風險管理辦公室
簡介隨著2010年年底國家人力資源和社會勞動保障部、財政部、工商總局、銀監會、證監會等相關部委組織發布相關《企業內部控制和風險管理相關配套指引檔案》，標誌著我國專門風險管理制度的統一建設的開端，在中國大中型企業當中，國家會進一步參與到企業相關風險的把控當中。
使命對應成立相關風險管理專職部門，為企業培養專門的風險管控人才，滿足企業對此類專職人才缺口的需求和相關國家要求的“內部控制報告”“風險管理報告”的編制，為企業建立和完善相關的預警系統。
如果說發展戰略是保障企業正確的發展方向的話，那么風險與內控則是保障企業在前行的道路上不摔跟頭。隨著市場經濟各項建設漸趨完備，對企業風險與內控的要求也在逐步加強，市場競爭環境的日益複雜化，客觀上也要求企業及其決策者能夠關注企業的風險。
無論是中航油新加坡投資衍生品事件還是最近的三鹿事件，都給中國的企業家們敲響了警鐘，企業走得慢一些自然會面臨被競爭對手超越的問題，但是如果不關注風險控制的話則可能面臨企業生存的問題。
來自於外部環境的壓力要求企業必須關注風險管理與內部控制建設
· 美國政府於2002年7月頒布的《上市公司會計改革和投資者保護法》，對上市公司進一步完善公司法人治理和財務報告等內部控制制度提出了更高的要求。美國《薩班斯法案》對赴美上市公司內控提出近乎苛刻的要求；
· 2006年，中國公布了《新會計準則》，同時新《公司法》、《證券法》和《物權法》等重要法律的修改。所有這些外部環境的變化，都要求公司強化法人治理結構，高度關注企業風險，加強內部控制。從法人治理結構層面的內控環境營造到公司各級規章制度中的內控功能都需要進一步加強和完善，規範公司的經營行為；
· 2008年，財政部授權公布了《企業內部控制基礎規範》，首先要求上市公司在2009年7月1日前，必須建立企業內部控制體系，並對內部控制建設的狀況出具報告；對內部控制的要求逐步在國有企業及其它類型企業中逐步推進。企業內部控制建設正在從可有可無變成不得不建。
企業風險管理與內部控制在企業管理中發揮著重要的作用
· 合乎監管要求：通過系統的內部控制建設，滿足國內、國外各種內部控制立法的要求；
· 抓住機會：通過全面識別、考慮企業面臨的不確定因素，促使企業識別並積極地把握機會；
· 識別和管理企業的多重風險：企業都面臨影響自身不同組成部分的一系列風險，企業風險管理有助於有效地應對互動影響，以及整合式地應對多重風險；
· 抑減經營意外和損失：企業識別潛在事項和實施應對的能力得以增強，抑減了意外情況以及伴隨而來的成本或損失；
· 改善資本配置：獲取強有力的風險信息，以使管理層能夠有效地評估總體資本需求，並改進資本配置。
中國企業常見風險與控制問題舉例
· 風險管理意識：風險管理意識淡薄，片面追求發展速度，制定不切實際的目標或盲目擴展投資，使企業承受無謂的風險；
· 公司治理：公司治理結構不規範，不能有效制衡管理層的強大權力，董事會沒有或者不能負起監督管理層的責任；
· 管控模式：企業管控模式不合理，無法有效控制企業風險，組織結構設計不合理，不能建立有效的內控和相互制衡的機制；
· 風險管理組織：缺乏包含決策、管理和具體執行層在內的完整的風險管理組織。內部審計限於財務報表審計和經濟責任審計，缺乏對風險管理情況的檢查和監督；
· 風險管理體制：缺乏系統的風險管理體制，沒有將風險管理的手段和內控程式融入到管理與業務的制度與流程中，無法識別影響企業達標的風險，進而無法對風險進行監控及管理。
風險全面定義
風險管理的定義
風險管理當中包括了對風險的量度、評估和應變策略。理想的風險管理，是一連串排好優先次序的過程，使當中的可以引致最大損失及最可能發生的事情優先處理、而相對風險較低的事情則押後處理。
現實情況里，最佳化的過程往往很難決定，因為風險和發生的可能性通常並不一致，所以要權衡兩者的比重，以便作出最合適的決定。
風險管理亦要面對有效資源運用的難題。這牽涉到機會成本(opportunity cost)的因素。把資源用於風險管理，可能使能運用於有回報活動的資源減低；而理想的風險管理，正希望能夠花最少的資源去去儘可能化解最大的危機。
“風險管理”曾經在1990年代西方商業界前往中國進行投資的行政人員必修科目。當年不少MBA課程都額外加入“風險管理”的環節。
風險管理（risk management)
在降低風險的收益與成本之間進行權衡並決定採取何種措施的過程。
確定減少的成本收益權衡方案（trade-off)和決定採取的行動計畫（包括決定不採取任何行動）的過程成為風險管理。
首先，風險管理必須識別風險。風險識別是確定何種風險可能會對企業產生影響，最重要的是量化不確定性的程度和每個風險可能造成損失的程度。
其次，風險管理要著眼於風險控制，公司通常採用積極的措施來控制風險。通過降低其損失發生的機率，縮小其損失程度來達到控制目的。控制風險的最有效方法就是制定切實可行的應急方案，編制多個備選的方案，最大限度地對企業所面臨的風險做好充分的準備。當風險發生後，按照預先的方案實施，可將損失控制在最低限度。
再次，風險管理要學會規避風險。在既定目標不變的情況下，改變方案的實施路徑，從根本上消除特定的風險因素。例如設立現代激勵機制、培訓方案、做好人才備份工作等等，可以降低知識員工流失的風險。
風險管理概念
風險管理是指通過風險識別、風險估計、風險駕馭、風險監控等一系列活動來防範風險的管理工作。
人力資源管理中的風險管理
人力資源管理中的風險管理是指在招聘、工作分析、職業計畫、績效考評、工作評估、薪金管理、福利/激勵、員工培訓、員工管理等各個環節中進行風險管理，防範人力資源管理中的風險發生。
風險分類：
招聘風險、績效考評風險、工作評估風險、薪金管理風險、員工培訓風險、員工管理風險等等。
風險識別：
要想防範風險，首先要進行風險識別。識別風險就是主動的去尋找風險。比如員工管理中，技術骨幹離職風險可能會由以下幾個方面產生：
1、待遇：他是否對他的待遇滿意?
