第6讲风险管理
危机管理理论
非财务性风险转移:
经济与管理学院
5）风险保留 （1）主动与被动 （2）有计划与没有计划 6）风险咨询管理 总之，风险管理就是要： ①企业领导者要找出认清企业可能遭受的各种风险。有哪些 风险存在、风险来源。 ②正确测定风险损失。 预测一旦风险发生，对企业有多大影响、损失有多大。 预测实际发生损失的可能性——概率。 风险在什么时候发生。 ③提出各种可供选择的风险对策方案，从中选出最佳组合方 案。 ④ 实 施 风险 对 策 方案 。 如 购买 保 险 、 多 种 经 营 、 多 元 投 资……
经济与管理学院
三、企业危机管理理论
1. 危机的概念 1）定义 危机通常是在决策者核心价值观念受到严重威胁或挑 战、有关信息很不充分，事态发展具有高度不确定性和需 要迅捷决策等不利情境的汇聚。（罗森塔尔），把危机界 定为一种决策境势，在此情境中，作为决策的组织所认定 的社会基本价值和行为准则架构面临严重威胁，突发紧急 事件以及不确定前景造成了高度的紧张和压力。为使组织 在危机中得以生存，并将危机所造成的损害降至最低限度， 决策者必须在相当有限的时间约束下做出关键性决策和具 体的危机应对措施。 企业危机是企业生存危险，是由于主客观原因可能造 成的生存危险。
经济与管理学院
北京JR人才调查中心曾对20年来中国出现的企业家群 体，其成败得失，就是“是否善于发现和抓住机遇是企业 家的基本素质。” 机遇之所以成为社会主体成功和发展的因素，理论上 的解释是①系统演化的内因与外因。内因是根据，外因是 条件。②事物发展的必然性与偶然性，确定性与不确定性。 ③势能的存在与利用。 （2）机遇是制订发展战略和采取行动的基本依据。 （3）机遇对于未来社会发展比过去有更重要的意义。 机遇产生于社会主体以外的客观环境。环境变化快、 因素多、科技发展迅速。（对机遇问题的研究较少、成果 不多）。 2.机遇的概念及性质 机遇，就是有利于某社会主体实现某个目标的不稳定 形势，是对于某社会主体实现目标有显著意义而易于消失 的‘事件’。
谈风险管理原则
谈风险管理原则谈风险管理原则概述古人讲：祸兮，福之所倚；福兮，祸之所伏。
任何事，都处于“变”与“不变”之间，“变”是绝对的，“不变”是相对的。
“变”是不确定的，风险就是不确定性对目标的影响。
由于现代社会活动甚为复杂，在人类活动中，不确定因素如影随形，每个人及各行各业每天都必须面对各种不同的风险。
就企业来讲，所有类型和规模的组织，都面临内部和外部的、使组织不能确定是否及何时实现其目标的因素的影响。
如：企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、变更管理、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等，这些活动实施都存在不确定的因素，由此可能出现在特定条件下给定区间内实际结果与期望结果之间可能的负差异。
风险管理就是运用系统的、流程化的框架，通过识别、分析、评价风险以及处理风险，将其风险控制在可承受的范围内。
风险的特性可概括为：客观性——“失控的变化”；风险是波动的结果（系统波动、环境波动；正常波动；异常波动）；风险发生的根本原因在于“变”；损益性——可能带来收益或损失，通常具有危害。
偶然性——可能发生，可能不发生；随机发生；可变性——多种因素作用的结果；因素的时空变化导致风险动态变化；非结构性——人们对风险根源及其复杂的作用机制认识的有限性；可控性——通过监测和预防，可以减少或增加发生的可能性，降低或扩大危害。
风险管理就是指导和控制某一组织与风险相关问题的协调活动。
风险管理通常包括风险评估、风险处理、风险承受和风险沟通。
风险管理目标就是消除和减少不确定性（波动），改进系统以应对变化。
什么是风险管理原则ISO31000:2009提供了风险管理的原则和通用性指南，风险管理原则是ISO31000标准的重要内容。
风险管理系统像质量管理系统一样，ISO31000建立了一些为使风险管理变得有效而需要满足的原则。
风险管理原则是以管理原理为依据考虑管理者、管理对象、管理环境及管理任务的要求而制定出来的进行管理活动应遵循的准则。
风险管理课程讲解
风险源
案例：教材58页
1.概念
