This skill should be used when the user asks to "assess the risks", "what could go wrong", "evaluate risk", "risk analysis", "identify threats", or mentions risk matrix, COSO ERM, ISO 31000, FMEA, mitigation strategy, or risk quantification. Systematic risk evaluation for technical, project, and business risks.
系统化的风险评估技能,帮助识别、分析、量化和管理软件开发与IT系统中的各类风险。基于COSO ERM和ISO 31000框架。
当用户请求以下任何内容时使用此技能:
系统化识别项目或系统中的各类风险:
深入分析每个风险的特征:
使用定性和定量方法量化风险:
基于风险值确定处理优先级:
为每个风险制定缓解策略:
使用多种方法识别潜在风险:
1. 头脑风暴 (Brainstorming)
- [ ] 召集跨职能团队
- [ ] 从不同视角思考风险
- [ ] 鼓励开放讨论
- [ ] 记录所有潜在风险
2. 检查清单 (Checklist)
技术风险检查:
- [ ] 技术选型是否成熟?
- [ ] 技术团队是否有经验?
- [ ] 是否存在技术债务?
- [ ] 性能是否满足要求?
- [ ] 可扩展性是否足够?
项目风险检查:
- [ ] 需求是否清晰?
- [ ] 资源是否充足?
- [ ] 时间是否现实?
- [ ] 依赖是否可控?
- [ ] 团队是否稳定?
业务风险检查:
- [ ] 市场需求是否存在?
- [ ] 竞争态势如何?
- [ ] 是否符合法规?
- [ ] 战略对齐如何?
3. 历史数据分析
- [ ] 回顾类似项目的问题
- [ ] 分析历史故障和事故
- [ ] 识别重复出现的模式
- [ ] 学习经验教训
4. 专家访谈
- [ ] 咨询领域专家
- [ ] 访谈有经验的团队成员
- [ ] 收集行业最佳实践
- [ ] 识别隐藏风险
5. SWOT分析
- Strengths (优势) → 可能带来的风险
- Weaknesses (劣势) → 直接的风险来源
- Opportunities (机会) → 机会丧失的风险
- Threats (威胁) → 外部风险
对每个识别的风险进行深入分析:
风险编号: R-001
风险名称: [风险简短描述]
根因分析:
- 直接原因: [...]
- 根本原因: [...]
- 相关因素: [...]
影响分析:
- 对进度的影响: [...]
- 对成本的影响: [...]
- 对质量的影响: [...]
- 对范围的影响: [...]
触发条件:
- 前置条件: [...]
- 预警信号: [...]
连锁反应:
- 次级风险1: [...]
- 次级风险2: [...]
使用定性或定量方法:
定性评估:
| 级别 | 描述 | 发生可能性 |
|---|---|---|
| 高 | 很可能发生 | >60% |
| 中 | 可能发生 | 20-60% |
| 低 | 不太可能发生 | <20% |
定量评估:
评估风险发生时的影响:
定性评估:
| 级别 | 进度影响 | 成本影响 | 质量影响 |
|---|---|---|---|
| 严重 | >1个月延迟 | >30%超支 | 核心功能不可用 |
| 中等 | 1-4周延迟 | 10-30%超支 | 重要功能受影响 |
| 轻微 | <1周延迟 | <10%超支 | 次要功能受影响 |
定量评估:
风险值 = 概率 × 影响
示例:
风险: 数据库性能不足
概率: 60% (高)
影响: 2个月延迟 (严重)
风险值: 0.6 × 9 = 5.4 (高风险)
可视化所有风险的分布:
影响
↑
严重│ [R3] [R1][R5] [R2]
│
中等│ [R4] [R7]
│
轻微│ [R6] [R8]
│
└─────────────────────────→ 概率
低 中 高
颜色编码:
🔴 高风险 (P0): 需要立即处理
🟡 中风险 (P1): 需要密切监控
🟢 低风险 (P2): 接受或延后处理
基于风险值和业务影响确定优先级:
P0 (关键风险) - 必须在项目开始前或早期解决:
- 高概率 + 高影响
- 影响项目成败的风险
- 无可接受的应对措施
P1 (重要风险) - 需要在项目执行中持续监控:
- 中概率 + 高影响 或 高概率 + 中影响
- 显著影响但可管理
- 有可行的缓解措施
P2 (一般风险) - 接受或根据资源情况处理:
- 低概率或低影响
- 不影响关键目标
- 成本效益比低的风险
为每个风险制定应对计划:
适用场景: 不可接受的高风险
行动: 改变计划以消除风险
示例:
风险: 新技术栈团队不熟悉
应对: 使用团队熟悉的成熟技术栈
适用场景: 可以采取措施降低的风险
行动: 降低概率或减轻影响
示例:
风险: 第三方API不稳定
应对:
- 添加重试机制 (降低影响)
- 实现熔断器 (降低影响)
- 建立服务降级 (降低影响)
- 与供应商建立SLA (降低概率)
适用场景: 可以转移给第三方的风险
行动: 通过保险、外包或合同转移
示例:
风险: 数据中心故障
应对: 使用云服务商,风险转移给供应商
适用场景: 低影响或应对成本过高
行动: 接受风险,准备应急计划
示例:
风险: 小概率的罕见错误
应对: 接受,建立监控和快速响应机制
建立风险监控和更新机制:
- [ ] 定义风险指标和阈值
- [ ] 建立监控仪表盘
- [ ] 定期评审风险状态
- [ ] 识别新出现的风险
- [ ] 更新风险应对计划
所有输出必须使用中文,遵循以下结构:
# 风险评估报告: [项目/系统名称]
## 执行摘要
**评估日期**: [YYYY-MM-DD]
**评估范围**: [评估的项目/系统/功能范围]
**评估方法**: [使用的风险识别和分析方法]
**关键发现**:
- 识别风险总数: [N个]
- P0关键风险: [N个]
- P1重要风险: [N个]
- P2一般风险: [N个]
**总体风险水平**: [高/中/低]
## 识别的风险清单
### P0 - 关键风险 (必须解决)
#### 风险R-001: [风险名称]
**类别**: [技术/项目/业务/安全/运维]
**描述**: [详细描述风险是什么]
**根因分析**:
- **直接原因**: [...]