2、工作成就感：他是否有工作成就感?
3、自我發展：他是否在工作中提高了自己的能力?
4、人際關係：他在公司是否有良好的人際關係?
5、公平感：他是否感到公司對他與別人是公平的?
6、地位：他是否認為他在公司的地位與他對公司的貢獻成正比?
7、信心：他是否對公司的發展和個人在公司的發展充滿了信心?
8、溝通：他是否有機會與大家溝通、交流?
9、關心：他是否能得到公司和員工的關心?
10、認同：他是否認同企業的管理方式、企業文化、發展戰略?
11、其他：他是否有可能因為結婚、出國留學、繼續深造等原因離職?
風險評估:
風險評估是對風險可能造成的災害進行分析。主要通過以下幾個步驟進行評估：
1、根據風險識別的條目有針對性的進行調研;
2、根據調研結果和經驗，預測發生的可能性，並用百分比表示發生可能性的程度;
3、根據程度排定優先佇列。
風險管理的各個步驟
對於現代企業來說，風險管理就是通過風險的識別、預測和衡量、選擇有效的手段，以儘可能降低成本，有計畫地處理風險，以獲得企業安全生產的經濟保障。這就要求企業在生產經營過程中，應對可能發生的風險進行識別，預測各種風險發生後對資源及生產經營造成的消極影響，使生產能夠持續進行。可見，風險的識別、風險的預測和風險的處理是企業風險管理的主要步驟。
風險的識別風險的識別是風險管理的首要環節。只有在全面了解各種風險的基礎上，才能夠預測危險可能造成的危害，從而選擇處理風險的有效手段。
風險識別方法很多，常見的方法有：
2.1.1◆生產流程分析法
生產流程分析法是對企業整個生產經營過程進行全面分析，對其中各個環節逐項分析可能遭遇的風險，找出各種潛在的風險因素。生產流程分析法可分為風險列舉法和流程圖法。
1.風險列舉法指風險管理部門根據本企業的生產流程，列舉出各個生產環節的所有風險。
2.流程圖法指企業風險管理部門將整個企業生產過程一切環節系統化、順序化，製成流程圖，從而便於發現企業面臨的風險。
2.1.2◆財務表格分析法
財務表格分析法是通過對企業的資產負債表、損益表、營業報告書及其他有關資料進行分析，從而識別和發現企業現有的財產、責任等面臨的風險。
2.1.3保險調查法
採用保險調查法進行風險識別可以利用兩種形式：
通過保險險種一覽表，企業可以根據保險公司或者專門保險刊物的保險險種一覽表，選擇適合本企業需要的險種。這種方法僅僅對可保風險進行識別，對不可保風險則無能為力。
委託保險人或者保險諮詢服務機構對本企業的風險管理進行調查設計，找出各種財產和責任存在的風險。
風險預測實際上就是估算、衡量風險，由風險管理人運用科學的方法，對其掌握的統計資料、風險信息及風險的性質進行系統分析和研究，進而確定各項風險的頻度和強度，為選擇適當的風險處理方法提供依據。風險的預測一般包括以下兩個方面：
2.2.1預測風險的機率：通過資料積累和觀察，發現造成損失的規律性。一個簡單的例子：一個時期一萬棟房屋中有十棟發生火災，則風險發生的機率是1/1000。由此對機率高的風險進行重點防範。
2.2.2預測風險的強度：假設風險發生，導致企業的直接損失和間接損失。對於容易造成直接損失並且損失規模和程度大的風險應重點防範。
風險的處理常見的方法有：
2.3.1避免風險：消極躲避風險。比如避免火災可將房屋出售，避免航空事故可改用陸路運輸等。因為存在以下問題，所以一般不採用。
可能會帶來另外的風險。比如航空運輸改用陸路運輸，雖然避免了航空事故，但是卻面臨著陸路運輸工具事故的風險。
會影響企業經營目標的實現。比如為避免生產事故而停止生產，則企業的收益目標無法實現。
2.3.2預防風險：採取措施消除或者減少風險發生的因素。例如為了防止水災導致倉庫進水，採取增加防洪門、加高防洪堤等，可大大減少因水災導致的損失。
2.3.3自保風險：企業自己承擔風險。途徑有：
小額損失納入生產經營成本，損失發生時用企業的收益補償。
針對發生的頻率和強度都大的風險建立意外損失基金，損失發生時用它補償。帶來的問題是擠占了企業的資金，降低了資金使用的效率。
對於較大的企業，建立專業的自保公司。
2.3.4轉移風險：在危險發生前，通過採取出售、轉讓、保險等方法，將風險轉移出去。
風險管理的歷史
風險管理是一門新興的管理學科。
萌芽風險管理從1930年代開始萌芽。風險管理最早起源於美國，在1930年代，由於受到1929－1933年的世界性經濟危機的影響，美國約有40%左右的銀行和企業破產，經濟倒退了約20年。美國企業為應對經營上的危機，許多大中型企業都在內部設立了保險管理部門，負責安排企業的各種保險項目。可見，當時的風險管理主要依賴保險手段。
形成1938年以後，美國企業對風險管理開始採用科學的方法，並逐步積累了豐富的經驗。1950年代風險管理髮展成為一門學科，風險管理一詞才形成。
