项目风险管理是识别和分析项目风险及采取应对措施的活动。包括将积极因素所产生的影响最大化和使消极因素产生的影响最小化两方面内容。内容主要包括：（1）风险识别，即确认有可能会影响项目进展的风险，并记录每个风险所具有的特点。（2）风险量化，即评估风险和风险之间的相互作用，以便评定项目可能产出结果的范围。（3）风险对策研究，即确定对机会进行选择及对危险做出应对的步骤。（4）风险对策实施控制，即对项目进程中风险所产生的变化作出反应。这些程序不仅相互作用，且与其他一些区域内的程序互相影响。每个程序都可能涉及基于项目本身需要的一个人甚至一组人的努力。在每个项目阶段，这些程序都至少会出现一次。

项目风险管理是指通过风险识别、风险分析和风险评价去认识项目的风险，并以此为基础合理地使用各种风险应对措施、管理方法技术和手段，对项目的风险实行有效的控制，妥善的处理风险事件造成的不利后果，以最少的成本保证项目总体目标实现的管理工作。风险管理与项目管理的关系通过界定项目范围，可以明确项目的范围，将项目的任务细分为更具体、更便于管理的部分，避免遗漏而产生风险。在项目进行过程中，各种变更是不可避免的，变更会带来某些新的不确定性，风险管理可以通过对风险的识别、分析来评价这些不确定性，从而向项目范围管理提出任务。

风险的客观性，首先表现在它的存在是不以个人的意志为转移的。从根本上说，这是因为决定风险的各种因素对风险主体是独立存在的，不管风险主体是否意识到风险的存在，在一定条件下仍有可能变为现实。其次，还表现在它是无时不有、无所不在的，它存在于人类社会的发展过程中，潜藏于人类从事的各种活动之中。

风险的不确定性是指风险的发生是不确定的，即风险的程度有多大、风险何时何地由可能转变为现实均是不确定的。这是由于人们对客观世界的认识受到各种条件的限制，不可能准确预测风险的发生。

风险一旦产生，就会使风险主体产生挫折、失败、甚至损失，这对风险主体是极为不利的。风险的不利性要求我们在承认风险、认识风险的基础上，做好决策，尽可能地避免风险，将风险的不利性降至最低。

风险的可变性是指在一定条件下风险可以转化。

1. 纯粹风险。纯粹风险是指风险导致的结果只有两种，即没有损失或有损失（不会带来利益）。

2. 投机风险。投机风险是指风险导致的结果有三种，即没有损失、有损失或获得利益。

纯粹风险一般可重复出现，因而可以预测其发生的概率，从而相对容易采取防范措施。投机风险重复出现的概率小，因而预测的准确性相对较差。纯粹风险和投机风险常常同时存在。

1. 自然风险。自然风险是指由于自然力的不规则变化导致财产毁损或个人员伤亡，如风暴、地震等。

2. 人为风险。人为风险是指由于人类活动导致的风险。人为风险又可细分为行为风险、政治风险、经济风险、技术风险和组织风险等。

1. 静态风险。静态风险是由于自然力的不规则变化或由于人的行为失误导致的风险。从发生的后果来看，静态风险多属于纯粹风险。

2. 动态风险。动态风险是由于人类需求的改变、制度的改进和政治、经济、社会、科技等环境的变迁导致的风险。从发生的后果来看，动态风险既可属于纯粹风险，又可属于投机风险。

1. 可管理风险。可管理风险是指用人的智慧、知识等可以预测、可以控制的风险。

2. 不可管理风险。不可管理风险是指用人的智慧、知识等无法预测和无法控制的风险。

1. 局部风险。局部风险是指由于某个特定因素导致的风险，其损失的影响范围较小。

2. 总体风险。总体风险影响范围大，其风险因素往往无法加以控制，如经济、政治等因素。

1. 政府风险

2. 投资方风险

3. 业主风险

4.承包商风险

5. 供应商风险

6. 担保方风险等

按照项目目标系统的结构进行分析。

1. 工期风险

2. 费用风险

3. 质量风险

4. 市场风险

5. 信誉风险

6. 人身伤亡、安全、健康以及工程或设备的损坏

7. 法律责任

风险识别包含两方面内容：

1. 识别哪些风险可能影响项目进展及记录具体风险的各方面特征。风险识别 不是一次性行为，而应有规律的贯穿整个项目中。

2. 风险识别包括识别内在风险及外在风险。内在风险指项目工作组能加以控制和影响的风险，如人事任免和成本估计等。外在风险指超出项目工作组等控力和影响力之外的风险，如市场转向或政府行为等。

