信息系统——风险管理

• 风险：不确定的时间；当已发生的风险可认为是个问题
• 风险识别分类：已识别并知道影响风险（估算成本）；已识别并不清楚影响风险（应急储备）；未识别并不清楚影响风险（管理储备）
• 风险分类：
  • 纯粹风险：无机会
  • 投机风险：机会和风险并重
  • 自然风险：不可抗力
  • 人为风险：人活动造成
  • 局部风险：影响小
  • 总体风险：影响大
  • 残余风险：处理完后仍存在的风险
  • 次生风险：处理风险新产生的风险
• 规划风险管理：评估风险奠定一个共同认可的基础
  • 会议/分析：分析风险，分配管理职责，概率影响矩阵，步骤模板
  • 风险管理计划：方法论，角色/职责，预算，时间安排，风险类别，风险概率和影响的定义，概率影响矩阵，干系人承受力，报告模式等
  • 风险分解结构：RBS
  • 概率影响矩阵：唯一有色图
• 识别风险：反复进行的过程，项目干系人都可提出
  • 收集方式：头脑风暴（不可批评）；德尔菲；访谈；根本原因分析
  • 图解：因果、流程、影响
  • 分析：核对表（历史项目）；假设分析；SWOT分析（优势、劣势、机会和威胁）
  • 输出：风险登记册
• 实施定性风险分析：：评估已识别风险的优先级；此过程不可跳过；通过主观评价风险的概率和后果，并排序风险
  • 工具：概率影响矩阵、风险数据质量评估、风险分类、风险紧迫性评估、专家
  • 风险登记册更新：优先级、分类、关注点、应对风险清单、观察清单、分析趋势
• 实施定量风险分析：潜在影响大的风险量化评级
  • 收集：访谈、概率分布
  • 分析：预期货币价值分析（EMV方式，概率*期望值并汇总），敏感性分析（龙卷风图），模拟（蒙特卡洛），路径汇聚（概率相乘）
• 规划风险应对：
  • 确认风险责任人，并获得应对措施资源
  • 威胁应对：
    • 回避：完全消除威胁，适用于概率高影响大的风险
    • 转移：风险由第三方承担，适用于概率低影响大
    • 减轻：通过原型法、临界值等降低风险概率或影响，适用于概率高影响低
    • 接受：不处理，适用于概率低影响低，但需要定期检查
  • 机会应对：
    • 开拓：确保可发生
    • 分享：与第三方共赢
    • 提高：增加概率或影响面
  • 应急应对策略：有预警信号，想可识别，有明显征兆
• 控制风险：识别新风险，删除老风险
  • 应急计划：制定的应对计划
  • 弹回计划：应对策略无效，备用应对计划
  • 权变措施：未经识别和分析的风险