第十八章 项目风险管理

(1)方法论。确定实施项目风险管理可使用的方法、工具及数据来源。
(2)角色与职责。确定风险管理计划中每项活动的领导、支援与风险管理团队的成
员组成。为这些角色分配人员并澄清其职责。
(3)预算。分配资源，并估算风险管理所需费用，将之纳入项目成本基线。
(4)计时法。确定在项目整个生命周期中实施风险管理过程的次数和频率，并确定
应纳入项目进度计划的风险管理活动。
(5)风险分类。风险分类为确保系统地、持续一致地、有效地进行风险识别提供了
基础，为风险管理工作提供了一个框架。组织可使用先前准备的典型风险分类。风险分
解结构（Resources Breakdown Structure，RBS）是提供该框架的有法之一，如图18-2 所
示。不过该结构也可通过简单列明项目的各个方面表述出来。在风险识别过程中需对风
险类别进行重新审核，较好的做法是在风险识别过程之前，先在风险管理规划过程中对
风险类别进行审查。在将先前项目的风险类别应用到现行项目之前，可能需要对原有风
险类别进行调整或扩展来适应当前情况。
风险分解结构列出了一个舆型项目中可能发生的风险分类和风险予分类。不同的
RBS 适用于不同类型的项目和组织，这种方法的一个好处是提醒风险识别人员风
险产生的原因是多种多样的。
(6)风险概率和影响的定义。为确保风险定性分析过程的质量和可信度，要求界定
不同层次的风险概率和影响。在风险计划制定过程中，通用的风险概率水平和影响水平
的界定将依据个别项目的具体情况进行调整，以便在风险定性分析过程应用。
可使用概率相对比例，例如，从“十分不可能”到“几乎确定”，或者也可分配某
数值表示常规比例（例如0.1、0.3、0.5、O。7、0.9）。测定风险概率的另外一种方法是，
描述与风险相关的项目状态（例如项目设计成熟度水平等）。
(7)概率和影响矩阵。根据风险可能对实现项目目标产生的潜在影响，进行风险优
先排序。风险优先排序的典型方法是借用对照表或概率和影响矩阵形式。通常由组织界
定哪些风险概率和影响组合是具有较高、中等或较低的重要性，据此可确定相应风险应
对规划。在风险管理规划过程可以进行审查并根据具体项目进行调整。
(8)修改的利害关系者承受度。可在风险管理规划过程中对利害关系者的承受水平
进行修订，以适用于具体项目。
(9)汇报格式。阐述风险登记单的内容和格式，以及所需的任何其他风险报告。界
定如何对风险管理过程的成果进行记录、分析和沟通。
(10)跟踪。说明如何圮录风险活动的各个方面，以便供当前项目使用，或满足
未来需求或满足经验教训总结过程的需要。说明是否对风险管理过程进行审计、如何
审计。

风险管理计划的其他内容包括角色和职责、风险分析定义、低风险、中等风险和高
风险的风险眼界值、进行项目风险管理所需的成本和时间。
很多项目除了编制风险管理计划之外，还有应急计划和应急储备。
(l)应急计划。是指当一项可能的风险事件实际发生时项目团队将采取的预先确定
的措施。例如，当项目经理根据一个新的软件产品开发的实际进展情况，预计到该软件
开发成果将不能及时集成到正在按合同进行的信息系统项目中时，他们就会启动应急计
划，例如采用对现有版本的软件产品进行少量的必要更动的措施。
(2)应急储备。是指根据项目发起人的规定，如果项目范围或者质量发生变更，这
一部分资金可以减少成本或进度风险。例如，如果由于员工对一些新技术的使用缺乏经
验，而导致项目偏离轨迹，那么项目发起人可以从应急储备中拨出一部分资金，雇佣外
部的顾问，为项目成员使用新技术提供培训和咨询。

