摘要

风险管理是 Microsoft? 解决方案框架(MSF)的核心原则之一。MSF 认为，变化和随之产生的不确定性是 IT 生命周期与生俱来的方面。MSF 风险管理原则提倡使用一种主动的方法来处理这种不确定性，连续地评估风险，并在生命周期中使用它们来影响最终决策。这一原则瞄准成功的、持续的风险管理，通过使用五步过程来描述原则、概念以及指导，这五步分别是：风险识别、风险分析、意外事故和应对策略计划、控制风险状态以及从结果中汲取经验。

本页内容

	介绍
	风险基础
	基本原则
	关键概念
	风险管理计划
	风险管理过程
	识别风险
	风险分析与分级
	风险计划和调度
	风险跟踪和报告
	风险控制
	风险学习
	项目生命周期中的集成风险管理
	企业中的风险管理
	管理项目的公文包
	概要

介绍

和 MSF 过程模型一样，Microsoft 解决方案框架 (MSF) 也定义了一个过程，其目的在于持续地识别和评估项目中的风险，区分风险等级，并执行策略，从而提前处理项目生命周期中的风险。¹

本白皮书介绍了 MSF 风险管理原则的基本概念，描述了其原则、概念、指导以及通向成功 IT 项目风险管理的六步过程。阅读完本文档后，有 MSF 使用经验的项目团队应该能够为 IT 项目实现前摄的风险管理过程，而 IT 项目风险管理方面的新手也应该能够了解其基本概念、术语以及在 IT 项目生命周期中参与 MSF 风险管理所需的原则。

在将软件工程协会(SEI)知名的连续风险管理过程模型应用到项目中 ² 的同时，³ MSF 风险管理原则尝试通过 Microsoft 的扩展产品开发经验，以及源于 Microsoft 顾问服务 (MCS) 及合作伙伴的软件开发和部署经验来解释这一模型。MSF 风险管理原则将以项目为中心的风险管理过程进一步扩展，在知识资产恢复过程中结合企业 IT 策略，并将项目生命周期中的所有阶段紧密集成。

在 MSF 中，风险管理是用来提前识别、分析和定位项目风险，从而在其造成损害或损失前将其消灭的进程。

MSF 风险管理原则具有以下几点定义特性：

返回页首

风险基础

项目管理的基本要素之一是控制项目内在的风险。风险始于围绕着项目决策和结果的不确定性。大多数个人将风险的概念和项目中潜在的价值、控制、功能、质量或完成时间的损失联系在一起。然而，项目结果也同样会导致机会最大化增长的失败，而决策作为结果先导，它的非确定性也应该被包含于风险的要素中。在 MSF 中，项目风险被广泛地定义为：任何可能对项目结果产生积极或消极影响的事件或条件。这个范围更宽的投机风险 概念被利用于金融业，投机风险中的不确定性决议可能和潜在收益以及损失相关联，这和纯粹风险 的概念恰恰相反，纯粹风险被利用于保险业，它的不确定性仅仅和潜在的损失相关联。⁴

风险和故障有所不同，因为风险指的是未来的消结果或损失的潜在可能。然而，故障则是当前已经存在于项目中的条件或状态。如果没有被有效地定位，风险可能会转化为故障。在 MSF 中，风险管理是提前识别、分析和定位项目风险的过程。风险管理的目标是让项目风险带来的积极影响（机会）最大化，同时让消极影响（损失）最小化。对于风险的有效策略的理解和管理能一定程度上保证风险和机会间的有效平衡。

信息技术 (IT) 项目拥有创造有效风险管理基础的特征。竞争的商业压力、调整变化以及技术标准发展有时会促使 IT 项目团队在项目中期改变计划和方向。变化的用户需求、新兴的工具和技术、进化的安全威胁以及职工岗位变化都会导致额外的压力。Jim McCarthy 提供的文章说明了这个问题：

“事实上，即使在最成功的软件项目的每一个阶段，都有大量的有用要素是未知的。”（Dynamics of Software Development，1995年，99页）。⁵

返回页首

基本原则

MSF 风险管理原则基于风险必须被提前解决这一理念；它是正式和系统过程的一部分，将风险管理作为积极的工作。此原则构建于作为 MSF 核心的基本原则、概念和做法的基础上。有效的项目风险管理是 MSF 基本原则的关键所在。⁶ 不过，以下原则对 MSF 风险管理原则也是尤为重要的。

保持灵活 — 预测变化

变化是项目团队面临的主要不确定性之一。风险管理工作不应该被限制在项目生命周期的单一阶段。项目团队经常在项目的开始就投入很大的精力来应用风险管理原则，可是随着项目完成所要求的紧密的进度表压力，项目团队也许做不到持续地努力。活跃这个原则，要求项目团队在整个项目生命周期的每个阶段都持续地评估并提前管理风险，原因是项目各方面的连续性变化也意味着风险的持续性变化。前摄方法让项目团队可以接受变化，并防止其向分裂性的，消极的影响发展。

