项目管理中的残余风险：含义与示例

什么是残余风险？

残余风险 是指实施风险应对措施后仍然存在的风险水平。PMI 的《PMBOK 指南》将残余风险描述为采取计划的应对措施后预计仍会存在的风险，包括被有意接受的风险。ISO 的风险管理词汇（ISO Guide 73）对其的定义更为简洁：风险处置后剩余的风险。

通俗地说，您从一个 项目风险开始，决定如何应对，付诸实施，然后问：现在它发生的可能性有多大，后果会有多严重？答案就是残余风险。

• 它是已识别的风险。 您已经知道它的存在，因此可以为其做计划，这与未知风险不同。
• 它很少为零。 减轻可以降低概率或影响；转移可以转移财务影响；但两者通常都不能完全消除事件本身。
• 它是一个决策点。 一旦知道残余风险的水平，就必须有人决定它是否可以接受。
• 它的应用不限于项目。 信息安全、健康与安全、内部审计和企业风险管理都使用同样的概念。

固有风险、残余风险与次生风险

风险管理以及 PMP 和 CAPM 考试题目中会出现四个相关术语。下表以一项数据迁移风险为例，说明它们的区别。

残余风险与次生风险

两者很容易混淆，因为它们都出现在采取应对措施之后。区别在于它们的来源：

• 残余风险 是 同一项风险，降低了但未消除。事件仍可能发生。
• 次生风险 是由您的应对措施引入的 另一项风险 。它需要在以下文件中单独登记： 风险登记册，并有自己的得分和负责人。

示例：为了降低技能短缺的风险，您将测试外包给一家专业公司。测试仍有一定可能延期（残余风险）。外包还带来了新的可能性，即该公司误解您的需求（次生风险）。

为什么残余风险很重要

规划了应对措施可能会带来虚假的安全感。衡量残余风险能让风险状况保持真实。

• 如实报告。 发起人需要知道团队采取行动后还剩下哪些风险，而不仅仅是最初识别出的风险。
• 规模适当的储备。 应急储备通常根据残余风险和已接受风险的预期成本来确定规模。
• 物有所值。 比较固有风险和残余风险可以表明某项应对措施是否值得其成本。
• 明确的问责。 当残余风险被记录并正式接受后，每个人都知道是谁决定承担它。
• 更好地聚焦。 残余得分高的风险继续留在议程上；已降至低水平的风险可以转入常规监控。

各种应对策略如何影响残余风险

您选择的应对措施决定了剩下的风险。以下是 PMI 描述的威胁应对策略及其对残余风险的通常影响。

对于机会，逻辑正好相反：在开拓、提高或分享之后，重新评估收益现在实现的可能性有多大以及规模有多大。

如何计算残余风险

并没有唯一的官方公式。大多数项目使用以下三种方法之一。请选择一种，始终如一地使用，并在风险管理计划中定义您的量表。

方法 1：重新评定概率和影响

这是最简单、最常用的方法，与大多数登记册使用的概率 x 影响矩阵相一致。

1. 为固有风险评分：概率（1-5）x 影响（1-5）。
2. 列出应对措施，并确认它们切实可行、有资金保障且有人负责。
3. 假设应对措施按计划奏效，重新评定概率和影响。
4. 相乘得到残余得分。

例如，固有概率为 4、影响为 4，得分为 16。如果减轻措施将概率降至 2 而影响仍为 4，残余得分为 8。

方法 2：预期货币价值

在可以估算成本的情况下，用金额来表示残余风险。 残余预期货币价值 = 残余概率 x 残余成本影响。 有 10% 的可能超支 £20,000，则残余风险敞口为 £2,000。这有助于确定应急储备的规模，也便于将应对措施与其成本进行比较。对于整个项目， 蒙特卡洛模拟 可以将多项残余风险综合成一个结果区间。

方法 3：控制有效性

有些组织（尤其是在安全和审计领域）会估算控制措施的有效性，并据此降低固有得分： 残余风险 = 固有风险 x (1 - 控制有效性)。固有得分为 15、控制措施被评估为 60% 有效，则得分为 6。请将其视为粗略的参考：有效性百分比是主观判断，而且降低概率的应对措施并不总能降低影响。

