Microsoft 解決方案框架：風險管理原則 v.1.1

介紹

和 MSF 過程模型一樣，Microsoft 解決方案框架 (MSF) 也定義了一個過程，其目的在于持續地識別和評估項目中的風險，區分風險等級，并執行策略，從而提前處理項目生命周期中的風險。¹

本白皮書介紹了 MSF 風險管理原則的基本概念，描述了其原則、概念、指導以及通向成功 IT 項目風險管理的六步過程。閱讀完本文檔后，有 MSF 使用經驗的項目團隊應該能夠為 IT 項目實現前攝的風險管理過程，而 IT 項目風險管理方面的新手也應該能夠了解其基本概念、術語以及在 IT 項目生命周期中參與 MSF 風險管理所需的原則。

在將軟件工程協會(SEI)知名的連續風險管理過程模型應用到項目中 ² 的同時，³ MSF 風險管理原則嘗試通過 Microsoft 的擴展產品開發經驗，以及源于 Microsoft 顧問服務 (MCS) 及合作伙伴的軟件開發和部署經驗來解釋這一模型。MSF 風險管理原則將以項目為中心的風險管理過程進一步擴展，在知識資產恢復過程中結合企業 IT 策略，并將項目生命周期中的所有階段緊密集成。

在 MSF 中，風險管理是用來提前識別、分析和定位項目風險，從而在其造成損害或損失前將其消滅的進程。

MSF 風險管理原則具有以下幾點定義特性：

msf/msrmd11.mspx#top">返回頁首

風險基礎

項目管理的基本要素之一是控制項目內在的風險。風險始于圍繞著項目決策和結果的不確定性。大多數個人將風險的概念和項目中潛在的價值、控制、功能、質量或完成時間的損失聯系在一起。然而，項目結果也同樣會導致機會最大化增長的失敗，而決策作為結果先導，它的非確定性也應該被包含于風險的要素中。在 MSF 中，項目風險被廣泛地定義為：任何可能對項目結果產生積極或消極影響的事件或條件。這個范圍更寬的投機風險 概念被利用于金融業，投機風險中的不確定性決議可能和潛在收益以及損失相關聯，這和純粹風險 的概念恰恰相反，純粹風險被利用于保險業，它的不確定性僅僅和潛在的損失相關聯。⁴

風險和故障有所不同，因為風險指的是未來的消結果或損失的潛在可能。然而，故障則是當前已經存在于項目中的條件或狀態。如果沒有被有效地定位，風險可能會轉化為故障。在 MSF 中，風險管理是提前識別、分析和定位項目風險的過程。風險管理的目標是讓項目風險帶來的積極影響（機會）最大化，同時讓消極影響（損失）最小化。對于風險的有效策略的理解和管理能一定程度上保證風險和機會間的有效平衡。

信息技術 (IT) 項目擁有創造有效風險管理基礎的特征。競爭的商業壓力、調整變化以及技術標準發展有時會促使 IT 項目團隊在項目中期改變計劃和方向。變化的用戶需求、新興的工具和技術、進化的安全威脅以及職工崗位變化都會導致額外的壓力。Jim McCarthy 提供的文章說明了這個問題：

“事實上，即使在最成功的軟件項目的每一個階段，都有大量的有用要素是未知的�！保―ynamics of Software Development，1995年，99頁）。⁵

返回頁首

基本原則

MSF 風險管理原則基于風險必須被提前解決這一理念；它是正式和系統過程的一部分，將風險管理作為積極的工作。此原則構建于作為 MSF 核心的基本原則、概念和做法的基礎上。有效的項目風險管理是 MSF 基本原則的關鍵所在。⁶ 不過，以下原則對 MSF 風險管理原則也是尤為重要的。

保持靈活 — 預測變化

變化是項目團隊面臨的主要不確定性之一。風險管理工作不應該被限制在項目生命周期的單一階段。項目團隊經常在項目的開始就投入很大的精力來應用風險管理原則，可是隨著項目完成所要求的緊密的進度表壓力，項目團隊也許做不到持續地努力�；钴S這個原則，要求項目團隊在整個項目生命周期的每個階段都持續地評估并提前管理風險，原因是項目各方面的連續性變化也意味著風險的持續性變化。前攝方法讓項目團隊可以接受變化，并防止其向分裂性的，消極的影響發展。

鼓勵公開交流

MSF 針對討論風險提出了一個公開方法，既在團隊內使用，又在團隊外部使用。所有的團隊成員都應該參與風險識別和分析。團隊領導和管理人員應該支持和鼓勵非過失文化的發展，從而發揚這一行為。對于項目風險公開、誠實的討論可以帶來更多對項目狀態的正確評價，而執行管理人員和投資人更富有遠見的決策會使整個團隊受益。

學習經驗

MSF 認為，在學習中保持對持續改進的關注將帶來更大的成功。從某一個項目中獲得的知識可以減少圍繞著決策的不確定性。MSF 強調通過利用項目和風險管理過程一體化來實現組織或企業級項目結果學習的重要性。在鼓勵所有團隊成員公開通訊的過程中，對從項目結果中獲得經驗的直接關注也鼓勵團隊級的學習（互相學習）。

共同的責任，清楚的義務

在 MSF 中，沒有人可以“獨享”風險管理。項目團隊中的每一個成員都有責任積極地參與風險管理進程。在項目進度表及計劃中，團隊成員個人都被賦予了明確的項目風險定位的責任。積極性可能貫穿于項目及風險管理過程周期的每一個階段。它包含了個人專家意見或責任范圍內的風險識別，并進一步擴展到包含風險分析、風險計劃以及在項目推進過程中執行風險控制任務。在 MSF 組隊模型中，項目管理角色群的項目管理功能領域對在風險管理工作中組織項目團隊負有最終責任，并確保風險管理工作融入該項目的標準項目管理過程。⁷

