第13章 · 播客 第5集
开发管理 · 风险管理：概率乘影响与四种应对
🎙️ 本集播客：第5集：全章最重的一集。风险的三个组成部分与四种类型、风险管理六过程、风险识别的方法与各阶段风险、风险分析三概念——风险得失值、风险概率、风险值（风险曝光度）带 25% 乘 4 周的算例、PMBOK 规避转移减轻接受四策略逐个辨析、应对计划与「前 10 个风险列表」监控工具。练习题第 8、9、10 题全部落在本集。 语音由微软 Edge 神经网络语音预生成（女声·晓伊，男声·云希）。点击下方任意对话可直接从该句开始播，当前句朗读时下一句已预先加载，无缝衔接。
明
阿明
师姐，风险管理这章的重头戏。先问一句：为什么 IT 项目非管风险不可？
雅
小雅
原文的逻辑链：一个 IT 项目，无论其规模大小，必然会为被实施方在管理、业务经营等多方面带来变革，这就使 IT 项目必然具有高风险性的特点；另一方面夭折、中断、失败的项目也不在少数。因此有效地管理风险、控制风险，已经成为项目实施成功的必要条件。注意定性词「必然」，这是原文原话，判断题算对。
雅
小雅
而且风险的管理不仅贯穿于整个项目过程，在项目事件发生之前风险的分析就已经开始。根据风险控制与项目事件发生的时间，风险管理划分为三个部分：事前控制——风险管理规划，事中控制——风险管理方法，事后控制——风险管理报告。事前、事中、事后对应规划、方法、报告，这是填空题写法。
明
阿明
PMBOK 里风险管理的正式定义呢？
雅
小雅
根据 PMBOK 2000 版的定义：风险管理指对项目风险进行识别、分析、并采取应对措施的系统过程。它包括尽量扩大有利于项目目标事项发生的概率与后果，尽量减小不利于项目目标事项发生的概率与后果——扩大有利、减小不利。
雅
小雅
项目风险按是否有可确定性划分为：已知风险、可预知风险、不可预知风险。按风险管理的内容划分四种类型：第一，内部技术风险——技术变化和创新是项目风险的重要来源之一，许多新技术未经证实或并未被充分掌握，则会影响项目的成功。第二，内部非技术风险——包括战略风险、管理风险、与范围变更有关的风险、质量风险、进度风险、成本风险：没有在预算的时间范围内完成任务是进度风险，没有在预算的成本范围内完成任务是成本风险。
雅
小雅
第三，外部法律风险——包括与项目相关的规章或标准的变化，如许可权、专利、合同失效、诉讼等。第四，外部非法律风险——主要指项目的政治、社会影响、经济环境的变化，如公司并购、政府干预、货币变动、通货膨胀、税收、自然灾害等。配对记：内部技术、内部非技术、外部法律、外部非法律，四个象限。「货币变动」属于外部非法律风险不是法律风险，这种归置最容易设陷阱。
明
阿明
那风险管理的过程一共几步？
雅
小雅
项目风险管理的主要过程包括六个：风险管理规划，决定如何指导和规划项目的风险管理活动；项目风险识别，找到哪些风险可能影响项目，并记录其特征；定性风险分析，按其对项目目标的影响进行排序；定量风险分析，度量风险的可能性和后果；风险应对计划，创建过程和技术来增进机会、减小威胁；风险监督与控制，监视现存风险、识别新风险、执行缓解计划并评估效果。原文补一句：一般来说，每个过程在项目中至少出现一次。
明
阿明
定性和定量分析这俩怎么区分？
雅
小雅
抓手在动词：定性是「排序」——按风险对项目目标的影响排出先后；定量是「度量」——算出可能性和后果的具体数值。后面讲的风险值计算就属于定量那一路。此外原文说定性风险分析是决定具体风险的重要性并指导做出相关反应的一种方法，与风险相关的动作的时间相关性可能使风险的重要性加大。
明
阿明
风险识别呢，什么时候做、怎么做？
雅
小雅
在项目开始、每个项目阶段中间、主要范围变更批准之前都要进行风险识别，实际上它在整个项目生命周期内都是一个连续的过程。软件企业在人力资源管理中也存在风险，如招聘失败、新政策引起员工不满、技术骨干突然离职等。风险识别的有效方法有很多：建立风险项目检查表、因果分析图、采访各种项目干系人等。收集、整理项目可能的风险并充分征求各方意见就形成项目的风险列表。
