项目风险管理计划的制定方法：16个减少损失的步骤

在任何项目中——无论是小型初创企业还是大型投资计划——风险总是相伴而行。一个清晰有效的风险管理计划就像“保护盾”，帮助企业避免不必要的损失并保持稳定的进度。

在制定项目风险管理计划时，您需要确定：

• 风险发生的概率及其对项目的影响程度；

• 识别每个阶段的潜在风险类型；

• 制定应对策略和风险发生时减少损失的方案。

一个完善的计划不仅能帮助您在事故发生时主动应对，还能从一开始就降低风险的可能性，确保项目按计划进行并实现既定目标。

无论您是项目经理、企业主还是金融专业人士，掌握如何制定风险管理计划将为您未来的所有决策奠定坚实基础。

步骤 1：了解风险管理的工作原理

在项目管理实践中，“风险”不只意味着消极。它可能是机遇或挑战，这取决于我们如何评估和处理。风险管理帮助企业主动控制局面，而不是在事故发生时被动应对。

以下是关于项目风险管理最简单和最实际的理解方式：

• 什么是风险：是项目执行过程中发生的事件或一系列事件的（好或坏）影响。
  → 可以理解为：风险 = 发生概率 × 影响程度。

• 评估风险所需分析的因素：

  • 事件 (Event)：可能发生什么？

  • 概率 (Probability)：该事件发生的可能性有多大？

  • 影响 (Impact)：如果发生，后果有多严重？

  • 缓解措施 (Mitigation)：如何降低风险发生的可能性？能降低多少百分比？

  • 应急方案 (Contingency)：如果风险发生，您将如何应对以减少影响？

• 风险管理的基本公式：

  • 风险降低 (Reduction) = 缓解措施 × 应急方案

  • 暴露程度 (Exposure) = 风险 – 降低

  这正是您无法避免的风险部分，无论您的计划多么完善。

• 权衡成本与效益：
  在确定暴露程度后，比较控制风险的成本与执行项目带来的效益。如果成本超过效益，您可能需要重新考虑。

• 承担风险 (Assumed Risk)：
  在许多情况下，企业被迫接受一部分风险，尤其当这是强制性要求或潜在商机过大时。这部分风险通常会转化为货币价值，以计算项目的最终效率和利润。

总而言之，项目风险管理并非不惜一切代价避免风险，而是清晰理解、量化并主动控制风险，以保护企业的长期目标。

步骤 2：明确您的项目

假设您负责一个为大量用户提供重要信息的计算机系统，尽管它不是关键性的，但对整体运营有显著影响。目前，主服务器老旧，需要更换。

您的任务是为将系统迁移到新服务器的过程制定风险管理计划。

这是一个简单的模型，适用于非专业人士，其中风险和影响程度按项目管理中常见的三种级别进行分类：

• 高 (High) – 风险发生的可能性大且造成严重影响。

• 中 (Medium) – 风险可能发生且造成中等影响。

• 低 (Low) – 风险很少发生或影响微不足道。

明确项目范围和待替换系统的特性是您识别、分类和有效应对风险的第一步，也是最重要的一步。

步骤 3：收集项目团队的意见并共同识别风险

不要独自制定风险管理计划。一个实际有效的计划总是来自于团队内部不同的视角。

以下是专业且易于应用的操作步骤：

• 召集相关团队：邀请了解项目的人员——可以是系统工程师、项目经理、运营部门或客户支持。每个人都将从不同的角度看待风险。

• 组织头脑风暴会议：

  • 提出核心问题：

    • 在系统迁移过程中可能发生哪些风险？

    • 如何预防或降低它们发生的可能性？

    • 如果风险真的发生，我们应该如何应对？

  • 鼓励每个人开放地提出想法，不加评判。

  • 记录所有意见，包括那些“听起来很奇怪”的想法。有时，正是这些不同的视角能帮助您发现其他人忽略的潜在风险。

• 保持会议方向：

  • 避免讨论偏离主题或变成“抱怨大会”。

  • 主持人需要控制节奏，确保所有人专注于核心目标：识别、预防和处理风险。

• 利用结果：
  会议记录将成为您在后续步骤中使用的极其重要的输入数据——从风险分类、确定影响程度，到制定具体的行动计划。

步骤 4：确定各项风险的具体后果

完成头脑风暴会议后，下一步是将每项风险与可能发生的实际后果联系起来。这一步能帮助您更清晰地衡量影响，避免泛泛而谈、难以执行的评估。

为了做好这一步，请注意以下几点：

• 为每项风险附上具体后果：

  • 不要只模糊地写“项目延期” → 要具体：“因数据迁移错误导致项目延期 13 天。”

