风险存在于任何项目中，并往往会给项目的推进和项目的成功带来负面影响。不过，人们也无须恐惧风险，只要掌握风险发生的因果关系，风险是完全可以管理的。因此，关注项目风险，掌握风险管理的知识与技能，从项目组织、职责、流程与制度上建立一套风险管理机制是确保项目成功的前提与保障。
既然在项目中风险无处不在，我们如何及时地发现风险并有效的规避呢？9月6日中软国际培训学院高级讲师马爽亲授了《项目管理之风险管理》，教你主动分析和识别风险，采用有效的方式进行风险管理。
马爽
中软国际高级产品经理和研发管理专家
西北工业大学软件工程硕士，曾就职与微软亚洲工程院、IBM中国系统技术实验室，历任软件测试经理、软件开发负责人，现任中软国际 华为业务群 流程IT iBuy产品经理，熟悉Scrum XP等敏捷方法，有丰富的敏捷实施经验，在产品推行敏捷过程中承担过敏捷教练，指导过多个开发团队的敏捷转型。
本次课程，马老师主要从以下五个方面进行了分享。
一、零缺陷质量体系
菲利普·克罗斯比（Philip Crosby，1926年—2001年），世界著名的质量管理专家，被誉为当代“伟大的管理思想家”、“零缺陷之父”、“世界质量先生”，致力于“质量管理”哲学的发展和应用，引发了全球源于生产制造业、继而扩大到工商业所有领域的质量运动。
作为质量管理大师，他掀起了起源于美国 ，并进而影响了世界的零缺陷管理狂飙突进运动。
目前，作为工作哲学的质量四项基本原则体现为：
1.质量=符合要求(Match)
完全了解你的任务的全部要求；
2.系统=预防（ Prevention）
在你的全部工作场所采取预防活动；
3.工作准则=零缺陷(ZD)
从来不认为错误是不可避免的，尤其是微不足道的错误；
4.衡量=不符合要求的代价(PONC)
知道这是做错事时支付的费用。
二、风险与问题的区别
1.风险的定义
对项目的成功产生不利影响的潜在的事件。当它们确实发生了，就会形成问题，对至少一个项目目标造成影响，如范围、进度、成本和质量。
风险的2个关键要素:
1.风险的发生是有概率性的；
2.一旦发生，对项目的影响是有害或负面的。
那我们如何预防风险呢？这就需要用到项目管理的知识。
一般来说，风险管理包括风险识别、风险分析与评估、风险控制、实施与监控等过程。其目标在于降低项目消极事件发生的概率和影响。
2. 预防的意义
质量是怎么产生的？预防产生质量，检验不能产生质量。
1）检验——已发生的事情：
如果预防太迟，缺陷已经产生，会遗漏一些缺陷，不能产生符合项，最终影响正常的工作。
2）预防——使某些事不发生
预防问题的方法就是改进工作过程，工作开始之前的审慎活动，较便宜的经营之道。
既然预防的意义如此重大，我们如何对预防加以规划呢？
l 制定改进政策；
l 建立系统以预防问题。
实施预防的4个阶段：确定输出、确定过程（控制输入）、验证过程、运行与管理。
正所谓预防使你致富，忙于解决问题则会使你破产。
3.工作标准
标准是评估工作的基础，是与你将接受的错误水平相对应的，成为你个人哲学的一部分。当我们接受错误时：无法防止错误的重现，我们将不会认真的考虑未来的要求，产生的错误将会干扰其他的工作。
那什么是工作标准呢？零缺陷，而不是“差不多就好”，是一次把问题做对，而不是零容忍。
标准的比较：具有要求的过程—>衡量—>比较（工作标准）—>行动—>具有要求的过程
差不多就行：允许某个百分比的不符合项，每一工作项目允许若干不符合要求之处，每一时间单位中允许若干次不符合要求。
缺陷的直接后果：不符合要求的代价
对全球各类组织的统计表明：由于没有第一次作对而产生的额外浪费高达税前利润的3-5倍。或占运营成本的30-40%（服务业），占销售额的20-25%（制造业）。
我们把不符合要求而产生的不必要的花费称为“不符合要求的代价”，简称PONC（Price of Nonconformance）