是指那些可能导致风险后果的因素或条件的 来源
2.分类
客观风险源：自然环境、人为环境（社会环 境、政治环境、经济环境、法律环境、操作 环境）
主观风险源
三、风险识别的方法
风险损失清单法 现场调查法 财务报表法 流程图法 事故树法
正常期望损失：风险管理单位在正常的风 险防范措施下遭受损失的期望值
可能的最大损失：风险管理单位在某些风 险防范措施出现故障的情况下，可能遭受 的最大损失
最大可能损失：风险管理单位在最不利的 条件下，可能遭受的最大损失额
五、风险评价的方法
风险度评价法 检查表评价法 优良可劣评价法 单项评价法
风险损失清单不是识别风险的万能方法，不 可能概括风险管理单位面临的特殊风险
风险损失清单只考虑了纯粹风险，没有考虑 投机风险
2.现场调查法
现场调查法是指风险管理部门、保险公司、 有关咨询机构等方面的工作人员，就风险管 理单位或可能面临的损失，进行详尽的调查， 并出具调查报告书。
优点
可以获得风险管理单位从事活动的现场调查 资料
事故树法简单、形象、逻辑性强，应用广泛
举例
经试验发现，泵失效的概率为0.5次/年， 过度输入的概率是1.5次/年，安全阀失效 的概率为-410-4
箱体爆炸的概率 如果更换泵，新泵失效率为0.25次/年，箱
体爆炸的概率 如果更换阀门，新阀失效率1*10-6，箱体爆
炸的概率
缺点
事故树法的绘制需要专门的技术 采用事故树法识别风险的管理成本比较高 相关概率的准确程度直接影响着估测的结果
风险治理：完善与提升国家公共安全管理的基石
一
步形 成 ， 包 括军 队 系统应 急体 系 建设 和对 地 方 这
的 支 援 进 一 步 加 强 ； 分 发 挥 专 家 在 应 急 管 理 充
去 。 时 ， 功 的 应 急 管 理 工 作 不 能 仅 限 于 动 员 整 个 社 会 资 源 有 效 地 应 对 “ ４ ” “ 险 ” 而 是 同 成 事 － 和 风 ｑ － ，
要 站 在 “ 理 ” 战 略 高 度 ， 合 多 方 力 量 ， 公 共 治 理 结 构 等 更 基 础 的 层 面 改 善 和 确 保 整 个 社 治 的 整 从 会 在 常 规 和 非 常 规 状 态 下 的 稳 定 运 ４－ 因 此 ， 来 国 家 的 应 急 管 理 工 作 应 当 在 完 善 全 过 程 应 急 ５。 未 管 理 的 基 础 上 ， 分 提 升 风 险 管 理 工 作 的 战 略 高度 ， 使 朝 着 风 险 、 急 与 危 机 管 理 并 重 的 整 合 充 促 应
——１—源自 囊 董 ｉ
。 。
量
ｉ
≤ 量≤
＿
江苏社会科学
一
魏 嚣 靛 瓣 谢
０
ｊ 第 期ｌ鼍 年 ｌ ０ ２ 锄 Ｄ 嗍年
的 地 位 最 重 要 。 这 与 抗 击 Ｓ Ｓ前 我 国 主 要 采 取 ＡＲ “ 部 门 为 主 ， 合 协 调 不 足 ” 模 式 相 比 ， 现 以 综 的 呈 出 常 设 性 、 合 性 和 专 业 性 的 特 点 翻， 有 了 很 大 综 且 进 步 ，也 为 推 动 应 急 管 理 工 作 奠 定 了 组 织 基 础 。
风险管理的监督与改进--注册会计师辅导《公司战略与风险管理》第五章讲义6
正保远程教育旗下品牌网站 美国纽交所上市公司(NYSE:DL)
中华会计网校 会计人的网上家园
注册会计师考试辅导《公司战略与风险管理》第五章讲义6
风险管理的监督与改进
五、风险管理的监督与改进
企业应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险管理初始信息、风险评估、风险管理策略、关键控制活动及风险管理解决方案的实施情况进行监督，采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。
以重大风险、重大事件和重大决策、重要管理及业务流程为重点
【企业各有关部门和业务单位】。
风险管理框架下的内部控制--注册会计师辅导《公司战略与风险管理》第六章讲义1
正保远程教育旗下品牌网站 美国纽交所上市公司(NYSE:DL)
中华会计网校 会计人的网上家园
注册会计师考试辅导《公司战略与风险管理》第六章讲义1
风险管理框架下的内部控制
考情分析
主要考点（难点或重点）
内部控制基本规范（目标、原则、五要素）
