11.2.3.2 风险报告

风险报告提供关于整体项目风险的信息，以及关于已识别的单个项目风险的概述信息。在项目风险管理过程中，风险报告的编制是一项渐进式的工作。随着实施定性风险分析、实施定量风险分析、规划风险应对、实施风险应对和监督风险过程的完成，这些过程的结果也需要记录在风险登记册中。在完成识别风险过程时，风险报告的内容可能包括（但不限于）：

整体项目风险的来源。说明哪些是整体项目风险敞口的最重要驱动因素。
关于已识别单个项目风险的概述信息。例如，已识别的威胁与机会的数量、风险在风险类别中的分布情况、测量指标和发展趋势。

根据风险管理计划中规定的报告要求，风险报告中可能还包含其他信息。

引用

2.3.2 组织知识库

组织用来存取信息的知识库，包括（但不限于）：

配置管理知识库，包括软件和硬件组件版本以及所有执行组织的标准、政策、程序和任何项目文件的基准；
财务数据库，包括人工时、实际成本、预算和成本超支等方面的信息；
历史信息与经验教训知识库（如项目记录与文件、完整的项目收尾信息与文件、关于以往项目选择决策的结果及以往项目绩效的信息，以及从风险管理活动中获取的信息）；
问题与缺陷管理数据库，包括问题与缺陷的状态、控制信息、解决方案以及相关行动的结果；
测量指标数据库，用来收集与提供过程和产品的测量数据；
以往项目的项目档案（如范围、成本、进度与绩效测量基准，项目日历，项目进度网络图，风险登记册，风险报告以及相关方登记册）。

4.3.1.2 项目文件

可作为本过程输入的项目文件包括（但不限于）：

变更日志。见 4.6.3.3 节。变更日志记录所有变更请求的状态。
经验教训登记册。见 4.4.3.1 节。经验教训用于改进项目绩效，以免重犯错误。登记册有助于确定针对哪些方面设定规则或指南，以使团队行动保持一致。
里程碑清单。见 6.2.3.3 节。里程碑清单列出特定里程碑的计划实现日期。
项目沟通记录。见 10.2.3.1 节。项目沟通记录包含绩效报告、可交付成果的状态，以及项目生成的其他信息。
项目进度计划。见 6.5.3.2 节。进度计划至少包含工作活动清单、持续时间、资源，以及计划的开始与完成日期。
需求跟踪矩阵。见 5.2.3.2 节。需求跟踪矩阵把产品需求连接到相应的可交付成果，有助于把关注点放在最终结果上。
风险登记册。见 11.2.3.1 节。风险登记册提供可能影响项目执行的各种威胁和机会的信息。
风险报告。见 11.2.3.2 节。风险报告提供关于整体项目风险来源的信息，以及关于已识别单个项目风险的概括信息。

4.3.1.5 组织过程资产

能够影响指导与管理项目工作过程的组织过程资产包括（但不限于）：

组织的标准政策、流程和程序；
问题与缺陷管理程序，用于定义问题与缺陷控制、问题与缺陷识别及其解决，以及行动事项跟踪；
问题与缺陷管理数据库，包括历史问题与缺陷状态、问题和缺陷解决情况，以及行动事项的结果；
绩效测量数据库，用来收集与提供过程和产品的测量数据；
变更控制和风险控制程序；
以往项目的项目信息（如范围、成本、进度与绩效测量基准，项目日历，项目进度网络图，风险登记册，风险报告以及经验教训知识库）。

