风险分析和风险缓解之间有什么区别？

Question

风险分析和风险缓解之间的区别以及（在编码之前或编码之后？）以及由谁（QA /分析师/开发人员？）在软件开发生命周期中执行它们之间有什么区别？

意见，链接或文档模板会有所帮助。

---

EDIT 如果我关注meade的评论：

“根据Tom DeMarco的说法 - 风险管理是成人的项目管理”

这是否意味着不需要遵循传统SDLC的某些部分？哪个部分？即。风险管理取代了典型SDLC的哪些方面？不需要那么多MS项目演练吗？

Answer 1

风险分析是一个规划过程，您可以在其中确定项目可能发生的风险的类型，概率和严重性。通常情况下，项目经理会根据工程师和质量团队的意见构建此项目。

风险缓解是关于如何处理风险分析所识别的风险的计划。这可以包括以下两种方案的组合：

A）避免风险：尽量减少这些风险实现的可能性（通过不做有风险的事情，即通过购买现成的组件或软件包）;

B）减轻后果：如果风险确实发生，最大限度地降低风险的严重性（制定应急计划，增加额外时间和/或预算，进行全面备份等）;和/或

C）风险接受：随时准备应对风险（如果您是唯一的开发人员，风险与管理成本相比，风险的低概率或低影响可能不值得做任何事情。有可能被小行星击中它可能只值得接受风险）。

D）风险转移：让其他人为您承担风险，可以更好地处理风险的人，即保险公司或外包提供商。

该计划通常由项目经理协调，并由团队中的每个人实施。

风险分析，风险缓解和风险监控构成了风险管理的过程。和几乎任何过程一样，它是一个连续的活动，这意味着它需要在整个项目中执行。

Answer 2

风险分析通常希望看到可能出现的问题。风险缓解是在出现问题时采取的步骤。

这两项都应该在开始时完成。通常，他们会完成项目是否有益于业务。 （风险与回报）

Answer 3

风险分析=我们根据当前工作流程或活动顺序采取了哪些风险。可能是技术性的，也可能不是。也可以说，基于情景会出现一系列问题的风险（概率）是多少。

风险缓解=这是一系列系统推断的步骤，以确保将风险的后效保持在最低水平。身份不明的风险很难缓解。

Answer 4

通常，风险分析是确定是否存在风险，风险会产生什么影响，风险发生的可能性以及何时可能发生。风险缓解试图完全降低或消除风险，并且有各种方法可以做到这一点。

应该在整个项目生命周期中不断审查风险，因为它们可能会增加风险（例如，您依赖于第三方组件，这些组件将在3个月内无法交付，而不是在开始但是如果你达到3个月的标记并且没有听到供应商的任何信息，这是一个更大的风险），甚至自然减少或消失。

实际分析和降低风险的人在很大程度上取决于谁最合适。如果它与软件有关，则可能是指定软件开发人员监视，报告和操作它（如上例所示）。当然，他说同样可能是项目经理或有人在做项目质量保证。

一般规则是经常分析，持续监控，并指派最佳人选以降低风险。

Answer 5

这是在项目过程中发生的事情。至少必须在每次迭代时完成（希望有几周）。 另请注意，方法和实践有多种措施可以减轻与软件开发相关的各种风险。

Answer 6

我同意DeMarco的声明：“风险管理是成人的项目管理”。作为PM，我们会出于善治和风险管理的原因来做我们的工作。如果没有它们，项目只是一群人在做事。

风险管理不会取代SDLC的任何部分或典型的方法。这就是为什么你要做所有无聊的调度，寄存器和文档的原因。你做这些事情是为了减少负面风险的影响，并希望利用任何机会（即：积极的风险）。

在风险登记模板上，您的组织需要根据风险偏好设置标准。以下描述了一个非常简单的过程;

1）首先，您在风险登记册中识别每个风险，这只是Excel中的一个列表。

2）接下来，您可以判断每个风险“impact和probability。

3）影响和可能性的组合然后描述风险等级（参见第一个矩阵表）

4）您可以使用此风险级别（从低到极）来帮助构建您的方法。在我的示例中，governance prescribed的级别由公司指定。 （见第二张表）

5）根据您的情况，或者其他人会根据@JohnFx答案决定您的注册表中每个风险的响应。如果你是PM并且风险很低......那么“接受”可能是正确的方法。风险管理和治理的概念是您写下来并清楚地将其传达给您的利益相关者。然后你们都知道你们为什么做以及做什么。

我经常与赞助商和团队讨论前五大风险，但整个项目期间应定期对整个风险登记表进行半定期审核。不要只是把它放在抽屉里。它应该是一个沟通工具，说明你做出某些决定并采取某些行动的原因，并且应该保持最新。

NB：这些是定性风险评估技术，还有更先进的定量技术......但仅仅因为它们更复杂并不意味着它们更好。他们的地位取决于食欲，预算和能力。