雅
小雅
原文还按开发阶段铺了风险分布，拿走背：初始阶段主要进行大部分需求分析、小部分设计；设计阶段主要进行大部分设计、小部分编码；实施阶段进行大部分编码和测试，也涉及小部分设计；收尾阶段完成安装及维护。四个阶段、四个「大部分」，判断题爱把阶段和任务错配。
明
阿明
到计算了。风险分析那三个概念，逐个来。
雅
小雅
风险分析的目的，是确定每个风险对项目的影响大小，一般是对已经识别出来的项目风险进行量化估计。三个概念。第一，风险得失值：指一旦风险发生可能对项目造成的影响大小，说明可能造成的损失；如果损失的大小不容易直接估计，可以将损失分解为更小部分再评估它们；风险得失值可用相对数值表示，建议将损失大小折算成对计划影响的时间表示。
雅
小雅
第二，风险概率：是风险发生可能性的百分比表示，是一种主观判断。第三，风险值：又叫风险曝光度或风险暴露，它是评估风险的重要参数，风险值等于「风险概率」乘以「风险影响」。练习题第 8 题就考这个公式，四个选项是相加、相乘、相减、相除，答案是乘——风险概率乘风险影响。加号是最多人选的错项，你要记得它叫曝光度，是两件事叠在一起的面积，乘出来的。
明
阿明
乘出来是什么量纲？原文的例题算一遍。
雅
小雅
念给你听：某一风险概率是 25%，一旦发生会导致项目计划延长 4 周。因而，风险值等于 25% 乘以 4 周，等于 1 周。演算过程：零点二五乘以四，得一，单位跟着被乘数走，所以是 1 周。这个「1 周」的含义是——考虑概率折算后，这个风险平均会给项目拖一周。数字都不难，坑就在有人拿加法算：25% 加 4 周根本不是同一个量纲，加不出 1 周，所以公式只能是乘。
明
阿明
概率乘影响，得 1 周。分析完就该应对了吧？
雅
小雅
对。完成了风险分析后，就已经确定了项目中存在的风险及它们发生的可能性和对项目的风险冲击，并可排出风险的优先级。此后就可以根据风险性质和项目对风险的承受能力制订相应的防范计划，即风险应对。制订风险应对策略主要考虑 4 个方面的因素：可规避性、可转移性、可缓解性、可接受性。风险的应对策略在某种程度上决定了采用什么样的项目开发方案，对于应「规避」或「转嫁」的风险在项目策略与计划时必须加以考虑。
雅
小雅
然后是本集最重要的定性句：项目中的风险永远不能全部消除，PMBOK 2012 版提到 4 种应对方法——规避、转移、减轻、接受。就这四个词，练习题第 9 题问「不属于四种基本应对策略的是」，选项放规避、转移、忽略、接受，答案是「忽略」——听起来跟接受很像，但原文没有这个词；风险可以接受，不存在「忽略」。
明
阿明
四种方法各自怎么定义？「规避」是不是等于消灭所有风险？
雅
小雅
不是，先记边界：虽然项目永远不可能排除所有的风险事件，但某些具体风险则是可以规避的。规避风险指改变项目计划，以排除风险或条件，或者保护项目目标，使其不受影响。出现于项目早期的某些风险事件可以通过澄清要求、取得信息、改善沟通，或获取技术专长而获得解决。原文举了「如何避免客户不满意」的例子：一种情况是没有双方互相认可的客户验收标准，另一种是开发方没有满足用户需求。做好这几个环节就完全可以避免：业务建模阶段要让客户参与；需求阶段要多和客户沟通；DEMO 系统要向客户演示并得到反馈；要有双方认可的验收方案和验收标准；做好变更控制和配置管理。
雅
小雅
转移，指设法将风险的后果连同应对的责任转移到第三方身上。转移风险实际只是把风险管理责任推给另一方，而并非将其排除。该方法基本上需要向承担风险者支付风险费用，它包括利用保险、履约保证书、担保书和保证书。可以利用合同将具体风险的责任转嫁给另一方——如果项目的设计是稳定的，可以用固定总价合同把风险转嫁给卖方。考点抓手：看到「保险」「合同」「第三方」这些词，选转移。
雅
小雅
减轻，通过降低风险事件发生的概率或得失量来减轻对项目的影响，提前采取行动比在风险发生后亡羊补牢地进行补救要有效得多。减轻风险的成本应估算得当，要与风险发生的概率及其后果相称。项目预算中考虑应急储备金是另一种降低风险影响的方法。原文例子：发现项目组的程序员对所需开发技术不熟，可以采用熟悉的技术来减轻项目在成本或进度方面的影响，也可以事先进行培训来减轻对项目的影响。
