9-项目风险管理

（十）项目风险管理

10-1 风险的概念

10.10：项目风险的定义

在进入风险管理领域之前，也许我们需要改变一下思维的角度。如果此前我们习惯于用积极的态度去对待一切事情的话，那么现在开始，我们需要用消极的眼光去看待一切了。

在采购供应链管理的章节中，我们追求零库存的境界，以最大限度地节约成本；但是当风险降临时我们才发现库存的必要性，手中有粮，才能心中不慌。戴着泊诺的黄帽子，我们会建议公司的名称最好与产品的品牌保持一致，因为一旦品牌打响了公司会随之扬名。可是当我们戴上泊诺的黑帽子时，就会认为公司名称最好与产品品牌保持不同，因为万一产品砸了牌子，公司不至于被拖累致死，还有东山再起的机会。

图-10.10给出了项目风险的定义。这个定义至少包含了三个含义：

外因：风险来自于项目所处的外部环境的不确定性和不稳定性，因此很多来自外部影响力的变化难以预见。

内因：风险来自于项目团队不能准确预见和不能控制的因素，这不但由于人们认识事物的局限性，而且由于信息的不完备性及滞后性。

结果：除了不确定的外因和内因，认定风险还必须有结果，即项目的绩效偏离了干系人的预期。不过仅仅偏离预期还不一定都是风险，提前完成任务也是偏离预期，只有负面偏离预期并形成了损失，才叫做风险。

风险并不一定都是灾难性的，项目实施中最常见的风险就是项目的质量不合格，成本超预算，工期拖延，也就是说项目的实施突破了图-1.30中质量、时间、成本三条边的约束。这意味着风险随时都有可能发生，它天天睡在我们身边。

10.11：风险的认知状态

人类对事物的认知，是一个渐进的过程，认识风险的过程亦是如此。这个认识过程可以分为三种占有信息的状态，也可以视为三个渐进的阶段：1）完全没有信息的状态；2）部分掌握信息的状态；3）完全掌握信息的状态。

如图-10.11所示，这三种掌握信息的状态，决定着我们对风险的三种认知程度：

在完全没有信息的状态下，风险几乎是不可能预见的。例如“非典”，它给全中国带来了意想不到的灾难，使很多项目中途搁浅，但是由于从前没有关于它的任何记

录，任何迹象，因此谁也不可能事先预见它的光顾。几乎所有风险在第一次发生的

时候都属于这种情况。

在部分掌握信息的状态下，风险可能预见，但是难以准确预测。人们往往用已知部分的信息去推断未知部分的信息，这种推断有一定根据，但是谁也不敢保证完全准

确。“非典”发生过一次之后，就从不可能预见的风险变成了可能预见但是难以准

确预测的风险了，人们从上一次的记录中知道了它的存在形态、传播方式和条件，但是它是否还会再一次出现，何时出现，以什么形式出现，后果如何，谁都没有把

握准确预测。其他项目有过各种各样失误或失败的记录，这些经验教训也被写进了

教科书，但是它们是否能够避免在你的项目上重演，一半靠我们对于掌握信息的分

析判断，另一半恐怕还得靠运气。

在完全掌握信息的状态下，风险就是可以准确预测的了。例如天气变化，这类风险无时不刻处于人类的监控之中。建立在人类数千年历史记录上的气象监测技术，几

乎可以准确预测一个地区几天之内的降水概率、温度、风速。如果你周末准备到野

外郊游，只要抓起电话，一般都可以得到气候风险的准确预测。

在项目风险管理中，完全不能预测的风险和可以准确预测的风险都属于极端现象，对前者的管理无从着手；对后者的管理已成规范，因此都不必给予更多关注。现实中的绝大部分情况都属于第二种类型的风险，这类风险才是风险管理的主要关注点。

信息的不完备导致风险不能准确预测，这既有客观因素也有主观因素。客观原因是有关风险的信息本身不完备，即使你完全掌握也不足以准确判断风险；主观原因是有关风险的信息已比较完备，但是你掌握的信息不足以准确判断风险。而后一种情况，本身就构成管理风险，也是风险管理重点中的重点。

10.12：项目风险的分类

人类总是在鉴别和对比中认识事物的，我们也将这样认识风险。鉴别和对比是通过分类实现的，图-10.12中的矩阵表，显示了项目风险的基本分类。

从客观的角度出发，项目的风险可以横向划为内外两个范畴：

项目所处的外部环境产生的风险，被称为系统风险，系统风险是项目组织无法回避也无法控制的，只能被动应对，力求减少风险损失。

项目内部原因产生的风险，被称为非系统风险。非系统风险是项目组织有可能主动预防和控制的，这取决于组织的风险管理水平。

海起风浪是系统风险，船出故障是非系统风险；亚洲金融危机是系统风险，而项目财务危机是非系统风险；非典疫情导致异地交流项目中止，是系统风险，组织防疫措施不力导致病毒扩散，是非系统风险。一般情况下，系统风险对项目的危害性要大于非系统风险，但项目经理对非系统风险的责任却大于系统风险。老天爷要下雨谁也怨不得，可是若自己没带伞就活该了。俗话说：天作孽尚可恕，自作孽不可恕。

从主观的角度出发，项目的风险又可以纵向分为三个层次：

认识风险，指那些难以预见的风险。它考验的是组织的学习能力；

决策风险，指那些难以预防的风险。它考验的是组织的管理能力；

控制风险，指那些难以应对的风险。它考验的是组织的执行能力；

未能识别“非典”病毒，是认识风险；识别了不知道该怎样对付它，是决策风险；有了对策但挡不住疫情蔓延，是控制风险。一般情况下，认识风险要大于决策风险，因为认识是决策的前提；而决策风险又要大于控制风险，因为决策是应对的基础。但如果在认识不足且决策未定的情况下就鲁莽行事，那么应对就变成最大的风险了。盲人骑瞎马误入雷区，风险被一网打尽了。