严格来说，风险仅仅指遭受创伤和损失的可能性，但对项目而言，风险识别还牵涉机会选择（积极成本）和不利因素威胁（消极结果）。

在所识别的风险中，项目产品的特性起主要的决定作用。所有的产品都是这样，生产技术已经成熟完善的产品要比尚待革新和发明的产品风险产品成本

工作分析结构--非传统形式的结构细分往往能提供给我们高一层次分支图所不能看出来的选择机会。

成本估计和活动时间估计--不合理的估计及仅凭有限信息做出的估计会产生更多风险。

人事方案--确定团队成员有独特的工作技能使之难以替代，或有其它职责使成员分工细化。必需品采购管理方案--类似发展缓慢的地方经济这样的市场条件往往可能提供降低合同成本的选择。

有关以前若干个项目情况的历史资料对识别项目的潜在风险具有特殊帮助。这种历史资料往往可以从以下渠道获得：

项目资料文件--一个项目所牵涉的一个或更多的组织往往会保留过去项目的记录，这些记录会很详细，足以协助进行风险识别工作。实际上，某些团队的成员就保有这样的记录。

商业数据--在很多应用领域我们可以获得商业的历史信息。

项目组的经验知识--项目组成员都会记得以往项目的产出和消耗情况。当然这样收集的信息可能很有用，但较之以文件资料形式记录的信息可靠性低些。

核对表一般根据风险要素编纂。包括项目的环境，其它程序的输出，项目产品或技术资料，以及内部 因素如团队成员的技能（或技能的缺陷）。

流量表能帮助项目组易于理解风险的缘由和影响。

与不同的项目涉及人员进行有关风险的面谈有助于那些在常规计划中未被识别的风险。项目前期面谈记录也是可以获得的。

头脑风暴法又称智力激励法，是由美国创造学家奥斯本于1939年首次提出、1953年正式发表的一种激发性思维的方法。它是通过营造一个无批评的自由的会议环境，使与会者畅所欲言，充分交流、互相启迪，产生出大量创造性意见的过程。

德尔菲法起源于20世纪40年代末，由美国兰德公司首次用这种方法用来进行预测，后来该方法被迅速广泛采用。德尔菲法依据系统的程序，采用匿名发表意见的方式，即专家之间不得互相讨论，不发生横向联系，只能与调查人员发生关系，通过多轮次调查专家对问卷所提问题的看法经过反复征询、归纳、修改，最后汇总成专家基本一致的看法作为预测的结果。

1.风险因素。风险因素是指一系列可能影响项目向好或坏的方向发展的风险事件的总和，这些因素是复杂的，也就是说，它们应包括所有已识别的条目，而不论频率、发生之可能性，盈利或损失的数量等。

2.潜在的风险事件：潜在的风险事件是指如自然灾害或团队特殊人员出走等能影响项目的不连续事件。在发生这种事件或重大损失应将潜在风险事件考虑在内。

3.风险征兆。风险征兆有时也被称为触发引擎，是一种实际风险事件的间接显示。比如：丧失士气可能是计划被搁置的警告信号；而运作早期即产生成本超支可能又是评估粗糙的表现。

4.对其它程序的输入。风险认定过程应在另一个相关领域中确定一个要求，以便进行进一步运作。

风险量化涉及到对风险和风险之间相互作用的评估，用这个评估分析项目可能的输出。这首先需要决定哪些风险值得反应。

1、对风险量化的输入 投资者对风险的容忍度。不同的组织和个人往往对风险有着不同的容忍限度。

2、工具和方法 不同工具和方法对风险量化存在一定的偏差。

2．统计数加总 统计数字加总是将每个具体工作课题的估计成本加总以计算出整个项目的成本的变化范围。

3．模拟法 模拟法运用假定值或系统模型来分析系统行为或系统表现。较普通的模拟法模式是运用项目模型作为项目框架来制作项目日程表。

4．决策树 决策树是一种便于决策者理解的，来说明不同决策之间和相关偶发事件之间的相互作用的图表。

风险对策研究包括对机会的跟踪进度和对危机的对策的定义。对威胁的对策大体分以下三点：

1. 避免--排除特定威胁往往靠排除危胁起源。项目管理队伍绝不可能排除所有风险，但特定的风险事件往往是可以排除的。

2. 减缓--减少风险事件的预期资金投入来减低风险发生的概率（如为避免项目产出的产品报废而使用专利技术），以及减少风险事件的风险系数，或两者双管齐下。

3. 吸纳--接受一切后果。这种接受可以是积极的（如制定预防性计划来防备风险事件的发生），也可以是消极的（如某些工程运营超支则接受低于预期的利润）。

对风险对策研究的输入：

1. 需跟踪的机会，需反应的危胁。

2. 被忽略的机会，被吸纳的危胁。

对风险对策研究的输入的工具和方法。

风险对策实施控制包括实施风险管理方案以便在项目过程中对风险事件做出回应。当变故发生时，需要重复进行风险识别，风险量化以及风险对策研究一整套基本措施。

1、对风险对策控制的输入项

1.风险管理方案。

2.实际风险事件。有些已识别了的风险事件会发生，有些则不会。发生了的风险事件是实际风险事件或说是风险的起源，而项目管理人员应总结已发生的风险事件以便进行进一步的对策研究。

