第十一章项目的风险管理

这是一篇关于第十一章项目的风险管理的思维导图，主要内容有核心概念、风险管理的趋势和新兴实践、包括的过程。

项目的风险管理

• 目的：提高机会，降低风险，提高项目成功的可能性
• 核心概念
  • 单个项目风险
    • 定义：一旦发生，会对一个或多个项目目标产生正面或负面影响的不确定事件或条件
  • 整体项目风险
    • 定义：不确定性对项目整体的影响，是相关方面临的项目结果正面和负面变异区间，他源于单个风险在内的所有不确定性
  • 应明确规定风险临界值
    • 可测量的风险临界值来定义可接受的项目敞口究竟有多大，反应了组织与项目相关方的风险偏好程度，是项目目标的可接受的变异程度
• 风险管理的趋势和新兴实践
  • 识别并管理非事件性风险的意识正在不断加强，非事件性风险有两中主要类型
    • 变异性风险：已规划的事件，活动和决策在某些关键方面存在不确定性，就导致变异风险。如：生产率可能低于或高于目标值，测试发现的错误率可能高于预期，施工阶段可能出现反常的天气情况（管理储备，蒙特卡洛分析这种概率分布表示变异的可能区间去缩小可能结果的区间来加以处理）
    • 模糊性风险：对未来发生什么存在不确定性，知识不足可能影响项目目标的达成，如：不太了解需求，法规框架的未来发展，项目内在的系统复杂性(先定义认知或理解不足指出，进而获取专家意见，以最佳实践为标杆太不差距，也可以采取增量开发，原型搭建或模拟来处理）
    • 项目韧性：未知-未知因随意识的加强，人们越来越明确的知道确实存在突发性风险，这种风险只有在发生后才发现，通过增强项目韧性来应对
    • 整合性风险管理：组织级层面，项目存在于组织背景中，可能是项目集，项目组合的一部分，在项目，项目集，项目组合和组织这些层面上都存在风险。应该在适当的层面上承担和管理风险，较高层面识别的风险可能交给较低层面上承担和管理，较低层面识别的风险可能交给较高层面去管理，应该采取协调是企业级风险管理，来确保所有层面的风险管理工作的一致性和连贯性。是组织具有风险效率
  • 敏捷或适应型环境中需要考虑的因素
    • 通过跨职能团队和经常审查增量式工作产品，来加快知识分享，确保对风险的认知和管理
      • 再选择每个迭代期的工作内容式应该考虑风险，在每个迭代期间应该，识别，分析和管理风险
• 包括的过程
  • 规划风险管理
    • 定义：如何实施项目风险管理活动的过程
    • 作用：确保风险管理的水平，方法和可见度于项目风险程度，以及项目对组织和其他相关方的重要程度相匹配
    • 规划风险管理过应在项目构思阶段开始，并在项目早期完成（规划阶段）
    • 输入
      • 项目章程：记录了高层级的需求和风险
      • 项目管理计划
      • 项目文件（相关方登记册：相关方的详细信息，并概述其在项目中的角色和对风险的态度，用于确定项目风险管理的角色和职责，设定风险临界值）
    • 工具与技术
      • 专家判断
      • 数据分析（相关方分析：确定项目相关方的风险偏好）
      • 会议（开工会或者专门的规划会来编制风险管理计划，并且熟练的会议引导着帮助会议参加者专注于会议事项）
    • 输出
      • 风险管理计划
        • 风险管理战略，
        • 方法论，
        • 角色和职责：确定风险管理活动的领导者，支持者，团队成员，并明确他们的职责
        • 时间安排：确定风险管理过程的时间和频率，确定风险管理活动并纳入项目管理计划
        • 风险类别：确定对单个项目风险进行分类的方式，通过风险分析结构（RBS）来构建风险类别，风险分析结构潜在风险来源的层级展现，有助于项目考虑单个项目风险的全部可能来源，对识别风险和归类已识别风险特别有用）单个风险的识别，不能对整体风险识别