魏文王问扁鹊，他行医的兄弟三人中，谁的医术最好。扁鹊回答，长兄最好，二哥次之，自己最差。魏王听了很诧异，说你扁鹊载誉全国，被奉为神医，怎么会不如你那两个默默无闻的兄长？扁鹊说，我大哥可以在病态还没有暴露之前就采取预防措施将病因排除，因此在人们眼里就是个保健医生；我二哥可以在病状刚刚露头的时候就及时扑灭病灶，因此在人们眼里仅是个能治小病的乡村庸医；而我自己擅长治病危的病人，死马当做活马医，若是没能救活，死者不会抱怨，也不会传话告诉别人去诋毁我；而一旦碰上个起死回生的病例，凭患者现身说法的口碑就足以名扬天下了。

扁鹊三兄弟的医术正体现了上述三个层次的风险管理水平。大哥擅长预见风险，二哥擅长预防风险，扁鹊则擅长应对风险。谁的水平高？

10.13：项目风险的特征

风险是项目管理中最复杂的概念，因为它在很大程度上涉及的是对未发生事件的推测，它既体现客观存在，也含有主观臆断。如图-10.13所示，风险的识别和平估，本身都带有很大的不确定性，我们需要从以下三个方面去把握它的特征：

1.风险发生的随机性。风险事件往往是偶然的，这就造成了预测它的困难。然而这正

是风险之所以存在的理由，如果风险的发生都变成规律性的，后果都变成了必然性

的，就不再是风险了。人类已经熟知了冬季必有严寒降临，就不再把严寒当作风险

了，它变成了理所当然并司空见惯的事情；人们已经确认吃砒霜必然致命，砒霜就

不再是风险了，除非发生自杀或谋杀。游泳有风险，因为可能淹死人，但是什么人

会被淹死则完全是随机事件，很难有规律可循。风险的随机性为它的识别和量化带

来了很大困难，不过，一旦它能够被识别并量化，风险性也就大大降低了。

2.风险后果的相对性。风险在某种程度上是相对于当事人的承受能力而言的，赌博输

了一千元钱，对于一个年收入只有两千元的穷人就是巨大的风险，而对于一个年收

入逾百万元的富人，只是个娱乐游戏。一次伤风感冒对于一个身强力壮的年轻人不

算什么大风险，但是对于一个九十多岁的垂暮老人就是致命的危机。一个女人三十

五岁仍未结婚，人们会担心她独身，一个男人三十五岁未婚，人们会羡慕他自由。

这说明，风险的承受能力有客观指标，也有主观倾向，后者涉及到人的心理因素，这就为风险的量化带来了很大的弹性空间，常常令实证主义的科学手段捉襟见肘。

3.风险发展的渐变性。风险的内因和外因都有一个从量变到质变的演变过程。正因为

描述并监控这种演变，人们才需要为风险的进程设置里程碑并划分阶段。有些风险

表面上看是突发的，这是由于它的潜伏征兆长期被视若无睹的结果。心脏病是突发

的，但是血管硬化是几十年累积的；地震海啸是突发的，但这是地壳长期运动的结

果；项目的质量事故看起来是突发的，但这是管理松弛所酿成的苦果。风险的渐变

性，使我们有可能采取抽样过去的方法来推断未来，通过分析量变的进程去捕捉风

险临近的脚步。

上述的三个特征，让人类在面对风险时处于一个非常尴尬的局面。一方面，我们需要通过进程去推断结局，这中间隐含着大量的随机因素和主观臆断，但另一方面，我们又不愿意最终证实那个自己推断的结局。就像你天天警告你的孩子吃饭不洗手就会得病，但是又绝不愿意亲眼看到那个验证你警告的真理。也就是说，在和风险的博弈中，我们总是在捕捉一个

