★ FEATURED ARTICLE 1. 从“风险管理”这四个字说起为什么它是高项论文的“隐形分水岭”很多人第一次翻开软考高项的教材看到“项目风险管理”这一章第一反应是这不就是列个风险清单、写个应对措施吗能有多难我当初也是这么想的。直到我真正开始做真题、写论文、复盘自己带过的项目才发现这一章的深度远超想象。它不像进度管理那样有清晰的网络图可以算也不像成本管理那样有明确的公式可以套风险管理的难点在于——它考验的是你对“不确定性”的预判能力和系统化思维。在软考高项的考试体系里风险管理几乎每年都会出现在案例分析题和论文题中。案例分析可能给你一个项目场景让你识别风险、分析风险应对措施的合理性论文则可能直接要求你论述“项目风险管理的过程”或者“如何做好风险识别与应对”。很多考生在论文里写风险管理写出来的东西千篇一律先写“我们开了个会识别风险”再写“我们制定了应对计划”最后写“项目顺利完成”。这种写法阅卷老师一天看几百份早就审美疲劳了。问题的根源在于大多数人把风险管理理解成了一个“填表”的过程而不是一个“思考”的过程。风险管理的本质是什么是在项目信息不完整、未来不确定的情况下用结构化的方法把“可能出问题的地方”找出来提前想好对策并在项目推进过程中持续监控。它不是一个静态的文档而是一个动态的、贯穿项目全生命周期的管理动作。这篇文章我想从实战角度出发把项目风险管理的七个过程掰开揉碎讲清楚。不是照搬教材的定义而是结合我在实际项目和备考过程中的经验告诉你每个过程到底在做什么、怎么做才有效、论文里怎么写才能拿高分。无论你是正在备考高项还是已经拿证但想真正把风险管理用到实际工作中这篇文章都值得你花时间读完。2. 规划风险管理不是走形式而是定基调2.1 为什么这个过程的输出物最容易被忽视规划风险管理是风险管理的第一步它的核心产出是风险管理计划。很多人觉得这一步就是走个形式随便写个文档交差。但实际上风险管理计划决定了你后面所有风险管理活动的“游戏规则”。它要回答几个关键问题我们用什么样的方法识别风险谁来负责风险的概率和影响怎么定义风险登记的格式是什么风险应对的预算和时间怎么安排我见过不少项目风险管理计划写得非常笼统比如“采用头脑风暴法识别风险”“风险由项目经理负责”。这种计划等于没写。为什么因为“头脑风暴法”太宽泛了你到底请哪些人参加是只请项目组成员还是请了外部专家会议怎么组织这些细节不明确执行的时候就会走样。2.2 风险管理计划里必须明确的几个关键参数根据我的经验风险管理计划里最需要花心思定义的是风险概率和影响的等级标准。教材上通常给一个五级或者三级的矩阵但很多人直接抄了教材的模板没有结合自己项目的实际情况调整。比如一个软件开发项目和一个土建工程项目对“成本超支10%”的敏感度是完全不同的。软件开发项目可能人力成本占大头10%的超支可能意味着少招一个人土建项目10%的超支可能就是几百万的差距。所以我在做风险管理计划的时候会先和项目发起人、关键干系人确认这个项目最不能容忍的是什么是延期是超预算还是质量不达标然后根据这些优先级来定义影响的等级。比如如果项目发起人最关心的是按时上线那么进度影响的权重就应该调高。另外风险分解结构RBS也是一个非常实用的工具。它把风险按类别分层比如技术风险、外部风险、组织风险、项目管理风险等。有了RBS你在识别风险的时候就有了一个“检查清单”不容易遗漏。我通常会根据项目的行业特点在标准RBS的基础上做裁剪。比如做政务类项目我会额外加一个“合规与审批风险”类别做互联网产品我会加一个“用户需求变更风险”类别。2.3 一个容易被忽略的细节干系人风险偏好风险管理计划里还有一个很重要的内容就是记录干系人的风险偏好。什么是风险偏好简单说就是干系人对风险的接受程度。有的发起人比较激进愿意为了抢市场窗口承担较高的技术风险有的发起人非常保守宁可多花时间也要保证质量。如果你不了解这些偏好你制定的风险应对策略可能就会和干系人的期望背道而驰。我在一个模拟项目中就吃过这个亏。