1970年代以後逐漸掀起了全球性的風險管理運動。1970年代以後，隨著企業面臨的風險複雜多樣和風險費用的增加，法國從美國引進了風險管理並在法國國內傳播開來。與法國同時，日本也開始了風險管理研究。
近20年來，美國、英國、法國、德國、日本等國家先後建立起全國性和地區性的風險管理協會。1983年在美國召開的風險和保險管理協會年會上，世界各國專家學者雲集紐約，共同討論並通過了“101條風險管理準則”，它標誌著風險管理的發展已進入了一個新的發展階段。
1986年，由歐洲11個國家共同成立的“歐洲風險研究會”將風險研究擴大到國際交流範圍。1986年10月，風險管理國際學術討論會在新加坡召開，風險管理已經由環大西洋地區向亞洲太平洋地區發展。
中國對於風險管理的研究開始於1980年代。一些學者將風險管理和安全系統工程理論引入中國，在少數企業試用中感覺比較滿意。中國大部分企業缺乏對風險管理的認識，也沒有建立專門的風險管理機構。作為一門學科，風險管理學在中國仍舊處於起步階段。
進入到上世紀90年代，隨著資產證券化在國際上興起，風險證券化也被引入到風險管理的研究領域中。而最為成功的例子是瑞士再保險公司發行的巨災債券，和由美國芝加哥期貨交易所發行的PCS期權。
風險管理的分類
風險管理主要分為兩類：
經營管理型風險管理，主要研究政治、經濟、社會變革等所有企業面臨的風險的管理。
保險型風險管理，主要以可保風險作為風險管理的對象，將保險管理放在核心地位，將安全管理作為補充手段。
風險管理研究方法
對風險管理研究的方法採用定性分析方法和定量分析方法。
定性分析方法是通過對風險進行調查研究，做出邏輯判斷的過程。定量分析方法一般採用系統論方法，將若干相互作用、相互依賴的風險因素組成一個系統，抽象成理論模型，運用機率論和數理統計等數學工具定量計算出最優的風險管理方案的方法。
風險管理的學說
純粹風險說純粹風險說以美國為代表。純粹風險說將企業風險管理的對象放在企業靜態風險的管理上，將風險的轉嫁與保險密切聯繫起來。該學說認為風險管理的基本職能是將對威脅企業的純粹風險的確認和分析，並通過分析在風險自保和進行保險之間選擇最小成本獲得最大保障的風險管理決策方案。該學說是保險型風險管理的理論基礎。
企業全部風險說企業全部風險說以德國和英國為代表，該學說將企業風險管理的對象設定為企業的全部風險，包括了企業的靜態風險（純粹風險）和動態風險（投機風險），認為企業的風險管理不僅要把純粹風險的不利性減小到最小，也要把投機風險的收益性達到最大。該學說認為風險管理的中心內容是與企業倒閉有關的風險的科學管理。企業全部風險說是經營管理型風險管理的理論基礎。
風險管理體系
在20世紀七八十年代，因為事故和其它發生的風險導致了許多組織的破產，這一現象引起了一些跨國公司和大型聯合企業股東的極大關注，為強化自己的社會關注力和最大地降低事故和其它事件的損失，這些企業開始引入了“損失控制”的理念，將管理的重點慢慢地從預防傷害轉向預防和控制損失。從那時候，風險管理得到了世界上更大的關注，並逐步地得到的發展。
鑽石體系就是在這一背景之下產生的，她由國際風險控制協會聯盟創造人弗蘭克.伯德先生首創，其早期設計的目的僅僅是為了協助企業控制損失，降低事故，她是一個公共性的系統。但隨著國際社會及企業對風險管理需求的不斷增加以及對鑽石體系表現出的日益增長的興趣與關注，使得國際風險控制協會不得不升級了它的安健環質量保護體系以滿足市場要求並符合國際標準，經過美國、南非、澳大利亞等聯盟成員7次修編，鑽石體系已被證實為一個隨時可用的現成架構，是一個涵蓋了所有職業安全、健康、環境、質量及社會等元素風險，符合ISO9001、ISO14001及OHSAS 18001/ AS/NZS 4801標準要求的整合系統。她是世界上最好的安健環質量綜合風險管理體系之一。
2004年，鑽石體系由國際風險控制協會聯盟成員安瑞祺國際風險管理顧問公司引進中國，並為諸多如南方電網公司等國內大型國有企業所採納。
鑽石體系強調“以人為本”的思想，它結合安全行為科學，通過行為干預技術，改善員工風險行為，無限度地提升商業機構底線的質和量，改善機構生產能力及員工士氣，並最終為商業機構帶來世界級的職業安全、健康、環境、質量及風險管理的成果。
鑽石體系的設計具有較強的可塑性，它貼近企業操作實踐，具備兼容企業與當地行業特殊要求的能力，諸多國際及跨國公司在鑽石體系上的成功運用充分說明它是一套科學的、完備的管理系統。
鑽石體系由12個元素組成，這些元素代表好的管理實踐，並與一些國際標準如ISO 14001、 ISO 9001:2000、OHSAS – 18001、英國標準8800及其他國際標準如AS/NZS4801相兼容。