计算示例：建筑项目中的残余风险

一个建筑项目依靠租用的塔式起重机来架设钢结构。一旦起重机发生故障，在找到替代设备之前，工作可能停滞长达六周。

应对措施花费 £5,000，使预期风险敞口减少 £34,500，因此显然是值得的。残余得分 4 在项目承受范围 6 之内，因此项目经理将该风险记录为按其残余水平接受，在应急储备中预留 £1,500，并继续监控检查报告。

此处的数字仅用于说明。在您自己的项目中，请使用组织的量表和成本估算。

更多残余风险示例

请注意，转移和违约金条款通常能降低财务影响，但不能降低进度或声誉影响。请如实记录剩余的风险。

如何分步评估残余风险

1. 为固有风险评分 ，使用商定的概率和影响量表。
2. 商定应对措施，为每项行动指定负责人、成本和日期。
3. 估算计划的残余风险：假设应对措施奏效，重新评分。这就是您的目标。
4. 检查应对措施 产生的次生风险，并单独登记。
5. 与承受范围进行比较 ，承受范围在以下文件中设定： 项目管理计划.
6. 做出决定：接受、增加应对措施或上报。
7. 记录决定，包括由谁、在何时接受了残余风险。
8. 应对措施完成后重新评分 ，得出实际的残余风险，并持续监控触发因素。

残余风险可以接受吗？

判断残余风险是否可以接受是一种判断，但应遵循商定的规则，而不是凭直觉。

• 将其与承受范围进行比较。 风险管理计划应根据组织的风险偏好，说明哪些得分项目可以接受，哪些需要上报。
• 权衡进一步降低风险的成本。 如果再采取一项应对措施的成本超过它所消除的风险敞口，接受残余风险往往是明智的。 成本效益分析 在这方面会有所帮助。
• 考虑非财务影响。 即使从经济角度看理由不充分，安全、法律和声誉风险也可能需要进一步降低。
• 让决策公开透明。 重大残余风险应由发起人或项目委员会通过项目的 治理 安排明确接受，而不是由团队悄悄接受。

以下是使用 1-25 评分量表的商定规则示例：

这些等级是我们的建议，而非标准。请根据组织的风险偏好和项目的重要性自行设定。

管理残余风险：应急储备和弹回计划

已接受的残余风险仍然需要计划。常用的工具有两种。

应急储备位于成本 基准 之内，是 项目预算的组成部分。将已接受风险的残余预期价值相加，可以为应急储备的规模提供一个站得住脚的起点。

如果残余风险确实发生，它就成为问题：将其移入 问题日志，执行应急计划；如果预算或进度发生变化，则需走 变更控制.

在风险登记册中记录残余风险

只显示一个得分的登记册会掩盖应对措施的效果。增加若干列，让应对前后的情况一目了然。

我们的免费 风险登记册模板 会自动计算概率 x 影响得分；在旁边增加残余得分和接受情况两列，即可跟踪应对后的状况。

向发起人报告残余风险

发起人和项目委员会不需要了解每一项风险，但确实需要知道项目承担着哪些风险。

• 将主要风险的固有得分和残余得分并列展示，让应对措施的效果清晰可见。
• 突出显示所有超出承受范围的残余风险，以及您需要发起人做出的决定。
• 报告剩余的应急储备，并与其所要覆盖的残余风险敞口进行对比。
• 将残余风险纳入定期的 项目状态报告 以及阶段关口评审中。

在较小的项目中， RAID 日志 可以将风险、假设、问题和依赖关系集中记录在一处；参见我们的 RAID 日志模板.

处理残余风险时的常见错误

• 以为应对措施能消除风险。 除非已经规避了风险，否则通常都会有残留。
• 过早重新评分。 在应对措施仅处于计划阶段而尚未完成时就降低得分，会夸大进展。
• 忽视次生风险。 每项应对措施都可能产生新的风险；每次都要检查。
• 将转移视为消除。 保险或合同转移的是金钱，而不是时间、声誉或安全。
• 对发起人隐瞒。 团队私下接受的残余风险并不算真正被接受。
• 没有储备。 接受残余风险却没有预留应急时间或资金，意味着一旦风险发生，就会变成预算或进度问题。
• 从不重新审视。 情况会发生变化；请在每次风险审查和每个阶段关口复核残余得分。

残余风险是识别、分析、应对和监控风险这一更广泛过程的组成部分。

本主题的免费模板

浏览所有模板

常见问题