“了然！那‘風險允差’又是什麼？”
“‘允差’是允許偏差的意思，也就是最高不能超過多少，最低不能低於多少。通俗地講，‘風險允差’就是幹係人對風險的耐受程度。既然不同幹係人的風險承受力不同，他們的風險允差也就不一樣嘍！”
“《項目風險管理計劃》裏為什麼要包含‘風險類別’呢？”
“提前給出風險類別，有助於幹係人更有效地執行後續的風險規劃行動。換句話說，風險分類可以幫助他們在識別風險的時候有個依據。”
“那該怎麼對風險進行分類呢？”朱笑笑忽閃著大眼睛問。
“這可沒有一定之規。我給你找點資料看看哈！”張馳施展出他的看家本領，片刻之間就從網上搜出了許多和風險分類相關的文章。
“這也太複雜啦！”朱笑笑沒看幾眼，就感到頭暈眼花了。
張馳笑了笑：“資料雖多，但也隻是個參照。其實，風險可以從許多角度分類，我聽說的最有趣的一種分類方式是已知風險、已知-未知風險和未知-未知風險。”
朱笑笑的嘴張得老大：“風險不是不確定的嘛，怎麼可能已知呢？”
“這要從風險三大因素說起。每個風險都包含這三大因素：事件（它是什麼）、概率（它發生的可能性有多大）以及影響（一旦發生，它將為項目帶來多大程度的變化）。概率和影響的乘積稱為‘風險期望值’，是對風險進行排序的依據。而所謂的已知風險，就是三大因素都可預知的風險。比如死亡，對於每個人而言，其概率都是百分之百，影響也可估算，這就屬於已知風險。”
“三大因素都知道了，還能叫風險嗎？”
“叫啊，因為我們不能確知死亡發生的時間和方式啊！”
“原來如此！那什麼是已知-未知風險呢？”
“就是可以預知事件，但不能預知概率和影響的風險。比如，疾病對我們的健康而言是種威脅，不同疾病的特點不同，我們的管理策略也不一樣。像感冒這樣的高概率低影響風險，我們更多的是采用加強鍛煉，及時增減衣服等方式應對；而像癌症這樣低概率高影響的風險，我們最好采用改變不良嗜好，定期體檢等方式進行管理。”
“這麼說來，那未知-未知風險就是什麼都不可預知唄？”
張馳誇張地拍拍朱笑笑的頭：“對啦！用通俗的話來說，未知-未知風險其實就是做夢都想不到的事。比如，9·11事件發生之前，包括在世貿中心上班的員工在內，全世界的絕大多數人都未曾也無法想象，居然會有人瘋狂到劫持客機撞高層建築。事件發生之後，各個國家均吸取了相關經驗教訓，製訂了相應的預案——這也算是該風險事件帶來的一點機會吧！”
朱笑笑得意地搖晃著腦袋，一回頭又看到了桌上的《項目風險管理計劃》，指著“對風險概率和影響的定義及概率-影響矩陣”那條問：“這又是什麼？”
“概率-影響矩陣，是對風險進行定性評估的主要工具。它通過對風險的概率和影響分別賦權，計算出風險期望值，並據此對風險進行排序。比如，”他把培訓資料往後翻了幾頁，指著一張表（表11-1）說，“你看，這個矩陣的兩個維度分別是概率和影響，中間就是二者相乘得到的期望值。所有大於等於0.18的區域被標為黑色，意味著這些都是高風險，大於等於0.06，小於0.18之間的灰色區域代表中等風險，而小於0.06的白色區域就是低風險。”
表11-1 概率-影響矩陣
威 脅 機 會
影響（I）
概率（P） 0.05 0.10 0.20 0.40 0.80 0.80 0.40 0.20 0.10 0.05
0.9 0.045 0.09 0.18 0.36 0.72 0.72 0.36 0.18 0.09 0.045
0.7 0.035 0.07 0.14 0.28 0.56 0.56 0.28 0.14 0.07 0.035