軟體項目風險管理
簡介軟體項目風險管理是軟體項目管理的重要內容。在進行軟體項目風險管理時，要辯識風險，評估它們出現的機率及產生的影響，然後建立一個規劃來管理風險。風險管理的主要目標是預防風險。
軟體項目風險是指在軟體開發過程中遇到的預算和進度等方面的問題以及這些問題對軟體項目的影響。軟體項目風險會影響項目計畫的實現，如果項目風險變成現實，就有可能影響項目的進度，增加項目的成本，甚至使軟體項目不能實現。如果對項目進行風險管理，就可以最大限度的減少風險的發生。但是，目前國內的軟體企業不太關心軟體項目的風險管理，結果造成軟體項目經常性的延期、超過預算，甚至失敗。成功的項目管理一般都對項目風險進行了良好的管理。因此任何一個系統開發項目都應將風險管理作為軟體項目管理的重要內容。
在項目風險管理中，存在多種風險管理方法與工具，軟體項目管理只有找出最適合自己的方法與工具並套用到風險管理中，才能儘量減少軟體項目風險，促進項目的成功。
軟體項目的風險管理是軟體項目管理的重要內容。在進行軟體項目風險管理時，要辯識風險，評估它們出現的機率及產生的影響，然後建立一個規劃來管理風險。風險管理的主要目標是預防風險。本文探討了風險管理的主要內容和方法，介紹了風險管理的經典理論，比較了幾種主流的風險管理策略和模型。
軟體項目的風險無非體現在以下四個方面：需求、技術、成本和進度。IT項目開發中常見的風險有如下幾類：
ü 需求風險
①需求已經成為項目基準,但需求還在繼續變化;②需求定義欠佳,而進一步的定義會擴展項目範疇;③添加額外的需求;④產品定義含混的部分比預期需要更多的時間;⑤在做需求中客戶參與不夠;⑥缺少有效的需求變化管理過程。
ü 計畫編制風險
①計畫、資源和產品定義全憑客戶或上層領導口頭指令,並且不完全一致;②計畫是最佳化的,是"最佳狀態",但計畫不現實,只能算是"期望狀態";③計畫基於使用特定的小組成員,而那個特定的小組成員其實指望不上;④產品規模(代碼行數、功能點、與前一產品規模的百分比)比估計的要大;⑤完成目標日期提前,但沒有相應地調整產品範圍或可用資源;⑥涉足不熟悉的產品領域,花費在設計和實現上的時間比預期的要多。
ü 組織和管理風險
①僅由管理層或市場人員進行技術決策,導致計畫進度緩慢,計畫時間延長;②低效的項目組結構降低生產率;③管理層審查 決策的周期比預期的時間長;④預算削減,打亂項目計畫;⑤管理層作出了打擊項目組織積極性的決定;⑥缺乏必要的規範,導至工作失誤與重複工作;⑦非技術的第三方的工作(預算批准、設備採購批准、法律方面的審查、安全保證等)時間比預期的延長。
ü 人員風險
①作為先決條件的任務(如培訓及其他項目)不能按時完成;②開發人員和管理層之間關係不佳,導致決策緩慢,影響全局;③缺乏激勵措施,士氣低下,降低了生產能力;④某些人員需要更多的時間適應還不熟悉的軟體工具和環境;⑤項目後期加入新的開發人員,需進行培訓並逐漸與現有成員溝通,從而使現有成員的工作效率降低;⑥由於項目組成員之間發生衝突,導致溝通不暢、設計欠佳、接口出現錯誤和額外的重複工作;⑦不適應工作的成員沒有調離項目組,影響了項目組其他成員的積極性;⑧沒有找到項目急需的具有特定技能的人。
ü 開發環境風險
①設施未及時到位;②設施雖到位,但不配套,如沒有電話、網線、辦公用品等;③設施擁擠、雜亂或者破損;④開發工具未及時到位;⑤開發工具不如期望的那樣有效,開發人員需要時間創建工作環境或者切換新的工具;⑥新的開發工具的學習期比預期的長,內容繁多。
ü 客戶風險
①客戶對於最後交付的產品不滿意,要求重新設計和重做;②客戶的意見未被採納,造成產品最終無法滿足用?的審核 決策周期比預期的要長;④客戶沒有或不能參與規劃、原型和規格階段的審核,導致需求不穩定和產品生產周期的變更;⑤客戶答覆的時間(如回答或澄清與需求相關問題的時間)比預期長;⑥客戶提供的組件質量欠佳,導致額外的測試、設計和集成工作,以及額外的客戶關係管理工作。
ü 產品風險
①矯正質量低下的不可接受的產品,需要比預期更多的測試、設計和實現工作;②開發額外的不需要的功能(鍍金),延長了計畫進度;③嚴格要求與現有系統兼容,需要進行比預期更多的測試、設計和實現工作;④要求與其他系統或不受本項目組控制的系統相連,導致無法預料的設計、實現和測試工作;⑤在不熟悉或未經檢驗的軟體和硬體環境中運行所產生的未預料到的問題;⑥開發一種全新的模組將比預期花費更長的時間;⑦依賴正在開發中的技術將延長計畫進度。
ü 設計和實現風險
①設計質量低下,導致重複設計;②一些必要的功能無法使用現有的代碼和庫實現,開發人員必須使用新的庫或者自行開發新的功能;③代碼和庫質量低下,導致需要進行額外的測試,修正錯誤,或重新製作;④過高估計了增強型工具對計畫進度的節省量;⑤分別開發的模組無法有效集成,需要重新設計或製作。
