IT项目风险管理理论体系构建

收稿日期!"##$%#&%’#作者简介!方德英(’)&*+,-男-河南南阳人-博士-天津大学副教授-硕士生导师.李敏强(’)&/+,-男-河北无极人-博士-天津大学教授-博士生导师0第"&卷增刊合肥工业大学学报(自然科学版,1230"&4205’"##$年6月789:4;<8=>?=?@94@1?:5@A B 8=A ?C >48<8D B ;E FGG G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G G 0"##$@A 项目风险管理理论体系构建方德英-李敏强(天津大学管理学院-天津$###H ",摘要!文章论证了@A 项目风险管理与所基于的计算机科学I 管理学和经济学中各相关学科的关系-回顾与分析了J 2K L M IC L N O K P P K 和5?@$种典型软件项目风险管理体系-接着从方法论角度阐明了学科思想I 学科体系设计机理和设计准则-最后构建了全面@A 项目风险管理体系Q关键词!@A 项目.风险管理体系.风险管理类型中图分类号!A R $’).=#&"0/文献标识码!;文章编号!’##$%/#&#("##$,5’%#)#H %#/S TU V W U V W X Y W U Z [\]^_^U W ‘[X T ^U Y a [U Z X TX b c de Y X f W [U Y Z ^g‘\T \h W ‘W T U=;4D i K %j k l F -<@mk l %n k N l F(5o L 2232p mN l N F K M K l P -A k N l q k l9l k r K O s k P j -A k N l q k l $###H "-C L k l N,t u ^U Y \[U !@lP L k s v N v K O -P L KO K 3N P k 2l s w K P x K K l@A v O 2q K o P O k s yM N l N F K M K l P N l zk P sO K 3N P K zz k s o k v 3k l K ss E o LN s o 2M v E P K O s o k K l o K -M N l N F K M K l P -N l zK o 2l 2M k o s N O K z k s o E s s K zp k O s P 3j 0A L K lP L O K K P j v k o N 3O k s yM N l N F K M K l P s j s P K M s -l N M K 3j J 2K L M -C L N O K P P K -N l z5?@N O K O K r k K x K zN l zN l N 3j {K z 0=k l N 33j p O 2M P L KM K P L 2z 232F k o N 3v 2k l P 2p r k K x -P L K P L 2E F L P s 2p P L K z k s o k v 3k l K s N l z P L K z K s k F l k l F M K o L N l k s M N l z O E 3K s 2p P L K z k s o k v 3k l K s j s P K M s N O K K |v 2E l z K z -N l zP L K @Av O 2q K o P O k s yM N l N F K M K l P s j s P K M k s o 2l s P O E o P K zk lN lN 33%O 2E l zx N j0}W _~X Y !^!@A v O 2q K o P .O k s yM N l N F K M K l P s j s P K M .O k s yM N l N F K M K l P P j v K #引言@A 项目属于软件密集项目-项目的目的在于开发出高效的信息管理系统-从而降低现实世界的不确定性Q 但是-项目自身的发展却充满了许多的不确定性-单纯信息技术的发展不但没有减弱I 反而还助长了这一现象-特别是随着应用的广泛深入及项目规模增大-这种现象愈加突出Q 文献"’#通过大量实例说明了许多信息系统失败于不恰当的项目风险管理Q 文献""#认为-软件系统中/#$%H #$的风险可以检测到-)#$的风险可以避免-风险管理的投资回报率一般在H ##$%"###$之间Q 然而-@A 项目风险管理实践在我国至今还没有展开-推动该学科实践的管理体系还鲜有报道-国外现有的软件项目风险管理体系也不完善Q 为此-理清@A 项目风险管理的学科基础-分析目前影响较大的$种风险管理体系-找出它们的特点-比较各自的优势和不足-最后从方法论层面入手-构建全面的@A 项目风险管理体系Q!"