自己都不愿意抓住的影子，其中最大的成就就是没有成就。

10.14：风险管理三阶段

风险的渐进性，使我们有可能为它的发展进程设置里程碑。图-10.14告诉我们，风险的历程可以分为三个阶段，在不同阶段，风险管理各有不同的内容和重点。

在风险的潜伏阶段，风险尚未显现，但其可能性存在于各种征兆之中。这个阶段的风险管理重在预防：

1.识别潜在的风险，这是预防风险的第一要务，不能识别就无法预防。识别风险

的一个重要手段是量化。我们在前面的章节中多次阐述，量化的好处是可以通

过对比来鉴别风险征兆，可以设置临界点作为预警指标。例如，我们识别出高

血压是引发心脏病的重大风险，为此我们设置出一套检测血压的量化指标，把

预警临界值设置在90/140。这样，我们就可以通过与正常指标的对比来监测高

血压的风险了。

2.规避和转移风险，是预防潜在风险的另一个有效办法。当你识别出某件事情可

能会有风险时，只要放弃做这件事，或者换一种较稳妥的方式去做它，就可以

避免风险发生。如果你知道喝酒有可能导致高血压或心脏病，只要避免喝酒或

者改喝红酒或啤酒，就可以规避风险。转移风险最常用的办法之一是买保险。

即使你不幸患了心脏病，医疗费有保险公司买单，可以大大减少生命危险和经

济损失。

3.准备风险应对方案和危机处理预案，是预防风险的核心内容。一旦风险和危机

来临，有应对预案就可以有效地降低风险的损失和危机的灾难。你可以把常用

的药物分放在家里和办公室容易拿到的地方，把医院的电话输入电话机，预先

嘱咐身边的人如何处理，这就是风险预案。一旦心脏病突发，这些事先准备好

的预案就足以挽救你的生命。很多人就是因为没有这些预案而猝死非命。也许

有些风险预案永远也用不上，但是这并不说明它们是多余的。只有风险降临的

危机关头，人们才会感觉到它们性命攸关的价值。

在风险的发生阶段，风险已经来临，风险将带来的损失已经不难预料，这个阶段的风险管理重在应对：

1.选择和实施风险应对预案。事先准备的预案可以大大提高风险应对的决策效

率，把决策简化到抉择。例如，当飞行故障发生时，油料往往只够飞半个小时，

没有时间决策，只能在预先准备的预案中选择实施。当你的电脑系统被病毒侵

袭的时候，当你的技术关键人突然辞职的时候，当你的主要客户因故拖延付款

的时候，当你的主要供应商突然宣布提高价格的时候，如果你能够事先准备好

应付的预案，你就会有更多的选择余地，有充分的应对时间，就不会在突然降

临的风险打击下束手无策。

2.采取权宜措施缓解风险。有些时候实施风险预案需要时间和条件，权宜措施就

是为了争取时间和创造条件。面对绑匪，你首先应该派遣的不是军队而是谈判

代表，后者将为前者的部署争取时间；面对航班脱期后愤怒的旅客，你首先需

要调动的不是飞机而是饮料和食品，以抚慰旅客激动的情绪；当你的电脑被病

毒袭击而瘫痪的时候，你首先要做的也许不是修复系统而是抢救文件；当客户

拖延付款的时候，你当务之急也许不是催讨债款而是拆借周转资金。在很多情

况下，权宜措施也是构成风险预案的组成部分，但是当风险预案没有料到的情

况发生时，应急的权宜措施最能考验一个管理者的应变能力。

3.采取补救措施抵消损失。当风险造成的损失不可避免的时候，可以堤外损失堤

内补救。例如出口产品如果在进口国因质量问题退货，则“出口转内销”，挽

回部分损失；如果客户无力偿还债务，可以用汽车及电脑之类的资产抵扣部分

损失；如果因下雨不能户外施工，就安排培训，以免浪费时间。失之桑榆，收

之东隅。

在风险的后果阶段，风险造成的损失已经成为事实，形势危急，这个阶段的风险管理重在应急和善后：

1.选择和实施危机处理预案。如果血栓梗塞了心肌；如果洪水冲破了大堤；如果

飞机掉进了海里；如果被媒体揭穿了老底；如果电脑文件全军覆没；如果欠债

客户卷款逃逸；这时风险就变成了危机，应对就变成了应急。应急实际上和风

险应对没什么区别，不过预案的作用会更突出，因为危机时刻没有时间容你深

思熟虑，只能选择过去准备好的主意。

2.实施灾难救助措施。危机往往伴随着灾难性的后果，损失已经铸成事实，形势

无法逆转，因此需要考虑善后措施，如抢救生命，抚恤家属，挽回信誉，收拾

残局，另寻替代方案等等。

3.资料存档总结教训。这是善后要做的最后一件事情，但是它常常被忽略忘记。

所有的风险和灾难留下的记录都是人类的遗产，它将为后人识别风险提供宝贵

的线索。今天的人是站在前人肩膀上进步的，如果没有前人留下的资料，我们

至今还在黑暗中摸索，还会在同一块石头上绊倒无数次。文档化管理，是我们

迈向学习型组织必须跨过的门槛。

10.15：风险管理的目标

项目风险管理的理想目标是规避所有的系统风险，消灭所有的非系统风险。但是由于项目本身的特性，这个目标是很难达到的。根据上述风险管理阶段，我们将风险管理目标分解为四个可行的阶段性目标：

尽早识别项目的各种风险，这是风险潜伏阶段的管理目标。识别全部风险是不可能的，因此我们强调尽早识别，风险被认识得越早，组织就越有对付它的主动权。

尽力避免风险事件的发生，这也是风险潜伏阶段的管理目标。完全避免风险发生很难，因此我们强调竭尽全力。敌人何时进攻也许我们管不着，我们能尽力的是建好

预防工事。哪怕风险不来，自己也要严阵以待，举轻若重，以万变应不变。

尽量降低风险造成的损害，这是风险发生阶段的管理目标。既然风险已经发生，完全避免损失已经不太可能，我们只能强调尽量，即最大限度地减少风险的危害性。

尽责总结风险带来的教训，这是风险后果阶段的管理目标。人们最容易犯的错误是好了疮疤忘了疼，因此我们强调尽责，把风险的教训形成文档。这不但是对组织负

责，以免在同一块石头上绊倒第二次；这同时也是对历史负责，把教训留给子孙后

代，提高全人类应付各种风险的能力。

上述管理目标又被称为“四尽原则”，由于风险管理的目标难以量化验证，所以我们只能强调主观因素：尽早、尽力、尽量、尽责，如果我们尽到最大的努力，仍然逃不过风险的打击，那只能说是运气不好。毕竟谋事在人，成事在天。

10-2 风险的识别

10.20：风险识别的过程

如图-10.20所示，风险识别过程的输入依据是：

项目范围说明。项目范围说明书阐述了项目可交付成果，立项宗旨，可交付成果的

功能和效益，这一切寄托着所有干系人的期望值，也是衡量风险的依据。如果项目

实施的结果偏离了这些预期，就意味着风险。

集成管理计划。即各领域的管理计划，其中也包括风险管理计划。计划是评估绩效的尺度，只要实施绩效偏离了计划，就意味着风险。

事业环境因素。包括了项目的范围、质量、工期、成本等所有内在约束条件，同时也包括了法律法规、社会习俗、信誉环境、市场背景等外在约束条件。项目的实施

过程突破这些约束边界，是最常见的风险。

组织过程资产。主要指历史信息和组织的经验教训。前人经历风险所留下的资料，是我们今天识别风险的线索。团队成员的经验教训，是识别项目风险最直接最有价

值的无形资产。有时文字传载的参考信息，不如印在脑子里的直觉判断，长者的阅

历在风险识别中最为可贵。难怪古话曰：不听老人言，吃亏在眼前。

风险识别的输出就是风险识别的清单，其中包括风险的来源、风险征兆和潜在的风险。关于风险识别的工具和技术，我们将在后面的章节中详细讨论。

10.21：风险识别三段论

图-10.21演示了风险识别的三段流程：首先是观察分析，筛选出可疑征兆进行鉴别，然后做出疑因假设，通过监测对疑因进行观察分析，排除不相关的因素，再进一步征兆鉴别，对比征兆进行判断，验证最初的假设，再对缩小了范围的疑因假设进行新一轮监测和观察分析……，这个过程周而复始，直至锁定风险确切原因为止。

