软件项目风险评估方法的研究

北京工业大学

硕士学位论文

软件项目风险评估方法的研究

姓名：焦鹏

申请学位级别：硕士

专业：运筹学与控制论

指导教师：吕宏伯;张方

2003.5.1

摘要

本文从项目管理者角度出发，以项目风险管理理论为基础，结合软件开发项目的特点，对软件项目全生命周期的风险评估方法与应用进行了深入的研究。

论文以项目风险管理的工作程序为阐述的主线索，主要针对项目风险评估的过程，介绍了风险识别、风险估计、风险评价、风险管理技术的概念和常用方法与工具：综合了相关学科的知识，在风险评估过程的各个步骤中提出了新模型和新方法；结合具体案例介绍了风险评估方法的使用，并给出了风险评估方法在实际使用中的几种模式。

本文提出了以下新模型和新方法：

（１）综合项目管理知识领域的ＴＣＱＲ风险评估指标体系模型。该模型是风险因素和风险驱动因子的两层次模型，并结合实际情况引入了反映管理能力

的风险放大系数，较好的反映了软件项目的特点。

（２）建立了一般性项目风险驱动因子的标准集，并总结出ＴＢＱ调查问卷。ＴＢＱ调查问卷使得对风险驱动因子的识别和客观评价项目组的管理能力具有

了可操作性，也为ＴｃＱＲ模型的在实际工作中得以应用提供了保证。

（３）结合风险综合评价函数改进了二级模糊综合评价方法，引入了评价项目总体风险水平的项目综合风险系数。

（４）利用成功度评价风险管理的效果，并简要介绍了如何把风险评估方法运用于软件开发项目实践中的几种模式。

上述各种方法简单易懂、适于操作，便于在实际工作中得到应用和推广。通过本文的探索，旨在为项目管理者对软件开发项目的潜在风险的分析、处理、决策提供一套标准化、系统化、定量化和切实可行的方法体系，为进一步研究软件开发项目的风险管理打下基础。

关键词：风险；风险驱动因子；风险放大系数；模糊评价；蒙特卡罗模拟

Ａｂｓｔｒａｃｔ

Ｉｎｔｈｉｓｐａｐｅｒ，ａｔｈｏｒｏｕｇｈｒｅｓｅａｒｃｈｏｎｒｉｓｋｅｖａｌｕａｔｉｏｎｍｅｔｈｏｄｓａｎｄａｐｐｌｉｃａｔｉｏｎｓｏｆｐｒｏｊｅｃｔｌｉｆｅｃｙｃｌｅｍａｎａｇｅｍｅｎｔｆｏｒｓｏｆｔｗａｒｅｐｒｏｊｅｃｔｓｆｒｏｍｔｈｅＶｉｅｗｐｏｉｎｔｏｆｐｒｏｊｅｃｔ１ｅａｄｓｉｓｃａｒｒｉｅｄｏｕｔ，ｗｈｉｃｈｉｓｂａｓｅｄｏｎｐｒｏｊｅｃｔ

ｒｉｓｋｍａｎａｇｅｍｅｎｔｔｈｅｏｒｙａｎｄｃｏｍｂｉｎｉｎｇｗｉｔｈｆｅａｔｕｒｅｓａｂｏｕｔｓｏｆｔｗａｒｅｄｅｖｅｌｏｐｉｎｇ．

Ｔｈｅｍａｉｎｃｌｕｅｏｆｔｈｉｓｐａｐｅｒｉｓｐｒｏｃｅｄｕｒｅｏｆｒｉｓｋｍａｎａｇｅｍｅｎｔ．Ａｃｃｏｒｄｉｎｇ

ｃｏ岫ｏｎａｎｄｐｒａｃｔｉｃａｌｔｏｔｈｅｆｅａｔｕｒｅｓａｂｏｕｔｒｉｓｋｅｖａｌｕａｔｉｏｎｐｒｏｃｅｓｓ，

ｍｅｔｈｏｄｓａｎｄｔｏｏｌｓｆｏｒｒｉｓｋｉｄｅｎｔｉｆｉｃａｔｉｏｎ，ｍｅａｓｕｒｅｍｅｎｔ，ａｓｓｅｓｓｍｅｎｔａｎｄｔｅｃｈｎｉｑｕｅｓａｒｅｉｎｔｒｏｄｕｃｅｄ：Ｗｉｔｈｒｅｆｅｒｅｎｃｅｔｏｒｅｌａｔｉｖｅｋｎｏｗｌｅｄｇｅ，ｓｏｍｅｎｅｗｍｏｄｅｌｓａｎｄｎｅｗｍｅｔｈｏｄｓｗｉｔｈｉｎｅａｃｈｓｔｅｐｏｆｒｉｓｋｅｖａｌｕａｔｉｏｎｐｒｏｃｅｓｓａｒｅｒａｉｓｅｄ：Ｔｈｅｓｅｍｅｔｈｏｄｓａｎｄｍｏｄｅｌｓａｒｅｉｌｌｕｓｔｒａｔｅｄｗｉｔｈｒｅａｌｐｒｏｊｅｃｔｃａｓｅｓ．Ｔｈｅｎｅｗｍｅｔｈｏｄｓａｎｄｍｏｄｅｌｓｇｉｖｅｎｏｕｔｉｎｔｈｉｓｐａｐｅｒａｒｅａｓｆｏｌｌｏｗｓ：（１）ＴｃＱＲ，ｔｈｅｑｕａｎｔｉｆｉｃ８ｔｉｏｎｓｔａｎｄａｒｄｓｅｔｏｆｒｉｓｋｅｖａｌｕａｔｉｏｎｂａｓｅｄ