(1)风险核对表法。
核对表是基于以前类比项目信息及其他相关信息编制的风险识别核对图表。核对表
一般按照风险来源排列。利用核对表进行风险识别的主要优点是快而简单，缺点是受到
项目可比性的限制。
人们考虑问题有联想习惯。在过去经验的启示下，思想常常变得很活跃，浮想联翩。
风险识别实际是关于将来风险事件的设想，是一种预测。如果把人们经历过的风险事件
及其来源罗列出来，写成一张核对表，那么，项目管理人员看了就容易开阔思路，容易
想到本项目会有哪些潜在的风险。核对表可以包含多种内容j 例如以前项目成功或失败
的原因、项目其他方面规划的结果（范围、成本、质量、进度、采购与合同、人力资源
与沟通等计划成果）、项目产品或服务的说明书、项目班子成员的技能及项目可用资源等。
还可以到保险公司去索取资料，认真研究其中的保险例外，这些东西能够提醒还有哪些
风险尚未考虑到。

风险管理表格记录着管理风险的基本信息。风险管理表格是一种系统地记录风险信
息并跟踪到底的方式。

风险数据库表明了识别风险和相关的信息组织方式，它将风险信息组织起来供人们
查询、跟踪状态、排序和产坐报告。一个简单的电子表格可作为风险数据库的一种实现，
因为它能自动完成排序、报告等。风险数据库的实际内容不是计划的一部分，因为风险
是动态的，并随着时间的变化而改变。

①企业环境因素
②组织过程资产
③项目范围说明书
④项目管理计划

风险管理计划

风险概率分析指调查每项具体风险发生的可能性。风险影响评估旨在分析风险对项
目目标（如时间、费用、范围或质量）的潜在影响，既包括消极影响或威胁，也包括积
极影响或机会。可通过挑选对风险类别熟悉的人员，采用召开会议或进行访谈等方式对
风险进行评估。

根据评定的风险概率和影响级别，对风险进行等级评定。评估每项风险的重要性及其紧迫程度。概率
和影响矩阵形式规定了各种风险概率和影响组合，并规定哪些组合被评定为高重要性、
中重要性或低重要性。对目标的影响（比率标度，如费用、时间或范围）每一风险按其发生概率及一旦发
生所造成的影响评定级别。矩阵中所示组织规定的低风险、中等风险与高风险的临界值
确定了风险的得分。

可按照风险来源（使用风险分解矩阵）、受影响的项目区域（使用工作分解结构）
或其他分类标准（例如项目阶段）对项目风险进行分类，以确定受不确定性影响最大的
项目区域。根据共同的根本原因对风险进行分类，有助于制定有效的风险应对措施。

需要近期采取应对措施的风险可被视为急需解决的风险。实施风险应对措施所需的
时间、风险征兆、替告和风险等级都可作为确定风险优先级或紧迫性的指标。

①组织过程资产
②项目范围说明书
③风险管理计划
④风险登记单

①项目风险的相对排序或优先度清单
②按照类别分类的风险
③需要在近期采取应对措施的风险清单
④需要进一步分析与应对的风险清单
⑤低优先度风险观察清单
⑥风险定性分析结果的趋势

规避风险是指改变项目计划，以排除风险或条件，或者保护项目目标，使其不受影
响，或对受到威胁的一些目标放松要求。例如，延长进度或减少范围等。但是，这是相
对保守的风险对策，在回避风险的同时，也就彻底放弃了项目带给我们的各种收益和发展机会。
规避风险的另一个重要的策略是排除风险的起源，即利用分隔将风险源隔离于项目
进行的路径之外。事先评估或筛选适合于本身能力的风险环境进入经营，包括细分市场
的选择、供货商的筛选等，或选择放弃某项环境领域，以准确预见并有效防范完全消除
风险的威胁。
我们经常昕到的项目风险管理20/80 规律告诉我们，项目所有风险中对项目产生
80%威胁的只是其中的20%的风险，因此我们要集中力量去规避这20%的最危险的风险。

转移风险是指设法将风险的后果连同应对的责任转移到他方身上。转移风险实际只
是把风险损失的部分或全部以正当理由让他方承担，而并非将其拔除。对于金融风险而
言，风险转移策略最有效。风险转移策略几乎总需要向风险承担者支付风险费用。转移
工具丰富多样，包括但不限于利用保险、履约保证书、担保书和保证书。出售或外包将
自己不擅长的或自己开展风险较大的一部分业务委托他人帮助开展，集中力量在自己的
核心业务上，从而有效地转移了风险。同时，可以利用合同将具体风险的责任转移给另
一方。在多数情况下，使用费用加以成合同可将费用风险转穆给买方，如果项目的设计
是稳定的，可以用固定总价合同把风险转移给卖方。有条件的企业可运用一些定量化的
风险决策分析方法和工具，来计算优化保险方案。