上述三段论流程实际上与医生看病、侦探破案、科学探索、甚至我们日常修理汽车或电脑故障等流程都非常相似。在整个过程中，关键的环节是疑因假设。要判断一个人是不是好医生，好侦探，大科学家，好修理工，好项目经理，就看他是否能够准确地假设疑因。要是这个假设错了方向，整个团队都跟着瞎忙。

10.22：风险识别的结果

风险识别的结果可以分为三个层次：

显性风险，即那些已经被识别出来的常规性风险。所属不同行业的项目会有不同的常规风险，技术人员流失在科研开发项目中是常规风险，但在一般土建工程中就不

属于常规风险，而恶劣气候对土建工程是常规风险，但在科研开发项目中就未必。

还有很多常规风险是所有项目共同的，比如工期拖延，质量事故，成本超支，客户

倒账等。对常规的显性风险可以用制度性的措施来防范，例如财务审计制度，库存

盘点制度，事故责任制度，技术保密制度等等。

潜在风险，即那些暂时没有形成威胁，而需要特定条件才能诱发的风险因素。例如，项目组织技术档案不健全，这本身不一定是风险，只要技术关键人在职，技术方案

都在他们脑子里或电脑里，不至于出大问题，但是一旦技术关键人流失，危机立即

就爆发，整个项目有可能陷入瘫痪。团队成员之间的个人恩怨，看起来不属于项目

的风险，但是一旦矛盾双方在某项工作上形成合作关系，掣肘摩擦事件就会层出不

穷，风险就暴露出来了。潜在的风险就像路上埋的地雷，是可以主动避免的风险。

识别潜在的风险就像扫雷，比识别显性风险困难得多，但只要你察觉到了地雷的存

在，风险就消除了一大半，因为你就有机会在它爆炸之前避开它或排除它了。

风险征兆，如果潜在的风险是需要特定条件诱发的话，那么风险征兆就是诱发它们的那些特定条件。气候干燥不是祸，但它是引起火灾的诱因；过度疲劳不是病，但

它是疾病来临的前奏；纪律松弛不是事故，但它是事故发生的温床；拙于沟通不构

成错误，但它是点燃客户怒火的引信。特定的条件往往需要一个量变的积累，如果

我们能够在风险征兆尚未积累成因的时候就捕捉到它，就可以釜底抽薪，把风险扼

杀在摇篮里。风险征兆的另一个含义，是预示系统风险降临之前的典型迹象，如暴

风雨之前的闷热，股市崩盘之前的泡沫繁荣，政策大转弯之前的媒体舆论，对于这

种外部的系统风险，只能被动地应变，如果我们能够掌握这些迹象出现的规律，就

等于有了预示风险的预警指标，就有了提前实施应变措施的主动权。

质量控制中的七点失控原理，为我们识别潜在风险和风险征兆提供了一个有效的工具。如果你做一个工作，结果连续七次都从一边偏离了正常标准，尽管哪一次也没有超出可容忍范围，你也需要认真检查一下，是否什么地方潜藏着风险的隐患。

10.23：风险因素分析法

风险因素分析法又被称为情景分析法，是风险因素识别的重要工具。其功能是分析判定在构成风险的各种要素中，何种因素对项目的影响最大。

图-10.23提供了一个似曾相识的画面，让我们想起了质量管理中的实验设计法，两者的工作原理其实同出一辙，只不过实验设计法检测的是各要素对过程的正面作用，而风险因素

分析法检测的是各要素对过程的负面作用。

将不同的风险要素分别输入模拟的过程，然后观察输出的结果，进行综合分析。输出的结果可以由诸多风险指标构成：后果严重性指标，可以设定损失金额的标准；影响蔓延的范围，例如质量下降、工期拖延、成本超支等；对项目进程影响程度，或中止项目、或改变计划、或只受到轻微挫折。

一个新产品研发生产项目可能面临四种风险：

竞争性的替代产品在市场上出现，后果有可能导致产品降价30%；

原材料价格上涨，后果将是成本增加，需要追加预算成本15%；

设备供应商质量不过关，后果可能是设备故障频繁，引发废品率增加20%；

电力供应不足，每周停电三天将导致生产能力闲臵，后果是减产30%左右；

将上述风险因素分别输入现金流量表，或者输入挣值分析模型，最后结论是竞争性产品的出现风险因素引起的后果最为严重，有可能使项目中途失败。

风险因素分析法最典型的应用是财务风险的敏感性分析，在后面的章节中，我们将用实际案例来演示敏感性分析的操作过程和工作原理。

10.24：过程跟踪分析法

过程跟踪分析是识别风险最简单也是最实用的方法。召开一个全体成员会议，把项目的商务模式和运行流程图画出来，让大家跟踪流程的每一个环节，集思广益，展开充分讨论，看什么地方可能发生风险，发生什么样的风险。

笔者在进行项目管理培训时，常常会让学员做过程跟踪分析的课堂练习。将一个项目的商务模式及运营流程演示在屏幕上，让所有的学员跟踪每一个环节进行讨论，发现其中的风险。例如，图-10.24显示的是一个酒店预订网的信息服务项目，其商务模式：

1.建立网络服务中心，提供包括800号免费电话和互联网两种方式的酒店预订服务；

2.发展加盟酒店，代表集体旅客与加盟酒店洽谈一个3-7折的批发价格，然后与酒店

签订优惠价格和有偿服务协定；

3.同时发展旅客会员，免费发放会员卡。还可以与航空里程卡、消费卡、信用卡、保

险卡等结成战略联盟，为其会员卡增加一项酒店预订的服务内容，以此交换其会员

信息资料；

4.持卡会员需要预订酒店，可以通过800号电话或者互联网连接到服务中心；预定过

程中服务人员可以提供酒店区位和性价比的咨询服务；

5.确定日期和旅客姓名之后，服务中心将此预订信息传给推荐的合同酒店；

6.到预订日期，该会员自行赴酒店登记入住，到酒店前台出示会员卡并报上姓名，便

可以获得事先约定的优惠价格；

7.会员离开酒店时自行结账；

8.酒店将返还该会员在酒店所有消费额的10%给网络服务中心作为市场佣金。

一般情况下，学员只用几分钟，就能发现了整个商务模式中最致命的风险因素：

1.会员预订了酒店，但是中途爽约或改变了日程，没有去住。

2.会员登记入住时，酒店拒绝兑现事先承诺的优惠价格；

3.会员如约去住了酒店，但是酒店方故意隐瞒事实，逃避支付佣金的义务。

这是一个笔者亲自经营管理过的真实项目，这种识别风险的方式在现实中也确实进行过，风险因素也很快被识别出来，并分别采取了对应措施。我在课堂上作过多次练习，尽管很多学员并不熟悉电子商务的流程，但这些风险每次都能在五分钟之内就被识别出来。由此可以看出，这个方法是非常有效的。

