盡管風險確實可能消失，但我們不能夠通過虔誠的祈禱來讓風險消失，我們需要認真面對這些事情，想出規避的策略。不過并不是所有風險都需要跟蹤，要根據某總原則進行選擇（要不然我得每天跑天文臺，問他們會不會有流星砸中我們……）。這個原則就是風險發生的代價和規避風險的成本的比值必須大于1。
風險的代價一般用風險發生的概率和風險造成的損失的乘積來衡量，而規避風險的成本則是實際的成本估計。例如前面說的彗星撞地球的問題，損失很大，概率極小，而規避成本極大，所以這個比值肯定小于1，于是我們不予理會（聽天由命吧）。而配置庫的問題則是損失很大，概率比較小，規避成本比較小，比值應該遠大于1，所以我們應該去好好考慮一下。不過，嗯，好像我又不嚴謹了，就算是嚴密跟蹤風險，有些風險還是要變成問題，所以實際中我們考慮的是規避措施帶來的效益和規避風險的成本之間的比值必須大于1，這個效益也就是最可能減少的損失。
理論上來說，我們應該試圖跟蹤每一個比值大于1的風險，不過實際中我們要講究一個度，畢竟“提交可以使用的軟件”才是我們的最終目標呢！按一般的經驗，我們只關注值得跟蹤的風險中代價最大的5~10個，這個根據項目不同而不同。
好了，理論聊了一大堆，實際上我們應該怎么做呢？
為了跟蹤風險，我們需要開一個“風險管理會議”來找出所有感興趣的風險。在這個會議中，大家首先各自用五分鐘沉思，想想項目中有哪些風險（這是頭腦風暴法的一種形式），并在紙上寫下5個自認為值得跟蹤而且代價最大的風險（“5”這個數也只是一個經驗值，可根據實際情況進行改變），這個步驟叫做發現風險。五分鐘后，大家將紙條貼在白板上，會議進入第二步，標識風險。詳細分析風險之前，先去掉那些不是風險、不值得跟蹤的風險，這是大家都得發表意見的環節。之后，為所有留下的風險按照風險發生的概率和風險造成的損失的乘積排序（為什么不按照規避措施帶來的效益排序呢？因為我們還沒有制定規避措施呢！為了簡化問題，我們就用這個乘積了，這也就是為什么會有第一個不嚴謹定義的緣故），找出乘積最大的5個風險，這里的“5”也是一個經驗值。好了，到了最后也是最重要的時候，我們要開始分析風險。分析風險包括為風險制定詳細的規避措施并估計規避的成本、萬一風險變成問題后如何解決問題、指定跟蹤的負責人、確定開始跟蹤風險的日期等，這些分析是由大家群策群力來分析，力求措施既有用又有效。
比方說，關于配置庫的那個風險我們最終是這么分析的：
風險編號：3（僅僅是一個編號，編號的規則可以根據實際情況來定）
開始日期：2月20日
文章來源于領測軟件測試網 http://www.kjueaiud.com/
