1軟件項目風(fēng)險管理概述

1.1軟件項目風(fēng)險定義

軟件開發(fā)項目的風(fēng)險為軟件項目在整個生命周期內(nèi)，由于受各種環(huán)境的不確定性因素的影響，實際發(fā)生的成本、進度、質(zhì)量等與預(yù)期結(jié)果的不利偏差。軟件項目的風(fēng)險具有以下的幾個特點：第一，對于項目各組成部分之間的復(fù)雜關(guān)系，任何個人都不可能徹底地了解。第二，項目各個組成部分之間不是簡單的線性關(guān)系。第三，項目時刻處于動態(tài)變化之中，平衡狀態(tài)即使出現(xiàn)也只能是短暫的。第四，項目管理者不僅要面對技術(shù)和經(jīng)濟問題，還要面臨一些非常復(fù)雜、非線性和不確定性極高的問題。

1.2軟件項目風(fēng)險管理

軟件項目風(fēng)險管理是對有關(guān)軟件項目、軟件開發(fā)過程和軟件產(chǎn)品損失的可能性，它涉及操作過程、組織過程和合同等相關(guān)參數(shù)，主要包括資源制約、外界因素、供應(yīng)商關(guān)系或合同制約的管理。Boehom認為軟件風(fēng)險管理指的是“試圖以一種可行的原則和實踐，規(guī)范化地控制影響項目成功的風(fēng)險，其目的是辨識、描述和消除風(fēng)險因素，以免它們威脅軟件的成功運作。”Hall認為軟件風(fēng)險管理是對影響軟件項目、過程或產(chǎn)品的風(fēng)險進行估計和控制的實踐過程，該實踐圍繞目標設(shè)定、項目計劃、執(zhí)行、度量、改進和發(fā)現(xiàn)新信息六大科目展開。SEI在軟件工程體系中提出軟件風(fēng)險管理是有關(guān)管理威脅開發(fā)軟件產(chǎn)品計劃風(fēng)險的概念、方法和技術(shù)，包括風(fēng)險辨識、分析、監(jiān)控、減輕和計劃。具體分成三個知識單元：風(fēng)險分析、風(fēng)險管理計劃和風(fēng)險監(jiān)控。通過以上軟件風(fēng)險項目管理的不同觀點，可以歸納出軟件風(fēng)險管理是一個為了避免和減小軟件項目失敗的風(fēng)險，對軟件風(fēng)險進行識別、分析、計劃、監(jiān)控的管理過程。

2經(jīng)典軟件項目風(fēng)險管理模型

2.1 Boehm體系

Boehm于1991年詳細描述了他的思想體系，其中把風(fēng)險管理活動分成兩大階段，每一階段含有三個步驟：第一階段，風(fēng)險估計階段。此階段可分為：風(fēng)險辨識、風(fēng)險分析，風(fēng)險排序三個步驟。第二，風(fēng)險控制階段。此階段可分為：編制風(fēng)險管理計劃，風(fēng)險解決，風(fēng)險監(jiān)督三個步驟。每一步驟都備有不少的相關(guān)實現(xiàn)技術(shù)，例如，風(fēng)險辨識中給出了10大軟件風(fēng)險因素清單。同時還推薦了各個因素的相關(guān)處理意見及方法。從該清單出發(fā)，經(jīng)理和工程師們能夠進一步細化風(fēng)險因素，并加以評估和化解。

2.2 Charette體系

1989年Charette設(shè)計了稱為風(fēng)險分析和管理的體系，兩大階段分別為分析階段和管理階段，每個階段都內(nèi)含三個過程，風(fēng)險分析階段分為：辨識、估計、評價；風(fēng)險管理階段分為：計劃、控制、監(jiān)督。每個階段內(nèi)的過程活動并不能完全分離，有相互重疊甚至交錯反復(fù)的現(xiàn)象。Charette同時為各個過程提供了相應(yīng)的戰(zhàn)略思路、方法模型和技術(shù)手段，特別在風(fēng)險的辨識和估計過程中，其中大多數(shù)是運籌學(xué)、系統(tǒng)科學(xué)中的模型應(yīng)用。

