（风险管理）项目风险管理机制研究华南理工大学学生研究计划结题报告IT项目的风险管理机制研究研究人员：林逸丰王晓星潘江浩王博航指导老师：宗其俊完成时间：2006年12月目录第一章绪论 (4)1.1 项目管理的定义 (4)1.2 风险管理的内涵 (5)1.3 研究对象 (7)1.4 研究方法与路线 (8)1.5 本章总结 (9)第二章风险来源与处理机制 (11)2.1 风险蕴藏机理 (11)2.2 风险识别机制 (14)2.2.1因果识别方法 (14)2.2.2 思维导图识别方法 (15)2.2.3 头脑风暴识别法 (17)2.3 风险分析机制 (18)2.3.1 定性分析 (18)2.3.2 定量风险分析 (20)2.4 风险处理机制 (21)2.4.1 风险应对计划 (21)2.4.2 全面风险管理（TFM） (23)2.5 本章总结 (25)第三章TFM流程化风险控制 (26)3.1 风险流程化追溯模型 (26)3.2 开始阶段的风险控制 (27)3.3 计划阶段的风险控制 (35)3.4 执行控制阶段的风险控制 (68)3.5 收尾阶段的风险控制 (98)3.6 本章总结 (110)致谢 (111)参考资料 (112)附件 (113)第一章绪论1.1 项目管理的定义在PMBOK（美国版的项目管理指南）中认为项目是为提供某项独特产品、服务或成果而进行的临时性努力；PMI（欧洲版项目管理指南）中认为项目是一项有待完成的专门任务，是在一定的组织机构内，在限定的资源条件下，在计划的时间里，按满足一定性能、质量与数量的要求去完成的一次性任务；在齐善鸿编写的项目管理丛书中认为项目是为创造特定产品和服务而进行的一项有时间限制的任务。

无论项目是如何表达，在以上三个定义中都说明项目具有几个典型的特征，分别是：1．有一个明确的目标：一个期望的产品或成果国。

2．项目都表现为临时性的，有开始和结束时间。

3．需要使用各种资料来执行项目。

4．独一无二的，没有完全重复的两个项目。

5．包含不确定性。

6．有特定的客户。

项目管理的定义在不同的项目管理知识体系中都具有相对统一的定义，本文取其中一个定义：“在项目活动中运用专门的知识、技能、工具和技术，使项目能够实现或超过利益相关者的需要和期望”。

事实上，项目管理与运营管的不同的关键在于他们管理的对象不同，项目管理的对象是项目，而运营管理的对象是一般的企业运营事务，管理对象具有明显的区别与特征，所以不能把项目管理当成一般的运营管理，否则项目的失败风险将非常高。

由于项目管理的对象是项目，所以，项目管理必须围绕项目的6个特征来管理，在项目管理中必然会存在项目的生命周期管理，项目管理必然存在项目的管理主角，即项目经理。

所谓IT项目，取自于英文INFORMATION TECHNOLOGY PROJECT，IT项目属于工程型项目，工程型项目的典型特征是具有规范的工程化管理与实施方法，非常强调流程化、阶段型的管理过程。

IT项目，最为典型的是软件类工程项目，具有典型的生命周期特征，在项目的实施过程中也具有典型的工程化方法，而且成为一套独立的软件工程开发体系，即需求分析阶段，概要设计阶段，详细设计阶段，编码阶段，测试阶段，移交产品阶段。

但是，IT项目同样具有一般项目的典型特征，IT项目的信息产品部分属于无形的产品，相对于建筑类的工程项目，IT类的项目不确定性更高，不可重复性更强。

1.2 风险管理的内涵何谓风险？对于风险的定义有多种阐述，下面介绍几个风险的概念。

风险是遭受损失的一种可能性。

风险是有害后果发生的可能性，是对潜在的、未来可能发生损害的一种预期损失。

风险是一个统计概念，用于描述在给定的时间和空间中消极事件和状态影响人或者事件的可能性。

在项目管理中，对风险的定义主要关注风险发生的可能性以及发生后产生的后果，本文称为期望风险，采用R=f(P,C)表示，其中：R风险、P不利事件发生的概率、C不利事件发生的后果按不同的分类方法风险可以分为多种类型，如表1－1表1－1 风险的分类在项目管理中存在如此多的风险类型，该如何管理呢？从项目管理指南中给出建议，项目的风险管理是指项目管理组织对可能遇到的风险进行规划、识别、估计、评价、应对、监控的过程，是以科学的管理方法实现最大安全保障的实践活动的总称。

在风险管理中，首先要做的事情是识别风险，评估风险发生的可能性和发生后果，对风险进行分类，再采取措施预防风险的发生或应对发生采取回避危害的措施等。

在风险管理中有两个很好的建议即1）如果你不主动识别风险，风险是不会主动跑到你的视野范围之内的；2）如果你不主动攻击风险，风险就会主动攻击你。

风险管理的基本模型如图1－1图1－1 风险管理基本模型这是一套基本的风险管理模型，侧重强调风险的过程管理，从建立恰当的机制，选择有效的识别方法，选择有效评估发生可能性方法，选择有效评估风险影响方法，建立预防措施，开发风险应对措施，确定紧迫性到确定风险的责任人形成一个闭环。

风险解决了之后，如果不保持应对措施，或应对措施，环境发生改变，风险仍然可能再发生，所以，即使风险得到了很好的控制，也不能麻痹大意，条件一变，新的风险就诞生，风险的管理是一个不断更新，不断面对新风险，不断解决风险的不断循环过程。

风险的种类很多，在一个项目中有多种类型的风险存在，不同风险发生的概率相差很远，而且风险一旦发生后风险的损失也不相同，然而风险的概率发生没有一个固定的规律，风险发生的损失也不是一层不变的。