#项目风险管理基础!$!风险管理与软件工程软件工程知识体系可分为计算机基础知识类%软件生产工程知识类%软件管理知识类和软件领域知识类&’()每一类别由若干知识领域构成)每一领域又由若干知识单元组成*其中)软件管理知识类分为软件项目管理%软件风险管理%软件质量管理%软件配置管理%软件过程管理和软件采购管理+个知识单元)而+个知识单元中只有软件风险管理是面向工程现实)其它,种管理则是面向项目成功的*可见)在知识体系上)风险管理是软件工程的一个组成部分)说明软件工程既离不开风险管理)而软件风险管理又必须在软件工程管理的整体框架内行事*!$-软件项目风险管理与传统项目风险管理区别要说明这两者间的联系与区别需要搞清楚-个问题./风险管理在各自项目管理中的地位*0-种项目管理之间的区别*通过风险管理与软件工程的关系说明了风险管理在软件项目中的地位)又由12"定义的传统项目知识体系&3(可知)风险管理属于4种项目知识领域之一)因此-种项目中都把风险管理纳入了自己的知识体系*再看-种项目的异同*作为项目两者都具有一次性和单件性的特点)不确定性均高于常规生产方式)特别是流程式生产方式)但是两者的区别更为明显*传统项目的学科基础只需依赖较小的基本原理集和自然法则)就能控制系统的行为并指导开发过程*例如牛顿的万有引力和热力学定律)爱因斯坦的相对论和海森堡的不确定性原理)这些法则和原理常常是通过观察物理系统来发现)而不用去发明)发现的结果有极强的客观性)可以在受控条件下重复验证)验证结果也是可预测的*相反)软件系统不受任何自然法则和原理的约束)编写软件的人有天赋的自由去信马由缰)直到-5世纪+5年代出现了6软件危机7*但至今软件仍然是在危机中生存和发展)生存源自于时代的需求)发展得益于不少有识之士的艰苦奋斗*无法解除危机是因为软件学科固有的本性)89::;<分别于!4=,和!4>=年出版了两本著名的软件工程知识著作6神奇的人月7和6没有银弹7&,)+()让人们从思想深处意识到了软件工程与传统工程的本质区别)劝告人们放弃寻找放之四海而皆准真理的幻想*!$’"#项目风险管理与金融风险管理区别两者的研究对象明显不同*金融风险一般为投机性风险?结果可能为有损失%无损失或有盈利@)而"#项目风险除了投机性风险外)还有纯粹风险?结果可能为有损失或无损失@)而且纯粹风险占多数*金融风险对象的突出特点是标准化%可交易和历史数据丰富)这决定了两者的风险识别%评估和控制方法有较大的差异)但在思想上两者是相通的*金融风险管理是金融产品生产活动的主要内容)所以风险管理在金融业内的地位极为重要)因此对其研究的内容较丰富)研究的深度也较领先)其中有些技术可以被"#项目风险管理借鉴*!$3"#项目风险管理与软件项目风险管理区别"#项目的特征是软件密集型项目)所以两者有较大的相似程度*但是"#项目不只是软件开发)也包括硬件采购%软件平台和软件组件的采购)还包括项目规划阶段*规划的核心是要将软件系统与企业系统相匹配)因此"#项目的风险管理与单纯讨论软件项目风险管理的出发点不同)有时可能需要为了企业整体利益而放弃某一软件项目的当前利益*另一不同点表现在软件项目中的风险绝大多数是技术风险)基本属于纯粹风险类)而"#项目中的投机风险不可忽视*不同的风险类型构成也决定了管理手段的差异)但软件项目风险管理仍然是"#项目风险的重要组成部分*>54合肥工业大学学报自然科学版@第-+卷!典型体系比较分析!"#$%&’(体系#)*)年$%&’(提出软件风险管理体系后+又于#))#年详细描述了他的思想体系,-./他把风险管理活动分成风险估计和风险控制两大阶段+风险估计阶段包括风险辨识0风险分析和风险排序1项活动+风险控制阶段包括风险管理计划0风险处理和风险监督1项活动/$%&’(为每项活动都提供了不少的相关实现技术+例如+风险辨识中给出了#2种软件风险因素清单+同时还推荐了各因素的相关处理意见及方法/从该清单出发+管理人员和技术人员能够进一步细化风险因素+并给予评估和化解/!"!3’45&66&体系#)*)年3’45&66&,*.