ｆｒ鲫ｅｗｏｒｋｉｓａｔｗｏ—ｔｉｅｒｍｏｄｅｌａｂｏｕｔｒｉｓｋｆａｃｔｏｒｓａｎｄｏｎＰＭＢＯＫ．Ｔｈｅ

ｒｉｓｋ—ｄｒｉｖｅｎｆａｃｔｏｒｓ．ＩｎＴＣＱＲ，ａｒｉｓｋ—ａｍｐｌｉｆｉｅｄｍｏｄｕｌｕｓｔｈａｔｒｅｆｌｅｃｔｓｔｈｅｃａｐａｃｉｔｙｏｆｍａｎａｇｅｍｅｎｔｉｓｉｎｖｏｌｖｅｄｉｎ．ＳｏＴＣＱＲｃａｎｒｅｆｌｅｃｔｔｈｅｆｅａｔｕｒｅｓｏｆｓｏｆｔｗａｒｅｐｒｏｊｅｃｔｂｅｔｔｅｒ．

（２）ＴＢＱｔ００１ａｎｄｓｔａｎｄａｒｄｓｅｔｏｆｑｕａｎｔｉｆｉｃａｔｉｏｎ．ＴｈｅＴＢＱｑｕｅｓｔｉｏｎｎａｉｒｅｍａｋｅｓｒｉｓｋｉｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄａｓｓｅｓｓｍｅｎｔｏｆｃｏｍｐｅｔｅｎｃｅｏｆｏｒｇａｎｉｚａｔｉｏｎｍｏｒｅｅａｓｉｅｒ，ａｎｄｇｕａｒａｎｔｅｅｓｔｈｅｆｅａｓｉｂｉｌｉｔｙｏｆＴＣＱＲｍｏｄｅｌ．（３）Ｉｍｐｒｏｖｅｄｔｗｏ—ｔｉｅｒｆｕｚｚｙｅｖａｌｕａｔｉｏｎｍｅｔｈｏｄｗｉｔｈｔｈｅｆｕｎｃｔｉｏｎｏｆｒｉｓｋｉｎｔｅｇｒａｔｉｏｎｅｖａｌｕａｔｉｏｎ，ａｎｄｉｎｖｏｌＶｅｄｐｒｏｊｅｃｔｒｉｓｋｍｏｄｕｌｕｓｔｈａｔｒｅｆｌｅｃｔｓｔｈｅｇｅｎｅｒａｌｒｉｓｋｌｅｖｅｌｏｆｐｒｏｊｅｃｔ．

（４）Ｕｓｉｎｇｓｕｃｃｅｓｓｄｅｇｒｅｅｔｏｅｖａｌｕａｔｅｔｈｅｅｆｆｅｃｔｏｆｒｉｓｋｍａｎａｇｅｍｅｎｔ，

ａｎｄｉｎｔｒｏｄｕｃｅｓｏｍｅｍａｎｎｅｒｓｗｈｉｃｈｒｉｓｋｅｖａｌｕａｔｉｏｎｍｅｔｈｏｄｓｃａｎｂｅｕｓｅｄｉｎｓｏｆｔｗａｒｅｄｅｖｅｌｏｐｉｎｇ．

Ｔｈｅｍｅｔｈｏｄｓｇｉｖｅｎａｂｏｖｅａｒｅａｓｅａｓｙａｓｐｏｓｓｉｂｌｅｆｏｒｕｓｉｎｇａｎｄ

．Ⅱ．

ｐｏｐｕｌａｒｉｚｉｎｇｉｎｐｒａｃｔｉｃｅ．Ｔｈｉｓｐａｐｅｒａｉｍｓａｔｓｕｐｐｌｙｉｎｇａｓｔａｎｄａｒｄ，ｓｙｓｔｅｆｌｌｉｃａｎｄｍｅａｓｕｒａｂｌｅｍｅｔｈｏｄｓｙｓｔｅｍｏｎｒｉｓｋａｎａｌｙｓｉｓ，ｈａｎｄｌｉｎｇａｎｄｄｅｃｉｓｉｏｎ—ｍａｋｉｎｇｆｏｒｐｒｏｊｅｃｔ１ｅａｄｅｒｓ，ａｎｄｉｔａｌｓｏａｉｍｓａｔｐｒｏｖｉｄｉｎｇａｂａｓｉｃｗｏｒｋｆｏｒｆａｒｔｈｅｒｒｅｓｅａｒｃｈｉｎｓｏｆｔｗａｒｅｐｒｏｊｅｃｔｒｉｓｋｍａｎａｇｅｍｅｎｔｆｉｅｌｄｓ．

