品率增加20%；电力供应不足，每周停电三天将导致生产能力闲置，后果是减产30%左右；将上述风险因素分别输入现金流量表，或者输入挣值分析模型，最后结论是竞争性产品的出现风险因素引起的后果最为严重，有可能使项目中途失败。风险因素分析法最典型的应用是财务风险的敏感性分析，在后面的章节中，我们将用实际案例来演示敏感性分析的操作过程和工作原理。2.4：过程跟踪分析法过程跟踪分析是识别风险最简单也是最实用的方法。召开一个全体成员会议，把项目的商务模式和运行流程图画出来，让大家跟踪流程的每一个环节，集思广益，展开充分讨论，看什么地方可能发生风险，发生什么样的风险。笔者在进行项目管理培训时，常常会让学员做过程跟踪分析的课堂练习。将一个项目的商务模式及运营流程演示在屏幕上，让所有的学员跟踪每一个环节进行讨论，发现其中的风险。例如，图-2.4显示的是一个酒店预订网的信息服务项目，其商务模式：建立网络服务中心，提供包括800号免费电话和互联网两种方式的酒店预订服务；发展加盟酒店，代表集体旅客与加盟酒店洽谈一个3-7折的批发价格，然后与酒店签订优惠价格和有偿服务协定；同时发展旅客会员，免费发放会员卡。还可以与航空里程卡、消费卡、信用卡、保险卡等结成战略联盟，为其会员卡增加一项酒店预订的服务内容，以此交换其会员信息资料；持卡会员需要预订酒店，可以通过800号电话或者互联网连接到服务中心；预定过程中服务人员可以提供酒店区位和性价比的咨询服务；确定日期和旅客姓名之后，服务中心将此预订信息传给推荐的合同酒店；到预订日期，该会员自行赴酒店登记入住，到酒店前台出示会员卡并报上姓名，便可以获得事先约定的优惠价格；会员离开酒店时自行结账；酒店将返还该会员在酒店所有消费额的10%给网络服务中心作为市场佣金。一般情况下，学员只用几分钟，就能发现了整个商务模式中最致命的风险因素：会员预订了酒店，但是中途爽约或改变了日程，没有去住。会员登记入住时，酒店拒绝兑现事先承诺的优惠价格；会员如约去住了酒店，但是酒店方故意隐瞒事实，逃避支付佣金的义务。这是一个笔者亲自经营管理过的真实项目，这种识别风险的方式在现实中也确实进行过，风险因素也很快被识别出来，并分别采取了对应措施。我在课堂上作过多次练习，尽管很多学员并不熟悉电子商务的流程，但这些风险每次都能在五分钟之内就被识别出来。由此可以看出，这个方法是非常有效的。2.5：风险识别流程图图-2.5显示的风险识别流程图，可以为我们进行风险识别提供一个清晰的思路：首先要建立风险管理信息系统，这类信息系统在很多组织中都普遍存在。在军队是侦查兵和情报部；对付自然灾害有气象台、水文监测站、火情监测站、地震监测站；在非典时期，很多北京人第一次听说了一个过去很不起眼的部门叫流调中心（流行病调查中心）；很多大型跨国公司有专业的商业情报部门，技术情报部门；建筑工程项目有工程监理部门等。跟踪和检测风险信息，这就是风险管理信息系统每天的日常业务。例如气象台每天观云测温；水文站每天记录水位；流调人员拿着小本子，追问每一位疑似病人曾经坐过什么飞机火车，和谁密切接触过；企业的情报部门，除四处捕捉商机外，还要搜集各类风险迹象，监测竞争对手的技术动向；工程监理每天检测工程进度和质量缺陷。对风险信号进行分析判断，即对上述有可能引起风险的迹象与正常标准进行对比，如果发现连续偏离正常标准的现象，则发出风险预警信号。例如，水文监测站若发现连续若干天水位高于或者低于该季节的平均水位，就可以由此推断发生洪涝或旱情的可能性了。这个过程与质量控制中的七点失控原理完全相同。如果对上述信息的判断结论是不存在风险，则回到监测环节继续跟踪；如果发现风险征兆，则启动下面一系列的风险分析系统。对风险进行鉴别分类，实际上就是给风险定性。如果是气候风险，则鉴别是大雪还是冰雹、是台风还是沙尘暴；如果是水文风险，鉴别是旱情还是涝情；如果是商业风险，鉴别是政治风险、市场风险、技术风险还是金融风险；如果是项目管理风险，则鉴别是质量问题、工程脱期还是成本超支。随后测算风险发生的概率，分析风险发生的原因，分析风险发生的后果，预测风险发展的趋势，都是风险的分析项目。例如，如果一个项目的风险征兆被定性为潜在质量风险因素，那么就需要测算可能发生的缺陷率；追踪过程找出引发风险的具体原因，是设备故障还是制度漏洞；然后判断若发生质量问题会引起什么后果，是返工、索赔还是诉讼；最后预测质量风险会蔓延到那些领域，并涉及到那些计划的变更，需要追加多少工期，增加多少预算，甚至项目能否继续进行下去。如果风险因素不止一个，需要在量化分析的基础上进行对比，根据其概率大小和危害程度进行排序，以便集中精力解决引起80%质量风险的那20%的关键因素。在上述所有的鉴别、分析、推断、排序等程序都完成之后，形成文字就是风险识别报告。提交最高决策层参考，同时更新风险识别清单和组织过程资产。风险识别报告可以意味着一个特定的风险识别过程的终结。例如一个洪灾、一场非典、一个质量隐患、一个财务危机等。如果决策层对这个风险的识别结果表示满意，则过程结束；如果认为信息还不清晰、不充分，则需要回到信息监测环节，重新开始新一轮的识别流程。不过，对于一般的项目风险管理，这个流程是没有结束环节的。风险监测、分析、判断的过程就像我们身体里的免疫系统，每时每刻都在周而复始地重复着风险识别的流程，不断地捕捉着各式各样的风险征兆。在识别风险的过程中，除非谁有特异功能，否则我们主要还得依靠前人留下的历史信息和专家的经验。我们至今还在用“十年一遇”和“百年一遇”作为洪灾的度量标准，这说明了数千年来前人留下的记录，一直都在作为我们识别风险的参照物。