采用零缺陷标准：
1）零缺陷——“个人的决心”：了解要求、同心协力达成要求、找出不符合要求之处、预防问题。
2）零缺陷作为一种心态：不害怕错误、不接受错误、不放过错误。
3）零缺陷行为：第一次就把事情做对；仔仔细细制定要求；与他人协调工作以符合要求；避免双重标准；报告错误时无须害怕；高度重视预防。
4.缺陷的代价：一个BUG值400亿
2005年12月8日，是J-COM公司上市的日子，富士通-东京证卷-瑞穗证券一位交易员接到一位客户的委托：“请以61万日元的价格，卖出1股J-Com的股票”这种本来很基础的操作，结果硬是在系统上输成了“以每股1日元的价格，卖出61万股”。这个无法撤单的BUG，在当天造成400亿日元约合24亿人民币的损失。
如此一来，瑞穗证券将全年营收都赔了个精光，也不得不取消了所有员工的年终奖……
三、风险管理
一份来自美国的数据报告显示，企业中只有30％的管理者有风险管理意识。
在讲解风险管理前，先看一个关于哥伦比亚号失事的案例：
2003年2月1日，美国东部时间上午9时，美国“哥伦比亚”号航天飞机在得克萨斯州北部上空解体坠毁，7名宇航员全部遇难。这是继1986年挑战者号后最惨烈的一次航空灾难，这次空难导致美国停用航天飞机，所用航天飞机全部退役。
导致本次灾难主要由航天飞机外部燃料箱表面泡沫材料安装过程中存在的缺陷，外部燃料箱表面脱落的一块泡沫材料击中航天飞机左翼。
从该案例中，我们得知：风险完全避免是不可能的，只能积极的面对和管理。
任何项目从启动那一刻起，就存在风险。如果不积极进行风险管理，实际发生的风险就可能给项目造成严重影响，甚至导致项目失败。要想取得成功，组织应致力于在整个项目期间积极、持续地开展风险管理。
比如外包领域，需加强关注的风险一般包括为人员风险(人力到位、人员稳定性、信息安全等)、 项目风险(进度、技术、范围)这几个方面。
我再来讲述一则飞信的失败的案例：
飞信首次推出是在2007年，而微信则是2011年。在飞信的巅峰时期，用户数量达到了5亿，月活跃用户则达到了1亿，而不支持三网是是当时飞信最大的短板。因费心对于技术风险的忽视，等微信问世，已经悔之晚矣。
他只是你生活中的一部分内容，却能改变你整个的生活。
风险识别的方法：
1）会议
通常由项目团队开展头脑风暴会议，建议邀请团队以外的专家参与。
2）经验回顾
情景分析，回顾以往项目的教训，翻阅经验库，识别同类风险。
3）访谈
德尔菲方法，访谈有经验的项目参与者、干系人或者相关专家，可以识别出某些风险。
4）项目诊断
通过项目诊断，从项目的各个要素进行自检和诊断，制定风险检查表。一般从项目过程、交付件、度量结果等去识别项目的风险度。
识别风险是一个反复进行的过程：
1）在项目生命周期中，随着项目的进展新的风险可能产生；
2）反复的频率以及每一轮的参与者因具体情况而异；
3）应该采用统一的格式对风险进行描述，确保可以把项目中一个风险事件的影响与其他事件进行比较；
4）项目团队应参与识别风险过程，以便创造并维持团队成员对风险及其应对措施的主人翁感和责任感。
风险识别活动参与者：
1）可包括： PM、项目骨干、客户接口人、SE/MDE、QA、TC等项目干系人；
2）虽然上述人员往往是风险识别过程的关键参与者，但还应鼓励全体项目人员参与风险识别工作。
风险识别结果表
风险评估案例：
某外包项目处于执行阶段， 由于外包需求频繁变化， 再加上人员离职等原因， 项目面临着延期的极大风险。 项目经理小王不得已召集项目组全体成员， 要求识别项目的所有风险。 通过大家的头脑风暴， 大大小小的风险搜集了有40多条， 既有人员管理方面的， 也有技术、 进度方面的。 小王立刻将风险一一指定了责任人， 并要求大家制定应对措施。 两个星期过去了， 好对付的风险应对措施落实了， 但还有几个麻烦的风险， 由于需要其他团队配合， 应对措施迟迟没有进展。 在项目临近结项还剩一个星期的情况下， 4个比较棘手的风险爆发， 小王彻底崩溃。
