第11章 风险管理20201008

信息系统项目管理师（第三版） PMBOK（第五版）考试参考资料。

第11章 风险管理

• 基础知识
  • 风险的学术解释
    • 某一事件发生的概率和其后果的组合（GB/T23694-2009）。
  • 风险的属性
    • 风险事件的随机性
      • 风险事件的发生及其后果都具有偶然性。风险事件是否发生，何时发生，发生之后造成什么样的后果?
    • 风险的相对性
      • 风险总是相对项目活动主体而言的。同样的风险对于不同的主体有不同的影响。
    • 风险的可变性
      • 辩证唯物主义认为，任何事情和矛盾都可以在一定条件下向自己的反面转化。这里条件指活动涉及的一切风险因素
  • 风险及项目风险管理定义
    • （1）风险是指与项目相关的若干不确定性事件或条件，一旦发生，将会对项目目标的实现产生正面或负面的影响。
    • （2）杜端甫教授认为，风险是指损失发生的不确定性，是人们因对未来行为的决策及客观条件的不确定性而可能引起的后果与预定目标发生多种负偏离的综合。 R=f(P,C) R 代表“风险”；P 代表“不利事件发生的概率”；C 代表“不利事件发生的后果”。
    • （3）项目风险管理是指对项目风险从识别到分析乃至采取应对措施等一系列过程，包括将积极因素所产生的影响最大化和使消极因素产生的影响最小化两方面内容。
  • 项目风险的特点
    • （1）由于某一具体风险发生的偶然性和大量风险发生的必然性体现出风险随机性的特点； 相对于项目主体而言，风险具有相对性； 因风险的性质和后果的变化，加之出现新风险，构成风险的可变性。 除了以上特点之外，风险还有普遍性和客观性的特点。
    • （2）人们所能承受项目风险的能力受到收益和投入大小、项目活动主体地位和拥有资源等因素影响。
  • 风险分类
    • （1）风险分类为确保系统地、持续一致地、有效地进行风险识别提供了基础，为风险管理工作提供了一个框架。根据不同角度和标准对风险进行分类，如表 11-1 所示。 
      • 已知风险 进行主动管理，对这些风险规划应对措施。 如∶项目目标不明确、过分乐观的进度计划。 应对措施
      • 可预测风险 已知-未知风险 已知但无法主动管理的风险。 如∶分包商不能及时交工、业主不能及时审查批准。 应急储备
      • 不可预测风险 未知-未知风险 事先无法识别的风险，更无法知道发生的概率和影响，无法主动进行管理。 如∶地震、通货膨胀、政策变化。 管理储备
    • （2）纯粹风险和投机风险在一定条件下可以相互转化，项目管理人员必须避免投机风险转化为纯粹风险。
  • 风险成本的内容
    • （1）风险事件造成的损失或减少的收益以及为防止发生风险事件采取预防措施而支付的费用，都构成了风险成本。 风险成本包括：有形成本、无形成本以及预防与控制风险的成本。
    • （2）风险损失的有形成本包括：风险事件造成的直接损失和间接损失。
    • （3）风险损失的无形成本指由于风险所具有的不确定性而使项目主体在风险事件发生之前或之后付出的代价。 主要表现在：风险损失减少了机会；风险阻碍了生产率的提高；风险造成资源分配不当。
    • (4) 风险预防与控制成本 为了预防和控制风险损失，必然要采取各种措施。 如向保险公司投保、向有关方面、配备必要的人员、购置用于预防和减损的设备、对有关人员进行必要的教育或培训以及人员和设备的维持和维护费用等。
    • (5) 风险成本的负担 风险成本不单要由项目主体来负担。 在许多情况下，与项目活动有关的其他方面，也要负担一部分风险成本。项目主体负担的那部分为个体负担成本，其他有关方负担的部分为社会负担成本。
  • 项目风险管理与其他管理关系
    • （1）项目风险管理包括项目风险管理规划、风险识别、分析、应对和监控的过程。
    • （2）管理过程包括：
      • 1）风险管理规划—决定如何进行规划和实施项目风险管理活动。
      • 2）风险识别—判断哪些风险会影响项目，并以书面形式记录其特点。
