风险以及风险管理过程
上一大章节的沟通管理和干系人管理还是比较轻松的吧？希望这些轻松的内容能够让你放松一下，因为接下来的最后两章，也就是项目风险管理和项目采购管理的内容又多了起来。当然，这些知识也是非常有用的，即使你不准备考试。毕竟，任何事情，任何项目都会有风险，风险是不可避免的，而且无处不在的。
风险
生活中的风险就不必多说了，可以说，只要你活着，就有各种风险面对着你。出门有风险，甚至走路都有可能被楼上的水泼到。在家也会有风险，喝凉水都会塞牙缝这也不是空穴来风的说法。只不过，这些风险发生的概率非常低，但绝对不代表没有。同样的，我们也会遇到好的风险，或许也可以叫做机会。比如说中彩票了，这是风险吗？是的，它也是一个概率事件，但是它是好的风险。
项目风险是一个比较规范的定义，指的是一种不确定的事件或条件，一旦发生，会对项目目标产生某种正面或负面的影响。项目风险既包括对项目目标的威胁，也包括促进项目目标的机会。
风险属性
风险的属性，其实也可以看作是风险的特性。这些内容从风险的定义中其实就可以看出来，它一般包括：
- 风险事件的随机性：风险事件的发生大都具有偶然性，如果不是偶然出现的风险，那我们就是可以提前规划解决的，这样的事件其实就称不上是风险了，而是我们正常的项目业务推进。
- 风险存在的客观性和普遍性：就像我们上面说过的，生活当中的风险都是无处不在的，项目中的风险就更是普遍客观存在的。而且风险的出现也是必然的，特别是对于越复杂、参与人员越多的项目来说，风险出现的机率就越高。人多意味着复杂性的增加，复杂性的增加意味着熵的增加，熵带来的就是各种混乱。
- 风险的相对性：风险总是相对项目活动主体而言的。同样的风险对于不同的主体有不同的影响。在这里我们要关注几个模型，它们分别根据几个因素来区分对风险的承受能力。具体内容如下：
- 收益大小：损失的可能性和数额越大，人们希望为弥补损失而得到的收益也越大。反过来，收益越大，人们愿意承担的风险也就越大。（收益越大风险承受力越大，反之越小）
- 投入的大小：项目活动投入的越多，人们对成功所抱的希望也越大，愿意冒的风险也就越小。（投入越大风险承受力越小，反之越大）
- 项目活动主体的地位和拥有的资源。管理人员中级别高的同级别低的相比，能够承担大的风险。（地位资源越高风险承受力越大，反之越小）（想起蜘蛛侠的经典台词没？能力越大责任越大！！）
- 风险的可变性、多样性、多层次性：风险性质、后果都会因为当前环境情况的不同而产生不同的效果，有的风险可能在项目初期是严重的风险，但到项目后期可能就完全不是事儿了。同时，风险也有着好、坏、没什么影响等各种各样的形式。最后，风险是有不同等级层次的，后面我们会看到。
总结一下，风险的属性特点包括：客观性、普遍性、偶然性、必然性、可变性、多样性、多层次性。
风险的分类（一）
对于风险来说，我们可以从许多的角度来进行分类。另外，从项目经理的业务角度也对风险进行了一个简单的分类，我们放在后面两个小节再说。在这个小节，我们先看看通用的风险分类。
分类角度 | 分类 | 说明 |
|---|---|---|
风险后果 | 纯粹风险 | 不能带来机会、无获得利益可能。只有两种可能后果，造成损失和不造成损失，这种损失是全社会的损失，没有人从中获得好处 |
投机风险 | 既可能带来机会、获得利益，又隐含威胁、造成损失。有3种可能后果：造成损失、不造成损失、获得利益 | |
纯粹风险和投机风险在一定条件下可以相互转化，项目经理必须避免投机风险转化为纯粹风险 | ||
风险来源 | 自然风险 | 由于自然力的作用，造成财产损毁或人员伤亡的风险 |
人为风险 | 由于人的活动而带来的风险，可细分为行为、经济、技术、政治和组织风险 | |
可管理 | 可管理风险 | 可以预测，并可采取相应措施加以控制的风险 |
不可管理风险 | 不可预测的风险 | |
影响范围 | 局部风险 | 影响的范围小 |
总体风险 | 影响的范围大 | |
局部和总体风险是相对而言的，项目经理要特别注意总体风险。 | ||
可预测性 | 已知风险 | 能够明确的，后果也可遇见的风险。发生的概率高，但后果轻微 |
可预测风险 | 根据经验可以预见其发生，但其后果不可预见。后果有可能相当严重 | |
不可预测风险 | 不能预见的风险，也称为未知风险、未识别风险。一般是外部因素作用的结果 | |
在上面的这些风险中，我们需要关注的是投机和纯粹风险相关的定义，以及它们是可以互相转化的。所有人肯定都是希望纯粹风险变成投机风险，而不要让投机风险变成了纯粹风险。另外就是已知、可预测和不可预测风险相关的概念。