内部控制应用指引（18项）
内部控制评价与审计
审计委员会 公司治理原则
第一节 内部控制与风险管理的关系
本节主要内容简介：
企业内部控制理论的演变与发展
内部控制与风险管理的关系
有控则强，失控则弱；
无控则乱，不控则败；
一、企业内部控制理论的演变与发展（了解）
（一）内部“牵制”阶段20世纪40年代之前。
第6讲-MBS与ABS-PPT课程
– Aggregate current principal amount outstanding mortgage loans is over $4.9 trillion as compared to about $3.3 trillion of government securities and $4.4 trillion of Corporate bonds.
受托机构未能在支付日后10个工作日内或在有控制权的资产支持证券持有人大会允许的宽限期内对当时应偿付但尚未清偿的最优先级别的资产支持证券付息的但只要存在尚未清偿的级别最高的优先级资产支持证券由于信托没有足够资金而未能支付其他低级别优先级资产支持证券利息和次级资产支持证券收益不应构成违约事件
讨论的问题
– 2/28，即前2年固定利率（一般很低），2年后 开始每半年以市场利率为基础重置
– ARM按揭大大增加了参与按揭贷款的人数
• 一般提前还款要付罚款
– 有些罚款高达剩余按揭本金的80%
• 次级贷款的违约风险高
• 按揭贷款利率一般要大于同期的国债收益 率，这个利差反映：
– 无法通过担保消除的违约风险 – 较低的流动性 – 现金流分配的不确定性
上例子的等本还款
月 月初本金余额 月付款额 利息
本金 月末本金余额
1
600,000.00 4,666.66 3,000.00 1,666.66 598,333.34
2
598,333.34 4,658.34 2,991.66 1,666.66 596,666.66
3
596,666.66 4,650.00 2,983.34 1,666.66 595,000.00
发展战略--注册会计师辅导《公司战略与风险管理》第六章讲义6
正保远程教育旗下品牌网站美国纽交所上市公司(NYSE:DL)中华会计网校会计人的网上家园注册会计师考试辅导《公司战略与风险管理》第六章讲义6发展战略二、发展战略《企业内部控制应用指引第2号——发展战略》所称发展战略，是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的长远发展目标与战略规划。
什么都可以出错，战略不能出错；什么都可以失败，战略不能失败。
（一）制定与实施发展战略需关注的主要风险（1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力。
（2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。
（3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。
（二）内部控制要求与措施1.发展战略的制定（1）企业应当在充分调查研究、科学分析预测和广泛征求意见的基础上制定发展目标。
（2）企业应当根据发展目标制定战略规划。
（3）企业应当在董事会下设立战略委员会，或指定相关机构负责发展战略管理工作，履行相应职责。
（4）董事会应当严格审议战略委员会提交的发展战略方案，重点关注其全局性、长期性和可行性。
企业的发展战略方案经董事会审议通过后，报经股东（大）会批准实施。
2.发展战略的实施（1）发展战略的分解（年度工作计划，全面预算）（2）发展战略的宣传（发展战略及其分解落实情况传递到内部各管理层级和全体员工）（3）监控——战略委员会（4）调整——按照规定权限和程序三、人力资源《企业内部控制应用指引第3号——人力资源》所称人力资源，是指企业组织生产经营活动而录（任）用的各种人员，包括董事、监事、高级管理人员和全体员工。
政治路线确定之后，干部就是决定的因素——毛泽东（一）人力资源管理需关注的主要风险（1）人力资源缺乏或过剩、结构不合理、开发机制不健全，可能导致企业发展战略难以实现。
