项目风险是一种不确定的事件或条件，一旦发生，会对项目目标产生某种正面或负面的影响。风险有其成因，同时，如果发生风险，也导致某种后果。项目风险既包括对项目目标的威胁，也包括促进项目目标的机会。
1、风险的属性：随机性（发生及其后果都具有偶然性）；相对性（承受风险能力主要受【收益的大小、投入的大小、项目活动主体的地位和拥有的资源】）；可变性（风险的性质、结果的变化，以及出现新的风险）。
2、风险的分类：
①按后果：纯粹风险（不能带来机会，无获得利益可能的风险）；投机风险（既可能带来机会、获得利益，又隐含威胁、造成损失的风险）；
②按来源：自然风险、人为风险；
③按是否可管理：可管理风险（可以预测，并采取相对措施加以控制）；不可管理风险（不可以被预测）；
④按影响范围：局部风险、总体风险；
⑤按后果承担者：项目业主风险、政府风险、承包商风险、投资方风险等；
⑥按可预测性：已知风险（根据计划分析能够明确那些经常发生，而且其后果亦可预见的风险）、可预测风险（根据经验判断，可以预见其发生，但不可预见其后果的风险）、不可预测风险（即使最有经验的人也不能预测的风险，新的、以前未观察到或很晚才显现出来的风险）。
3、风险成本及其负担
风险造成的损失或减少的收益以及为防止发生风险事件采取预防措施而支付的费用，都构成了风险成本。包括有形成本、无形成本及预防与控制风险的成本。
①有形成本：直接损失（财产或人员伤亡的价值）、间接损失（直接损失意外的它物损失、责任损失以及因此造成的收益的减少）；
②无形成本：因风险所具有的不确定性而使项目主体在风险事件发生之前或之后付出的代价。主要表现在【风险损失减少了机会；风险阻碍了生产率的提高；风险造成资源分配不当】。
4、规划项目风险管理
决定如何进行项目风险管理活动的过程，风险管理过程的规划对保证风险管理与项目风险程度和项目对组织的重要性相适应起着重要作用，应在项目规划过程的早期完成。
①输入：项目管理计划、项目章程、干系人登记册、事业环境因素、组织过程资产；
②工具与技术：分析技术、专家判断、会议；
③输出：方法论、角色与职责、预算、时间安排、风险类别、风险概念和影响的定义。
④规划项目风险管理应注意的内容包括：概率和影响矩阵、修改的项目干系人承受度、报告格式、跟踪。
5、识别风险
确定哪些风险会影响项目，并将其特性记载成文，要求全员参与，全过程识别，是一项反复的过程。
①输入：风险/成本/进度/质量/人力资源管理计划、范围基准、活动成本及持续时间估算、干系人登记册、项目文件、采购文件、事业环境因素、组织过程资产；
②工具与技术：文档审查、信息收集技术（头脑风暴、德尔菲技术-减少数据中的偏移并防止个人对结果不适当地产生过大影响、访谈、根本原因识别)、核对表分析、假设分析、图解技术(因果图、流程图、影响图)、SWOT分析（优势、劣势、机会、威胁）、专家判断；
③输出：风险登记册（已识别的风险清单、潜在的应对措施、风险根本原因、风险类别更新）。
6、实施定性风险分析
包括为了采取进一步行动，按概率及影响对已识别风险进行优先排序的方法。是为风险应对规划过程确立优先级的一种经济、有效和快捷的方法，并为定量分析奠定基础。
①输入：风险管理计划、范围基准、风险登记册、事业环境因素、组织过程资产；
②工具与技术：风险概率与影响评估（调查每项具体风险发生的可能性）、概念和影响矩阵（基于风险等级，对风险进行优先排序，便于进一步的定量分析和风险应对）、风险数据质量评估（定性分析要具有可信度，要求使用准确和无偏差的数据）；风险分类、风险紧迫性评估、专家判断；
③输出：项目文件更新，风险登记册更新（项目风险的相对排序或优先级清单、按照类别分类的风险、需要近期采取应对措施的风险清单、需要进一步分析与应对的风险清单、低优先级风险观察清单、定性风险分析结果的趋势）、假设条件日志。
7、实施定量风险分析
对定性风险分析过程中作为对项目需求存在潜在重大影响而排序在先的风险进行分析。并就风险分配一个数值。
①定量风险分析的目的：
a、对项目结果以及实现结果的概率进行量化；
b、评估实现具体项目目标的概率；
c、通过量化各项风险对项目总体风险的影响，确定需要特别重视的风险；
d、在考虑项目风险的情况下，确定是可以实现的切合实际的成本、金属或范围目标；
e、在某些条件和结果不确定时，确定最佳的项目管理决策。
②输入：风险管理计划、项目成本管理计划、项目进度管理计划、风险登记册、事业环境因素、组织过程资产；
③工具与技术：数据收集和表示技术（访谈、概率分布-PERT）、定量风险分析和模型技术（敏感性分析-哪些风险对项目具有最大的潜在影响、预期货币价值分析、决策树分析-利润越大越好、成本额越小越好、模型和模拟-蒙特卡洛，随机模拟、建模和仿真技术）、专家判断；