设计了风险分析和管理体系+由分析和管理两大阶段组成/分析阶段包括辨识0估计和评价1个过程+管理阶段包括计划0控制和监督1个过程+并且允许各项过程活动之间有相互重叠甚至交错反复的现象+3’45&66&同时为各个过程提供了相应的战略思路0方法模型和技术手段/!"1789体系789在软件风险管理方面作了大量的工作+#)))年前后分别以技术报告和手册等形式公布了基于分类的风险辨识:;$<=0连续风险管理:3>?=0软件风险评估:7>8=0软件采购风险管理成熟度模型:>?@3??=和团队风险管理:;>?=,)A #B ./整体思想是想以;>C 为框架和以;$<等为基本手段+依托7>8过程及贯彻3>?思想+配合软件能力成熟度模型:7C @3??=和软件采购成熟度模型:7D @3??=+从而完成软件的风险管理/其中+3>?思想提出了辨识0分析0计划0监督和控制的活动闭合环+7>8过程分为合同签订0风险辨识和分析:>9E D =0中间报告0缓和战略计划:?7F =和最终报告B 个阶段+7D @3??也分B 级成熟度+>?@3??配合7D @3??提出了风险管理关键过程域:>?@G F D =的概念+>?@G F D 的结构包括目标0为达成目标的活动和支持活动顺利开展的制度化特征/!"H 比较分析上述1种典型风险管理体系各有特色+较早出现的!套体系:$%&’(和3’45&66&=偏重于理论结构的完善+不妨称为理论体系+后#套体系偏重于实践应用+不妨称为实践体系/总体而言+理论体系注重清晰的结构和与之配套的方法和技术+体系构建者旁征博引+阐明了从其它学科:如运筹学0决策理论等=中借用思想0方法和工具的道理/但研究范围局限于软件项目的核心风险管理+研究对象主要是开发技术风险+很少论及实现体系思想所需要的保障措施+基本上只站在开发商一方讨论风险管理问题/所以整体上思想性大于技术性+对实施过程和实施过程中人所起的作用论述不足+从一定程度上说有理想化的成分/$%&’(先生曾提出了围绕风险管理开展软件开发的方法+即螺旋模型+他最突出的贡献之一是建立了软件风险管理研究领域+其中不少思想对后续研究产生了较大的影响+但是他的体系在计算风险当量时没有考虑效用因素/3’45&66&先生的体系从结构上看与$%&’(体系类似+只是用词不同/3’45&66&体系中认识到了风险的投机性+也从步骤上强调了对组合风险的评价/但就如何获得单一风险估计值和组合风险分析效果+还缺乏可行的手段和措施/同时+虽然考虑了风险的效用问题+但只考虑目标效用+没有考虑不同项目参与人的效用/789体系最明显的特点是可操作性+注重了与软件开发过程的紧密结合+明确提出了软件采购方在项目风险管理中的地位和作用/体系中的理性思考都以指导实践步骤为主要目的+基本上摒弃了复杂的数学运算/体系中组织了#)H 个揭示风险的问题+详细设计了各项实施措施的场景+有些活动甚至规定)2)增刊方德英+等I 9;项目风险管理理论体系构建需要在多少时间内完成!"#$体系的管理步骤多于技术%方法和工具&可以看出主体思想是以简单的学术背景要求和方便的日常事务应用&加上严格的管理规定达成$’项目风险管理效果!所以尽管技术要求不高&但实施成本不低&目前基本上应用于大型公司或开发大型项目!另外&为保持较为烦琐体系的一致实施&或者出于本公司业务需要的目的&"#$要求实施人员应该经过他们的专业化培训!以上(套体系总体都偏重解决开发活动内部的技术风险&其风险控制手段也往往着眼于降低风险发生的可能性&而对如何规避风险后果措施不多!(全面风险管理体系框架构建()*方法论思考()*)*对风险管理的思想认识+*,风险管理不是以消除风险为目的&风险总是客观存在的&是否有必要消除风险还要用经济标准等来衡量!风险管理的目的应该是向风险决策提供更多的信息和解决方案&最大限度地降低$’项目建设的不确定性!+-,所有$’项目建设都充满了风险&既不能熟视无睹&也不能为此而悲观!正确的做法是建立健康的企业风险文化&形成人人关心风险管理&同时又不会引起.狼来了/效应的景况!+(,风险管理活动不可能取得一劳永逸的成果012&客观世界%应用环境及$’技术在变&人类拥有的知识也在不断变化&所以风险管理体系除了应该有适应性外&还应该有包容性和开放性!+3,坚持以系统思想解决复杂系统问题&避免出现.压下葫芦浮起瓢/的效果!()*)-对风险管理设计机理的理解+*,风险既是客观的也是主观的&风险管理既是科学也是艺术!它时而需要用高度理性的近现代数学知识建模求解&时而需要借助心理学知识诱导风险根源!忽视或过于强调哪一个方面都是不适当的&既不能容忍为了技术而引入技术&也不能容忍仅靠拍脑袋%凭经验行事!+-,$’项目开发与实体项目开发本质上的区别还在于后者是规模经济的&而前者是规模不经济的!向已经拖期的项目增加人力只会使它更加拖期012&这也将限制风险控制手段!