11.1 概述
11.1.1 风险管理的必要性
项目是独特的一次性事业，必然存在风险。项目经理必须积极主动地开展项目风险管理，而不只是消极被动的去应对发生的风险。积极主动，意味着事先就认真预计可能发生的风险，分析这些风险的可能性和万一发生的后果，并制定和执行相应的风险应对策略和措施。
项目经理应该知道，项目中的大多数风险（甚至90%的风险）都可以预测和管理。
11.1.2 风险的定义
有两个层面的风险，即整体项目风险，，单个项目风险。整体项目风险是项目的全部不确定性来源可能对项目的综合影响。综合影响既可以是项目目标的正向变异（如提前完工）也可以是项目目标的负向变异（如推迟完工）。单个项目风险是一旦发生，会对项目目标产生积极或消极影响的不确定性事件。有积极影响，是机会；有消极影响的，是威胁。
风险即包括威胁，也包括机会。对“风险”这个词，必须根据上下文判断其真实内涵。
整体项目风险是已经识别出来的所有单个项目风险，加未识别出来的全部其他不切的性来源。
“风险”这个词，前面没有任何修饰语，通常指单个项目风险，除非上下文另有要求。
风险总是与不确定性联系在一起的，既可能发生，也可能不发生。风险总是与目标联系在一起的。如果发生，会对项目范围，进度，成和质量的任何一个方面有积极或消极影响。如果是没有影响，，就不是项目风险，而只是一个纯粹的不确定性事件。
11.1.3 管理整体项目风险和单个项目风险
只有先管理好整体项目风险，管理单个项目风险才有意义。
在进行项目设计，确定项目范围和其他目标时，就必须考虑与此有关的整体项目风险。只有整体项目风险处于合理程度的项目，才应该被正式启动。
整体项目风险的大小，也取决于事业环境因素和组织过程资产。
只有把整体项目风险控制在可接受的区间内，管理单个项目风险才有意义。
11.1.4 风险的四要素
风险会涉及事件，原因，后果和可能性。这四者合在一起，可称为风险的四要素。
把绝对不可控变成相对可控。
在上述风险四要素中，原因又是由风险起因和风险条件联合构成的。风险起因是某个或某些风险得以存在的“土壤”。风险条件则是引发风险事件的“催化剂”。
在上述风险的四要素中，可能性和后果联合决定了风险敞口（Risk Exposure）。如果把可能性和后果都量化，那么两者的乘积就是风险敞口。风险敞口越大，风险就越严重。
11.1.5 风险类别
可以用不同的标准，把项目风险分成不同的类别，以便有效的管理。可以用风险分解结构来展示风险的类别，为进一步识别风险提供基础。常见的风险类别：
- 按专业分：技术风险，组织风险，管理风险，财务风险
- 按内外分：内部风险，外部风险。
- 按与经营者的关系分：经营风险，纯风险。
- 按已知程度分：已知风险，未知风险。
未知未知风险通常无法预防，只能通过提高项目韧性来减轻万一发生的后果。提高项目韧性的办法包括：在预算中预留足够的管理储备，采用能够灵活变通的项目管理过程，赋予项目团队灵活应变的权利和能力，在项目范围中留出应变的余地。
在编制项目预算时，应该把已知已知风险可能造成的损失直接列入项目“直接成本”，把已知未知风险可能造成的损失列入“应急储备”，把未知未知风险可能造成的损失列入“管理储备”。
对已知已知风险，必须加以利用。对已知未知的风险，必须加以管理，以便降低威胁。对于未知未知的风险，只能听之任之，待实际发生后再来处理。
11.1.6 风险态度，偏好，承受力和临界值
风险态度，风险偏好，风险承受力和风险临界值这四个词，既有联系又有区别。
风险态度是指个人或组织认为自己应该冒多大的风险。
风险承受力是指个人或组织能承受的最高风险程度。如果实际风险水平超出风险承受力，个人或组织就会破产。
风险临界值是必须采取措施的起点，风险偏好是愿意冒的风险程度，风险承受力是能够承受的最大风险。通常，风险临界值最低，风险偏好中间，风险承受力最高。
