1、1/96,项目风险管理,2/96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理主要问题及对策,本章内容,3/96,据一项调查分析，在失控的项目中，有55的失控项目发生成本严重超支或进度严重超期，而这些项目根本就没有进行风险管理；有38的项目只做了一些风险管理工作，但其中的一半项目在进行的过程中并没有处理已经发现的风险；而另外7的失控项目并不能确定是否进行了风险管理工作。研究表明，实施风险管理对提高项目成功的可能性、防止项目失控是非常重要的。,1 项目风险概述,4/96,1.1
2、项目风险定义及相关术语,风险是指对无法达到预定目标的可能性和结果的一种测评，是可能给项目的成功带来威胁或损害的可能性。当事件、活动或项目有损失或收益与之相联系，涉及到各种偶然性或不确定性，涉及到某种选择时，才称为有风险。对于某个既定事件而言，风险包含两个要素：一是某事件发生的可能性；二是该事件发生所带来的影响。,1 项目风险概述,1.风险定义,5/96,Websters Dictionary：风险是指遭受损失、伤害、破坏的可能性。风险是不利的情况（或损失）发生的不确定性（不期望发生的事件的客观不确定性）。风险是在给定的情况下和特定的时间内，那些可能发生的与结果之间的差异，差异越大则风险越大。（
3、可能有正偏差、也可能有负偏差）项目的诸多不确定性，决定了项目一定有风险。,1.1 项目风险定义及相关术语1.风险定义,6/96,1.1 项目风险定义及相关术语,2.项目风险,项目风险是指由于项目所处环境和条件的不确定性，项目的最终结果与项目利害关系人的期望产生背离，并给项目干系人带来损失的可能性。项目风险产生的原因主要是由项目的不确定性所造成的；而不确定性是由项目团队无法充分认识项目未来的发展和变化所造成的；这种不确定性不能通过主观努力来消除，而只能通过主观努力来降低。,7/96,1.1 项目风险定义及相关术语2.项目风险,项目风险贯穿整个项目生命周期，并且项目的不同阶段会有不同的风险。风险随
4、着项目的进展而变化，其不确定性一般会逐渐减少。最大的不确定性存在于项目的早期，早期阶段做出的决策对以后阶段和项目目标的实现影响最大。,8/96,1.1 项目风险定义及相关术语2.项目风险,PMI：项目风险是一种不确定的事件，一旦发生，将对项目目标产生某种负面或正面影响（机会）。项目所处的环境和条件本身的不确定性。项目干系人主观上不能准确预见或控制的因素影响使项目的最终结果与当事者的期望产生背离的可能性。给项目干系人带来损失、带来机遇两个方面的可能性。项目风险产生的原因：人们认识能力有限信息本身的滞后性特性项目环境条件的发展变化项目信息资源和沟通管理,9/96,3.风险要素 风险事件风险概率得失
5、量风险条件包括项目环境中可能导致项目风险发生的某些因素，例如，不良的项目管理，或依赖于不能控制的外部参与方。,1.1 项目风险定义及相关术语,10/96,1.1 项目风险定义及相关术语,4.相关术语,关键风险和非关键风险触发器（trigger，风险征兆或风险预警信号）表示风险已经发生或即将发生二次风险 风险承担度 风险效用（或风险容忍度）指人们对风险的偏爱程度（从潜在的权衡中得到满足或愉悦的程度）：风险回避；风险喜好；风险中立,11/96,1 项目风险概述,1.2 项目风险的主要特征,风险的客观性风险是客观存在的，特别是目前我们的组织普遍地处于内外部的不确定环境下，风险的存在就具有客观性。风险
6、的随机性风险发生是偶然事件，发生时间、地点、形式和内容都是不可准确预知的。风险的相对性（风险与机遇）同一风险对于不同的组织、项目、不同的人，危险、处置、结果和承受能力都是不同的。风险的渐进性大部分风险不是突然爆发的风险的阶段性,12/96,1.2 项目风险的主要特征,风险的可管理性风险作为一种事件，也是可预测、可识别、可分析、可跟踪和可管理的；获取相关的信息。不确定性(项目风险源于其不确定性)需求不确定；组织外部的不确定性（自然、政治、经济、法律、技术等的环境不确定）组织内部的不确定性认识能力项目的外部干系人的影响和作用不确定.,13/96,损失,概率（可能性）,风险增大,高度风险区,中度风险
