你如何识别和管理项目风险（RAID）？

Question

你如何识别和管理项目风险（RAID）？

Accepted Answer

**风险**是指*可能*发生且会对项目造成损害的事情。**风险管理**是尽早识别这些威胁并在它们来临*之前*决定如何应对。核心洞察：当你提前考虑过这些问题时，处理问题会容易得多。

## RAID 日志

一个简单、广泛使用的工具来追踪项目风险和相关项目：

```text
R — RISKS        → might happen, would cause harm (manage proactively)
A — ASSUMPTIONS  → things we're taking as true (validate them)
I — ISSUES       → risks that have already materialized (deal with now)
D — DEPENDENCIES → things we rely on from others (track them)
```

## 评估每项风险

```text
For each risk, score:
  LIKELIHOOD (how probable?) × IMPACT (how bad?)
→ focus effort on high-likelihood, high-impact risks
```

## 选择应对策略

```text
AVOID    → change the plan so the risk can't occur
MITIGATE → reduce its likelihood or impact
TRANSFER → shift it (insurance, vendor SLA)
ACCEPT   → live with it, but have a fallback ready
```

## 一个具体例子

一个项目依赖于一个新的、未经证实的第三方 API。风险：它可能无法达到性能要求。可能性中等，影响高。缓解措施：早期进行验证，建立抽象层以便切换提供商，并准备备用方案。现在一个未知的风险变成了有计划的可控风险。

## 一个常见陷阱

将风险管理视为一次性的启动检查清单。风险会演变——定期审查 RAID 日志并在新风险出现时添加。

## 为什么这很重要

未管理的风险变成危机，通常在截止日期附近最坏的时刻出现。

早期处理风险的成本与事后应急相比微乎其微。

将风险明确说出来也会建立信任——利益相关者更倾向于接受"这是可能出错的地方和我们的计划"，而不是自信的沉默随后的不愉快的惊喜。