2.3 SEI體系

SEI在軟件風(fēng)險管理方面作了大量的工作，1999年前后分別以技術(shù)報告和手冊等形式公布了基于分類的風(fēng)險辨識（TBQ）、連續(xù)風(fēng)險管理（CRM）、軟件風(fēng)險評估（SRE）、軟件采購風(fēng)險管理成熟度模型（RM－CMM）和團隊風(fēng)險管理（TRM）。完整思想是想以TRM為框架，貫穿CRM思想，依托SRE過程，以TBQ等為基本手段，配合軟件能力成熟度模型（SW－CMM）和（SA－CMM）完成軟件的風(fēng)險管理。其中CRM思想如上圖1所示，SRE過程分為合同簽訂、風(fēng)險辨識和分析（RI＆A）、中間報告、緩和戰(zhàn)略計劃（MSP）和終報告5個階段。SA－CMM與SW－CMM類似，前者是對獲取軟件產(chǎn)品或服務(wù)一方組織管理能力的描述，后者是對開發(fā)組織過程能力的描述。RM－KPA的結(jié)構(gòu)包括目標、為達成目標的活動和支持活動順利開展的制度化特征。其中目標有3個：1）鼓勵項目全體人員參與到所遇風(fēng)險的辨識和緩和中來；2）在所有的項目職責(zé)中明確項目團隊軟件采購過程的風(fēng)險辨識、分析和緩和；3）項目評審已識別出風(fēng)險的狀態(tài)。

2.4 Hall體系

Hall女士受SEI連續(xù)過程改進和PDCA質(zhì)量管理方法的啟發(fā)，提出了“6－學(xué)科模型”（Six-Discipline，6-D），E代表預(yù)想（Envision），這是把思想轉(zhuǎn)換為目標和目的的學(xué)科，用于研究軟件產(chǎn)品的遠期規(guī)劃；P代表計劃（Plan），是要為軟件目標分配資源的學(xué)科；W代表工作（Work），指生產(chǎn)產(chǎn)品計劃的執(zhí)行，工作的伴生產(chǎn)品是狀態(tài)和不確定性；M代表度量（Measurement），指比較期望值和實際值的學(xué)科，兩個值的差異用于調(diào)整項目計劃；I代表改進（Improve）是指從過去的經(jīng)驗中學(xué)習(xí)的學(xué)科，它通過分析基準和項目度量結(jié)果，找出改進的方向；D表示發(fā)現(xiàn)（Discover），是指要預(yù)知未來的學(xué)科，是通過對工作中不確定性的評價和困惑的思考，思考機會和風(fēng)險的均衡，預(yù)先指導(dǎo)計劃和規(guī)劃的改變。

3軟件項目風(fēng)險管理模型分析

以上4種典型的軟件項目風(fēng)險管理體系各有特色，較早出現(xiàn)的兩套體系（Boehm和Charette體系）偏重于理論結(jié)構(gòu)的完善，不妨稱為理論體系，后兩套體系則偏重于實踐應(yīng)用，不妨稱為實踐體系�？傮w來說，理論體系結(jié)構(gòu)完整，內(nèi)容完善，并附帶有與結(jié)構(gòu)和內(nèi)容相配套的不少方法和技術(shù)。體系構(gòu)建者旁征博引，著重說明了為什么要這樣做的道理，闡明了如何從其它學(xué)科，如運籌學(xué)、決策理論等中借用思想、方法和工具。但研究范圍局限于軟件項目的核心風(fēng)險管理，研究對象主要是開發(fā)技術(shù)風(fēng)險，很少論及實現(xiàn)體系思想所需要的保障措施，基本上只站在開發(fā)商一方討論風(fēng)險管理問題，操作性也顯得不足，整體上看思想性大于技術(shù)性，對實施過程中人所發(fā)揮的作用估計不足，從一定程度上說有理想化的成份。