11.2 各过程的输入输出
11.2.1· 概述
项目风险管理的实现过程包括规划风险管理，识别风险，实施定性风险分析，实施定量风险分析，规划风险应对，实施风险应对和监督风险。
11.2.2 规划风险管理
编制风险管理计划。
11.2.3 识别风险
因为项目方方面面都存在可能影响项目目标的不确定性事件，所以识别风险过程的输入其实是非常多。识别出来的风险及其特性，都应写入风险登记册，并汇编进风险报告。
对于外包出去的工作，协议和采购文档有助于识别与采购有关的风险。
尽可能多的相关方参与识别风险，尽可能全面的识别出项目风险。
11.2.4 实施确定性风险分析
对前一个过程得到的风险登记册中的所有风险都进行定性分析。定性分析的结果，应该写入风险登记册。更新后的风险登记册和风险报告都属于项目文件更新。
11.2.5 实施定量风险分析
对前一个过程得到的风险登记册中的某些风险进行定量分析，然后根据结果以及其他信息，对整体项目风险进行定量分析。定量分析结果应该汇编进风险报告。
11.2.6 规划风险应对
制定风险应对策略和措施。应对策略和措施，必须与资源管理计划中用于应对风险的资源相对应，必须与成本基准中用于风险应对的资金相对应。
规划风险应对过程的结果，应该记入风险登记册和风险报告。
11.2.7 实施风险应对
风险责任人负责执行单个项目风险应对策略和措施，项目经理执行整体项目风险应对策略和措施。
11.2.8 监督风险
风险责任人监督单个项目风险的应对侧率和措施的实施情况，项目经理监督整体项目风险的应对策略和措施的实施情况。
后六个过程的最主要的输入是项目管理计划中的风险管理计划，以及前一个过程所得到的风险登记册和风险报告，最主要的输出则是完整程度不等的风险登记册和风险报告。
11.3 各过程的主要工作和成果
11.3.1 规划风险管理
本过程旨在对将来的风险管理工作做出安排，包括如何识别风险，如何进行风险分析，如何制定应对策略和措施，如何实施风险应对计划以及如何监控风险。
本过程要回答的问题是：本项目的风险管理将要怎么做，做到什么程度？将要采用什么风险管理做法，不仅取决于项目的复杂程度及规模大小，而且取决于主要相关方需求。
主要相关方都哟啊参与风险管理计划的编制工作。
风险管理计划应该包括如下主要内容：
- 风险管理策略。
- 方法论。
- 角色职责安排。
- 预算和时间安排。
- 风险类别。
- 主要相关方的风险偏好。
- 风险概率和影响定义。
- 概率和影响矩阵
- 报告格式。
- 风险管理追踪。
11.3.2 识别风险
识别整体项目风险的各种来源，并识别项目面临的各种单个项目风险。
识别整体项目风险的来源，主要在项目启动阶段开展，而在规划阶和执行阶段只需要注意整体项目风险的来源的变化情况。整体项目风险的情况应该写入风险报告。识别单个项目风险，主要在项目规划阶段开展，也需要在项目其他阶段开展。
识别出来的全部单个风险都需要写入风险登记册。全部单个项目风险的概述情况应该写入风险报告。
通常，风险登记册仅供项目团队内部使用，而风险报告则是应该报送给主要相关方。
在启动项目时就应该搞清楚整体项目风险的情况，并记进项目章程。项目进入规划阶段后，还需要用风险报告进一步说明整体项目风险的情况。风险登记册只用于记录单个项目风险的情况。
11.3.3 实施定性风险分析
本过程是对所有已识别的单个项目风险进行主观定性分析，评估其可能性，后果和其他情况，并据此进行风险排序，决定哪些风险需要进一步定量分析，哪些风险可以直接进行风险应对规划，哪些只需要列入观察清单。
即便使用一些数字，是要是主观分析，依然是定性分析。所以，不能以是否用到数字来判断是定量还是定性。
每个单个项目风险的责任人，在识别风险过程总预选，在定性分析过程中正式指定。
