(风险管理)项目风险管理机制研究

（风险管理）项目风险管理

机制研究

华南理工大学学生研究计划结题报告

IT项目的风险管理机制研究

研究人员：林逸丰王晓星潘江浩王博航指导老师：宗其俊

完成时间：2006年12月

目录

第一章绪论 (4)

1.1 项目管理的定义 (4)

1.2 风险管理的内涵 (5)

1.3 研究对象 (7)

1.4 研究方法与路线 (8)

1.5 本章总结 (9)

第二章风险来源与处理机制 (11)

2.1 风险蕴藏机理 (11)

2.2 风险识别机制 (14)

2.2.1因果识别方法 (14)

2.2.2 思维导图识别方法 (15)

2.2.3 头脑风暴识别法 (17)

2.3 风险分析机制 (18)

2.3.1 定性分析 (18)

2.3.2 定量风险分析 (20)

2.4 风险处理机制 (21)

2.4.1 风险应对计划 (21)

2.4.2 全面风险管理（TFM） (23)

2.5 本章总结 (25)

第三章TFM流程化风险控制 (26)

3.1 风险流程化追溯模型 (26)

3.2 开始阶段的风险控制 (27)

3.3 计划阶段的风险控制 (35)

3.4 执行控制阶段的风险控制 (68)

3.5 收尾阶段的风险控制 (98)

3.6 本章总结 (110)

致谢 (111)

参考资料 (112)

附件 (113)

第一章绪论

1.1 项目管理的定义

在PMBOK（美国版的项目管理指南）中认为项目是为提供某项独特产品、服务或成果而进行的临时性努力；PMI（欧洲版项目管理指南）中认为项目是一项有待完成的专门任务，是在一定的组织机构内，在限定的资源条件下，在计划的时间里，按满足一定性能、质量与数量的要求去完成的一次性任务；在齐善鸿编写的项目管理丛书中认为项目是为创造特定产品和服务而进行的一项有时间限制的任务。

无论项目是如何表达，在以上三个定义中都说明项目具有几个典型的特征，分别是：

1．有一个明确的目标：一个期望的产品或成果国。

2．项目都表现为临时性的，有开始和结束时间。

3．需要使用各种资料来执行项目。

4．独一无二的，没有完全重复的两个项目。

5．包含不确定性。

6．有特定的客户。

项目管理的定义在不同的项目管理知识体系中都具有相对统一的定义，本文取其中一个定义：“在项目活动中运用专门的知识、技能、工具和技术，使项目能够实现或超过利益相关者的需要和期望”。事实上，项目管理与运营管的不同的关键在于他们管理的对象不同，项目管理的对象是项目，而运营管理的对象是一般的企业运营事务，管理对象具有明显的区别与特征，所以不能把项目管理当成一般的运营管理，否则项目的失败风险将非常高。由于项目管理的对象是项目，所以，项目管理必须围绕项目的6个特征来管理，在项目管理中必然会存在项目的生命周期管理，项目管理必然存在项目的管理主角，即项目经理。

所谓IT项目，取自于英文INFORMATION TECHNOLOGY PROJECT，IT

项目属于工程型项目，工程型项目的典型特征是具有规范的工程化管理与实施方法，非常强调流程化、阶段型的管理过程。IT项目，最为典型的是软件类工程项目，具有典型的生命周期特征，在项目的实施过程中也具有典型的工程化方法，而且成为一套独立的软件工程开发体系，即需求分析阶段，概要设计阶段，详细设计阶段，编码阶段，测试阶段，移交产品阶段。但是，IT项目同样具有一般项目的典型特征，IT项目的信息产品部分属于无形的产品，相对于建筑类的工程项目，IT类的项目不确定性更高，不可重复性更强。

1.2 风险管理的内涵

何谓风险？对于风险的定义有多种阐述，下面介绍几个风险的概念。风险是遭受损失的一种可能性。风险是有害后果发生的可能性，是对潜在的、未来可能发生损害的一种预期损失。风险是一个统计概念，用于描述在给定的时间和空间中消极事件和状态影响人或者事件的可能性。在项目管理中，对风险的定义主要关注风险发生的可能性以及发生后产生的后果，本文称为期望风险，采用R=f(P,C)表示，其中：

R风险、P不利事件发生的概率、C不利事件发生的后果

按不同的分类方法风险可以分为多种类型，如表1－1

表1－1 风险的分类

在项目管理中存在如此多的风险类型，该如何管理呢？从项目管理指南中给出建议，项目的风险管理是指项目管理组织对可能遇到的风险进行规划、识别、估计、评价、应对、监控的过程，是以科学的管理方法实现最大安全保障的实践活动的总称。