我们可以使用电脑和各种仪器来跟踪风险，但是初始数据的设定最终还是来自人类的大脑。2.6：头脑风暴识别法头脑风暴法是个笨办法，也是没有办法的办法。因为风险总是不按常理出牌，它若按常理出牌就不再是风险了。所以，识别风险就如同博弈，在这个领域里还没有任何智能设备能彻底替代人脑。常见的头脑风暴法如同图-2.6所示，可采取地毯式排雷方法，按照风险的性质，从自然风险、政治风险、法律风险、市场风险、技术风险、管理风险等领域依次深翻一遍，穷尽式思维。孕育头脑风暴最好选在会议室以外的非正式场合，例如餐桌上，野外，沙龙等环境，让参与者身心充分放松，解除约束，鼓励非逻辑性跳跃式思维。头脑风暴的参加者原则上不限，但涉及风险识别，则年龄结构大一些好，人生阅历是积累的财富，不是书本可以替代的。正如培根所言：感性知识如同零，单独存在没有价值，但是若把它累计在理性知识的实数后面，其价值就会十进位乘十进位地倍增。孔子曰：三十而立，四十而不惑。也就是说，人在三十岁之前，应该四处捕捉机会，以便找到后半生的立足之地。而到了四十岁的时候，更明智的决定就是要放弃机会了。在三十岁到四十岁这十年的碰撞中，人终于明白了自己的局限性，明白了自己天生就不是干某些事情的材料，明白了有些机会永远也不属于自己，明白了放弃比获得更明智。舍弃机会同时就意味着放弃风险，因为四十岁已经到了失败不起的年龄了。舍得舍得，不舍何以言得，大丈夫有所为必有所不为。所谓的不惑之年，就是不为机会所惑。人在三十岁时看机会，个个都是美女，可是到了四十岁时再看，眼前一片白骨精。十年历练赋予我们的，正是一付识别风险的火眼金睛。有些风险，没有阅历的人是无论如何也想象不到的。婚姻对人生是个重大项目，其中孕育的巨大风险，对过来人而言是常识。可是你不能指望热恋中的少男少女会意识到这点。当父母劝阻他们走向误区的时候，他们会反感反抗甚至反目。但是当他们经过了婚姻的历练，再回过头去品味父母的告诫时，才会由衷地敬佩：爸妈当初真英明。一个朋友，也是我的学员，给我讲了一段他亲身的经历。他和妻子曾在广州一个高层写字楼附近买下了一个快餐店，专为这座大楼里的办公室送午餐。在论证这个项目的风险时，他们几乎把所有可能发生的问题都想到了。最后结论是，这个项目所有的风险都是可控的，即使有些不确定因素，在巨大的需求和效益面前也显得微不足道。但意想不到的是，他们的快餐店在一个月之内就遭致惨败。“你猜猜看，”我的朋友微笑地看着我，道：“能猜到我们失败的原因吗？”是客户需求不足？是饭菜的质量问题？是劳动力不足的问题？是服务态度问题？是收款的问题？是原料供应问题？是周转资金的问题？是产权争议问题？是竞争对手的问题？是卫生检疫问题？是税务问题？是法律许可的问题？是宗教信仰或风俗习惯问题？我绞尽脑汁，穷尽罗列了所有可以想到的原因。可是这位朋友微笑着持续摇头，最后弄得我这个老师都觉得脸上无光了。我是风险投资和项目管理的专家，给数十个企业当过顾问，投资效益和风险分析是我的长项，我甚至还亲自在美国开过快餐店，难道真要在这样一个最普通的小项目上走麦城？最后我实在黔驴技穷，只好跟着他一齐摇头：“对不起，实在猜不到。”朋友的脸色从微笑转为苦笑，道：“谁都不会想到，我的滑铁卢竟是电梯。中午上下班的时间是电梯运营高峰，保安不允许我们的送餐员与客户及物业工作人员争抢电梯，营业第一天我们花了两个半小时才把餐盒送到20以上的楼层，送到时饭菜早就凉透了。客户的脸色可想而知，钱就别想收了，赔礼道歉还要挨一顿骂，后面的订单被一笔勾销了。后来我们曾经想过各种办法突破这个瓶颈，包括用人力爬楼梯。但是你想想看，空手爬20层楼都够呛，更不用说双手拎着几十份连汤带水的餐盒了。每天中午这一个小时就和冲锋打仗似的，几天下来人都累瘫了。一个月之后，由于送餐不准时，所有的客户都不再订我们的餐了，快餐店只好关门。”这个故事给我留下的印象太深了，以致让我更深刻地理解了什么叫做小河沟翻船。那些潜藏在阴暗角落中的绊脚索，若没有亲身经历，哪怕你是管理大师也很难料到。2.7：风险孕育的温床风险犹如一个擅长游击的恐怖分子，凡是你关注到的地方，偏偏就抓不住它，而它总是会在那些意想不到的角落里突然冒出来。这正验证了著名的摩菲定律：任何事情都比你想象得更难，问题总是出在那些你认为最不会出问题的地方。根据摩菲定律推断，最容易出问题的地方，是图-2.7中显示的被称为孕育管理风险的三大温床：顺境。失败是成功之母，同时又是下一次失败的姥姥，因为成功也是失败之母。成功使人骄傲，骄傲纵人轻敌，轻敌诱人涉险，涉险致人失败。世间有很多类似的成语描述过辉煌的险境：日中而落，月满则亏；飞得高，摔得重；金淘得越多，坑挖得越大；尽管如此，还是不断有人前赴后继地铤而走险。原因在于顺境很容易让人过高地估计自己的能力，因而容易轻视甚至无视风险的存在。如果有哪一家航空公司天天吹嘘，说几十年没有摔过一架飞机，那我绝对不敢再坐它的飞机，因为下一个空难事故很可能就轮到它；而如果哪一家航空公司刚刚摔过飞机，那你放心大胆乘它的飞机好了，因为每一个工作人员的神经都紧绷着，不但安全有保证，而且票价肯定有折扣。麻木。麻木描述的是一种惰性状态，组织的反馈性极差，对周边环境的变化反应迟钝，风险临头了都不知所觉甚至不知所措。当今很多国有企业就处在这种状态中。水煮青蛙的实验非常形象地描绘了这类组织的风险。青蛙死于惰性而非开水，当它有能力跳出锅外的时候，并没有意识到这样做的必要性，而当水温达到它容忍极限的时候，它已经失去逃离风险的能力了。挽救这类惰性病的唯一机会，是突然降临的危机，直接往青蛙身上浇开水，反而可以迫使它跳出锅底。危机疗法可以使一个惰性组织迅速转变为学习型组织。僵化。