7、区,低度风险区,增大风险的思路,14/96,降低风险的思路,损失,概率（可能性）,风险增大,高度风险区,中度风险区,低度风险区,15/96,1 项目风险概述,风险的来源划分：外部、内部风险。考察风险的方向：业务、技术、机构风险。风险的作用划分：技术、市场、财务和人为风险。风险的状态划分：静态风险、动态风险。风险的后果划分：纯粹风险、投机风险。风险的可预测性：已知、可预测和不可预测风险。风险是否可管理划分：可控制、不可控制风险。按照风险是否可接受：可接受的和不可接受的风险。按照风险的影响范围划分：局部风险、整体风险。按照风险的影响期限划分：短期风险、长期风险。按照风险后果的承担者划分：项目业主、
8、政府、承包商、投资方、设计单位、监理单位、供应商、担保方和保险公司风险等。,1.3 风险的分类,16/96,1 项目风险概述,10.1.4 项目生命周期不同阶段的主要风险,全生命周期个阶段,每个阶段典型风险事件,启动,计划,执行,收尾,风险,风险投资总额,总体项目风险,风险投资总额,缺乏主要专家问题定义不明无可行性研究目标不明确购买（通过竞标）,没有风险管理计划计划草率缺乏准确参数传播不准确角色定义不明确团队缺乏经验,员工缺乏技能材料可获得性罢工天气范围变更进度变更管理制度要求无合适的控制系统,质量差客户不接受基建规模更改现金流问题,得失量,影响最高期,17/96,1.5 IT项目风险成本,I
9、T项目的风险往往意味着损失，当风险事件发生时会引发多种不良后果、甚至导致项目的失控和失败。风险事故造成的损失或减少的收益以及为防止发生风险事故采取的预防措施而支付的费用，都构成了风险成本。风险成本包括有形成本、无形成本以及预防与控制风险的费用。,1 项目风险概述,18/96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理主要问题及对策,本章内容,19/96,2.1 项目风险管理的概念,项目风险管理就是项目管理班子通过风险识别、估计、评价，并以此为基础合理地使用多种管理方法、技术和
10、手段对项目活动涉及的风险实行有效的控制，采取主动行动，创造条件，尽量扩大风险事件的有利结果，妥善处理风险事故造成的不利后果，以最少的成本保证安全、可靠地实现项目的总目标。,2 项目风险管理,20/96,2.1 项目风险管理的概念,项目风险阶段风险潜在阶段识别风险并预见其后果，做好风险规避。风险发生阶段采用风险转化与化解的办法对风险进行控制与管理，做好风险化解。风险后果阶段采用消除项目风险后果的措施消除和减少项目风险所造成的影响。,21/96,项目风险管理是为减轻潜在的不利事件对项目的影响而采取的一项活动。风险管理是一种投资，需要成本。在任何情况下，项目风险管理的成本不应超过项目潜在的收益。需要
11、努力在项目的各个方面寻找风险和机会之间的平衡。,2 项目风险管理,2.2 项目风险管理的特点,22/96,2.3 IT项目风险管理过程,图2 IT项目风险管理过程,2 项目风险管理,23/96,风险管理规划：决定如何开展项目风险管理活动。风险识别：判断风险对项目的影响，以书面形式记录特点。定性风险分析：对风险进行排序，以便随后进一步分析。定量风险分析：对识别的风险进行量化分析。风险应对规划：根据项目目标制定风险应对方案。风险监控：在整个项目生命周期中，跟踪已识别的风险、监测残余风险、识别新风险和实施风险应对计划，并对其有效性进行评估。,2 项目风险管理2.3 IT项目风险管理过程,24/96,