3.附加风险识别。当项目进程受到评价和总结时，事先未被识别的潜在风险事件或风险的起源将会浮出水面。

2、风险对策实施控制的工具和方法

1.工作区：对消极的风险事件而言，工作区是一种不列入方案的对策。所谓不列入方案是指在感觉上它并未定义在风险事件发生前。

2.附加风险策略研究。如果风险事件未被预料到，或后果远大于预料，那么计划的风险策略将会不充分，这时就有必要再次重复进行风险对策研究甚至风险管理程序。

3、风险对策实施控制输出项

1.校正行为：校正行为首先包括实施已计划的风险对策（比如实施预防性计划或工作区计划）。

2.实时调整风险管理计划。一个预料之中的风险事件发生或没发生，对实际风险事件后果的评估，对风险系数和风险机率的评估，以及风险管理方案的其它方面，都应进行实时的更新调整。

在全面分析评估风险因素的基础上，制定有效的管理方案是风险管理工作的成败之关键，它直接决定管理的效率和效果。因此，详实、全面、有效成为方案的基本要求，其内容应包括：风险管理方案的制定原则和框架、风险管理的措施、风险管理的工作程序等。

1. 可行、适用、有效性原则

管理方案首先应针对已识别的风险源，制定具有可操作的管理措施，适用有效的管理措施能大大提高管理的效率和效果。

2. 经济、合理、先进性原则

管理方案涉及的多项工作和措施应力求管理成本的节约，管理信息流畅、方式简捷、手段先进才能显示出高超的风险管理水平。

3. 主动、及时、全过程原则

项目的全过程建设期分为前期准备阶段（可行性研究阶段、勘察设计阶段、招标投标阶段）、施工及保修阶段、生产运营期。对于风险管理，仍应遵循主动控制、事先控制的管理思想，根据不断发展变化的环境条件和不断出现的新情况、新问题，及时采取应对措施，调整管理方案，并将这一原则贯彻项目全过程，才能充分体现风险管理的特点和优势。

4. 综合、系统、全方位原则

风险管理是一项系统性、综合性极强的工作，不仅其产生的原因复杂，而且后果影响面广，所需处理措施综合性强。例如项目的多目标特征（投资、进度、质量、安全、合同变更和索赔、生产成本、利税等目标）；因此，要全面彻底的降低乃至消除风险因素的影响，必须采取综合治理原则，动员各方力量，科学分配风险责任，建立风险利益的共同体和项目全方位风险管理体系，才能将风险管理的工作落到实处。

5. 风险管理方案计划书内容框架

计划书一般应包括：①项目概况；②风险识别（分类、风险源、预计发生时间点、发生地、涉及面等）；③风险分析与评估（定性和定量的结论、后果预测、重要性排序等）；④风险管理的工作组织（设立决策机构、管理流程设计、职责分工、工作标准拟订、建立协调机制等）；⑤风险管理工作的检查评估。

1 经济性措施

主要措施有合同方案设计（风险分配方案、合同结构设计、合同条款设计）；保险方案设计（引入保险机制、保险清单分析、保险合同谈判）；管理成本核算。

2 技术性措施

技术性措施应体现可行、适用、有效性原则，主要有预测技术措施（模型选择、误差分析、可靠性评估）；决策技术措施（模型比选、决策程序和决策准则制定、决策可靠性预评估和效果后评估）；技术可靠性分析（建设技术、生产工艺方案、维护保障技术）。

3 组织管理性措施

主要是贯彻综合、系统、全方位原则和经济、合理、先进性原则，包括管理流程设计、确定组织结构、管理制度和标准制定、人员选配、岗位职责分工，落实风险管理的责任等。还应提倡推广使用风险管理信息系统等现代管理手段和方法。