        • 相关方风险偏好：应该针对每个项目目标，把相关方风险偏好表述成可测量的风险临界值，这些临界值联合决定了整体项目风险敞口水平，用于制定概率和影响定义。
        • 风险概率和影响定义：根据具体的项目环境，组织和相关方的风险偏好和临界值，来指定风险概率和影响定义。
        • 概率和影响矩阵：概率，消极影响（威胁），积极影响（机会）矩阵，根据概率和影响矩阵可以在每个优先级组别之内排列单个风险相对优先级
        • 报告格式
        • 跟踪：确定如何记录风险活动，如何审计风险的管理过程
  • 识别风险
    • 定义：识别单个风险，以及整体项目风险的来源，并记录风险特征的过程
    • 作用：以便项目团队能够恰当应对已识别的风险,为单个风险制定责任人，待实施风险分析过程确认。也可以识别和记录初步的风险级别和初步的风险应对措施，带规划风险应对过程审查和确认
    • 输入
      • 项目管理计划（需求管理计划：可能指出有特定风险的项目目标。进度管理计划，成本管理计划，质量管理计划，资源管理计划：可能列出了受不确定或模糊性影响的一些领域。风险管理计划：风险管理的角色和职责，说明了如何将风险管理活动纳入预算和进度计划，描述了风险类别。范围基准：用作安排风险识别工作的框架。进度基准：找出不确定性或模糊性的里程碑日期和可交付成果的交付日期或者引发风险的关键假设条件。成本基准：找出不确定性和模糊性程度成本估算或资金需求，后者关键假设可能引发风险的方面
      • 项目文件（假设日志：假设条件和制约因素可能引发单个项目风险，还可以影响整体项目风险的级别。成本估算：估算不足可能引起项目风险。持续时间估算：持续时间估算不足可以引起项目风险。问题日志：记录的问题可以引起单个项目风险，可能影响整体项目风险的级别。经验教训登记册：确定类似风险是否可能发生。需求文件：确定哪些需求存在风险。资源需求：资源的估算不足导致风险。相关方登记册：规定了那些人或小组可能参加风险识别的工作，还会详细说明那些个人可以扮演风险责任人角色。
      • 协议：外部采购协议所规定的里程碑，合同类型，验收标准和奖罚条款等，都可能造成威胁或创造机会
      • 采购文档：从组织外部采购商品和服务可能提高或降低整体项目风险，并可能引发更多的单个项目风险
    • 工具和技术
      • 专家判断（应注意专家可能只有偏见）
      • 数据收集
        • 头脑风暴：来获取风险来源的清单，可以用风险类别（如风险分解结构）作为识别风险的框架，因为头脑风暴生成的创意并不成型，所以应该特别注意对头脑风暴识别的风险进行清洗的描述
        • 核对单：包括需要考虑的项目，行动或要点的清单，简单易用单不可能从今所有风险，所以不能用核对单来取代所需风险识别工作，不是的审查来增加信息，删除和存档过时信息。
        • 访谈：对资深参与则和专家的访谈，应该在信任和保密的环境下开展访谈，以获得真实可信不带偏见的意见
      • 数据分析
        • 根本原因分析：(通过问题陈述（如：项目可能延误或超支）作为出发点，探讨哪些威胁可以导致问题，从而额识别相应的威胁。也可以从收益陈述（如：提前交付和低于预算）作为出发点，来探讨那些机会，从而识别相应的机会
        • 假设条件和制约因素的分析：从假设条件的不准确性，稳定性，不一致性或不完整性可以识别威胁，通过清楚或放松会影响项目或过程的制约因素，可以创造机会
        • SWOT分析（更全面考虑风险的一种方法）：从优势（strength），劣势（weakness），机会（opportunities），威胁（threat）进行逐一检查，考察优势抵挡威胁的程度，劣势妨碍机会产生的程度
        • 文件分析：通过对项目文件的结构化审查，项目文件中的不确定性或模糊性，以及同一文件内部或不同文件之间的不一致性，都可能是项目风险的指示信号