风险的2大要素：
1）风险的发生概率
分析风险在项目过程中发生的概率有多大，主要以高、中、低几个等级进行划分。
2）风险对项目的影响程度
根据风险可能会对项目造成的影响对风险进行等级划分，如：高风险、中等风险、低风险。
风险的评估流程：
风险的评估流程包括：风险标识，风险分析，风险排序三个步骤。
1）风险标识
对一个项目，任何可能发生且损害项目成功的条件或事件都要标识为风险。在项目生命周期的每个阶段都要进行风险标识。
风险标识的方法：通过调查、访谈、头脑风暴会议等方法对计划、过程和工程产品审核，也可以参考经验库或可能成为风险的checklist，进行风险的标识。
2）风险分析
做风险分析时要对风险发生的概率和影响程度进行量化。这里有一个风险指数的公式：
风险指数 = 风险发生的概率 × 风险发生后造成的影响。
3）风险的排序
对风险进行排序，以便确定风险管理活动的工作量最应该花费在哪里，达到最大收益处。组织可以通过关注高优先级的风险来提升项目绩效。
实施定性风险分析，根据风险发生的相对概率或可能性、风险发生后对项目目标的相应影响以及其他因素（如应对时间要求，与项目成本、进度、范围和质量等制约因素相关的组织风险承受力），来评估已识别风险的优先级。
基于风险指数的排序方法：
发生风险的概率、影响程度、风险指数、从大到小排序、确定TOP风险。
注意：进行很严格的排序并没有很重要的意义，我们关心的其实是排在比较靠前的几个风险。
风险管理计划：
风险管理计划是项目计划的一部分，包括风险的标识、排序、风险对策措施等内容。
注意事项：
1.风险的管理和计划是建立在对风险的分析认识之上的；
2.风险的责任人跟踪风险进展；
3.确定风险的规避措施和应急措施。
风险对策制定：
对高风险和中等风险可能造成的影响进行分析评估，给出对策（预防措施、事中、事后控制），这些对策的集合就是我们的预防风险的的计划。其中，高风险和中风险应该详细说明，并把低优先级的风险列入观察清单，以便定期监测。
确定风险责任人及其职责、风险发生的触发器、征兆和预警信号、明确应对策略所需的具体行动，以及应对措施之后仍然存在的残余风险、次生风险。根据项目的风险分析以及组织的风险临界值，制定应急措施等。
一个风险分析和对应的风险应对计划表
风险监控：
风险监控是在整个项目中，实施风险应对计划、跟踪已识别风险、监测残余风险、识别新风险和评估风险过程有效性的过程。
其目的包括：查看风险的假设条件是否依然成立；观察风险是否发生了转移，或已经消失；监控风险管理政策和制度是否已得到遵守；判断当前的风险评估是否需要调整成本或进度进行应急储备。
风险管理的要点：
风险管理要做到及时的跟踪闭环，一般可以在例会上进行定时审视和关注。风险管理要点包括：确定风险责任人、沟通、经验教训及总结、风险管理的价值。
1）重要的是沟通
l要在项目组中建立良好的沟通环境和氛围；
l项目组的所有成员能在日常工作中关注风险问题；
l使项目组成员都能了解和理解项目组当前的风险以及措施；
l针对风险问题进行无障碍的沟通；
l发动大家将风险管理做好；
2）确定风险责任人
l在项目开工会上任命风险管理员，审核所有规避措施的执行状态、检查风险项的风险评估系数，重新定义项目的N个顶级风险列表；
l风险管理员制定风险计划、分析风险、维护项目的N个顶级风险；向项目经理通报新的风险，以及风险解决的状态；
l风险管理员可以确定项目组成员为新识别的风险的责任人，风险责任人负责风险发生可能性和影响分析，负责实施风险规避计划中的措施，每周向管理员汇报进展；
3）经验教训及总结
l持续积累并建立风险经验库非常重要；
l在项目结束后，可组织相关的沟通交流会议。从新的角度去审视项目的全过程；
