项目管理漫谈（九）
项目风险管理
《华报》 http://www.verygood.ca
风险管理是一个较新的课题，尤其对于中国人来说是比较陌生的。因为风险一词来源于资本主义的海上贸易，中国多年计划经济体制似乎不知风险为何物，自然无风险可言。70年代末，人民日报头版大幅文章宣传社会主义相对资本主义有三大优越性，叫做三不怕：工人不怕失业，企业不怕倒闭，政府不怕倒台，人们被告知似乎是生活在一个保险箱里。真是三十年河东，三十年河西！大中城市有几十万失业工人已属司空见惯，企业破产倒闭更是屡见不鲜。
在市场经济的环境里，风险时刻伴随你的身旁，所以变得人人都有危机感。这不等于说市场经济不好，因为中文里的危机这个词很有意思，你可以理解成危险威胁和机会机遇的结合，所以商界人士普遍相信高风险高回报是相互联系的。按照美国PMI对风险的定义，风险只是偏离我们预计的可能性，所以有好的和坏的两方面影响。这与我们日常口头说的风险就有明显的区别了。我们在学习项目风险管理时要接受这个新概念：风险是指具有不确定性的事件或情况，一旦发生就会对项目目标产生积极的或消息的影响。在PMBOK2000版本里，项目风险管理这部分大幅度更新和补充，从原来的4部分增加到6部分，增加了50%的知识量，这充分反映了项目风险管理迅速发展和受重视的程度。
这六个部分是：一、风险管理计划，二、风险识别，三、风险定性分析，四、风险定量分析，五、风险应对计划，六、风险监控。编制管理计划工作的基础或称输入，除了项目章程，工作分解结构之外，还必须参照有关风险管理计划的模板或标准格式，根据项目具体情况做必要修改和补充，组织风险管理的方针，可能组织内已有风险分析和风险应对的办法，要具体地与项目本身相结合。有的组织（或领导者）对风险不太在意或承受能力较强，有的则承受能力较弱，对各种大小风险都要引起注意，决策者的决策风格是很大的影响因素。当然承受能力强的对重大项目也应充分重视，不能等闲视之。还要考虑干系人的承受能力，不同干系人由于经济、政策、能力和性格等因素影响到他们对风险的承受能力，要做具体细致分析。事先定义好的角色与责任以及决策权限的说明文件也是制定风险管理计划所必需的信息。编制风险管理计划的工具和技术就是计划编制会议，参加会议的包括项目经理、团队领导、负责编制计划的人员、关键的干系人和其他需要参加的人员。
风险管理计划的输出即工作成果就是管理计划本身，它说明在项目生命周期内应如何组织和实施风险识别，定性定量分析，应对计划和风险监控，其要点应包括：
1. 方法论。方法论是个大词，意味着在一定的理论体系指导下的一整套解决问题的方法、技术和工具，以及数据来源。
2. 角色和责任。可以用一个责任矩阵来明确成员的责任，要注意引入项目办公室外的风险管理团队可能更客观的分析项目风险，可避免项目发起者的偏好。
3. 确定项目风险管理的预算。
4. 时间安排。确定在项目生命周期内进行多少次管理过程，为决策提供依据。
5. 评分和说明。评分和说明要与定量定性分析时间安排相适应，要事先确定以便统一口径比较。
6. 风险下限。即确定由何人以何种方式对风险采取行动的最低准则。干系人中的风险下限各不相同。可接受的风险下限形成了一个目标。根据它项目团队检查衡量风险应对计划执行的有效性。
7. 报告格式。指风险应对计划的内容和格式。确定如何将风险管理结果形成文件报给内部、外部的干系人。
8. 追踪。以文字形式记录风险管理的经验和教训，是否需要及如何审计风险过程。
风险识别有四项输入：
上述风险管理计划自然是其中之一，其二是项目计划编制的输出。要识别项目风险当然了解项目的使命范围以及干系人的各种目标。了解审查其他过程的输出。这些输出可能包括但不限于以下诸点：项目章程，工作分解结构，输出说明书，进度与费用估算，资源计划，采购计划，假设和制约因素的清单。
第三是风险种类。根据行业或应用领域的一般常见风险来源，风险种类有如下划分：