当时我识别出一个关键技术风险建议采用成熟但成本较高的方案来规避。结果项目发起人认为这个风险可以接受坚持用新技术方案因为新技术能带来更好的用户体验。如果我提前了解了他的风险偏好在制定风险管理计划的时候就会把“技术创新的容忍度”写进去后面的沟通也会顺畅很多。提示风险管理计划不是写完就锁进抽屉的文档。在项目执行过程中如果发现干系人的风险偏好发生了变化或者项目的优先级调整了风险管理计划也需要相应更新。3. 识别风险把“没想到”变成“想到了”3.1 风险识别不是一次性活动而是贯穿项目始终很多考生在论文里写风险识别都是“在项目启动阶段我组织了一次风险识别会议”。这句话本身没错但如果你只写这一次就显得你对风险管理的理解太浅了。风险识别是一个反复进行的过程。在项目的不同阶段你会掌握不同的信息面临不同的不确定性。启动阶段你可能担心需求不明确设计阶段你可能担心技术方案不可行实施阶段你可能担心人员流动收尾阶段你可能担心验收不通过。所以我在实际项目中会把风险识别安排成几个固定的节点项目启动会之后、每个里程碑评审之前、重大变更发生之后。每次识别不需要搞得很隆重但一定要有记录、有更新。3.2 头脑风暴怎么开才有效头脑风暴是风险识别最常用的方法但很多人的头脑风暴开成了“聊天会”。大家坐在一起想到什么说什么最后记录员写了一堆零散的条目没有分类、没有优先级。这种头脑风暴的效率很低。我的做法是先给框架再自由发挥。会议开始前我会把RBS的类别发给参会者让他们提前思考每个类别下可能的风险。会议开始时先花十分钟过一遍RBS然后针对每个类别逐一讨论。这样既能保证覆盖面又能让讨论更聚焦。另外参会者的选择也很关键。不要只请项目组成员一定要请外部干系人。比如请运维人员来谈谈系统上线后可能遇到的问题请最终用户代表来谈谈他们对功能的担忧请采购人员来谈谈供应商可能的风险。不同视角的人坐在一起往往能碰撞出你一个人想不到的风险点。3.3 除了头脑风暴还有哪些实用的识别方法德尔菲技术是一个很有意思的方法。它通过匿名的方式征求专家意见经过几轮反馈让专家们的意见逐渐收敛。这个方法的优点是避免了“权威效应”——如果大家面对面讨论可能某个领导一发言其他人就不敢提不同意见了。德尔菲技术特别适合识别那些比较敏感或者争议较大的风险。根本原因分析也很实用。它不是直接问“有什么风险”而是问“为什么会出现这个问题”。比如你发现之前的项目经常延期通过根本原因分析你发现是因为需求变更没有走正规流程。那么在这个项目里“需求变更管理不规范”就是一个需要重点关注的风险。SWOT分析虽然通常用于战略规划但在风险识别中也能派上用场。它从优势、劣势、机会、威胁四个维度来分析其中“劣势”和“威胁”就是风险的来源。我有时候会用SWOT来做一个快速的风险扫描特别是当项目处于一个竞争激烈的市场环境中时。3.4 风险登记的格式不要只写一句话识别出风险之后要记录在风险登记册里。很多人的风险登记册就写一句话“技术方案不成熟”。这种记录方式太粗糙了后面根本没法用。一个好的风险登记条目应该包含风险描述、风险类别、触发条件、潜在影响、可能的原因、受影响的干系人。我举个例子。不要写“人员流动风险”而要写“核心开发人员A可能在项目中期离职因为其合同即将到期且市场上同类岗位薪资上涨明显。如果A离职将导致核心模块开发停滞至少两周影响整体进度。”这样写后面制定应对措施的时候就有针对性了。4. 定性风险分析给风险排个队4.1 概率和影响矩阵怎么用才不流于形式定性风险分析的核心工具是概率和影响矩阵。教材上通常给一个表格横轴是概率纵轴是影响交叉点就是风险的优先级。这个工具看起来很简单但用起来有很多讲究。首先概率和影响的定义必须是明确的、可量化的。比如“概率为中等”到底是多少是30%还是50%如果不明确不同的人对同一个风险的评估可能差异很大。我在风险管理计划里会明确定义低概率是小于20%中等概率是20%到60%高概率是大于60%。影响也一样要结合具体的进度、成本、质量指标来定义。其次评估的时候要避免“锚定效应”。