我说CMM2.0之：风险与机会管理

风险与机会管理，简写为RSK，在以往的CMMI版本中都是描述为风险管理，在2.0中增加了机会管理。风险是意料之外的坏事，机会是意料之外的好事，风险是惊吓，机会是惊喜。我们要抓住机会，规避风险，趋利避害。风险与机会都不是一定发生的，发生的概率都是大于0小于1的。

 

基本理念

1 风险与机会是事先的，不是事后的，事后的是事件管理，问题管理。

2 要尽早报告风险，处理风险。

3 风险与机会在项目或任务执行过程中是持续的，不是一次性的，是贯穿始终的。

4 对风险与机会的管理，要平衡成本与收益，不是所有的风险或机会都事先采取措施。

 

实践列表

RSK	1.1	Identify and record risks or opportunities and keep them updated.	识别、记录风险或机会，并保持更新
RSK	2.1	Analyze identified risks or opportunities.	分析所识别的风险或机会
RSK	2.2	Monitor identified risks or opportunities and communicate status to affected stakeholders.	监督识别的风险或机会并和受影响的干系人沟通状态
RSK	3.1	Identify and use risk or opportunity categories.	识别并使用风险或机会分类
RSK	3.2	Define and use parameters for risk or opportunity analysis and handling.	为风险或机会的分析和解决，定义和使用参数
RSK	3.3	Develop and keep updated a risk management strategy.	制定和保持更新风险或机会管理策略
RSK	3.4	Develop and keep updated a risk or opportunity management strategy.	制定和保持更新风险或机会管理计划
RSK	3.5	Manage risks or opportunities by implementing planned risk or opportunity management activities.	通过实施已计划的风险或机会来管理风险或机会

 

       通俗解释

 

RSK1.1识别、记录风险或机会，并保持更新

1级的实践只是要求了识别、记录风险与机会，是否对风险采取应对措施没有做要求。

 

RSK2.1分析所识别的风险或机会

这条实践两层含义：首先要是识别风险或机会，其次要分析风险或机会。

如何识别风险或机会呢？有多种方法，如：

       分类法：把风险与机会进行分类，针对每一类风险或机会，思考在本项目或任务中是否存在；

       头脑风暴法：群策群力，大家一起开会讨论存在哪些风险或机会；

       调查问卷法：制定调查问卷，分发给团队的人员，让大家思考是否存在某些风险或机会；

       检查单法：列出历史上各种类型的风险或机会，让相关人员考虑是否在本项目或本任务中是否存在这些风险或机会；

       WBS驱动法：针对任务列表中的每项任务，思考是否存在风险；

       ……

对识别出的风险或机会进行描述时，要描述清楚前因后果与环境，便于理解风险或机会，制定应对措施。

对风险或机会进行分析时，往往要从三个维度进行分析：

影响的严重性、发生的可能性、发生时间的远近紧迫性。

风险分析的结果是对风险或机会划分了优先级，优先级高的要制定应对措施。

 

RSK2.2监督识别的风险或机会并和受影响的干系人沟通状态

这条实践也是有两层含义：

一是监督风险或机会状态的变化，此时也可能识别出新的风险或机会；

二是要和相关人员沟通状态的变化。

上述的两个活动通常都是周期性的，比如按周或月等。

 

RSK3.1识别并使用风险或机会分类

两层含义：

一是对风险或机会进行分类，分类的目的是为了把相近的风险合并应对措施，以节约成本，因此通常是按照风险或机会的来源进行分类。

二是要按照统一的分类定义对识别风险进行类别划分。

 

RSK3.2为风险或机会的分析和解决，定义和使用参数

本实践也包含了两层含义：

一是对风险或机会分析的三个参数进行统一的定义：

影响的严重性：何谓高、中、低？或者是不同等级的分值，怎么划分这些分值？

发生的可能性：概率到底有多大，划分成几个等级？

时间的紧迫性：远，中，近期，如何划分？

二是在实践中要使用这些参与的定义，按定义执行。

 

RSK3.3制定和保持更新风险或机会管理策略

风险与机会的管理策略包含了：

风险与机会管理的责任分配；

风险与机会管理的时机；

风险与机会管理的方法；

三个参数的统一定义；

划分优先级的方法；

应对措施的启动条件；

常见风险或机会的应对措施；

风险或机会的跟踪频率；

采集哪些与风险与机会有关的度量数据；

等等。

 

RSK3.4制定和保持更新风险或机会管理计划

风险的管理计划包括：

缓解措施：用来降低风险发生的概率或延迟风险发生时间的措施；

应急措施：当风险即将发生或已经发生后，用来降低风险危害的措施；

以及上述措施的责任人，触发时机等。

机会的管理计划其实也包括两种措施：

创造机会的计划：没有机会创造机会，增加其发生概率。

应对计划：即一旦来了机会，如何充分使其利益最大化，做哪些事情？

 

RSK3.5通过实施已计划的风险或机会来管理风险或机会

在对风险或机会的管理计划中定义相关措施，本实践就是对照计划落实那些措施。