减轻是指设法把不利的风险事件的概率或后果降低到一个可接受的临界值。提前采
取行动减少风险发生的概率或者减少其对项目所造成的影响，比在风险发生后亡羊补牢
进行的补救要有效得多。例如，采用不太复杂的工艺，实施更多的测试，或者选用比较
稳定可靠的卖方都可减轻风险。它可能需要制作原型或者样机，以减少从试验室工作古
模型放大到实际产品中所包含的风险。如果不可能降低风险的概率，则减轻风险的应对措施是应设法减轻风险的影响，
其着眼于决定影响的严重程度的连接点上。例如，设计时在于系统中设置冗余组件有可能减轻原有组件故障所造成的影响。

如果组织希望确保机会得以实现，可就具有积极影响的风险采取该策略。
该项策略的目的在于通过确保机会肯定实现而消除与特定积极风险相关的不确定性。直
接开拓措施包括为项目分配更多的有能力的赍源，以便缩短完成时间或实现超过最初预
期的高质量。

分享积极风险是指将风险的责任分配给晟能为项目的利益获取机会的第
三方，包括建立风险分享合作关系，或专门为机会管理目的的形成团队、特殊目的项目
公司或合作合资企业。

。该策略旨在通过提高积极风险的概率或其积极影响，识别并最大程度发
挥这些积极风险的驱动因素，致力于改变机会的“大小”。通过促进或增强机会的成因，
积极强化其触发条件，提高机会发生的概率，也可着重针对影响驱动因素以提高项目
机会。

风险事故是造成损失的直接或外在的原因，是损失的媒介物，即风险只有通过风险
事故的发生才能导致损失。
就某一事件来说，如果它是造成损失的直接原因，那么它就是风险事故；而在其他
条件下，如果它是造成损失的间接原因，它便成为风险因素。

1)全员性。项目风险的识别不只是项目经理或项目组个别人的工作，而是项目组
全体成员参与并共同完成的任务。
(2)系统性。项目风险无处不在，无时不有，决定了风险识别的系统性。即项目寿
命期过程中的风险都属于风险识别的范围。
(3)动态性。风险识别并不是一次性的，在项目计划、实施甚至收尾阶段都要进行
风险识别。
(4)信息依赖性。风险识别需要做许多基础性工作，其中重要的一项工作是收集相关的项目信息。
(5)综合性。风险识别是一项综合性较强的工作，除了在人员参与、信息收集和范
围等方面具有综合性特点外，风险识别过程中还要综合应用各种风险识别的技术和工具。

风险识别是一项反复过程。随着项目生命周期的推进，新风险可能会不断出现。
风险识别反复的频率以及谁参与识别过程都会因项目而异。风险识别不是一次就可以
完成的事，应当在项目的整个生命周期自始至终定期进行。参加风险识别的人员通常
可包括项目经理、项目团队成员、风险管理团队（如有）、项目团队之外的相关领域专家、
顾客、最终用户、项目相关干系人和风险管理专家。虽然上述人员是风险识别过程的关
键参与者，但应鼓励所有项目人员参与风险的识别。值得特别强调的是，项目团队应自
始至终全过程参与风险识别过程，以便针对风险及其应对措施的形成保持一种责任感。

(1)收集资料。资料和数据能否到手、是否完整必然会影响项目风险损失的大小。
能帮助我们识别风险的资料包括项目产品或服务的说明书；项目的前提、假设和制约因
素；与本项目类似的案例。
(2)风险形势估计。风险形势估计是要明确项目的目标、战略、战术、实现项目目
标的手段和资源以及项目的前提和假设，以正确确定项目及其环境的变数。
(3)根据直接或间接的症状将潜在的风险识别出来。
风险识别首先需要对制定的项目计划、项目假设条件和约束因素、与本项目具有可
比性的已有项目的文档及其他信息进行综合汇审。风险的识别可以从原因查结果，也可
以从结果反过来找原因。