12、风险容忍度（风险效用）,效用 保守型 中间型 冒险型 潜在回报,从承担风险中得到满足或快乐的程度,机会（危险）的货币价值数量,26/96,项目风险的监控,项目风险管理计划编制,项目风险应对计划编制,项目风险的度量（定性、定量）,项目风险的识别,项目结束,结束？,否,是,2 项目风险管理2.3 IT项目风险管理过程,27/96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理主要问题及对策,本章内容,28/96,风险管理规划定义项目风险管理过程、决定风险管理活动所用的方法、技术和标准
13、，为各项活动分配相应的资源，以及明确各项活动的人员角色和责任。结果是针对项目生命周期风险管理计划，是一个指导性文件。风险管理计划描述整个项目生命周期内，项目团队如何组织和开展项目风险识别、度量、应对和监控等项目风险管理活动。风险管理计划的主要任务制定项目风险管理的一般性指导原则制定项目风险应对的计划和原则,3 风险管理规划,3.1 风险管理规划的概念,29/96,表1 风险管理规划应该明确的问题,3 风险管理规划3.1 风险管理规划的概念,30/96,P.252,把风险事故的后果尽量限制在可接受的水平上，是风险管理规划和实施阶段的基本任务。风险应对计划是指一项已识别的风险事件发生时，项目团队将
14、采取的预先确定的措施。风险应对的主要选择包括风险预防、风险规避、风险转移、风险减轻、风险自留以及损失控制等。利用这些方法，可以针对不同的风险事件制定相应的应对措施。,3 风险管理规划3.1 风险管理规划的概念,31/96,风险管理规划：决定如何着手和计划一个项目的风险管理活动,风险管理规划,工具与技术,范围定义,风险管理计划,成果,制订项目管理计划,项目范围说明书,项目管理计划,计划编制会议风险分解结构,3 风险管理规划3.2 风险管理规划流程,32/96,3 风险管理规划3.3 风险管理规划的内容,方法论：定义可能用于项目中进行风险管理的方法、工具和数据源。角色和责任：定义在风险管理计划中每
15、一类行动的领导、支持和风险管理团队。预算：为项目确立一个用于风险管理的预算。定时(Timing)：定义在项目生命周期中实施风险管理过程的频率。评分和解释：与采用的定性和定量风险分析类型与定时相适应的评分和解释方法。承受度(Threshold)：由谁、以何种方式作用的阈值标准报告格式：描述风险应对计划的内容和格式。跟踪：记录任何保存风险活动的所有方面信息以及当前项目、未来需要和教训。,33/96,3.4 风险分解结构（RBS）,项目,技术的,外部的,组织的,项目管理,需求,分包商和供应商,项目依赖关系,估算,技术,管理规定,资源,计划编制,复杂性和界面,市场,资金,控制,绩效和可靠性,客户,优先
16、级,沟通,质量,气候,3 风险管理规划,34/96,3.5 IT项目风险管理计划,风险管理规划的主要成果是风险管理计划，它描述如何安排与实施项目风险管理，主要包括：风险管理方法论风险管理相关活动的岗位职责说明风险管理活动的预算和进度用于定性和定量分析的记分描述和说明方法风险的阀限值风险管理活动的报告格式有关项目团队如何跟踪和记录这些风险活动的描述,3 风险管理规划,35/96,10.2 风险管理规划 10.2.2 IT项目风险管理计划,表10-2 风险管理计划模板,3 风险管理规划3.5 IT项目风险管理计划,36/96,IT项目成功潜力评分表（风险源）,3 风险管理规划3.5 IT项目风险管
17、理计划,37/96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理主要问题及对策,本章内容,38/96,4 风险识别,风险识别是指认识和鉴别项目存在哪些风险及其特征，以及对项目可能产生的影响，并形成文档。风险识别是一种全过程、持续的和系统性的工作。参与人员 项目经理、团队主要成员、有经验的专家和其他干系人风险识别的主要工作和内容识别并确定项目有哪些潜在的风险？引起风险的主要原因是什么？这些风险所引起的后果及严重程度如何？,4.1 风险识别的定义,39/96,风险识别,工具与技术,