10.25：风险识别流程图

图-10.25显示的风险识别流程图，可以为我们进行风险识别提供一个清晰的思路：

首先要建立风险管理信息系统，这类信息系统在很多组织中都普遍存在。在军队是侦查兵和情报部；对付自然灾害有气象台、水文监测站、火情监测站、地震监测站；

在非典时期，很多北京人第一次听说了一个过去很不起眼的部门叫流调中心（流行

病调查中心）；很多大型跨国公司有专业的商业情报部门，技术情报部门；建筑工

程项目有工程监理部门等。

跟踪和检测风险信息，这就是风险管理信息系统每天的日常业务。例如气象台每天观云测温；水文站每天记录水位；流调人员拿着小本子，追问每一位疑似病人曾经

坐过什么飞机火车，和谁密切接触过；企业的情报部门，除四处捕捉商机外，还要

搜集各类风险迹象，监测竞争对手的技术动向；工程监理每天检测工程进度和质量

缺陷。

对风险信号进行分析判断，即对上述有可能引起风险的迹象与正常标准进行对比，如果发现连续偏离正常标准的现象，则发出风险预警信号。例如，水文监测站若发

现连续若干天水位高于或者低于该季节的平均水位，就可以由此推断发生洪涝或旱

情的可能性了。这个过程与质量控制中的七点失控原理完全相同。如果对上述信息

的判断结论是不存在风险，则回到监测环节继续跟踪；如果发现风险征兆，则启动

下面一系列的风险分析系统。

对风险进行鉴别分类，实际上就是给风险定性。如果是气候风险，则鉴别是大雪还是冰雹、是台风还是沙尘暴；如果是水文风险，鉴别是旱情还是涝情；如果是商业

风险，鉴别是政治风险、市场风险、技术风险还是金融风险；如果是项目管理风险，则鉴别是质量问题、工程脱期还是成本超支。

随后测算风险发生的概率，分析风险发生的原因，分析风险发生的后果，预测风险发展的趋势，都是风险的分析项目。例如，如果一个项目的风险征兆被定性为潜在

质量风险因素，那么就需要测算可能发生的缺陷率；追踪过程找出引发风险的具体

原因，是设备故障还是制度漏洞；然后判断若发生质量问题会引起什么后果，是返

工、索赔还是诉讼；最后预测质量风险会蔓延到那些领域，并涉及到那些计划的变

更，需要追加多少工期，增加多少预算，甚至项目能否继续进行下去。

如果风险因素不止一个，需要在量化分析的基础上进行对比，根据其概率大小和危害程度进行排序，以便集中精力解决引起80%质量风险的那20%的关键因素。

在上述所有的鉴别、分析、推断、排序等程序都完成之后，形成文字就是风险识别报告。提交最高决策层参考，同时更新风险识别清单和组织过程资产。

风险识别报告可以意味着一个特定的风险识别过程的终结。例如一个洪灾、一场非典、一个质量隐患、一个财务危机等。如果决策层对这个风险的识别结果表示满意，

则过程结束；如果认为信息还不清晰、不充分，则需要回到信息监测环节，重新开

始新一轮的识别流程。不过，对于一般的项目风险管理，这个流程是没有结束环节

的。风险监测、分析、判断的过程就像我们身体里的免疫系统，每时每刻都在周而

复始地重复着风险识别的流程，不断地捕捉着各式各样的风险征兆。

在识别风险的过程中，除非谁有特异功能，否则我们主要还得依靠前人留下的历史信息和专家的经验。我们至今还在用“十年一遇”和“百年一遇”作为洪灾的度量标准，这说明了数千年来前人留下的记录，一直都在作为我们识别风险的参照物。我们可以使用电脑和各种仪器来跟踪风险，但是初始数据的设定最终还是来自人类的大脑。

10.26：头脑风暴识别法

头脑风暴法是个笨办法，也是没有办法的办法。因为风险总是不按常理出牌，它若按常理出牌就不再是风险了。所以，识别风险就如同博弈，在这个领域里还没有任何智能设备能彻底替代人脑。

常见的头脑风暴法如同图-10.26所示，可采取地毯式排雷方法，按照风险的性质，从自然风险、政治风险、法律风险、市场风险、技术风险、管理风险等领域依次深翻一遍，穷尽式思维。孕育头脑风暴最好选在会议室以外的非正式场合，例如餐桌上，野外，沙龙等环境，让参与者身心充分放松，解除约束，鼓励非逻辑性跳跃式思维。

头脑风暴的参加者原则上不限，但涉及风险识别，则年龄结构大一些好，人生阅历是积累的财富，不是书本可以替代的。正如培根所言：感性知识如同零，单独存在没有价值，但是若把它累计在理性知识的实数后面，其价值就会十进位乘十进位地倍增。

孔子曰：三十而立，四十而不惑。也就是说，人在三十岁之前，应该四处捕捉机会，以便找到后半生的立足之地。而到了四十岁的时候，更明智的决定就是要放弃机会了。在三十岁到四十岁这十年的碰撞中，人终于明白了自己的局限性，明白了自己天生就不是干某些事情的材料，明白了有些机会永远也不属于自己，明白了放弃比获得更明智。舍弃机会同时就意味着放弃风险，因为四十岁已经到了失败不起的年龄了。舍得舍得，不舍何以言得，大丈夫有所为必有所不为。所谓的不惑之年，就是不为机会所惑。人在三十岁时看机会，个个都是美女，可是到了四十岁时再看，眼前一片白骨精。十年历练赋予我们的，正是一付识别风险的火眼金睛。