4.5.1.2 项目文件

可用于本过程输入的项目文件包括（但不限于）：

假设日志。见 4.1.3.2 节。假设日志包含会影响项目的假设条件和制约因素的信息。
估算依据。见 6.4.3.2 节和 7.2.3.2 节。估算依据说明不同估算是如何得出的，用于决定如何应对偏差。
成本预测。见 7.4.3.2 节。成本预测基于项目以往的绩效，用于确定项目是否仍处于预算的公差区间内，并识别任何必要的变更。
问题日志。见 4.3.3.3 节。问题日志用于记录和监督由谁负责在目标日期内解决特定问题。
经验教训登记册。见 4.4.3.1 节。经验教训登记册可能包含应对偏差的有效方式以及纠正措施和预防措施。
里程碑清单。见 6.2.3.3 节。里程碑清单列出特定里程碑的实现日期，用于检查是否达到计划的里程碑。
质量报告。见 8.2.3.1 节。质量报告包含质量管理问题，针对过程、项目和产品的改善建议，纠正措施建议（包括返工、缺陷（漏洞）补救、100% 检查等），以及在控制质量过程中发现的情况的概述。
风险登记册。见 11.2.3.1 节。风险登记册提供在项目执行过程中发生的各种威胁和机会的相关信息。
风险报告。见 11.2.3.2 节。风险报告提供关于整体项目风险和单个风险的信息。
进度预测。见 6.6.3.2 节。进度预测基于项目以往的绩效，用于确定项目是否仍处于进度的公差区间内，并识别任何必要的变更。

4.6.1.2 项目文件

可用于本过程输入的项目文件包括（但不限于）：

估算依据。见 6.4.3.2 节。估算依据指出了持续时间、成本和资源估算是如何得出的，可用于计算变更对时间、预算和资源的影响。
需求跟踪矩阵。见 5.2.3.2 节。需求跟踪矩阵有助于评估变更对项目范围的影响。
风险报告。见 11.2.3.2 节。风险报告提供了与变更请求有关的整体和单个项目风险的来源的信息。

4.7.1.3 项目文件

可用于本过程输入的项目文件包括（但不限于）：

假设日志。见 4.1.3.2 节。假设日志记录了与技术规范、估算、进度和风险等有关的全部假设条件和制约因素。
估算依据。见 6.4.3.2 节和 7.2.3.2 节。估算依据用于根据实际结果来评估持续时间、成本和资源估算，以及成本控制。
变更日志。见 4.6.3.3 节。变更日志包含了整个项目或阶段期间的所有变更请求的状态。
问题日志。见 4.3.3.3 节。问题日志用于确认没有未决问题。
经验教训登记册。见 4.3.3.1 节。在归入经验教训知识库之前，完成对阶段或项目经验教训的总结。
里程碑清单。见 6.2.3.3 节。里程碑清单列出了完成项目里程碑的最终日期。
项目沟通记录。见 10.2.3.1 节。项目沟通记录包含整个项目期间所有的沟通。
质量控制测量结果。见 8.3.3.1 节。质量控制测量结果记录了控制质量活动的结果，证明符合质量要求。
质量报告。见 8.2.3.1 节。质量报告的内容可包括由团队管理或需上报的全部质量保证事项、改进建议，以及在控制质量过程中发现的情况的概述。
需求文件。见 5.2.3.1 节。需求文件用于证明符合项目范围。
风险登记册。见 11.2.3.1 节。风险登记册提供了有关项目期间发生的风险的信息。
风险报告。见 11.2.3.2 节。风险报告提供了有关风险状态的信息，用于确认项目结束时没有未关闭的风险。

8.2.1.2 项目文件

可作为本过程输入的项目文件包括（但不限于）：

经验教训登记册。见 4.4.3.1 节。项目早期与质量管理有关的经验教训，可以运用到项目后期阶段，以提高质量管理的效率与效果。
质量控制测量结果。见 8.3.3.1 节。质量控制测量结果用于分析和评估项目过程和可交付成果的质量是否符合执行组织的标准或特定要求。质量控制测量结果也有助于分析这些测量结果的产生过程，以确定实际测量结果的正确程度。
质量测量指标。见 8.1.3.2 节。核实质量测量指标是控制质量过程的一个环节。管理质量过程依据这些质量测量指标设定项目的测试场景和可交付成果，用作改进举措的依据。
风险报告。见 11.2.3.2 节。管理质量过程使用风险报告识别整体项目风险的来源以及整体风险敞口的最重要的驱动因素，这些因素能够影响项目的质量目标。