  • 与其写“超出预算” → 不如明确记录：“因必须租用备用服务器，额外成本增加 1.5 亿越南盾。”
    这种具体程度有助于您轻松计算损失并制定合理的应对计划。

• 按主要类别列出后果：

  • 进度：项目延误多久，影响哪些关键里程碑。

  • 财务：预估的额外成本或金钱损失。

  • 技术：系统停机、数据错误、性能下降。

  • 客户/用户：服务中断程度，对用户体验或声誉的影响。

  • 人力：压力增加、加班、生产力下降或团队士气低落。

• 尽可能用数字具体化：

  • 使用天数、百分比或货币价值来量化后果。

  • 例如：“系统错误率增加 5%”或“两周内营收损失 2 亿越南盾”。

• 此步骤的目标：
  确定具体后果有助于您更准确地分类风险级别（高-中-低），同时为后续步骤中提出缓解和应急措施提供坚实依据。

步骤 5：剔除不相关或无法控制的风险

有效的风险管理计划不仅是列出尽可能多的风险，更重要的是识别那些实际可管理和可控制的风险。

请记住：并非所有风险都需要或应该纳入计划。

以下是合理的筛选方法：

• 专注于可控制或可缓解的风险：

  • 例如：软件错误、服务器故障、人员短缺、进度延迟、预算超支。

  • 这些是您可以主动制定应对计划的因素，因为它们在项目管理范围内。

• 剔除超出控制范围的因素：

  • 像核战争、全球疫情、小行星撞击地球等风险，理论上都可能中断项目，但您无法预测或准备具体的缓解措施。

  • 它们在一个运营性风险计划中不具有实际价值。

• 保持务实思维：

  • 您可能“意识到”这些因素存在于商业环境中，但不要将它们列入正式的风险类别。

  • 专注于您实际能够处理的问题，有助于使您的计划更简洁、更专注、更有效。

• 核心原则：
  → 只将可识别、可衡量和可管理的风险纳入计划。

第 6 步：列出所有已识别的风险因素

在排除了不相关的风险之后，下一步是汇总所有剩余的风险——这将成为后续风险分析和排序的“基础数据集”。

以下是一些帮助您有效执行此步骤的注意事项：

• 记录所有已提出的风险：

  • 基于头脑风暴和前几步分析的结果。

  • 此时无需按重要性或发生概率排序——只需完整列出。

• 保持表达简洁明了：
  每个风险应仅限于一行具体描述，例如：

  • 系统迁移过程中数据丢失。

  • 因软件故障或人员短缺导致项目进度延迟。

  • 新服务器与旧应用程序不完全兼容。

  • 用户在切换后遇到访问问题。

  • 实施成本高于预期。

  • 设备供应商延迟交货。

  • 没有足够的时间测试所有功能。

• 注重完整性：
  此阶段的目标不是评估风险，而是确保不遗漏任何可能影响项目的因素。

• 预期结果：
  您将获得一份风险汇总清单（初始风险登记册），作为后续步骤的基础，如分类、评估概率-影响和制定应对计划。

第 7 步：确定每项风险的发生概率

有了潜在风险清单后，下一步是评估概率（probability）——即该风险在项目实施过程中实际发生的可能性。

此步骤有助于您区分哪些风险值得关注，哪些风险只需监控，从而优先分配资源进行适当处理。

具体操作方法：

• 步骤 1：评估发生概率
  对于清单中的每个风险因素，确定其可能性级别：

  • 高（High）：发生可能性大，几乎肯定会遇到（例如：工作量大导致进度延迟）。

  • 中等（Medium）：可能发生，但取决于具体条件（例如：数据传输过程中网络连接错误）。

  • 低（Low）：很少发生，只在特殊情况下才可能（例如：系统迁移时长时间停电）。

• 步骤 2：如有必要，转换为数值
  在一些专业项目中，您可以为概率分配数值，以便于计算总风险：

  • 0.01 – 0.33 = 低 (Low)