鼓励公开交流

MSF 针对讨论风险提出了一个公开方法，既在团队内使用，又在团队外部使用。所有的团队成员都应该参与风险识别和分析。团队领导和管理人员应该支持和鼓励非过失文化的发展，从而发扬这一行为。对于项目风险公开、诚实的讨论可以带来更多对项目状态的正确评价，而执行管理人员和投资人更富有远见的决策会使整个团队受益。

学习经验

MSF 认为，在学习中保持对持续改进的关注将带来更大的成功。从某一个项目中获得的知识可以减少围绕着决策的不确定性。MSF 强调通过利用项目和风险管理过程一体化来实现组织或企业级项目结果学习的重要性。在鼓励所有团队成员公开通讯的过程中，对从项目结果中获得经验的直接关注也鼓励团队级的学习（互相学习）。

共同的责任，清楚的义务

在 MSF 中，没有人可以“独享”风险管理。项目团队中的每一个成员都有责任积极地参与风险管理进程。在项目进度表及计划中，团队成员个人都被赋予了明确的项目风险定位的责任。积极性可能贯穿于项目及风险管理过程周期的每一个阶段。它包含了个人专家意见或责任范围内的风险识别，并进一步扩展到包含风险分析、风险计划以及在项目推进过程中执行风险控制任务。在 MSF 组队模型中，项目管理角色群的项目管理功能领域对在风险管理工作中组织项目团队负有最终责任，并确保风险管理工作融入该项目的标准项目管理过程。⁷

返回页首

关键概念

在本章节，我们讨论风险和风险管理的重要概念，这是理解 MSF 风险管理原则的核心内容。

风险天然存在于所有项目或过程中

尽管因项目的不同，风险的多少也各异，但没有一个项目是不包含风险的。项目发起后，组织可以在支持组织目标的过程中实现价值目标。在项目及其环境的周围，往往围绕着很多不确定性因素，而它们将影响到目标的实现。MSF 实施者通过始终紧记风险无处不在的规律，寻求持续在风险和机会中做出正确平衡决议的方法，而不会过于关注如何将风险小消化。

主动的风险管理是最有效的

通过关注以下要素，MSF 采用一种主动的方法来识别、分析和定位风险：

有效的管理绝对不只是通过单纯地处理故障来实现的。项目团队应该致力于提前识别风险，并发展策略和计划来管理这些风险。计划应该包含如何在故障发生时解决它们。预见潜在的故障、提前做出有效的计划可以缩短危机出现后的反应时间，并限制甚至扭转故障发生时带来的危害。

前摄风险管理的定义特性是风险缓解和风险影响缓解。缓解工作可能发生在特定风险目标级别，并瞄准其潜在的直接原因，也可能通过改变根本原因级别（或是改变因果链）来实现。缓解方法在初期是最好的措施，因为这时项目团队还可以及时改变项目结果。

根本原因的识别和修正对企业有着很高的价值，因为修正方法可以带来比个体项目范围更深远的积极影响。例如，在开发或部署项目的过程中，编码标准或机器命名惯例的缺乏可能明显地导致不利的结果，并因此成为增加项目风险的源头。不过，创建标准和指导方针能在企业里对整个项目起到积极的影响，前提是这些标准和指导方针在整个企业里执行。

积极地看待风险识别

有效的风险管理和项目团队对正面临着的风险的正确和全面的理解密不可分。当挑战和潜在损失的数量变得明显时，开发团队可能会对风险管理工作失去信心。一些团队成员甚至会认为识别风险事实上就是寻找破坏项目成功的原因。MSF 则刚刚相反，它认为正是风险识别过程让项目团队可以通过公开化，更高效地管理风险，从而让成功的前景更加明朗。公开、归档的风险探讨将团队成员完全解放出来，通过提供任务、责任和预防工作计划的直接改良，让他们能够更加专注于工作，并纠正错误的方法。

项目团队（尤其是团队领导）应该积极地看待风险识别，从而保证提供关于眼前风险尽可能多的信息。对风险消极的理解可能让团队成员不愿意做风险沟通。项目团队应该营造这样一个环境：员工在识别风险的过程中不需要害怕，只需要诚实地表达尝试性或是有争议的观点。消极的风险环境的例子比比皆是。例如，在某些环境下，报告新的风险被视为捣乱，而反击风险则定位到人而不是风险本身。在这样的环境下，人们通常谨慎地进行风险沟通，然后开始选择性地表达他们准备分享的风险信息，从而避免和团队成员的对质。如果项目团队积极地对待提出风险的团队成员，那么就能创造一个积极的风险管理环境，这样便能更成功地识别和定位风险，而在消极风险环境下工作的团队则刚刚相反。