Ｋｅｙｗｏｒｄｓ：Ｒｉｓｋ：Ｒｉｓｋ—ＤｒｉｖｅｎＦａｃｔｏｒ：Ｒｉｓｋ—ＡｍｐｌｉｆｉｅｄＭｏｄｕｌｕｓ

ＦｕｚｚｙＥｖａＩｕａｔｉｏｎ：ＭｏｎｔｅＣａｒＩｏ

．Ⅲ－

第１章绪论

第１章绪论

１．１项目风险管理的现状

１．１．１项目管理与风险管理

经过上个世纪的发展，项目及项目管理已经不再是简单的实践活动，而发展成为一个知识体系，上升到学科、专业体系和职业的高度，其应用也从工程施工业迅速扩展到软件行业，项目的类型也渐渐增多，“一切皆项目”观念己逐渐为许多人所接受。项目管理作为一种有组织的活动，在国际上有突出影响的是１９６５年创建的国际项目管理协会（ＩｎｔｅｒｎａｔｉｏｎａｌＰｒｏｊｅｃｔＭａｎａｇｅｍｅｎｔＡｓｓｏｃｉａｔｉｏｎ，ＩＰ姒）和１９６９年创建的美国项目管理协会（Ｐｒｏｊｅｃｔ№ｎ８９ｅｍｅｎｔＩｎｓｔｉｔｕｔｅ，ＰＭＩ）。ＰＭＩ在１９８７年首次提出了项目管理知识体系（ＰｒｏｊｅｃｔＭａｎａｇｅｍｅｎｔＢｏｄｙｏｆＫｎｏｗｌｅｄｇｅ，ＰＭＢＯＫ），并在１９９６年和２０００年进行了两次修订。ＩＰＭＡ自１９８７年也开始进行相关的工作，并于１９９９年提出了“项目管理人的能力基准”ＩｃＢ，即ＩＰ姒ＣｏｍｐｅｔｅｎｃｅＢａｓｅｌｉｎｅ。基于上述两大知识体系并结合我国国情，“中国项目管理知识体系”（ｃｈｉｎｅｓｅ—ＰＭＢＯＫ）研究工作始于１９９３年，且于２００１年７月正式推出项目管理知识体系文件Ｃ—Ｐ她ＯＫ。有关Ｐ船０Ｋ知识领域的具体内容还会在第二章中具体介绍。

项目风险管理在两大项目管理体系中都是构成知识领域的重要组成部分，是近２０年才发展起来的一门综合性边缘科学，是处理由不确定性产生的各种问题的一整套方法。项目风险管理的核心是对风险评估方法和技术的研究，这也是本文的研究重点。

１．１．２风险管理的发展现状

人们在一切社会经济活动中，面临着各种各样的风险。从总体上看，风险是一种客观存在，是不可避免的，而且在一定条件下还带有某些规律性。因此，人们只能把风险缩减到最小的程度，而不可能将其完全消除。这就要求社会经济各

１

北京工业大学理学硕士学位论文

部门、各行业主动地认识风险，积极管理风险，有效地控制风险，把风险减至最低的程度，以保证社会生产和人民生活的正常进行。正是在这样的背景下，随着生产力和科学技术的不断发展，风险管理学作为系统的科学产生于本世纪初的西方工业化国家。

风险管理问题最先起源于第一次世界大战后的德国。１９３１年美国管理协会首先倡导风险管理，并在以后的若干年里，以学术会议及研究班等多种形式集中探讨和研究风险管理问题。风险管理问题逐渐得到了理论探讨和一些大企业的初步实践，但风险管理问题真正在美国工商企业中引起足够的重视并得到推广则始于５０年代。１９６３年，美国出版的《企业的风险管理》一文，引起欧美各国的普遍重视。此后，对风险管理的研究逐步趋向系统化，专门化，使风险管理成为企业管理中一门独立学科。

在西方发达国家，各企业中都相继建立风险管理机构，专门负责风险的分析和处理方面的工作。美国还成立了全美范围的风险研究所和美国保险与风险管理协会等专门研究工商企业风险管理的学术团体，拥有３５００多家大型工商企业为会员。