  • 0.34 – 0.66 = 中等 (Medium)

  • 0.67 – 1.00 = 高 (High)
    例如：如果您估计数据丢失的可能性约为 70%，则可以记录为0.7 (High)。

• 步骤 3：消除不可能发生的风险
  那些概率为零（zero probability）的情况——例如“恐龙袭击数据中心”——应该从清单中删除。无需浪费时间分析完全不切实际的风险。

• 步骤 4：将结果记录到风险登记册（Risk Register）中
  在“概率”列中，填写高/中/低级别或每个风险对应的数值。
  这有助于您在下一步（评估影响和总体排名）中轻松比较和确定优先级。

第 8 步：确定各项风险的影响程度

在评估了发生概率之后，风险管理计划的下一步是确定影响程度（Impact）——即如果风险真的发生，实际后果是什么。这是理解哪些风险可能造成严重损失以及哪些风险影响轻微的关键步骤。

具体操作方法如下：

• 步骤 1：为每个风险分配影响等级
  根据预先商定的指导方针（例如关于进度、成本、质量、声誉等），确定：

  • 高 (High)：如果发生，风险可能导致项目停滞，造成巨大经济损失或严重影响用户/企业。
    → 例如：系统迁移过程中所有客户数据丢失。

  • 中等 (Medium)：造成暂时中断，损失可弥补。
    → 例如：系统故障导致服务中断数小时。

  • 低 (Low)：影响轻微，不会造成重大损失或容易处理。
    → 例如：切换后部分辅助功能暂时无法使用。

• 步骤 2：如有必要，使用数字化量表
  在需要详细量化的项目中，可以将影响程度转换为数值以便计算：

  • 0.01 – 0.33 = 低 (Low)

  • 0.34 – 0.66 = 中等 (Medium)

  • 0.67 – 1.00 = 高 (High)
    例如：如果影响估计为0.8 (High)，则对应估计损失约为 3 亿越南盾。

• 步骤 3：消除影响为 0 的风险
  如果某个事件对项目没有任何影响，那么就不应将其纳入风险清单，无论其发生概率有多高。
  → 例如：“员工的狗吃了晚饭”与项目完全无关，应予删除。

• 步骤 4：更新风险登记册 (Risk Register)
  在风险汇总表中，添加“影响”列，并注明高/中/低级别或相应的数值。
  此信息将用于在下一步中计算总体风险等级（风险评分 = 概率 × 影响）。

第 9 步：确定每个因素的总体风险水平

在获得概率（Probability）和影响程度（Impact）之后，下一步是计算或分类总体风险水平（Overall Risk Level）。这是确定优先级的基础——哪些风险需要立即采取行动，哪些风险可以定期监控。

具体操作方法如下：

• 步骤 1：结合概率和影响
  根据前几个步骤中评估的两个参数，您可以使用风险矩阵（Risk Matrix）来确定总体风险水平。

  例如，基于 L – M – H 级别的简单组合表：

  影响 (Impact)	低 (Low)	中 (Medium)	高 (High)
  概率 (Low)	低	低	中
  概率 (Medium)	低	中	高
  概率 (High)	中	高	非常高

  → 根据概率和影响的交汇位置，您将对总体风险进行评级。

• 步骤 2：如果使用数值（0.00 – 1.00）
  您可以使用公式计算风险分数（Risk Score）：
  → 风险分数 = 概率 × 影响

  示例：

  • 风险 1：概率 = 0.6，影响 = 0.8 → 风险分数 = 0.48（中等风险水平）

  • 风险 2：概率 = 0.8，影响 = 0.9 → 风险分数 = 0.72（高风险水平）

  根据内部标准，您可以约定：

  • 0.01 – 0.33 = 低 (Low)

