“如果这个账户不能被批准，我们的测试工作就不能如期进行”，
“提供第三方接口的时间尚未确定。如果不能在一定时间内提供，我们的联调工作可能会延迟。”.
只要你参与或管理过一个项目，你就会对这些问题很熟悉。这是项目管理过程中的风险点。如果没有合理的识别和控制，项目经理就会被这些事情推开，变成消防员。
那么想要化被动为主动，就必须要对项目的风险进行有效的管理。
咱们以前分享过很多风险管理的文章，大家可以参考
举例说明项目风险管理的整个过程和工具。
如何建立风险预警机制？如何控制项目的全生命周期？【景硕2】图1如何通过掌握项目管理风险和应对策略来管理敏捷项目管理中的风险？举例说明一个优秀的项目经理如何做好项目风险管理。掌握项目风险管理清单的地图，项目风险常见清单的清单库——再也不用担心无法提前预测风险。
但是没有把风险管理的全过程讲讲透，今天用一篇文章来把风险管理整个过程讲明白。
一、风险管理的相关概念
在谈论风险管理之前，我们需要了解一些与风险相关的核心概念。
1.1.风险有多大？有什么风险？它们是可能导致项目失败的因素。那些尚未发生，但可能发生的，发生后会对项目产生影响。
可见，风险有两个属性，一是风险发生的概率，二是风险发生后的影响。
这里需要特别说明的是，项目中的问题和风险会对项目产生影响。如何区分这两者？这很简单。问题是已经发生的事件，而风险是未来可能发生的事件，即不确定事件。
1-1.风险和问题的区别
风险又分为两类，一类是已知风险，就是我们知道这个事件本身，举个例子：
我知道系统的完成依赖于第三方的接口支持，但是对方什么时候提供，质量如何会影响项目的发展，影响是不确定的。
还有另外一类，我们连事件的本身是什么都不清楚，称为未知风险，也就是我们常说的“我们不知道我们不知道”，这里还举同一个例子：
在项目初期，我们根本没有分析对第三方的接口依赖，更没有评估这个事件发生的概率和影响。
从这两类风险的概念可以看出，在项目管理过程中，我们只能对已知风险进行事前管理，对未知风险,只能在发生后及时补救，以减少损失。
在现实中，当我们谈论风险时，我们通常指的是会导致负面影响的风险。其实风险分两个层次的影响，正面影响和负面影响。
负面影响就是我们常说的风险，而正面影响就是机会。如果我们只知道风险的负面影响，我们可能会忽视对机会的管理，从而导致错失机会。
1.2.什么是风险管理？知道了什么是风险，我们再来看看什么是风险管理。以下是PMBOK指南中风险管理的定义：
项目风险管理旨在利用和加强积极的风险(机会)，避免或减轻消极的风险(威胁)。- 《PMBOK指南》
风险管理用于减少或减轻风险对项目的影响。具体的风险管理步骤包括风险识别、风险分析、计划和实施风险应对以及风险监督。
1-2.风险管理步骤
二、风险管理的步骤
如何管理风险？从管理步骤来说，其实挺简单的，就是风险识别、风险分析、风险应对、风险监控。但是，真正做好风险管理并不容易，需要组织和管理者长期的经验积累。经验积累之前还是可以好好看看概念的。
2.1.识别风险风险识别是风险管理的第一步，风险识别的核心是找出项目中潜在的风险事件。只有发现了风险，才能进行分析、规划和管理。
那到底怎么去识别风险呢，如何最大程度的识别风险呢，有三个实用的方法介绍给大家：
>
2-1.识别风险的方法
1.风险清单
风险清单，CMMI3中称之为“风险检查表"，PMPBOK中称为“核对单”它是组织过程资产的一种。其本质都是历史遇到或者分析到的风险会被归纳整理后记录到风险清单中，在做类似项目的时候，我们就可以调取出清单进行检查或者核对，看哪些风险在新项目中也会存在，有助于快速和高效的识别出项目风险。
2.头脑风暴
头脑风暴是项目管理中常用的方法之一。对于项目来说，他是由跨职能的项目组成员，依赖关键相关方共同来实现项目目标的，识别项目风险的时候也需要这些跨职能的项目组成员和相关方参与进来共同来思考，才能一定程度上保证项目风险被识别完整性。
头脑风暴就是把项目组成员，或非项目组成员内重要的相关方，大家依次说出自己的想法，这个过程中需要注意，不打断，不评论，让每个人都畅所欲言，这个时候需要的是把可能存在的风险都提出并记录下来，这个过程能够保证尽可能的全面的把风险识别出来。