技术、质量或性能风险：项目使用未经实际检验的技术或者复杂的技术的时候，常常会出现意想不到的困难，必须呀有所考虑。例如某集团公司的矿井工程，从地质资料已知打井时会遇到流沙层，决定采用先进的液氮固化技术，就是往地下钻孔到流沙层后注入液态氮，使沙层冻结而失去流动性。原理很简单，但实施起来因素很复杂。除了液氮系统要确保运转正常外，沙层厚度，沙粒大小，水分含量，冻结后的强度等都对液氮灌注速度有影响，还要考虑注氮孔道的位置、分布深浅等诸多因素，是一个先进而复杂的固沙技术。由于技术复杂，影响因素太多，最后不但没有节约成本，反而超出预算几百万。
另外，不切实际的性能目标自然会形成风险，这种情况的出现往往是项目组受到客户压力或其他方面压力造成的。国内从前许多项目竣工日期都要选在五一、七一、十一等有政治意义的特殊日期做成献礼项目，使许多项目不切实际地提前完工，造成许多恶劣后果。改革开放以后这种明显的例子不多了，但隐含的因素却大量存在。如北京市某市重点工程要在开春通车，路基回填工程是在冬季进行的，“冻土回填”是道路桥梁的大忌，结果通车典礼上领导很风光，但转眼天气一暖，路面出现许多凹坑，招来司机和乘客的讥讽和抨击，名副其实的怨声载道。现在科技飞速进步，技术体系和行业标准也不断变化，历时较长的项目要考虑到标准的改变。我们在做国家科技攻关项目（历时三年）制定技术指标时，没有国家标准，参考国外的标准，但也要考虑到三年后的技术进步水平。所以留有余地，项目完成后第二年国标颁布了，如果当时未留有余地，这个项目成果第二年就完了，这是风险应对成功的一例。
项目管理风险：资源配置不当，时间安排不好，质量计划不当以及项目管理知识运用不当皆可造成管理风险。
组织风险：组织内部协调不力，优先顺序矛盾，资金不足或供应中断，或和其他项目冲突。
外部风险：法律、法规变化，环境变化，劳资关系、项目被重视程度变化，国家风险以及天气变化。不可抗力风险也是外部的，地震、洪水、内乱（战争），但一般不列入风险管理，但是发生后要有救灾行动。
国内某大型建筑材料集团在80年代末发展很快，进行一个涉外的大项目，预计效益很好，但赶上1989年“六四”，外国专家们一溜烟跑回国，项目中断，中方损失巨大，而外方反向该集团索赔，因为当局宣布是发生“暴乱”，有许多暴徒，安全无法保证，是不可抗力，他们在发生暴乱时放下工作的行为受到国际有关法律条文的保护。
第四是历史资料：可以查阅项目档案资料，项目报告中有关部分，也可以来自一些干系人的经验，还要考虑查阅公开出版的资料，如各行业的商用数据库、研究成果或基准比较。
风险识别的工具和技术：
1. 审查文件：详细审查以前有关项目档案和其他资料。和项目具体情况相对照，获得有用信息。
2. 信息收集技术：例如头脑风暴法，特尔菲法，面谈和SWOT分析（又称态势分析，Status Analysis）。
3. 核对表：这是一个根据历史资料、类似项目等信息来源积累起来的核对单。有了它，可以加快和简化风险的识别，缺点是由于是以往经验，所以容易受到局限，要特别注意结合当时当地情况。
4. 假设分析：任何项目都是从一些假设前提构思发展而来，假设分析是研究假设合理性的技术。这种技术通过查找各假设的不一致、不精确或不完整性来识别项目风险。
5. 图示技术：图示比文字叙述有更好的视觉效果，对事物间关系有更强的表现力。常用的有因果图，系统图或流程图，表现出系统内不同元素间关系。相关图表现出引起问题可能的各种原因的影响，事件的时间顺序以及其他相关关系，例如变量与结果等。
风险识别的输出除了识别出的风险之外还包括触发因素，有时叫风险症状或警告信号，即风险已经发生或即将发生的标示。另外还提供其他过程的输入，识别风险后可能发现在其他领域采取进一步措施或行动，比如WBS不够细微，进度计划的逻辑性不严密等。
风险的定性分析：
定性分析的输入包括风险管理计划，已经识别出的风险，假设数据的精确度，项目类型和项目状态。常见的项目或经常性项目，其风险和后果往往容易被理解和认识。高科技或首次应用的技术不确定性要大得多。项目状态不同，如是否设计成熟，还要一项很重要的输入就是风险概率和后果的标度，以便将来使用风险评价矩阵。
定性分析的工具和技术