      • 人际关系与团队技能（引导：提高用于识别风险来源的许多技术的有效性。熟练的引导者可以帮助专注于风险是被任务，准确遵循与技术相关的方法，有助于确保风险描述清晰，找到克服偏见，解决任何可能出现的分析）
      • 提示清单：可能引发单个项目风险以及可作为整体项目风险来源的风险类别的预设清单，在采用风险识别技术时，提示清单可作为框架用于协助项目团队形成想法，可以用风险分解结构底层的风险类别作为提示清单来识别单个项目风险。常见的战略框架更适合用于是识别项目整体风险的来源（如：PESTLE（政治，经济，社会，技术，法律，环境），TECOP（技术，环境，商业，运营，政治），VUCA（易变形，不确定性，复杂性，模糊性）
    • 输出
      • 风险登记册
        • 只记录单个项目风险的详细信息。随着实施定性分析，规划风险应对，实施风险应对，监督风险等过程的开展，这些结果也会记入风险登记册，而定量分析结果不会记入风险登记册而是记入风险报告中。
        • 已识别风险的清单
        • 潜在风险责任人
        • 潜在风险应对措施清单
      • 风险报告
        • 提供关于整体风险的信息，以及关于已识别的单个项目风险的概述信息，风险报告的编制是一个渐进的过程，随着实施定性，定量风险分析，规划风险应对，实施风险应对，监督风险过程的完成，这些结果也会记录到风险报告中。记录整体风险敞口的最重要的驱动因素，意识单个风险的概述信息，如：威胁与机会的数量，风险在风险类别的分布情况，测量指标，发展趋势
      • 项目文件的更新（假设日志，问题日志，经验教训登记册）
  • 实施定性风险分析（记入风险登记册，具有主观性）
    • 定义：通过评估单个风险发生概率和影响以及其他特征，对风险进行优先排序，从而为后续分析或行动提供基础的过程
    • 作用：重点关注高优先级的风险，确定单个项目风险的相对优先级，识别出责任人，由他们负责规划风险应对措施，并确保应对措施的实施。
    • 基于项目团队和其他相关方对风险的感知程度，从而具有主观性，认清和管理关键相关方的态度，找出偏见并加以纠正。找出并纠正偏见时引导的一项重要工作。同时评估当个项目的现有信息的质量，也有助于澄清每个风险对项目的重要性的评估
    • 输入
      • 项目管理计划（风险管理计划）
      • 项目文件（假设日志，风险登记册，相关方登记册）
    • 工具与技术
      • 专家判断（引导式风险研讨会或访谈来获取专家意见，可能只有偏见）
      • 数据收集（访谈，结构化访谈，半结构化访谈)
      • 数据分析
        • 风险数据质量评估：旨在评价单个项目风险数据的准确性，可靠性。
        • 风险概率和影响评估：低概率和影响的风险将列入风险登记册的观察清单，以供未来监控
        • 其他风险参数评估（紧迫性，临近性，潜伏期，可管理性，可控性，可监测性，战略影响力，密切度）有助于进行更稳健的风险优先级排序
      • 人际关系与团队技能（引导，克服偏见，解决任何可能出现的分歧)
      • 风险分类（有助于把注意力和精力集中到风险敞口最大的领域，对相关风险制定通用风险应对措施）
        • 依据风险来源（风险分解结构），受影响的项目领域（工作分解结构WBS），以及其他实用类别（如项目阶段，项目预算，角色和职责），还可以根据共同的根本原因进行分类
      • 数据表现（概率和影响矩阵：为单个项目风险分配优先级别，层级图：两个以上的因素对风险进行分类，不能用概率与影响矩阵要用其他图形，如：气泡图（X轴，Y轴，气泡大小三个参数来表示)
      • 会议（已识别的单个项目风险进行分类和优先级排序，注意分配风险责任人
    • 输出（假设日子，问题日志，风险登记册，风险报告）
  • 实施定量风险分析（不记入风险等基层，记入风险报告）
    • 定义：就已识别的单个项目风险和其他不确定性的来源对整体项目目标的综合影响进行定量分析的过程