僵化描述的是一种思维惯性状态，开始只是习惯，后来变成教条，最后凝固成意识形态。在前面的章节中，我们论述过框架式思维的好处是可以简单重复，而人类的进步在很大程度上就来自简单重复产生的效率。标准化、程序化、模块化、教条化，会赋予一个组织极强的执行力，但是同时又会扼杀它的适应能力和应变能力。人类的进步总是在两难的选择中左右摇摆，需要效率和执行力的时候，强调管理科学的规范性，以便统一思想、统一意志、统一行动、统一步伐。规范性走向极端就是意识形态化，当一个组织的执行力因此达到了顶峰的时候，其应变能力却降到了谷底，巨大的风险便孕育其中了。常识告诉我们，效率越高越难以应变，车速越快越难于拐弯，一旦前面出现弯道，汽车便会带着惯性冲向绝壁，不碰南墙不会回头。这个时候，人们就需要强调管理艺术的灵活性了，提倡摸着石头过河的机会主义思维方式，以便突破思维框架，打破规范教条，适应环境变化，跟上时代潮流。在这里，我们没有必要全盘否定或全盘肯定教条主义或者机会主义。驾驶汽车的时候，教条主义有利于它加速，机会主义有利于它转弯，需要采取什么思维方式，就看你的车正处在什么阶段，如果在一马平川的康庄大道上，你需要规范化来加速；如果处在歧路纵横的叉道口，你则需要灵活性来转向。对于一个组织来说，科学方法和艺术手段可以都用，也可以都不用，但最危险的是用错了地方。3风险的评估3.0：风险评估的过程趋利避害是人类的天性，但利害需要通过沟通和比较来鉴别，只有量化的损益才易于比较，人们通过比较做出选择，而项目管理最终是通过选择来规避风险的。我们看到，风险评估的主要手段就是量化分析，只有量化的评估才易于沟通、比较、选择。如图-3.0a所示，风险评估的输入依据是：组织过程资产。包括项目范围说明书和集成管理计划。用范围说明书中的立项宗旨和项目管理计划，作为衡量风险的客观参照物，测算出完不成计划和达不到目标的可能性有多大，后果多严重。识别风险清单。是识别风险的输出项，也成为评估风险的输入项。从图-2.5的风险识别流程图中我们看到，识别出的潜在风险需要分析描述，然后形成报告进行沟通，而量化评估正是分析和描述的主要手段。项目投资者或发起人的风险承受能力。其承受力的客观量化指标，将主要建立在两个主观变量的基础之上：一是对收益（赢）的期望值，二对损失（输）的忍受底线，两者构成了其承受力的上限和下限。风险评估的输出结果，是项目所产生的机会收益和为获取这些收益所承受的风险损失；反之也可以说，承受这些风险损失所换来的机会收益。如图-3.0b所示，风险和机会，收益和损失，是项目评估的一对儿最重要的量化指标，双方往往互为砝码，你可以用风险损失作为砝码去衡量机会收益，也可以用机会收益作为砝码去评估风险损失。两者评估对比的结果，将产生两个截然相反但又必居其一的抉择：要么抓住项目赋予的机会效益，同时承受它所带来的风险损失；要么规避项目面临的风险损失，同时放弃它所带来的机会效益；关于风险量化的工具方法，我们将在下面的章节里用案例来说明。3.1：风险评估的指标风险评估的指标就是度量风险的尺子。风险是一个综合现象，并涉及到对未发生事件的预测和评估，因此往往需要许多把标尺才能勾画出它的特征。图-3.1提供了风险评估的六把常用标尺：风险发生的可能性，这是人们首要关心的问题。风险事件的发生具有随机性，但并不意味着没有规律可循。测算随机事件最常用的方法是概率分布统计法，其计算出来的结果就是风险概率。风险后果的危害性，即量化风险所带来的有形及无形损失，直接或间接损失。人们常常用货币为单位来衡量风险所带来的损失，因为金钱具有最强的可比性。对于物质损失，采取成本重置法的估算可以非常准确，但是若涉及生命、信誉、影响范围等问题的时候，往往货币单位就显得力不从心了。对风险的预测能力，取决于人们掌握风险相关信息的程度。对某一特定风险，人类从完全不可能预测到可以准确预测，中间有一个渐变的学习过程。例如对于气候和瘟疫的预测等，都经历了这样一个学习曲线。这个过程的量化指标，将显示管理者对项目风险的认识能力和控制能力。风险发生的时间段，是决定风险发生概率和危害程度的相关指标。一个人在爬第一层楼时发现没带钥匙，和爬到第三十层楼才发现没带钥匙的挫折感会截然不同；一个地震发生在深夜三点，比发生在下午三点所造成的人员伤亡会相差数倍。在很多情况下，时间都是概率和成本的函数，在衡量风险的时候更是如此。对风险的承受能力，如前所述，可以分为主观承受能力和客观承受能力，前者的指标或许取决于投资者的个性，而后者的指标则可以量化测算。例如，我们常常用资产负债率来衡量一个组织承担债务风险的能力，用盈亏平衡点来测算一个投资项目的经营风险。风险可换取的收益，是测量项目风险的秤砣或砝码。投资者愿意冒多大风险，在很大程度上取决于收益有多大。马克思说过，百分之百的利润，就能使人铤而走险，百分之三百的利润，就能驱使人杀人越货。风险和机会，损失与收益，就像一对儿孪生姐妹，你看到了其中一个的身材，就不难估计另外一个的体重。3.2：风险的概率评估风险的发生概率统计，是量化风险的最主要手段。关于概率分布统计的方法和概念，如正态分布和西格玛（标准差）等，我们在时间管理和质量管理的章节中已经详细介绍过了。请参考图-4.33和图-4.34以及图-6.46的图解。概率统计的计算方法，无论用在那个领域都基本相同，不同的是风险概率需要反过来看结果。例如质量统计的合格率是95.45%，反过来风险估算的缺陷率就是100%-95.45%=4.55%。工期估算的准时概率为68.26%，反过来风险估算的延误概率或迟到概率就是100%-68.26%=31.74%/2=15.87%。计算时间风险的时候，读者千万不要忘记减去提前完工的那一半偏差概率。