0.5 0.025 0.05 0.10 0.20 0.40 0.40 0.20 0.10 0.05 0.025
0.3 0.015 0.03 0.06 0.12 0.24 0.24 0.12 0.06 0.03 0.015
0.1 0.005 0.01 0.02 0.04 0.08 0.08 0.04 0.02 0.01 0.005
“概率好說，可影響這個維度的權值是怎麼來的呢？”
“好問題！在使用概率-影響矩陣時，必須先對如何賦權進行統一規定，才能避免偏見。這個規定就叫作‘對風險概率和影響的定義’。你看這個表（表11-2）。”
“也就是說，如果某風險事件發生了之後，項目成本沒什麼明顯變化的話，其影響權值就是0.05；如果這個風險會引起成本5%～10%的增加，則它的影響權值為0.2，對吧？”
張馳做拜服狀，無聲地肯定了朱笑笑的聰明。
表11-2 對風險概率和影響的定義
影響權值 非常低（0.05） 低
（0.1） 中
（0.2） 高
（0.4） 非常高
（0.8）
成本 不明顯的成本增加 成本增加小於5% 成本增加介於5%～10% 成本增加介於10%～20% 成本增加大於20%
進度 不明顯的進度拖延 進度拖延小於5% 整體進度拖延5%～10% 整體進度拖延10%～20% 整體進度拖延大於20%
範圍 範圍縮減幾乎察覺不到 範圍的次要部分受到影響 範圍的主要部分受到影響 範圍的縮減不被接受 項目最終產品實際上沒有
質量 質量等級降低幾乎察覺不到 隻有某些非常苛求工作受到影響 質量的降低需要得到批準 質量降低不被接受 項目最終產品實際上不能使用
漫畫：走鋼絲
02 風險識別與評估——向唐太宗借三麵鏡子
“糊兒啊，說了半天，咱還沒好好討論討論怎麼管理你的年會項目的風險呢！”
一提起這個，朱笑笑忍不住抱怨起來：“其實人家挺專業的，就是碰到了像安為善這樣死愛麵子，又好較真兒的人了。二三十人一天的培訓就這樣兒，我幾百號人兩天的年會，不定得出什麼岔子呢！”
張馳見不得朱笑笑愁眉苦臉的樣子，趕緊寬慰道：“雖然說項目一定會碰到風險，但咱可以控製風險哪！”
“怎麼控製呢？”
“咱可以在《項目風險管理計劃》的指導下，事先就把風險盡可能地識別出來，然後各個擊破！”張馳做了個舉槍瞄準的動作。
“那又該怎麼識別風險呢？”
“咱向唐太宗借他的三麵鏡子呀！”
“哦？”見朱笑笑一臉茫然，張馳正襟危坐，模仿評書大師單田芳的嗓音娓娓道來，“唐太宗李世民器重魏徵的正直，任命他做了諫議大夫（負責向朝廷提意見的官員）。魏徵在貞觀年間先後上疏二百餘條，強調‘兼聽則明，偏信則暗’，對唐太宗開創千古稱頌的貞觀之治起到了非常重要的作用。魏徵病逝的時候，唐太宗親自去吊唁，一邊痛哭一邊說：‘夫以銅為鏡，可以正衣冠；以古為鏡，可以知興替；以人為鏡，可以明得失。我常保此三鏡，以防己過。今魏徵殂逝，遂亡一鏡矣！’”
“想起來了想起來了，我們上學時學過！”朱笑笑搶著說。
“那你翻譯一下試試？”
朱笑笑清了清嗓子：“以銅為鏡子，可以修正服飾；以曆史為鏡子，可以知道國家興亡（的原因）；以人為鏡子，可以了解（自己）做事的對錯。我一直保存這三麵鏡子，來防止自己犯錯。現在魏徵去世了，一麵鏡子就沒了！”見張馳拍手，她又問道，“可這和識別風險有什麼關係呢？”
“‘風險識別’本身就是由幹係人共同對相關信息進行收集和分析的過程，並且主要的信息來源就是過去的經驗教訓和當前項目的文檔資料，如風險類別、風險檢查單、風險分解結構……”
“風險分解結構又是一種什麼東西？”