  • 0.34 – 0.66 = 中等 (Medium)

  • 0.67 – 1.00 = 高 (High)

• 步骤 3：灵活分析
  没有关于如何结合概率和影响的“国际标准”公式。
  每个组织或项目都可以自定义计算方式，只要它能真实反映实际风险水平即可。
  在许多情况下，您可以在 L–M–H 系统和数值系统之间灵活转换，以适应报告或演示目的。

• 步骤 4：将结果记录到总风险登记册（Risk Register）中
  添加一列“总体风险水平”以显示最终结果——这是下一步的基础数据：优先处理和制定行动计划。

第 10 步：从高到低对风险水平进行排序

在计算出总体风险水平（结合了概率和影响）之后，下一步是对风险进行排序。这有助于您优先分配资源并战略性地做出行动决策——首先处理影响最大的风险。

操作方法：

• 步骤 1：列出所有已评估的风险清单
  使用风险登记册，包括：

  • 风险名称

  • 发生概率 (Probability)

  • 影响程度 (Impact)

  • 总体风险得分或级别 (Risk Score 或 L–M–H)

• 步骤 2：按总体风险水平排序

  • 最高（高/关键）：需要立即处理，如果发生将产生严重影响。

  • 中等（中）：密切关注，如果得不到控制可能会产生影响。

  • 低（低）：只需定期监控，无需立即采取行动。

  风险排名表示例：

  序号	风险	概率	影响	总体风险等级	优先顺序
  1	系统迁移时数据丢失	高	高	非常高	1
  2	新旧软件之间的兼容性错误	中	高	高	2
  3	因技术人员不足导致进度延迟	高	中	中	3
  4	因租用备用服务器导致成本增加	中	中	中	4
  5	切换后暂时无法访问	低	低	低	5

• 步骤3：确定行动阈值（Risk Threshold）

  • 对于高风险，您需要立即制定应对措施（Immediate Mitigation Plan）。

  • 对于中等风险，可以制定定期监控计划，并在风险增加时启动。

  • 对于低风险，只需记录并进行一般性监控。

• 步骤4：更新和维护
  风险排名并非一次性工作，而应定期审查——尤其是在项目范围、预算或进度发生变化时。

步骤11：计算项目总风险水平

在对每个单独的风险进行排名后，下一步是计算总风险（Total Risk），以便全面了解项目的整体风险水平。这是一个帮助管理者评估项目整体安全水平并做出决定是否继续、调整或增加资源的指标。

操作方法非常简单：

• 步骤1：将风险等级（高-中-低）转换为数值
  根据之前使用的量表：

  • 高 (High) = 0.8

  • 中 (Medium) = 0.5

  • 低 (Low) = 0.2

• 步骤2：列出所有风险点
  例如，您的风险表中评估了7个因素：
  → 高, 高, 中, 中, 中, 低, 低
  → 对应：0.8, 0.8, 0.5, 0.5, 0.5, 0.2, 0.2

• 步骤3：计算总风险平均值（Average Total Risk）
  将所有值相加并除以风险数量：

  $$(0.8 + 0.8 + 0.5 + 0.5 + 0.5 + 0.2 + 0.2) ÷ 7 = 3.5 ÷ 7 = 0.5$$

  → 总风险平均值为 = 0.5

• 步骤4：解释结果
  根据统一量表：

  • 0.01 – 0.33 = 低 (Low)

  • 0.34 – 0.66 = 中 (Medium)

  • 0.67 – 1.00 = 高 (High)

  由于平均分0.5介于0.34 – 0.66之间，因此项目的总体风险水平为“中等（Medium）”。

• 步骤5：解释实际意义

  • 项目存在可接受的风险水平，需要定期监控，但尚未达到警报级别。

  • 然而，管理团队应关注高风险（High），以确保在实施过程中总风险水平不会上升。

步骤12：制定风险缓解策略（Mitigation Strategies）

当您知道哪些因素可能具有高发生概率或巨大影响时，下一步就是制定风险缓解策略——即降低风险发生的概率，而不是在风险发生时处理后果。这是风险管理计划中极其重要的一部分，因为它有助于从根本上预防问题，节省日后处理的时间和成本。