在风险管理中，首先要做的事情是识别风险，评估风险发生的可能性和发生后果，对风险进行分类，再采取措施预防风险的发生或应对发生采取回避危害的措施等。在风险管理中有两个很好的建议即1）如果你不主动识别风险，风险是不会主动跑到你的视野范围之内的；2）如果你不主动攻击风险，风险就会主动攻击你。

风险管理的基本模型如图1－1

图1－1 风险管理基本模型

这是一套基本的风险管理模型，侧重强调风险的过程管理，从建立恰当的机制，选择有效的识别方法，选择有效评估发生可能性方法，选择有效评估风险影响方法，建立预防措施，开发风险应对措施，确定紧迫性到确定风险的责任人形成一个闭环。风险解决了之后，如果不保持应对措施，或应对措施，环境发生改变，风险仍然可能再发生，所以，即使风险得到了很好的控制，也不能麻痹大意，条件一变，新的风险就诞生，风险的管理是一个不断更新，不断面对新风险，不断解决风险的不断循环过程。

风险的种类很多，在一个项目中有多种类型的风险存在，不同风险发生的概率相差很远，而且风险一旦发生后风险的损失也不相同，然而风险的概率发生没有一个固定的规律，风险发生的损失也不是一层不变的。风险本身就是一种不确定性，与风险有关的一切内容都存在着不确定，至于概率高与低，损失大与小，完全取决于企业对风险管理的深度如何。最差的风险管理属于事后处理型，最好的管理是积极预防并想颁发消灭根源型。以下是五种风险管理层次，如表1－2

表1－2 风险管理的层次

1.3 研究对象

本文从风险管理的角度出发，在研究对象上选择IT项目管理中存在的风险管理机制，侧重点在于风险管理机制。主要研究内容如下：

1）风险管理的蕴藏机制：重点阐述，风险管理中风险是如何蕴藏于项目中，如何把风险识别出来。在蕴藏机制中，还将就风险识别的一些技巧与方法做一些介绍。

2）风险的评估机制：风险识别出来后，如何评估风险发生的可能性与风险发生造成的损失大小。

3）建立风险控制机制：建立流程控制机制，控制风险的发生，在项目管理中通过不同类型的流程控制表来传到风险意识，降低风险发生的可能性。

4）风险发生后的处理机制：风险不可能完全解决，即使做了最好的措施，风险仍然可能发生，一旦发生后，风险的处理与应急机制将发挥决定性的作用。

1.4 研究方法与路线

当前，项目管理对大部分项目型企业而言已不再陌生，但是项目管理水平和项目管理知识尚处于一个比较低级的阶段，项目的风险管理机制在项目管理中很少作为一个系统机制来管理。在2005年10月通过IT项目管理俱乐部开展的一项针对当前IT企业的项目管理水平调研中发现大部分企业的项目管理只停留于时间管理和费用管理。该调研共发出250份问卷，有效回收180份，有效问卷170份，统计结果没有一家做到很好的风险管理，按照项目管理的目标（时间、范围和成本基本约束目标）执行项目又达到目标的项目很少，成功率不到30％。

针对当前企业缺乏对风险管理的经验，原本想通过对企业的风险管理经验的调查以获得经验性和统计性的数据结果，通过这一调查的结果表明这一条最传统最保险的研究路线已无法走通。

研究路线进一步的探索发现在咨询机构中却有很好的风险管理经验，在部分IT企业中项目的风险管理做的很好。本文的研究将主要围绕咨询机构和企业的管理经验展开，从中汲取有用的实践经验成就本文的研究内容。

为此，本文采取的研究方法是：

1、借鉴咨询公司咨询经验，作为本研究的方法与路线依据。

2、依托中国项目管理俱乐部、广州IT项目管理俱乐部以及部分项目型企业的调研结果应用到本项目的研究中。

3、通过对具有很好实践管理经验的IT企业进行案例式的研究。

具体的研究路线，本文总结如下图1－2：

图1－2 研究路线

1.5 本章总结

本章通过对项目管理以及项目风险管理的定义与内涵的研究，确定本研究的研究范围和研究路线、研究方法。

第二章风险来源与处理机制

2.1 风险蕴藏机理

按照风险的来源分为企业内部风险和企业外部风险，按照风险能否控制的来说，可以分为可控风险和不可控风险。企业内部风险一般来说可控性比较强，而企业外部风险可控性比较差。按照项目风险发生后的影响大小可分为一般风险，严重风险，关键风险。