项目面对的风险经常不止一个，每一个风险都有一个发生几率，若估算所有的风险同时发生的概率，就涉及到复合概率的计算，就是概率交集。如图-3.2a所示，一个项目的管理风险发生概率是50%，市场风险的概率是20%，技术风险的概率是10%，那么三种风险同时发生的交集概率就是这三个数的乘积：50%x20%x10%=1%。风险概率与成功概率互为余数，两者之和为一。这样，我们同样可以用成功的概率来推算失败的风险。我的一个朋友是一家上市公司总经理，有一次我和他一起乘飞机，谈起国有企业的体制改革，他用一个简单的计算证明了国有企业的暗淡前景：一个企业的兴亡取决于企业第一把手的综合能力。假如在十个民营企业家中，只有一个具有合格的管理能力，那么民营企业的成功概率是十分之一。这是个简单概率计算。假如每十个国有企业的第一把手中，只有一个具有合格的管理能力，那么国有企业的成功概率也是十分之一。但是对国有企业第一把手的要求，没有民营企业家这么简单，有能力把企业搞好还不够，他还需要会搞政治才能保住自己。假如每十个国有企业的第一把手中，只有一个会搞政治，那么国有企业成功的概率就降到了百分之一。问题还没完，懂管理并且会搞政治，还不足以让国有资产增值，这个第一把手还必须具有无私的品德。假设每十个国有企业第一把手中，只有一个具备无私的牺牲精神，那么国有企业成功的概率就剩下千分之一了。如图-3.2b所示，这是一个成功概率交集的计算，反过来的余数就是风险概率，即一千个国有企业中99.9%会面临失败的风险。他最后的结论是，就凭这个概率的对比，国有企业在市场竞争中根本就不是民营企业的对手。3.3：风险综合评估法风险是一种综合现象，仅仅靠概率这样一个单项指标无法衡量它。就像我们无法只用一个“长”的指标去描绘一个立体的容积一样，三维空间必须用“长宽高”三个指标才能完整表达。为了更有效地进行对比和沟通，我们需要设立多指标的综合风险值。取风险量化的三个最重要的指标，列入图-3.3a的级差量化表：风险发生几率，根据概率大小分为十个等级，概率越高等级越高；风险危害程度，根据造成损失大小分为十个等级，损害越大等级越高；风险可检测性，根据对风险的验测能力分为十个等级，可检测性越弱等级越高；这三个指标如同一个三维坐标，任何一项风险都可以在此找到一个量化的定位，将一个风险所获得的三个指标相乘，就可以求出它的综合风险值。图-3.3b的表格显示了几个熟悉的风险综合值：流感的发生概率很高，P=8；危害性不大，S=3，可检测程度较高，D=5，于是它的风险综合值：PSN=8x3x5=120非典的发生概率很低，P=2；但是危及生命，S=8，可检测程度很低，D=7，于是它的风险综合值：PSN=2x8x7=112飞机失事的发生概率很低，P=2；危害性极大，S=10，可检测程度很低，D=7，于是它的风险综合值：PSN=2x10x7=140汽车事故的发生概率较高，P=5；危害性比飞机小得多，S=5，可检测程度也相对高一些，D=6，于是它的风险综合值：PSN=5x5x6=150对比一下上述风险综合值，也许你会惊奇地发现，一些我们习惯认为的重大风险并不如我们想象得那样严重，例如非典或者航难事故。非典的风险甚至小于普通的流感，而坐飞机甚至比开车还安全。这充分说明，使用单一指标去描述和对比风险，很容易造成错觉。4.：加权平均量化表图-4.a所示的加权平均量化表也是一个常用的风险综合指标的评估工具，它通常被用在项目立项时的效益和风险评估上。其操作步骤如下：将所识别出的所有风险填入表格左栏，作为评估指标；为每一个风险设定权重，代表该风险对项目成败的重要性，也可以视为风险的危害程度。例如，本项目属于当地一把手业绩工程，当地领导人换届就成了重大政治风险，一般情况下后任一把手都会封杀前任的业绩工程，将资源调配到自己扶持的业绩工程上去，这个风险对本项目的影响是致命的，足以中止项目进程，因此给予80%的权重。而气候变化和瘟疫对本项目影响不大，因为项目属于高科技项目，主要在室内工作，因此权重仅为5%。对每一种风险的发生的可能性进行评估，给出概率值。按照风险加权综合求值公式，将每项风险的权重与概率相乘，得出该风险综合值，再将所有的风险综合值相加，最终得出风险加权综合值。将求出的风险加权综合值与预设的风险承受底线相比，如果低于这个底线，说明项目预期风险可以承受，批准立项；如果高于这个底线值，就说明项目的综合风险太大，超出投资者承受能力，项目将被枪毙。例如，图中案例的风险承受底线值为1.00，而风险加权综合值为1.18，高于底线值，说明该项目不可行。加权平均量化表的用途非常广泛，它也可以用于项目的可行性正面评估。可行性评估的结论刚好与风险评估相反，加权综合值需要高于可行性底线值方可立项。风险评估技术最成熟的领域是股票市场，图-4.b显示的是美国纳斯达克股票市场风险级别指标。在那里，每一只股票都有一个风险指数，是根据上市企业的各种风险因素用加权平均法计算出来的，随着这些因素的变化，风险指数也会随时发生变化。风险级别指标就像一把标尺，我们只要用企业的风险指数对比标尺刻度，就可以判断该股票处在什么风险级别的位置上，如果指数小于100点，说明持有该股票非常安全；如果指数在100-700之间，说明持有该股票在正常风险范围内；如果一个股票的风险指数高于700，说明该股票正处于高度风险之中，要么别碰它，要么赶紧出手。5.：盈亏平衡点分析盈亏平衡点既代表一个项目承受风险的客观底线，也可代表主要干系人的主观心理底线。这个底线其实无时不刻地存在于我们每个人心底，左右着我们日常生活中的许多行为，口语表达就是“合算不合算”。