风险本身就是一种不确定性，与风险有关的一切内容都存在着不确定，至于概率高与低，损失大与小，完全取决于企业对风险管理的深度如何。

最差的风险管理属于事后处理型，最好的管理是积极预防并想颁发消灭根源型。

以下是五种风险管理层次，如表1－2表1－2 风险管理的层次1.3 研究对象本文从风险管理的角度出发，在研究对象上选择IT项目管理中存在的风险管理机制，侧重点在于风险管理机制。

主要研究内容如下：1）风险管理的蕴藏机制：重点阐述，风险管理中风险是如何蕴藏于项目中，如何把风险识别出来。

在蕴藏机制中，还将就风险识别的一些技巧与方法做一些介绍。

2）风险的评估机制：风险识别出来后，如何评估风险发生的可能性与风险发生造成的损失大小。

3）建立风险控制机制：建立流程控制机制，控制风险的发生，在项目管理中通过不同类型的流程控制表来传到风险意识，降低风险发生的可能性。

4）风险发生后的处理机制：风险不可能完全解决，即使做了最好的措施，风险仍然可能发生，一旦发生后，风险的处理与应急机制将发挥决定性的作用。

1.4 研究方法与路线当前，项目管理对大部分项目型企业而言已不再陌生，但是项目管理水平和项目管理知识尚处于一个比较低级的阶段，项目的风险管理机制在项目管理中很少作为一个系统机制来管理。

在2005年10月通过IT项目管理俱乐部开展的一项针对当前IT企业的项目管理水平调研中发现大部分企业的项目管理只停留于时间管理和费用管理。

该调研共发出250份问卷，有效回收180份，有效问卷170份，统计结果没有一家做到很好的风险管理，按照项目管理的目标（时间、范围和成本基本约束目标）执行项目又达到目标的项目很少，成功率不到30％。

针对当前企业缺乏对风险管理的经验，原本想通过对企业的风险管理经验的调查以获得经验性和统计性的数据结果，通过这一调查的结果表明这一条最传统最保险的研究路线已无法走通。

研究路线进一步的探索发现在咨询机构中却有很好的风险管理经验，在部分IT企业中项目的风险管理做的很好。

本文的研究将主要围绕咨询机构和企业的管理经验展开，从中汲取有用的实践经验成就本文的研究内容。

为此，本文采取的研究方法是：1、借鉴咨询公司咨询经验，作为本研究的方法与路线依据。

2、依托中国项目管理俱乐部、广州IT项目管理俱乐部以及部分项目型企业的调研结果应用到本项目的研究中。

3、通过对具有很好实践管理经验的IT企业进行案例式的研究。

具体的研究路线，本文总结如下图1－2：图1－2 研究路线1.5 本章总结本章通过对项目管理以及项目风险管理的定义与内涵的研究，确定本研究的研究范围和研究路线、研究方法。

第二章风险来源与处理机制2.1 风险蕴藏机理按照风险的来源分为企业内部风险和企业外部风险，按照风险能否控制的来说，可以分为可控风险和不可控风险。

企业内部风险一般来说可控性比较强，而企业外部风险可控性比较差。

按照项目风险发生后的影响大小可分为一般风险，严重风险，关键风险。

企业外部风险：企业外部风险主要来自于影响项目成功的外部因素，尤其是客户方的主要利益相关者。

例如客户方的高层，如果客户方的高层对项目持否定态度那么项目成功的可能性很小，或者是客户方的主要利益相关者在项目的利益处理上有明显的分歧和矛盾，项目能够顺利进展的可能性也很小。

另外，如果项目存在第三方的监理也是项目的一个重要影响者，客户的态度在很大程度上受到监理方的意见左右，让监理方满意项目的过程管理与进展也是至关重要。

第三，在一些国家部分限制性的项目中，即使项目执行的非常好，如果没有政府相关部门的批复都无法顺利移交的话，政府部门也是一个重要的风险因素，例如建筑工程类的项目，没有消防部门的验收项目不能移交给客户。

企业内部风险：企业内部风险可以归纳为企业思维层次的风险、企业组织结构层次的风险以及企业项目管理层次的风险。

从影响面来说，企业思维层次和企业组织结构层次同属于相对宏观的风险，企业项目管理层次的风险属于细节管理的风险。

1、企业思维层次风险1）企业思维层次属于企业战略范畴，反映的是高层领导者的意图。

如果高层领导者对项目管理产生误解或认为可有可无的话，企业的项目管理是无法做好的。

2）企业思维层次的风险在导入项目项目管理体系前必须先行得到解决。

如果企业思维通过各种方法都无法扭转到一个正确的思维上来，那么项目管理体系的导入就可以宣告失败。

3）思维层次的风险可以通过一系列培训与案例来进行引导，在培训过程中，接受培训的是企业的高层领导，很难有足够多的时间接受长篇大论，所以，必须要精简培训内容。

有时候，邀请相关的权威专家进行一次有针对性的彻头彻尾否定批评，例如围绕对方坚持的错误思维直接否定他，并给予非常严厉的批评，反而能取得更好的效果。

2、企业组织结构层次的风险1）企业组织结构的状况直接反映出企业对项目管理的重视程度，如果企业组织结构属于典型的职能型结构则在现代的项目管理中难以发挥项目管理的绩效，企业组织结构往往成为制约项目管理绩效的一个重要因素。

在对广州某公司的项目管理咨询中就发现这样的典型问题，企业的管理不是以项目为核心，仍然采用传统的管理方式。

传统的方式在典型的项目管理型企业中，对项目经理的权力影响很大，项目经理不是一个完全责任的项目经理，那么项目经理的责任感就不强，非常容易造成项目的成本失控，质量失控的风险。