什么是锚定效应就是第一个发言的人定了调后面的人就不自觉地往那个方向靠。为了避免这个问题我通常会让每个人先独立评估然后再汇总讨论。如果差异很大就针对差异点深入讨论而不是简单取平均值。4.2 风险紧迫性评估别把重要但不紧急的风险忘了除了概率和影响还有一个维度经常被忽略就是紧迫性。有些风险概率很高、影响很大但它是“远期”的比如项目上线后半年可能出现的性能瓶颈。这种风险如果现在不处理等到临近了再处理就来不及了。所以在定性分析的时候我会给每个风险标注一个“紧迫性”等级对于高紧迫性的风险即使概率和影响不是最高的也要优先处理。4.3 风险分类与分组让应对策略更有针对性定性分析还有一个作用就是把风险按类别分组。比如把所有“需求变更”相关的风险放在一起把所有“技术实现”相关的风险放在一起。分组之后你可能会发现某一类风险特别集中那就说明这个领域需要重点加强管理。比如如果发现大量风险都和“第三方接口”有关那可能需要在合同里明确接口交付的标准和时间或者提前准备备选方案。5. 定量风险分析什么时候需要“算一算”5.1 定量分析不是必选项但关键时刻很管用教材上说定量风险分析是可选的这一点没错。对于大多数中小型项目定性分析已经足够指导决策了。但是对于一些大型的、复杂的、或者对成本进度要求极其严格的项目定量分析就很有必要了。定量分析的核心是建模和模拟。最常用的方法是蒙特卡洛模拟。它的原理是给每个风险因素定义一个概率分布然后通过成千上万次随机模拟得出项目整体工期或成本的概率分布。比如你可以得出“项目在预算内完成的概率是75%”这样的结论。5.2 蒙特卡洛模拟的实操要点做蒙特卡洛模拟最关键的是输入数据的质量。如果你给的概率分布是拍脑袋定的那模拟结果也是拍脑袋的。所以在定量分析之前一定要确保定性分析做得足够扎实每个风险的概率和影响范围都有合理的依据。另外模拟工具的选择也很重要。Excel加上一些插件就能做简单的蒙特卡洛模拟专业的项目管理软件功能更强大。但工具不是关键关键是你怎么解读模拟结果。比如模拟结果显示项目有30%的概率会延期超过两周那你就要问这个延期概率能接受吗如果不能需要采取什么措施来降低是增加资源还是调整范围还是优化关键路径5.3 决策树分析用期望值来辅助决策决策树分析是另一个实用的定量工具。它通过计算不同方案的期望货币值EMV来辅助决策。举个例子你面临一个技术选型方案A是成熟技术成本100万成功概率90%方案B是新技术成本80万成功概率60%。如果失败都需要额外花费50万来补救。这时候你可以算一下两个方案的EMV然后选择期望成本更低的那个。当然实际决策不会这么简单还要考虑战略价值、时间窗口等因素。但决策树分析至少能给你一个量化的参考避免完全凭感觉做决定。6. 规划风险应对从“知道有风险”到“知道怎么办”6.1 威胁应对的四种策略规避、转移、减轻、接受对于威胁类风险教材上给了四种应对策略规避、转移、减轻、接受。这四种策略没有优劣之分关键是要根据风险的具体情况和项目的约束条件来选择。规避是指改变项目计划彻底消除风险。比如如果某个技术方案被评估为风险太高那就换一个成熟方案。规避的代价可能是成本增加或者功能减少但风险被彻底消除了。转移是指把风险的影响转移给第三方。最常见的就是买保险或者把有风险的模块外包给专业公司。转移的代价是你要支付一定的费用但风险发生后的损失由第三方承担。减轻是指降低风险发生的概率或者影响。比如为了降低人员流动的风险你可以安排知识分享会让核心人员的工作成果文档化这样即使有人离职其他人也能快速接手。接受是指承认风险存在但不采取主动措施而是准备应急储备。接受又分为主动接受和被动接受。主动接受是提前制定应急计划被动接受是什么都不做等风险发生了再说。6.2 机会应对的四种策略开拓、分享、提高、接受很多人只关注威胁忽略了机会。其实风险管理也包括对积极风险的管理。机会应对的策略有开拓、分享、提高、接受。开拓是指投入资源确保机会一定发生。比如你发现某个新技术能大幅提升产品竞争力那就主动投入资源去研发。