CMMI过程：风险管理

申明：如果你要是感觉本文对你有用，请点击：http://www.zgxingai.com

1简介
1.1目的
本过程的目的是定义组织内部的项目风险的识别、分析、跟踪和处理活动的流程以及所使用的技术。
1.2适用范围
本文档适用于组织內的各软件项目的风险管理活动。

2过程总体描述
2.1过程概述
为了管理项目可能存在的风险，在进行项目策划时需要进行风险分析并制订风险管理计划。风险管理计划可作为项目开发计划的一部分进行描述。
风险管理应贯穿于项目工程的始终。风险管理是一个迭代的过程，项目组所有成员对风险管理都负有责任。因此，建立一种有助于对潜在的风险及其发生的可能性和影响进行交流的环境对项目来说是重要的。
制定风险管理活动包括：风险识别、风险分析、风险的处理和跟踪减缓行动。

3过程元素描述
针对各个过程元素（活动），按照9大属性（概述、人员职责、入口准则、输入、任务（步骤）、出口准则、输出、资源能力要求、裁剪准则）依次进行详细描述。
3.1确定项目潜在的风险源
【风险管理RSKM
SG 1风险管理准备：进行风险管理准备。
SP 1.1 确定风险来源和类别：确定风险的来源和风险的类别。】
概述
通常组织会收集各个已经完成的项目曾经发生的常见的问题，形成项目潜在的风险源范围，对各类风险处理和缓解的方法总结，用以指导项目的风险识别和分析。
参与人员及职责
EPG：搜集整理并形成组织中各项目潜在的风险列表，归类抽象形成组织级的风险库
 项目经理：收集曾经发生的项目问题
 相关人员：协助EPG确定潜在的风险源，包括QA人员、项目经理、项目成员、客户等
入口准则
项目结项完成
输入
历史项目中的一些影响较大的问题、风险和经验
任务/步骤
1.EPG从已经结束的历史项目中收集一些影响较大的问题、风险和经验，形成组织级别的《组织风险库》，以指导项目进行风险识别和分析；
2.定期对《组织风险库》进行维护。

出口准则
《组织风险库》维护完成
输出（工作产品）
组织风险库
资源和能力要求
 资源：
 EPG的工作时间保证；
 历史项目中影响较大的问题、风险和经验
 能力：
 EPG经过组织风险库维护的培训。
3.2风险识别
【风险管理RSKM
SG 2识别并分析风险：识别和分析风险，确定风险的相对重要性。
SP 2.1 识别风险：识别并记录风险。】
概述
项目经理和组员参照《组织风险库》以及曾经开发过的项目所积累的经验来识别当前项目可能的风险。
参与人员及职责
项目经理：识别当前项目可能的风险
 相关人员：协助识别项目风险，如项目成员、QA人员、EPG或客户等
入口准则
 业务需求说明书已经确定
 工作拆分已经完成
输入
 项目任务书
 业务需求说明书
 项目过程定义
 组织风险库
 项目风险列表模板

任务/步骤
1. 项目经理就项目可能存在的问题和不确定因素，征求项目组成员意见；
 识别与成本、进度及绩效相关的风险；
 审查可能影响项目的环境因素；
 审查工作分解结构的所有组件，作为风险识别的一部分，以协助确保所有的工作投入均已考虑。
 审查项目计划的所有组件，做为风险识别的一部分，以确保项目在各方面均已考虑。有关识别项目风险，请参考项目策划过程域，以获得更多信息。
 记录风险的内容、条件及可能的结果。风险说明通常以标准的格式记录，包含风险内容、条件及发生的结果。风险内容提供额外的信息，可容易了解风险的意义。在记录风险内容时，要考虑风险出现的相对时间顺序，以及风险周遭的环境或条件，因风险会带来关切、疑虑或不确定性。
 识别每一风险相关的干系人。
2. 项目经理参考以往项目的风险情况，搜集潜在风险；
3. 项目经理针对识别出的潜在风险，请项目组成员确认是否为风险；
4. 项目经理将识别出的风险记录到《项目风险列表》中。对风险的描述应包含风险项和来源说明。
3.3 风险分析
【风险管理RSKM
SG 2识别并分析风险：识别和分析风险，确定风险的相对重要性。
SP 2.2 评估、分类及排序风险：利用定义的风险种类及参数，评估及分类每个已识别的风险，并确定其相对的优先处理顺序。】
概述