来自西门子的项目风险管理课程大纲：

【内容概要】

十、风险应对计划

十一、风险跟踪和控制

【课程纲要】

【第一天上午】

【第一天下午】

【第二天上午】

十、定量分析

十一、风险优先级打分表

十二、EMV 和应急储备金估算

【第二天下午】

十三、决策树

十四、风险应对计划

十五、现实的预算和进度计划实施

十六、风险跟踪和控制

在风险的潜伏阶段，风险尚未显现，但其可能性存在于各种征兆之中。这个阶段的风险管理重在预防：

1. 识别潜在的风险。这是预防风险的第一要务，不能识别就无法预防。识别风险的一个重要手段是量化，量化的好处是可以通过对比来鉴别风险征兆，可以设置临界点作为预警指标。例如，我们识别出高血压是引发心脏病的重大风险，为此我们设置出一套检测血压的量化指标，把预警临界值设置在90/140。这样，我们就可以通过与正常指标的对比来监测高血压的风险了。

2. 规避和转移风险。是预防潜在风险的另一个有效办法。当你识别出某件事情可能会有风险时，只要放弃做这件事，或者换一种较稳妥的方式去做它，就可以避免风险发生。如果你知道喝酒有可能导致高血压或心脏病，只要避免喝酒或者改喝红酒或啤酒，就可以规避风险。转移风险最常用的办法之一是买保险。即使你不幸患了心脏病，医疗费有保险公司买单，可以大大减少生命危险和经济损失。

3. 准备风险应对方案和危机处理预案。是预防风险的核心内容。一旦风险和危机来临，有应对预案就可以有效地降低风险的损失和危机的灾难。你可以把常用的药物分放在家里和办公室容易拿到的地方，把医院的电话输入电话机，预先嘱咐身边的人如何处理，这就是风险预案。一旦心脏病突发，这些事先准备好的预案就足以挽救你的生命。很多人就是因为没有这些预案而猝死非命。也许有些风险预案永远也用不上，但是这并不说明它们是多余的。只有风险降临的危机关头，人们才会感觉到它们性命攸关的价值。

在风险的发生阶段，风险已经来临，风险将带来的损失已经不难预料，这个阶段的风险管理重在应对：

1. 选择和实施风险应对预案。事先准备的预案可以大大提高风险应对的决策效率，把决策简化到抉择。例如，当飞行故障发生时，油料往往只够飞半个小时，没有时间决策，只能在预先准备的预案中选择实施。当你的电脑系统被病毒侵袭的时候，当你的技术关键人突然辞职的时候，当你的主要客户因故拖延付款的时候，当你的主要供应商突然宣布提高价格的时候，如果你能够事先准备好应付的预案，你就会有更多的选择余地，有充分的应对时间，就不会在突然降临的风险打击下束手无策。

2. 采取权宜措施缓解风险。有些时候实施风险预案需要时间和条件，权宜措施就是为了争取时间和创造条件。面对绑匪，你首先应该派遣的不是军队而是谈判代表，后者将为前者的部署争取时间；面对航班拖期后愤怒的旅客，你首先需要调动的不是飞机而是饮料和食品，以抚慰旅客激动的情绪；当你的电脑被病毒袭击而瘫痪的时候，你首先要做的也许不是修复系统而是抢救文件；当客户拖延付款的时候，你当务之急也许不是催讨债款而是拆借周转资金。在很多情况下，权宜措施也是构成风险预案的组成部分，但是当风险预案没有料到的情况发生时，应急的权宜措施最能考验一个管理者的应变能力。

3、 采取补救措施抵消损失。当风险造成的损失不可避免的时候，可以堤外损失堤内补救。例如出口产品如果在进口国因质量问题退货，则“出口转内销”，挽回部分损失；如果客户无力偿还债务，可以用汽车及电脑之类的资产抵扣部分损失；如果因下雨不能户外施工，就安排培训，以免浪费时间。失之东隅，收之桑榆。

在风险的后果阶段，风险造成的损失已经成为事实，形势危急，这个阶段的风险管理重在应急和善后：

1. 选择和实施危机处理预案。如果血栓梗塞了心肌；如果洪水冲破了大堤；如果飞机掉进了海里；如果被媒体揭穿了老底；如果电脑文件全军覆没；如果欠债客户卷款逃逸；这时风险就变成了危机，应对就变成了应急。应急实际上和风险应对没什么区别，不过预案的作用会更突出，因为危机时刻没有时间容你深思熟虑，只能选择过去准备好的主意。

2. 实施灾难救助措施。危机往往伴随着灾难性的后果，损失已经铸成事实，形势无法逆转，因此需要考虑善后措施，如抢救生命，抚恤家属，挽回信誉，收拾残局，另寻替代方案等等。

3. 资料存档总结教训。这是善后要做的最后一件事情，但是它常常被忽略忘记。所有的风险和灾难留下的记录都是人类的遗产，它将为后人识别风险提供宝贵的线索。文档化管理，是我们迈向学习型组织必须跨过的门槛。