10.2.1.2 项目文件

可作为本过程输入的项目文件包括（但不限于）：

变更日志。见 4.6.3.3 节。变更日志用于向受影响的相关方传达变更，以及变更请求的批准、推迟和否决情况。
问题日志。见 4.6.3.3 节。将与问题有关的信息传达给受影响的相关方。
经验教训登记册。见 4.4.3.1 节。项目早期获取的与管理沟通有关的经验教训，可用于项目后期阶段改进沟通过程，提高沟通效率与效果。
质量报告。见 8.2.3.1 节。质量报告包括与质量问题、项目和产品改进，以及过程改进相关的信息。这些信息应交给能够采取纠正措施的人员，以便达成项目的质量期望。
风险报告。见 11.2.3.2 节。风险报告提供关于整体项目风险的来源的信息，以及关于已识别的单个项目风险的概述信息。这些信息应传达给风险责任人及其他受影响的相关方。
相关方登记册。见 13.1.3.1 节。相关方登记册确定了需要各类信息的人员、群体或组织。

11.1.1.5 组织过程资产

会影响规划风险管理过程的组织过程资产包括（但不限于）：

组织的风险政策；
风险类别，可能用风险分解结构来表示；
风险概念和术语的通用定义；
风险描述的格式；
风险管理计划、风险登记册和风险报告的模板；
角色与职责；
决策所需的职权级别；
经验教训知识库，其中包含以往类似项目的信息。

11.1.3.1 风险管理计划

风险管理计划是项目管理计划的组成部分，描述如何安排与实施风险管理活动。风险管理计划可包括以下部分或全部内容：

风险管理战略。描述用于管理本项目的风险的一般方法。
方法论。确定用于开展本项目的风险管理的具体方法、工具及数据来源。
角色与职责。确定每项风险管理活动的领导者、支持者和团队成员，并明确他们的职责。
资金。确定开展项目风险管理活动所需的资金，并制定应急储备和管理储备的使用方案。
时间安排。确定在项目生命周期中实施项目风险管理过程的时间和频率，确定风险管理活动并将其纳入项目进度计划。
风险类别。确定对单个项目风险进行分类的方式。通常借助风险分解结构 (RBS)来构建风险类别。风险分解结构是潜在风险来源的层级展现（示例见图 11-4）。风险分解结构有助于项目团队考虑单个项目风险的全部可能来源，对识别风险或归类已识别风险特别有用。组织可能有适用于所有项目的通用风险分解结构，也可能针对不同类型项目使用几种不同的风险分解结构框架，或者允许项目量身定制专用的风险分解结构。如果未使用风险分解结构，组织则可能采用某种常见的风险分类框架，既可以是简单的类别清单，也可以是基于项目目标的某种类别结构。

图 11-4风险分解结构（RBS）示例

相关方风险偏好。应在风险管理计划中记录项目关键相关方的风险偏好。他们的风险偏好会影响规划风险管理过程的细节。特别是，应该针对每个项目目标，把相关方的风险偏好表述成可测量的风险临界值。这些临界值不仅将联合决定可接受的整体项目风险敞口水平，而且也用于制定概率和影响定义。以后将根据概率和影响定义，对单个项目风险进行评估和排序。
风险概率和影响定义。根据具体的项目环境，组织和关键相关方的风险偏好和临界值，来制定风险概率和影响定义。项目可能自行制定关于概率和影响级别的具体定义，或者用组织提供的通用定义作为出发点。应该根据拟开展项目风险管理过程的详细程度，来确定概率和影响级别的数量，即：更多级别（通常为五级）对应于更详细的风险管理方法，更少级别（通常为三级）对应于更简单的方法。表 11-1 针对三个项目目标提供了概率和影响定义的示例。

通过将影响定义为负面威胁（工期延误、成本增加和绩效不佳）和正面机会（工期缩短、成本节约和绩效改善），表格所示的量表可同时用于评估威胁和机会。

表 11-1概率和影响定义示例

概率和影响矩阵。见 11.3.2.6 节。组织可在项目开始前确定优先级排序规则，并将其纳入组织过程资产，或者也可为具体项目量身定制优先级排序规则。在常见的概率和影响矩阵中，会同时列出机会和威胁；以正面影响定义机会，以负面影响定义威胁。概率和影响可以用描述性术语（如很高、高、中、低和很低）或数值来表达。如果使用数值，就可以把两个数值相乘，得出每个风险的概率 - 影响分值，以便据此在每个优先级组别之内排列单个风险相对优先级。

