本文介绍的风险管理的基本知识，并将 WWPMM 和 PMI 风险管理过程进行比较和分析，为相关人员提供参考和帮助。

1 引言

成功的项目离不开良好的项目管理，项目管理需要从制度、方法、流程机制等层面对每个项目团队进行支持、协助、监督、控制、考核和奖惩等管理活动。目前在全球范围内广泛接受的项目管理方法主要有 WWPMM 和 PMI 的项目管理知识体系。其中 WWPMM 也称全球项目管理方法论（Word Wide Project Management Method），是由 IBM 开发并在全球试点和推广的项目管理方法。它从项目管理域、工作模式以及项目管理产品三个维度对项目管理进行全面描述，其项目管理域包含 13 个知识层面：变更管理、沟通管理、发布管理、事件管理、项目定义、质量管理、风险管理、跟踪和控制等。PMI（项目管理协会）的 PMBOK 是 Project Management Body Of Knowledge 的缩写，即项目管理知识体系，它是 PMI 对项目管理所需的知识、技能和工具进行的概括性描述，包含五大过程组 44 个过程以及 9 个知识领域。其知识领域包含范围管理、时间管理、成本管理、质量管理、沟通管理、风险管理等。PMI 和 WWPMM 的知识领域中都涉及了风险管理，风险作为项目中一个不可避免的因素，它的产生和出现会对项目的进度、成本等产生一定的影响。但 PMI 和 WWPMM 所提出的风险管理模型有一定的区别和联系。本文将对二者进行比较和分析。

2 风险管理的重要性

WWPMM 和 PMI 都将项目的生命周期分为四个阶段，都涉及风险管理知识领域。基于项目经验的统计表明风险和项目的周期有一定的关系。如图一所示：越是项目后期发现的风险对项目的影响也就越大，规避或者降低风险损失所付出的代价也就越高。收尾阶段的风险对项目损失最大，而在初始阶段风险发生的概率虽然最高，但是损失却最小，比如由于资金短缺而导致的项目终止仅仅损失需求分析阶段的投入。因此，风险管理要趁早，即 sooner rather than later。风险管理的原则是：Effective use of the risk management process sooner rather than later can dramatically improve the probability of project success。

图 1. 风险与项目周期的关系

在 WWPMM 当中，对于风险，采用了“风险识别”、“风险分析”、“风险反应计划”、“风险的跟踪和控制”等五个步骤；而在 PMI 中，对于风险，采用了“规划风险管理”、“识别风险”、“实施定性风险分析”、“实施风险定量分析”、“规划风险应对”和“监控风险”六个步骤。关于这两者的具体比较，将在后面“风险管理的过程”一节当中具体介绍。

良好的风险管理能够带来如下好处：

提高项目管理人员决策的能力，从而能够正确的计划和处理项目可能发生的问题；

有助于正确的分配和使用资源，避免不必要的浪费和返工，能够“防患于未然”，减少损失，避免灾难；

提升客户满意度和项目成功的可能性以及可预见性。

3 PMI 和 WWPMM 对风险的定义

PMI 将风险定义为：“一种不确认的事件或者条件，一旦发生则至少对项目的一个目标产生影响”。而 WWPMM 将风险定义为“对项目有不利影响的某种潜在事件或者将来的情况”。两者都认为风险具有三要素：风险的事件、风险的概率与风险的影响。风险的概率范围为 [0-1]，而风险的预期值（EVM）= 风险的概率 * 风险的影响值。

WWPMM 和 PMI 对于风险的定义具体列在以下表一中：

表 1. WWPMM 和 PMI 风险定义比较

两者主要的不同在于：PMI 所定义的风险包含两重含义：即正面风险和负面风险，也就是说对项目能够产生积极影响的信号、机会也都称之为风险。而 WWPMM 所指的风险仅仅指对项目不利，影响项目成功的问题与事件。从项目管理的角度上，WWPMM 所指的风险的涵义更能有效的指导和管理项目，因为对没有 PMI 知识背景的项目成员，风险按照常识是不利影响，因此采用这种狭义的定义更有利于项目的沟通与管理。