企业外部风险：企业外部风险主要来自于影响项目成功的外部因素，尤其是客户方的主要利益相关者。例如客户方的高层，如果客户方的高层对项目持否定态度那么项目成功的可能性很小，或者是客户方的主要利益相关者在项目的利益处理上有明显的分歧和矛盾，项目能够顺利进展的可能性也很小。另外，如果项目存在第三方的监理也是项目的一个重要影响者，客户的态度在很大程度上受到监理方的意见左右，让监理方满意项目的过程管理与进展也是至关重要。第三，在一些国家部分限制性的项目中，即使项目执行的非常好，如果没有政府相关部门的批复都无法顺利移交的话，政府部门也是一个重要的风险因素，例如建筑工程类的项目，没有消防部门的验收项目不能移交给客户。

企业内部风险：企业内部风险可以归纳为企业思维层次的风险、企业组织结构层次的风险以及企业项目管理层次的风险。从影响面来说，企业思维层次和企业组织结构层次同属于相对宏观的风险，企业项目管理层次的风险属于细节管理的风险。

1、企业思维层次风险

1）企业思维层次属于企业战略范畴，反映的是高层领导者的意图。如果高层领导者对项目管理产生误解或认为可有可无的话，企业的项目管理是无法做好的。

2）企业思维层次的风险在导入项目项目管理体系前必须先行得到解决。如果企业思维通过各种方法都无法扭转到一个正确的思维上来，那么项目管理体系

的导入就可以宣告失败。

3）思维层次的风险可以通过一系列培训与案例来进行引导，在培训过程中，接受培训的是企业的高层领导，很难有足够多的时间接受长篇大论，所以，必须要精简培训内容。有时候，邀请相关的权威专家进行一次有针对性的彻头彻尾否定批评，例如围绕对方坚持的错误思维直接否定他，并给予非常严厉的批评，反而能取得更好的效果。

2、企业组织结构层次的风险

1）企业组织结构的状况直接反映出企业对项目管理的重视程度，如果企业组织结构属于典型的职能型结构则在现代的项目管理中难以发挥项目管理的绩效，企业组织结构往往成为制约项目管理绩效的一个重要因素。在对广州某公司的项目管理咨询中就发现这样的典型问题，企业的管理不是以项目为核心，仍然采用传统的管理方式。传统的方式在典型的项目管理型企业中，对项目经理的权力影响很大，项目经理不是一个完全责任的项目经理，那么项目经理的责任感就不强，非常容易造成项目的成本失控，质量失控的风险。

2）每个项目经理都希望做利润高项目级别高的项目，但是如果没有一套有效的组织管理机制，又如何选择成功的项目经理。

3）项目经理不是天生就能够成为优秀的项目经理，企业需要一套很好的项目经理培训与激励机制才能为企业的项目管理输送优秀的项目经理。

4）项目经理为了降低项目失败的风险，在资源要求方面，尤其是软件类项目，企业中优秀的员工是希缺资源，每个项目经理都希望拥有最好的人力资源搭配，如果没有一套制度规定项目级别对应人力资源的搭配，讨价还价能力强的项目将席卷所有优秀的人力资源，那么其他项目怎么办？

3、项目管理体系内的风险

项目管理体系内的风险主要存在于项目的过程管理中，例如在项目的开始阶段，是否制定出有效的初步范围说明书，项目的初始团队选择是否得力，项目经理的选择是否符合该项目，能否驾驭该项目？在项目的计划阶段，范围计划、进度计划、成本计划、质量计划、采购计划、沟通计划、人力资源计划以及风险计划等是否有严重的不足。在项目的执行阶段，是否按照计划进行严格控制，出现实际执行与基准计划发生偏离时，又该如何？过程中有没有有效的计划执行控制，反馈的信息是否及时准确？有没有及时对反馈的信息进行处理？在项目收尾

