第9章軟件工程風險管理

基于CMMI的軟件工程風險管理第九章風險管理風險基礎知識CMMI對應實踐風險管理概述風險管理流程風險跟蹤風險的概念風險是項目執(zhí)行全過程中可能發(fā)生、一旦發(fā)生就會影響目標的實現(xiàn)并進而造成損失的事件或問題。兩個明顯的特征：不確性，事件可能發(fā)生也可能不發(fā)生，（必然發(fā)生的事件應列入項目的約束條件）；損失，事件一旦發(fā)生，就會造成（成本、進度和質量等方面的）損失甚至出現(xiàn)嚴重的惡性后果。風險管理就是成年人的項目管理風險與工作同樣重要一個成熟的項目管理者，一個聰明的企業(yè)家，不能：將風險管理看作是項目工作以外的額外活動將風險管理看作是本身職責范圍以外、由他人負責的活動風險管理，作為一門科學，始于16世紀文藝復興時代2023年2月3日4杭電軟職張萬軍人（People），要點：風險管理涉及所有層次的人員，各有各的職責；學習、培訓和經(jīng)驗有助于提高個人風險管理能力；機構應采取足夠的激勵措施，克服風險管理的障礙；了解個人的風險偏好（Preference），用以預測個人行為。過程（Process），要點：風險管理過程可劃分為二個子過程、5個過程元素：風險評估（含風險識別、風險分析）；風險控制（含風險策劃、風險跟蹤、風險應對）；過程可以伸縮，以便適應不同類型和不同規(guī)模的項目；過程應有必要的靈活性；過程執(zhí)行應講究成本效益。風險管理能力關鍵因素3、基礎設施（Infrastructure），要點：決策者的價值觀通過機構方針影響或約束人們的行為；客戶和部門管理者通過需求為項目設定預期目標；運用資源應對風險；分析風險管理的成本和收益。4、實施（Implementation），要點：制定一個主動的、高質量的風險管理計劃；選擇符合項目特性的方法和工具。風險管理能力關鍵因素（續(xù)）1、路線圖第一步：業(yè)務分析信息獲取限制條件分析工具報告匯總2、路線圖第二步：風險識別風險分析基礎潛在限制條件風險識別工具風險識別報告風險管理路線圖3、路線圖第三步：風險評估和衡量風險評估對象風險評估障礙風險評估工具風險評估報告4、路線圖第四步：風險規(guī)劃和應對應對的風險事項風險應對的障礙風險應對方法風險應對策略5、路線圖第五步：風險管理體系的全面實施風險管理體系的基本要素設計/實施風險管理能力企業(yè)全面風險管理體系的啟動和監(jiān)控風險管理路線圖第九章風險管理風險基礎知識CMMI對應實踐風險管理概述風險管理流程風險跟蹤CMMI對應實踐風險管理（RiskManagement，簡稱RSKM）過程域目的：在問題發(fā)生之前識別潛在的問題，以便策劃風險處理活動，在項目或產(chǎn)品生命周期全過程中一旦需要就可啟動風險處理活動以緩解對目標實現(xiàn)的不利影響。風險管理應該解決那些可能危及關鍵目標實現(xiàn)的問題。應采用持續(xù)的風險管理方法，以便有效地預先采取措施緩解對項目會產(chǎn)生嚴重影響的風險。SG1PrepareforRiskManagement（準備風險管理），為實施風險管理做好準備工作，通常是形成一個風險管理計劃文檔，為整個風險管理提供一個戰(zhàn)略性的文件。SP1.1DetermineRiskSourcesandCategories（確定風險來源和類別），通常是通過風險源清單和風險類別清單來完成該工作。SP1.2DefineRiskParameters（定義風險參數(shù)），目的是定義用于分析和分類風險參數(shù)，以及用于控制風險管理活動的參數(shù)。SP1.3EstablishaRiskManagementStrategy（建立風險管理策略），目的是建立和維護用于風險管理的策略。RSKM（一）RSKM（二）SG2IdentifyandAnalyzeRisks（識別和分析風險），識別和分析風險，以便決定其相關的重要性。SP2.1IdentifyRisks（識別風險），識別并記錄風險。SP2.2Evaluate,Categorize,andPrioritizeRisks（對風險進行評審、分類和排序），目的是使用已定義的風險類別和參數(shù)，評價和分類每個已識別的風險，并對其進行排序。