①德尔斐技术
②头脑风暴法
③SWOT分析法
④检查表
⑤图解技术，包括如下内容
①因果图。又被称作石川图或鱼骨图，用于识别风险的成因。
②系统或过程流程图。显示系统的各要素之间如何相互联系以及因果传导机制。
③影响图。显示因果影响。

输入

输出

期望货币值(EMV)是一个统计概念，用以计算在将来某种情况发生或不发生情况
下的平均结算（即不确定状态下的分析）。机会的期望货币价值一般表示为正数，而风
险的期望货币价值一般被表示为负数。每个列1 能结果的数值与其发生概率相乘之后加总，
即得出期望货币价值。

人们通常按照高、中、低来描述风险概率或者结粜。为了量化风险的概率和后果，
国防系统管理学院（美）开发了一项技术，用于计算风险因子——求表各种具体事件的
整体风险的数字（基于其发生的概率和对项目造成的结果）。这项技术使用概率和影响矩
阵显示风险发生的概率或可能性，以及风险的影响或结果。

PERT 是利用网络分析制定计划以及对计划予以评价的技术。它能协调整个计划的
各道工序，合理安排人力、物力、时间和资金，加速计划的完成。PERT 网络是一种类
似流程圈的箭线圈。它描绘出项目包含的各种活动的先后次序，标明每项活动的时间或
相关的成本。对于PERT 网络，项目管理者必须考虑要撤哪些工作，确定时间之间的依
赖关系，辨认出潜在的可能出问题的环节，借助PERT 还可以方便地比较不同行动方案
在进度和成本方面的效果。

也称为随机模拟法，其基本思路是首先建立一个概率模型或随机过程，使它的参数
等于问题的解，然后通过对模型或过程的观察计算所求参数的统计特征，最后给出所求
问题的近似值，解的精度可以用估计值的标准误差表示。其基本步骤如下。
(1)针对现实问题建立一个简单且便于实现的概率统计模型，使所求的解恰好是所
建立模型的概率分布或其某个数字特征，例如是某个事件的概率或者是该模型的期望值。
(2)对模型中的随机变量建立抽样方法，在计算机上进行模拟试验，抽取足够的随
机数，并对相关的事件进行统计。
(3)对模拟结果加以分析，给出所求解的估计及其方差的估计，必要时改进模型以
提高估计精度和模拟计算的效率。
在这种模拟中，项目模型经过多次计算（叠加），其随机依据值来自于根据每项变
量的概率分布，为每个迭加过程选择的概率分布函数（例如项目元素的费用或进度活动
的持续时间），据此计算概率分布（例如总费用或完成日期）。对于成本风险分析，模拟
可用传统的项目工作分解结构或成本分解结构作为模墅。对于进度风险分析，可用优先
顺序图法( PDM)进度。

①组织过程资产
②项目范围说明书
③风险管理计划
④风险登记单
⑤项目管理计划

定量风险分析的输出是风险登记单（更新）。风险登记单在风险识别过程中形成，
并在风险定性分析过程中更新。在风险定量分析过程中会进一步更新。风险登记单是项目管理计划的组成部分。此处的更新内容主要包括：
(1)项目的概率分析。项目潜在进度与成本结果的预报，并列出可能的竣工日期或
项目工期与成本及其可信度水平。该项成果（通常以累积分布表示）与利害关系者的风
险承受度水平结合在一起，以对成本和时间应急储备金进行量化。需要把应急储备金将
超出既定项目目标的风险降低到组织可接受的水平。
(2)实现成本和时间目标的概率。采用目前的计划以及目前对项目所面临的风险的
了解，可用风险定量分析方法估算出实现项目目标的概率。

风险监控的基本目的是以某种方式驾驭风险，保证项目可靠、高效地完成项目目标。
由于项目风险具有复杂性、变动性、突发性和超前性等特点，风险监控应该围绕项目风险的基本问题，制定科学的风险监控标准，采用系统的管理方法，建立有效的风险预警
系统，做好应急计划，实施高效的项目风险监控。

风险应对控制包括执行风险管理计划和风险管理流程，以应对风险事件。执行风险
管理过程是指确保风险意识是一项在整个项目过程中，全部由项目团队成员执行的不间
断的活动。项目风险管理并不会停留在最初的风险分析上，识别的风险也许并不真的发
生。先前识别的风险，也可能被确定有更大的发生概率，或更高的损失估计值。
实施单独的风险管理计划包括根据规定的里程碑监督风险、制定风险决策与风险减
轻策略。