为了实现项目收益最大化的目标，项目团队必须乐于接受风险。这要求项目团队将风险和不确定性视为创造正面机会的途径，从而通向成功。

持续评估

很多信息技术专家错误地将风险管理理解为必要但却令人厌烦的任务，他们认为风险管理应该发生在项目的开始或是引入新过程的时候。

项目和操作环境中的持续变化要求项目团队有规律地对已知风险的情况进行重新评估，从而修正计划以防止这些风险带来的故障，或者对这些故障做出响应。项目团队同样应该坚持不懈地寻找新的项目风险。应该将风险管理工作集成到整体项目生命周期中，从而适当地修正风险控制计划和工作，而不需要创建一个单独的报告和跟踪基础设施。

保持公开交流

尽管风险通常为一些团队成员所知，但这些信息常常缺乏充分的交流。虽然组织层次中由上至下的信息交流通常十分简单，但是由下至上的信息传递却是相当困难的。无论人们处在哪个层次，都希望了解更低层次的风险，却害怕向上传递信息。有限的风险信息流对项目风险都会是有力的促进，因为它能用甚至更少的信息促进决策。在分级的组织中，管理人员需要鼓励公开交流，并确保每个人都正确地理解风险和风险计划。

先说明，后管理

风险管理面向不确定性影响决策制定工作。标准的风险声明适当地列出了一些不确定性，并鼓励风险的不同解释。清楚的声明可以在以下方面帮助项目团队获益：

MSF 提倡在风险管理计划中注意细节信息，从而最小化风险计划中的执行错误，这些错误可能导致预防工作失效，也可能干扰恢复及纠正工作。

不要简单地根据风险的数量判断情况

尽管团队成员和主要投资人总能认识到风险项目是消极的，但避免简单地根据风险的数量判断项目或操作过程也是尤为重要的。毕竟，风险只是可能发生的事物，而并不是实际的损失或不理想的结果。MSF 风险管理过程提倡使用结构化的风险识别和分析过程来为决策者提供现存的风险信息，以及这些风险的重要性。

返回页首

风险管理计划

在 MSF 过程模型的预想和计划阶段，项目团队应该对如何实现风险管理过程进行开发并归档。在计划中应该回答的问题包括：

风险管理工作不应该被孤立于标准项目计划和调度工作之外，风险管理任务应该被视为 团队成员完成项目的补充。因为风险由始至终普遍存在于所有项目的所有阶段，所以应该分配和调度资源，以积极地管理风险。在 MSF 过程模型的预想和计划阶段产生风险管理计划。⁸ 而在工作分级结构中，记录这些计划的计划书应该记录分配给特定团队成员的定义工作项目。这些工作项目应该出现在项目计划和主项目进度表中。

返回页首

风险管理过程

MSF 风险管理过程概述

MSF 风险管理原则提倡前摄的风险管理、持续的风险评估以及项目或操作生命周期的决策集成。风险应该被持续地评估、监控和积极地管理，直到被解决或是转化为可以处理的故障为止。图1中描述的MSF 风险管理原则定义了项目团队管理现有风险、计划、执行风险管理策略以及为企业获取知识过程中的六个逻辑阶段。

图1：MSF 风险管理过程

MSF 风险管理过程的六个阶段是：

风险识别让个体可以发现风险，进而使项目团队意识到潜在的故障。作为风险管理过程的输入，风险识别应该尽可能早的执行，并在项目的生命周期中频繁地重复。

风险分析将风险识别过程中发现的特定项目风险估计量或数据转化为一种可被项目团队用来确定优先决策的形式。风险排序让项目团队可以负责项目资源从而对最重要的风险进行管理。

风险计划提取风险分析中获得的信息并用其明确表达策略、计划和工作。风险调度可以确保计划被认可并融入标准的日常项目管理进程和基础设施中，从而确保风险管理作为团队日常工作的一部分执行。风险调度明确地利用项目计划与风险计划关联。

风险跟踪监控特定风险的状况以及它们各自工作计划中的进展情况。风险跟踪也包含监控变化风险的概率、影响、暴露程度以及其他因素，这些变化可能改变优先级或风险计划、项目特性、资源或是进度表。风险跟踪从风险等级的角度定义风险管理过程在项目中的可见度，这与标准业务项目管理过程任务完备化的角度恰恰相反。 风险报告确保团队、发起人和投资人明白项目风险的状态并管理它们的计划。