分享是指和有能力的第三方合作共同抓住机会。比如和合作伙伴联合投标提高中标概率。提高是指增加机会发生的概率或者扩大其积极影响。比如提前和关键客户沟通提高他们采纳新功能的意愿。接受是指当机会出现时愿意利用但不主动追求。6.3 应急储备和管理储备钱要花在刀刃上风险应对计划里必须包含储备分析。应急储备是用来应对已识别风险的管理储备是用来应对未识别风险的。很多项目在预算里只留了应急储备没有留管理储备结果遇到“黑天鹅”事件就傻眼了。我的经验是应急储备的额度应该和风险登记册里的风险敞口相匹配。你可以把所有已识别风险的EMV加起来作为应急储备的参考值。管理储备通常占总预算的5%到10%具体比例取决于项目的不确定性程度。注意应急储备是项目预算的一部分项目经理有权动用管理储备通常不在项目预算里需要经过发起人批准才能使用。这个区别在考试中经常考在实际工作中也很重要。7. 实施风险应对与监督风险让计划真正落地7.1 风险应对不是“写完计划就完了”规划风险应对只是制定了计划真正的工作在实施风险应对。这一步的核心是把风险应对措施纳入项目执行计划分配责任人安排时间和资源然后跟踪执行情况。我见过很多项目风险应对计划写得很漂亮但执行的时候没人管。为什么因为风险应对措施没有和日常的工作任务结合起来。比如你计划“每周进行一次技术评审来降低技术风险”但如果没有把这个评审排进项目日程没有指定谁负责组织那这个措施大概率不会被执行。所以我在实施风险应对的时候会把每个应对措施都转化成具体的任务录入任务管理系统指定负责人和截止日期。这样风险应对就不再是“额外的工作”而是项目计划的一部分。7.2 风险审计定期检查“风险管理有没有用”风险审计是监督风险的一个重要工具。它的目的是检查风险管理过程的有效性。比如风险识别是不是覆盖了所有类别风险应对措施是不是按时执行了风险状态有没有及时更新风险审计可以由项目经理自己做也可以请外部人员来做。外部人员的好处是更客观能发现一些项目经理自己看不到的问题。审计的频率不用太高每个里程碑做一次就够了。7.3 风险再评估与趋势分析风险再评估是指在项目推进过程中定期重新评估风险的概率和影响。因为项目环境在变化有些风险可能已经消失了有些新的风险可能出现有些风险的概率可能上升了。如果不做再评估你手里的风险登记册就会过时。趋势分析是看风险的发展趋势。比如你发现最近几个月“需求变更”的风险发生频率在上升那就说明需求管理可能出了问题需要加强变更控制流程。7.4 一个实战中的教训风险触发条件的监控我在一个模拟项目中遇到过一个情况我们识别了“供应商交付延迟”的风险也制定了应对措施——提前和备选供应商沟通。但是我们没有定义明确的触发条件。结果当主供应商的交付开始出现轻微延迟时我们没有及时启动应对措施等到延迟严重了才反应过来已经来不及了。后来我学乖了每个风险都要定义触发条件。比如“如果供应商连续两周未按计划交付则启动备选方案”。有了明确的触发条件监控就有了依据不会因为“感觉还好”而错过最佳应对时机。8. 论文写作怎么把风险管理写得让阅卷老师眼前一亮8.1 论文结构不要写成“流水账”很多考生写风险管理论文就是按七个过程逐一介绍每个过程写一段最后加个总结。这种结构太普通了很难拿高分。我的建议是用一个具体的风险案例贯穿全文。比如你可以写在项目进行到某个阶段时你识别出了一个关键风险比如核心人员离职、关键技术方案不可行、客户需求重大变更等然后详细描述你是如何分析这个风险、制定应对措施、实施应对、最终化险为夷的。在这个过程中自然地融入风险管理的各个过程。这样的写法有几个好处第一有故事性阅卷老师愿意读第二能体现你的实际应用能力而不是死记硬背第三能展示你在风险管理中的思考和判断这是高分论文的关键。8.2 论文中的“真实感”从哪里来论文要有真实感不能全是理论。怎么体现真实感细节。比如你写“我组织了一次风险识别会议”不如写“我邀请了开发组长、测试组长、运维负责人和客户代表在一个下午的时间里用头脑风暴法识别出了23个风险其中技术类风险8个管理类风险6个外部风险5个组织风险4个”。