CMMI3 PA之風險管理(RM)過程域解釋和實施指南

有這樣的說法：項目管理其實就是風險管理，把風險管理好了，項目也就管理好了。可見風險管理是多么重要啊！

在CMM的時候，還沒有專門的PA是針對風險管理的。

CMMI2級的PP這個PA的SP2.2提到要識別風險，但這里的要求還是處于項目級別層次的。3級中的RSKM，已經把風險管理上升到組織層面，組織級需要對風險進行分類、定義風險的屬性參數、制定風險的管理策略等。

什么是風險：是項目執行全過程中可能發生、一旦發生就會影響目標的實現并進而造成的事件。具有以下兩個明顯的特征：1.不確定性，事件可能發生也可能不發生（必然發生的事件應列入項目的約束的條件，而不是風險）。2.損失，事件一旦發生，就造成（成本、進度和質量等方面的）損失甚至出現嚴重的惡性后果等。

風險是可能性，風險的觸發條件（起因和機理）要分析出來；風險在什麼時候發生；緩解措施是針對風險的觸發條件；

風險來源（風險分類和分類指南）；風險屬性參數（如嚴重度、發生頻度、不易探測度、發生時間的遠近等，等級高、中、低，不同項目可能不一樣）；風險參數如跟進度、質量、成本等偏差的關系；風險策略：什么情況下風險規避、風險轉移（外包）；評價優先級，風險緩解計劃要進行跟蹤；

風險管理(Risk Management, RSKM)的目的是在風險發生前，識別出潛在的問題，以便在產品或項目的生命周期中,規劃風險處理活動，并于必要時啟動風險處理活動，如此可將不利于完成目標的影響降低

SG 1風險管理準備

SP 1.1 確定風險來源和類別

SP 1.2 定義風險參數

SP 1.3 建立風險管理策略

SG 2識別并分析風險

SP 2.1識別風險

SP 2.2評估、分類及排序風險

SG 3緩解風險

SP 3.1制定風險緩解計劃

SP 3.2執行風險緩解計劃

RSKM有3個SG，SG1主要就是講述組織級的要求，而SG2、SG3重點講述項目如何進行風險管理活動。

SG1 準備風險管理：做好風險管理的準備。

為實施風險管理做好準備工作，通常是形成一個風險管理計劃的文檔，為整個風險管理提供一個戰略性的文件；

SP1.1 決定風險的來源和類別（分類）。

SP 1.1確定風險的來源和風險的類別。

常見風險源包括：未確定的需求，不可預知的投入和估算不到位，不切實際的設計，不可得到的技術，不現實的進度估算和安排，人員或技術不足，成本或資金問題，子承包商能力的不確定或不足，買主能力不確定或不足，與現實的或潛在的客戶或客戶代表溝通不充分，打斷操作的持續性。

典型的工作產品

1.風險來源清單(內部及外部)

2.風險類別清單

子實踐

1.確定風險來源.

2.確定風險類別.

SP 1.2定義風險的參數。

定義用于分析和分類風險的參數，以及用于控制風險管理活動的參數。一般來說，風險會有后果嚴重級別、（起因和機理）發生機率、不易探測度、發生時間遠近等屬性

典型的工作產品

1.風險評估、分類及排定優先級的準則

2.風險管理需求(例：控制與核準層級、再評估的時間間隔等)

子實踐

1.定義一致性的準則，以評估及量化風險的可能性及嚴重程度。

2.定義每個風險類別的閾值.

3.定義某風險類別閾值的范圍。

SP 1.3建立風險管理策略：建立和維護風險管理的策略和方法。

風險管理策略通常記錄于組織的文檔中或項目的風險管理計劃。風險管理策略由相關的干系人審查，以增進承諾和了解。

周詳的風險管理策略說明的事項如下：:

風險管理投入的范圍

使用于風險識別、風險分析、風險緩解、風險監控及溝通的方法及工具

項目特定的風險來源

如何組織、分類、比較及整合風險

對已識別風險采取行動的參數，包括可能性、結果及閾值

風險緩解所使用的技術，例如：原型制作、試行、模擬、備選方案設計或漸進式發展

定義風險度量，以監控風險狀況

風險監控或再評估的時間間隔

典型的工作產品

1.  項目風險管理策略

SG2 識別和分析風險

識別風險并分析，以便決定其的相關重要性。

SP 2.1識別并文檔化風險。

典型的工作產品

1.  已識別的風險清單，包括風險發生的內容、條件（起因和機理）及結果。

子實踐

1.  識別與成本、進度及性能在產品生命周期各個階段的風險。

2.  審查可能影響項目的環境因素。

3.  審查WBS(工作分解結構)的所有組件或元素，作為風險識別的一部分，以確保考慮到工作量投入的所有方面。

4.  審查項目計劃的所有組件或元素，做為風險識別的一部分，以確保項目在各方面均已考慮。

5.  文檔化風險的內容、條件及可能的潛在結果。

6.  識別與每一風險相關的干系人。

SP 2.2 對風險進行評估、分類及排序

目的是使用已定義的風險類別和參數，評價和分類每個已識別的風險，并對其進行排序。

典型的工作產品

1.  風險清單，包含各風險的優先級

子實踐

1.  利用已定義的風險參數，評估已識別的風險。

2.  依照定義的風險類別，將風險分類并分組。

3.  確定每個風險的排序，已確定緩解風險的優先級，決定那些風險要優先考慮采取緩解措施。

SG3緩解風險：

適當的處理和緩解風險，以減少對達成目標的不利影響。

SG2主要講的是識別和分析風險，SG3就是要管理風險及采取緩解措施了。

SP 3.1依據風險管理策略所定義，項對目影響大的重要風險，制定風險緩解計劃.

典型的工作產品

1.  每個已識別風險之處理方案的記錄

2.  風險緩解計劃

3.  緊急應變計劃  4.負責追蹤及解決每個風險的人員清單

子實踐

1.  定義風險在什么情況下是無法接受要啟動風險緩解計劃或緊急應變計劃的風險等級及閾值。

2.  確定負責處理每個風險的個人或團隊。

3.  確定實施每個風險之風險緩解計劃的成本效益比。

4.  開發項目整體的風險緩解計劃，用以協調和權衡個別的風險緩解計劃和緊急應變計劃的實施。

5.  針對選取的關鍵風險，開發當關鍵風險發生時的緊急應變計劃。

SP 3.2實施風險緩解計劃

周期性地跟蹤監督風險狀態，必要時（在需要的時候）實施風險緩解計劃。

典型的工作產品

1.更新后的風險狀況清單

2.更新后的風險可能性、結果及閾值的評估

3.更新后的風險處理方案清單

4.更新后的風險處理行動清單

5.風險緩解計劃

子實踐

1.監控風險狀態

2.提供方法，以追蹤未完成的風險處理措施或行動項目一直到結案。

3.當監控的風險超過定義的閾值時，調用選定的風險處理方案。

4.針對每個風險處理活動，建立進度或某段期間的績效要求，包括起始日期和預計的完成日期。

5.對每個計劃提供持續性的資源承諾，以使風險處理活動成功的執行。

6.收集風險處理活動的績效度?數據。