ü 過程風險
①大量的紙面工作導致進程比預期的慢;②前期的質量保證行為不真實,導致後期的重複工作;③太不正規(缺乏對軟體開發策略和標準的遵循),導致溝通不足,質量欠佳,甚至需重新開發;④過於正規(教條地堅持軟體開發策略和標準),導致過多耗時於無用的工作;⑤向管理層撰寫進程報告占用開發人員的時間比預期的多;⑥風險管理粗心,導致未能發現重大的項目風險。
在進行了風險辨識後，我們就要進行風險估算，風險估算從以下幾個方面評估風險清單中的每一個風險：
(1)建立一個尺度，以反映風險發生的可能性；
(2)描述風險的後果；
(3)估算風險對項目及產品的影響；
(4)標註風險預測的整體精確度，以免產生誤解。
對辨識出的風險進行進一步的確認後分析風險，即假設某一風險出現後，分析是否有其他風險出現，或是假設這一風險不出現，分析它將會產生什麼情況，然後確定主要風險出現最壞情況後，如何將此風險的影響降低到最小，同時確定主要風險出現的個數及時間。進行風險分析時，最重要的是量化不確定性的程度和每個風險可能造成損失的程度。為了實現這點，必須考慮風險的不同類型。識別風險的一個方法是建立風險清單，清單上列舉出在任何時候可能碰到的風險最重要的是要對清單的內容隨時進行維護，更新風險清單，並向所有的成員公開，應鼓勵項目團隊的每個成員勇於發現問題並提出警告。建立風險清單的一個辦法是將風險輸入缺陷追蹤系統中，建立風險追蹤工具，缺失追蹤系統一般能將風險項目標示為已解決或尚待處理狀態，也能指定解決問題的項目團隊成員，並安排處理順序。風險清單給項目管理提供了一種簡單的風險預測技術，下表事一個風險清單的例子：
| 風險 | 類別 | 機率 | 影響 |
| 資金將會流失 | 商業風險 | 40% | 1 |
| 技術達不到預期效果 | 技術風險 | 30% | 1 |
| 人員流動頻繁 | 人員風險 | 60% | 3 |
在風險清單中，風險的機率值可以由項目組成員個別估算??通過先做個別估算而後求出一個有代表性的值來完成。對風險產生的影響可以對影響評估的因素進行分析。
一旦完成了風險清單的內容，就要根據機率進行排序，高發生率、高影響的風險放在上方，依次類推。項目管理者對排序進行研究，並劃分重要和次重要的風險，對次重要的風險再進行一次評估並排序。對重要的風險要進行管理。從管理的角度來考慮，風險的影響及機率是起著不同作用的，一個具有高影響且發生機率很低的風險因素不應該花太多的管理時間，而高影響且發生率從中到高的風險以及低影響且高機率的風險，應該首先列入管理考慮之中。
在這裡，我們需要強調的是如何評估風險的影響，如果風險真的發生了，它所產生的後果會對三個因素產生影響：風險的性質、範圍及時間。風險的性質是指當風險發生時可能產生的問題。風險的範圍是指風險的嚴重性及其整體分布情況。風險的時間是指主要考慮何時能夠感到風險及持續多長時間。可以利用風險清單進行分析，並在項目進展過程中疊代使用。項目組應該定期複查風險清單，評估每一個風險，以確定新的情況是否引起風險的機率及影響發生改變。這個活動可能會添加新的風險，刪除一些不再有影響的風險，並改變風險的相對位置。
在風險評估過程中，我們可以採取以下的步驟：
(1)定義項目的風險參考水平值。要使風險評估發生作用，就要定義一個風險參考水平值，對於大多數項目而言，通過對性能、成本、支持及進度等因素的分析，可以找出風險的參考水平值，對於性能下降、成本超支、支持困難或進度延遲（或者這四種的組合）等情況，超過這一參考水平值項目就會被終止。
(2)建立每一組（風險、風險發生的機率、風險產生的影響）與每一個參考水平值的關係。
(3)預測一組臨界點以定義項目終止區域，該區域由一條曲線或不確定區域界定。
(4)預測什麼樣的風險組合會影響參考水平值。風險駕馭
風險駕馭包括對策指定、風險緩解、風險監控、風險跟蹤等內容。
所有風險分析活動都只有一個目的——輔助項目組建立處理風險的策略。如果軟體項目組對於風險採取主動的方法，則避免永遠是最好的策略。這可以通過建立一個風險緩解計畫來達到即制定對策。
對不同的風險項要建立不同的風險駕馭和監控的策略比。如對於開發人員離職的風險項目開始時應作好人員流動的準備採取一些措施確保人員一旦離開時項目仍能繼續；制定文檔標準並建立一種機制保證文檔及時產生；對每個關鍵性技術崗位要培養後備人員。對於技術風險，可以採用的策略有，對採用的關鍵技術進行分析，避免軟體在生命周期中很快落後；在項目開發過程中保持對風險因素相關信息的收集工作，減少對合作公司的依賴尤其是對延續性強的項目應該儘可能地吸收合作公司的技術並變為自己的技術，避免因為可能發生的與合作公司合作的終止帶來的影響和風險降低投入成本。
