几个关键的概念：

　　风险暴露=损失*可能性

　　致命风险：项目的假定，本身不能量化，由上级或组织来管理

　　风险储备：提前预留出的用于包容风险的缓冲时间或金钱。

　　缓解成本：

　　转化指标：判断风险正在转化或已经具现的依据。很难确定。（每个皮球后面肯定跟着一个小孩）

　　转化监控：

　　如何进行风险管理的9个步骤：

　　1、通过风险的发现过程的得到初始的风险清单（昨天的问题，头脑风暴）；

　　2、确认核心风险已经在清单中；

　　3、初始每个风险的基本属性；

　　4、辨别核心风险，并将之作为项目的假定，进行风险的移交仪式；

　　5、假定没有任何风险具现，估算日程，得到N点；

　　6、结合业界经验和企业历史数据，给出风险图；

　　7、按照风险图的描述承诺，估算不确定性；

　　8、监控所有的风险，一旦风险具现，采取应急措施；

　　9、进行持续的风险发现；

　　一个好的风险管理工具：riskology

　　软件项目的核心风险：

　　a、进度安排的先天错误（本质：低估了难度或规模。经验：

       1、较小的项目延期在1.3到2.0之间比较普遍；

　　2、大的项目由于很重视规模的度量，所以好些；

　　3、经过了认真的规模度量，延期可以控制在15%以下）

　　b、需求膨胀或频繁变更

　　c、人员流失

　　d、规约崩溃-颠覆性的

　　e、低生产率

　　风险管理的成功关键：

　　1、列出所有可能的风险；

　　2、不间断监控风险转化指标，不放过蛛丝马迹；

　　3、持续进行风险发现；

　　4、收集项目数据，将数据装入风险仓库

　　5、每天跟踪完成度度量（EVR）

　　增量交付的好处：

　　1、能够证实或反驳项目计划中的假设；

　　2、迫使在制定计划时为各部分功能进行优先级排序；

　　3、使尚未完成的产品或项目具有最大价值；

　　4、更好的反映真实的开发效率；

　　5、减轻项目取消时的痛苦；

　　6、更易于运用EVR；

　　7、更好的激发团队士气；

　　8、更有利于客户的参与，减少需求风险；

　　9、突出了项目的重点。

　　我个人觉得，我们对一个项目价值的认识比对风险的认识更为糟糕。其实对风险的量化本身就很难，对价值的量化就更难了。似乎量化价值只是客户的事情，正如书中所说的，我们一般忽视对价值的量化的理由是：

　　系统的规模太小，不知道这么做； 我们没有选择，我们只是必须完成它；上面的主管要这个系统；能有多少收益这取决于市场，特别是市场届时的发展情况有关；这个系统只是要替代现有的系统；命令是上面下的，我们只管做；收益的不确定性太大，我们不能确定；客户说了，“相信我，这个项目值得做”；收益的数据反正也是不可靠的。

　　读了书之后，我深刻的认识到项目的风险一定要与其价值相匹配！对价值的量化和对风险的量化同样重视，且应该采取同样的精度来表达！说不清楚价值，单纯的风险没有意思，因为我们不知道这样的风险值不值得冒，因为风险取决于价值！风险与价值相对应，预期价值和预期成本相对应！

　　1、通过风险发现过程调查得到项目面临的所有风险；

　　2、确认风险清单里已经包含核心风险；

　　3、初始化每项风险的属性；

　　4、指出致命风险并进行风险交接，作为项目假设；

　　5、假设没有任何风险具现，进行一次日程估算；

　　6、用风险图来描述风险，并量化其不确定性；

　　7、创建一个完整的WBS，并估算其工作量；

　　8、在项目初期，要求项目参与各方确定项目的净输入/输出；

　　9、尽可能按照增量式交付，并制定增量交付计划（对所有任务进行排序，确定每个版本包含的功能和各版本的VAT，并为每个VAT分配EVR）；

　　10、从项目开始到结束，持续密切监控风险转化指标。一旦具现，立即执行应急措施；

　　11、从项目开始到结束，持续进行风险发现。

　　我们真的进行风险管理了吗？

　　1、有一个风险清单；

　　2、有一个持续的风险发现机制；

　　3、不确定性图随处可见；

　　4、项目既有目标值又有估算值，两者从不相同；

　　5、每个风险都有明确的转化指标；

　　6、有一个不间断监控风险转化指标的机制；

　　7、每项风险都有应急计划和缓解计划；

　　8、每项风险的暴露值都得到了计算；

　　9、项目的价值提前得到了度量，并承诺；

　　10、在项目结束后度量实际价值；

　　11、尽可能实施了增量交付计划。

　　12.满足其中的六条，则表示我们风险管理实施比较好，如果一条都不满足，那可以肯定，我们还没有实施风险管理。