      • 3）定性风险分析—对风险概率和影响进行评估和汇总，进而对风险进行排序，以便随后进一步分析或行动。
      • 4）定量风险分析—就识别的风险对项目总体目标的影响进行定量分析。
      • 5）风险应对规划—针对项目目标制订提高机会、降低威胁的方案和行动。
      • 6）风险监控—在整个项目生命周期中，跟踪已识别的风险、监测残余风险、识别新风险和实施风险应对计划，并对其有效性进行评估。
    • （3）项目风险管理是项目管理的一部分，目的是保证项目总目标的实现。风险管理与项目管理 其他过程的关系如图 11-2 所示。
    • 【补充知识点】
      • 1.从客户的角度来看，如果没有管理好质量风险，将会造成最长久的影响。
      • 2.随机性和相对性表述的是风险的两个基本属性。
• 管理过程
  • 1.计划与规划。
    • （1）“计划”是指工作或行动以前，预先拟定的具体内容和步骤。 如工作计划、科研计划、五年计划。
    • （2）“规划”则是指比较全面的长远的发展计划。 如制定教育发展规划、十年规划等。
    • （3）由定义可看出它们之间的区别，无论是从范围大小、时限长短，还是从内容具体程度上，二者都有不同。 计划比规划在内容上要简单一些、具体一些，有强烈的约束性。
  • 34、规划风险管理
    • 定义如何实施项目风险管理活动
    • 2.规划风险管理的过程。
      • （1）规划风险管理是在项目正式启动前或启动初期，对项目的一个纵观全局的对于风险的考虑、分析、计划，也是项目风险控制中最关键的内容。
      • （2）规划风险管理的过程如图 11-3 所示。 
        • 
      • （3）风险概率和影响的定义。为确保定性风险分析过程的质量和可信度，要求界定不同层次的风险概率和影响。在风险规划过程中，通用的风险概率水平和影响水平的界定将依据个别项目的 具体情况进行调整，以便在定性风险分析过程中应用。
      • （4）风险发生概率等级如表 11-2 所示；
    • 输入、输出、工具
      • 输入
        • 1.项目管理计划
        • 2.项目章程（高层级风险、项目描述和需求）
        • 3.干系人登记册
        • 4.事业环境因素（组织及参与项目人员的风险态度和风险承受度）
        • 5.组织过程资产（组织既定的风险管理方法）
      • 工具和技术
        • 1.分析技术
        • 2.专家判断　（１）
          • 基于某应用领域、知识领域、学科和行业等的专业知识而做出的，关于当前活动的合理判断。这些专业知识可来自具有专业学历、知识、技能、经验或培训经历的任何小组或个人 (也叫德尔菲法) (1)贯穿项目始终 (2)质量管理3过程没有
        • 3.会议 (4)
          • 会议通常可分为下列三类： 交换信息； 头脑风暴、方案评估或方案设计； 制定决策。
      • 输出
        • 1.风险管理计划
          • 1.风险管理计划（ 1）方法论 2）角色和职责 3）预算 4）时间安排 5）风险类别 6）风险概率和影响的定义 7）概率和影响矩阵 8）修改的项目干系人承受度 9）报告格式 10）跟踪
  • 35、识别风险
    • 判断哪些风险会影响项目并记录其特征
    • 识别风险指确定哪些风险会影响项目，并将其特性记载成文。 参加识别风险的人员通常可包括：项目经理、项目团队成员、风险管理团队（如有）、项目团队之外的相关领域专家、顾客、最终用户、其他项目经理、利害关系者和风险管理专家。 应鼓励所有项目人员参与风险的识别。 识别风险是一项反复过程。
    • （2）风险识别过程如图 11-4 所示。 
      • 
    • 输入、输出、工具
      • 输入
        • 1.风险管理计划
        • 2.成本管理计划
        • 3.进度管理计划
        • 4.质量管理计划
        • 5.人力资源管理计划