1. 风险概率和后果：风险概率可用定性术语表达，如很高、高、中、低、很低。风险后果是风险一旦发生对项目造成的影响。认识风险的概率和后果两个方面有助于管理风险。其实有一种风险的三元函数定义就是风险=f(事件，事件概率，事件后果)
2. 概率后果风险评价矩阵：
矩阵的不同列有不同的后果标度，例如从0.05至0.8（事先设定好）。
矩阵的不同行有不同的概率值，在0-1之间赋值，如(0.1,0.3,0.5,0.7,0.9)，二者之乘积为矩阵中元素的值。
风险概率——后果矩阵(P-I矩阵)
后果标度 对目标的影响（如费用、时间、范围等）（比率标度）
概率
矩阵中每个元素都是两个标度的乘积，组织必须确定高、中、低曲线并分别标以红、黄、绿三种颜色。
3. 项目假设测试：识别出的风险必须按两个可能测试：假设的确定性和不成立时造成的后果。
4. 数据精确度评价：为了使分析判断准确，必须使用准确的数据，为此要对数据精确度评级，即检查对风险了解的程度；已有的有关风险的数据；数据的质量；数据的可靠性和完整性。
如果数据精确度评价结果不能令人满意，有可能重新搜集数据。
定性分析输出：1.项目风险综合评价，2.重点风险清单，3.需进一步分析和管理的清单，4.定性风险分析结果中的趋势，了解趋势可有助于进一步加强风险管理。
定量风险分析：
定量分析一般是在定性分析之后进行，但也有识别之后直接进行的。定量分析输入基本上与定性分析的输入相同，但要补充定量分析特殊需要的条件和专家判断。我们重点来谈定量分析的工具和技术，其理论主要是概率论和系统论。
1. 面谈或专访。对于项目干系人或具体问题进行专家访问，这是搜集数据和信息的很好形式。至于搜集何种信息，则取决于将利用什么概率分布类型。常见的概率分布有均匀分布、正态分布、β分布、三角分布、对数正态分布等。对于三角分布要注意搜集乐观、悲观和最可能情况的资料，对正态分布、要搜集均值、标差的资料。
2. 敏感性分析。这种分析方法用来确定哪些风险因素对项目潜在影响最大，通过逐个分析每个因素的变化在其他因素保持基准值时，会对目标产生多大程度的影响，来决定重点管理的对象。
3. 决策树分析。决策分析一般都按照决策树的形式进行。所谓决策树是一种把风险概率和将来决策构成的一个逻辑线路图，对没一条路线可以计算出费用和收益，以资比较。
4. 模拟。模拟方法是利用一个模型通过细部的不确定性计算出对整个项目层次上的目标产生的潜在影响。项目模拟一般是用蒙特卡洛方法进行。由于用到较多概率论知识，在此不作详细介绍。
定量分析的输出包括：1.一个量化了的、明确重要性大小的风险清单。2.项目的概率分析，包括项目潜在的进度费用的预测，列出项目完成日期和费用。3.达到时间和费用目标的概率，根据当前计划及面临风险的了解，可以估算项目时间、费用目标实现的概率。4.定量风险分析结果中的趋势。在多次定量分析中会发现某种趋势可提供重要信息、风险应对计划。我们只重点介绍其工具和技术，其实就是对待风险的几种决策。
回避：回避是指改变项目计划以消除风险和风险条件。项目不可能回避所有风险，只能回避某些具体的风险。
转移：将风险后果连同应对责任转移给第三方，例如利用保险公司，当然要支付一定费用。
减轻：设法把不利风险事件发生概率或后果降低到可接受的界限以下。防范措施比发生后补救措施要有效得多。但要控制成本在合理范围内，例如化工厂中的防火防爆措施及设施，企业自己的消防队等。
承受：不因风险而改变项目计划，或找不到合适的应对策略，积极地承受可能结果。包括制定应急计划，一旦风险发生，按计划应对。被动的承受则不做任何决定而留给团队在风险发生时临机处置。最常见的应急计划是预留应急准备，如预留资金、时间或人员以备风险发生之需。
风险监控部分。其工具技术没有什么新内容，主要谈一下输出，包括六项：1.应急计划。这是对以前未识别的风险或已接受的风险采取的未经计划的应对措施、计划。要把应急措施正确记录并纳入项目计划和风险应对计划中去。2.挽救行动。包括实施备用计划和应急计划中的措施。3.项目变更请求，发出变更单，纳入整体变更管理。4.风险应对计划更新，对发生和未发生的风险做记录更新。5.核对表更新。6.风险数据库。