一個有效的策略必須考慮風險避免、風險監控和風險管理及意外事件計畫這樣三個問題。風險的策略管理可以包含在軟體項目計畫中，或者風險管理步驟也可以組成一個獨立的風險緩解、監控和管理計畫（RMMM計畫）。RMMM計畫將所有風險分析工作文檔化，並且由項目管理者作為整個項目計畫的一部分來使用，RMMM計畫的大綱主要包括：主要風險，風險管理者，項目風險清單，風險緩解的一般策略、特定步驟，監控的因素和方法，意外事件和特殊考慮的風險管理等。一旦建立了RMMM計畫，我們就開始了風險緩解及監控，風險緩解是一種避免問題的活動，風險監控則是跟蹤項目的活動。它有三個主要目的：評估一個被預測的風險是否真的發生了；保證為風險而定義的緩解步驟被正確地實施；收集能夠用於未來的風險分析信息。
軟體開發是高風險的活動。如果項目採取積極風險管理的方式，就可以避免或降低許多風險，而這些風險如果沒有處理好，就可能使項目陷入癱瘓中。因此在軟體項目管理中還要進行風險跟蹤。對辨識後的風險在系統開發過程中進行跟蹤管理，確定還會有哪些變化，以便及時修正計畫。具體內容包括：
(1)實施對重要風險的跟蹤；
(2)每月對風險進行一次跟蹤；
(3)風險跟蹤應與項目管理中的整體跟蹤管理相一致；
(4)風險項目應隨著時間的不同而相應地變化。
通過風險跟蹤，進一步對風險進行管理，從而保證項目計畫的如期完成。
圖書1《風險管理》
基本信息書 名: 風險管理
作 者：郭延安
出版社： 清華大學出版社
出版時間： 2010年02月
ISBN: 9787302218487
開本： 16開
定價: 29.00 元
《風險管理(清華版)》適合作為普通高校尤其是高職院校金融、經濟專業學生的風險管理課程的教科書，也可供工商企業或金融機構從業人員、相關研究人員使用。在世界經濟一體化形勢下，現代經濟越來越依賴於金融業的發展，風險管理也就成為工商企業和金融機構的核心競爭力之一。《風險管理(清華版)》以系統介紹金融風險管理的基本理論與基本技能為主要內容，詳細介紹了商業銀行風險的特徵、來源、傳播及其種類，風險管理的文化、組織架構，風險管理的流程以及巴塞爾體系，商業銀行風險管理的技術標準等，並對信用風險、操作風險、市場風險、流動性風險、國家風險、法律風險及聲譽風險等具體風險形式的識別、評估及控制方法進行了重點介紹。
圖書目錄第一章 商業銀行風險概述
第二章 風險管理基礎
第三章 信用風險管理
第四章 操作風險管理
第五章 市場風險管理
第六章 流動性風險管理
第七章 國家風險管理
第八章 法律風險管理
第九章 聲譽風險管理
第十章 商業銀行風險管理技術
參考文獻
……
圖書2《風險管理》
基本信息書 名: 風險管理（第4輯）
作 者：中國金融風險經理論壇組委會編
出版社： 企業管理出版社
出版時間： 2010-5-1
ISBN: 9787802555259
開本： 16開
定價: 180.00元
《風險管理》秉承中國金鼬風險經理論壇的一貫精神和原則，擴展和延伸風險管理技術交締平台，進一步促進中國風險經理之間的交流和現代風險管理理念，制度和技術方法在中國的廣泛傳播。
圖書目錄圖書3《風險管理》
基本信息作者: 〔美〕科羅赫
譯者: 曾剛
出版社: 中國財政經濟出版社
出版年: 2005-01-01
頁數: 570
定價: 80.0
裝幀: 平裝
ISBN: 9787500576303
本書全面囊括市場風險、信用風險與操作風險，綜合的VaR分析框架，降低風險的對沖策略，作者將風險管理的整個領域融為一體，從政策、方法論到數據、技術框架，介紹了綜合性的風險管理、監管環境、資本分配、實際的度量問題以及未來的思考等。本書涵蓋了投資對沖策略，將創新性衍生品、信用風險以及證券化技術等內容化為一部無所不包的、易於接受的參考指南。
作者簡介米歇爾·科羅赫，博士，加拿大帝國商業銀行風險管理部高級副總裁、全球分析師，負責市場及信用風險分析。在學術期刊上著述頗多，現任《衍生品》以及《銀行與金融》雜誌的副編輯，還是《風格》的編委會成員。
丹·加萊博士，希伯來大學金融管理教授，SigmaP.C.M股東。加萊博士為芝加哥期權交易所以及美國股票交易所提供諮詢服務，並在領先雜誌上發表了大量文章。他是芝加哥期權交易所首屆Pomeranze獎獲得者，該獎用於表彰期權研究方面的卓越成果。
羅伯特·馬克，博士，加拿大帝國商業銀行高級執行副總裁、首席風險官，直接向銀行的主席和CEO匯報。馬克博士是加拿大帝國商業銀行高級執行團隊成員，1998年被任命為全球風險師協會財務風險管理者。
前言
緒論
序言
第1章 風險管理體系的必要性
1.導言
2.歷史演進
3.監管環境