风险控制是执行风险工作计划和相关现状报告的过程。风险控制也包含项目变化控制请求的初始化，而风险状况或风险计划的更改可能导致项目特性、资源或进度表的更改。

风险学习使知识和相应项目案例及工具正式化，并在团队和企业内部以可再度使用的形式提取知识。

注意，这些阶段属于逻辑阶段，对于任何给定的风险，您都并不需要严格地遵循这些阶段。项目团队将经常在识别-分析-计划三步中循环往返，而仅仅周期性地进入学习这一阶段来为企业捕获知识。

从这个图表中得出的“所有项目风险都会固定地经过这些阶段”的结论是错误的。相反地，MSF 风险管理原则鼓励每个项目在 MSF 过程模型的项目计划阶段定义风险管理过程将于何时，以何种方式发起，以及各阶段间的转化将在怎么样的环境下发生。

返回页首

识别风险

介绍

风险识别是 MSF 风险管理过程的最初阶段。项目团队必须准确地识别并明白地定义风险，从而达到统一并继续进行分析和计划。在风险识别阶段期间，应该有意识地扩展团队焦点。应该将注意力放在学习活动上，并寻找项目知识和环境间的缺口，这些会给项目带来反面影响或限制它的成功。图2以图形化的方式地描述了风险识别阶段的输入、输出以及行动。

图2：风险识别

目标

风险识别阶段的目标是为项目团队创建一个他们面临的风险清单。这个清单应该是全面的，覆盖项目的所有方面。

输入

风险识别阶段的输入包含一般可用的知识以及相应商业、技术、组织和环境领域中的特定项目风险。其他的考虑事项还包括团队的经验、当前的风险组织方法（以策略、指导、模板等形式存在）以及在那时已知的项目信息，包括历史和当前状态。项目团队可能选择利用其他输入（项目团队考虑的任何与风险识别相关的要素都应该被考虑）。在项目的开始，利用团队自由讨论、推动会议甚至是正式会议来收集项目团队信息及项目投资人对风险和机会的理解是尤为重要的。行业分级方案（例如 SEI Software 的风险分类法）、⁹ 项目检查表、¹⁰ 早前项目综合报告和其他发布的行业资源及指导都能帮助项目团队更好地识别相关项目风险。

风险识别工作

在风险识别的过程中，项目团队创建明确的声明或风险清单，清晰地说明他们面临的风险。在项目的开始阶段，组织正式或自由讨论来识别新状况相关的风险是相当容易的。不幸的是，很多组织将此看作一次性的工作，在项目或操作的生命周期中再也不对其进行重复。MSF 风险管理原则强调，应该在整个项目实施过程中周期性地进行风险识别。风险识别可能是进度表驱动（例如每日、每周、每月）、重要事件驱动（和项目计划中既定的重要事件相联系）或是事件触发（受商业、技术、组织或环境设置中的重大影响事件驱动）的。应该依据每个项目团队确定的间隔和范围不时地进行风险识别工作。例如，一个团队在大型开发项目中可能会在关键的重要事件阶段完成一次整体风险识别会议，而在过渡时期的重要事件阶段则会另外选择个体特色团队甚至是个体程序员来重复识别工作。

在项目的风险识别阶段，团队成员和投资人之间的交流十分重要，因为这是提出设想和分歧观点的有效手段。基于这个原因，MSF 风险管理原则提倡在风险识别过程中尽可能广泛的兴趣、技能和背景。

风险识别也包含团队发起的研究和主题专家，从而在项目领域范围内学到更多风险相关的知识。

结构化的方法

MSF 提倡尽可能地使用结构化的风险管理方法。对于软件开发和部署项目，在风险识别阶段进行风险分级是提供一致、可再生、可测量方法的正确途径。风险识别提供标准风险术语的基本原则，这在报告和跟踪中是必需的，对创建和维护企业或行业风险知识库也是至关重要的。在风险识别阶段，风险分级清单通过提供现成的，来自早前类似项目或行业经验的风险观点，使项目团队对于项目的思维更加全面。风险声明表述是 MSF 中用于评估特定项目的主要技术，也可以用来指导特定风险计划的排序和展开。

风险分级

风险分级，或风险分类，有时也被称为风险分类法，为项目团队的多个目标服务。在风险识别期间，它们可以用来刺激项目中不同领域的风险思维。在自由讨论期间，风险分级也能通过提供方便的同类风险分组方法，大量减少风险工作的复杂性。风险分级还能为项目团队提供公共术语，用来在项目中监控和报告风险状况。最后，风险分级对建立行业和企业风险知识库也是至关重要的，因为它们提供索引新条目和搜索以及检索现有工作的基本原则。下面的表格描述了项目风险中的高级资源分级。

联系我们CONTACT 扫一扫