风险的分类（二）
除了上面的那些基础的风险分类之外，我们在做信息系统相关的项目时还可以将风险分为：项目风险、技术风险、商业风险三类。
项目风险主要包括潜在的预算、进度、人员和组织、资源、用户和需求问题；项目复杂性、规模和结构的不确定性等问题。
技术风险主要包括潜在的设计、实现、接口、测试和维护方面的问题；规格说明的多义性、技术上的不确定性、技术陈旧、最新技术（不成熟）等问题。可以看到，不管太新还是太旧，都有可能带来技术风险，最好的选择当然是现阶段较为流行的成熟技术。
商业风险，主要包括：
- 市场风险：系统虽然很优秀但不是市场真正所想要的
- 策略风险：系统不符合企业的信息系统战略
- 销售风险：开发了销售部门不清楚如何推销的系统
- 管理风险：由于重点转移或人员变动而失去上级支持
- 预算风险：开发过程没有得到预算或人员的保证
风险的分类（三）
最后，在项目内部，一般是根据是否识别出风险以及是否可以应对风险来划分出来几种风险类型。它们和我们之前在进度和成本中学习过的管理储备和应急储备是有重要联系的。如果有同学忘了管理储备和应急储备是什么的话，马上回去看看哦！
- 已知-已知风险：就是已识别出来，并且进行过分析的风险。人们知道它们是什么风险以及发生的可能性和后果，通常按计算出的风险金额计入具体的项目工作的成本中。也就是说，对于已知-已知的风险，其成本（按预期货币价值计算）直接计入项目各项活动中。
- 已知-未知风险：已经识别出但其发生概率或后果还不清楚的风险，通常这类风险可以使用应急储备（包括时间和成本的应急储备）来应付。应急储备是项目成本基准的组成部分之一。
- 未知-未知风险：过去从未遇到过的、完全未知的风险。万一发生，就用管理储备来应付。对未知-未知风险的管理通常不是项目经理的责任。
如果我们题目中出现了未知风险这四个字，基本上指的就是未知-未知风险这种类型，也就是一定会和管理储备挂钩。见到已知-未知则是和应急储备挂钩。已知-已知的风险就像我们在文章开头所说的，基本上已经不算是什么风险了，而是项目的任务之一，所以我们直接将它和普通任务一样看待，包括成本以及进度的制定都按照普通任务进行预算规划。
风险成本及其负担
风险事件造成的损失或减少的收益以及为防止发生风险事件采取预防措施而支付的费用，都构成了风险成本。风险成本包括有形成本、无形成本以及预防与控制风险的成本。
有形成本又包括直接损失和间接损失。
- 直接损失是指财产损毁和人员伤亡的价值。
- 间接损失指直接损失以外的它物损失、责任损失以及因此而造成的收益的减少。
无形成本是指由于风险所具有的不确定性而使项目主体在风险事件发生之前或之后付出的代价。主要包括：风险损失减少了机会；风险阻碍了生产率的提高；风险造成资源分配不当。
风险预防与控制的成本是为了预防和控制风险损失，必然要采取各种措施。如向保险公司投保、配备必要人员等等。
项目风险管理过程
项目风险管理就是要在风险成为影响项目成功威胁之前，识别、着手处理并消除风险的源头。项目风险管理就是项目管理班子通过风险识别、风险估计和风险审计，并以此为基础合理地使用多种管理方法、技术和手段对项目活动涉及的风险实行有效的控制，采取主动行动，创造条件，尽量扩大风险事件的有利结果，妥善地处理风险事故造成的不利后果，以最少的成本保证安全，可靠地实现项目总目标。
所属过程组 | 管理过程 | 解释 |
|---|---|---|
规划过程组 | 规划风险管理 | 定义如何实施项目风险管理活动的过程 |
识别风险 | 判断哪些风险会影响项目并记录其特征的过程 | |
实施定性风险分析 | 评估并综合分析风险发生概率和影响，对风险进行优先级排序，从而为后续分析或行动提供基础的过程 | |
实施定量风险分析 | 就已识别风险对项目整体目标的影响进行定量分析的过程 | |
规划风险应对 | 针对项目目标，制定提高机会、降低威胁的方案和措施的过程 | |
监控过程组 | 控制风险 | 在整个项目中，实施风险应对计划、跟踪已识别风险、检测残余风险、识别新风险和评估风险过程有效性的过程 |
总结
今天的内容主要就是入门了解一下风险相关的定义，以及风险的分类。其中，风险的属性、常见分类以及项目风险分类是重点的内容。总体来说内容并不多，大家应该还是很好消化的。
参考资料：
《信息系统项目管理师教程》
《某机构培训资料》
《项目管理知识体系指南 PMBOK》第六版