關鍵概念

在本章節，我們討論風險和風險管理的重要概念，這是理解 MSF 風險管理原則的核心內容。

風險天然存在于所有項目或過程中

盡管因項目的不同，風險的多少也各異，但沒有一個項目是不包含風險的。項目發起后，組織可以在支持組織目標的過程中實現價值目標。在項目及其環境的周圍，往往圍繞著很多不確定性因素，而它們將影響到目標的實現。MSF 實施者通過始終緊記風險無處不在的規律，尋求持續在風險和機會中做出正確平衡決議的方法，而不會過于關注如何將風險小消化。

主動的風險管理是最有效的

通過關注以下要素，MSF 采用一種主動的方法來識別、分析和定位風險：

有效的管理絕對不只是通過單純地處理故障來實現的。項目團隊應該致力于提前識別風險，并發展策略和計劃來管理這些風險。計劃應該包含如何在故障發生時解決它們。預見潛在的故障、提前做出有效的計劃可以縮短危機出現后的反應時間，并限制甚至扭轉故障發生時帶來的危害。

前攝風險管理的定義特性是風險緩解和風險影響緩解。緩解工作可能發生在特定風險目標級別，并瞄準其潛在的直接原因，也可能通過改變根本原因級別（或是改變因果鏈）來實現。緩解方法在初期是最好的措施，因為這時項目團隊還可以及時改變項目結果。

根本原因的識別和修正對企業有著很高的價值，因為修正方法可以帶來比個體項目范圍更深遠的積極影響。例如，在開發或部署項目的過程中，編碼標準或機器命名慣例的缺乏可能明顯地導致不利的結果，并因此成為增加項目風險的源頭。不過，創建標準和指導方針能在企業里對整個項目起到積極的影響，前提是這些標準和指導方針在整個企業里執行。

積極地看待風險識別

有效的風險管理和項目團隊對正面臨著的風險的正確和全面的理解密不可分。當挑戰和潛在損失的數量變得明顯時，開發團隊可能會對風險管理工作失去信心。一些團隊成員甚至會認為識別風險事實上就是尋找破壞項目成功的原因。MSF 則剛剛相反，它認為正是風險識別過程讓項目團隊可以通過公開化，更高效地管理風險，從而讓成功的前景更加明朗。公開、歸檔的風險探討將團隊成員完全解放出來，通過提供任務、責任和預防工作計劃的直接改良，讓他們能夠更加專注于工作，并糾正錯誤的方法。

項目團隊（尤其是團隊領導）應該積極地看待風險識別，從而保證提供關于眼前風險盡可能多的信息。對風險消極的理解可能讓團隊成員不愿意做風險溝通。項目團隊應該營造這樣一個環境：員工在識別風險的過程中不需要害怕，只需要誠實地表達嘗試性或是有爭議的觀點。消極的風險環境的例子比比皆是。例如，在某些環境下，報告新的風險被視為搗亂，而反擊風險則定位到人而不是風險本身。在這樣的環境下，人們通常謹慎地進行風險溝通，然后開始選擇性地表達他們準備分享的風險信息，從而避免和團隊成員的對質。如果項目團隊積極地對待提出風險的團隊成員，那么就能創造一個積極的風險管理環境，這樣便能更成功地識別和定位風險，而在消極風險環境下工作的團隊則剛剛相反。

為了實現項目收益最大化的目標，項目團隊必須樂于接受風險。這要求項目團隊將風險和不確定性視為創造正面機會的途徑，從而通向成功。

持續評估

很多信息技術專家錯誤地將風險管理理解為必要但卻令人厭煩的任務，他們認為風險管理應該發生在項目的開始或是引入新過程的時候。

項目和操作環境中的持續變化要求項目團隊有規律地對已知風險的情況進行重新評估，從而修正計劃以防止這些風險帶來的故障，或者對這些故障做出響應。項目團隊同樣應該堅持不懈地尋找新的項目風險。應該將風險管理工作集成到整體項目生命周期中，從而適當地修正風險控制計劃和工作，而不需要創建一個單獨的報告和跟蹤基礎設施。

保持公開交流

盡管風險通常為一些團隊成員所知，但這些信息常常缺乏充分的交流。雖然組織層次中由上至下的信息交流通常十分簡單，但是由下至上的信息傳遞卻是相當困難的。無論人們處在哪個層次，都希望了解更低層次的風險，卻害怕向上傳遞信息。有限的風險信息流對項目風險都會是有力的促進，因為它能用甚至更少的信息促進決策。在分級的組織中，管理人員需要鼓勵公開交流，并確保每個人都正確地理解風險和風險計劃。

先說明，后管理

風險管理面向不確定性影響決策制定工作。標準的風險聲明適當地列出了一些不確定性，并鼓勵風險的不同解釋。清楚的聲明可以在以下方面幫助項目團隊獲益：

MSF 提倡在風險管理計劃中注意細節信息，從而最小化風險計劃中的執行錯誤，這些錯誤可能導致預防工作失效，也可能干擾恢復及糾正工作。

不要簡單地根據風險的數量判斷情況

盡管團隊成員和主要投資人總能認識到風險項目是消極的，但避免簡單地根據風險的數量判斷項目或操作過程也是尤為重要的。畢竟，風險只是可能發生的事物，而并不是實際的損失或不理想的結果。MSF 風險管理過程提倡使用結構化的風險識別和分析過程來為決策者提供現存的風險信息，以及這些風險的重要性。