阶段，验收资料是否存在漏签情况？项目的相关测试或试运行评价如何？

项目管理风险总结可如下表2－1

表2－1 项目管理风险分类

在中国项目管理俱乐部的一项针对IT项目管理影响因素调查中得出以下十个主要影响因素和相应的权重。

表2－2 项目管理的十个成功要素

结合上文对项目管理的风险分类，可以总结出，影响项目成功的要素中，首先是内外部风险中高层管理的支持与否成为项目管理的首要风险因素，其次是外部风险中用户的积极参与，这点在软件类项目中表现尤为突出，在软件类项目中需求分析阶段工作尤其需要客户的积极参与。排在第三位的是项目开始阶段就需要非常明确的商务目标，清晰准确的商务目标为客户和项目组提供清晰的目标，而项目管理本身就是一个目标管理体系。排在第四位的是项目经理，筛选、培养、任命合格的项目经理占到12％的权重，有效的组织定位和组织制度显得很重要，项目管理的体系调研与设计中都要明确的认清项目管理组织管理存在的问题。排在第五位的是项目管理体系中范围管理的问题，范围的准确定义和范围的最小化构成项目管理体系设计的第五重要因素。

2.2 风险识别机制

如何从蕴藏于不同层次的风险识别出来需要一系列有效的风险识别方法，风险识别与企业的长期积累、项目经理的个人经验、采用的识别技术有很大的关系。

管理风险的第一步就是识别那些可能将风险带到项目计划中来的因素，项目经理很难识别出所有的风险因素，最重要的是要诚实地对待风险，一旦风险被识别，需要清楚地描述每个风险情况。

2.2.1因果识别方法

有果必有因，项目的风险结果一定由其他因素的发生导致风险结果的发生，所以，必须对导致风险结果发生的过程进行分解，根据需要分解到不同的层次。如果只是想定性的了解风险来源，分解的层次可以比较粗一些，如果想通过分解

后详细了解风险，并且能够实施风险控制措施，就需要进行详细的分解，一直分解到无法分解为止，最终分解出风险产生的源头。在风险控制中，关键也是要控制风险的源头，把风险的源头进行分类，评估各自发生的可能性和造成的损失大小。

因果识别方法具体执行过程：

1、确定要分解的风险结果；

2、进行第一层次分解，分解成几个大原因涵盖所有的可能原因；

3、进行第二层分解，再进行第三层分解，直到无法分解为止。

分解完的结果比较象鱼的骨头，所以又称为鱼骨图。

图2－3 鱼骨图范例

分解完的最终原因，统计到一张表中，进行发生概率评估和发生的损失评价，作为进一步进行分析的依据。

2.2.2 思维导图识别方法

在思维分解方面思维导图是一个很好的方法，因为最后画出来的图形象大脑的神经系统，以一事件为核心，进行层层支持拓展，过程非常符合思维结构，故称为思维导图。思维导图是一种拓展思维，是建立发散思维的工具，也是一个辅助记忆的工具。

图例如图2－4

图2－4 思维导图图例

具体工作时，在没有思维导图电脑辅助工具时也可以画：

1、首先在纸的中心画一个彩图，这个彩图往往胜过千言万语，明确主题，并且刺激创意性思维，同时会强化记。

2、多用图画，正如以上所述，可以刺激大脑皮层，而且醒目，利于记忆。

3、以粗体字书写，这样更清晰，便于阅读，便于反馈。虽然书写时会多花点功夫，但因其便于复习，因此实际上能节省大量时间。

4、字词以线相连，这样形成一个基本框架结构。

5、多用单个的词语，这样每个词语间连接起来更自如，联想空间更大，更自由，更多变。

6、多用各种颜色，同样是为了醒目，强化记忆。

7、大脑应尽可能地保持“自由”，这样可以充分利用其创造性。任何关于事物应朝何处发展及是否应包括在思维导图中等方面的“思维”，都会直接使大脑创造性思维减速。

这样做的目的是为了将围绕中心产生的一切思维都记下来。由于大脑的思维快于书写速度，因而在书写时应该几乎没有停顿——如果停顿的话，只会让你留意钢笔或铅笔在书页上书写的声音，这将使速度减慢下。手工绘制的思维导图如2－5

图2－5 手工绘制思维导图图例

2.2.3 头脑风暴识别法

对于一些不熟悉的项目，可能隐藏着一些难以看得到的风险，往往集中多人的智慧进行头脑的风暴法集思广益。

头脑风暴法的思维方法：

1、主持人引导问题的发散；

2、所有参与头脑风暴的人员必须积极提出自己的建议，对于别人提出的建议只能鼓励，不能否定；

3、头脑风暴结束后，总结所有的问题，对问题进行归类，按照属性或因果关系分类，分好类后开始一个个否定，当大家基本都赞成时否定掉；

4、对所有的可能性风险内容进行发生概率和发生损失进行估计，列出表格

作为进一步分析依据。

但是，头脑风暴法有一定的弊端，如果参与者有个别权威或企业高层领导存在，可能会引起部分趋炎附势的参与者影响整个讨论方向和讨论结果。鉴于它的缺点，在头脑风暴法的基础上，德尔菲法做了很好的补充。

