|
CMMI 1.2的RSKM 过程域的SP1.1为：Determine risk sources
and categories，在该实践中明确区分了风险来源与风险分类。确定风险的来源和分类是为了全面、系统地识别潜在风险，合并类似风险的规避措施。
风险来源用于在项目或组织内确定风险产生的原因。对项目来讲有许多风险来源，包括内部和外部的。风险来源标识了风险可能发生的常见领域。常见的内部和外部风险来源有：
· 不确定的需求
· 无法达到的工作量估算
· 不可行的设计
· 不成熟的技术
· 不切实际的进度估算与安排
· 人手或技能不够
· 成本与资金问题
· 不可靠的或不充分的分包商能力
· 不可靠的或不充分的供应商能力
· 与实际的或潜在的客户或他们的代理沟通不充分
对风险来源没有进行充分的策划就会导致风险的发生。早期识别内部和外部风险来源能够早期识别风险，这样可以在项目的早期实施风险缓解计划，来排除风险的发生或降低风险发生的影响。
风险类别为风险的收集和组织分门别类，是对风险的共同属性的归集。标识风险类别有助于在风险缓解计划中整合将来的缓解活动。在确定风险类别时可以有多个角度：
· 按项目生命周期模型的阶段分类，如需求、设计、制造、测试和评价、交付、部署
· 按过程类型分类，如需求开发过程、配置管理过程等
· 按产品类型分类，如软件、硬件等
· 项目管理风险（Program management risks)，例如，合同风险、预算和成本风险、进度风险、资源风险、性能风险、可支持性风险
当然也可以基于风险的来源进行风险的分类。比如我们对于上边举例的风险的来源进行风险分类为：
大类
|
小类
|
风险来源
|
内部风险
|
需求类风险
|
不确定的需求
|
技术类风险
|
不可行的设计
|
不成熟的技术
|
资源类风险
|
人手或技能不够
|
成本与资金问题
|
管理类风险
|
无法达到的工作量估算
|
不切实际的进度估算与安排
|
与实际的或潜在的客户或他们的代理沟通不充分
|
外部风险
|
分包风险
|
不可靠的或不充分的分包商能力
|
不可靠的或不充分的供应商能力
|
客户风险
|
客户不配合项目的实施
|
组织可以建立风险分类树为识别风险提供框架。
一个风险可能属于多个风险类别。如：由于人员比较年轻，缺乏业务经验，可能会导致遗漏潜在需求，交付时验收不通过。对于该风险，其风险来源是开发人员缺乏业务经验，如果按照风险的来源这个角度来分类，可以归结为人员风险类，如果按照开发过程分类，可以归结为需求风险类。在考虑风险的规避措施时，可以基于风险的来源考虑，也可以基于风险的分类来考虑之，从不同的角度考虑时，获得的风险规避措施可能相同，也可能不相同。对于上面的风险，如果基于风险来源考虑规避措施则可以识别的措施为：
选择有业务经验的需求分析人员进行需求获取；
对需求分析人员进行业务知识培训；
如果基于风险的分类来考虑规避措施则可以识别的措施为：
借鉴历史的需求；
执行需求的正式评审；
需求要获得客户的正式确认；
|