有些风险，没有阅历的人是无论如何也想象不到的。婚姻对人生是个重大项目，其中孕育的巨大风险，对过来人而言是常识。可是你不能指望热恋中的少男少女会意识到这点。当父母劝阻他们走向误区的时候，他们会反感反抗甚至反目。但是当他们经过了婚姻的历练，再回过头去品味父母的告诫时，才会由衷地敬佩：爸妈当初真英明。

一个朋友，也是我的学员，给我讲了一段他亲身的经历。他和妻子曾在广州一个高层写字楼附近买下了一个快餐店，专为这座大楼里的办公室送午餐。在论证这个项目的风险时，他们几乎把所有可能发生的问题都想到了。最后结论是，这个项目所有的风险都是可控的，即使有些不确定因素，在巨大的需求和效益面前也显得微不足道。但意想不到的是，他们的快餐店在一个月之内就遭致惨败。

“你猜猜看，”我的朋友微笑地看着我，道：“能猜到我们失败的原因吗？”

是客户需求不足？是饭菜的质量问题？是劳动力不足的问题？是服务态度问题？是收款的问题？是原料供应问题？是周转资金的问题？是产权争议问题？是竞争对手的问题？是卫生检疫问题？是税务问题？是法律许可的问题？是宗教信仰或风俗习惯问题？我绞尽脑汁，穷尽罗列了所有可以想到的原因。可是这位朋友微笑着持续摇头，最后弄得我这个老师都觉得脸上无光了。

我是风险投资和项目管理的专家，给数十个企业当过顾问，投资效益和风险分析是我的长项，我甚至还亲自在美国开过快餐店，难道真要在这样一个最普通的小项目上走麦城？最后我实在黔驴技穷，只好跟着他一齐摇头：“对不起，实在猜不到。”

朋友的脸色从微笑转为苦笑，道：“谁都不会想到，我的滑铁卢竟是电梯。中午上下班的时间是电梯运营高峰，保安不允许我们的送餐员与客户及物业工作人员争抢电梯，营业第一天我们花了两个半小时才把餐盒送到20以上的楼层，送到时饭菜早就凉透了。客户的脸色可想而知，钱就别想收了，赔礼道歉还要挨一顿骂，后面的订单被一笔勾销了。后来我们曾经想过各种办法突破这个瓶颈，包括用人力爬楼梯。但是你想想看，空手爬20层楼都够呛，更不用说双手拎着几十份连汤带水的餐盒了。每天中午这一个小时就和冲锋打仗似的，几天下来人都累瘫了。一个月之后，由于送餐不准时，所有的客户都不再订我们的餐了，快餐店只好关门。”

这个故事给我留下的印象太深了，以致让我更深刻地理解了什么叫做小河沟翻船。那些潜藏在阴暗角落中的绊脚索，若没有亲身经历，哪怕你是管理大师也很难料到。

10.27：风险孕育的温床

风险犹如一个擅长游击的恐怖分子，凡是你关注到的地方，偏偏就抓不住它，而它总是会在那些意想不到的角落里突然冒出来。这正验证了著名的摩菲定律：任何事情都比你想象得更难，问题总是出在那些你认为最不会出问题的地方。

根据摩菲定律推断，最容易出问题的地方，是图-10.27中显示的被称为孕育管理风险的三大温床：

顺境。失败是成功之母，同时又是下一次失败的姥姥，因为成功也是失败之母。成功使人骄傲，骄傲纵人轻敌，轻敌诱人涉险，涉险致人失败。世间有很多类似的成

语描述过辉煌的险境：日中而落，月满则亏；飞得高，摔得重；金淘得越多，坑挖

得越大；尽管如此，还是不断有人前赴后继地铤而走险。原因在于顺境很容易让人

过高地估计自己的能力，因而容易轻视甚至无视风险的存在。如果有哪一家航空公司天天吹嘘，说几十年没有摔过一架飞机，那我绝对不敢再坐它的飞机，因为下一个空难事故很可能就轮到它；而如果哪一家航空公司刚刚摔过飞机，那你放心大胆乘它的飞机好了，因为每一个工作人员的神经都紧绷着，不但安全有保证，而且票价肯定有折扣。

麻木。麻木描述的是一种惰性状态，组织的反馈性极差，对周边环境的变化反应迟钝，风险临头了都不知所觉甚至不知所措。当今很多国有企业就处在这种状态中。

水煮青蛙的实验非常形象地描绘了这类组织的风险。青蛙死于惰性而非开水，当它有能力跳出锅外的时候，并没有意识到这样做的必要性，而当水温达到它容忍极限的时候，它已经失去逃离风险的能力了。挽救这类惰性病的唯一机会，是突然降临的危机，直接往青蛙身上浇开水，反而可以迫使它跳出锅底。危机疗法可以使一个惰性组织迅速转变为学习型组织。

僵化。僵化描述的是一种思维惯性状态，开始只是习惯，后来变成教条，最后凝固成意识形态。在前面的章节中，我们论述过框架式思维的好处是可以简单重复，而人类的进步在很大程度上就来自简单重复产生的效率。标准化、程序化、模块化、教条化，会赋予一个组织极强的执行力，但是同时又会扼杀它的适应能力和应变能力。人类的进步总是在两难的选择中左右摇摆，需要效率和执行力的时候，强调管理科学的规范性，以便统一思想、统一意志、统一行动、统一步伐。规范性走向极端就是意识形态化，当一个组织的执行力因此达到了顶峰的时候，其应变能力却降到了谷底，巨大的风险便孕育其中了。常识告诉我们，效率越高越难以应变，车速越快越难于拐弯，一旦前面出现弯道，汽车便会带着惯性冲向绝壁，不碰南墙不会回头。这个时候，人们就需要强调管理艺术的灵活性了，提倡摸着石头过河的机会主义思维方式，以便突破思维框架，打破规范教条，适应环境变化，跟上时代潮流。