l关注风险的识别及相关的管理活动，从中总结经验教训；
l最终形成经验库，进行总结输出，并能够进行跨项目间共享，共同提升风险管理的能力；
4）风险管理的价值
l对于风险管理 应当进行恰当的成本效益分析；
l风险管理的成本应小于风险发生的预期损失；
l风险管理的焦点在于以最小的成本去管理风险，而非确切地计算到底有多大的好处；
l不实施风险管理的项目不一定有问题或失败，但是风险管理能够帮助管理者做出更明智的决策，从而帮助项目成功。
四、AAR事中总结
AAR方法最早是美国陆军所进行的一项任务后的经验传递和改进方法。对美国陆军来说，使用这种方法的好处在于当产生新的改进建议时，能够马上响应到行动上。他们使用AAR解决了许多问题，比如1994年，美军入侵海地时，就采用了AAR的学习方式。
1.AAR的概念
AAR（ After Action Review ，事后回顾）是在项目或活动的关键阶段，通过专业讨论来评估和捕获经验教训，以保持优势，改善弱点。
2.AAR的特点
lAAR方法能够获得即时的绩效反馈，识别经验教训，并立即应用这些经验教训。
lAAR不进行深度的分析，对短期、循环的活动或单一行动的回顾非常有效。
l简短，聚焦于某个例行周期（如每周或每月）活动，或某个具体交付的任务。
3.AAR的价值
l在团队内，AAR能够将经验迅速形成闭环应用：
l帮助捕获项目重要经验教训，持续学习，不断改进；
l促进组织内隐性知识沉淀，避免知识因项目解散而流失；
l集体学习，丰富团队成员的经验和知识，促进团队成长；
l团队将能够更熟练的设定实际、可达成的目标；
l帮助成员对发生的事情及意义形成统一的观点或理解，这是团队达成共识的基础；
l帮助建立团队坦诚、开放的氛围。
对不同团队之间来说，AAR方法能够把经验进行传递和沉淀：
l经验教训的分享，将避免问题重犯、识别机会点、应用好的实践；
l使用AAR的时机；
l在完成一项有可衡量目标、有清晰的起始和结束点的活动后，为了识别期望和实际发生差距（积极的和负向的）可以选择开展AAR；在实际应用中；
lAAR适用于小规模组织在完成一项活动后的快速总结与经验积累；
lAAR不适用于项目结束时的经验教训识别，此时，使用项目回顾（Retrospect）方法。
5.AAR与回溯的区别：
1）相同之处：
（1）均强调过程引导员的重要作用；
（2）均强调需要找到可执行的问题解决方法。
2）不同之处：
（1）回溯针对问题的反向改进，AAR是针对目标的正向分析，不仅对目标达成遇到问题的改进，也注重其中好方法的保持；
（2）回溯强调寻找根因，AAR强调找到可马上实行的解决办法；
（3）回溯需要召集问题相关的众多角色，AAR只面对当前事情涉及的最小集人员，一般不用刻意召集；
（4）回溯的受益人是组织中的角色，AAR受益人是这件事情的参与者，因为他们很可能会再次做同样的事，所以AAR具有良好的
延续性;
（5）回溯的周期长（数周甚至数月），而AAR周期短（1天到1周以内），更适合个人、组织快速的迭代、学习、前进。
基于以上原因，AAR是更适合最小规模组织，最有利于个人积累成长的快速总结、学习方式。
下期预告
墙裂推荐【CXO进化营】中国软件10强企业专家在线分享的《从技术到管理，如何打造IT服务企业核心竞争力？》，5位知名专家，7节能力提升课，限时免费，精彩不容错过。
授课时间：9月11日20:00~21:00
授课主题：《质量管理：项目知识管理计划》
分享嘉宾：中软国际研发顾问、知识管理专家、质量管理专家陈昊
报名方式：
1. 通过链接：http://live.jfh.com进入直播页面，点击【参与报名】即可预约课程；
2. 扫描如下二维码添加小媛微信（JFHC-1），备注CXO进化营，进入学习群。
课程中的更多精彩案例和分析，请添加社区小助理“解小媛”微信（JFHC-1）索取。