④输出：项目的概率分析、实现成本和时间目标的概率、量化风险优先级清单、定量风险分析结果的趋势，更新后的风险登记册。
8、规划风险应对
指为项目目标增加实现机会，减少失败威胁而制定方案，决定应采取对策的过程，包括确认与指派相关个人或多人，对已得到认可并有资金支持的风险应对措施担负起责任。
①输入：风险管理计划、风险登记册；
②工具及技术
a、消极风险或威胁的应对策略：
回避：改变项目计划，以排除风险或条件，或者保护项目目标，使其不受影响，或对受到威胁的一些目标放松要求（例：延长进度或减少范围）；
转移：设法将风险的后果连同应对的责任转移到第三方身上，包括但不限于利用保险、履约保证书、担保书和保证书；
减轻：设法将不利的风险事件的概率或后果降低到一个可接受的临界值。包括提前采取行动减少风险发生的概率或者减少其对项目所造成的影响（例：简单的工艺、冗余设计）；
接受：项目团队决定接受风险的存在，而不任何措施（除非风险真的发生）的风险应对策略。分为主动接受和被动接受（储备→主动接受）。
b、积极风险或机会的应对策略
开拓：希望确保机会得以实现，可就具有积极影响的风险采取该策略；
分享：将风险的责任分配给最能为项目之利益获取机会的第三方，包括建立风险分享合作关系；
提高：通过提高积极风险的概率或其积极影响，识别并最大程度发挥这些积极风险的驱动因素，致力于改变机会的“大小”。
c、应急应对策略：针对某些特定事件，专门设计一些应对措施；
d、专家判断。
③输出：项目管理计划更新、项目文件更新。
④风险登记册包括：已识别的风险、风险的描述、所影响的项目领域；风险负责人及分派给他们的职责；风险定性与定量分析过程的结果；商定的应对措施；实施选定的应对策略所需的具体行动；风险发生的触发条件、征兆和警示；实施选定的应对策略所需的预算和进度活动；在考虑厉害关系者风险承受度水平的情况下，预留的时间和成本应急储备金；应急计划以及应急计划实施的触动因素；对已经发生的风险或首要应对措施被证明不利的情况下，使用备用计划；对策实施之后预计仍将残留的风险，以及主动接受的风险；实施风险应对措施直接造成的二次风险；根据项目定量分析以及组织风险限界值计算的应急储备金。
9、控制风险
识别、分析和规划新生风险，追踪已识别风险和“观察清单”中的风险，中心分析现有风险，检测应急计划的触发条件，监测残余风险，审查风险应对策略的实施并评估其效力的过程。
①控制风险的目的：确定项目的假设是否仍然成立；风险的原有状态是否已经改变，及其趋势分析；是否遵循了恰当的方针与程序；应依据项目风险，对成本或进度应急储备进行修改。
②输入：项目管理计划、风险登记册、工作绩效数据、工作绩效报告；
③工具与技术：风险再评估、风险审计、偏差和趋势分析、技术绩效测量、储备分析、会议；
④输出：工作绩效信息、变更请求、项目管理计划更新、项目文件更新、组织过程资产更新。
10、常见风险及其应对措施
①没有正确理解业务问题
原因：项目干系人对业务问题认知不足、计算过于复杂、不合理的业务压力、不现实的期限；
措施：加强用户培训、系统所有者和用户的承诺与参与、使用高水平的系统分析师。
②用户不能恰当的使用系统
原因：系统未与公司战略相结合、对用户没有做足够的解释、帮助手册编写质量低、用户培训工作不足；
措施：用户的定期参与、项目的阶段交付、加强培训、完善信息系统文档。
③拒绝需求变更
原因：固定的预算、期限、决策者对市场和技术缺乏正确的理解；
措施：变更管理、应急措施。
④对工作的分析和评估不足
原因：缺乏项目管理经验、工作压力过大、对项目工作不满意；
措施：采用标准技术、使具有丰富经验的项目管理师。
⑤人员流动
原因：不现实的工作条件、较差的工作关系、缺乏对职员的长远期望、行业发展不规范、企业规模较小；
措施：保持好的资源条件，确保人与工作的匹配、保持候补、外聘、行业规范。
⑥缺乏合适的开发工具
原因：技术经验不足，缺乏技术管理准则、技术人员的市场调研或对市场理解有误、研究预算不足、组织实力不够；
措施：预先测试、教育培训、选择替代工具、增强组织实力。
⑦缺乏合适的开发与实施人员
原因：对组织架构缺乏认知、缺乏中长期的人力资源计划、组织不重视技术人才的技术工作、行业人才紧缺；
措施：外聘、招募、培训。
⑧缺乏合适的开发平台
原因：缺乏远见、没有市场和技术研究、团队庞大陈旧难以转型、缺乏预算；
措施：全面评估、推迟决策。
⑨使用了过时的技术
原因：缺乏技术前瞻人才、轻视技术、缺乏预算；
措施：延迟项目、标准监测、前期研究、培训。