3.德尔菲法
考过PMP的人应该都了解这个方法，因为关于德尔菲法的考题非常常见，也可见这个方法的重要性。德尔菲法也称为专家调查法。通过把需要解决的问题单独给专家，征询意见，然后回收汇总全部专家的意见，并整理出综合意见。
德尔菲法的特点就专家，独立，意见来自专家，并且不同专家之间的意见获取时不受其他专家的干扰，可以充分利用专家的经验和学识，帮助团队发现深层次的项目风险。
4.访谈
也可以采用访谈的方式进行，可以通过对资深的项目参与者，或者相关方或者主题专家进行访谈。
访谈的方式参与的人跟头脑风暴的类似，他的好处是可以有针对性的进行，如果项目经理识别出在某一部分的风险识别程度不够，可以单独约这一领域的专家或者相关方进行访谈，以便的快速的识别出这一领域相关的风险。
识别方法之间具有相似性，也具有其特点，项目经理在掌握了这些方法之后，可以根据项目的需要灵活的搭配使用，让我们在项目之初就为管理风险做好充分的准备。
2.2. 风险分析
风险分析可以分为定性风险分析和定量的风险分析。
在软件项目中最常用的风险分析方法就是概率影响矩阵，是定性风险分析的一种，就是对识别出来的风险做一个风险发生的概率，和影响等级，比较这两者的大小，对风险进行排序。
为了统一大家对于定性风险分析的口径，我们可以通过划分等级来统一口径，如下表所示：
风险可能性
系数
发生的概率
描述
很高
0.9
81%以上
非常可能发生
高
0.7
61%~80%
很可能发生
中
0.5
41%~60%
超过一半的可能性会发生
低
0.3
21%~40%
可能性不大
很低
0.1
0~20%
可能性非常小
2-2.风险概率等级表
严重程度
系数
进度影响
成本影响
影响描述
是否可维护
致命
0.8
>30%
>40%
无法完成任务
无法扩展维护
大
0.4
20%~30%
20%~40%
有严重影响，难以忍受
很难，几乎无法维护
中
0.2
10%~20%
10%~20%
一定影响，只能忍受一段时间，不可常态化
有困难，需要耗费较大人力
小
0.1
5%~10%
5%~10%
稍有影响
有影响
很小
0.05
<5%
<5%
基本无影响
基本没感觉
2-3.风险影响等级表
通过查阅对应的风险概率及风险影响等级，我们可以确定风险等级。
风险评估并不是在计划初期完成就可高枕无忧的事情，整个项目管理过程中需要定期对风险进行重新评估。随着时间的推移，风险等级也在不断的变化。
因为风险除了以上2个定性因素，还有时间因素，某些情况下随着时间推移，风险自然消除了，某些情况下随着风险推移，风险没有被解除，风险等级会迅速上升。
以上这是一个将定性因素以定量的方式去计算的一个简单的方式，当然这个方法可能计算出来的并不准确，至少要比纯粹凭借感觉得出的结果要好许多。
如果你觉得这个方式计算的数值不是太靠谱，还可以多邀请几个专家或者同类项目经验人员一同参与评估，通过群体智慧来减少个人经验带来的偏差。
这里还要说明一点，我们的核心并不是去追求数值的准确性，而是通过这种方式去确定我们是否需要投入精力，时间成本去管理，这才是风险分析的目的。
影响\概率
很低
低
中
高
很高
致命
0.05
0.09
0.18
0.36
0.72
大
0.04
0.07
0.14
0.28
0.56
中
0.03
0.05
0.10
0.20
0.40
小
0.02
0.03
0.06
0.12
0.24
很小
0.01
0.01
0.02
0.04
0.08
2.3. 风险应对
风险应对分为规划风险应对和实施风险应对。如果被识别出的风险没有制定应对措施，也就失去了识别风险的意义，识别的目的就是为了更好的管控，应对措施就是管控的方式。
什么是应对措施，比如技术方案A可能会存在技术实现风险，我们的应对措施可以是在制定技术方案A的时候，同时准备技术方案B，如果A方案实现存在问题的时候，我们可以启用技术方案B，来规避风险的影响。
前面提到风险的影响一般有负面的和正面的影响，我们这里主要针对负面的影响风险，常用的应对威胁的策略有四种，分别是规避，转移，降低和接受。我们分别来看下如何应用这四种风险应对策略。
2-4.应对措施
1.规避避免或者消除风险。