在这里，我们没有必要全盘否定或全盘肯定教条主义或者机会主义。驾驶汽车的时候，教条主义有利于它加速，机会主义有利于它转弯，需要采取什么思维方式，就看你的车正处在什么阶段，如果在一马平川的康庄大道上，你需要规范化来加速；

如果处在歧路纵横的叉道口，你则需要灵活性来转向。对于一个组织来说，科学方法和艺术手段可以都用，也可以都不用，但最危险的是用错了地方。

10-3 风险的评估

10.30：风险评估的过程

趋利避害是人类的天性，但利害需要通过沟通和比较来鉴别，只有量化的损益才易于比较，人们通过比较做出选择，而项目管理最终是通过选择来规避风险的。我们看到，风险评估的主要手段就是量化分析，只有量化的评估才易于沟通、比较、选择。

如图-10.30a所示，风险评估的输入依据是：

组织过程资产。包括项目范围说明书和集成管理计划。用范围说明书中的立项宗旨和项目管理计划，作为衡量风险的客观参照物，测算出完不成计划和达不到目标的

可能性有多大，后果多严重。

识别风险清单。是识别风险的输出项，也成为评估风险的输入项。从图-10.25的风险识别流程图中我们看到，识别出的潜在风险需要分析描述，然后形成报告进行沟

通，而量化评估正是分析和描述的主要手段。

项目投资者或发起人的风险承受能力。其承受力的客观量化指标，将主要建立在两个主观变量的基础之上：一是对收益（赢）的期望值，二对损失（输）的忍受底线，两者构成了其承受力的上限和下限。

风险评估的输出结果，是项目所产生的机会收益和为获取这些收益所承受的风险损失；反之也可以说，承受这些风险损失所换来的机会收益。

如图-10.30b所示，风险和机会，收益和损失，是项目评估的一对儿最重要的量化指标，双方往往互为砝码，你可以用风险损失作为砝码去衡量机会收益，也可以用机会收益作为砝码去评估风险损失。两者评估对比的结果，将产生两个截然相反但又必居其一的抉择： 要么抓住项目赋予的机会效益，同时承受它所带来的风险损失；

要么规避项目面临的风险损失，同时放弃它所带来的机会效益；

关于风险量化的工具方法，我们将在下面的章节里用案例来说明。

10.31：风险评估的指标

风险评估的指标就是度量风险的尺子。风险是一个综合现象，并涉及到对未发生事件的预测和评估，因此往往需要许多把标尺才能勾画出它的特征。图-10.31提供了风险评估的六把常用标尺：

风险发生的可能性，这是人们首要关心的问题。风险事件的发生具有随机性，但并不意味着没有规律可循。测算随机事件最常用的方法是概率分布统计法，其计算出

来的结果就是风险概率。

风险后果的危害性，即量化风险所带来的有形及无形损失，直接或间接损失。人们常常用货币为单位来衡量风险所带来的损失，因为金钱具有最强的可比性。对于物

质损失，采取成本重置法的估算可以非常准确，但是若涉及生命、信誉、影响范围

等问题的时候，往往货币单位就显得力不从心了。

对风险的预测能力，取决于人们掌握风险相关信息的程度。对某一特定风险，人类从完全不可能预测到可以准确预测，中间有一个渐变的学习过程。例如对于气候和

瘟疫的预测等，都经历了这样一个学习曲线。这个过程的量化指标，将显示管理者

对项目风险的认识能力和控制能力。

风险发生的时间段，是决定风险发生概率和危害程度的相关指标。一个人在爬第一层楼时发现没带钥匙，和爬到第三十层楼才发现没带钥匙的挫折感会截然不同；一

个地震发生在深夜三点，比发生在下午三点所造成的人员伤亡会相差数倍。在很多

情况下，时间都是概率和成本的函数，在衡量风险的时候更是如此。

对风险的承受能力，如前所述，可以分为主观承受能力和客观承受能力，前者的指标或许取决于投资者的个性，而后者的指标则可以量化测算。例如，我们常常用资

产负债率来衡量一个组织承担债务风险的能力，用盈亏平衡点来测算一个投资项目

的经营风险。

风险可换取的收益，是测量项目风险的秤砣或砝码。投资者愿意冒多大风险，在很大程度上取决于收益有多大。马克思说过，百分之百的利润，就能使人铤而走险，百分之三百的利润，就能驱使人杀人越货。风险和机会，损失与收益，就像一对儿

孪生姐妹，你看到了其中一个的身材，就不难估计另外一个的体重。

10.32：风险的概率评估

风险的发生概率统计，是量化风险的最主要手段。关于概率分布统计的方法和概念，如正态分布和西格玛（标准差）等，我们在时间管理和质量管理的章节中已经详细介绍过了。请参考图-4.33和图-4.34以及图-6.46的图解。概率统计的计算方法，无论用在那个领域都基本相同，不同的是风险概率需要反过来看结果。例如质量统计的合格率是95.45%，反过来

风险估算的缺陷率就是100% - 95.45% = 4.55%。工期估算的准时概率为68.26%，反过来风险估算的延误概率或迟到概率就是100% - 68.26% = 31.74% / 2 = 15.87%。计算时间风险的时候，读者千万不要忘记减去提前完工的那一半偏差概率。

项目面对的风险经常不止一个，每一个风险都有一个发生几率，若估算所有的风险同时发生的概率，就涉及到复合概率的计算，就是概率交集。如图-10.32a 所示，一个项目的管理风险发生概率是50%，市场风险的概率是20%，技术风险的概率是10%，那么三种风险同时发生的交集概率就是这三个数的乘积：50% x 20% x 10% = 1%。