如果我们的收获大于付出，就是合算，如果付出超过支出，就不合算。而收入刚好与付出相抵，就是盈亏平衡点。因此，盈亏平衡点就像测量风险高度的基准水面，风险如同浮在水面的船，水面的高低决定着风险的高低，水涨船高。图-5.a用一个坐标图显示了盈亏平衡分析中各项变量之间的关系。横坐标表示产品的产量，纵坐标表示货币价值。两者之间的直线SC表示产品的销售收入，可以看出产量越多，收入越高，两者之间形成线性函数关系。SC线与横坐标之间的夹角，就是产品的价格。直线FC表示固定成本，可以看出固定成本是一个固定值，与产量的数值没有关系。例如办公室租金，管理人员工资，哪怕你一个产品也没有生产出来，房租都是要交的，工资也不能不发。直线VC表示可变成本，可以看出它的变化与产量相关，随着产量的增加而升高。例如原材料，水电费等，产量越大，耗费越多。VC斜线与横坐标之间的夹角，代表可变成本在每一单位产品中所占的固定比例，被称为单位可变成本。例如汽车每公里耗油量，每发一度电的耗煤量，这往往是一个固定值。直线SC与VC之间下方夹角的红色区表示亏损区，上方夹角的绿色区为盈利区，而两线相交的B点，对应在纵坐标上的S点，就是收入的盈亏平衡点，对应在横坐标上的Q点，就是维持盈亏平衡的保本产量。在项目决策时，能够作为风险量化尺度的盈亏平衡点其实不止一个，图-5.b是一个生产项目的盈亏平衡分析示意图，从图中我们看出，盈亏平衡点有三个：产量的盈亏平衡点，就是保本产量。如图所示，该项目至少要保持34%以上设计生产能力的运转，才可以维持盈利。价格的盈亏平衡点，即在设计产量的基础上，只要维持原计划58.5%以上的售价，就可以避免亏损，这意味着目前还有41.5%的降价空间。成本盈亏平衡点，即只要固定成本不超过销售收入的52.5%就不会导致亏损。这三个盈亏平衡点，立体地勾画出了一个项目的经营风险，有兴趣的读者不妨自己判断一下，这个项目风险大吗？如果按照这个盈亏平衡分析数据，你会决定投资吗？如果不考虑营业税或增值税的因素，盈亏平衡点的求解公式非常简单：产量x（价格–单位产品可变成本）–固定成本=0（经营利润）这个公式我们不难从任何一本财务教科书中找到。但是若考虑税务因素，尤其是考虑到我国税务的繁琐性，计算公式便复杂了。3.6：要素敏感性分析要素敏感性分析的原理请参见图-2.3，我们在风险因素分析法中已经阐述过了。现在我们用一个模拟的案例分析来演示一遍具体的操作方法和步骤。在论证一个项目的可行性时，我们建立了一个五年期的现金流量表数量模型（工作原理请参见成本管理的有关章节），这个数量模型就是图-2.3中的模拟分析工具。经过数量模型的投入产出分析，我们得出了该项目最关键的效益指标：IRR=25%（内部收益率）。将上述IRR值填入图-3.6中的坐标，然后识别风险因素，分别列出能够对项目收益产生影响的五个要素：价格、成本、订货量、投资额和增值税。将这五个变量要素分别增加10%和减少10%输入现金流量的模拟分析模型，我们发现IRR发生了以下变化：当价格降低10%的时候，IRR从原来的25%降到了18%；而当价格提高10%时，IRR从25%增加到了32%；波动幅度±7%。当成本降低10%的时候，IRR从原来的25%升高至27%；而当成本增加10%时，IRR从25%降至23%；波动幅度±2%。当订货量降低10%的时候，IRR从原来的25%降到了20%；而当订货量提高10%时，IRR从25%增加到了30%；波动幅度±5%。当投资额降低10%的时候，IRR从原来的25%提高到了29%；当投资额提高10%时，IRR从25%降低到了21%；波动幅度±4%。当增值税降低10%的时候，IRR从原来的25%提高到了26%；当增值税提高10%时，IRR从25%降低到了24%；波动幅度±1%。假设上述变量因素与IRR之间形成线性函数关系，我们就可以连接三点画出直线了。直线的斜率说明该要素对项目收益产生的影响。斜率越大，IRR波动幅度越大，说明项目的收益对该要素的变化越敏感。通过对比各风险要素的波动幅度和直线斜率，我们发现项目收益对上述五个变量因素的敏感度排序如下：1）价格波动；2）产品订货量；3）一次性投资成本；4）经营成本；5）增值税率。在一般情况下，价格的敏感性都要大于成本和产量，其中的原理，感兴趣的读者不妨思考一下，自己得出结论。3.7：风险分析概率树概率树作为一种量化工具，既可用于最优化的决策分析，也可用于风险分析，其工作原理是逐步排除风险路径，最终找出最佳效益路径。概率树的操作分三个步骤进行，第一步，逻辑推演出可能实现项目目标的所有备选方案，以及实现阶段性目标的下级备选方案，各级备选方案的逻辑关系形成了树状结构，因此被称为概率树；第二步，测定各个途径中每个可选择节点的成功和失败概率，并且具体量化成功的收益和失败的损失。第三步，分析对比所有备选方案的损益和风险概率，筛除风险途径，找出效益最大化的最佳途径。图-3.7a演示了一个科技产品开发项目的概率树决策图：产品开发完毕之后将面临两个选择，一是申请国家权威部门的技术鉴定，二是不申请技术鉴定。如果申请技术鉴定，成功和失败的几率各为50%。成功后有两种选择：一是自己生产销售产品，二是转让技术。如果自己生产销售，成功和失败的概率分别为90%和10%，成功意味着2000万元的收益，失败则意味着1200万元的损失；如果转让技术，有可能获利1200万元。技术鉴定失败的概率也是50%。失败后也面临两种选择：自己生产销售，或者转让技术。如果自己生产销售，由于技术的成熟性无法确定，产品销售的预期不乐观，成功与失败的概率分别为30%和70%。若成功，将获益2000万元，若失败，则损失1200万元。