《PMP备考读书笔记》031：项目风险管理1

项目风险管理

1、概述

任何一个项目的管理者都必须面对风险。必须积极主动地开展项目风险管理，而不消极被动地去应付已发生的风险。事先应该认真预计可能发生的风险，分析这些风险发生的可能性和万一发生的后果，并制定和执行相应的风险应对策略。

项目中的大多数风险、甚至90%的风险，都是可以预测和管理的。通过合理的风险管理，项目风险会大降低，项目成功的可能性会大大提高。在相当大的程度上，可以说风险管理决定着项目的成败。因为风险是最容易出问题的地方，是项目最薄弱的地方。

PMP考生不必是风险管理的专家，但需要了解风险管理的一般知识、技术和理念。PMP考试中，风险管理的题目一般不会超出PMBOK的范围。但题目还是有相当难度的，因为大多数考生过去都没有系统做过项目风险管理。

2、风险的定义

PMBOK定义：风险一旦发生，就会对项目目标产生积极或消极影响的不确定事件或条件。这个定义与我们理解的风险并不一致，我们所理解的风险都是消极，没有积极的。但PMBOK指出，威胁是风险，机会同样是风险，也就是说，每个不确定的事件或条件，从这个角度看是威胁，而从另一个角度看又是机会。机会和威胁都属于风险。

风险四要素：事件（条件）、原因、后果和发生概率。风险管理就是围绕风险的事件（条件），进行原因、后果和概率分析，以便找到最有效的方法来管理风险，把绝对不可控变成相对可控。如，地震的原因和概率都是不可管理的，但是地震的后果是相对可控的。所以，对地震风险的管理，应该更多地注重后果控制，而不是原因和概率管理。

在项目管理中，还需要知道某个风险可能在项目生命周期的哪个阶段发生，可不可能重复发生。项目生命周期的不同阶段，所面临的风险也不一样。在项目生命周期的早期，由于不确定性比较大，风险的种类比较多，风险发生的可能性比较大，但是风险发生所造成的后果比较小，在项目生命周期的晚期则相反，风险的种类少，风险发生的可能性小，但万一发生，造成的后果会比较严重。随着项目的进展，项目风险生的概率逐渐较低，但是暴露在风险下的项目金额逐渐增加。

3、实现过程

• 规划风险管理。对将来要进行的风险管理活动做出安排，包括如何识别风险、如何进行风险分析，如何制定风险应对策略，如何监控风险以及如何实施风险应对计划等。
• 识别风险。运用各种方法，调动众多项目干系人的力量，弄清楚项目面临的各种风险及其初步特征，并记录在风险登记册中。
• 实施定性风险分析。对项目风险及有关条件进行主观定性分析，以评估它们发生的可能性及发生后对项目产生的影响程度，并据此对这些风险排序，决定哪些风险需要进一步的定量分析，哪些风险可直接进行风险应对规划。
• 实施定量风险分析。对那些被定性分析确定为严重并且可以量化的风险，采用客观的方法来量化他们发生的概率及后果，计算他们对项目目标的影响。
• 规划风险应对。根据定性和定量分析的结果，考虑项目干系人的风险承受力和风险态度，制定相关措施，来利用机会、减少威胁。
• 监控风险。在项目的整个生命周期内，追踪已识别的风险，监测残余风险，识别新风险，执行风险管理计划和风险应对计划，并且评价风险管理工作的有效性。

前五个过程都属于规划过程组。风险管理不可能凭空进行，需要依据：

• 组织过程资产（历史资料，包括过去的经验教训）。过去类似项目的风险管理和风险发生情况。
• 相关的风险管理知识。包括风险管理的程序、要求和概率知识等。
• 项目的背景和性质。
• 项目干系人的参与。风险识别与分析都需要众多项目干系人的参与
• 项目干系人的风险态度及风险承受力。了解这些，有助于制定风险应对计划。
• 项目章程。项目经理的权力是否足够，项目目标是否现实可行，项目在执行组织中的优先程度等，都会在一定程度上决定项目风险的大小。

 

项目风险管理各过程的注意点

1、风险管理计划编制

在项目计划编制阶段，项目管理团队需要编制风险管理计划。该计划的编制需要参考组织现有的风险管理方针、政策、有关模板和文件，以便决定如何管理本项目的风险。风险管理计划要对针对具体的项目，不同的项目有不同的风险管理计划，并不是一份标准化的、各项目通用的文件。各主要项目干系人都要参与风险管理计划的编制工作。

2、风险识别

风险识别主要是在项目开始阶段进行，即在项目启动和规划阶段进行（又以规划阶段为主，而在启动阶段只识别风险的大类别）。但是，在项目的其他阶段也需要进行风险的识别工作。例如，在监控阶段，要识别一些原来没有预计到的新风险，或原来风险的重大变化等。风险识别是一个反复进行的过程，风险识别实际上贯穿于项目生命周期的始终。所有项目干系人都需要参与风险识别工作。在正常情况下，项目团队先进行风险识别，然后再由其他干系人进行。仅依靠少数项目干系人无法全面识别出项目风险。

