RISK and OPPORTUNITY MANAGEMENT 风险与机会管理 (RSK)

CMMI V2.0 模型比 V1.3 更清楚说明1、2、3、4、5级的区分，也举了些实用的方法让我们参考，例如：FMEA (Failure Mode and Effects Analysis ), SWOT , Poka-yoke 等，以前在V1.3二级，风险只是在项目计划(PP) 与项目监控(PMC)里说要识别风险和监控风险，也举了一些简单例子，但没有像FMEA这样具体的风险分析工具。

FMEA和我们以往的风险管理有什么不同？

FMEA实例分享

大家都可能试过未管理好时间，导致迟到。以坐飞机为例，从离开酒店到登上飞机过程中很可能有很多可能导致最后没搭上。

你出发的时候，可能用不同的交通方式：出租车、机场大巴等。如果你不能在起飞前45分钟到达机场办理登机牌，你便搭不上。但是你拿了登机牌也有可能最后搭不上，因为飞机都严格执行起飞前15分钟关舱门，所以你拿了登机牌也要在起飞前15分钟到达。才能顺利乘机。

Fig 1 登机过程

要赶上飞机其实是个过程，中间有很多环节会导致最后失败，所以我们可以用 FMEA 过程分析，来看如何控制减少失败的概率。

Fig 2 FMEA 例子

Fig 3 打分参考

以第一个失效为例：如发生便坐不上飞机，所以严重性是最高10。发生的概率还是比较高6。是否容易预防，预警，因不熟悉当地情况，加上我主要靠问酒店前台，有时候她也不清楚，所以我定6。RPN = 10x6x6=360。

从以上登机的例子，可以看出FMEA是以整个过程来管理风险，比如在出发前，就要查询一下各个交通工具要花费的时间，比如你发现在南京，从酒店坐地铁要转车，要花1个小时以上，如果时间太紧就来不及，宁可多花钱打车，才能控制风险。当你拿了登机牌，还是要经过安检，还要从安检走过登机口。有时候机场很大，到达登机口也要花费很多时间，就要先问好路径，提前计算好时间，才不会误点。

过了安检到登机口要10分钟以上，就要在起飞前的40分钟过安检，才来得及。这些都可以通过FMEA的形式把整个坐飞机的过程识别出来，找各个阶段会出现的问题，就知道如何控制。比如拿了登机牌也有可能来不及到达登机口，坐不上飞机。

以这坐飞机的风险为例，我自己是不仅一次有赶不上飞机，很多原因，但回顾一下都是习惯没改过来问题。我应依据以往差点赶不上的经验，回顾一下，确保每一个过程都控制住，就不会后面再次出问题，这个和企业做风险管理概念一样。
有度量才有管理。人和公司一样，很多做的事情好像是自己主动去想，其实很多都是潜意识习惯，如果你没有定一些量化的控制手段，就不会提高这方面风险意识，还是会搭不上飞机。我先回顾以往几次搭飞机的情况，并把每次到达机场的时间和到达闸口的时间写下（详见下面 Fig 4 ）

Fig 4 上面是机场柜台关闭（45分钟）前到达时间，下面是关闸口前到达时间（分钟）（ X 代表赶不上飞机）

我发现最近一次赶不上飞机，之前已发生过两次刚刚赶到闸口 !
如果我有把经验教训记下来，下次做好时间管理，就会避免后面的延误：有了数据，我们便可以更有效在回顾，做根因分析 (CAR)。