18、范围定义,风险登记册,成果,制订项目管理计划,项目范围说明书,项目管理计划,风险管理规划,风险管理计划,文件审查信息搜索技术(头脑风暴/德尔菲方法/SWOT)核对表分析假设分析图解技术,4 风险识别,4.2 风险识别的流程,40/96,项目各阶段典型风险事件,41/96,风险识别过程框图,42/96,4.3 风险的来源,项目的规模技术的成熟程度对所采用技术的熟悉程度项目目标缺乏唯一性缺乏相应的预留资源进度还是来源于实际和详实的计划对关键任务或准关键任务缺乏控制,4 风险识别,43/96,IT项目风险的来源,用户的参与高层管理者的参与明确的需求说明书适当的计划编制切合实际的预期更小的项目里程碑胜
19、任的项目团队成员所有权清晰的前景和目标努力工作、专注的团队成员,4 风险识别4.3 风险的来源,44/96,4.4 IT项目风险识别的过程,风险识别包括确定风险的来源、风险产生的条件，描述风险特征和确定哪些风险事件有可能影响整个项目。风险识别应当在IT项目的生命周期自始至终定期进行。风险识别可分为三步进行：收集资料估计项目风险形势根据直接或间接的症状识别潜在的风险。,4 风险识别,45/96,4.5 风险识别的方法,主要方法包括：文件审查:对项目计划、假设、先前的项目文档和其他信息等项目文件进行系统和结构性的审查。信息收集技术:包括德尔菲法、头脑风暴法、访谈法、SWOT分析法。检查表：用来记录
20、和整理数据的常用工具。假设分析：根据一套假定、设想或假设进行构思与制定。图解技术：主要包括因果图、系统或过程流程图等。,4 风险识别,46/96,表10-A 与各知识领域相关的可能风险条件,4 风险识别4.5 风险识别的方法,47/96,4.6 风险登记册,风险识别之后应把识别的成果整理出来，整理的结果载入到风险登记册中。风险识别过程将形成项目管理计划中风险登记册的最初记录。风险登记也包括其他风险管理过程的成果。,4 风险识别,48/96,风险登记册的编制始于风险识别过程，主要依据下列信息编制而成：已识别风险清单潜在应对措施清单风险根本原因风险类别更新,4 风险识别 4.6 风险登记册,49/
21、96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理主要问题及对策,本章内容,50/96,定性风险分析是评估已经识别出的风险发生的可能性及其影响，以及确定它们的重要性和优先级。定性风险分析的目的根据各类风险对项目目标的潜在影响，对风险进行排序。通过比较风险值确定项目总体风险级别。指导风险应对计划制定和开展项目风险控制。定性分析的描述风险概率 5级：百分比；自然语言；数字风险影响 自然语言；数字时间阶段,5 定性风险分析,51/96,工具与技术,范围定义,风险登记册（更新）,成果,
22、风险识别,项目范围说明书,风险登记册,风险管理规划,风险管理计划,定性风险分析,风险概率与影响评估概率和影响矩阵风险数据质量评估风险分类风险紧迫性评估,5.1.定性风险分析流程,5 定性风险分析,52/96,5.2.IT项目定性风险分析的目的,对IT项目风险进行定性分析，可以从宏观上对项目是否可行有一个初步的概括与了解，可以加深项目管理人员对项目风险的认识与了解。通过项目风险进行定性分析，可以达到如下目的：确认项目风险的来源确认项目风险的性质估计项目风险的影响程度为项目风险的定量分析提供条件,5 定性风险分析,53/96,5.3.定性风险分析的方法,风险概率与影响评估概率和影响矩阵十大风险事项