        • 6.范围基准
        • 7.活动成本估算和活动持续时间估算
        • 8.干系人登记册
        • 9.项目文件
          • 9.项目文件（项目章程、项目进度计划、进度网络图、问题日志、质量核对单、对识别风险有用的其他信息
        • 10.采购文件
        • 11.事业环境因素
        • 12.组织过程资产
      • 工具和技术
        • 1.文档审查
        • 2.信息收集技术（头脑风暴、德尔菲、访谈、根本原因识别）
        • 3.核对表分析
        • 4.假设分析
        • 5.图解技术（因果图、系统或过程流程图、影响图）
        • 6.SWOT分析
        • 7.专家判断　（１）
          • 基于某应用领域、知识领域、学科和行业等的专业知识而做出的，关于当前活动的合理判断。这些专业知识可来自具有专业学历、知识、技能、经验或培训经历的任何小组或个人 (也叫德尔菲法) (1)贯穿项目始终 (2)质量管理3过程没有
      • 输出
        • 1.风险登记册（已识别风险清单、潜在应对措施清单、风险根本原因、风险类别更新）
    • 4.风险识别技术。
      • （1）在具体识别风险时，需要综合利用一些专门技术和工具，以保证高效率地识别风险且不发生遗漏，这些方法包括：文档审查、信息收集技术（德尔菲技术、头脑风暴、访谈、根本原因识别）、核对表分析、假设分析、SWOT 技术、专家判断和图解技术（因果图、系统或过程流程图、影响图）等。
      • （2）SWOT 分析：SWOT 技术从项目的每个优势（Strength）、劣势（Weakness）、机会（Opportunity）和威胁（Threat）出发，对项目进行考察，把产生于内部的风险都包括在内，从而更全面地考虑风险。
    • 【补充知识点】
      • 1．风险识别的特点：①全员性；②系统性；③动态性；④信息依赖性；⑤综合性。
      • 2．风险识别是一项反复过程。随着项目生命周期的推进，新风险可能会不断出现。
  • 36、实施定性风险分析
    • 评估并综合分析风险的发生概率和影响，对风险进行优先排序，从而为后续分析或行动提供基础
    • 输入、输出、工具
      • 输入
        • 1.风险管理计划
        • 2.范围基准
        • 3.风险登记册
        • 4.事业环境因素
        • 5.组织过程资产
      • 工具和技术
        • 1.风险概率与影响评估
        • 2.概率与影响矩阵
        • 3.风险数据资质量评估
        • 4.风险分类
        • 5.风险紧迫性评估
        • 6.专家判断　（１）
          • 基于某应用领域、知识领域、学科和行业等的专业知识而做出的，关于当前活动的合理判断。这些专业知识可来自具有专业学历、知识、技能、经验或培训经历的任何小组或个人 (也叫德尔菲法) (1)贯穿项目始终 (2)质量管理3过程没有
      • 输出
        • 1.项目文件更新
          • 1.项目文件更新 （1）风险登记册（ 1）项目风险的相对排序或优先级清单 2）按照类别分类的风险 3）需要在近期采取应对措施的风险清单 4）需要进一步分析与应对的风险清单 5）低优先级分析结果的趋势 6）假设条件日志） （2）假设条件日志
    • 1.风险定性和定量分析依据。
      • （1）风险定性分析包括对已识别风险进行优先级排序，以便采取进一步措施，如进行风险量化分析或风险应对。
      • （2）风险数据质量评估：定性风险分析要具有可信度，就要求使用准确无偏颇的数据。 风险数据质量分析就是评估有关风险的数据对风险管理有用程度的一种技术。 它包括检查人们对风险的理解程度以及风险数据的精确性、质量、可靠性和完整性。