风险管理协会的建立和风险管理教育的普及，表明风险管理己渗透到社会的各个领域。美国的风险与保险管理协会（ＲＩＭＳ）和美国风险与保险协会（ＡＲＩＳ）是美国最重要的两个风险管理协会。１９７８年日本风险管理协会（ＪＲＭＳ）成立。英国建立有工商企业风险管理与保险协会（ＡＩＲＭＩｃ）。风险管理方面的课程及论著数量大增。７０年代中期，全美大多数大学工商管理学院普遍开设风险管理课。美国还设立了Ａ蹦（ＡｓｓｏｃｉａｔｅｉｎＲｉｓｋＭａｎａｇｅｍｅｎｔ）证书，授予通过风险管理资格考试者。协会的活动为风险管理在工商企业界的推广、风险管理教育的普及和人才培养诸方面做出了突出的贡献。

１９８３年在美国风险与保险管理协会年会上，云集纽约的各国专家学者，讨论并通过了“１０１条风险管理准则”，作为各国风险管理的一般原则。这标志着风险管理已达到一个新的水平。１９８６年１０月在新加坡召开的风险管理国际学术讨论会表明，风险管理运动已经走向全球，成为全球范围的国际性运动。

进入二十世纪九十年代后，随着计算机技术的飞速发展，软件产业获得了爆炸性的增长，与此同时软件项目所涉及的不确定因素日益增多，面临的风险也越来越多，风险所致损失规模也越来越大，这些都促使科研人员和实际管理人员从

２

第１章绪论

理论上和实践上重视对软件项目的风险管理。软件项目风险管理与工程项目风险管理相比起步较晚，相关的技术和标准还很不成熟，但是人们已极为重视对项目风险管理理论的研究。在实践中，现已涌现出不少新一代面向项目的企业——项目型公司，国外甚至还出现了专门从事风险管理工作的所谓风险管理公司。

软件项目迫切需要加强风险管理，这主要表现在以下两个方面：第一，风险管理方法的不断改进及其在许多典型项目中的成功应用吸引了许多项目组进行自身风险管理。一方面，风险管理以对风险的预测、识别、评估和科学分析为基础，为管理人员运用各种对策的最佳组合对风险进行全面、合理地处置提供了可能性，是现代管理风险的一种科学而直接的方法；另一方面，风险管理克服了那种传统的以某种单一手段处置风险的局限性，综合利用各种控制风险的措旖，并使处置风险的方法日益完善，这些都使得越来越多的项目组自觉地争相采用风险管理方法。第二，风险管理是各项目组的内在要求。由于软件技术的飞速发展和软件系统在社会生产各方面的广泛应用，从而使各种风险因素及风险发生的可能大大增加，并且扩大了风险事件造成的损失规模，这就对各项目组所负担的责任提出了更高的管理要求，使风险管理的各种手段倍受青睐。

我国的软件行业为了加紧步伐，非常重视吸取国外软件行业科学的管理理念与方法。软件项目风险管理在整合内外部资源、实施全过程监控、提供决策信息等方面，特别适合行业高动态、高风险的特点。但是纵观国内软件企业的项目风险管理的整体水平，还存在着很多不足和问题，主要表现在以下几个方面：第一，我国在项目风险管理的研究和实践方面起步较晚，虽然现在项目风险管理受到越来越多软件企业的重视，但是往往停留在概念层面，缺乏具体管理制度和方法的支持。

第二，国内软件企业主要依靠项目管理人员的个人经验，实行以定性分析为主的风险管理。因此，风险管理水平参差不齐，具有一定的随意性，实际效果往往不能得到正确评价和对待，也难以在较大范围内推广。

第三，由于在项目风险管理过程中缺乏定量分析方法的使用，因此有关项目资料和数据的搜集缺乏目的性，从而导致该领域的知识不能得到有效的积累，影响了管理水平的提高。

第四，现有的一些风险识别和分析方法一般只能解决某一方面的问题，对项目风险的管理形不成体系，缺乏系统性。

北京工业大学理学硕士学位论文

１．２风险的基本概念

１．２．１风险的定义

风险（Ｒｉｓｋ）的概念可以从工程学、经济学、保险学、管理学等角度进行定义，然而目前还没有一个为学术界普遍接受的定义。综合有关风险的各种学科的观点，本文采用以下定义：风险是指在特定的客观条件下，特定的时期内，某一事件的实际结果相对预期结果的不利变化。

这个定义包括了四层含义：

第～，风险是客观存在的，其大小可以度量。虽然有些风险事件不容易量化，对其的评价依赖风险承受者的主观感受，可能因人而异，但并不能否定风险的客观性和可度量性。

第二，在这里风险主要指不利的影响，而不考虑其中可能蕴涵的机会。

第三，风险伴随着人类的活动而存在，没有人类活动，就不会有预期结果，事件发生的任何后果都不能成为风险。

第四，风险的存在与其客观环境和时空条件有关，当客观条件与环境发生变化时，风险也可能发生变化。这种变化包括风险性质的变化、风险量的变化和在一定的时空条件下某些风险的产生与消除。