图 11-5 是概率和影响矩阵的示例，其中也有数值风险评分的可能方法。

图 11-5概率和影响矩阵示例（有评分方法）

报告格式。确定将如何记录、分析和沟通项目风险管理过程的结果。在这一部分，描述风险登记册、风险报告以及项目风险管理过程的其他输出的内容和格式。
跟踪。跟踪是确定将如何记录风险活动，以及将如何审计风险的管理过程。

11.2.3.2 风险报告

根据风险管理计划中规定的报告要求，风险报告中可能还包含其他信息。

11.3.3.1 项目文件更新

可在本过程更新的项目文件包括（但不限于）：

假设日志。见 4.1.3.2 节。在实施定性风险分析过程中，可能做出新的假设、识别出新的制约因素，或者现有的假设条件或制约因素可能被重新审查和修改。应该更新假设日志，应记录这些新信息。
问题日志。见 4.3.3.3 节。应该更新问题日志，记录发现的新问题或当前问题的变化。
风险登记册。见 11.2.3.1 节。用实施定性风险分析过程生成的新信息，去更新风险登记册。

风险登记册的更新内容可能包括：每项单个项目风险的概率和影响评估、优先级别或风险分值、指定风险责任人、风险紧迫性信息或风险类别，以及低优先级风险的观察清单或需要进一步分析的风险。

风险报告。见 11.2.3.2 节。更新风险报告，记录最重要的单个项目风险（通常为概率和影响最高的风险）、所有已识别风险的优先级列表以及简要的结论。

11.4.1.2 项目文件

可作为本过程输入的项目文件包括（但不限于）：

假设日志。见 4.1.3.2 节。如果认为假设条件会引发项目风险，那么就应该把它们列作定量风险分析的输入。在定量风险分析期间，也可以建立模型来分析制约因素的影响。
估算依据。见 6.4.3.2 节和 7.2.3.2 节。开展定量风险分析时，可以把用于项目规划的估算依据反映在所建立的变异性模型中。可能包括估算目的、分类、准确性、方法论和资料来源。
成本估算。见 7.2.3.1 节。成本估算提供了对成本变化性进行评估的起始点。
成本预测。见 7.4.3.2 节。成本预测包括项目的完工尚需估算 (ETC)、完工估算 (EAC)、完工预算(BAC) 和完工尚需绩效指数（TCP）。把这些预测指标与定量成本风险分析的结果进行比较，以确定与实现这些指标相关的置信水平。
持续时间估算。见 6.4.3.1 节。持续时间估算提供了对进度变化性进行评估的起始点。
里程碑清单。见 6.2.3.3 节。项目的重大事件决定着进度目标。把这些进度目标与定量进度风险分析的结果进行比较，以确定与实现这些目标相关的置信水平。
资源需求。见 9.2.3.1 节。资源需求提供了对变化性进行评估的起始点。
风险登记册。见 11.2.3.1 节。风险登记册包含了用作定量风险分析的输入的单个项目风险的详细信息。
风险报告。见 11.2.3.2 节。风险报告描述了整体项目风险的来源，以及当前的整体项目风险状态。
进度预测。见 6.6.3.2 节。可以将预测与定量进度风险分析的结果进行比较，以确定与实现预测目标相关的置信水平。

11.4.3.1 项目文件更新

可作为本过程输出的项目文件包括（但不限于）风险报告（见 11.2.3.2 节）。更新风险报告，反映定量风险分析的结果，通常包括：

对整体项目风险敞口的评估结果。整体项目风险有两种主要的测量方式：
项目成功的可能性。基于已识别的单个项目风险和其他不确定性来源，项目实现其主要目标（例如，既定的结束日期或中间里程碑、既定的成本目标）的概率。
项目固有的变异性。在开展定量分析之时，可能的项目结果的分布区间。
项目详细概率分析的结果。列出定量风险分析的重要输出，如 S 曲线、龙卷风图和关键性指标，以及对它们的叙述性解释。定量风险分析的详细结果可能包括：
所需的应急储备，以达到实现目标的特定置信水平；
对项目关键路径有最大影响的单个项目风险或其他不确定性来源的清单；
整体项目风险的主要驱动因素，即：对项目结果的不确定性有最大影响的因素。
单个项目风险优先级清单。根据敏感性分析的结果，列出对项目造成最大威胁或产生最大机会的单个项目风险。
定量风险分析结果的趋势。随着在项目生命周期的不同时间重复开展定量风险分析，风险的发展趋势可能逐渐清晰。发展趋势会影响对风险应对措施的规划。
风险应对建议。风险报告可能根据定量风险分析的结果，针对整体项目风险敞口或关键单个项目风险提出应对建议。这些建议将成为规划风险应对过程的输入。

