（十）项目风险管理
10-1 风险的概念
10.10：项目风险的定义
在进入风险管理领域之前，也许我们需要改变一下思维的角度。如果此前我们习惯于用积极的态度去对待一切事情的话，那么现在开始，我们需要用消极的眼光去看待一切了。
在采购供应链管理的章节中，我们追求零库存的境界，以最大限度地节约成本；但是当风险降临时我们才发现库存的必要性，手中有粮，才能心中不慌。戴着泊诺的黄帽子，我们会建议公司的名称最好与产品的品牌保持一致，因为一旦品牌打响了公司会随之扬名。可是当我们戴上泊诺的黑帽子时，就会认为公司名称最好与产品品牌保持不同，因为万一产品砸了牌子，公司不至于被拖累致死，还有东山再起的机会。
图-10.10给出了项目风险的定义。这个定义至少包含了三个含义：
外因：风险来自于项目所处的外部环境的不确定性和不稳定性，因此很多来自外部影响力的变化难以预见。 
内因：风险来自于项目团队不能准确预见和不能控制的因素，这不但由于人们认识事物的局限性，而且由于信息的不完备性及滞后性。
结果：除了不确定的外因和内因，认定风险还必须有结果，即项目的绩效偏离了干系人的预期。不过仅仅偏离预期还不一定都是风险，提前完成任务也是偏离预期，只有负面偏离预期并形成了损失，才叫做风险。
风险并不一定都是灾难性的，项目实施中最常见的风险就是项目的质量不合格，成本超预算，工期拖延，也就是说项目的实施突破了图-1.30中质量、时间、成本三条边的约束。这意味着风险随时都有可能发生，它天天睡在我们身边。
10.11：风险的认知状态
人类对事物的认知，是一个渐进的过程，认识风险的过程亦是如此。这个认识过程可以分为三种占有信息的状态，也可以视为三个渐进的阶段：1）完全没有信息的状态；2）部分掌握信息的状态；3）完全掌握信息的状态。
如图-10.11所示，这三种掌握信息的状态，决定着我们对风险的三种认知程度：
在完全没有信息的状态下，风险几乎是不可能预见的。例如“非典”，它给全中国带来了意想不到的灾难，使很多项目中途搁浅，但是由于从前没有关于它的任何记录，任何迹象，因此谁也不可能事先预见它的光顾。几乎所有风险在第一次发生的时候都属于这种情况。
在部分掌握信息的状态下，风险可能预见，但是难以准确预测。人们往往用已知部分的信息去推断未知部分的信息，这种推断有一定根据，但是谁也不敢保证完全准确。“非典”发生过一次之后，就从不可能预见的风险变成了可能预见但是难以准确预测的风险了，人们从上一次的记录中知道了它的存在形态、传播方式和条件，但是它是否还会再一次出现，何时出现，以什么形式出现，后果如何，谁都没有把握准确预测。其他项目有过各种各样失误或失败的记录，这些经验教训也被写进了教科书，但是它们是否能够避免在你的项目上重演，一半靠我们对于掌握信息的分析判断，另一半恐怕还得靠运气。
在完全掌握信息的状态下，风险就是可以准确预测的了。例如天气变化，这类风险无时不刻处于人类的监控之中。建立在人类数千年历史记录上的气象监测技术，几乎可以准确预测一个地区几天之内的降水概率、温度、风速。如果你周末准备到野外郊游，只要抓起电话，一般都可以得到气候风险的准确预测。
在项目风险管理中，完全不能预测的风险和可以准确预测的风险都属于极端现象，对前者的管理无从着手；对后者的管理已成规范，因此都不必给予更多关注。现实中的绝大部分情况都属于第二种类型的风险，这类风险才是风险管理的主要关注点。
信息的不完备导致风险不能准确预测，这既有客观因素也有主观因素。客观原因是有关风险的信息本身不完备，即使你完全掌握也不足以准确判断风险；主观原因是有关风险的信息已比较完备，但是你掌握的信息不足以准确判断风险。而后一种情况，本身就构成管理风险，也是风险管理重点中的重点。