SG3MitigateRisks（緩解風險），目的是必要時處理和緩解風險，以減少對目標實現(xiàn)的負面影響。SP3.1DevelopRiskMitigationPlans（開發(fā)風險緩解計劃），目的是按照風險管理策略，開發(fā)重要風險的風險緩解計劃。SP3.2ImplementRiskMitigationPlans（實施風險緩解計劃），目的是定期監(jiān)督每個風險的狀態(tài)，必要時實施風險緩解計劃。第九章風險管理風險基礎知識CMMI對應實踐風險管理概述風險管理流程風險跟蹤風險管理目的1、規(guī)范公司風險管理過程，有效地進行項目風險的識別、制定管理策略并進行跟蹤控制工作，確保項目順利完成。2、主要內容包括：風險識別及分析；制定風險應對策略；風險跟蹤及控制；作為項目計劃的一部分或者單獨編寫風險管理計劃，并經(jīng)評審和控制。要提高風險管理能力，首先就應從決策層開始，高度重視風險意識的培養(yǎng)，注重風險價值觀的建設，特別要注意以下幾點：主動進行風險管理；明確風險責任；不因風險而責難普通員工；與相關人員交流風險，使風險應對責任人了解風險；從意外結果中吸取教訓。風險管理能力的提高公司、部門一級的年度計劃，必需包含風險管理計劃；每個項目的開發(fā)計劃必需包括風險管理計劃。在制定年度計劃或項目開發(fā)計劃的同時，必需進行風險識別、風險分析以及風險策劃，針對首要風險明確風險責任，確定風險應對策略，制定風險應對行動計劃。公司和部門均應建立風險跟蹤制度，跟蹤風險和風險管理計劃，定期（或事件驅動）驗證風險管理活動相對于風險管理計劃的符合性。在每周或每月的例會上應報告風險。在每月或每季的里程碑會議上應評審風險。每個項目組、每個部門以至全公司，應重視經(jīng)驗積累和共享，建立并維護風險數(shù)據(jù)庫。各級管理者不得以風險識別的結果評價員工個人的表現(xiàn)。風險管理方針——公司級每個項目指定一個風險管理人員（一般為項目經(jīng)理），并制定風險管理計劃（可以為項目開發(fā)計劃的一部分）。項目風險管理人員職責在風險管理計劃中被明確分配。在整個生命周期中按計劃執(zhí)行風險管理活動。建立相應的配置管理庫存儲相關的風險記錄。QA經(jīng)理、項目經(jīng)理、質量保證工程師定期審計風險管理活動。風險管理方針——項目級第九章風險管理風險基礎知識CMMI對應實踐風險管理概述風險管理流程風險跟蹤風險管理三階段在項目風險管理流程中，主要分為： 1、識別及分析風險，得到主要的風險列表； 2、制定風險管理策略，形成風險管理計劃； 3、對風險進行跟蹤控制，并在此過程中再識別分析可能出現(xiàn)的新風險。風險管理活動流程圖識別風險在項目開發(fā)過程中，一般可以從下面幾個方面進行識別：項目組在項目經(jīng)理指導下展開風險研討，必要時吸納項目相關人員（包括市場人員）參加，對項目開發(fā)計劃的工作分解結構（WBS）中所有工作要素中可能存在的風險進行識別。對風險的識別可以參照機構提供的風險數(shù)據(jù)庫，對庫中羅列的風險項，逐一研討其在本項目中顯含或隱含的可能性。對項目風險的識別，還可以參考其他項目或當前項目的早期階段中識別出來的或發(fā)生過的風險。項目經(jīng)理負責將識別出來的風險項記錄在項目計劃的風險估計的風險清單中。需求不明確，或需求分析缺陷，致使最終產(chǎn)品不符合（客戶或市場）需要，導致項目目標偏離或在中途作重大變動，延誤產(chǎn)品發(fā)布時間；對項目工作量估計不足，造成工作不能按計劃執(zhí)行，甚至放棄計劃性；客戶要求急，開發(fā)時間短，加班加點，放松了對過程的控制，導致缺陷不能及時發(fā)現(xiàn)，產(chǎn)品性能未達到要求，給后面的產(chǎn)品實施和維護工作帶來了較大的壓力；測試手段和時間不足，不能充分覆蓋所有需求項，導致交付的產(chǎn)品有較多缺陷不能發(fā)現(xiàn)。常見風險類型產(chǎn)品工程開發(fā)環(huán)境項目約束1.需求穩(wěn)定性