——企业决策层和执行层的高管人员（2）人力资源激励约束制度不合理、关键岗位人员管理不完善，可能导致人才流失、经营效率低下或关键技术、商业秘密和国家机密泄露。
时代光华课程：企业内部控制与风险管理+试题答案
课程考试已完成，现在进入下一步制订改进计划！本次考试你获得 6.0 学分！得分: 100学习课程： 学习课程：企业内部控制与风险管理 单选题1.企业建立内部控制体系的基础是： 1.企业建立内部控制体系的基础是： 企业建立内部控制体系的基础是 1. A 2. B 3. C 4. D 风险管理 职业道德 目标管理 法律法规 回答： 回答：正确 回答： 回答：正确年代，内部控制制度被划分为： 2.20 世纪 70 年代，内部控制制度被划分为： 1. A 2. B 3. C 4. D 程序控制和环境控制 程序控制和会计控制 管理控制和会计控制 管理控制和环境控制 回答： 回答：正确3.单位内部审计的三大目标是： 3.单位内部审计的三大目标是： 单位内部审计的三大目标是 1. A 2. B 3. C 4. D工程安全、资金安全和干部安全 工程安全、财务安全和干部安全 工程安全、资金安全和财务安全 财务安全、资金安全和干部安全 回答： 回答：正确4.属于环境的风险的是： 4.属于环境的风险的是： 属于环境的风险的是 1. A 2. B 3. C 4. D经营操作、政治变化、法律监管、市场的变化 股东关系、政治变化、法律监管、市场的变化 股东关系、经营操作、法律监管、市场的变化 股东关系、政治变化、法律监管、经营操作 回答： 回答：正确5.作为企业来讲，获得效益和现金的过程就叫做： 5.作为企业来讲，获得效益和现金的过程就叫做： 作为企业来讲 1. A 2. B 3. C 4. D 引领模式 盈利模式 经营模式 财务管理模式6.部门管理说的是在企业管理里面，部门处于： 6.部门管理说的是在企业管理里面，部门处于： 部门管理说的是在企业管理里面 1. A 2. B 3. C 4. D 决策阶段和层次 执行阶段和层次 管理阶段和层次 操作阶段和层次回答： 回答：正确7.企业对风险管理进行监控的方法是： 7.企业对风险管理进行监控的方法是： 企业对风险管理进行监控的方法是 1. A 2. B 3. C 4. D 持续监控 持续监控和个别评估 个别评估 有效沟通回答： 回答：正确8.在企业初创阶段，对企业产生致命影响甚至是毁灭性打击的是： 8.在企业初创阶段，对企业产生致命影响甚至是毁灭性打击的是： 在企业初创阶段 1. A 2. B 销售渠道 管理回答： 回答：正确3. C 4. D产品 竞争 回答： 回答：正确9.内部控制的主体是： 9.内部控制的主体是： 内部控制的主体是 1. A 2. B 3. C 4. D 财务部企业部门的集合 审计部 管理层 回答： 回答：正确10.规范企业的会计制度操作的是： 10.规范企业的会计制度操作的是： 规范企业的会计制度操作的是 1. A 2. B 3. C 4. D 职业道德 法律法规 企业制度 高层领导11.一个企业干不干，一个项目干不干，一个产业干不干，需要考虑的意见是： 11.一个企业干不干，一个项目干不干，一个产业干不干，需要考虑的意见是： 一个企业干不干 1. A 2. B 3. C 4. D 不熟悉不干、不激励不干 不熟悉不干、不考核不干 不考核不干、不激励不干 不熟悉不干、不考核不干、不激励不干回答： 回答：正确12.在企业战略和业务的操作环节之间起到承上启下作用和功能的是： 12.在企业战略和业务的操作环节之间起到承上启下作用和功能的是： 在企业战略和业务的操作环节之间起到承上启下作用和功能的是 1. A 2. B 3. C 4. D 员工发展 内部控制制定的目标 法人治理 风险管理 回答： 回答：正确回答： 回答：正确13.企业内部控制的第五大体系，叫做： 13.企业内部控制的第五大体系，叫做： 企业内部控制的第五大体系 1. A 2. B 3. C 4. D 政治对策体系 风险对策体系 资金对策体系 财务对策体系 回答： 回答：正确14.组合风险观是： 14.组合风险观是： 组合风险观是 1. A 2. B 3. C 4. D相对于部门的目标和风险容忍度而言的 相对于部门的措施和风险容忍度而言的 相对于部门的目标和风险规避能力而言的 相对于部门的措施和风险规避能力而言的 回答： 回答：正确15.