10.12：项目风险的分类
人类总是在鉴别和对比中认识事物的，我们也将这样认识风险。鉴别和对比是通过分类实现的，图-10.12中的矩阵表，显示了项目风险的基本分类。
从客观的角度出发，项目的风险可以横向划为内外两个范畴：
项目所处的外部环境产生的风险，被称为系统风险，系统风险是项目组织无法回避也无法控制的，只能被动应对，力求减少风险损失。
项目内部原因产生的风险，被称为非系统风险。非系统风险是项目组织有可能主动预防和控制的，这取决于组织的风险管理水平。
海起风浪是系统风险，船出故障是非系统风险；亚洲金融危机是系统风险，而项目财务危机是非系统风险；非典疫情导致异地交流项目中止，是系统风险，组织防疫措施不力导致病毒扩散，是非系统风险。一般情况下，系统风险对项目的危害性要大于非系统风险，但项目经理对非系统风险的责任却大于系统风险。老天爷要下雨谁也怨不得，可是若自己没带伞就活该了。俗话说：天作孽尚可恕，自作孽不可恕。
从主观的角度出发，项目的风险又可以纵向分为三个层次：
认识风险，指那些难以预见的风险。它考验的是组织的学习能力；
决策风险，指那些难以预防的风险。它考验的是组织的管理能力；
控制风险，指那些难以应对的风险。它考验的是组织的执行能力；
未能识别“非典”病毒，是认识风险；识别了不知道该怎样对付它，是决策风险；有了对策但挡不住疫情蔓延，是控制风险。一般情况下，认识风险要大于决策风险，因为认识是决策的前提；而决策风险又要大于控制风险，因为决策是应对的基础。但如果在认识不足且决策未定的情况下就鲁莽行事，那么应对就变成最大的风险了。盲人骑瞎马误入雷区，风险被一网打尽了。
魏文王问扁鹊，他行医的兄弟三人中，谁的医术最好。扁鹊回答，长兄最好，二哥次之，自己最差。魏王听了很诧异，说你扁鹊载誉全国，被奉为神医，怎么会不如你那两个默默无闻的兄长？扁鹊说，我大哥可以在病态还没有暴露之前就采取预防措施将病因排除，因此在人们眼里就是个保健医生；我二哥可以在病状刚刚露头的时候就及时扑灭病灶，因此在人们眼里仅是个能治小病的乡村庸医；而我自己擅长治病危的病人，死马当做活马医，若是没能救活，死者不会抱怨，也不会传话告诉别人去诋毁我；而一旦碰上个起死回生的病例，凭患者现身说法的口碑就足以名扬天下了。
扁鹊三兄弟的医术正体现了上述三个层次的风险管理水平。大哥擅长预见风险，二哥擅长预防风险，扁鹊则擅长应对风险。谁的水平高？
10.13：项目风险的特征
风险是项目管理中最复杂的概念，因为它在很大程度上涉及的是对未发生事件的推测，它既体现客观存在，也含有主观臆断。如图-10.13所示，风险的识别和平估，本身都带有很大的不确定性，我们需要从以下三个方面去把握它的特征：
风险发生的随机性。风险事件往往是偶然的，这就造成了预测它的困难。然而这正是风险之所以存在的理由，如果风险的发生都变成规律性的，后果都变成了必然性的，就不再是风险了。人类已经熟知了冬季必有严寒降临，就不再把严寒当作风险了，它变成了理所当然并司空见惯的事情；人们已经确认吃砒霜必然致命，砒霜就不再是风险了，除非发生自杀或谋杀。游泳有风险，因为可能淹死人，但是什么人会被淹死则完全是随机事件，很难有规律可循。风险的随机性为它的识别和量化带来了很大困难，不过，一旦它能够被识别并量化，风险性也就大大降低了。
风险后果的相对性。风险在某种程度上是相对于当事人的承受能力而言的，赌博输了一千元钱，对于一个年收入只有两千元的穷人就是巨大的风险，而对于一个年收入逾百万元的富人，只是个娱乐游戏。一次伤风感

9-项目风险管理.doc