      • （3）风险紧迫性评估：需要近期采取应对措施的风险可被视为亟需解决的风险。 实施风险应对措施所需的吋间、风险征兆、警告和风险等级等都可作为确定风险优先级或紧迫性的指标。
      • （4）预期货币价值分析（EMV）。预期货币价值分析是一个统计概念，用以计算在将来某种情况发生或不发生情况下的平均结果（即不确定状态下的分析）。
      • （5）敏感性分析：敏感性分析有助于确定哪些风险对项目具有最大的潜在影响。
      • （6）风险定性和定量分析依据如表 11-4 所示。 
    • 2.风险的概率和影响矩阵。
      • 根据风险可能对实现项目目标产生的潜在影响，进行风险优先排序。风险优先排序的典型方法是借用对照表或概率和影响矩阵形式。 通常由组织界定哪些风险概率和影响组合具有较高、中等或较低的重要性，据此可确定相应风险应对规划。可以在风险管理规划过程中进行审查并根据具体项目进行调整。 概率和影响矩阵如图 11-5 所示，图中展示的概率为“威胁”的矩阵，如果概率为“机会” 矩阵，则此图向右翻转。 
        • 
    • 3.风险定性和定量分析的成果。
      • 风险定性分析的成果包括项目文件更新（风险登记册、假设条件日志）。 风险定量分析的成果包括风险登记册更新（项目概率分析、实现成本和时间目标的概率、量化风险优先级清单、定量风险分析结果趋势）。
  • 37、实施定量风险分析
    • 就己识别风险对项目整体目标的影响进行定量分折
    • 4．决策树相关知识。
      • （1）决策树分析法是指借助树型分析图，根据各种类型风险出现的概率及预期损益，计算与比较各方案的损益期望值，从而抉择最优方案的方法。
      • （2）决策树的构成有四个要素：决策结点、方案枝、状态结点和概率枝。典型的决策树如图11-6 所示。 
        • 
      • （3）决策树法的决策程序如下：
        • 1）绘制树状图，根据已知条件排列出各个方案和每一方案的各种自然状态。
        • 2）将各状态概率及损益值标于概率枝上。
        • 3）计算各个方案期望值，并将其标于该方案对应的状态结点上。
        • 4）进行剪枝，比较各个方案的期望值并标于方案枝上。将期望值小的（即劣等方案）剪掉， 所剩的最后方案为最佳方案。
    • 输入、输出、工具
      • 输入
        • 1.风险管理计划
        • 2.项目成本管理计划
        • 3.项目进度管理计划
        • 4.事业环境因素(风险专家对类似项目的行业研究、行业或渠道获得的风险数据库
        • 5.组织过程资产
      • 工具和技术
        • 1.数据收集和表示技术（访谈、概率分布）
        • 2.定量风险分析和模型技术（敏感性分析、预期货币价值分析、决策树分析、模型和模拟）
        • 3.专家判断　（１）
          • 基于某应用领域、知识领域、学科和行业等的专业知识而做出的，关于当前活动的合理判断。这些专业知识可来自具有专业学历、知识、技能、经验或培训经历的任何小组或个人 (也叫德尔菲法) (1)贯穿项目始终 (2)质量管理3过程没有
      • 输出
        • 1.项目文件更新
          • 1.项目文件更新（ 风险登记册：项目的概率分析；实现成本和时间目标的概率；量化风险优先级清单；定量分析结果的趋势）
  • 38、规划风险应对
    • 针对项目目标，制定提高机会、降低威胁的方案和措施
    • 输入、输出、工具
      • 输入
        • 1.风险管理计划
        • 2.风险登记册
      • 工具和技术
        • 1.消极风险或威胁的应对策略
          • 1.消极风险或威胁的应对策略（回避：改变项目计划以排除风险、转移：转移给第三方、减轻：降低至临界值、接受：不采取任何措施除非真的发生再去处理）
        • 2.积极风险或机会的应对策略（开拓、分享、提高）
        • 3.应急应对措施