仿照风险的定义，可以把软件开发项目的风险定义为：软件项目在整个生命周期内，由于受各种环境的不确定性因素的影响，实际发生的成本、进度、质量等与预期结果的不利偏差。

对于项目来说，项目的一次性使其不确定性要比其它一些重复性的活动大许多，因而项目风险的可预测性也就差得多，而且一旦出现问题就没有机会进行补偿。软件项目的风险具有以下的几个特点：

第一，对于项目各组成部分之间的复杂关系，任何个人都不可能彻底地了解。

第二，项目各个组成部分之间不是简单的线性关系。

第三，项目时刻处于动态变化之中，平衡状态即使出现也只能是短暂的。

第四，项目管理者不仅要面对技术和经济问题，还要面临一些非常复杂、非线性和不确定性极高的问题。

为了进行风险识别和风险分析，本文还引入了风险因素和风险驱动因子的概

４

第１章绪论

念。风险因素是指一组项目的基本组成部分，这些基本组成部分的性质和功能以及彼此之间的联系和相互作用以及它们组成项目整体的方式能够决定项目整体的性质和功能。风险驱动因子是指能产生或增加损失概率和损失影响程度的潜在原因。图卜１表示了围绕风险的几个概念的关系。

风

风

包含险

增加或产生

风

引起产生

实际结果

这就是

险驱险——＋损—＋与预期结■风

因动事失果之间的险

素因件变动程度

子

１．２．２风险的属性

图１．１风险概念间的关系

１．风险的随机性

风险的发生及其后果都具有偶然性。风险是否发生，何时发生，发生之后会造成何种后果？对大量项目风险的研究结果表明大多数风险遵循一定的统计规律，风险具有随机性。

２．风险的相对性

风险总是相对项目活动主体而言的。同样的风险对于不同的主体有不同的影响。人们对于风险事件都有一定的承受能力，但是这种能力因活动、人和时间而异。本文基于风险的这个属性引入了管理能力的概念和风险放大系数对管理能力进行模拟。

３．风险的可变性

根据风险的定义，当客观条件与环境发生变化时（如在项目生命周期的不同阶段），风险也可能在性质、后果等方面发生变化。

１．２．３风险的分类

对风险的分类可以从不同的角度、根据不同的标准进行。这里按风险发生的可预测性把风险分为确定型风险、随机型风险和非确定型风险。

确定型风险指经过认真、严格地分析后就能够明确的那些风险；随机型风险

北京工业大学理学硕士学位论文

就是根据经验，可以预见其发生的可能性大小的风险；非确定型风险指即使最有经验的人也无法预见其发生可能性的那些风险。

本文研究的重点是对随机型风险的评估。这是因为在实际应用中，可以把非确定型风险尽量转化为随机型风险后再进行评估。而确定型风险因为发生概率高，因此可以假定出现的概率为ｌ，通过在项目初期对不同的项目方案进行计算和比较，选择出风险不利后果最小的方案来最大程度地避免确定型风险。

１．３广义的风险管理及程序

一般来说，软件工程师总是非常乐观。当他们在计划软件项目时，经常认为每件事情都会像计划那样运行，或者，又会走向另外一个极端。软件开发的创造性本质意味着我们不能完全预测会发生的事情，因此制定一个详细计划的关键点很难确定。当有预想不到的事情引起项目脱离正常轨道时，以上两种观点都会导致软件项目的失败。

目前，风险管理被认为是ＩＴ软件项目中减少失败的一种重要手段。当不能确定地预测将来事情的时候，可以采用结构化风险管理来发现计划中的缺陷，并且采取行动来减少潜在问题发生的可能性和影响。风险管理意味着危机还没有发生之前就对它进行处理。这就提高了项目成功的机会和减少了不可避免风险所产生的后果。

在广义上，项目风险管理（ＰｒｏｊｅｃｔＲｉｓｋ№ｎａｇｅｍｅｎｔ）是贯穿在项目开发过程中的一系列管理步骤，其中包括风险识别、风险估计、风险评价、风险管理策略、风险规避和风险监控。它能让风险管理者主动“攻击”风险，进行有效的风险管理。在狭义上，项目风险管理是在风险识别和分析后，针对风险做出的决策。风险管理在项目生命周期内表现为一种周而复始的过程，见图ｌ一２。

６

第１章绪论

是否存在风险

’。Ｊ否◆：风二：鼎

不予理会存在何种风、Ｉ，

险，性质如何

上

是否已经估计和评价

是。否上。嘲是否有必要控制ＩＩ发生概率和损失程度估计——．Ｌ

否士０是

不予理会是否能避免或消除

０是上否

避免或消除是否能减少风险

０是

否剩余风险是否有必

要进一步控制

１，０是０否整耋璺璧

冒：哩覆芹

是否存在巨额风险ｌ不予理会

上否

是

是否可自留

是上否士、ｒ

自留转移

０

效果是否最佳

曩枷：ｒ…

ｌ实施Ｉｌｌ放弃ｌ

图卜２风险管理沉程

在项目管理中，建立风险管理策略和在项目的生命周期中不断控制风险是非常重要的，风险管理包括四个相关阶段：

风险识别识别风险的方法常用的有调查问询法、流程图法（图表法）、现场观察法、风险检查表法等。

风险分析对已识别的风险要进行估计和评价，风险估计的主要任务是确定风险发生的概率与后果，风险评价则是对项目各风险因素和项目总体风险水平的

北京工业大学理学硕士学位论文

评价，常用的方法有：风险因子法、概率统计方法、模糊综合评价法等。

风险规避一般而言，风险规避有三种方法，①风险控制法，即主动采取措施避免风险，消灭风险，中和风险或采用紧急方案降低风险。②风险自留，当风险量不大时可以余留风险。③风险转移。