企业的成本管理要从： 15.企业的成本管理要从： 1. A 2. B 3. C 4. D从董事会抓起 从总经理抓起 从总工程师、总设计师抓起 从财务总监抓起企业内部控制与风险管理第一讲 企业内部控制概述 ................................................................................................... 4 第二讲 企业内部控制的功能和机制 ................................................................................. 10 第三讲 内部控制的要素 ..................................................................................................... 12 内控要素一：内控环境 ......................................................................................................... 15 第四讲 内部控制环境的要素 ............................................................................................. 17 内控要素二：内控目标与风险评估 ..................................................................................... 22 第五讲 企业内部控制的目标制定（上） ......................................................................... 22 第六讲 企业内部控制的目标制定（下） ......................................................................... 26 第七讲 风险评估................................................................................................................. 30 第八讲 风险反应................................................................................................................. 34 第九讲 内部控制活动（上） ............................................................................................. 37 内控要素三：控制活动 ......................................................................................................... 38 第十讲 内部控制活动（下） ............................................................................................. 41 内控要素四：信息与沟通 ..................................................................................................... 43 第十一讲 内部控制的信息沟通与监控 ............................................................................. 43 内控要素五：监控................................................................................................................. 45 第十二讲 内部控制活动的实施及其局限性 ..................................................................... 48 ★课程意义 ——为什么要学习本课程？（学习本课程的必要性） ——为什么要学习本课程？（学习本课程的必要性） 为什么要学习本课程？（学习本课程的必要性 ☆ 如何看待企业在发展过程中效率与安全的矛盾；制度有时为何成为发展的绊脚石；为什么有健 全制度仍然出现问题；保证制度有效性的主要责任在谁；如何辨别企业、业务、部门的风险；部门 与企业发展战略如何切实连接；怎样确保制度的有效贯彻和执行；生产、采购、销售、投资、应收 账款的管理如何全面布局；基于财务的内控体系如何构建。
工程项目风险管理PPT含详细案例讲解
2.1 工程项目风险定义
第6章 工程项目风险管理
•工程项目风险：指在工程项目目标规定 的条件下，该目标不能实现的可能性。
•（在可行性研究设计、施工等各个阶段 可能遭到的风险）
第6章 工程项目风险管理
2.2 工程项目风险分类
除一般风险分类外，工程项目涉及的当事人主要是 工程项目的业主/项目法人、工程承包商和工程咨询 人/设计人/监理人。
风险估计
第6章 工程项目风险管理
1．风险事件发生的概率 2．风险事件后果的估计 3．风险的衡量
风险度R
R f ( p,q ) R pq 或
n
R pi qi i 1
工程项目风险评价
第6章 工程项目风险管理
（一）风险评价的目的 （1）确定它们的先后顺序； （2）弄清各风险事件之间的因果关系； （3）考虑各种不同风险之间相互转化的条件； （4）进一步量化已识别风险的发生概率和后果。
承包商的风险
第6章 工程项目风险管理
• （1）决策错误的风险 ；
• （12））信缔息约取和舍履失约误或的信风息险失；真的风险； • （234121233）））））））中 投 报 违 故 合 施 合责介 标 价 约 意 同 工 同任与 的 失 ； 或 条 管 管风代风误无件理理险理险的意不技不的；风侵平术善。风险权等不；险。；或熟；对悉承；包商不利的缺陷；
第6章 工程项目风险管理
• 第二节 工程项目风险管理
• 1 工程项目风险管理及过程 • 2 工程项目风险识别 • 3 工程项目风险分析与评价 • 4 工程项目风险应对
1.1 工程项目风险管理
第6章 工程项目风险管理
工程项目风险管理：是工程项目管理班子通过对风险的识 别、估测、评估，运用各种项目风险应对措施和管理方法 对项目风险进行有效控制，以确保项目总体目标全面实现 的专项管理工作。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
风险识别
下面的提问来源于对世界各地有经验的软件项目管理人员的调查而得到的风险资料 ，根据各个问题对项目成功的相对重要性将问题进行了排序： 1. 高层的软件管理者和客户管理者已经正式承诺支持该项目了吗？ 2. 最终用户对项目和待开发的系统或产品热心支持吗？ 3. 软件工程团队及其客户充分理解需求了吗？ 4. 客户已经完全地参与到需求定义中了吗？ 5. 最终用户的期望现实吗？ 6. 项目范围稳定吗？ 7. 软件工程团队的技能搭配合理吗？ 8. 项目需求稳定吗 9. 项目团队对将实现的技术有经验吗？ 10. 项目团队的人员数量满足项目需要吗？ 11. 所有的客户或用户对项目的重要性和待开发的系统或产品的需求有共识吗？
24
风险预测
• 风险表给项目管理者 提供了一种简单的风 险预测方法（风险表 可以采用电子表格模 式来实现，使表中的 条目易于操作和排序 ）。
图6－2 排序前的风险表样本
25
风险预测
• 项目管理者首先要在表中的第一列列出所有风险(不管多么细微)。这可以利用风险 条目检查表来完成。
• 在第二列中给出每一个风险的类型（如，PS指产品规模风险，BU指商业风险）。 • 在第三列中填入各个风险发生的概率。每个风险的概率值可以由团队成员各自估
如果对这些问题的任何一个回答是否定的，则应务必启动缓解、监测和管理风险的 步骤。项目的风险程度与对这些问题否定回答的数量成正比。