  • 规划风险应对
    • 为处理整体项目风险敞口，以及应对单个风险，而制定可选方案，应对策略并商定应对行动的过程
  • 实施风险应对
    • 定义：执行商定的风险应对计划的过程
  • 监督风险
    • 在整个项目期间，监督商定的风险应对计划的实施，跟踪已识别风险，识别和分析新风险，以及评估风险管理有效性的过程

中心主题

• 实施定量风险分析（不记入风险登记册，记入风险报告）
  • 定义：就已识别的单个项目风险和其他不确定性的来源对整体项目目标的综合影响进行定量分析的过程
  • 作用：量化整体风险敞口，并提供而额外的定量风险信息
  • 并非所有项目都需要定量分析，定量分析通常需要专门的风险分析软件，以及编制和解释风险模式的专业知识，还需要额外的时间和成本投入
  • 定量分析适合于大型复杂的项目，具有战略重要性的项目，合同要求进行定量分析的项目，主要相关方要求进行定量分析的项目
  • 定量分析时评估整体项目风险的唯一可靠的方法。
  • 实施定量分析要使用被定性分析过程评估为对项目存在重大潜在影响的单个项目风险的信息
  • 输入
    • 项目管理计划
      • 风险管理计划（确定项目是否进行定量分析，可用于分析的资源，分析频率）
      • 范围基准，进度基准，成本基准（提供了开展评估的起始点）
    • 项目文件
      • 假设日志
  • 工具与技术
    • 专家判断
    • 数据收集（访谈）
    • 人际关系与团队（引导）
    • 不确定性的表现方式
    • 数据分析
      • 模拟
        • 局部不确定推测整体不确定,多次模拟反复迭代数据，
        • 通常采用蒙特卡洛分析,可以做关键性分析，以确定风险模型的哪些活动对项目关键路径的影响最大
      • 敏感性分析
        • 对单个项目风险或其他不确定性来源对项目结果具有最大的潜在影响
        • 项目结果变异与定量风险分析模型中的要素变异建立联系
        • 敏感分析通常用龙卷风图来表示
      • 决策树分析
        • 风险中立的状态
        • 通过计算每条分支的预期货币价值，就可以选出最优的路径
      • 影响图
        • 不确定条件下决策制定的图形辅助工具。
        • 他将一个项目或项目中的一种情景表现为一系列实体，结果和影响，以及他们之间的关系和相互影响，如果单个项目风险或者其他不确定性来源而使影响图中的某些要素不确定，在影响图中以区间和概率分布的形式表示这些因随，然后借助模拟技术（如：蒙特卡洛分析）来分析哪些要素对结果具有最大的影响
  • 输出
    • 项目文件的更新
      • 风险报告
        • 对整体项目风险敞口的评估结果
        • 项目详细概率分析的结果（S曲线，龙卷风度和关键性指标），定量风险分析的详细结果可能包括：
          • 所需要的应急储备，以达到实现目标的特定置信水平
          • 对项目关键路径有最大影响的单个项目风险或其他不确定性来源的清单
          • 整体项目风险的主要驱动因素，即：对项目结果的不确定性有最大影响的因素
          • 单个项目风险优先级清单：根据敏感性分析的结果，列出对项目造成最大威胁或产生最大机会的单个项目风险
          • 定量风险分析结果的趋势：随着在项目生命周期的不同时间重复开展定量风险分析，风险的发展趋势可能逐渐清晰，发展趋势会影响对风险应对措施的规划
          • 风险应对计划：风险报告可能根据定量风险分析的结果，针对整体项目风险敞口或关键单个项目风险提出应对建议。
• 规划风险应对
  • 定义：为处理整体项目风险敞口，以及应对单个项目风险，而制定可选方案，选择应对策略并商定应对行动的过程。