23、跟踪风险数据质量分析风险分类风险紧迫性评估,5 定性风险分析,54/96,评估一个风险对项目主要目标的影响,定性风险分析方法风险影响评级,55/96,5.4.更新风险登记册,定性风险分析成果主要是更新的风险登记册。对风险登记册进行更新的内容包括：按照轻重缓急排序的项目风险清单按照类别分类的风险 需要在近期采取应对措施的风险清单 需要进一步分析与应对的风险清单 低优先级风险观察清单 定性风险分析结果的趋势,5 定性风险分析,56/96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理
24、主要问题及对策,本章内容,57/96,定量风险分析是量化分析每一风险的概率及其对项目目标造成的后果，也分析项目总体风险的程度。定量风险风险的目的测定实现某一特定项目目标的概率。量化项目的风险暴露，决定项目可能需要的成本和时间的应急储备通过量化各风险对项目目标的影响程度，甄别出最需要关注的风险识别现实的和可实现的成本、进度及范围目标,6 定量风险分析,6.1 定量风险分析概述,58/96,定量风险分析是指对定性风险分析过程中作为项目需求存在的重大影响而排序在先的风险进行分析，并就风险分配一个数值。定量风险分析是在不确定情况下进行决策的一种量化方法通过采用决策树分析和模拟技术等得到如下结果。对项目
25、目标以及实现项目目标的概率进行评估并量化。通过量化各项风险对项目总体风险的影响，确定需要特别重视的风险。在考虑项目风险的情况下，确定可以实现的切合实际的成本、进度或范围目标。在某些条件或结果不确定时，确定最佳的项目管理决策。,6 定量风险分析,59/96,工具与技术,范围定义,风险登记册（更新）,成果,定性风险分析,项目范围说明书,风险管理规划,风险管理计划,定量风险分析,风险登记册,制定项目管理计划,项目管理计划项目进度管理计划项目费用管理计划,6 定量风险分析,定量风险分析流程,数据收集和表示技术定量风险分析和模型技术,60/96,6 定量风险分析,用于在未来结果不确定的情况下辅助选择最优
26、的行动。一般都是自上而下的来生成的；每个决策或事件都可能引出两个或多个事件，导致不同的结果，把这种决策分支画成图形很像一棵树的枝干，故称决策树。,风险定量分析方法之一：决策树法,6.2 定量风险分析方法,61/96,建造或升级,建造新厂,升级旧厂,强需求,弱需求,强需求,弱需求,决策的EMV为49美元,-120美元,65%,200美元,35%,90美元,65%,120美元,35%,60美元,-50美元,机会节点的EMV为49美元,机会节点的EMV为41.5美元,80美元,-30美元,70美元,10美元,风险定量分析方法之一：决策树法,6 定量风险分析6.2 定量风险分析方法,决策节点,机会节点
27、,每一个分支都采用预期损益值（Expected Monetary Value,EMV）作为其度量指标。决策者可根据各分支的预期损益值中最大者（如求最小，则为最小者）作为选择的依据。预期损益值等于损益值与事件发生的概率的乘积，即：EMV=损益值发生概率例如：某行动方案成功的概率是50%，收益是10 万，则EMV=10*50%=5万。,决策树分析,决策树分析示例,EMV=0,失败：P=30%,outcome=-200,000,成功：P=70%,高性能：P=30%,outcome=550,000EMV=550,000*30%=165000,低性能：P=70%,outcome=-100,000EMV=
28、-100,000*70%=-70000,EMV=95,000*70%=66500,实施后：EMV=6,500,不实施,EMV=-200,000*30%=-60000,决策树分析示例,利用决策树风险分析技术来分析如下两种情况，以便决定你会选择哪种方案：（要求画出决策树）方案A：随机投掷硬币两次，如果两次投掷的结果都是硬币正面朝上，你将获得元；投掷的结果背面每朝上一次你需要付出.元。方案B：随机投掷硬币两次，你需要付出元；如果两次投掷的结果都是硬币正面朝上，你将获得元。,决策树分析示例,0.25*10=$2.5元0.5*-1.5=-0.75元0.25*-3=-$0.75元,GameA:EMV=1,