风险概率与成功概率互为余数，两者之和为一。这样，我们同样可以用成功的概率来推算失败的风险。

我的一个朋友是一家上市公司总经理，有一次我和他一起乘飞机，谈起国有企业的体制改革，他用一个简单的计算证明了国有企业的暗淡前景：

一个企业的兴亡取决于企业第一把手的综合能力。假如在十个民营企业家中，只有一个具有合格的管理能力，那么民营企业的成功概率是十分之一。这是个简单概率计算。

假如每十个国有企业的第一把手中，只有一个具有合格的管理能力，那么国有企业的成功概率也是十分之一。但是对国有企业第一把手的要求，没有民营企业家这么简单，有能力把企业搞好还不够，他还需要会搞政治才能保住自己。假如每十个国有企业的第一把手中，只有一个会搞政治，那么国有企业成功的概率就降到了百分之一。问题还没完，懂管理并且会搞政治，还不足以让国有资产增值，这个第一把手还必须具有无私的品德。假设每十个国有企业第一把手中，只有一个具备无私的牺牲精神，那么国有企业成功的概率就剩下千分之一了。如图-10.32b所示，这是一个成功概率交集的计算，反过来的余数就是风险概率，即一千个国有企业中99.9%会面临失败的风险。他最后的结论是，就凭这个概率的对比，国有企业在市场竞争中根本就不是民营企业的对手。

10.33：风险综合评估法

风险是一种综合现象，仅仅靠概率这样一个单项指标无法衡量它。就像我们无法只用一个“长”的指标去描绘一个立体的容积一样，三维空间必须用“长宽高”三个指标才能完整表达。为了更有效地进行对比和沟通，我们需要设立多指标的综合风险值。

取风险量化的三个最重要的指标，列入图-10.33a的级差量化表：

风险发生几率，根据概率大小分为十个等级，概率越高等级越高；

风险危害程度，根据造成损失大小分为十个等级，损害越大等级越高；

风险可检测性，根据对风险的验测能力分为十个等级，可检测性越弱等级越高；

这三个指标如同一个三维坐标，任何一项风险都可以在此找到一个量化的定位，将一个风险所获得的三个指标相乘，就可以求出它的综合风险值。图-10.33b的表格显示了几个熟悉的风险综合值：

流感的发生概率很高，P=8；危害性不大，S=3，可检测程度较高，D=5，于是它的风险综合值：PSN = 8 x 3 x 5 = 120

非典的发生概率很低，P=2；但是危及生命，S=8，可检测程度很低，D=7，于是它的风险综合值：PSN = 2 x 8 x 7 = 112

飞机失事的发生概率很低，P=2；危害性极大，S=10，可检测程度很低，D=7，于是它的风险综合值：PSN = 2 x 10 x 7 = 140

汽车事故的发生概率较高，P=5；危害性比飞机小得多，S=5，可检测程度也相对高一些，D=6，于是它的风险综合值：PSN = 5 x 5 x 6 = 150

对比一下上述风险综合值，也许你会惊奇地发现，一些我们习惯认为的重大风险并不如我们想象得那样严重，例如非典或者航难事故。非典的风险甚至小于普通的流感，而坐飞机甚至比开车还安全。这充分说明，使用单一指标去描述和对比风险，很容易造成错觉。

10.34：加权平均量化表

图-10.34a所示的加权平均量化表也是一个常用的风险综合指标的评估工具，它通常被用在项目立项时的效益和风险评估上。其操作步骤如下：

将所识别出的所有风险填入表格左栏，作为评估指标；

为每一个风险设定权重，代表该风险对项目成败的重要性，也可以视为风险的危害程度。例如，本项目属于当地一把手业绩工程，当地领导人换届就成了重大政治风

险，一般情况下后任一把手都会封杀前任的业绩工程，将资源调配到自己扶持的业

绩工程上去，这个风险对本项目的影响是致命的，足以中止项目进程，因此给予

80%的权重。而气候变化和瘟疫对本项目影响不大，因为项目属于高科技项目，主

要在室内工作，因此权重仅为5%。

对每一种风险的发生的可能性进行评估，给出概率值。

按照风险加权综合求值公式，将每项风险的权重与概率相乘，得出该风险综合值，

再将所有的风险综合值相加，最终得出风险加权综合值。

将求出的风险加权综合值与预设的风险承受底线相比，如果低于这个底线，说明项目预期风险可以承受，批准立项；如果高于这个底线值，就说明项目的综合风险太

大，超出投资者承受能力，项目将被枪毙。例如，图中案例的风险承受底线值为

1.00，而风险加权综合值为1.18，高于底线值，说明该项目不可行。

加权平均量化表的用途非常广泛，它也可以用于项目的可行性正面评估。可行性评估的结论刚好与风险评估相反，加权综合值需要高于可行性底线值方可立项。

风险评估技术最成熟的领域是股票市场，图-10.34b显示的是美国纳斯达克股票市场风险级别指标。在那里，每一只股票都有一个风险指数，是根据上市企业的各种风险因素用加权平均法计算出来的，随着这些因素的变化，风险指数也会随时发生变化。风险级别指标就像一把标尺，我们只要用企业的风险指数对比标尺刻度，就可以判断该股票处在什么风险级别的位置上，如果指数小于100点，说明持有该股票非常安全；如果指数在100-700之间，说明持有该股票在正常风险范围内；如果一个股票的风险指数高于700，说明该股票正处于高度风险之中，要么别碰它，要么赶紧出手。

10.35：盈亏平衡点分析

盈亏平衡点既代表一个项目承受风险的客观底线，也可代表主要干系人的主观心理底线。这个底线其实无时不刻地存在于我们每个人心底，左右着我们日常生活中的许多行为，口语表达就是“合算不合算”。如果我们的收获大于付出，就是合算，如果付出超过支出，就不合算。而收入刚好与付出相抵，就是盈亏平衡点。因此，盈亏平衡点就像测量风险高度的基准水面，风险如同浮在水面的船，水面的高低决定着风险的高低，水涨船高。

图-10.35a用一个坐标图显示了盈亏平衡分析中各项变量之间的关系。

横坐标表示产品的产量，纵坐标表示货币价值。

两者之间的直线SC表示产品的销售收入，可以看出产量越多，收入越高，两者之间形成线性函数关系。SC线与横坐标之间的夹角，就是产品的价格。

直线FC表示固定成本，可以看出固定成本是一个固定值，与产量的数值没有关系。

例如办公室租金，管理人员工资，哪怕你一个产品也没有生产出来，房租都是要交

的，工资也不能不发。

直线VC表示可变成本，可以看出它的变化与产量相关，随着产量的增加而升高。