以下是实用且易于应用的方法：

• 1. 优先处理高风险和中风险

  • 高风险（High）和中风险（Medium）应优先进行缓解。

  • 低风险（Low）可以稍后考虑或仅需定期监控。

• 2. 确定降低发生概率的措施
  考虑什么可以降低风险成为现实的可能性，例如：

  • 如果重要组件交货延迟的风险 → 提前订购或选择备用供应商。

  • 如果系统迁移时数据丢失的风险 → 制定迁移前完整备份的计划。

  • 如果测试阶段人员不足的风险 → 分配备用资源或临时外包。

  • 如果新系统与旧软件不兼容的风险 → 在真实部署前在模拟环境中进行早期测试。

• 3. 评估每项措施的有效性

  • 估算采取措施后风险的发生概率（例如：从0.7降至0.3）。

  • 在风险登记册（Risk Register）中记录此变化以进行跟踪。

• 4. 为每个缓解行动明确责任人

  • 每项措施都需要一名主要负责人或一个团队负责，避免“泛泛而谈，无人负责”的情况。

  • 明确完成期限和所需资源。

风险缓解并非完全消除风险，而是主动控制发生的可能性。一个良好的缓解计划将有助于项目稳定、易于预测，并在风险成为重大问题之前限制损失。

步骤13：制定风险应急计划（Contingency Plans）

在有了缓解策略（Mitigation）以降低风险发生可能性之后，下一步是准备应急计划（Contingency Plan）——旨在降低损失程度，如果风险确实发生。这是所有专业风险管理计划中不可或缺的一部分，因为实际上总是存在一些无法完全控制的突发事件。

1. 应急计划的目标

• 在风险成为现实时，最大程度地减少影响（Impact）。

• 将项目运营维持在可接受的水平，而不是完全停滞。

• 提高组织或项目的灵活性和恢复能力（resilience）。

2. 优先制定“高”和“中等”风险的计划

• 重点关注那些可能严重影响进度、成本、质量或声誉的因素。

• 对于低（Low）风险，只需在发生时进行监控并灵活应对。

3. 应急计划的实际案例

• 风险：重要部件延迟交货
  → 应急计划： 使用旧部件暂时维持运营，或在等待货物期间从其他供应商处购买。

• 风险：关键人员突然离职
  → 应急计划： 提前制定工作交接计划，培训替补人员或聘请外部专家顾问。

• 风险：数据转换后系统故障
  → 应急计划： 保留旧数据备份，并准备必要时回滚到旧系统的方案。

• 风险：数据中心停电或基础设施故障
  → 应急计划： 维护备用系统（backup system）或在修复期间临时切换到辅助服务器。

4. 灵活思维——“跳出思维定势”

• 您并非总能控制风险源，尤其是外部因素（政治、自然灾害、经济波动等）。

• 然而，您仍然可以通过以下方式减少损失：

  • 实现供应来源多样化。

  • 拓展产品/服务组合，以免过度依赖单一收入来源。

  • 建立战略伙伴关系，必要时可分担风险。

应急计划是帮助项目在意外面前站稳脚跟的“救生圈”。虽然不希望风险发生，但提前准备将帮助您快速响应，减少损失，并在任何情况下保持稳定。

第14步：分析风险管理策略的有效性

在制定并实施缓解措施（Mitigation）和应急计划（Contingency）之后，下一步是评估这些措施的实际效果。目标是查看它们是否显著降低了风险发生的可能性或影响程度。

一些实用且易于应用的方法：

• 1. 重新评估可能性 (Probability)

  • 比较应用缓解措施前后的风险可能性水平。

  • 例如：进度延迟风险以前的可能性为0.7，在增加人员并每周跟踪进度后，降至0.3。

  • 如果下降幅度显著，则表明缓解策略发挥了高效作用。

• 2. 重新评估影响 (Impact)

  • 分析应急计划是否在风险发生时减少了损失。

  • 例如：由于定期备份数据，数据丢失事件仅影响10%的运行时间，而不是之前的50%。

• 3. 重新分配有效性评级 (Effective Ratings)