  • 作用：制定应对整体项目风险和单个项目风险的适当方法，还将分配资源，根据需要将相关活动添加进项目文件和项目管理计划
  • 风险敞口：指在某个项目，项目集或项目组合中，针对任何特定对象，而适时做出的对所有风险的潜在影响的综合评估
  • 有效和适当的风险应对可以最小化单个风险，最大化单个机会，并降低整体项目风险敞口
  • 输入
    • 项目管理计划
    • 项目文件
  • 工具和技术
    • 专家判断，数据收集,人际关系与团队技能
    • 威胁应对策略（规避，转移，减轻，上报，接受）
    • 机会应对策略（开拓，分享，提高，上报，接受）
    • 应急应对策略：可以设计一些尽在特定事件发生时才采取的应对措施（包括，应急计划，弹回计划，启动计划的出发事件）
    • 整体项目风险应对策略（规避，开拓，转移或分享，减轻或提高，接受）
    • 数据分析
      • 备选方案分析
      • 成本效益分析（把单个项目风险的影响进行货币量化，那么就可以通过成本收益分析来确定备选风险应对策略的成本有效性
    • 决策（多标准决策分析：应对成本，应对策略，应对措施对相关风险的作用，导致的此生风险）
  • 输出
    • 变更申请,项目管理计划的更新
    • 项目文件的更新
      • 风险登记册：记录选择和商定的风险应对措施
      • 风险报告:记录针对当前整体项目风险敞口和高优先级风险的经商定的应对措施，以及实施这些措施之后的预期变化
• 实施风险应对
  • 定义：执行商定的风险应对计划的过程
  • 作用：确保按计划执行商定的风险应对措施，来管理整体项目风险敞口，最小化单个项目风险，以及最大化单个项目机会。
  • 只有风险责任人以必要的努力去实施商定的应对措施，项目的整体风险敞口和单个威胁及机会才能得到主动管理
  • 输入
    • 项目管理计划：风险管理计划(记录了风险临界值：代表了实现风险应对所需要实现的可接受目标）
    • 项目文件
      • 经验教训登记册
      • 风险登记册（每个单个项目风险的应急措施，负责人）
      • 风险报告（整体项目风险敞口的评估，商定的风险应对策略，描述重要单个项目风险及其应对计划）
  • 工具与技术
    • 专家判断,人际关系与团队技能，项目管理信息系统（PMIS）
  • 输出
    • 变更请求
    • 项目文件更新(问题日志,经验教训登记册,项目团队派工单，风险登记册，风险报告)
• 监督风险
  • 定义：监督商定的风险应对计划的实施，跟踪已识别风险，识别和分析新风险，以及评估风险管理有效性的过程。
  • 作用：使项目决策都基于关于整体项目风险敞口和单个风险的当前信息
  • 输入
    • 项目管理计划
    • 项目文件(问题日志,经验教训登记册风险登记册，风险报告)
    • 工作绩效数据（已实施的风险应对措施，以发生的风险，仍在活跃及已关闭的风险）
    • 工作绩效报告（偏差分析结果，挣值数据和预测数据）
  • 工具与技术
    • 数据分析（技术绩效分析（偏差分析），储备分析（比较剩余储备与剩余风险，从而确定剩余储备仍然合理，如燃尽图）
    • 审计（评估风险管理过程的有效性）
    • 会议（风险审查会）
  • 输出
    • 工作绩效信息（经过比较单个风险的实际发生情况和预计发生情况，所得到的关于项目风险管理执行绩效的信息）
    • 变更请求（建议的纠正+预防措施，以处理当前整体项目的级别或单个项目得到风险）
    • 项目管理计划的更新
    • 项目文件的更新（和输入的项目文件一样）
      • 风险报告：应随着监督风险过程生成的新信息。而更新风险报告，反应重要单个项目风险的当前状态，以及整个风险的当前级别，风险报告也可能包括有关的详细信息，诸如最高优先级单个项目风险，已商定的应急措施和责任人，以及结论与建议，风险报告也可以收录审计给出的关于风险管理过程的有效的结论