4 风险管理的过程

风险管理的目的在于减少消极事件的概率和影响，扫除影响项目成功的障碍，最大成都保障项目的成功。风险管理由一系列具有前后关联关系的活动组成，并且整个过程是持续而迭代的。PMI 和 WWPMM 都定义了各自的风险管理过程。

WWPMM 中风险管理过程如下：

图 2. WWPMM 风险管理过程

风险识别 (Risk Identification)：查找和定位风险；

风险分析 (Risk Analysis)：将风险相关的数据转换为可以提供决策支持的信息；

风险反应计划 (Risk Response Planning)：根据风险相关信息制定可执行计划或行动；

风险的跟踪和控制（Risk Tracking and Control）：监控风险指示器并采取相关行动；

风险反应（Risk Reaction）：风险发生的时候采取对应的风险应对行为；

而 PMI 将风险管理分为以下 6 个过程：

图 3. PMI 风险管理过程

规划风险管理：定义如何实施项目风险管理活动的过程；

识别风险：判断哪些风险会影响项目并记录其特征的过程；

实施定性风险分析：评估并综合分析风险的发生概率和影响，对风险进行优先排序，从而为后续分析或行动提供基础的过程；

实施风险定量分析：就已识别风险对项目整体目标的影响进行定量分析的过程；

规划风险应对：针对项目目标，制定提高机会，降低威胁的方案和措施的过程；

监控风险：在整个项目中，实施风险应对计划，跟踪已识别的风险，监测残余风险，识别新风险和评估风险过程有效性的过程；

其中前五个过程属于项目管理过程组中规划过程组，而第六个过程属于监控过程组。

单纯从风险管理的过程来看，两者都有风险识别，风险控制和风险分析和应对的过程。而 PMI 将规划风险管理作为风险管理的第一步，WWPMM 则会在为整个项目计划的时候考虑风险相关的计划，两者没有本质区别。PMI 因为是一个指导性框架，其提出的过程并不要求所有项目都“照搬”，而是需要根据项目的规模，性质等进行适当裁剪（比如定性分析之后不一定要进行定量分析便可以采取风险应对规划）。WWPMM 提出的风险分析过程基于实际经验，它对软件项目的管理具有更为直接的指导意义。何况项目管理本身就是一个实践性的操作，基于我们平时说说的“提出问题”、“分析问题”到“解决问题”的三部曲，两者在风险管理方面都包涵这个基本的思想。

5 风险识别

风险识别在 WWPMM 中包含两项活动：“分析风险的起因（Analyze risk factors）”以及“风险分类（classify risk）”。风险起因和风险之间是多对多的关系，即一个风险可能有多个风险起因，而一个风险的起因可能会导致多个层面的风险。分析风险的起因主要是弄清楚风险的原因及导火索，该过程的主要输出是风险的名称、原因以及可能的结果。风险分类的目的则是为了更有效更集中的管理不同层面的风险而对风险进行归类。其中风险的类别可以是组织预定义的也可以基于风险因素划分。

PMI 中，风险识别主要是根据项目风险管理计划，判断哪些风险会影响项目并记录其特征，并形成初步的风险登记册，但此时所形成的风险登记册并不是详细的，必须在后续环节持续不断的进行完善。

必须明确的是风险识别不是一蹴而就的，在执行或控制阶段，任何项目变更请求，新的 defect 或者 issue 都需要重复该过程。以下从工具、输入、输出几个方面对 WWPMM 和 PMI 风险识别过程进行比较。

表 2. WWPMM 和 PMI 风险识别比较

由表看出，两者由于知识领域划分的不同，在具体的输入输出以及工具上有一定的差异，但并无本质区别。

6 风险分析

为了更加明确风险发生的概率、影响、时间点（段）、频率以及对风险进行相关优先级分析，从而保证针对重点，有效突破，识别风险之后必须进行风险分析。在 WWPMM 中风险分析包括“评估风险”以及“对风险进行优先级划分”两个子过程。