“這是Risk Breakdown Structure的中文譯名，簡稱RBS。它是幫助項目管理團隊分析項目風險事件的一種工具，就像工作分解結構一樣，是通過對項目風險進行逐層分解而得到的。”
“哦。應該由誰來識別風險呢？”
“要想係統地確定會有哪些不確定事件將對項目產生影響，就應鼓勵全體項目團隊成員，甚至邀請幹係人參與風險識別工作，而這，也能創造並維持團隊成員對風險及其應對措施的主人翁感和責任感。”
“那該怎麼識別風險呢？”
“除了查看相關信息外，基本上隻有專題討論這一種方式。會上可以使用多種工具，如頭腦風暴法、假設分析法、因果分析圖、思維導圖等。”
“那該在什麼時候識別風險呢？”
“由於風險會變化，所以越早開展這項活動越好。此外，風險識別是個反複進行的過程，反複的頻率以及每一輪的參與者因具體情況而異。每反複一次，就要更新一次風險清單。為了確保可以把項目中的每個風險事件與其他事件進行比較，應該注意采用統一的格式對風險進行明確、清晰的描述。比如，除了事件外，應明確記錄每個風險的誘因和臨界值。”
“什麼是誘因？”
“風險誘因，又稱‘觸發因素’，是表明風險已經或即將發生的跡象，用通俗的話說，就是警鈴。它本身並不是風險，而是引發風險的某件事或某種情況。”
“臨界值又是什麼意思呢？”
“這個術語的英文是Threshold，也譯為‘閾值’，是指對成本、時間、質量、技術或資源價值等的限定參數，或經一致同意的、可允許的偏差區間，即事物由量變到質變的拐點。”
“這和風險管理有什麼關係呢？”
“在實際管理風險的時候，需要先分析臨界值，並據此設置觸發因素，然後再通過監控相應的觸發因素，以判斷風險是否即將或已經發生，從而啟動相應的應急預案。比如，冬天取暖時需要燒鍋爐，當鍋爐內部的溫度和壓力超過一定限度時就會爆炸，這對我們而言是威脅，因而，我們需要采取一些措施，使爆炸情況不發生。首先，我們需要設置警鈴。根據操作手冊可知，鍋爐內部溫度達到1000℃時將爆炸，則我們需要保證不要超過這個限度。能不能派專人24小時地觀測溫度表呢？這很不經濟，因而，我們需要設立若幹級別的預警機製：當鍋爐內部溫度達到700℃的時候，有紅燈閃爍——但不一定有人看見；到800℃時，要響警鈴——因為聲音傳播的距離更遠，但也不一定有人聽見；到了850℃時，自動泄壓——但不一定來得及；到了900℃時，自動向消防局報警。可見，我們需要通過設置若幹級別的臨界值，啟動相應的觸發因素，從而持續有效地預報和管理風險。整個過程如下圖（圖11-1）所示。”
圖11-1 風險的觸發過程
“費這麼大勁兒，列個風險清單就行了？”朱笑笑又開始表現出她最大的弱點之一——容易倦怠。
張馳在第一時間捕捉到這個微妙的變化，忙不迭把她往回拉：“哪有這麼簡單！咱這不剛剛說到識別風險嘛，之後還得定性、定量評估，並且針對具體的風險事件製訂……”
“風險應對計劃，對吧？”朱笑笑搶著說了出來。
“回答正確，加十分！”見把朱笑笑逗樂了，張馳接著說，“風險評估包括定性和定量兩種形式。定性評估是在主觀上對概率和影響進行賦權，而定量評估則是用具體的數值進行計算。在實踐中，這兩種評估也可以同時進行。”
“風險評估也和風險識別一樣，要貫穿項目始終嗎？”
“是的！反複評估風險，才能了解風險的發展趨勢，提示增減風險管理措施的必要性。需要注意的是，為保證可信度，還需要評估與風險相關的信息質量，保證它們是準確的。”
“會有哪些不準確的信息呢？”
“主要是一些偏見，如項目幹係人的態度、專家的偏見等。此外，風險事件在時間方麵的緊迫性，也可能會從心理上放大其重要性。”