以这登记延误风险为例，可以利用数据，使用FMEA风险分析去分析每一失效点，例如当时每预留足够时间过安检，与从安检到闸口的发生概率都很高。

CMMI V2.0 RSK 3.4制定并保持最新的风险管理计划，用这登机为例，我们为了避免问题再发生，就要定一些具体的计划，最终希望把误点减到零。

在登机这个环节，可利用什么有效方法/工具，帮助改善？

每次出发去机场前都查询各种交通方式的时间与风险（概率），预留足够时间，降低失效发生的概率
拿了登记牌后，都计划好必须起飞前35分通过安检，45分前开始安检

在多次没登上飞机后，我发现平常的手表没有正负5分钟的概念，但是如果用电子手表，对时间的感觉可以准确到了正负1分钟，就能够更好把控时间。

Fig 5 平常用于培训 / 评估计时的电子钟

经过这次误机，我就买了个电子手表，取代传统针式手表，希望对日后不迟到有帮助。

结果：上次写这风险故事在2019.9 ，我按这些计划，一直都没有再出现赶不上飞机 - 平均大概起飞前60分钟到机场，30分钟到闸口，把风险发生概率降低。

后记：

某软件产品开发公司的风险管理的做法：

除了提供风险分析方法，管理方法和风险列表模板以外，一般会根据项目类型，客户类型，形成一些常见已知的风险列表，比如：

对需求变更导致项目范围蔓延

客户关键人员变更导致需求难以确认

团队人员变更导致学习成本和进度的问题

对涉密相关项目，还有进一步的常见风险列表。

与FMEA比较，以上做法可看成公司通用知识库。但只能提醒项目经理要注意这些风险，但未能帮助找出导致风险的原因。

又以坐飞机为例：

只能让我们知道老是延误赶不上飞机，但没有进一步分析整个过程，找出哪些步骤出问题，并改进。

两个月前我为一家企业做评估时，发现他们一直已经用过程中有那些失效点这种思路来管理风险，并找出根因。

但他们没有利用概率，影响等系数，只是文字描述失效的影响和原因，我便建议他们可以考虑使用FMEA来完善。

对应 CMMI V2.0 RSK 3级实践

RSK 3.1 识别和使用风险或机会类别 <-> 公司风险列表的各分类

RSK 3.2 定义和使用风险或机会分析和处理的参数 <-> 例如:概率和影响度，分高中低

RSK 3.3开发和更新风险或机会管理策略 <-> 例如:按风险高低，接受，减缓，应急等

RSK 3.4 制定并保持最新的风险或机会管理计划 <-> 如赶飞机的各种风险管理计划

A、缓解(Mitigation)计划例子:

从酒店去机场前预先查看不同交通方法的预期时间降低赶不上的机会。

B、应急(Contingency)计划例子:

因堵车，离起飞前只有60分钟，机场大巴还在高速路上很可能赶不上；打电话尝试改签，避免如真是赶不上时改签不了。

RSK 3.5 通过实施计划好的风险或机会管理活动来管理风险或机会。<-> 因做好预防措施，再没有赶不上飞机了。

附件:FMEA - 故障模式及影响分析 Failure Mode and Effects Analysis

FMEA 简介

FMEA 步骤 How do I do it?

以下是一典型FMEA表格。大家可从每个数字的说明了解如何完成此表格(这些数字与图表中的数字相对应)。

基本识别信息，如：谁填写；填写表格的日期；表格代表什么过程。
控制关键过程输入(x)的过程步骤。
关键过程输入(x)。
此关键流程输入的潜在失效模式。(注:失效模式可能不止一种)用物理或技术术语描述，而不是客户指出症状(效果)的描述。
如果关键过程输入(x)失败，列出客户体验的影响，例如，如果没有调制好轮胎与刹车系统，客户将体验到“刹车时制动压力失控”。
导致此失效模式的潜在原因。每个失效模式可能有多个原因。也要考虑操作条件、使用或服役情况，以及可能的组合作为潜在的原因。
列出如何检测失效模式原因的控制。
失效对客户体验影响的严重程度(1到10) [Severity]。
发生的频率(1到10)[Occurrance]。
控制检测失效模式原因的有效性(1到10)[Detect]。例如：良好的检测系统(例如一个自动反馈系统) - 1或2；如果没有任何控件 - 10。
将严重程度、发生情况和检测等级综合起来以确定风险;优先级(RPN)。RPN最大是1000，最少是1。数值越低，风险越低。RPN是一种指标，用于确定哪些关键过程输入(x)的推荐行动，以减少对客户的风险(第12步)。然而，如果任何关键流程输入(x)的严重性评级为9或10，则应该首先关注这些关键流程输入，以确保检测(detect) 至少为1或2，且发生次数也较低。
使用RPN来确定和讨论将采取什么建议的行动，可以把客户风险降到最低。一般不会影响严重性，除非改变产品/服务的使用方式，否则不能更改严重性。
确定负责完成建议行动的人。应包括雇员的姓名，而不是他或她的工作职能，以及预期的任职日期。
当指定人员完成推荐的行动后，列出所采取的具体行动，以及实际完成日期。
完成行动后，重新评估严重程度 Severity、发生情况 Occurrance 和检测 Detect ，以计算新的风险优先级数

前面图三(Fig 3) 打分参考，是一典型 1至10的定义(用于8,9,10 步骤）

参考FMEA的当前控制，制定初始控制计划。在项目完成后，但在提交给公司之前，更新FMEA，以反映已完成的项目情况。利用最终的FMEA，确定控制计划。如果将来过程有更改，需要从评FMEA并更新。

实例 Example

背景介绍 Example

以前订购飞机票都是使用电话来订购，你需要打电话给机票代理商，代理商的工作人员根据客户需求输入要求，查找机票信息。一Six Sigma 黑带顾问想弄清楚为什么某代理商提供的最优惠飞机票价和计算机生成的“最低成本票价”之间有很大的差异。为了维持该代理商的企业客户关系，必须解决这些问题。在对流程执行了因果矩阵之后，顾问将他的关注点缩小到与客户“最低成本票价”要求高度相关的五个流程步骤。(SNAP是该旅行社Sabre电脑系统上一个按钮的名称。)下面是部分详细流程图：

流程图

部分FMEA 内容

用 Pareto图，识别行动优先级

FMEA RPNs的Pareto图表明哪些流程输入是潜在最大影响的关键流程。顾问首先关注那些最高RPN的类别，顾问还按相关原因分类，并使用Pareto图来汇总结果，如下面所示。

顾问识别到大部分Sabre相关问题已经超出了团队可控范围。顾问，根据FMEA分析结果，准备进一步做个数据收集计划，以验证剩余的假设,也会随着项目开展继续更新FMEA。