斯坦迪集团（Standish Group）是一家从事调研的公司，它每年都会对在美国进行的IT项目做出评估报告。该公司2004年度的报告表明，所有的项目中，被认为成功的项目仅占29%，其余的绝大多数要么是预算超支，要么是项目延期。项目的超支率平均为原预算的56%，而平均延期时间更是达到了预定工期的84%。

　　据了解，在其它地方情况也好不到哪儿去。在伦敦，新温布利大球场逾期两个月才正式竣工，预算超支4，500万英镑。还有为伦敦至格拉斯哥的高速火车而建造的西海岸大静脉（West Coast Mainline），整个工程预算为21亿英镑，结果后总耗资超过了130亿英镑。不仅如此，工期还延迟了三年，并且在速度和技术上也与原计划有一定差距。

　　近年来，各工业、商业及政府机构为了实现预期的目标，越来越注重项目管理。各类国际性的项目管理协会的成员数量成指数增长；项目管理的硕士培训计划到处涌现；微软公司则宣称，它的项目管理软件的全球用户数量已超过500万。然而，尽管项目管理日趋成熟，但项目的成功率并没有显著的提高。保证项目成功——即在预算内按时完成项目并让客户满意——似乎仍然是难上加难。所有这些失败的原因都在于，每个项目——尤其是规模庞大的项目，本身是一件极具风险的事。如何应对这些风险，便成了项目能否成功的关键所在。

　　要将项目中的所有风险彻底消除是不可能的，但是我们可以努力降低这些风险发生的可能性，或者减弱它们带来的影响。项目风险管理的目标，是确定主要的风险，估计它们的严重程度并对它们进行管理。

　　第一步，识别风险。这是项目中每个参与者的责任，无论他是高层管理者、工作小组成员，还是客户代表或股东。经过识别风险这一步后，即便以后有风险发生，也不会让人觉得惊讶了，这样处理起来会更加迅速有效。识别风险的有效手段包括：召开集思广益的会议、检查行业清单和以往工程的后续报告，以及对项目计划中所有的设想进行仔细分析。在这之后，便可得出一份包含所有已确定风险并加以细致描述的记录单。

　　在风险评估阶段，可根据风险的发生机率以及发生后可能产生的影响大小，对已识别的风险进行分级。在大多数项目中，风险数不胜数，因此不可能在所有风险上都投入同样的精力。风险评估的目的是为了分清风险的轻重缓急。图1通过一个叫做概率-影响的矩阵框架，将风险分为极度、高、中、低四级，以便为将来如何分配精力提供准则。例如，A风险应被视为极高的风险，B属于较高的风险，而C则是低风险。如此一来，记录单里的风险便有了优先等级之分。这样的风险评估应在项目风险的三个主要方面进行：规模（质量）、时间及资源（预算）。

　　风险管理阶段的任务，是预防或减轻风险。这包括应急计划、风险规避方法、风险缓解措施以及风险转移和风险承受等。

　　应急计划并不直接解决风险，而是为可能发生的风险提供即时的处理计划。这是项非常有效的工作，经验告诉我们，亡羊补牢的成本，是思患预防的十倍。

　　风险规避，指的是选择一条不同的途径以达到减轻风险的目的。风险缓解措施可以降低风险发生的机率，或者减小风险发生后带来的影响。前者的一个例子是“模型塑造法”（Prototyping），即通过构建一个成比例缩小的项目模型，来确定主要的风险；而后者的一个例子则是备用系统，它可在主系统出现故障或无法运行的时候启动。

　　例如，美国科罗拉多州的丹佛在修建新机场时，技术问题使得整个工期一延再延，后整整延长了16个月，总共超支20亿美元，几乎让整个城市破产。造成延期的主要原因是行李处理系统出现了故障。而一个只需花费1，000万美元的备用系统，可防止这些情况发生。不幸的是，在机场预计运行时间推迟了六个月后，该市才决定动用一个备用系统。

　　概率-影响矩阵还可以帮助管理者了解如何处理各种类型的风险。处于右上角象限中的风险发生的概率极高，并且影响很大，因此在一开始便应将它们纳入整体项目中去。丹佛机场高度先进的行李系统具有的风险有可能处在这一象限中，因此在项目伊始应采取相应行动。对于处在右下角的风险，应制定出应急计划。以希思罗机场5号终端工程为例，应对恐怖分子袭击的计划制定得非常完善。处于左上角象限的风险可能会有很多，因此也不能将它们一一单独对待，而应该把它们统筹起来，制定一个应对它们整体影响的保护措施。典型的例子是，一个项目中各种各样影响不大的延误和预算超支若累加起来，会对整个工程造成重大影响，而如果能配备时间缓冲以及应急预算，那么这些问题能得到解决。对处于左下角象限的风险不应直接进行处理，但应随时保持监控。

　　终，经过风险分析后，所有的风险都将被记录下来并按优先等级排列，并附有分配好的任务和行动计划。