规避策略可以从根本上避开风险，那风险事件就不会发生了。例如：
节假日出游，可预计到的是高速会堵，可以选择改变出行方式，选择飞机或者火车出行，这就是规避风险。从“有”到“无”的一种策略，比较彻底。
规避简单的理解就是绕着走，如果走这条路必然会遇到"坑“，那我选择别的路径。
比如采用新技术，如果必然会遇到由于新技术不够成熟导致的稳定性问题，为了规避这个风险，我们可以选择其他较为成为成熟的技术方案。
2.转移
不消除风险，而是将风险转移，是把风险的归属从“我”到“他人”的一种策略。
某些情况下，由我们自己来做这件事情，风险很大，交给其他人来实现，风险就比较小，这就叫风险转移。
3.弱化/降低/减轻
将风险事件的概率或者影响降低到可以接受的程度，是从“大”到“小”的一个策略。例如：
技术方案A，可能会出现占用内存较高的问题，我采用扩容等方式来应对这个问题，就是降低风险的一种方式。
4.接受
不做提前的应对，而是考虑发生后如何应对。
当我们遇到无法找到合适的应对方法或者策略时，但是还是必须要把项目往前推进的时候，还有一种方式，就是等风险发生之后再来处理。有很多时候，风险事件并没有很好的应对手段或者应对的方式成本较高的情况下，只能接受。
2.4. 风险监控
2-5.风险监控
在项目初期完成了风险识别，进行了风险分析，并制定了风险应对策略，我们就可以高枕无忧了吗？
并不是，风险监控是整个项目管理过程中需要持续进行的工作，随着项目的推进，项目的状态不断在发生变化。
风险监控有三个目的：
1.监控风险的状态
随着项目的推进，风险的状态也在时刻发生着变化，风险是已经发生了，还是尚未发生，或者已经消失，需要我们在执行过程中不断的关注，这就是风险监控的目的之一。
2.识别新的风险，并制定应对策略
并不是所有的问题，都是在项目初期可以被识别到的，除了经验限制以外，也是由项目的独特本质所决定的，所以需要我们在项目执行的过程中定期识别新的风险，并及时制定应对策略。
3.风险应对方案是否有效，监控机制是否在运行
除了监控风险本身的状态以外，我们还需要监控制定的应对方案是否被有效落地。
大家都知道房地产在建造一个工程的时候需要对现场人员做安全防范，很常见的一种方式就是购买安全帽，同时，制定佩戴规定。
但是安全帽购买了，规定制定了，不代表人人都会按照规定佩戴安全帽，还需要有专门的监控人员巡查佩戴情况，来确保风险应对方案执行到位。
三、总结
本文主要介绍了风险管理的概念和步骤，其实风险管理的本质是识别项目可能对项目关键因素造成影响的事件，并提前做好准备。风险管理是项目成败的一个非常关键的因素。
如果项目管理只能管理一件事情，那么就管理风险吧。
项目经理作为项目的主心骨，除了要在项目初期和项目执行的过程中管理好风险，同时也要在项目风险来临的时候做到临危不乱，才能给团队以信心，才能让项目最终实现成功交付。
------------------------
作者介绍：暖益
PMP/Prince2/CSM；
现任国内500强公司PMO，项目管理经验超过10年。
---------------------------------------------
近期热文：
你写的项目管理周报有没有灵魂？【管理有度6】学了敏捷，但你还不知道DevOps，就Out了【管理有度5】一文搞定PMO如何推动流程规范的落地及常见问题如何解决？【管理有度4】PMO和项目经理如何建立组织影响力【管理有度3】如何做好项目干系人管理的实战案例分析？【管理有度2】敏捷项目中如何做好进度管理及其步骤方法【管理有度1】30岁+项目经理和PMO少奋斗10年的职业规划路线产品经理VS项目经理，有啥不一样？图解OKR敏捷目标管理如何在公司内部实施项目经理和PMO如何撰写高质量的会议纪要？如何创建和规划PMO团队，并发挥其最大实际价值一文搞定敏捷项目管理精华“高手项目经理”唐僧如何向唐太宗项目汇报的！看看高水平汇报是怎么样的？史上最详细的华为内部流程管理详解（附关键流程图下载）用技术思维做不好项目管理普通管理者与高级管理者的11个区别【干货】图解PMO在各阶段的职责和应对之策项目管理的最重要的一环需求管理该如何做？项目管理面试难题问答及经验参考