()*)(风险管理的设计准则+*,全面考虑投机风险和纯粹风险&特别在$’项目已经纳入企业战略规划的背景下&非技术投机风险管理显得尤其重要!+-,风险管理要围绕企业信息系统的规划展开!图*全面风险管理体系框架+(,风险管理应该与项目管理实现无缝融合!风险管理和项目管理的目标本质上是一致的&只不过项目管理从应该怎样才能成功为出发点&而风险管理以应该怎样才不会失败为出发点!+3,应尽可能早期地识别风险&并保持风险管理在整个项目生命期内的连续性!()-全面风险管理体系框架在方法论思想等指导下&把无结构化问题转变为有一定结构化的问题&把应急管理转变为常规管理和把非经常性活动转变为经常性活动&其构造框架如图*所示&这里为简单起见没有画出时间维!图*中所谓理论基础是一个开放的概念&本领域已经从其它学科受益匪浅&但作为学科&特别是综合性质的学科还远不成熟&还需要不断地吸取各学科4*5合肥工业大学学报+自然科学版,第-6卷的营养!位于框架中心位置环状结构表达了连续风险管理概念"类似#$%的&’("但是必须克服它的缺点!其中)个核心部分之间的关系不应是简单的环状关系"要考虑方法之间的相互衔接和考虑组合风险分析!风险计划活动应分为概要计划和详细计划*个部分"以满足及时和具体的双重要求"风险跟踪应引入触发器机理"风险控制中则特别要考虑降低风险后果的控制方法!处于体系框架最上方的风险保障体系应该依托于企业管理组织和项目管理体系"至少需要组织保障+机制保障和制度保障"从行政+技术和知识上保障风险管理体系的完整!这样使核心的%,项目风险管理既有基础"又有依托"不但能实现项目生命期全过程的风险管理"还有助于建立企业的风险文化!-结束语%,项目风险管理研究和实践具有重大的学术和经济意义"但是健康有效地开展这项活动必须有正确的体系指导"同时还要注意不能夸大%,项目风险管理的作用!因为它不能保证辨识出的风险就一定会出现"也不能保证每次风险控制手段都能成功"所以良好的风险管理文化要求人们不能对风险管理活动求全责备!.参考文献/.0/1234("56446728",9:;<=>?3?@2A B 3C 6B 3D ?D E:3A ;F 2:72F B 3D ?6?G:3A ;F :D F 2?A 3B HD ?B I 2G 273A 3D ?B D7D ?B 3?926A D E B J 6:2G 2@24D F K 2?B F :D L 27B .M /=,I 2M D 9:?64D E #H A B 2K A 6?G#D E B J 6:2"*N N N ")O P 0-)Q0)R =.*/83A B 2:,=%?B 2:@32J J 3B I,3K 83A B 2:.M /=%$$$#D E B J 6:2"0S S R "0-T O U P 0V Q0S =.O /W 34X 9:?,Y "W 3:K 6?F :D 9:%"W 6L 2?D D :3#1=>A D E B J 6:22?C 3?22:3?CX D G H D E ;?D J 42G C 2T Z 2:A 3D ?0=N U .’/=[3B B A X 9:C I "[6P &6:?2C 32(244D ?\?3@2:A 3B H "&(\]#$%QS S Q ,’QN N -=.-/[(%#B 6?G 6:G A &D K K 3B B 22=>C 93G 2B DB I 2F :D L 27B K 6?6C 2K 2?B X D D 4HD E ;?D J 42G C 2T [(Y ^1_93G 2*N N N $G 3B 3D ?U .(/=[3B B A X 9:C I [6P [:D L 27B (6?6C 2K 2?B %?A B 3B 9B 2"*N N N =O S Q-0=.)/Y :D D ;A ‘[=,I 2K H B I 3764K 6?a K D ?B I .(/=’26G 3?C T (>U P >G G 3A D ?a 52A 42H"0S R )=O Q*b =.b /Y :D D ;A ‘[=c DA 34@2:X 9442B P $A A 2?726?G6773G 2?B A D E A D E B J 6:22?C 3?22:3?C .M /=%$$$&D K F 9B 2:"0S V R "*N T -U P 0N Q0S =.R /Y D 2I K Y5=#D E B J 6:2:3A ;K 6?6C 2K 2?B P [:3?73F 42A 6?GF :67B 372A .M /=%$$$#D E B J 6:2"0S S 0"V T 0U P O *Q-0=.V /&I 6:2B B 2’c =#D E B J 6:22?C 3?22:3?C:3A ;6?64H A 3A 6?GK 6?6C 2K 2?B .