再比如你写“我制定了应对措施”不如写“针对核心人员离职的风险我采取了减轻策略一是安排核心人员每两周做一次技术分享把关键设计文档化二是和人力资源部门沟通提前启动备选人员的招聘三是调整任务分配避免所有关键模块都集中在一个人手里”。这些细节能让阅卷老师感觉到你真的做过项目而不是在背教材。8.3 字数分配与时间控制高项论文一般要求2000到2500字。我的建议是摘要200字左右背景介绍300字左右风险管理的各个过程1500字左右收尾200字左右。时间控制上摘要和背景控制在20分钟内主体部分60分钟收尾和检查20分钟。写的时候要注意不要在一个过程上花太多笔墨导致后面的过程没时间写。七个过程不需要平均用力你可以根据你的案例重点写两到三个过程其他过程简要带过。8.4 常见的论文“雷区”第一个雷区是只写理论不写实践。通篇都是“风险管理包括规划风险管理、识别风险、定性分析……”这种论文肯定不及格。第二个雷区是风险案例太假。比如写“我们识别出项目可能延期然后我们增加了资源项目就没延期”。这种案例没有细节没有说服力。第三个雷区是忽略干系人。风险管理不是项目经理一个人的事论文里要体现你是怎么和干系人沟通、怎么争取资源、怎么协调各方的。第四个雷区是没有收尾。论文结尾要写项目最终的结果以及你在风险管理方面的经验和教训。不要写“总之风险管理很重要”这种空话要写具体的体会。9. 备考高项风险管理的几个实用建议9.1 把七个过程串成一条线很多考生觉得风险管理的过程太多记不住。我的方法是把七个过程串成一条逻辑线。规划风险管理是“定规则”识别风险是“找问题”定性分析是“排优先级”定量分析是“算概率”规划风险应对是“想办法”实施风险应对是“动手做”监督风险是“看效果”。这条线理清楚了记忆就牢固了。9.2 案例分析题的答题套路案例分析题里如果考风险管理通常会给你一个项目场景然后问你这个项目在风险管理方面存在什么问题你应该怎么改进答题的时候先指出问题再给出改进建议。问题要从风险管理的各个过程去找是不是没有做风险识别是不是识别了但没有分析是不是分析了但没有应对计划是不是有应对计划但没有执行是不是执行了但没有监控改进建议要具体不能只说“加强风险管理”要说“在项目启动阶段组织一次全面的风险识别会议邀请所有关键干系人参加使用RBS确保覆盖所有风险类别”。9.3 计算题EMV和决策树风险管理里的计算题主要是EMV和决策树。EMV的计算公式是概率乘以影响。决策树就是把不同方案的EMV算出来然后比较。这类题目不难但要注意审题看清楚是问“期望成本”还是“期望收益”是问“选择哪个方案”还是“计算某个节点的值”。9.4 我的备考资料清单教材是基础但光看教材不够。我建议配合历年真题来复习特别是案例分析和论文的真题。通过真题你能了解出题人的思路和答题的要求。另外可以找一些项目管理类的实战书籍来看比如关于风险管理实践的书能帮你理解教材上的概念在实际中是怎么用的。提示高项考试的风险管理部分理论占60%实践占40%。理论要背熟但实践部分要靠理解和积累。如果你没有实际项目经验可以通过模拟项目来积累或者多看一些项目复盘的文章。10. 写在最后风险管理是一种思维方式考完高项之后我最大的收获不是那张证书而是风险管理这套思维方式。它让我在面对不确定性的时候不再是被动地等待问题发生而是主动地去识别、分析、应对。这种思维方式不管是在工作中还是在生活中都很有用。如果你正在备考高项我建议你不要把风险管理当成一个考试科目来学而是当成一种能力来培养。多想想你身边的项目、你参与过的事情有哪些风险是被忽略的如果重来一次你会怎么做。这种思考比死记硬背教材上的定义要有价值得多。最后分享一个我自己的小习惯每次开始一个新项目或者新任务之前我都会花十分钟在一张纸上写下“可能出问题的地方”和“如果出问题了怎么办”。这十分钟的投入往往能帮我省下后面几十个小时的救火时间。风险管理说到底就是这么一个简单但有效的习惯。
阅读完成 · 觉得有帮助？