德尔菲（DELPHI）法：

1、所有的参与者来自于不同领域的专家；

2、所有专家互相不知道有那些人参与此问题的讨论；

3、所有专家分布在不同的地区或分在不同的办公室；

4、主持人将问题发放给专家，专家的意见回收后统计出来；

5、主持人将统计后的意见发放给专家，专家进一步给出意见；

6、如此几个回合，可以得出比较合理的答案。

但是，DELPHI法的缺点是专家之间无法通过讨论直接激发思维的发散，不过可以很好解决权威引起的权威性偏见。

2.3 风险分析机制

分析的分析方法有两种，一是定性分析，二是定量分析。以下将详细介绍定量分析和定性分析的内容。

2.3.1 定性分析

定性风险分析主要是对风险进行排序，设定风险级别的一种分析方式。风险通过采取一定的风险识别方法已经识别出几乎所有的风险内容，但是为了进行风险有效管理，需要对风险进行排序以确定风险的管理顺序，这种方法本文称为定性分析。

风险进行排序的根据是：

1、风险发生的概率

2、风险发生后造成的影响

3、项目关系人对影响的容忍程度（时间、预算、范围、质量）

将项目主要利益相关者即项目关系人对风险发生的影响容忍程度最低的排在最前面，属于必须解决的风险，属于一定要预防不能发生的风险，一旦发生将直接影响项目的顺利验收；

将风险发生后可能造成的影响很广，例如项目的范围缺失风险一旦发生将造成项目的过程重新思考，属于全局性的影响，这种风险要排在比较靠前，属于第二需要终端解决和预防的风险。

将风险发生的概率很高，很容易发生的风险排在第三级别，其他的依次排序。

项目的排序级别设计，如果以上三条占有其中两条的话，都应排到第一级别中，属于必须解决和预防的风险。

风险排序结果范例如表2－3

表2－3 风险排序

在风险级别设计中可以根据企业的实际需要进行有效定义，可以分成主要风险和次要风险，主要风险再进行3级或多级分类。

在实际的项目管理中要关注高优先级的风险来有效改善项目绩效，通过定性分析输出以下四个清单：

1、风险排序

2、需要近期采取应对措施的风险清单

3、需要进一步分析和应对的风险清单

4、低级别风险观察清单

2.3.2 定量风险分析

风险有发生的概率，风险一旦发生时也会造成损失，在做风险管理时，需要做一些定量分析以确定项目的预期利润以及风险预留程度。

风险的定量分析主要关注两个指标：风险概率和风险发生的损失。风险概率和风险发生的损失，如果企业有很健全的数据积累，可以根据历史数据分析风险发生的概率和风险发生的损失。如果缺乏有效的数据积累，可以采用专家估计法或采用类似风险估计法来确定。一般来说，风险发生概率和损失，越到确定的风险事件越容易估计，甚至有很确切的损失统计。

为了把风险的概率和风险发生的损失有一个更科学的度量依据，采用风险期望值即期望风险来解决，这在商业管理中应用非常普遍。所谓期望风险，即R=f(P,C) R风险、P不利事件发生的概率、C不利事件发生的后果。

计算这种方法可采用决策树方法：

图2－6 决策树分析法

风险事件的期望风险由所有子风险的f(P,C)计算而来，所有子风险导致的期望风险损失之和即为总风险的期望风险损失。定量风险分析在应用于项目期望利润计算，重大风险度量等方面具有很好的应用价值。

可应用于：

1）对定性风险分析结果中排列在前面的重大风险进行定量分析

2）对风险事件发生的影响进行定量分析：

3）进度延误造成客户罚款、资源费用

4）质量偏离造成返工费用、客户罚款、甚至终止合同、索赔

4）分析结果对风险应对计划的制定提供依据

2.4 风险处理机制

2.4.1 风险应对计划

风险经过定性和定量分析后需要有一套完善的风险处理机制得以配合，首先需要有一套完善的风险应对措施计划。

图2－7提供了一套风险应对措施计划过程图：

针对每一项主要风险都应该列举出所有可能的应对措施，并从中选择，并将以上风险应对措施选择出来后编入风险应对计划中，作为风险管理计划的一部分。

表2－4 风险管理计划