翻翻自己收藏的電子書，突然發現有這么一本居然還沒碰過。書名是《ADDISON WESLEY -Software Project Management in Practice》。大體上看了一下，相當不錯。從今天開始先讀點感興趣的--風險控制。

1、風險的定義。

風險就是一些事件或者狀況，它們有可能在你的項目的進程中發生，也有可能不發生，一旦發生，會給項目帶來嚴重的不良影響。不要把風險和那些需要在項目中通過管理的途徑施加干預的事情相混淆。一個項目經理必須對一些事情進行處理或作出計劃，但是它們本質上是不可預知的，這不能算是風險。舉個例子，我們都知道軟件產品總是會有漏洞，所以必須制定計劃來修復它們。類似的，需求的變更總是會發生，所以項目管理需要為這些變更作出準備。這些我們都只是作為普通的事情對待，他們算不上風險。

風險，從另外一個方面來說，是一個很“模糊”的事情--也可能發生，也可能不發生。鑒于此，我們總是理想的認為或者說希望它們不會發生。社會因素和組織因素也常常起到蒙蔽它們的作用。在風險真正到來的時候，往往就是這種態度或認識讓項目陷入萬劫不復的境地，大的項目尤為如此。不要吃驚，在那些大型項目的管理中，風險管理總是一個好的管理實踐的第一步。

風險管理的目標就是看到那些風險，然后讓它們對項目的影響達到最小化。風險管理在項目管理中算是一個較新的領域。第一個引入它的是Boehm's tutorial on risk management。從那開始，已經誕生了一批圖書來講有關風險控制的理論。

在我們開始深入討論風險這個話題之前，讓我們再來一個小例子，回味一下風險的有關概念。假想有一臺電腦需要一刻不停的提供一個服務。在這個前提下，首先可以想到的一個風險就是--停電。可能會斷電，也可能不會。如果確實停電了，即使是一秒，這個服務也會從中“受益匪淺”（重啟，數據丟失等等）。如果后果是不可接受的，你就需要一臺UPS來進行持續供電，盡可能的減少這種情況的出現帶來的損失。如果停電時間還會再長，那你可能需要考慮數據備份的一些問題。當一切風險控制手段到位的時候，即便是停電，甚至停很長時間，也不會對你的系統目標產生多少危害。

從上面這個例子我們看到了什么？

要想管理好風險，就需要額外的投入（UPS等等）。因此只有當為了管理風險而作出的投入低于風險所帶來的損失的時候，才應該去考慮它。

管理風險所帶來的價值往往難以估算，除非在風險真的發生之后。但這是由風險本身的特性所決定的。不能因為現在還沒有帶來“價值”而否定風險控制的重要性。

管理風險的第一步就是找出所有可能的風險。一旦你進行了風險預估，你就可以做風險管理計劃了。總之，風險的管理包含兩個關鍵點：風險的預估，風險的控制。每一步你都有很多事情去做。如下圖：

風險預估，首先需要發現風險，然后分析它們，再為它們排定優先級。在排定優先級的過程中，你找到那些確實需要進行管理的風險。換句話說，優先級的排定過程確定了你能夠從你對那些風險的管理中獲取最大的收益。在這個過程中，有兩點很重要。首先是風險發生的機率；越有可能發生的風險，越要優先考慮。其次是風險的影響；影響越大的風險越要優先考慮。

一種排定優先順序的方法就是考慮一個風險的發生以及它的后果。后果就是預期的風險所帶來的損失。如果我們把風險發生的可能性用Prob(R)來代替，把風險的預期損失用Loss(R)代替，那么風險的曝光量RE(R)可以用下面的等式計算：

RE(R)=Prob(R)*Loss(R)

一旦風險的優先級排定好了，你就該考慮該為它們做點什么了。到底要對哪些風險進行管理，就看你的決策了。這個決定有可能只針對風險列表中處于最頂端的幾個風險。

你有可能采取預防或避免之類的做法來對付這些風險。比如如果一個新規格的硬件有可能會引發風險，那么就去采用那些經過實地應用驗證萬無一失的硬件來替代。當然，這些措施并不是任何時候都合適的--比如，萬一你的用戶就認那個新硬件呢。在這種情況下，一定要采取合適的手段來控制風險。

對于你選中的每一個風險，你都必須擬定計劃來進行管理。風險感是會隨著時間變化的，你必須同時監控風險和你的控制風險的計劃，進而最小化風險的后果所帶來的損失。在一個項目進程中，風險感和風險管理的效果是此消彼長的。因而應該對風險及其管理作出量度。

風險管理可以集成到開發進程中來，就像螺旋式軟件開發那樣去做。你也可以把風險管理作為一個獨立的進程對待，這樣你就必須同時理解風險管理與項目的執行之間的關系，如下圖所述：

從項目進程中獲取風險的評估信息和風險的監控信息，同時還要考慮其他一些因素，進而找出需要進行管理的風險。風險管理活動，從另一方面又對項目施加影響，以降低風險的后果所帶來的損失。