识别出风险后要进行充分的风险分析，这有助于准确的估算项目。
参与人员及职责
项目经理：进行风险分析
 相关人员：协助项目风险分析，如项目成员、QA人员等

任务/步骤
1. 项目经理评价风险可能性和影响，利用定义的风险种类及参数，评估及分类每个已识别的风险，并确定其相对的优先处理顺序。
2. 项目经理评利用已定义的风险参数，评估已识别的风险。根据定义的风险参数，评估每个风险并指定数值，数值可包括可能性、结果(严重性或冲击度)及阈值。可整合这些指定的风险参数值以产生额外的度量，例如：风险曝光程度可用来排列风险的优先级，以便处理。
3. 项目经理评依照定义的风险类别，将风险分类并分组。将风险归类到已定义的风险类别，可提供一个根据风险的来源、分类表或项目组件，检查风险的方法。相关或相同的风险可归成一类，以便有效处理，并记录相关风险之间的因果关系。
4. 项目经理评排列降低风险的优先级。依据指定的风险参数，决定每个风险相对的优先级，应使用清楚的准则来决定风险的优先级。排定优先级的目的是为了确定降低风险的资源能用在最有效的范围，使其对项目有最大的正面影响。
5. 当风险分析完成后，项目经理评将风险值、排出的风险优先级以及对每个风险的分类，记录到《项目风险列表》中。

3.4 制订风险处理和缓解活动计划
【风险管理RSKM
SG 1风险管理准备：进行风险管理准备。
SP 1.3建立风险管理策略： 确定风险来源和类别：确定风险的来源和风险的类别。
SG 3降低风险：适当的处理和降低风险，以减少对目标达到的不利影响。
SP 3.1 制定风险缓解计划：依据风险管理策略所定义的对项目影响最大的风险，制定风险缓解计划.】
概述 对每个高优先级风险，项目组都要制定出处理和缓解风险的活动计划。
参与人员及职责
项目经理：制订风险处理和减缓活动计划
 相关组成员：协助项目经理制订风险处理和缓解活动计划，包括QA人员、项目成员、客户等

任务/步骤
1. 决定风险的等级及阈值，以定义风险在什么情况下是变成无法接受，并启动风险缓解计划或紧急应变计划。风险等级(利用风险模式导出)是一种度量，由达成目标的不确定性和无法达成目标的结果所组成。必须清楚了解并定义风险程度和阈值，因风险程度和阈值会限定规划的或可接受的绩效范围，以提供方法来了解风险。为了确保适当的排序(根据严重性)和相关管理响应，正确的风险分类是必要的。可设定多重阈值，以启动不同等级的管理响应。通常在设定执行紧急应变计划阈值之前，会先设定好执行风险缓解计划的阈值。建立《项目风险管理策略》。
2. 项目经理识别负责处理每个风险的个人或团队。
3. 项目经理评决定实施每个风险之风险缓解计划的成本效益比。应检验风险缓解活动产生的效益相对于将耗用的资源。就如同其他的设计活动，需要发展替代计划，并评估每个替代计划的成本与效益，而后选择最佳的计划来实行。有时，风险可能很重大且效益很小，但仍需降低风险，以减少无法接受之结果的发生机率。
4. 项目经理评发布项目整体的风险缓解计划，以协调个别的风险缓解计划和紧急应变计划。完整的风险缓解计划可能无法负担。所以，应作取舍分析，以对风险缓解计划排定优先级。
5. 针对选取的关键风险，项目经理评需研订当其发生时的紧急应变计划。需要时，在风险变成问题前，研订和实施风险缓解计划，以主动降低风险。尽管有最佳的努力，有些风险可能无法避免且成为冲击项目的问题。对关键的风险研订紧急应变计划，描述项目在冲击发生时，可能采取的行动。定义处理风险的预先动作计划的意图，不是降低风险(风险缓解计划)，就是响应风险(紧急应变计划)，但无论那一种，都是管理风险。
6. 有些风险管理文献可能把紧急应变计划当作风险缓解计划的同义词或一部分，这些计划也可能与风险处理计划或风险行动计划一起说明风险处理和缓解方法参见附录G：《风险处理和缓解方法》

3.5 风险跟踪与管理
【风险管理RSKM
SG 3降低风险：适当的处理和降低风险，以减少对目标达到的不利影响。
SP 3.2 执行风险缓解计划：定期监控每一风险状态，并适当的执行风险缓解计划】
概述 在项目跟踪过程中，风险需要被定期跟踪，对已识别的风险进行处理。并识别新的风险及对应的减缓活动。
参与人员及职责
项目经理：定期跟踪风险，并进行适当处理，以及识别新的风险。
QA人员：根据质量保证计划，定期检查《项目风险列表》更新情况。

任务/步骤
1. 项目经理应根据风险处理和缓解计划，采取适当的处理方式来避免、转移或减缓风险。必要时采取新的预防或纠正措施来改善风险缓解计划执行的不理想情况。
2. 项目经理定期（每周五或每阶段工作结束）跟踪风险状态、处理的结果和效果，维护《项目风险列表》中各风险项的情况。
3. QA人员根据质量保证计划，定期检查项目经理是否更新《项目风险列表》。