Boehm先生一直關(guān)注軟件項目的風(fēng)險管理問題，曾提出了圍繞風(fēng)險管理開展軟件開發(fā)的方法，即螺旋模型，還從經(jīng)濟學(xué)角度論證了軟件開發(fā)問題，并引入了構(gòu)造型成本模型（COCOMO）。他突出的貢獻之一是建立了軟件風(fēng)險管理研究領(lǐng)域，提出了頭10大風(fēng)險清單的風(fēng)險辨識思想，盡管有缺乏動態(tài)性的不足，但確實對后續(xù)研究產(chǎn)生了很大的影響，只是他的體系在計算風(fēng)險當(dāng)量時沒有考慮效用因素。

Charette先生的體系從結(jié)構(gòu)上看與Boehm體系只在用詞不同，本質(zhì)上區(qū)別不大（兩者同在1989年獨立提出軟件風(fēng)險管理體系）。Charette的體系中認識到了風(fēng)險的投機性，也從步驟上強調(diào)了對組合風(fēng)險的評價。但如何獲取單一風(fēng)險估計值和組合風(fēng)險分析效果，還缺乏可行的手段和措施，在風(fēng)險的效用問題上只考慮了目標效用，而沒有考慮到不同項目參與人的效用。另外，與Boehm一樣，也沒有考慮點概率值在實踐應(yīng)用中的不足。

兩套實踐體系明顯的特點是考慮到了體系的可操作性，體系中的理性思考以指導(dǎo)實踐步驟為主要目的，基本上摒棄了復(fù)雜的數(shù)學(xué)運算，強調(diào)與軟件開發(fā)過程的緊密結(jié)合，強調(diào)把劃分好的任務(wù)落實到人的重要性，還繪制出了關(guān)鍵的風(fēng)險管理實用表格，注意到了風(fēng)險管理數(shù)據(jù)的形成和利用問題。但為保證復(fù)雜體系的一致實施，需要對實施人員進行專業(yè)化培訓(xùn)。SEI體系明確提出了軟件采購方在項目風(fēng)險管理中的地位和作用，注重發(fā)揮和要求采購方參與到風(fēng)險管理中來。該體系基于風(fēng)險分類結(jié)構(gòu)辨識風(fēng)險，組織了194個揭示風(fēng)險的問題，設(shè)計了各項實施措施的場景，有些活動甚至詳細規(guī)定到了需要在多少分鐘內(nèi)完成。為了簡化風(fēng)險管理的實施成本和實施難度，該體系將風(fēng)險發(fā)生的可能性定義為非常可能、可能和不可能3種，把風(fēng)險后果定義為災(zāi)難性的、嚴重的、次要的和可以忽略的4級，兩項因素組合成的風(fēng)險當(dāng)量簡化為高、中和低3檔結(jié)果，不過這種做法在降低管理成本的同時也降低了管理精度。SEI體系的管理步驟多于技術(shù)、方法和工具，沒有涉及到組合風(fēng)險的處理，可以看出其主體思想是以簡單的學(xué)術(shù)背景要求、方便的日常事務(wù)應(yīng)用，再加上嚴格的管理規(guī)定達成IT項目風(fēng)險管理效果。所以盡管技術(shù)要求不高，但實施成本不低，因此更適合于大型公司或開發(fā)大型項目時采用。但不足的是對如何取得預(yù)想方案中風(fēng)險和機會的均衡重視不夠，基本思路是改進項目管理，帶動風(fēng)險管理，管理范圍仍以核心軟件風(fēng)險管理為主。也可以認為上述4套體系歸屬兩個風(fēng)險管理層次，一個是研究如何辨識、處理和消除風(fēng)險的學(xué)科，一個是試圖辨識并采取規(guī)避措施的行為或過程。照此理解前兩套體系屬學(xué)科層，后兩套體系屬過程層。以上4套體系總體都偏重解決開發(fā)活動內(nèi)部的技術(shù)風(fēng)險，在風(fēng)險控制手段上也往往著眼于降低風(fēng)險發(fā)生的可能性，而對如何規(guī)避風(fēng)險后果措施不多。