29、0.25*8=2元0.5*-2=-1元0.25*-2=-0.5元,GameB:EMV=0.5,10元,-1.5元,8元=10-2,-2元,-2元,-3元,66/96,在确定性的基础上，分析假定某因素发生变化时，将对项目产生的影响程度。目的是研究影响因素的变动将引起目标变动的范围。找出影响项目的关键因素，并进一步分析与之相关的可能产生不确定性的根源。,风险定量分析方法之二：灵敏度分析法,6 定量风险分析6.2 定量风险分析方法,67/96,风险定量分析方法之三：概率估计,注：1.合同工期为12个月，每月工程款按总价除以工期月数概算。2.损失费包括因付款误期导致承包商借款从而增加借款利息，借款利息
30、按月息1%计算,例如：业主付款拖期损失概率分布,6 定量风险分析6.2 定量风险分析方法,68/96,风险定量分析方法之四：专家判断法（德尔菲法）,6 定量风险分析,69/96,软件项目定量风险分析的方法,数据收集和表示技术：访谈、概率分析及专家判断等。定量风险分析和模型技术：敏感性分析、期望值法、决策树分析法、蒙特卡罗分析法。项目工作分解结构：分析项目的组成、各个性质、关系等。常识、经验和判断：分析相关信息和项目资料。实验或试验结果：利用实验或试验结果识别风险。,6 定量风险分析,70/96,6.3 IT项目风险评估,IT项目风险评估分为以下三个过程：风险分类：根据已识别出的项目风险，使用既
31、定的项目风险分类标志，即可对识别出的IT项目风险进行分类，以便全面认识项目风险的各种属性。风险分析：项目风险原因的分析与确定、项目风险后果的分析与确定、项目风险发展时间进程的分析与确定。风险排序：确定项目风险的度量和项目风险控制的优先序列。,6 定量风险分析,71/96,表6 软件项目风险评估清单,6 定量风险分析 6.3 IT项目风险评估,72/96,1、风险评估的常用方法：风险评估方法；评分法及DELPHI法等风险图法；层次分析法（AHP）效用理论方法；保险单对照表法模糊数学方法；蒙特卡罗模拟法；决策树法PERT模型；多目标决策法敏感性分析法；图形评审技术（GERT）影响图技术（ID）风险
32、评审技术（VERT）综合应急评审与响应技术（SCERT）,73/96,1 项目风险概述2 项目风险管理3 风险管理规划4 风险识别5 定性风险分析 6 定量风险分析 7 风险应对规划8 风险监控9 十条良好实践10 IT项目风险管理主要问题及对策,本章内容,74/96,7 风险应对规划,风险应对规划是针对风险定性、定量分析的结果，为降低项目风险的负作用而制定的风险应对措施。风险应对规划必须与风险的严重程度、成功实现目标的费用有效性相适应，必须与项目成功的时间性、现实性相适应。风险应对规划必须得到项目所有利益相关者的认可，应由专人负责。,75/96,组织在识别和度量之后，必须对风险作出适当的应对
33、，以最小化负面风险，最大化正面风险。负面风险的应对策略风险回避：通过消除风险条件来消除特定的威胁风险接受：一旦发生，承担其后果风险转移：把管理的风险和责任转移给第三方风险缓解（控制）：降低风险事件发生的概率和减少风险发生后果的影响程度。正面风险的应对策略 风险开发，风险共担，风险增大，风险接受,7 风险应对规划,76/96,工具与技术,风险登记册（更新）项目管理计划（更新）与风险相关的合同协议,成果,定量风险分析,风险管理规划,风险管理计划,风险应对规划,风险登记册,7 风险应对规划,消极风险或威胁的应对策略积极风险或机会的应对策略威胁或机会的应对策略应急应对策略,77/96,规避:“我无法忍受厨房里的高温，所以我远离厨房。”如合格供货商筛选，增加项目资源和时间等转移：“我无法忍受厨房里的高温，所以我让厨子代替我站在里面。”让他人来分担风险，如保险、各种保函、担保及选择合同类型等缓解：“我