11.5.1.2 项目文件

可作为本过程输入的项目文件包括（但不限于）：

经验教训登记册。见 4.4.3.1 节。查看关于项目早期的风险应对的经验教训，确定类似的应对是否适用于项目后期。
项目进度计划。见 6.5.3.2 节。进度计划可用于确定如何同时规划商定的风险应对活动和其他项目活动。
项目团队派工单。见 9.3.3.2 节。项目团队派工单列明了可用于风险应对的人力资源。
资源日历。见 9.2.1.2 节。资源日历确定了潜在的资源何时可用于风险应对。
风险登记册。见 11.2.3.1 节。风险登记册包含了已识别并排序的、需要应对的单个项目风险的详细信息。每项风险的优先级有助于选择适当的风险应对措施。例如，针对高优先级的威胁或机会，可能需要采取优先措施和积极主动的应对策略；而针对低优先级的威胁和机会，可能只需要把它们列入风险登记册的观察清单部分，或者只需要为之增加应急储备，而不必采取主动的管理措施。

风险登记册列出了每项风险的指定风险责任人，还可能包含在早期的项目风险管理过程中识别的初步风险应对措施。风险登记册可能还会提供有助于规划风险应对的、关于已识别风险的其他信息，包括根本原因、风险触发因素和预警信号、需要在短期内应对的风险，以及需要进一步分析的风险。

风险报告。见 11.2.3.2 节。风险报告中的项目整体风险敞口的当前级别，会影响选择适当的风险应对策略。风险报告也可能按优先级顺序列出了单个项目风险，并对单个项目风险的分布情况进行了更多分析；这些信息都会影响风险应对策略的选择。
相关方登记册。见 13.1.3.1 节。相关方登记册列出了风险应对的潜在责任人。

11.5.1.4 组织过程资产

能够影响规划风险应对过程的组织过程资产包括（但不限于）：

风险管理计划、风险登记册和风险报告的模板；
历史数据库；
类似项目的经验教训知识库。

11.5.3.3 项目文件更新

可在本过程更新的项目文件包括（但不限于）：

假设日志。见 4.1.3.2 节。在规划风险应对过程中，可能做出新的假设、识别出新的制约因素，或者现有的假设条件或制约因素可能被重新审查和修改。应该更新假设日志，记录这些新信息。
成本预测。见 7.4.3.2 节。成本预测可能因规划的风险应对策略而发生变更。
经验教训登记册。见 4.4.3.1 节。更新经验教训登记册，记录适用于项目的未来阶段或未来项目的风险应对信息。
项目进度计划。见 6.5.3.2 节。可以把用于执行已商定的风险应对策略的活动添加到项目进度计划中。
项目团队派工单。见 9.3.3.2 节。一旦确定应对策略，应为每项与风险应对计划相关的措施分配必要的资源，包括用于执行商定的措施的具有适当资质和经验的人员（通常在项目团队中）、合理的资金和时间，以及必要的技术手段。
风险登记册。见 11.2.3.1 节。需要更新风险登记册，记录选择和商定的风险应对措施。风险登记册的更新可能包括（但不限于）：
商定的应对策略；
实施所选应对策略所需要的具体行动；
风险发生的触发条件、征兆和预警信号；
实施所选应对策略所需要的预算和进度活动；
应急计划，以及启动该计划所需的风险触发条件；
弹回计划，供风险发生且主要应对措施不足以应对时使用；
在采取预定应对措施之后仍然存在的残余风险，以及被有意接受的风险；
由实施风险应对措施而直接导致的次生风险。
风险报告。见 11.2.3.2 节。更新风险报告，记录针对当前整体项目风险敞口和高优先级风险的经商定的应对措施，以及实施这些措施之后的预期变化。