风险监控包括对风险发生的监督和对风险管理的监督，前者是对己识别的风险源进行监视和控制，后者是在项目实施过程中监督人们认真执行风险管理的组织和技术措施。

在软件项目管理中，应该任命一名风险管理者，该管理者的主要职责是在制订与评估规划时，从风险管理的角度对项目规划或计划进行审核并发表意见，不断寻找可能出现的任何意外情况，试着指出各个风险的管理策略及常用的管理方法，以随时处理出现的风险，风险管理者最好是由项目主管以外的人担任。

１．４本文所做的工作

１．４．１研究内容的约束与假设

１．针对软件开发项目的风险评估方法是本文研究的对象，并且主要面向项目合同签订后的实施阶段的风险评估，项目立项和投标阶段的风险评估不作为主要研究内容。

２．根据风险的分类，本文重点研究随机型风险的评估方法。

３．通过对多种数学算法和模型的综合，建立适合软件项目风险评估的数学模型，使得目前以定性分析为主的风险管理向定量分析发展成为可能。

４．本文对于风险评估方法的研究是要面向实践，立足于应用和推广，使得研究成果具有实际操作和使用的价值。

１．４．２本文内容安排

本文共分为五章，各章内容安排如下：

第一章绪论。本章从介绍软件项目风险管理的发展现状入手，阐述风险及风险管理研究中的～些基本概念，介绍风险管理的程序，然后以此程序为本文叙述的主线索，进行深入的研究、分析与探索。

第１章绪论

第二章风险识别。本章介绍了风险识别的概念和常用方法，同时针对软件项目的特点，提出了ＴＣＱＲ风险评估指标体系模型和ＴＢＱ方法。

第三章风险分析。本章针对风险估计和风险评价，建立了完整的软件项目风险评估的量化标准。同时在分析和综合了模糊综合评价方法、层次法、蒙特卡罗模拟等多种算法和模型的基础上，得到一个软件项目风险评估的方法，并通过一个实际案例对该方法的具体应用做出了说明。

第四章风险管理。本章详细介绍了风险评估后的风险管理过程，并给出了基于成功度评价的一种风险管理效果评价的方法。

第五章应用风险评估方法的三种模式。本章介绍了在实际应用中使用风险评估方法的三种模式，为该方法的推广应用提供了指南。

９

北京工业大学理学硕士学位论文

第２章风险识别

风险识别的目的是减少项目的结构不确定性。风险识别首先要弄清项目的组成、各项目组成部分的性质和相互关系、项目与环境之间的关系。风险识别是风险评估和风险管理的基础，只有全面、正确地识别软件项目所面临的风险，对风险的估计、评价和对风险管理技术的选择才有实际意义。

风险识别的方法有很多，本文将介绍几种常见的方法，并着重探讨了适用于软件项目的ＴＣＱＲ项目风险评估指标体系模型，同时引入了软件项目的四个基本风险因素和一般性风险驱动因子，以及影响风险评估的风险放大系数。

２．１风险识别的程序

风险识别的程序可分为三个步骤。第一步，搜集资料；第二步，确定项目风险因素；第三步，识别并描述项目风险驱动因子。下面就每个步骤进行说明：１．搜集资料

完整的搜集项目数据和资料是进行有效风险识别的基础，因此任何可能显示潜在问题的资料都可用于风险的识别，这些资料主要包括：

（１）生命周期成本分析；

（２）计划或工作分解结构；

（３）进度分析；

（４）文件记录的事件教训；

（５）项目的前提、假想分析和制约因素：

（６）技术绩效测评计划或分析；

（７）模型和影响图；

（８）专家判断和头脑风暴结果；

２．确定风险因素

确定风险因素的过程是要明确项目和环境的变数，即项目各组成部分和彼此间的关系。确定风险因素常常与风险形势估计结合在一起，通过风险形

１０

第２章风险识别

式估计明确项目的前提和假设，以便减少许多不必要的风险分析工作。

３．识别风险驱动因子

识别风险驱动因子的过程就是要识别出影响每个风险因素的风险评价指标的过程。风险估计和风险评价都是基于识别出的风险驱动因子进行的。２．２风险识别的常用方法和工具

１．专家判断

以往先例项目积累起来的资料、数据、经验和教训，项目组成员个人的常识、经验和判断在风险识别时非常有用。对于那些采用新技术、无先例可循的项目更是如此。专家判断不仅适用于风险识别，而且适用于预测及决策过程。专家判断有两种方法，即Ｄｅｌｐｈｉ方法和集合意见法。如用Ｄｅｌｐｈｉ方法，其程序如下：（１）挑选专家组成小组，专家们彼此不了解，不会面；