完整性

清晰

有效性

可行性

先例

規(guī)模

2.設計

功能

難點

接口

性能

可測試性

硬件約束

非開發(fā)軟件3.編碼和單元測試

可行性

單元測試

編碼/實現(xiàn)

4.集成和測試

環(huán)境

產(chǎn)品

系統(tǒng)

5.工程特點

可維護性

可靠性

安全性

保密性

人的因素

特殊性1.開發(fā)過程正規(guī)性

適合性

過程控制

熟悉程度

產(chǎn)品控制2.開發(fā)系統(tǒng)

容量

適合性

可用性

熟悉程度

可靠性

系統(tǒng)支持

交付能力3.管理過程計劃

項目組織

管理經(jīng)驗

項目接口4.管理方法

監(jiān)控措施

人員管理

質量保證

配置管理5.工作環(huán)境

質量態(tài)勢

合作

士氣1.資源進度

人員

預算

設備2.合同

合同類型

約束

依賴關系

3.項目接口

用戶

聯(lián)合承包方

子承包方

主承包方

協(xié)同管理

供貨商策略軟件開發(fā)項目中風險分類表分析風險項目經(jīng)理負責組織項目組成員對識別的風險項進行分析，評價風險發(fā)生的概率和影響度。必要時，可以邀請相關同行參與風險分析活動。項目經(jīng)理組織項目組成員，結合項目管理經(jīng)驗和當前項目實際情況，確定各個風險項的影響估算情況。風險影響是反映風險嚴重性的一個重要指標，可以按這樣的公式計算：風險影響

=風險發(fā)生概率×影響度。風險發(fā)生概率（P）：是指風險發(fā)生的可能性。其量化評價方法可按下表描述打分：定性表示定量表示（P）說明很大5風險發(fā)生的可能性>80%較大4風險發(fā)生的可能性60%至80%一般3風險發(fā)生的可能性40%至60%不大2風險發(fā)生的可能性20%至40%很小1風險發(fā)生的可能性<20%影響度（C）：是指當風險說明中所預料的結果發(fā)生時可能會對項目產(chǎn)生的影響，一旦風險發(fā)生而造成的損失，包括成本、進度等多種損失。其量化評價方法可按下表描述進行打分：定性表示定量表示（P）說明很嚴重5進度延誤>30%，或成本超支>30%嚴重4進度延誤20%~30%，或成本超支20%~30%一般3進度延誤<20%，或成本超支<20%不太嚴重2進度延誤<10%，或成本超支<10%不嚴重1進度延誤<5%，或成本超支<5%根據(jù)以上兩個指標的打分情況，我們就可以按下表計算出風險影響量化的值，從而可以對風險進行優(yōu)先級排序，其中表內的陰影部分表示風險影響比較大，應優(yōu)先關注或處理。風險影響風險可能性很大5較大4一般3不大2很小1風險后果很嚴重

