风险管理
修订历史记录
A - 增加M - 修订D - 删除
目录
1. 目的 (4)
2. 适用范围 (4)
3. 名词术语 (4)
4. 概述 (4)
5. 过程定义 (4)
5.1 风险管理过程 (7)
5.1.1 角色和职责 (8)
5.1.2 入口准则 (8)
5.1.3 输入 (9)
5.1.4 过程活动 (9)
5.1.5 输出 (11)
5.1.6 出口准则 (11)
5.1.7 度量 (11)
5.1.8 确认与验证 (12)
6. 规程 (12)
7. 标准与规范 (12)
8. 裁剪指南 (12)
9. 模板与表格 (12)
10. 实施指导 (12)
1.目的
1.1 规范公司风险管理过程。
1.2 提供项目经理进行风险管理过程的说明和行动指南。
2.适用范围
2.1 机构
研发中心。
2.2 业务
项目实施过程中的风险管理，贯穿整个项目生命周期。
3.名词术语
3.1 RSKM( Risk Management):风险管理。
3.2 项目干系人（Stakeholder）：在一定程度上，对项目的实施和成果负责，或受其影响的群组或个人。项目干系人可能包括项目团队成员、提供商、客户、最终用户等。
4.概述
风险管理是贯穿项目整个生命周期的一系列持续性活动，分别为风险识别、风险分析、风险减缓、风险跟踪、风险控制以及风险状态通报。
项目风险控制小组有必要在项目组例会或其它场合，与项目组骨干或项目组全体成员一起对项目风险管理进行交流，收集项目组成员对项目风险的意见和建议。对于不便公开的风险，项目经理需要控制项目组内部了解的范围。对各个项目形成的风险统计数据一并贡献到组织级资产库。
5.过程定义
5.1 组织级风险管理过程
考虑到项目级风险管理的有效性，组织层面需要建立相应的活动来提供项目风险管理一定的指导，活动频率定义为不低于1季度1次。具体活动如下所示：
5.1.1角色和职责
5.1.2 入口准则
➢组织级风险管理是一个循环的过程，可以在每半年或每季度的开始执行相应的过程活动；
➢如果有必要及时更新体系文件或相应指南，也可以随时启动组织级风险管理过程；
5.1.3 输入
➢组织资产库
➢风险来源及分类指南
➢公司质量目标或年度发展纲要等
5.1.4 过程活动
组织级风险管理是周期性活动，一般情况下，每季度或半年至少需进行一次完整的组织级风险管理活动；对于年内公司有重大的活动安排或商业目标转变等（如公司上市安排，公司商业范围扩展或主营业务转变等），需要立即重新进行组织级风险管理活动。
1）建立、维护组织的风险来源及分类指南
EPG通过对行业内部及组织风险列表的分析和总结，更新组织的风险来源及分类指南文件。
需要特别说明的是，针对每年公司的商业目标或年度发展纲要等变化，需要识别出相应的特定风险。例如，年内公司要进行IPO上市计划，则需要提前识别在该年度内可能新增的相应风险，比如人力、财力在这项活动上的投入可能导致其他工作资源得不到很好的保证等等。
2）建立、维护组织的风险参数定义指南
EPG建立、维护组织的风险参数列表，对于风险发生的危害等级及可能性定量描述需根据组织的相关质量目标变化而变化，例如针对组织目前定义的进度偏差小于15%属于正常范围，我们初步定义风险对于项目进度偏差的影响在30%以上的属高度危险，但该数值需随未来各项质量目标变化而变化。
3）建立、维护组织的风险缓解策略制定指南
略。
4）建立、维护组织的风险缓解措施
EPG建立、维护组织可能发生的风险的参考性缓解措施，这里给出的所有缓解措施必须具备以下几个条件之一：
1.从以往实施过的项目风险有效缓解措施中收集得到；
2.具有可操作性；
3.可以属于公司的项目风险管理最佳实践活动；
4.属于行业内或合伙公司收集到的最佳风险管理缓解措施案例等；
5.得到所有EPG的共同认可并允许放入组织风险缓解措施列表中；
5）收集项目有效风险至组织风险列表
项目在执行过程中、项目结项、项目异常终结等多个时间点均可向组织提交共性风险。需要说明的是，
共性风险是对其他项目经理具有参考价值的风险类别，例如，A项目的某部分产品组件为外包开发，因此该组件开发好后与整体系统的接口是否能够适配成为该项目的一个风险，但应该识别出的共性风险为，项目中如果有相应的外包工作，相应工作产品的接口适配问题。
6）必要的质量保证活动
组织级QA检查EPG团队维护的组织风险相关内容并收集相关过程改进建议。
5.1.5 输出
➢更新的风险管理体系文件
➢更新的组织风险库
➢更新的其他组织资产库内容
5.1.6 出口准则
➢完成本轮组织级风险管理活动-所有共性风险已收集，更新了相关组织级风险管理指南文件，所有工作产品已得到评审并重新发布（对于可能造成重大影响的文件升级可临时发布，待整个
体系文件下次过程改进后再纳入到新的OSSP版本）。
5.1.7 度量
组织级QA（度量人员）对以下数据进行度量：
➢EPG成员风险管理相关工作量度量
➢风险按类别进行分类数量统计
➢组织风险的缓解措施执行有效性
5.1.8 确认与验证
1、更新后的过程体系文件需要进行正规的技术评审才能发布；
2、相应的组织风险指南更新活动需要进行EPG内部评审和技术评审后才能完成；
3、组织风险库的更新需要填写相应入库单，得到EPG成员过半通过后才能更新；
4、PMO负责人负责检查相应的过程活动执行情况。
5.1 项目级风险管理过程
风险管理是贯穿项目整个生命周期的一系列持续性活动，包括制定风险管理计划、识别风险、应对风险、监控风险。