如果选择转让技术，只能收回半成品的直接成本，获益400万元，购买技术者还需要追加投资继续开发。如果当初就选择不申请技术鉴定，则既不能证明技术成熟，也不能证明其不成熟，不妨让市场检验，因此可以有两种选择，若自己生产销售，成功和失败的概率分别为60%和40%，如果成功，因为节约了技术鉴定的成本和时间，可获益2200万元；如果失败了则损失1000万元。如果转让技术，由于没有鉴定结论，有可能卖个折中价，获利800万元。所有的备选方案和可选路径推演完成后，需要找到最佳机会路径。方法是进行机会价值分析，找到获益最多的路径。机会价值分析的公式：机会价值=成功概率x成功收益+失败概率x失败损失机会价值分析的结果：技术鉴定成功后生产销售的机会价值：90%x2000+10%x（-1200）=1680万元；技术鉴定成功后转让技术的机会价值：1200万元技术鉴定失败后生产销售的机会价值：30%x2000+70%x（-1200）=-240万元；技术鉴定失败后转让技术的机会价值：400万元不鉴定技术然后生产销售的机会价值：60%x2200+40%x（-1000）=920万元；不鉴定技术然后技术转让的机会价值：800万元；对比1和2的机会价值，1680＞1200，选择1680万元填入前一个路径框；对比3和4的机会价值，400＞-240，选择400万元填入前一个路径框；对比5和6的机会价值，920＞800，选择920万元填入前一个路径框。接着我们进行第二轮机会价值评估：进行技术鉴定的机会价值：50%x1680+50%x400=1040万元；不申请技术鉴定的机会价值：920万元对比A和B的机会价值，1040＞920，选择1040万元。由此我们可以沿着机会价值最高的线索找到最佳路径：申请技术鉴定，然后自己生产销售产品。从案例的分析中我们发现，概率的估算在路径选择上具有决定意义。假如我们把上述最佳路径中生产销售的成功概率降低到80%，看看会发生什么变化：第一轮机会价值评估结果：80%x2200+20%x（-1200）=1360万元；第二轮机会价值评估结果：50%x1360+50%x400=880万元；于是我们发现，880＜920，最佳路径转移到了不申请技术鉴定而自己生产销售产品。图-3.7b演示的是另一个房地产项目的概率树决策图，有兴趣的读者可以按照上述方法自行演算一遍，找出其中最佳路径。3.8：阶段性风险分析如前所述，风险发生的概率和风险后果的危害性（以货币损失值表达），是风险量化的最主要指标。从概率树分析可以看出，两者的乘积就是机会损失（机会价值呈负值）。不过，决定这两项指标的还有一个重要的函数，就是时间段。在项目进程中的不同时间段，机会损失值会出现很大差别。图-3.8演示的是一个项目进程的坐标，横坐标表示时间跨度，它被划分为立项、计划、实施（控制）、收尾四个阶段；左侧的纵坐标表示概率值，最高概率为50%；右侧纵坐标表示风险造成的损失值，最高为500万元。经验证明，风险发生概率在项目进程的前期较高，因为各种不确定因素比较多，而越到后期概率越低，因为未定因素逐渐明朗化；风险的危害性趋势刚好相反，项目前期比较低，因为投入较少，风险损失也较少，越到后期损失越大。根据上述趋势绘出风险概率和风险损失两条曲线，两者的乘积就代表风险的机会损失，也就是风险的综合值。立项批准时，风险概率为33.%，损失为30万元，机会损失：33.%x30=10万元计划确定时，风险概率为30%，损失为100万元，机会损失：30%x100=30万元实施完成时，风险概率为16%，损失为350万元，机会损失：16%x350=56万元图中两条曲线在实施过程中相交，当风险概率为25%，而损失为250万元时，机会损失达到最高点：25%x250=62.5万元从这个图解分析中，我们再一次验证了此前得出的结论：单一的风险量化标准有可能造成假象，风险的评估需要用一个综合值来表示。4风险的应对4.0：风险应对的过程图-4.0显示了风险应对的过程。风险应对过程的输入依据：风险识别清单。包括对风险的性质和特点的描述，原因分析和后果判断，以便有针对性地选择应对方案。在打仗之前，首先应该知道敌人是谁，有什么特点，知己知彼，不打无准备之仗。备选应对预案。将事先制定的风险应对预案输入到风险应对中，可以把决策过程简化到对比和选择。尽管有些备选预案未必完全符合实际情况，但是在一个成型模块的基础上进行调整，总比从零开始仓促准备方案强，毕竟可以节约决策的时间，为风险和危机的处理赢得主动权。项目干系人承受风险的心理底线。这里的项目干系人主要指项目发起人和投资者，因为风险的后果和损失主要由他们承担。由于心理期望值不同，承受风险的心理准备不同，他们眼里的风险也不同。情人眼里出西施，熊人眼里出风险，谨小慎微的人可以把别人眼里的美女看成白骨精。风险应对过程的输出结果：风险应对措施及合同文件。例如缓解、转移、分散风险的措施，降低风险危害的措施，限制风险扩散蔓延的措施，承受并挺过风险的措施和善后处理措施，其中包括应对措施中所涉及的合同文件，例如分包协议或保险合同等。风险清单和风险计划更新。风险清单作为风险识别过程的输入，只是一个预测。而在风险应对过程中变成了现实，想象的风险和亲历的风险毕竟不同，后者将会为风险清单增加许多关于该风险特性认识的内容，同时也能为风险管理计划的完善提供有益的方法和思路。关于风险应对的具体方法和措施，我们将在后面的章节中详细介绍。4.1：风险承担的底线风险的相对性意味着风险在不同人眼里既是客观的，也是主观的。关于风险承担能力的客观性标准，我们在风险量化的章节里已有阐述，例如盈亏平衡点和资产负债率，都是风险承担能力的客观底线。