（２）要求每位专家对所讨论的问题进行匿名分析；

（３）所有专家都会收到一份全组专家的集合分析答案，并要求所有专家在这次反馈的基础上重新分析。如有必要，该程序２、３步骤可重复进行。２．图表法

图表法主要包括因果图法（也称鱼刺图法）和事故树法，这两种方法都是从结果查找原因。从结果查原因就是先找出项目会有那些事件发生，反向分析发生的原因。图表法常常应用于可靠性工程中。

３．知识领域检查表

美国项目管理协会ＰＭＩ制订的《项目管理知识体系指南》中为项目管理定义了九个知识领域。通过项目管理知识领域，如进度、成本、质量等来识别可能的风险，可以形成风险识别检查表。本文在下一节中详细介绍了九个知识领域和该方法的具体应用。

４．项目工作分解结构

风险识别要减少项目的结构不确定性，就要弄清项目的组成、各个组成部分的性质、它们之间的关系、项目同环境之间的关系等。项目工作分解结构是完成这项任务的有力工具。项目管理的其它方面，如范围、进度和成本管理要求使用项目工作分解结构。图２一ｌ显示了一个企业内部网项目的工作分解结构。

北京工业大学理学硕士学位论文

图２—１企业内部网项目的工作分解结构

５．问卷调查法

风险调查问卷方法是一种基于某种风险分类标准识别风险主要来源的方法。ＳｔａｎｄｉｓｈＧｒｏｕｐ成功打分表和ＭｃＦａｒｌａｎｚ风险调查问卷都属于问卷调查法。一般来说，当问卷中的问题得到否定的回答或者分值较高的选项，那么通常表明有某个风险存在。本章后面将详细介绍一种基于ＴＣＱＲ模型的调查问卷方法（ＴｃＱＲ—ＢａｓｅｄＱｕｅｓｔｉｏｎｎａｉｒｅ简称ＴＢＱ方法）。

上面介绍了几种风险识别的常用方法和工具，这些方法和工具在实践中要根据具体情况加以灵活运用，在有些时候，不同方法和工具可以组合在一起使用，以获得理想的风险识别的效果。

２．３ＴＣＱＲ项目风险评估指标体系模型

指标是衡量系统总体目标的具体标志。指标体系是指在评估活动中，由一系列指标构成的有机整体，是测量评估对象的尺度集。用指标体系方法对系统进行综合评价是在社会、经济和管理科学等领越内进行系统分析时经常采用的一种方法。本节的目的就是建立起客观的、全面反映出软件开发项目风险特征的各项目标所要求的评价指标体系，为下～步的风险分析活动打下基础。

２．３．１建立指标体系的原则

１．完备性原则

第２章风险识别

完备性是指影响客体效能的所有指标均应在指标集中，指标集具有广泛性、综合性和通用性。

２．低耦合性原则

指标体系中的指标之间相关度小。这里并不排除相关性，因为某些指标虽然不完全相关，但也不完全独立；而且，指标体系中相关性的存在是容许的。３．简单性原则

指标不是越多越好，在满足完全性原则下，应该尽量减少指标的个数。这样可以避免混乱，抓住关键，便于实施中的操作。

４．客观性原则

指标选择应该符合软件项目的特点，这是与其它类型项目不同的。

５．灵敏性原则

但系统的指标参数发生变化时，系统的性能应相应的发生明显的变化。６．一致性原则

各个指标应该与分析的目标相一致，所分析的指标之间应不相互矛盾。２．３．２ＰＭｌ的九大知识领域

《项目管理知识体系指南》中定义了ＩＴ项目管理的９个知识领域，包括：项目管理框架；范围管理；时间管理；成本管理；质量管理；人力资源管理；沟通管理：风险管理；采购管理。下面分别做简要的解释：