- **根本原因**: [...]
- **相关因素**: [...]
**概率评估**: 高 (70%)
**影响评估**: 严重 (项目延迟2个月,成本超支30%)
**风险值**: 6.3 (高)
**影响分析**:
- **进度影响**: [具体影响]
- **成本影响**: [具体影响]
- **质量影响**: [具体影响]
- **业务影响**: [具体影响]
**触发条件**:
- [条件1]
- [条件2]
**预警信号**:
- [信号1]
- [信号2]
**连锁风险**:
- 次级风险1: [描述]
- 次级风险2: [描述]
**应对策略**: 降低 (Mitigate)
**缓解措施**:
1. **短期措施** (立即执行):
- [措施1] - 负责人: [姓名] - 期限: [日期]
- [措施2] - 负责人: [姓名] - 期限: [日期]
2. **中期措施** (1-3个月):
- [措施1]
- [措施2]
**预期效果**:
- 概率降低至: [X%]
- 影响降低至: [描述]
- 残余风险值: [Y]
**应急计划**:
如果风险发生,采取以下行动:
1. [应急行动1]
2. [应急行动2]
**成本估算**:
- 缓解成本: ¥[金额]
- 风险发生成本: ¥[金额]
- ROI: [计算]
---
#### 风险R-002: [风险名称]
[类似结构]
### P1 - 重要风险 (需要监控)
#### 风险R-003: [风险名称]
[类似结构,但可以简化]
### P2 - 一般风险 (接受或延后)
#### 风险R-004: [风险名称]
[简化描述]
## 风险分析
### 风险分布
**按类别统计**:
| 类别 | P0 | P1 | P2 | 合计 |
|------|----|----|----|----|
| 技术风险 | 2 | 3 | 1 | 6 |
| 项目风险 | 1 | 2 | 2 | 5 |
| 业务风险 | 1 | 1 | 1 | 3 |
| 安全风险 | 0 | 1 | 0 | 1 |
| 运维风险 | 0 | 1 | 1 | 2 |
| **合计** | **4** | **8** | **5** | **17** |
**按概率-影响分布**:
[风险矩阵可视化]
### 关键风险路径
识别风险间的依赖和级联关系:
R-001 (数据库性能) → R-005 (用户体验下降) → R-010 (客户流失)
### 风险趋势
与上期评估对比:
- 新增风险: [N个]
- 降级风险: [N个]
- 已关闭风险: [N个]
## 风险矩阵
[可视化展示所有风险在概率-影响矩阵中的位置]
影响程度 ↑ 严│ R3 R1,R5 R2 重│ │ 中│ R4 R7 等│ │ 轻│ R6 R8 微│ └──────────────────────→ 发生概率 低 中 高
## 综合缓解计划
### 即刻行动 (P0风险)
1. [行动1] - 负责人 - 期限
2. [行动2] - 负责人 - 期限
### 近期行动 (1个月内)
1. [行动1]
2. [行动2]
### 中期行动 (1-3个月)
1. [行动1]
2. [行动2]
### 持续监控
1. [监控项1]
2. [监控项2]
## 资源需求
**缓解措施总成本**: ¥[金额]
**人力需求**: [人月]
**时间需求**: [周/月]
**成本效益分析**:
- 总缓解成本: ¥[X]
- 风险暴露值: ¥[Y]
- 预期节省: ¥[Y-X]
- ROI: [(Y-X)/X × 100%]
## 监控计划
### 风险指标
| 风险 | 监控指标 | 当前值 | 阈值 | 频率 |
|------|---------|-------|------|------|
| R-001 | 数据库响应时间 | 150ms | >200ms | 实时 |
| R-002 | 代码覆盖率 | 65% | <60% | 每周 |
### 评审机制
- **日常监控**: 自动化指标监控
- **周度评审**: 风险状态更新
- **月度评审**: 全面风险评估
- **季度评审**: 战略风险评审
### 升级机制
- P2风险升级为P1: [触发条件]
- P1风险升级为P0: [触发条件]
- 新风险识别流程: [流程描述]
## 建议和结论
### 关键建议
1. **[建议1]**: [理由和预期效果]
2. **[建议2]**: [理由和预期效果]
3. **[建议3]**: [理由和预期效果]
### 总体评估
[对整体风险状况的评价和建议]
### 决策点
需要管理层决策的关键问题:
- [决策点1]
- [决策点2]
## 附录
### 风险术语表
- **风险值**: 概率 × 影响的量化结果
- **残余风险**: 采取缓解措施后的剩余风险
- **次级风险**: 应对措施可能引入的新风险
### 风险评估方法
[使用的方法和工具说明]
### 参考文档
- [相关文档列表]
基于COSO企业风险管理框架:
遵循ISO 31000风险管理原则:
详细方法论请参考:
references/RISK_FRAMEWORKS.md - 风险评估框架详解