0 前言
在IT领域，项目章程或业务系统设计文件中习惯上会包括风险缓解部分。然而，以我的经验，这些缓解策略常常仓促盲目、缺乏支持、不切实际，并且只有在发现某个风险已经开始发生时，才会得到实施。
对于我来说，这不是风险缓解，而只能算做灾害管理。由定义可知，风险是一种潜在的情况。等到潜在的情况成为现实，它就已经不再是“潜在”的了，也就不能再被称做风险。
然而，风险缓解却是非常重要的一个概念，尤其对于大型项目。它指的是识别并避开暗礁的过程，而不是指在船触礁沉没后再计划该怎么做。这意味着，风险识别应当在航程(项目)开始前进行，而风险缓解应该是航线制定工作的一部分，而不是对意外事件的处理。这其实相当不容易，甚至可能需要您对组织文化进行调整，但是，在预算紧张、对错误的承受能力较低时，风险缓解却是极为必要的。
大部分项目风险来自与项目或项目结果直接相关的人员。这是我一直坚持的观点，尽管这一说法存在争议，但是，如果您回顾一下刚刚完成的项目，就会发现，大多数问题都源于缺乏沟通、过于自负、技能缺陷、政策失误及计划不当等因素。
由于供应商破产或天气恶劣等外部因素导致IT项目失败的情形少之又少。真正的风险是与人及其行动联系在一起的。风险评估和缓解的真正过程是要对成员进行很好的管理。在项目风险管理中，风险评估是首要且关键的步骤，并且是其他步骤的基础。在之后的步骤中，才会制定缓解策略，并将其作为项目计划的一部分来实施，而后续的这些步骤只有在第一步成功的基础上才有意义。因此，本文主要讨论如何进行第一步，即风险评估。
1 什么是成功的项目
简而言之，实现了项目章程规定的目标就是成功的项目。实现了目标，就可以带来可衡量的收益(例如投资回报)。再简单讲，就是项目结果为公司及其利益相关方带来了价值，而这也是公司为项目分配资源的原因。在多数情况下，期望产生的价值都是有形的。
当然，项目成功最常用的标准之一，是项目是否按时完成并保持在预算之内。这些无疑非常重要，所有项目都应该努力达到。但是，如果为了实现公司目标和创造价值，需要合理地多花一些时间和费用，那么就应该提供一定的灵活性。
还有一系列“人”的因素，也常常被忽略。最理想的是，项目团队成员永远都不会被辞退或降职、失去朋友或者由于参与项目而无精打采甚至丧失某些权利。实际上，面对项目结果，参与者和受益者都应该感到美好。
这一点非常重要，不仅是因为这些人将会成为新的流程或应用程序的使用者和支持者，还因为他们仍可能是以后项目的参与者。因此，在风险评估和缓解的过程中，我们既要寻找可能会妨碍项目完成的“人”的因素，又要寻找能够让系统或应用程序为公司带来价值的“人”的因素。这是风险评估和风险缓解的根本。
2 为什么要管理风险
对风险进行前瞻性的管理可以节约时间和费用，这也是进行风险管理的一大原因(除上文所述的原因外)。我们以一个假想的IT项目为例：项目经理进行了初步研究，制定了项目计划。管理层批准了该计划，从而为项目开了“绿灯”。
项目预定在6个月内以总成本60 000美元完成。但计划却忽略了一个“小”的意外因素，并且没有制定实用的风险缓解策略。在项目进展过程中，遇到了一些与该因素相关的风险，下面是两种可能的方案：
方案A：项目开始时按进度实施，但是只做了计划中安排的工作，没有评估风险。由于有两位高级管理人员对某一部分理解不一致，导致项目实施过程中，项目方向有4个月都在变来变去。
最终，项目花费了9个月时间和90