当风险有征兆时，采取制定好的应急活动

对风险事件来计划的风险事件会使用权变措施。

风险监控技术方法可分为两大类：一类用于监控与项目、产品有关的风险；另一类
用于监控与过程有关的风险。
风险监控，从过程的角度来看，处于项目风险管理流程的末端，但这并不意味着项
目风险控制的领域仅此而已，风险控制应该面向项目风险管理全过程。项目预定目标的
实现，是整个项目管理流程有机作用的结果，风险监控是其中一个重要环节。
风险监控应是一个连续的过程，它的任务是根据整个项目（风险）管理过程规定的
衡量标准，全面跟踪并评价风险处理活动的执行情况。有效的风险监控工作可以指出风
险处理活动有无不正常之处，哪些风险正在成为实际问题，掌握了这些情况。项目管理
组就有充裕的时间采取纠正措施。建立一套项目监控指标系统，使之能以明确易懂的形
式提供准确、及时而关系密切的项目风险信患，是进行风险监控的关键所在。

由于项目的创新性、一次性、独特性及其复杂性，决定了项目风险的不可避免
性：风险发生后的损失滩以弥补性和工作的被动性决定了风险管理的重要性。传统的
风险管理是一种“回溯性”管理，属于亡羊补牢，对于一些重大项目，往往于事无补。
风险监控的意义就在于实现项目风险的有效管理，消除或控制项目风险的发生或避免造
成不利后果。因此，建立有效的风险预警系统，对于风险的有效监控具有重要作用和
意义。
风险预警管理，是指对于项目管理过程中有可能出现的风险，采取超前或预先防范
的管理方式，一旦在监控过程中发现有发生风险的征兆，及时采取校正行动并发出预替
信号，以最大限度地控制不利后粜的发生。因此，项目风险管理的良好开端是建立一个
有效的监控或预替系统，及时觉察计划的偏离，以高效地实施项目风险管理过程。

风险监控的具体方法如下。
(1)风险再评估。风险监控过程通常要求使用本章介绍的过程对新风险进行识别并
对风险进行重新评估。应安排定期进行项目风险再评估。项目团队状态审查会的议程中
应包括项目风险管理的内容。重复的内容和详细程度取决于项目相对于目标的进展情况。
例如，如果出现了风险登记单未预期的风险或“观察清单”未包括的风险，或其对目标
的影响与预期的影响不同，规划的应对措施可能将无济于事，则此时需要进行额外的风险应对规划以对风险进行控制。

(2)风险审计。风险审计在于检查并记录风险应对策略处理已识别风险及其根源的
效力以及风险管理过程的效力。
(3)．变差和趋势分析。应通过绩效信息对项目实施趋势进行审查。可通过实现价值
分析和项目变差和趋势分析的其他分析方法，对项目总体绩效进行监控。分析的结果可
以揭示项目完成时在成本与进度目标方面的潜在偏离。与基准计划的偏差可能表明威胁
或机会的潜在影响。
(4)技术绩效衡量。技术绩效衡量将项目执行期间的技术成果与项目计划中的技术
成果进度进行比较。如出现偏差，例如在某里程碑处未实现计划规定的功能，有可能意
味着项目范围的实现存在风险。
(5)储备金分析。在项目实施过程中可能会发生一些对预算或进度应急储备金造成
积极或消极影响的风险。储备金分析是指在项目的任何时点将剩余的储备金金额与剩余
风险量进行比较，以确定剩余的储备盒是否仍旧充足。
(6)状态审查会。项目风险管理可以是定期召开的项目状态审查会的一项议程。该
议程项目所占用的会议时间可长可短，这取决于已识别的风险、风险优先度以及应对的
难易程度。风险管理开展得越频繁， “状态审查会”方法的实施就越加容易。经常就风
险进行讨论，可促使有关风险（特别是威胁）的讨论更加容易、更加准确。
综上所述，风险监控的关键在于培养敏锐的风险意识，建立科学的风险预警系统，
从“救火式”风险监控向“消防式”风险监控发展，从“挽狂澜于既倒”向“防范于未
然”发展。