  • 使用应用策略后的风险得分更新风险登记册。

  • 这有助于反映当前的实际风险状况，而不是仅基于最初的预测。

• 4. 持续监控和定期改进

  • 风险管理是一个重复的过程，而不是一次性行动。

  • 应定期评估有效性（每月或按项目阶段），特别是当进度、成本或人员发生重大变化时。

• 5. 吸取经验并优化未来策略

  • 记录执行过程中的经验教训，以便在后续项目中改进风险管理方法。

  • 例如：如果某个策略效果不佳，分析其原因——是人为、流程还是客观因素。

有效性分析帮助企业衡量风险控制措施的实际价值。当一个策略能够显著降低风险发生的可能性或损失程度，并帮助项目稳定运行和节省长期成本时，就被认为是成功的。

第15步：计算应用管理措施后的有效风险水平

在实施了缓解策略（Mitigation）和应急计划（Contingency）之后，下一步是重新评估实际剩余的总风险——或者称为有效风险（Effective Risk）。这是表示项目在采取行动后必须接受的剩余风险程度的指标。

具体计算方法如下：

• 1. 转换应用措施后的风险水平
  经过控制过程，项目的7个风险分别重新评估为：
  → M、M、M、L、L、L、L
  → 对应的数值为：0.5、0.5、0.5、0.2、0.2、0.2、0.2

• 2. 计算平均有效总风险得分 (Average Effective Risk)

  $$(0.5 + 0.5 + 0.5 + 0.2 + 0.2 + 0.2 + 0.2) ÷ 7 = 2.3 ÷ 7 ≈ 0.329$$

• 3. 重新评估总体风险水平
  根据标准量表：

  • 0.01 – 0.33 = 低

  • 0.34 – 0.66 = 中

  • 0.67 – 1.00 = 高

  → 结果：有效总风险 = 0.329，对应低水平。

• 4. 与初始风险水平进行比较

  • 应用措施前：平均水平0.5（中）

  • 应用后：降至0.329（低）
    → 即项目总风险降低了约34.2%。

• 5. 实际意义

  • 项目在风险管理方面取得了显著成效，提高了安全性和可控性。

  • 缓解和应急措施发挥了良好作用，为后续阶段的实施奠定了坚实基础。

  • 这也是量化依据，用于向领导或投资者报告风险管理工作的有效性。

当总体风险从中等降至低等时，这表明您的风险管理计划取得了成功。降低34.2%是一个非常积极的结果——它既有助于稳定项目，又证明了专业风险管理工作的实际价值。

第16步：在整个项目过程中跟踪和监控风险

在识别、分析并为每项风险制定应对计划之后，下一个重要的工作是风险监控（Monitor Risks）。这个阶段能帮助您及早发现风险开始形成的迹象，以便及时启动应急计划，避免措手不及的情况。

1. 风险监控的目标

• 在风险发生之前及早识别预警信号（Risk Cues）。

• 在项目生命周期中评估风险的变化程度。

• 在正确的时间启动应急计划（Contingency Plan），避免损失扩大。

2. 如何识别风险预警信号（Risk Cues）

• 对于每个高风险或中风险，请确定表示其可能即将发生的具体迹象。

• 实际案例：

  • 进度延迟风险：小节点持续逾期，待办工作量增加。

  • 系统故障风险：错误日志（error log）异常增加，处理速度明显下降。

  • 人员短缺风险：离职率上升，生产力下降，员工超负荷工作。

  • 成本超支风险：订单量增加，技术要求变更或供应商调整。

3. 建立监控和报告机制

• 定期跟踪：设定风险检查周期（每周、每月或按阶段）。

• 自动预警：对于技术或金融项目，应使用监控工具（仪表盘、KPI预警）来发现异常波动。

• 快速报告：当发现风险迹象时，负责团队必须立即报告，以便管理层评估并根据需要启动应急计划。

4. 持续更新和调整

• 风险不是一成不变的——它随项目进度和商业环境而变化。

• 因此，风险登记册（Risk Register）需要持续更新新数据，包括：

  • 新出现的风险。

  • 影响程度的变化。

  • 控制措施的实际效果。

风险监控不仅仅是跟踪——更是主动发现、响应和控制。一个有效的风险管理系统不仅仅停留在“计划”阶段，而必须在整个项目过程中保持警惕，确保所有变动都能及时、可控地处理。