考生需要掌握下面这些词汇：

• 风险类别。如技术风险、项目管理风险、组织风险、内部风险、外部风险等。可以帮助人们从风险类别开始，进行风险识别。
• 经营风险和纯风险。前者是与经营活动密切相关的风险，发生的概率和后果与经营者的水平和努力程度有密切关系，通常不能买保险。后者则是意外事件，通常可以买保险。当然两者之间的界限并非十分明确。
• 风险触发因素。也叫风险症状或警告信号。根据不同的情况，风险触发因素可以表明风险即将发生，风险正在发生或风险已经发生。
• 假设条件分析。假设条件尽管实现的可能性比较大，但是仍然有一定的风险，而且万一不能实现，后果很严重。
• 已知-已知风险。已经识别出并分析过的风险，人们知道它们是什么风险以及发生的可能性和后果，通常按计算出的风险金额计入具体的项目工作的成本中。
• 已知-未知风险。已经识别出但其发生的概率或后果还不清楚的风险，通常可以用应急储备（包括应急时间和资金）来应付。
• 未知-未知风险。过去从未遇到过的、完全未知的风险。例如，第一例非典型肺炎发生前，“非典”就属于这类风险。万一发生，就用管理储备来应付，对未知-未知风险的管理，通常不是项目经理的责任。

一般题目中提到“未知风险”，可以理解为需要用管理储备来支付的“未知-未知风险”。

PMBOK中提到7种常用的风险识别技术，即文档审查、信息收集技术、核对表分析、假设分析、图解技术、SWOT分析和专家判断。由于风险识别需要众多项目干系人的参与，所以头脑风暴法是风险识别最常用的工具/技术。

3、定性风险分析

定性风险分析是一种对风险概率和后果的主观分析。即便使用了一些数字，只要是主观的分析，就是定性分析，不能光以是否使用数字，来判断到底是定性分析，还是定量分析。

定性风险分析的目的是：

• 确定项目的整体风险级别。如果整体风险很高，可能导致项目的提前终止。
• 以主观的方式评价已识别风险的发生概率和后果。
• 得到基于定性分析结果的风险排序。
• 确定各风险的紧急程度。可能需要根据紧急程度，修改风险排序。紧急风险，即便后果并不十分严重，也可能要排到前面一些。
• 确定哪些风险需要进一步定量分析。哪些风险可直接进入规划风险应对过程，哪些风险可直接列入观察清单。

风险发生的概率与后果联合决定着风险的严重性。运用定性方法评价风险发生的概率和后果，通常是把概率或后果分为低、中、高，或者在一定的数值范围内（如在0-10的范围内）主观打分。前一种是相对量表的方法，后一种是数字量表的方法。所谓的量表是在两个确定的端点之间有一系列刻度的工具。如日常用来测量长度的尺子。

把风险概率和后果相乘，就可以得到该风险的严重性指标。然后，还需要从执行组织的角度来判断该风险属于哪个级别，如轻微风险、中等风险或严重风险。为了做出这个判断，我们就需要一个风险级别矩阵（也称概率影响矩阵），如PMBOK中11-10所示。

风险级别矩阵相当于执行组织所使用的一把统一的尺子，用来测量各风险的严重性。

定性风险分析还会涉及到如下两个问题：

• 风险数据质量评估。定性风险分析本来就不是很可靠，如果所依据的基础资料再不可靠，分析的结果就没有意义了。
• 假设条件分析。这也属于上面的“风险数据质量评估”范畴，因为假设为真是进行风险分析的重要依据之一。在进行定性分析时，需要测试一下某些重要前提条件的稳定性和真实性，需要判断如果某个或几个前提条件不能实现，会对项目产生什么样的影响。

4、定量风险分析

定量风险分析是对风险概率和后果进行量化分析。是一种客观的分析方法，通常是针对比较严重且可以量化的风险。按PMI观点，比较客观的定量分析比定性分析更加准确，当然，也要花费更多的时间，收集更多的数据。

定量风险分析常用的技术包括：

• 数据收集与表述技术。如访谈、概率分布、专家判断
• 敏感性分析。用来确定风险对项目的潜在影响。在其他因素保持不变的情况下，逐一分析每个因素的变化会给项目带来什么影响
• 预期货币价值分析。在考虑各种可能发生的情况的基础上，计算加权平均值。
• 决策树分析。一种计算预期货币价值的常用方法，以便在两种或两种以上方案中做出选择。决策树分析是为了对将来的事情做出决策，决策树同级分支的概率之和必须等于1.PMP考试中可能考到预期货币价值和决策树方面的计算题，所以一定要弄清楚PMBOK中11-15图的内容。
• 建模与模拟。蒙特卡罗模拟是最常见的模拟方法。在估算项目工期时，蒙特卡罗模拟法比PERT、CPM法更准确。蒙特卡罗模拟通常针对整个项目、而不是针对各项活动进行。它用各项活动的多种可能持续时间为基础，对各种活动的持续时间进行随机组合，来取出项目可能工期（从短到长）的累积概率分布图。蒙特卡罗模拟也可以用来估算项目成本，得到如PMBOK中图11-16的累积概率分布图。