本节我们主要关注的是风险承受能力的主观底线，客观底线主要用于决策参考，而在风险应对中，起主导作用的往往是主观底线。风险是检验一个人心理素质的最佳测试，面对相同的风险，不同人的本能反应有可能截然不同。人们对风险的主观承受底线取决于以下几个因素：人的个性和心理素质。进取型的人可能天性乐观，处事风格大刀阔斧，临危不惧；保守型的人可能天性悲观，处事风格谨小慎微，杯弓蛇影；这两种人眼中的同一个风险可能完全是一幅不同的画面。正如图-4.1a所示，风险已经突破了保守型投资者的心理底线，可是离进取型投资者的心理底线还差得远。当前者正在紧张地应对风险时，后者也许正在泰然自若地盘算着未来收益。世间有很多职业，本身就要求具备一定承担风险的心理素质，例如军人、警察、医生、救火队、修理工、科研开发者、项目经理等。在华尔街，很多股票经纪人的培训课是在大西洋赌城上的，其用意正是要通过赌场实战去训练他们股市操盘的心理承受力。对获取收益的期望值。风险和机会，损失与收益，是一对形影不离的孪生姐妹，双方互为秤砣来衡量对方。一般情况下，项目有多大的收益，投资者就会有多大承受损失的心理准备。但这是在统一度量衡基础上的假设，可在现实中，每个投资者心里的那杆秤并不是按照标准度量衡打造的。也许你认为的一斤，只等于他心中的八两，若心中都揣着自己的秤，事情就复杂了。图-4.1b表达了三种不同投资者的心理状态，线条A代表进取型投资者的心理函数曲线，可以看出他对效益预期敏感，而对损失预期不敏感，属于追求高利润而敢冒风险的乐观主义者；线条C代表保守型投资者的心理函数曲线，可以看出他对损失预期敏感，而对效益预期不敏感，属于那种不求大利，但求安全的悲观主义者；而线条B代表中庸型投资者，他们心中的那杆秤比较接近标准度量衡的客观值。图中可以看出，同样面对500万元的效益预期，A的风险承受底线是300万元，B是250万元，而C只是180万元。衡量风险的价值尺度。有时候，同样的风险之所以在不同人的眼里不一样，因为他们各自衡量风险的价值尺度不一样。美国与越南的战争，你很难判定双方谁冒的风险更大，因为判断胜负的不同尺度导致双方承受风险的心理底线大相径庭。美国衡量胜负的尺度是不赢就输，越南衡量胜负的尺度是不输就赢。前者是主观风险，后者是客观风险。从客观角度看，越南的损失大，死的人多，但从主观角度看，美国的承受力弱，输不起。正如俗话所说：光脚的不怕穿鞋的，说明穷人承受风险的主观能力未必一定弱于富人，因为他们无可失去。项目经理如果能触摸到老板承受风险的心理底线，心里就有数该在什么时候，采取什么措施应付风险了。否则动手早了庸人自扰，动手晚了又贻误战机，左右不是人。4.2：风险应对的措施当风险降临的时候，应对的措施有可能是实现准备的预案，也有可能是临时决策，但无论什么情况，大致离不开以下几种类型：转移风险型，是最常用也是最有效的方法。例如，当你无法按时按质完成项目时，可以将部分合同订单外包给其他承包商完成，尽管你将为此丧失很大一部分利益，但仍可保住你在客户眼里的信誉。当然，转移风险最常用的办法是购买保险，或者找担保人，但这些措施都是在风险预防阶段就准备好了，一旦风险降临，剩下的问题就是到保险公司去理赔了。在操作一家酒店集团融资时，我仔细研究了该酒店集团的利润结构，发现最盈利的部门是客房部，它以不到总成本20%的投入为酒店贡献了将近80%的收入，风险最大的部门是餐饮部，它以超过总成本50%的投入只换来了10%左右的收入。于是我向董事会提出建议，转型为汽车旅馆式的快线酒店，砍掉所有餐饮项目，只提供无需后厨的简单早餐。董事长很欣赏这个建议，但是面有难色。因为餐饮服务是酒店评星级的重要标准，砍掉了餐饮部门，固然卸下了一个亏损包袱，但是同时也就丧失了星级。“为什么不把餐厅承包出去呢？”我说：“既转移了风险，降低了成本，又保住了星级，还能稳稳当当地获得一笔房租收入。何乐不为？”是啊？为什么不呢？董事长自言自语道。后来他采纳了这个建议，于是酒店一举扭亏为盈。分散风险型，其主要思路是分担压力，弃卒保车，避免全军覆没。实践中不乏这类案例，如抗洪抢险时的分洪减压措施；金融危机来临之时，分购币种的保值措施；强敌压境时，化整为零的保存实力措施等等。分散压力可以在空间上实施，把一个大风险分解后各个击破；也可以在时间上实施，把一个集中的危机分阶段化解。项目经理出差回到办公室时发现一大群民工正围着自己的助理小张吵吵嚷嚷。他站在门外听了一会儿。这群民工大部分是来讨工资的，他们中间有人被欠薪一两个月了，最多的三个月没有领到工资，另一部分民工要求增加劳动安全措施，还有人反映伙食待遇太差，一个小伙子大声嚷着抗议管理人员打骂工人。小张被一大群人围着，百口难辩，急了不得不提高嗓门。民工们见他也大喊大叫，纷纷指责他态度不好，对他推推搡搡地扬言要揍他。眼看就要酿成暴力事件了，总经理突然推开门走进来。民工们一看领导来了，立刻撇下小张，向他围过来。总经理大声宣布：“工友们，刚才我听到你们反映了四个问题，一是欠薪的问题，二是劳动安全问题，三是生活待遇问题，四是管理人员工作态度问题。我说的没错吧？”民工们齐声说，没错。总经理接着说“这四个问题我们分头解决。讨工资的人跟我去会议室，由我亲自处理；反映安全问题的留下，小张你接待一下；财务老王你来处理一下生活待遇问题，带他们到财务室去；反映管理人员打人到隔壁房间找李副总，告诉他我授权他处理。”一分钟之后，办公室的人群被分成了四拨，一场危机顷刻化解。在会议室里，总经理让欠薪三个月的工人举手，然后提出一个解决方案：“最近公司资金紧张，目前手头资金不够补发所有人的欠薪。