11.6 实施风险应对

适当关注实施风险应对过程，能够确保已商定的风险应对措施得到实际执行。项目风险管理的一个常见问题是，项目团队努力识别和分析风险并制定应对措施，然后把经商定的应对措施记录在风险登记册和风险报告中，但是不采取实际行动去管理风险。

11.6.1.2 项目文件

可作为本过程输入的项目文件包括（但不限于）：

经验教训登记册。见 4.4.3.1 节。项目早期获得的与实施风险应对有关的经验教训，可用于项目后期提高本过程的有效性。
风险登记册。见 11.2.3.1 节。风险登记册记录了每项单个风险的商定风险应对措施，以及负责应对的指定责任人。
风险报告。见 11.2.3.2 节。风险报告包括对当前整体项目风险敞口的评估，以及商定的风险应对策略，还会描述重要的单个项目风险及其应对计划。

11.6.3.2 项目文件更新

可在本过程更新的项目文件包括（但不限于）：

问题日志。见 4.3.3.3 节。作为实施风险应对过程的一部分，已识别的问题会被记录到问题日志中。
经验教训登记册。见 4.4.3.1 节。更新经验教训登记册，记录在实施风险应对时遇到的挑战、本可采取的规避方法，以及实施风险应对的有效方式。
项目团队派工单。见 9.3.3.2 节。一旦确定风险应对策略，应为每项与风险应对计划相关的措施分配必要的资源，包括用于执行商定的措施的具有适当资质和经验的人员、合理的资金和时间，以及必要的技术手段。
风险登记册。见 11.2.3.1 节。可能需要更新风险登记册，反映开展本过程所导致的对单个项目风险的已商定应对措施的任何变更。
风险报告。见 11.2.3.2 节。可能需要风险报告，反映开展本过程所导致的对整体项目风险敞口的已商定应对措施的任何变更。

11.7.1.2 项目文件

应作为本过程输入的项目文件包括（但不限于）：

问题日志。见 4.3.3.3 节。问题日志用于检查未决问题是否已更新，并对风险登记册进行必要更新。
经验教训登记册。见 4.4.3.1 节。在项目早期获得的与风险相关的经验教训可用于项目后期阶段。
风险登记册。见 11.2.3.1 节。风险登记册的主要内容包括；已识别单个项目风险、风险责任人、商定的风险应对策略，以及具体的应对措施。它可能还会提供其他详细信息，包括用于评估应对计划有效性的控制措施、风险的症状和预警信号、残余及次生风险，以及低优先级风险观察清单。
风险报告。见 11.2.3.2 节。风险报告包括对当前整体项目风险敞口的评估，以及商定的风险应对策略，还会描述重要的单个项目风险及其应对计划和风险责任人。

11.7.3.4 项目文件更新

可在本过程更新的项目文件包括（但不限于）：

假设日志。见 4.1.3.2 节。在监督风险过程中，可能做出新的假设、识别出新的制约因素，或者现有假设条件或制约因素可能被重新审查和修改。需要更新假设日志，记录这些新信息。
问题日志。见 4.3.3.3 节。作为监督风险过程的一部分，已识别的问题会记录到问题日志中。
经验教训登记册。见 4.4.3.1 节。更新经验教训登记册，记录风险审查期间得到的任何与风险相关的经验教训，以便用于项目的后期阶段或未来项目。
风险登记册。见 11.2.3.1 节。更新风险登记册，记录在监督风险过程中产生的关于单个项目风险的信息，可能包括添加新风险、更新已过时风险或已发生风险，以及更新风险应对措施，等等。
风险报告。见 11.2.3.2 节。应该随着监督风险过程生成新信息，而更新风险报告，反映重要单个项目风险的当前状态，以及整体项目风险的当前级别。风险报告还可能包括有关的详细信息，诸如最高优先级单个项目风险、已商定的应对措施和责任人，以及结论与建议。风险报告也可以收录风险审计给出的关于风险管理过程有效性的的结论。