１．项目范围管理是确定和管理为成功完成项目所要做的全部工作。

２．项目时间管理包括项目所需时间的估算，制订可以接受的项目进度计划，并确保项目的及时完成。

３．项目成本管理包括项目预算的准备和管理工作。

４．项目质薰管理是要确保项目满足明确约定的或各方默认的需要。

５．项目人力资源管理关心的是如何有效利用参与项目的人。

６．项目沟通管理包括产生、收集、发布和保存项目信息。

７．项目风险管理包括对项目相关的风险进行识别、分析和应对。

８．项目采购管理是指根据项目的需要从项目执行组织外部获取和购进产品和服务。

北京工业大学理学硕士学位论文

９．项目整体管理则要发挥项目管理整体上的支撑作用，它与其他项目管理知识领域互相影响。

２．３．３定义ＴｃＱＲ模型

２．３．３１项目的四个基本风险因素

根据上一节中所介绍的九大知识领域，结合风险识别的需要，在实际应用中可以把九个知识领域进行整合，最终确定了如图２—２的四个基本领域，称为“风险因素”。风险因素代表了项目的各个基本组成部分，通过彼此之间的联系和相互作用以及它们组成整体的方式，决定了项目整体的性质和功能。如果这四个风险因素发生变动，则项目整体的性质和功能也要发生变化。因此，通过对这四个风险因素的综合分析和评价，可以反映项目总体的风险水平。

超支

Ｔ：进度一Ｉ

Ｔ’

ｔ

Ｃ１ＣＲ：ｉ

Ｌ一１ｒ—：：成碎ＲＲ’

ｑ

Ｑ’

１ｆｑ：质量

禾达威

图２．２ＴｃＯＲ模型中的四个基本风险因素

图２—２中，包括了四个风险因素：Ｔ一进度：Ｃ一成本；Ｑ一质量；Ｒ一资源。其中，Ｔ’表示针对进度计划Ｔ的最大超期范围（如：最大超期范围为计划的２０％）；Ｃ’表示针对成本计划Ｃ的最大超支范围（如：最大超支范围为计划的１０％）；Ｑ’表示针对质量标准Ｑ的未达成范围（如：５％的用户需求期望未能满足）：

Ｒ’表示针对资源计划Ｒ的最多能承受的不足范围；

四个风险因素的定义及其与九大知识领域的关系见表２一ｌ：

表２—１风险因素定义

１４

第２章风险识别

风险因素包含的知识领域风险因素定义

Ｔ一进度项目进度管理包括影响进度计划的风险。

项目范围管理

项目采购管理

Ｃ．成本项目成本管理包括影响成本计划的风险。

项目范围管理

项目采购管理

Ｑ一质量项目质量管理包括影响项目质量、对需求的项目范围管理实现和客户满意程度的风险。

项目框架管理

Ｒ．资源项目人力资源管理包括影响项目可用的人员、资项目沟通管理金和设备等资源配置的风险。

２，３．３．２风险驱动因子

在定义了组成整体项目风险的四个风险因素后，那么需要分别针对这四个风险因素识别出影响每个风险因素的风险评价指标，称为“风险驱动因子”。风险因素、风险驱动因子以及它们与项目总体风险的关系如图２—３所示：

风险因素

图２＿３风险因素与风险驱动因子关系

风险驱动因子可以分为两个不同的类型：一般性风险驱动因子和项目特定的风险驱动因子。一般性风险驱动因子对每个项目来说都是一个潜在的威胁。项目特定风险驱动因子只有那些对当前项目的技术、人员及环境非常了解的人才能识别出来。表２—２中给出了常见的第一类风险驱动因子：

表２—２常见的一般性风险驱动因子

北京工业大学理学硕士学位论文

风险因素风险驱动因子

Ｔ．进度（１）项目规模：可以从项目的功能点ＬＯＣ进行判别；

（２）需求可用性：目标是否明确，项目边界是否清楚，需求是否

完整和准确；

（３）技术复杂性：技术难度大小，算法和软硬件接口的复杂性；

（４）进度计划的弹性：进度计划是否合理，灵活，任务分解ＷＢＳ

是否完整和合理；

（５）采购时机：采购时间是否具有不确定性；

Ｃ．成本（１）项目规模：可以从项目的功能点Ｌ０ｃ进行判别；

（２）需求可用性：目标是否明确，项目边界是否清楚，需求是否

完整和准确；

（３）项目先例：是否此前完成过类似项目：

（４１成本计划的弹性：成本计划是否合理，灵活，任务分解ｗＢｓ

是否完整和合理：

（５）实施条件：软件系统的实施、部署和维护是否存在不确定性；

（６）采购条件：为采购是否规定了明确的前提条件；

Ｑ一质量（１）客户参与程度：客户是否积极参与了项目过程；

（２）质量标准：是否有明确的质量标准；

（３）配置管理：是否有适合的配置管理体系，管理项目变更：

“）测试计划：是否有测试计划和适合的测试流程，具有专门的

测试组织或质量保证组织；

（５）非功能性需求：项目中是否有特殊的可靠性、安全性、性能

等非功能性需求；

Ｒ．资源（１）高层管理的支持：是否得到高层领导的支持；

（２）技术能力：是否有相关经验的技术人员，相关的知识积累；

（３）员工士气：参与项目的人员的流动性和积极性；

（４）开发环境：是否有充分的软硬件设备和开发条件；

（５）团队协作：团队的合作精神和沟通能力，相互配合的协调性：

是这样一些共性的标准，其价值在于在一定程度上使得项目风险评估做到明确

１６