4.學術背景與技術變遷
5.會計體系與風險管理體系
6.最近的金融危機所帶來的教訓
7.風險敞口的分類
8.非金融機構的風險管理體系
第2章 管制方面的新動向的公司環境
1.導言
2.30人小組（G-30）的政策建議
3.1988年巴塞爾協定
4.“1996年修正案”或“1998年巴塞爾協定”
5.2000巴塞爾協定
第3章 銀行風險管理程式的設計和管理
1.導言
2.風險管理的組織：3支柱框架
3.數據和技術性設施
4.風險授權和風險控制
5.建立資產負債缺口的風險限額和流動性管理
6.結語：通往成功的步驟
第4章 新巴塞爾協定對金融風險的資本要求
1.導言
2.標準化方法
3.內部建模方法
4.標準化模型和內部模型方法的劫持和反對意見：一個新的建議——“預留方法”
5.根據標準經方法和內部建模方法計算出的資本要求比較
第5章 測度市場風險：VaR方法
1.導言
2.測度風險：一個歷史視角
3.在險價值的界定
4.在險價值的計算
5.在險價值的計算
附錄：債券的持續期和凸性
第6章 測度市場風險：VaR方法的擴展以及模型檢驗
第7章 信用評級體系
第8章 衡量信用風險的信用轉移方法
第9章 用於衡量信用風險的或有求償法
第10章 其他方法——衡量信用風險的實際的和簡化形式的方法
第11章 對各行業開發的信用模型的比較以及相關測試問題
第12章 信用風險的套期
第13章 管理操作風險
第14章 資本分配與業績評估
第15章 模型風險
第16章 非銀行機構的風險管理
第17章 未來的風險管理
信息化項目風險管理的特殊考慮
1、管理變革的風險。 信息化是一個管理理念上的改變，而不僅僅是一個n’項目。不少企業高層管理人員尚未認識到這一點。項目實施的過程中僅由技術主管負責，缺少管理人員和業務人員的積極參與，項目經理由技術部門的領導擔任。
管理觀念的轉變還體現在信息化系統實施過程對企業原有的管理思想的調整上。信息化不僅僅是用一個系統或買一套軟體，更重要的是帶來了整套先進的管理思想。只有深刻理解、全面消化吸收了新的管理思想，並結合企業實際情況加以運用，才能充分發揮系統帶來的效益。因此，在實施過程中企業管理人員和業務人員轉變管理思想是一個必不可少的痛苦過程。順利轉變管理思想，在某種意義上是信息化成功推行的最關鍵的因素。
2、業務流程進行重組的風險。
在信息化的過程中，自然地要對企業的業務流程進行重組。系統的成熟、先進的業務流程模板值得借鑑。但是業務流程的重組牽涉到人員的變動、權力的重新分配、組織機構的改變，會觸動某些人的既得利益，形成很大的阻力。沒有充分的思想準備和物質準備，往往由於可能造成企業不願或不能承擔的損失，會迫使領導者半途止步，保留原有低效但運作平穩的流程。實施信息化系統不是一個簡單的更新軟體系統的事情，而是對企業的重新定位以及業務重組的事情。高層管理的實際支持與參與是根本保障。有些企業簡單地把信息化的職權與責任移交給技術部門，而在實施過程中這些被賦予的權責往往很難得到落實。一把手的參與和支持是項目成功的重要因素之一。另外，不正視企業的特殊環境，以滿足軟體要求而進行業務流程重組，難免“削足適履”，因小失大。
3、技術風險。
包括軟體的技術風險和軟體的選擇風險。由於信息技術發展的速度非常快，不確定性的因素大量存在，而人們對這些不確定性的認識和控制的能力又非常有限，許多經過認真論證的很好的研究項目，最後出現大大出乎預料之外的或者失敗的結果的情形並非偶然的。此外，由於信息技術的基本載體與人們日常生活經驗直覺的信息載體的差異，人們對信息技術的變化和當中的一些錯誤都不是很容易感知的。
4、部門和人員間溝通不暢的風險。
實施隊伍對於信息管理系統的成功實施至關重要，通常要由項目經理、流程指導顧問、技術支持顧問、項目組核心成員構成。項目實施小組要由具有豐富信息化系統項目實施和企業流程管理經驗的諮詢人員和企業內部的管理人員、業務人員以及技術人員一起組成。經常發生的情況是各方人員不到位，實施小組完全由計算機專業背景的技術人員組成，然而業務部門往往是決定項目正常運作的關鍵，缺少業務部門的積極參與與溝通將使項目的實施隱藏巨大的風險。
5、經費預算的風險。
信息化項目投資彈性大並且經費的估計比較軟性，資金的風險也需要特殊考慮。另外外部環境的變化也會對資金的需求產生一些預定計畫之外的風險。信息化實施過程中需要投入較大的成本，實際資金支出往往遠遠超出當初的預算。諮詢、維護、調整、升級等許多意想不到的開支往往使成本急劇增加，因此應有很好的成本控制計畫。軟體使用許可證的一次性費用約為幾百萬元人民幣甚至過千萬，每年的軟體支持維護費在幾十萬元，一些品牌軟體系統的維護費用是按照已開發國家的人工和服務費標準收取的。支持系統運行的硬體投入和人員費用也是很大的。很多企業在支出過大而效益又不明顯的情況下，只能後悔或放棄一些信息化的項目。