进行工期风险的定量分析时，也需要考虑网络图中的路径会聚问题。路径会聚是指几条路径会聚到同一个紧后活动上。

书中208页的计算题，要掌握

 

如果最初的数据是用主观判断得到的，然后再用客观的方法进行比较复杂的计算，得出风险分析的结果，那从总体上说也是定量分析，这也是为什么“访谈、专家判断”都属于定量分析技术的理由。

5、制定风险应对计划

通过风险定性分析和定量分析，知道了风险的严重性之后，就可以制定风险应对计划了，即找出降低消极影响、扩大积极影响的方法。应对风险需要：

• 主要项目干系人就风险应对策略达成一致意见，选择风险应对策略不仅是项目经理和项目团队的事情，也是主要项目干系人的事情，大家要对风险应对策略达成一致意见。
• 要把每个已识别的风险都分配某个人或小组，由相关的个人或小组充当某风险的“业主（责任人）”，以便由他们来监控风险。
• 既要有主要应对策略，又要有备选应对策略
• 应该定期或不定期对风险应对策略进行审查和更新，以确保有效性。

有四种针对“坏”风险的应对策略：

• 回避。通过消灭原因来消除风险，如取消高风险的工作。采取回避策略，通常需要更改项目计划，使项目不受特定风险的影响。
• 减轻。设法降低风险发生的概率或后果。如，使用成熟技术，使用熟练工人，对机器操作人员进行培训，开车时系好安全带。
• 转移。通过购买保险，把风险的经济损失转移给第三方；或者通过外包工作，把具有某种风险工作连同风险后果一起转移给第三方。
• 接受。不对风险进行主动管理。可以有两种方式：一种是被动接受，即不采取任何行动，顺其自然；另一种是主动接受，即预留风险储备金（不可预见费）。可以使用预期货币价值方法，来计算某风险所需要的储备金。如果缺少针对具体项目的具体计算依据，可以对该项目总成本的10%计列项目所需的全部风险储备金。

在一个项目中，往往需要采用多种风险应对策略。对于不严重的风险，通常采用“接受”策略，不可以简单地置之不理，而需要记录下来，注意观察，防止变严重。

考生需要理解和记住PMBOK中一风险有关的所有词汇，如残余风险、次生风险、弹回计划等。风险经常是项目状态评审会议中的重要议题，因为团队需要了解风险的现状、是否有新风险发生、风险的严重性排序是否应该调整等。

PMBOK中还列出了针对好风险（机会）的应对策略，包括开拓、分享、提高和接受。其中开拓与提高比较相近。开拓是指确保某个机会的出现，提高仅仅是提高某个机会发生的概率和后果。

PMBOK中还列出了“应急应对策略”。应急应对策略是针对某些特殊事件的紧急预案（其中包括启动预案的条件）。通常是针对比较严重的威胁或比较重要的机会，而且这些威胁或机会在发生前或发生时会有明显的征兆。

 6、风险监控

风险监控是指追踪已识别的风险，监测残余风险，识别新风险，确保风险应对计划的实施，并评估风险应对计划的有效性。

风险监控可能要进行的活动包括但不限于：

• 注意风险触发因素
• 追踪已识别的风险
• 实施风险应对措施
• 监测残余风险，注意次生风险，识别新风险
• 评估风险应对计划（措施）的有效性
• 与项目干系人沟通项目风险情况
• 必要时提出变更请求（包括纠正措施与预防措施建议），以便制定新的应对措施。
• 收集风险资料，更新风险登记册、项目管理计划与组织过程资产

由风险业主、责任人负责监控一个一个的具体风险，包括已经接受的风险。

7、其他问题

• 对已知-已知风险，其成本（按预期货币价值计划）直接计入项目各项活动中；
• 对已知-未知风险，其可能的成本要列入项目的应急储备中，应急储备是项目成本基准的组成部分之一；
• 对未知-未知风险，其成本用管理储备开支（管理储备可以列入项目预算，也可以不列入项目预算，但肯定不能列入项目的成本基准，即项目经理对未知-未知风险不承担责任）。动用应急储备，需要项目经理批准，动用管理储备需要管理层批准。
• 弹回计划是针对某风险制定的备用应对计划，以便在主应对计划（或叫通常应对计划）不起作用的情况下起用。
• 应急计划是事先制定的风险应对计划
• 权变措施是针对已经发生的坏风险而紧急采取的、原来未计划过的应对措施。弹回计划与应急计划都可以针对威胁和机会，而权变措施只能针对威胁。
• 风险承受力与风险门槛，这两个词经常替换使用，前者是能够或不能够承受的风险种类，如损害公司声誉的风险是不能承受的；后者是能够承受的最高损失金额，如最多只能承受1万元损失的风险。
• 残余风险，按PMBOK定义，是在采取风险应对措施之后仍然存在的风险。这个定义似乎有些问题，其实残余风险是那些未制定主动应对计划的风险，包括已经识别且被接受和未识别出来的风险。
• 次生风险是应对一个风险而导致的风险。如果不应对前一个风险，后一个风险（次生风险）就不会发生。