风险最有可能对项目产生影响，这种分析是在所有其他不确定性要素保持其基准值的前提下，考察每个项目要素的不确定性对项目目标影响的程度。一种是决策分析树，决策分析通常结构化为决策树形式，决策树是一种图表，它反映了尚在考虑中的一项决策，以及选择一个方案和两个被选方案中的另一个的暗示。决策树将风险概率、事件的每一条合理路径的成本和报酬、以及未来的决策综合在一起。还有一种是模拟，项目模拟采用的模型，可以将详细规定的不确定性转化为对项目总体目标的潜在影响，使用蒙特卡罗技术是进行项目模拟的一种典型手段。我们可以使用一种方法，也可以使用多种途径进行分析，直到最后得到量化的风险优先次序清单。这种量化或许是不准确的，但只要做了，总是可以得到一个大致的趋势，便于项目管理者掌握项目风险状态。
显然，知道了风险，知道了风险的优先次序，必然要针对风险制定风险应对计划。风险应对计划编制是一个开发方案和制定措施的过程，目的是为了提升实现项目目标的机会、减低对项目目标的威胁。它包括确定人员负责每个已经认可的风险应对行动，以保证已识别出的风险得到合适的处置。风险应对计划编制的有效性直接决定项目的风险是增加还是减少。风险应对计划应该与风险的严重性、应对成本的有效性、完成任务的适时性相适应，并且确认由专人负责。风险应对的办法一般包括四种策略：规避、转移、缓解和接受。规避就是通过变更项目计划，从而消除风险和产生风险的条件。
减少项目范围以规避高风险工作；增加项目资源和时间；采用一种熟悉的而不是创新的方法；避免使用一个不熟悉的分包商等都是风险规避的典型例子，本文描述的笔者的状况显然不属于这种方式。风险转移是设法将某风险的结果连同对风险进行应对的权利转移给第三方，转移风险只是将管理风险的责任转移给另一方，它不能消除风险。转移风险几乎总是会伴有向接受风险的一方支付风险成本，应该说本文描述的软件外协就是一种风险转移，将项目组本身由于行业知识限制所造成的软件开发风险转移给第三方，同时伴随了向接受风险的一方支付风险成本。所谓缓解是设法将某一负面风险事件的概率或其后果降低到一种可以接受的程度，早期采取措施降低风险发生的概率或风险对项目的影响，比在风险发生后再亡羊补牢更为有效，对照风险可能的概率和其后果，缓解的成本应是合理的。
本文中描述的例子对于整个软件外协项目来说，它的风险应对计划是进行风险转移，而对于已经外协后发现的类似协作方技术状况弱等情况采取的早期介入，进行强力技术支持则是一种风险缓解。最后一种风险应对计划就是接受，这种手段意味着项目队伍决定以不变的项目计划去应对某一风险，或项目队伍不能找到其他合适的风险应对策略。积极的接受行动包括制定一个应急计划，以备风险发生时用。消极的接受不需要任何行动，仅让项目队伍在风险发生时去对付风险。总的来说，接受是一种没有办法的办法，除非环境所限可能一般都不会采用。对于编制好的风险应对计划，它的每一条包含如下条目：已经识别的风险及其描述，风险成因以及风险可能如何影响项目目标；风险承担人和分派的责任；定性和定量分析过程的结果；针对风险所确定的应对措施，包括规避、转移、缓解或接受；在应对战略实施后，期望的残留风险水平；实施选定的应对战略所需的具体行动；风险应对预算和时间；应急计划和退却计划等。
到这一步，项目管理者应该已经成竹在胸了，因为已经识别到了风险、定性定量的分析了存在的风险、制定了风险应对计划，只要按部就班的按计划执行，就可以达到预期的目的，胜利已在眼前，但越是最后越是不可掉以轻心，要继续重视风险的监督和控制。风险监督和控制是这样一个项