可以先解决欠薪三个月的人一个月工资，然后下个星期将有一笔资金到账，再给所有欠薪两个月的人发一个月的工资。到下个月发工资的时候，全部偿清所有欠薪。”民工们商量了一下，接受了这个方案，四散离去。降低风险型，主要思路是通过其他额外措施来弥补风险造成的损失。例如，外贸不合格的转为内销，资金周转不开了清仓甩货，产品不合格降价处理等等。总之，既然风险的损失已经不可避免，只能想尽一切办法，能捞回多少算多少。1990年美国南加州发生了大地震，震中是一个叫做桑塔克鲁斯的小镇，一条裂开的大地缝纵贯全城，楼房全部倒塌，满目疮痍，惨不忍睹。尽管大部分居民都得到了保险赔偿和政府救助，但是这仍然不足以让他们重建家园。于是他们想出了一个绝妙的主意：出售灾难。他们保留了一部分受到地震重创的建筑物和景观，对外开放供游客参观，收取门票。小镇因此而扬名，吸引了大批游客。很多游客甚至乐意超值购买门票，他们把这当成了捐款。通过这个办法，小镇的居民筹集了相当一部分重建家园的资金，在很大程度上弥补了自然灾害为自己带来的损失。缓解风险型，主要思路是采取缓冲手段为解决风险争取时间和条件。例如当组织发生财务危机时，先截流而后开源，先砍掉部分次要的项目，剪枝保干，防止财务状况继续恶化。还有当公司与客户发生冲突的时候，不要激化矛盾，而应首先安抚客户，以免扩大事态，为解决冲突创造一个宽松和谐的气氛。电话铃响了，客户部经理抓起电话，听到一个客户在咆哮：“你们卖的是什么漏电洗衣机，差点把我老子给电死。”客户部经理大惊失色，但立刻用轻松的口气道：“祝贺您，先生，您中大奖了。”“中大奖？”那客户疑惑地问，口气中的怒火显然被扼制住了。“是的，我公司最近正在实施六个西格玛质量管理活动，百万产品中只有三个次品。您刚好碰上了一台，真是百万里挑一，机会难得。公司决定将奖励您一台最高档次的洗衣机，外加一台大彩电。不过我们要先检查一下质量故障，我马上派人过去。”电话那端，客户立即转怒为喜：“快点过来，我在家等着。不见不散。”限制风险型，主要思路是最大限度缩小风险影响范围，防止其蔓延。例如，在非典时期对发现疑似病例的居民区实施隔离；在轮船触礁后封闭漏水的船舱，在发现客户支付能力出现问题时立即停止赊账供货，转而采取现金支付方式，等等，都属于这类措施。承受风险型，这也是没有办法的办法，既然风险没法应对，只能硬着头皮顶过去。这时候需要做的，是提高自己承担风险的心理素质，把损失计入风险预防成本。在图-2.4演示的酒店预订服务网的商务模式中，第一个被识别出来的风险是：会员预订了酒店，但是中途爽约或改变日程，不去住。风险识别出来了，怎么办？现实中我们曾经设想过各种各样的办法，例如让旅客先交押金，或者只能使用信用卡，或者记录黑名单等等，但是这些限制风险的方法最终都被一一否决了。一个道理很简单，你不能给客户找任何一点麻烦，只要有一点麻烦，他们就不和你玩了。你倒是没有风险了，但同时也没有生意了。怎么办呢？只有一条出路，硬着头皮顶着。我们计算了一下，客户爽约的情况大约占整个预订量的15%左右，只能把这当成正常损耗打入成本。当然，我们还是采取了一些限制措施，例如事先口头叮嘱客户，只能为他保留房间至下午四点，如果四点钟赶不到，除非他事先打电话确认，否则房间被酒店租出，我方概不负责。这样既解脱了酒店的义务，也堵住了旅客的口。不过，酒店很难有100%住满的情况，即使旅客过了四点钟赶到，一般酒店也不会刁难他。4.3：风险的应对机制风险应对机制在风险降临时才发挥作用，但是它应该在事先就准备好。养兵千日，用兵一时，这个道理也同样适用于它。这套系统最好用不上，但是不用也要备着。图-4.3显示，风险应对机制由三个部分构成：风险应对领导架构。一般情况下，凡一个地区出现重大风险事件，都由当地第一把手挂帅，出任危机处理领导小组首脑。这说明，这个机构须具有高度的权威性，可以果断决策，机动授权，迅速调动资源，全面协调各部门的协作关系。风险关头，往往分秒必争，需要先斩后奏，杀伐决断，否则事事需要汇报，就会贻误战机，酿成大患。多大的危机，由谁牵头处理，这些决定事先就应该规定好，以免事到临头还要讨论推举，难免扯皮。风险信息处理系统，包括信息搜集、分析、反馈、发布系统，事先准备好的备选方案，所有相关人员的联络方法和电话号码，各种备查的专业资料等。如果一个飞机在空中出了故障，下面的指挥中心如果不能在半个小时之内找到所有相关的技术资料，并联络上相关技术人员和维护人员，那么下一步就该联络医院和救捞人员了。天上一百多条性命，将全部系在这个信息系统的运转效率上。没有这个系统，领导机构再权威也是瞎子。风险应对的资源储备，这是风险应对的物质保障，巧妇难为无米之炊。风险资源首先应来自计划储备，如风险准备金，储备时间，备用物资，后备技术等等，如果储备不够，则需要有迅速调集资源的方法和渠道，例如借贷、租赁、募捐，调拨等。领导架构、信息系统、资源保障，这三个要素构成了一个组织应对风险的执行力。缺少这个执行力，就好像人体在遭受病毒侵袭时的免疫机能缺陷（艾滋病），本身就是组织最大的风险。5风险的控制5.0：风险控制的过程图-5.0演示了风险控制的过程。风险控制过程的输入依据：风险管理计划。由风险识别的各种方法和工具，风险防范的规章制度、风险监控的操作程序、风险应对预案的制定与存档管理等构成，作为风险控制的指导依据。风险识别清单。清单中罗列的潜在风险、风险迹象等，构成风险防范的对象。批准变更申请。工作方法、合同条款、成本或工期、质量标准等方面的变更，又可能引起新的风险，或者引起已经识别风险的变化，因此需要对这些变更进行分析，评估其引起连锁反应的风险因素。工作绩效信息。跟踪绩效信息，将之随时与项目管理计划进行对