19
风险识别
风险因素包括：性能、成本、支持和进度。在这里，风险因素是以如下的方式定义 的： • 性能风险——产品能够满足需求且符合其使用目的不确定程度。 • 成本风险——能够维持项目预算的不确定程度。 • 支持风险——开发出软件易于纠错、修改及升级的不确定程度。 • 进度风险——与能够维持项目进度且按时交付产品的不确定程度。 每一个风险驱动因子对风险因素的影响均可分为四个影响类别：
• 风险管理的步骤：（1）风险识别，即辨识出什么情况下可能会出问题。（2）分 析每个风险，确定其可能发生的概率以及发生时将带来的危害。了解这些信息之 后，就可以按照可能发生的概率和危害程序对风险进行排序。（3）制定一个计 划来管理那些发生概率高和危害程度大的风险。
• 工作产品：风险缓解、监测和管理（risk mitigation,monitoring and management,RMMM）计划或一组风险信息表单
23
风险预测
• 项目计划人员，其他管理人员和技术人员都要进行以下4步风险预测活动： （1）建立一个尺度，以反映风险发生的可能性； （2）描述风险产生的后果； （3）估算风险对项目及产品的影响； （4）标明风险预测的整体精确度，以免产生误解。
• 按此步骤进行风险预测，目的是使我们可以按照优先级来考虑风险。任何软件团 队都不可能以两样的严格程序来为每个可能的风险分配资源，通过将风险按优先 级排序，软件团队可以把资源分配给那些具有最大影响的风险。
图6－3 风险与管理
27
风险预测
• 参照图6－3，从管理关注的角度来看，风险的影响和发生的概率是截然不同的。 一个具有高影响但发生概率很低的风险因素不应该耗费太多的管理时间。而高影 响且发生概率为中到高的风险、以及低影响且高概率的风险，应该首先列入随后 的风险分析步骤中。
• 所有在中截线之上的风险都必须进行管理。 标有RMMM的列中包含了一个指示器，指向为所有中截线之上的风险所建立的风 险缓解、监测及管理计划（Risk Mitigation，Monitoring and Management Plan， RMMM计划）或一组风险信息表单。
17
风险识别
风险条目检查表可以采用不同的方式来组织。与上述每个主题相关的问题针对每一 个软件项目来回答。有了这些问题的答案，项目管理者就可以估计风险产生的影响 。也可以采用另一个不同的风险条目检查表，即仅仅列出与每一个常见子类型有关 的特性。最终，给出一组“风险因素和驱动因子”［AFC88］以及它们发生的概率。
10
软件风险
虽然对于软件风险的严格定义还存在很多争议，但一般认为软件风险包含两个特性 ［Hig95］： 不确定性（uncertainty）。风险可能发生也可能不发生；即，没有100％会发生的
风险（100％发生的风险是加在项目上的约束）。 损失（loss）。如果风险发生，就会产生恶性后果或损失。 进行风险分析时，重要的是量化每个风险的不确定性程度和损失程度。为了实现这 点，必须考虑不同类型的风险。
可忽略的、轻微的、严重的或灾难的。
20
图6－1指出了由于未识别出的 软件失误而产生的潜在影响（ 标号为1的行），或没有达到 预期的结果所产生的潜在影响 （标号为2的行）。影响类别 的选择是以最符合表中描述的 特征为基础的。
图6－1 影响评估
风险预测
• 风险预测（risk projection），又称风险估计（risk estimation），试图从两个方面 评估每一个风险： （1）风险发生的可能性或概率， （2）如果风险发生，风险相关问题产生的后果。
6
基本概念
• Peter Drucker［DRU75］曾经说过： “当没有办法消除风险，甚至连试图降低该风险也存在疑问时，这些风险就是真 正的风险了”。
• 在我们能够标识出软件项目中的“真正风险”之前，识别出所有对管理者及开发者而 言均为明显的风险是很重要的。
7
风险策略
• 被动风险策略（reactive risk strategies）被戏称为“印地安那·琼斯学派的风险管理” ［Tho92］。印地安那·琼斯在以其名字为影片名的电影中，每当面临无法克服的困 难时，总是一成不变地说：“不要担心，我会想出办法来的！”。印地安那·琼斯从 不担心任何问题，直到风险发生，再做出英雄式的反应。