        • 4.专家判断　（１）
          • 基于某应用领域、知识领域、学科和行业等的专业知识而做出的，关于当前活动的合理判断。这些专业知识可来自具有专业学历、知识、技能、经验或培训经历的任何小组或个人 (也叫德尔菲法) (1)贯穿项目始终 (2)质量管理3过程没有
      • 输出
        • 1.项目管理计划更新（进度、成本、质量、采购、人力资源等管理子计划；范围基准，进度基准，成本基准）
        • 2.项目文件更新（风险登记册、假设条件日志、技术文件、变更请求）
    • 1.风险应对和控制的依据。
      • （1）规划风险应对指为项目目标增加实现机会、减少失败威胁而制定方案，决定应采取对策的过程。
      • （2）规划风险应对过程在定性风险分析和定量风险分析之后进行，包括确认和指派相关个人或多人，对已得到认可并有资金支持的风险应对措施担负起职责。
      • （3）控制风险过程所使用的技术包括交差和趋势分析，要求使用项目实施过程中生成的绩效数据。
      • （4）风险应对和控制的依据如表 11-5 所示。 
        • 
    • 2.风险应对和监控的工具与技术。
      • （1）消极风险或威胁的应对策略：回避、转嫁、减轻与接受。
      • （2）积极风险或机会的应对策略：开拓、分享或提高与接受。
      • （3）风险再评估：对新风险进行识别并对风险进行重新评估。应安排定期进行项目风险再评估。
      • （4）风险审计：检查并记录风险应对措施在处理已识别风险及其根源方面的有效性，以及风险管理过程的有效性。
      • （5）风险应对和监控的工具与技术如表 11-6 所示。 
        • 
    • 3．风险应对和控制的成果。
      • （1）规划风险应对的成果包括：项目管理计划更新和项目文件更新。
      • （2）控制风险成功则包括：工作绩效信息、变更请求、项目管理计划更新、项目文件更新和组织过程资产更新。
  • 39、控制风险
    • 在整个项目中，实施风险应对计划、跟踪己识别风险、 监测残余风险、识别新风险和评估风险过程有效性
    • 输入
      • 1.项目管理计划
      • 2.风险登记册
      • 3.工作绩效数据
      • 4.工作绩效报告（偏差分析、挣值数据和预测数据有助于控制与绩效有关的风险）
    • 工具和技术
      • 1.风险再评估
      • 2.风险审计（风险应对措施的有效性检查）
      • 3.偏差和趋势分析
      • 4.技术绩效测量
      • 5.储备分析
      • 6.会议 (4)
        • 会议通常可分为下列三类： 交换信息； 头脑风暴、方案评估或方案设计； 制定决策。
    • 输出
      • 1.工作绩效信息
      • 2.变更请求（推荐的纠正措施、推荐的预防措施）
      • 3.项目管理计划更新
      • 4.项目文件更新（风险登记册：风险再评估、风险审计和风险定期审核的结果；风险结果和应对策略的结果）
• 【补充知识点】
  • 1.风险应对计划的主要内容。
    • （1）需要应对的风险清单。
    • （2）形成一致意见的应对措施。
    • （3）实施所选应对策略采取的具体行动。
    • （4）明确风险管理人和分配给他们的责任。
    • （5）风险发生的征兆和预警信号。
    • （6）实施所选应对策略需要的预算和进度计划活动。
    • （7）设计好要准备的符合有关当事人风险承受度的用在不可预见事件上的预留时间和费用。
    • （8）应急方案和要求实施方案的引发因素。
    • （9）要使用的退出计划，它作为对某个已经发生并且原来的应对策略已被证明不当的风险的一种反应。
    • （10）对于特定的风险，如果它们可能发生，为了规定各方的责任，可以准备用于保险、服务或其他相应事项的合同。
  • 2.权变措施：就是随机应变，出现了事先没有计划好的事情时，临场处理。