5252015105嚴重

420161284一般

31512963不太嚴重

2108642不嚴重

154321風險風險陳述風險背景資源不足，進度延誤過分樂觀的進度，有限的成本，導致進度拖后、成本超支。人員配備不到位。沒有時間進行必需的培訓。無法達到進度要求的效率。將加班作為克服進度不夠的標準選擇。不充分的需求分析導致對產(chǎn)品功能需求的片面理解。需求不定不明確的用戶需求導致項目軟件需求不完整、不確定。需求文檔沒有恰當?shù)孛枋鱿到y(tǒng)構成。接口文檔未經(jīng)確認或批準。需求細節(jié)來自現(xiàn)有代碼。部分需求（如驗收標準）不清楚。因客戶方面人員變動引起需求變更或漂移。人員流失項目骨干人員中途流失造成項目中斷或失敗。長期出差或長時間加班造成骨干人員有厭煩心理。激勵不足缺乏激情。個人發(fā)展前景不明缺乏信心。團隊內部溝通不暢心情不好。開發(fā)環(huán)境不好工作難度過大。外界吸引再某出路。項目中途夭折項目立項時對風險估計不足造成項目半途而廢。用戶原因中途中止合同。產(chǎn)品失去市場前景中途停止。競爭對手先行推出或產(chǎn)品功能不及競爭對手，只好停止。骨干流失、技術方案失誤造成項目長期拖延。決策失誤中途停止項目。效率低下長時間的生產(chǎn)效率低下造成項目最終失敗。開發(fā)環(huán)境不好，影響工作效率。過程管理不嚴格，造成大量返工。員工培訓不夠，個人能力欠缺。職責不清、分工不明，造成時間浪費。員工缺少工作激情，影響進度。軟件項目常見前5項風險制定風險應對策略接納風險（Acceptance），可以承擔風險后果，并為項目計劃留出必要的風險儲備?；乇茱L險（Avoidance），不參加某些項目的投標，放棄某些項目，放棄項目的某些功能，放棄（項目的）某些目標，等等。防范風險（Protection），采取適當措施，減小風險發(fā)生可能性和/或風險后果。緩減風險（Reduction），在接納風險或防范風險的應對策略下，及時采取適當措施，減緩風險發(fā)生、防止風險進一步惡化、化解風險、減小風險后果，等等。風險研究（Reserch），收集更多的信息，進一步研究后再定。風險儲備（Reserves），為項目進度、成本等留有充分的余地。風險轉移（Transfer），例如，外包、外購等。實際選用何種策略，應視具體情況而定，常用的取舍準則，包括：風險賠率：

分散風險（即不要把全部雞蛋放在同一個籃子里），意指項目不應過多地依賴于一個供應商、一個客戶、一種方法、一個工具以及一個人，等等。制定風險應對策略（續(xù)）確定各個風險的責任人。確定風險處理方式：規(guī)避：制定風險規(guī)避策略時，項目經(jīng)理要向總工程師或研發(fā)部經(jīng)理報告，并獲得批準。如有必要，還需通知客戶以達成一致。轉移：制定風險轉移策略時，項目經(jīng)理要向總工程師或研發(fā)部經(jīng)理報告，并獲得批準，如有必要，還需通知客戶以達成一致。對某些高優(yōu)先級的風險不能進行規(guī)避和轉移，必須承認風險發(fā)生的可能性時，可采取接受風險策略來處理風險。減緩（降低）：減緩措施主要用在風險發(fā)生時。建議制定及時的、正面主動的、具體的應急方案解決問題，以便減少它對項目的影響。制定風險管理計劃，納入項目開發(fā)計劃或單列，進行評審。制定風險應對策略——步驟第九章風險管理風險基礎知識CMMI對應實踐風險管理概述風險管理流程風險跟蹤風險跟蹤目的風