WWPMM 中所定义的风险分析包含以下几个步骤：

图 4. 风险分析步骤

在 PMBOK 中风险分析则包含“定性风险分析”和“定量风险分析”两大过程，其中定性分析是定量分析的基础，而定量分析是定性分析的深化。定量分析并不针对所有的风险，而只是选择那些对项目的竞争性需求具有潜在重大影响的风险，它有利于进行量化决策。定量分析的方法包括敏感性分析、EMV 分析以及蒙特卡罗技术等。定性分析常见的方法则包括风险分类、风险紧迫性评估、风险数据质量评估等。“定性分析”和“定量分析”在 WWPMM 中则是作为风险分析技术的两个层面。

7 风险应对计划

风险应对规划，就是针对不同优先级，不同类别的风险采取不同的应对措施。WWPMM 中的风险应对措施只包含对消极风险的应对，而 PMI 中所提到的风险应对措施还包括积极风险措施。这里只对消极风险的应对措施进行比较。

表 3. 风险应对措施比较

WWPMM 将风险投保单独作为一项风险应对措施，用来解决由于自然灾害或者其他投保范围之内所带来的风险，而其所指的转移与 PMI 所指的转移涵义基本相似，都是采取某种措施将风险的部分或者全部消极影响连同责任转移给第三方。但在 PMI 中投保也被归为转移的一个方式。

8 风险控制

风险的发生往往都不是没有任何征兆的，其与特定的条件相关，即 condition 和 indicator。而随着项目的进展，风险相关的条件或者诱因都会随之改变，因此需要对风险进行监控和追踪，才能保证风险管理是及时有效的。而在项目的初期，由于很多信息并不完全明朗和准确，风险的识别以及相应计划的制定可能只是初步的或者概括性的框架。因此周期性的收集项目信息，并对风险相关的数据进行更新，维护以及重新分析是必不可少的。风险的控制和追踪的作用便在于此。

WWPMM 中风险的控制和追踪包含“跟踪风险控制信息”以及“决定风险控制行为”。风险控制涉及到的行为主要包括：

跟踪风险以及更新风险管理计划；

对风险的状态进行通报和沟通；

对发现的新风险，残余的风险以及此生风险进行风险分析以及风险应对规划；

更新过时的风险信息和数据，对已经发生的风险执行风险应对措施，包括应急措施，全变措施等；

对已经结束的风险执行 close 过程，记录最后的解决方法，learning lessons, 对风险管理计划的有效性进行评估。

而 PMI 风险控制的目的和 WWPMM 基本类似，通常会用到偏差和趋势分析，利用风险审计来评估风险管理过程的有效性，利用状态审查会来沟通和讨论风险。

9 项目风险管理经验

1 风险管理要趁早。海恩法则说：任何不安全事故都是可以预防的。而防患于未然的代价显然要好过亡羊补牢，良好的风险管理规划是项目成功的一个保障；

2 不要忽视参考以前相关的项目经验。项目管理本来就是一个积累的实践过程，“前车之鉴，后车之师”，以前的项目，无论是从风险识别还是风险应对都能给现在的项目一些启示和经验；

3 要充分考虑项目成员对风险的态度。风险管理不是项目经理一个人的事，需要全员的参与，而不同成员对风险的态度往往也会在某种程度上决定风险应对的措施。对于风险追逐型的组员，就要考虑其对风险的分析和认识是不是偏于乐观，同时也不能由于某些风险保守型成员对风险的态度而止步不前；

4 借助相关的风险管理工具。如 GS risk，Deltek Risk+，IBM 的 Rational Portfolio Manager（RPM）等。其中 RPM 通过为风险和响应集中编目，并生成措施或任务来识别与记录项目有关的问题并做出相应，从而能够提供从计划，监控到控制阶段过程有效的风险管理，同时其强大的风险数据库还可以为项目风险提供模板。不过该内容不是本文的讨论范围，感兴趣的读者可以查阅与这些产品相关的文档。

10 总结

通过对 WWPMM 和 PMBOK 两种风险管理相关知识的介绍和对比，从而可以使相关人员更好的理解风险管理的过程和真谛。无论您的项目采取何种管理策略或模式，只要掌握了相关风险管理的知识，结合实际经验便可以以不变应万变，因地制宜进行裁剪。希望这篇文章能够给相关人员提供参考。