雅
小雅
接受，接受风险造成的后果。采取此项技术表明项目团队已经决定不为处置某项风险而改变项目计划，或者表明他们无法找到任何其他应对良策。主动地接受风险包括制定一套万一发生风险时所准备实施的应变计划——原文例子：为了避免自然灾害造成的后果，在一个大的软件项目中考虑了异地备份中心。
明
阿明
四种策略各自的抓手词总结一下？
雅
小雅
四句配对：改计划排除风险是规避；保险合同推给第三方是转移；降概率降损失、提前培训是减轻；不改计划、准备应变方案和储备是接受。出题人爱交叉污染——比如说「购买保险属于减轻」，错，保险是转移；「培训属于接受」，错，培训是减轻。把动作词和策略词钉死。
明
阿明
那风险应对计划里都写什么？
雅
小雅
确定风险的应对策略后就可编制风险应对计划，它主要包括：已识别的风险及其描述、风险发生的概率、风险应对的责任人、风险对应策略及行动计划、应急计划等。应对计划常应用于项目进行期间发生的已识别风险，事先制订应变计划可大大降低风险发生时采取行动的成本。风险触发因素，例如缺失的中间里程碑，应确定其定义并进行跟踪；如果风险的影响甚大，或所选对策不见得有效时，就应制订后备权变计划，可包括留出一笔应急款项、制定其他备用方案、或者改变项目范围。最常见的接受风险的应对措施是预留应急储备，包括为已知风险留出时间、资金、或者资源。
雅
小雅
原文还有个完整例子：某开发人员有可能离职，离职后会对项目造成影响，应对计划这样开发——进行调研确定流动原因；在项目开始前把缓解这些流动原因的工作列入风险管理计划；项目开始时作好一旦人员离开时便可执行的计划；制定文档标准并保证文档及时产生；对所有工作进行细微详审；对每个关键性技术人员培养后备人员。当然该应对计划需要花费一定的成本，在考虑风险成本之后，决定是否采用上述策略。
明
阿明
最后一块，风险监控。练习题第 10 题考的那个「最有效工具」。
雅
小雅
先立框架再报答案。制定了风险应对计划后，风险并非不存在，在项目推进过程中还可能会增大或者衰退，因此需要时刻监督风险的发展与变化情况，并确定随着某些风险的消失而带来的新的风险。风险监控包括两个层面的工作：其一，跟踪已识别风险的发展变化情况，衡量风险减缓计划需求；其二，根据风险的变化情况及时调整风险应对计划，对已发生的风险及其遗留风险和新增风险及时识别、分析并应对；已解决的风险也应及时从风险监控列表调整出去。
雅
小雅
然后是原话：最有效的风险监控工具之一就是「前 10 个风险列表」，它是一种简便易行的风险监控活动，是按「风险值」大小将项目的前 10 个风险作为控制对象，密切监控项目的前 10 个风险；每次风险检查后，形成新的「前 10 个风险列表」。练习题第 10 题四个选项是甘特图、鱼骨图、思维导图、前 10 个风险列表，答案最后一个。干扰项的逻辑你要看穿：甘特图是进度工具、鱼骨图是因果分析工具，都跟「按风险值排序监控」无关。
明
阿明
按风险值大小取前十，每次检查更新。这集收尾吧。
雅
小雅
本集必背：事前规划、事中方法、事后报告；PMBOK 2000 版定义识别、分析、应对；已知、可预知、不可预知三分，内部技术、内部非技术、外部法律、外部非法律四类；六过程——规划、识别、定性、定量、应对计划、监督控制，每个过程至少出现一次。风险三概念：风险得失值、风险概率是主观判断、风险值又称风险曝光度等于概率乘影响，25% 乘 4 周等于 1 周。应对策略四选一：规避改计划、转移靠第三方和保险合同、减轻降概率降损失、接受备应变和储备，「忽略」不是策略。应对计划含责任人；监控最强工具是前 10 个风险列表。
明
阿明
公式和四策略这回焊死了。下一集讲什么？
雅
小雅
下一集讲人力资源管理与软件运行评价——组织规划三种方案、项目经理六能力、团队建设四阶段「形成、震荡、正规、表现」，练习题第 11 题的答案就在其中。