在项目中灵活实际地调整风险管理

在实践中，项目经理（Project Manager – PM）并非总有足够的时间和资源来全程跟踪风险管理。因此，灵活的应对方式是确保效率、同时避免陷入不必要细节的关键因素。

以下是项目经理，尤其是在高压和资源有限的环境中，可以轻松采用的实际方法：

1. 专注于项目的关键路径 (Critical Path)

• 当项目经理工作超负荷时，可以将风险分析限制在关键路径上的任务，即那些直接影响项目整体进度的任务。

• 可以计算多条不同的关键路径，并增加滞后时间（lag time），以提前预测可能处于高风险区域的任务。

• 这种方法有助于优化时间，同时确保重点突出，特别是在一位项目经理同时管理多个项目时。

2. 平衡风险管理与整体项目管理

• 风险管理是项目的重要组成部分，但不应占用所有资源，也不应掩盖其他规划、协调和控制活动。

• 目标是将风险整合到决策过程中，而不是将其变成一个“项目中的项目”。

3. 以金钱衡量风险降低的价值

假设您的项目总价值为1,000,000美元：

• 初始风险：0.5 × 1,000,000 = 500,000美元

• 剩余风险（Exposure）：0.329 × 1,000,000 = 329,000美元
  → 风险降低价值（Reduction）= 171,000美元

这意味着您已通过管理措施减少了171,000美元的潜在风险。
这个数字也是您可以用于风险管理活动的最大合理支出——类似于项目总预算中的保险费。

4. 随时准备应对变化

• 风险是动态的，而非固定的。今天的风险可能很高，但明天可能会降低或消失。

• 一些新的风险可能因环境、技术或法规的变化而产生。

• 因此，请持续更新风险登记册（Risk Register）并根据实际情况调整应对策略。

5. 评估风险承受能力（Risk Tolerance）

• 根据Exposure指数，您可以评估项目承受风险的能力。

  • 例如：对于一个价值1,000,000美元的项目，Exposure = 0.329意味着您可能面临329,000美元的潜在风险。

  • 如果预算不足以应对这笔费用，请重新审视范围（scope）或项目目标。

6. 启动预警系统（Early Warning System）

• 每个应急计划都应附带预警机制，以帮助识别何时需要启动。

• 如果有测试结果或指标有助于发现风险，请优先处理并尽早监控这些信号。

• 如果尚未建立预警系统，请主动设计一个合适的机制，例如：KPI指标、快速报告系统或自动化监控工具。

7. 持续记录和更新

• 在电子表格中维护风险跟踪文件（Risk Tracking Spreadsheet）。

• 风险随时间而变化——旧的风险可能消失，新的风险可能出现。

• 定期更新有助于管理团队始终掌握当前的风险状况。

8. 不断提问：“我是否遗漏了什么？”

• 这是风险管理中最困难但最重要的步骤。

• 请经常审查并自问：

  • 是否有尚未考虑的因素？

  • 是否有潜在风险被低估？

  • 是否有新的事件可能影响项目？

9. 对小型项目或经验不足的管理者保持灵活性

• 对于小型项目或新任项目经理，可以省略一些形式化步骤（如详细的概率-影响计算）。

• 相反，请专注于严重性（Severity），并直接做出决策。

• 例如：如果电力维护导致服务器中断，请选择风险最低的方案——在断电前转移服务器，或等待维护完成后再重启系统。

风险管理不仅是一个技术流程，更是一种战略决策技能。将风险视为项目固有的部分——学会接受、控制并灵活适应，您将能在效率、成本和项目的长期稳定性之间保持平衡。

参考来源

1. Ksenia Derouin. 商业战略专家、OBM和艺术家。专家访谈
2. 国家标准与技术研究院

译者：Leigh Kennedy Ly。