虽然没有明确指定本过程需要对整体项目做定性分析，但是这种分析事实上需要做的。
11.3.4 实施定量风险分析
本过程需要做两件事。一是对被定性分析确认为严重且可量化的单个项目风险做客观的定量分析。而是以这些定量分析的结果和全部其他不确定性的情况作为输入的数据，对整体项目风险进行定量分析，并据此确定整个项目所需的应急储备。
对所有项目以及已识别的全部单个项目风险，都要进行定性分析，但不是都要进行定量分析。
定量分析的结果主要包括：
- 单个项目风险的量化排序。
- 整体项目风险的情况。
- 风险的发展趋势。
- 风险应对建议。
实施定性风险分析过程的落脚点是单个项目风险，实施定量风险分析的落脚点则是整体项目风险。
11.3.5 规划风险应对
本过程旨在根据定性分析与定量分析的结果，考虑项目相关方的风险态度，风险偏好，风险承受力和风险临界值，制定整体项目风险的应对策略和措施，以及单个项目风险的应对策略和措施。
规划风险应对过程的结果，需要写入风险登记册和风险报告，从而导致两份项目文件的更新。风险登记册更新的主要内容包括：
- 商定的单个项目风险应对策略和措施。
- 采取措施的资源，时间。
- 风险触发因素。
- 针对高优先级的应急预案。
- 与应急预案配套的弹回计划。
- 此生风险。
- 残余风险。
- 针对整体项目风险的应对策略和措施。
- 针对高优先级单个项目风险的应对措施概述。
应该定期或者不定期对风险应对策略和措施进行审查和更新，以确保有效性。
11.3.6 实施风险应对
11.3.7 监督风险
在本过程中，监督整体项目风险和单个项目风险的应对策略和措施的实施情况，跟踪整体项目风险和已识别的单个项目风险的变化，监测残余风险，识别和分析新风险，并评价风险管理的有效性，提出变更请求。
风险登记册和风险报告的内容都要通过各个风险管理过程来不断更新和逐渐完善。
11.4 各过程的工具与技术
11.4.1 规划风险管理
数据分析，会议，专家判断。
11.4.2 识别风险
头脑风暴，核对单，访谈，数据收集。文件分析，SWOT分析。
应该尽可能的用多种多样的方法去识别风险，并邀请众多的相关方参与风险识别。
11.4.3 实施定性风险分析
专家判断，会议，人际关系与团队技能。
虽然概率和影响矩阵通常是由数字构成，但却是实施定性风险分析过程的工具。
11.4.4 实施定量风险分析
专家判断，引导。
最常用的模拟技术是蒙特卡洛模拟。即在电脑上模拟项目实施成千上万次，看有多少次是在多少天多少成本之内完成的。
敏感性分析。
决策树分析。
11.4.5 规划风险应对
专家判断，访谈。引导。
针对威胁，可以采取5种应对策略：
- 上报。
- 规避。
- 减轻。
- 转移。
- 接受。
对于整个项目的应急储备，如果没有任何可靠的依据，就按项目总成本的10%计算。这是一个经验式规则。
针对机会，也可以采取5种应对策略：
- 上报。
- 开拓。
- 分享。
- 提高。
- 接受。
实际工作中，威胁，机会和整体项目风险的应对策略并不能截然分开，往往是交叉在一起的。
11.4.6 实施风险应对
11.4.7 监督风险
11.5 疑难问题解答
-
专门开展的新风险识别工作，如定期召开风险识别会议，那是识别风险过程的工作。在监督风险过程中，则是附带开展识别新风险的工作。
-
龙卷风图。
-
应急管理计划是事先制定的风险应急计划，以便在风险发生或出现某种规定情况时采用，是风险的主应急计划。弹回计划是为风险制定的备用应急计划，以便在主应急计划不起作用时启用。而权变措施是针对已经发生的坏风险而紧急采取的，原来未计划过的应急措施。采用权变措施，属于纠偏，也要先经过实施整体变更控制过程的中和评估和审批。当然，由于情况紧急，这种评估和审批必须很快完成。
