对待风险管理的正确态度：

　　勇于承担风险而不是逃避，不做没有风险的项目！

　　几个关键概念：

　　1、风险：未来可能发生的导致项目不好的结果的事件；不好的结果本身。

　　2、风险和问题的区别：风险是尚未发生的问题；问题是业已成真的风险。

　　3、风险转化：风险的具现。

　　4、转化指标：判断风险已经转化或正在转化的依据

　　5、风险缓解：必须在风险转化之前采取的措施。

　　风险管理的行为构成：

　　1、风险发现：头脑风暴，筛选，保持持续风险的发现的机制。

　　2、暴露分析：发生的可能性和潜在的危害的量化分析。

　　3、应急计划。

　　4、风险缓解。

　　5、持续的风险转化监控。

　　没有进行风险管理的反面教材：

　　1988年丹佛国际机场的DIA行包自动处理系统（ABHS）；

　　由于没有进行风险管理，处在关键活动链上的ABHS没有按时交付，机场比计划投入时间延期两年多，造成大于3300万美元*24的费用损失。

　　风险管理的理由：

　　1、使积极的风险承担成为可能（将延期甚至失败的可能性隐藏起来不是一种善意的行为）；

　　2、使风险合法化；

　　3、使项目朝着成功的方向发展；

　　4、为不确定性划清边界，实施风险管理本身就要求对各项风险就可能性和一旦发生造成的损失进行量化，即将不确定性进行了量化；

　　5、为项目提供成本最低的保护；

　　6、防止责任的推诿，实施风险管理本身就要求界定各项风险的责任归属；

　　当风险转化后可以亡羊补牢，风险具现之后才取应急计划，将损失降到最低。

　　在众多企业中没有做风险管理，本书给出了一般的不进行风险管理的借口：

　　1.客户或上级还没有成熟到坦然接受风险的地步；（实际不然，客户可能已经很成熟，另外，也取决于我们的沟通技巧）

　　2.不确定性的范围太大，让人无法接受；（面对现实，行业的经验告诉我们会很大）

　　3.不确定性的范围让低效成为借口；（目标和估算的区别：估算是考虑了各种不确定性的一中计算结果，而目标则是我们要努力创造条件去达成的，一般要求优于估算值）

　　4.成功项目管理是更好的管理方法；（风险管理不可替代）

　　5.缺少有效的数据参考；（大同小异，历史的数据或行业的经验可以参考）

　　6.孤立的风险管理是危险的——我不想成为实施风险管理的唯一者（允许延期但不允许说不；可以犯错，但不允许不确定——文化缺失）

　　几类无须管理的风险：

　　1.具现的可能性极小，可以忽略；

　　2.如果风险具现，一切都不再有意义；

　　3.如果风险具现，什么都不能做，没有任何可能的应对方法；

　　4.风险具现后的危害微不足道 ；

　　5.别人的风险 。

　　量化不确定

　　顾问的一段话：听着，这个项目根本不可能在明年1月前完成，它的可能性为零，最有可能的时间是明年4月，但也不能打保票，你最高不要承诺在明年5月1日前的任何时间交付，你最好承诺在五月以后某个时间交付，这样你成功的概率在50%以上。最保守的是承诺明年12月前交付，那是一个不可能失败的日期！

　　软件产业的整体经验：不确定性的范围与N点前的时间之比介于1.5到2.0之间

　　最后期限的病态：将N点作为最后期限

　　风险图：

　　对一项风险的四种处理方式：

　　远离：不做有风险的项目或有风险的部分

　　包容：给出风险储备

　　缓解：事前采取措施

　　逃避：碰勇气