软件项目管理从入门到实践（七）风险管理

风险是遭受损失的一种可能性。做任何事情都有风险，项目也是如此，项目风险无处不在，尤其是软件项目风险更是很多，需求变更风险、项目成本超支风险、客户调动风险、团队人员离职风险等等，各类风险都存在，风险不都是坏的，也有好的风险，比如客户调动风险，有可能换个负责的人，更有利于项目推进，我们要充分分析项目风险，对项目有负面影响的风险，我们要规避或解决，对项目有利的风险我们要加以引导，促使风险转变为利好。

首先我们了解一下风险的属性，以方便对风险进行记录。风险的主要属性包括风险事件描述、风险发生原因、风险发生的概率、风险的影响、风险发生的概率、与其它风险相比较的重要程度、风险防范策略和应对策略、风险责任人、风险识别时间。我们在记录风险的时候，要把这些属性都记录下来，并进行跟踪监控。一般项目在风险管控过程中要建立风险跟踪表。

接下来我们了解一下风险分类，按后果来划分可以分为纯粹风险和投机风险；按来源划分可以分为技术风险、行为风险、经济风险和组织风险；按影响范围划分可以分为局部风险和总体风险；按可预测性划分：已知风险、可预测风险、不可预测风险。在软件实践过程中，最常见的风险类别有：需求风险、过程和标准类风险、组织和人员管理风险和技术风险。需求方面主要包括需求不明确、不准确；缺少有效的需求变更管理流程；用户对产品的需求无限制地膨胀；用户缺席需求分析和阶段性评审；用户与项目团队沟通不畅。过程和标准类风险主要表现为组织没有建立适用于本组织的软件过程规范或标准；没有管理机制保证项目团队按照软件工程标准来工作；没有采用配置管理来跟踪和控制软件工程中的各种变更。组织和人员管理风险主要有人员离职或人员之间的沟通障碍；人员工作积极性低、客户负责人员变化等。技术风险主要包括团队对项目中的技术路线不熟悉不理解；缺少应用领域的经验和背景知识；采用了错误的技术路线或技术架构；所采用的新技术不够成熟。

了解风险类别后，我们要对风险进行管理了。风险管理就是项目组对项目可能遇到的风险进行规划、识别、评估、应对、监控的动态过程，是以科学的管理方法实现最大安全保障的实践活动的总称。风险管理贯穿于项目始终，在项目早期要识别出风险并确定有效的应对措施，在随后的项目执行过程中，还要持续地关注和反复评估风险，因为风险也是变化的。

软件项目风险管理包括风险规划、风险识别、风险评估、风险应对和风险监控5个活动。风险规划就是制定项目风险管理的一整套计划，选择适合的风险管理方法，确定风险判断的依据，指定风险管理的角色和职责，概括风险识别和评估的结果并制定相应的风险应对策略等。风险识别通常至少需要确定风险的来源，风险事件、风险表象。风险识别方法主要有很多，常见的有核对表法、德尔菲方法、头脑风暴法、SWOT分析法。头脑风暴法比较简单，可以充分发挥集体智慧，保证群体决策的创造性，提高决策质量。其他方法就不单独介绍了。

风险评估就是对风险发生概率的估计和评价，项目风险后果严重程度的估计和评价，项目风险影响范围的分析和评价，以及对于项目风险发生时间的估计和评价。风险评估又分为定性分析和定量分析。定性评估是确定风险发生的概率和发生后产生的影响程度，并按照风险的潜在危险性大小对其进行优先级排序；定量评估是针对那些对项目有潜在重大影响而排序在前的风险进行量化分析，从而为风险应对和项目管理决策提供依据。

在风险识别、风险评估后，就要考虑如何处理风险了，也就是我们常说的风险应对措施。其目标是应对、减少、以至于消灭风险事件。风险应对的主要策略有回避风险、转移风险、减小风险、接受风险和风险预留。回避风险是指当项目风险发生的可能性太大，不利后果也很严重，又无其他策略可用时，主动放弃或改变会导致风险的行动方案。回避风险是一种消极的应对手段，在放弃的同时也可能会失去发展的机遇。转移风险又叫分担风险，其目的是在风险事故一旦发生时将损失的全部或一部分转移到项目以外的有能力承受或控制风险的个人或组织。当项目的资源有限、不能实行减轻和预防策略，或风险发生频率不高、但潜在损失或损害很大时可采用此策略。比如将项目部分内容外包就是一种风险转移的表现。减小风险是在风险发生之前采取一些措施降低风险发生的可能性或减少风险可能造成的损失。措施主要有为了防止人员流失，提高人员待遇，改善工作环境；为防止程序或数据丢失而进行备份等。接受风险就是项目团队有意识地选择由自己来承担风险后果。当项目团队认为自己可以承担风险发生后造成的损失，或采取其它风险应对方案的成本超过风险发生后所造成的损失时，可采取接受风险的策略。风险预留是指事先为项目风险预留一部分后备资源，一旦风险发生，就启动这些资源以应对风险。风险预留一般应用在大型项目中。项目的风险预留主要有风险成本预留、风险进度预留和技术后备措施三种。

风险监控包括对风险发生的监控和对风险管理的监控。对风险发生的监控是对已识别的风险源进行监督和控制，以便及早发现风险事件的征兆，从而将风险事件消灭在萌芽中或采取紧急应急措施以尽量减小损失。对风险管理的监控是在项目实施中监督人们认真执行风险管理的组织措施和技术措施，以消除风险发生的人为诱因。常用的风险监控方法包括阶段性评审与过程审查、风险再评估、挣值分析、技术绩效衡量。

最后，我们要正视项目风险，认识到项目风险的客观性、相对性和可变性等，不要一说风险就拍的不行，就如同理财中说的，风险也意味着机会，风险是和收益成正比的，我们既要认识风险不利因素，尽可能规避，也要及时发现风险的有利因素，为项目带来更大的收益。