5
基本概念
对于软件工程领域中的，Charette的三个概念定义是显而易见的。 • 未来是我们所关心的——什么样的风险会导致软件项目彻底失败呢？ • 改变也是我们所关心的——用户需求、开发技术、目标计算机、以及所有其他 与项目相关的因素的改变将会对按时交付和总体成功产生什么影响呢？ • 最后，我们必须抓住选择机会——我们应该采用什么方法及工具？需要多少人 员参与工作？对质量的要求要达到什么程度才是“足够的”？按照以往项目的 历史数据进行详细的估算。确定项目的估算工作量和工期。
12
软件风险
• 不同类型的风险
项目风险（project risk）威胁到项目计划。也就是说，如果项目风险发生，就有可 能会拖延项目的进度和增加项目的成本。项目风险是指预算、进度、人员(聘用职 员及组织)、资源、利益相关者、需求等方面的潜在问题以及它们对软件项目的影 响。在第4讲估算中，项目复杂度、规模、及结构不确定性也属于项目(和估算)风 险因素。
算，然后按循环投票的方式进行，直到大家对风险概率的评估值趋于接近为止。 • 下一步是评估每个风险所产生的影响。使用图6-1所示的特性评估每个风险因素，
并确定其影响的类别。将4个风险因素——性能、支持、成本、及进度——的影响 类别求平均可得到一个整体的影响值（如果某个风险因素对项目来说比较重要， 可以使用加权平均法）。
应该注意到的很重要的一点是：简单的分类并不总是行得通。某些风险根本无法事 先预测。
风险识别
• 风险识别试图系统化地指出对项目计划（估算、进度、资源分配等）的威胁。识 别出已知的和可预测的风险后，项目管理者首先要做的是：在可能时避免这些风 险，在必要时控制这些风险。
• 上一小节提出的每一类风险又可以分为两个不同的类型：一般性风险和产品特定 的风险。 一般性风险（generic risk）对每一个软件项目而言都是一个潜在的威胁。 产品特定的风险（product-specific risk）只有那些对当前项目特定的技术、人员 及环境非常了解的人才能识别出来。为了识别产品特定的风险，必须检查项目 计划及软件范围说明，然后回答这个问题：“本产品中有什么特殊的特性可能 会威胁到我们的风险（business risk）威胁到要开发软件的生存能力，且常常会危害到项目或 产品。五个主要的商业风险是：
(1)开发了一个没有人真正需要的优秀产品或系统(市场风险)； (2)开发的产品不再符合公司的整体商业策略(策略风险)； (3)开发了一个销售部门不知道如何去销售的产品（销售风险）； (4)由于重点的转移或人员的变动而失去了高级管理层的支持(管理风险)； (5)没有得到预算或人员的保证(预算风险)。
16
风险识别
识别风险的一种方法是建立风险条目检查表。该检查表可以用于识别风险，并且主 要用来识别下列几种类型中的一些已知的及可预测的风险：
• 产品规模——与要开发或要修改的软件的总体规模相关的风险。 • 商业影响——与管理者或市场所施加的约束相关的风险。 • 客户特性——与客户的素质以及开发者和客户定期沟通的能力相关的风险。 • 过程定义——与软件过程定义的程度以及该过程被开发组织遵守的程度相关的风险 • 开发环境——与用来开发产品的工具的可用性及质量相关的风险。 • 开发技术——与待开发软件的复杂性及系统所包含技术的“新奇性”相关的风险。 • 人员数目及经验——与软件工程师的总体技术水平及项目经验相关的风险。
技术风险（technical risk）威胁到要开发软件的质量及交付时间。如果技术风险发 生，开发工作可能变得很困难或根本不可能。技术风险指设计、实现、接口、验 证和维护等方面的问题。此外，规格说明的歧义性、技术的不确定性、陈旧的技 术以及“前沿”技术也是技术风险因素。技术风险的发生是因为问题比我们所设 想的更加难以解决。
26
风险预测
• 完成了风险表的前4列内容之 后，就可以按照概率及影响值 来进行排序。高概率、高影响 的风险放在表的上方，而低概 率风险则移到表的下方。这样 就完成了第一次风险排序。
• 项目管理者研究排序后的表， 并定义一条中截线。该中截线 （表中某处之上的一条水平线 ）表示： 只有那些在中截线之上的风险 才会得到进一步的关注，而在 线之下的风险则需要重新评估 以进行第二次排序。