项目管理者已经识别到了项目中存在的风险，接下来就是要对风险进行分析，分析包括定性分析和定量分析。包括风险分析在内，基本上所有事务的分析方式都是先进行定性分析，然后进行定量分析，我们这里也先讨论定性的风险分析。定性的风险分析是评估已识别风险的影响和可能性的过程，使用已有的定性分析方法和工具来评估风险的概率和后果。根据什么进行定性的风险分析呢？大致包含以下几个方面：项目初期已经形成的风险管理计划、已经识别的风险、项目的状态、项目的类型、概率范围和后果等，特殊情况还包括假设，假设可以甄别出潜在的风险。通过定性风险分析，我们可以了解项目总体风险等级、可以得到风险优先次序清单、需要进一步分析和管理控制的风险清单、以及风险趋势等。

定量风险分析过程的目标是量化分析每一风险的概率及其对项目目标造成的后果，也分析项目总体的风险程度。这一过程涉及的工作包括测定取得某一特定项目目标的概率；量化项目的风险暴露，决定可能需要的成本大小和进度计划应急准备金；通过量化各风险对项目风险的相应贡献，分析出最需要关注的风险；找出理想的和可实现的成本、进度计划及工作范围目标。形成定量风险分析结果有多种途径，一种是访谈，访谈技术用于量化对项目目标造成影响的风险的概率和后果。

    将风险变动范围基本原理形成文档是风险访谈的一个重要组成部分，因为它可以使我们在风险应对计划编制过程中形成有效的风险应对策略。一种是敏感度分析，敏感度分析有助于确定哪种风险最有可能对项目产生影响，这种分析是在所有其他不确定性要素保持其基准值的前提下，考察每个项目要素的不确定性对项目目标影响的程度。一种是决策分析树，决策分析通常结构化为决策树形式，决策树是一种图表，它反映了尚在考虑中的一项决策，以及选择一个方案和两个被选方案中的另一个的暗示。决策树将风险概率、事件的每一条合理路径的成本和报酬、以及未来的决策综合在一起。还有一种是模拟，项目模拟采用的模型，可以将详细规定的不确定性转化为对项目总体目标的潜在影响，使用蒙特卡罗技术是进行项目模拟的一种典型手段。我们可以使用一种方法，也可以使用多种途径进行分析，直到最后得到量化的风险优先次序清单。这种量化或许是不准确的，但只要做了，总是可以得到一个大致的趋势，便于项目管理者掌握项目风险状态。

    显然，知道了风险，知道了风险的优先次序，必然要针对风险制定风险应对计划。风险应对计划编制是一个开发方案和制定措施的过程，目的是为了提升实现项目目标的机会、减低对项目目标的威胁。它包括确定人员负责每个已经认可的风险应对行动，以保证已识别出的风险得到合适的处置。风险应对计划编制的有效性直接决定项目的风险是增加还是减少。风险应对计划应该与风险的严重性、应对成本的有效性、完成任务的适时性相适应，并且确认由专人负责。风险应对的办法一般包括四种策略：规避、转移、缓解和接受。规避就是通过变更项目计划，从而消除风险和产生风险的条件。

    减少项目范围以规避高风险工作；增加项目资源和时间；采用一种熟悉的而不是创新的方法；避免使用一个不熟悉的分包商等都是风险规避的典型例子，本文描述的笔者的状况显然不属于这种方式。风险转移是设法将某风险的结果连同对风险进行应对的权利转移给第三方，转移风险只是将管理风险的责任转移给另一方，它不能消除风险。转移风险几乎总是会伴有向接受风险的一方支付风险成本，应该说本文描述的软件外协就是一种风险转移，将项目组本身由于行业知识限制所造成的软件开发风险转移给第三方，同时伴随了向接受风险的一方支付风险成本。所谓缓解是设法将某一负面风险事件的概率或其后果降低到一种可以接受的程度，早期采取措施降低风险发生的概率或风险对项目的影响，比在风险发生后再亡羊补牢更为有效，对照风险可能的概率和其后果，缓解的成本应是合理的。

    本文中描述的例子对于整个软件外协项目来说，它的风险应对计划是进行风险转移，而对于已经外协后发现的类似协作方技术状况弱等情况采取的早期介入，进行强力技术支持则是一种风险缓解。最后一种风险应对计划就是接受，这种手段意味着项目队伍决定以不变的项目计划去应对某一风险，或项目队伍不能找到其他合适的风险应对策略。积极的接受行动包括制定一个应急计划，以备风险发生时用。消极的接受不需要任何行动，仅让项目队伍在风险发生时去对付风险。总的来说，接受是一种没有办法的办法，除非环境所限可能一般都不会采用。对于编制好的风险应对计划，它的每一条包含如下条目：已经识别的风险及其描述，风险成因以及风险可能如何影响项目目标；风险承担人和分派的责任；定性和定量分析过程的结果；针对风险所确定的应对措施，包括规避、转移、缓解或接受；在应对战略实施后，期望的残留风险水平；实施选定的应对战略所需的具体行动；风险应对预算和时间；应急计划和退却计划等。

    到这一步，项目管理者应该已经成竹在胸了，因为已经识别到了风险、定性定量的分析了存在的风险、制定了风险应对计划，只要按部就班的按计划执行，就可以达到预期的目的，胜利已在眼前，但越是最后越是不可掉以轻心，要继续重视风险的监督和控制。风险监督和控制是这样一个项目管理过程，它跟踪已识别的风险，监视残余风险和识别新的风险，保证风险计划的执行，并评估这些计划对降低风险的有效性。其实风险监督和控制是项目整个生命周期中一种持续进行的过程，随着项目的成长，风险会不断变化，可能会有新的风险出现，也可能预期的风险会消失。良好的风险监督和控制过程能为我们提供信息，帮助我们在风险发生前作出有效决策。为了定期对项目风险水平的可接受程度做出评估，所有项目干系人之间的沟通是必要的。风险监督的目的包括监控风险应对措施是否已经按计划得到实施；风险应对措施是否象期望的那样有效；未曾识别的风险是否已经发生；项目假设是否依然成立等内容。

    对笔者而言，在组织开发这个国家大型灌区信息化系统的过程中，外协部分之所以能按期保质的完成，感触颇深的就是前期全面深入的与协作方进行接触，及时识别到存在的风险，组织项目组详细的分析风险并制定出风险应对方案。这其中也反映出了项目风险管理在项目管理中的重要地位与作用。项目实行风险管理还有一些其他的好处，和大家共勉：通过风险分析，可加深对项目和风险的认识和理解，澄清各方案的利弊；可以提高项目各种计划的可信度，有利于改善项目执行组织内部和外部之间的沟通；能够将处理风险后果的各种方式更灵活的组织起来，在项目管理中减少被动，增加主动；为以后的规划和设计工作提供反馈，以便在规划和设计阶段就采取措施防止和避免风险损失；可推动项目执行组织和管理班子积累有关风险的资料和数据，以便改进将来的项目管理。