(/=c 2J d D :;P %?B 2:B 2e B [9X 4376B 3D ?A"0S V S =O )QO R =.S /_6446C I 2:Y [=#D E B J 6:267f 93A 3B 3D ?:3A ;K 6?6C 2K 2?B ;2HF :D 72A A6:26T 1[>U g >C 93G 2X D D ;.’/=[3B B A X 9:C I "[6P &6:?2C 32(244D ?\?3@2:A 3B H "&(\]#$%QS S Q W Y QN N 0=.0N /&6::(M "1D ?G 6#8"(D ?6:7I%=,6e D ?D K H a X 6A 2G:3A ;3G 2?B 3E 376B 3D ?.’/=[3B B A X 9:C I "[6P &6:?2C 32(244D ?\?3@2:A 3B H "&(\]#$%QS O Q ,’QN b N =.00/<D :D E 22">9G :2H "564;2:=&D ?B 3?9D 9A :3A ;K 6?6C 2K 2?B C 93G 2X D D ;.’/=[3B B A X 9:C I "[6P &6:?2C 32(244D ?\?3@2:A 3B H"0S S b =.0*/’6H&"534436K A ’&"[6?G 243D A _M =#D E B J 6:2:3A ;2@6496B 3D ?T #’$U B 26K K 2K X 2:h A ?D B 2X D D ;T Z 2:A 3D ?*=N U .’/=[3B B A X 9:C I "[6P &6:?2C 32(244D ?\?3@2:A 3B H "&(\]#$%QS S Q ,’QN *S =.0O /#3A B 3‘M "M D A 2F I#=#D E B J 6:2:3A ;2@6496B 3D ?K D G 24T Z 2:A 3D ?0=N U .’/=[3B B A X 9:C I "[6P &6:?2C 32(244D ?\?3@2:A 3B H "&(\]#$%QS -Q ,’Q0S =.0-/13K d M "#6?G 2:A _8=#B :6B 2C 3767B 3D ?A 3?3?E D :K 6B 3D ?B 27I ?D 4D C H3?@2A B K 2?B X 6A 2GD ?:264D F B 3D ?B I 2D :H .M /=<273A 3D ?#9F F D :B #H A B 2K A"*N N *"O O P0Q00=.0)/564A I1’"#7I ?23G 2:W =,I 2:D 42D E K D B 3@6B 3D ?6?G:3A ;X 2I 6@3D :3?A D E B J 6:2G 2@24D F K 2?B A 9772A A .M /=%?E D :K 6B 3D ?’2A 26:7I"*N N *"R T O U P *R QO b =T 责任编辑吕杰U0S 增刊方德英"等P %,项目风险管理理论体系构建IT项目风险管理理论体系构建作者：方德英， 李敏强作者单位：天津大学,管理学院,天津,300072刊名：合肥工业大学学报(自然科学版)英文刊名：JOURNAL OF HEFEI UNIVERSITY OF TECHNOLOGY（NATURAL SCIENCE）年，卷(期)：2003，26(z1)被引用次数：21次1.Keil M.Wallace L.Turk D An investigation of risk perception and risk propensity on the decision to continue a software development project 20002.Lister T Interview with Tim Lister 1997(03)3.Hilburn T B.Hirmanprour I.Hajenoori S K A software engineering bodyof knowledge (Version 1 0)4.PMI Standards Committee A guide to the project management booly