6、信息與系統安全的風險。
系統安全措施包括：作業系統授權、網路設備許可權、套用系統功能許可權、數據訪問許可權、病毒的預防、非法入侵的監督、數據更改的追蹤、數據的安全備份與存檔、主機房的安全管理規章、系統管理員的監督，等等。
目前，普遍存在著不重視系統安全的現象，諸如用戶口令泄密、超級用戶授權過多等。缺乏安全意識的直接後果是系統在安全設計上出現漏洞和缺陷，它將導致系統的癱瘓。對系統軟體過多的更改可能會影響程式和數據的一致性和完整性，也給將來的軟體版本升級增加了難度和成本。
7、延誤時間的風險。
智力密集型項目的時間安排彈性比較大，在實施信息化的過程中，進行項目管理、控制項目進度、確保整個實施過程能夠按照預計的時問表進行，對項目的成敗至關重要。人們在項目在一開始就沒有能夠制定明確的、可行的實施計畫，在實施過程中不能按時實現里程碑性的目標，使領導人員和實施人員喪失信心，原定的目標發生變化，最終導致項目半途而廢。
8、系統的協調、升級和維護方面的風險。
企業中原先各自分離的部門開發的一些信息系統在集成時會發生很多接口上的問題，要深入了解各獨立模組之間的內部機制，將其有機地集成並非一件易事。資料庫的共享需要數據的規範和利益各方的協調，如果考慮不周，很難將系統集成起來。軟體版本需要經常性更新以積極運用日新月異的技術水平和容納先進的管理思想，但各個軟體商的發展方向、策略和版本更換步調不一致，它們之間的合作很鬆散，許多軟體商在激烈的競爭中被淘汰，將來產品更新時新軟體商未必能顧及與企業先前曾經合作的夥伴的軟體產品的接口問題，因而會造成軟體組合無法更新換代。業務流程在發展，對系統的要求不能一成不變，這最終導致企業不得不擯棄原有軟體系統。因此選用信息化軟體時最好不要同時選用多個廠家的產品組合。
9、專業人員流失和變化的風險。
一方面，如果系統的普適性較差，會使得系統對專業技術人員的依賴性太強，骨幹人員的流失會造成系統的不穩定或無效。即便軟體商或其他機構有一些服務的承諾，也時常會有令人很不愉快的事情發生。另一方面，一個不可忽視的情況是，由於信息化的過程弱化了一些不再重要的業務流程的骨幹人員的作用，在不預先進行適當的考慮和統籌安排的情況下，這會挫傷他們的積極性並且可能直接影響到企業的長期發展。
10、軟體系統的選擇風險。
系統的選擇是一項十分複雜的工作。每個實施信息化的企業必須開發或選用一套大型的軟體系統。軟體系統的實現方案有三種，即自行開發、購買現成產品和租賃。
至於選擇自行開發還是購買現成軟體包；如果選擇購買現成軟體包，又應當如何挑選軟體，這些抉擇直接影響實施的時問、成本、風險及其對業務流程的影響程度。
11、系統和人之間的誤解造成的風險。
(1)一部分核心業務部門的人的觀念中，信息系統只是一個電腦系統，信息化的實施是信息系統部門的事情，跟其他部門關係不大；或者認為rI’部門是系統實施的責任人，在流程設計和實施上完全依賴rI’部門，他們要求怎么做就怎么做，出了問題就直接找rI’部門，自己反而成為了系統的操作員或奴隸。而rI’部門的人對業務流程的理解往往不夠全面深入，很可能造成一些技術上可行，但業務上荒唐的錯誤。
(2)系統設計本身的錯誤或者新的情況變化後，系統沒有及時作出適當的調整。
(3)有的人總認為系統是萬能的，盲目相信系統，沒有認真分析數據和信息，以至於發生一些明顯的重大的錯誤。再好的系統也是幫助決策的，信息技術永遠是一種支撐的手段。保持批評性的態度，結合經驗和直覺進行必要的分析和檢驗是有益的也是必要的。
12、盲目照搬他人模式的風險。
信息化軟體有一個本土化和對具體企業的適應要求。一些國外的著名軟體供應商的系統軟體功能強大，性能穩定，包括了一些標準的通用模組和比較方便的調整接口。
但是，一般的供應商的興趣和特定的企業用戶需求之間的差距總是存在並且有時是很明顯的。同時，服務支持系統及費用通常也是很需要考慮的因素。
最近的研究表明，企業在信息化的過程中同時也要注意兼顧原有的業務發展和管理經驗，對信息系統進行有創意的改進。比如製造業企業的許多生產流15程的標準是很獨特的，管理軟體使用不當常常造成生產上的嚴重損失。企業信息化要強調以套用為主導，從套用人手，吸收國內外先進的生產管理理念，以改善國內企業管理經營者的基本工作條件。
以企業取得的實際效果為目標，才是企業信息化的正確道路。信息化建設不要追求技術水平如何高，而是要解泱企業的實際問題，讓企業真正見效益，否則就沒有生命力。信息化過程中的資金、人員、設備的投入都要以提高企業競爭力和企業效益為依歸。實施企業信息化首先應該管理先行，要站在企業管理的角度建立模型，進行業務流程的最佳化。