of knowledge(PMBOK Guide 2000 Edition) 20005.Brooks F P The mythical man-month 19756.Brooks F P No silver bullet: Essence and accidents of software engineering 1987(04)7.Boehm B W Software risk management: Principles and practices 1991(01)8.Charette R N Software engineering risk analysis and management 19899.Gallagher B P Software acquisition risk management key process area (KPA)-A guidebook Pittsburgh10.Carr M J.Konda S L.Monarch I Taxonomy-based risk identification11.Dorofee.Audrey.Walker Continuous risk management guidebook 199612.Ray C.Williams R C.Pandelios G J Software risk evaluation (SRE) team member's notebook (Version 2 0)13.Sisti F J.Joseph S Software risk evaluation model (Version 1 0)14.Kim Y J.Sanders G L Strategic actions in information technology investment based on real option theory 200215.Walsh K R.Schneider H The role of motivation and risk behavior in software development success 2002(03)1.学位论文方德英IT项目风险管理理论与方法研究2003软件项目风险管理研究在国外已有十多年的历史,而中国尚未普遍开展IT项目风险管理的研究和实践,总结前人的经验教训、探讨适合中国国情的风险管理体系是该项目的理论意义.IT项目的高风险特征和越来越大的社会需求,又赋予了该项目研究的现实意义.论文的主要内容有:首先回顾和分析了国内外研究现状,指出了当前要解决的理论和实践问题,提出了解决这些问题的7项研究目标;然后分析了该学科与风险管理、项目管理和软件工程三大基础学科的关系与差异,又根据学科内涵给出了严谨的风险和风险管理的概念定义,比较与分析了常见的4种风险管理体系,讨论了这些体系的优势和不足,并以方法论为指导、考虑到全面性、针对性和管理成本的均衡,构建了IT项目风险管理体系框架;第三,从内涵和外延两个方面重新认识了各类风险辨识方法,以系统化的风险管理为思路提出了风险实体的概念,论证了该实体的属性、结构和与环境的关系,比较了复杂系统的描述方法,面向一般应用环境设计出了基于影响图(ID)的风险辨识方法,同时也解决了组合风险的辨识问题,而后又针对网络项目、企业级项目和低成熟度软件开发组织分别提出了相应的风险辨识步骤;第四,提出了风险评估的一般过程,总结与分析了现有的风险评估方法,给出了目标导向的ID风险评估方法,论述了PERT技术、贝叶斯置信网络在面向活动风险评估中的应用,改进了GERT方法,使之适用于IT项目的风险评估,同时面向中小企业提出了对技术、经济成本要求不高的风险评估方法和步骤,并进行了有效性验证;第五,论证了概要风险计划和详细风险计划的编制原则,提出了风险监督机制和机理,进行了风险控制的战略分析,特别给出了控制风险后果的实物期权方法和应用步骤;第六,细化了风险管理体系框架,揭示了框架内各要素之间的内在联系,并分组织保障、制度保障和机制保障三部分阐述了相关要素需要的知识、技术和方法,其中基于开发阶段探讨了面向风险的项目度量体系、证明了第三方监理机制对IT项目风险管理的作用;最后,总结了全文、指明了该文内容可能的应用和发展方向,并提出了一些学科思考和建议.2.学位论文洪我杭IT项目风险管理技术及其实践2008IT项目风险管理研究在国外已有十多年的历史，但我国尚未普遍开展IT项目风险管理的研究和实践，总结前人的经验教训、探讨适合我国国情的风险管理体系是本项目的理论意义。