风险管理的最佳实践
无论组织是实施GJB 9000还是实施GJB 5000都绕不开风险管理。
但在实际实施的过程中，总会觉得风险管理没有什么用处，只是在形式上形成一些计划或者报告。
这可能是因为风险管理者没有把握风险管理的精髓，或者说，虽然进行了风险管理活动，但这些活动都没在点上。
如果你也有这样的困扰，不妨看看下面这些风险管理的。也许你会从中受到启发。
尽早开始风险管理活动
所以说风险管理活动要尽早开始，是因为风险不会等你一切就绪、什么都准备好之后才会发生，它在任何时候都有可能发生；风险一旦发生了，而项目组又没有任何缓解和应对措施，就只能被动地承担风险带来的后果。
很多实施GJB5000的项目组，总以为很多活动要等到进入到项目策划阶段形成了软件开发计划之后才开始进行。这是大错特错的。风险管理活动在立项阶段就应该开始。
风险管理必须与策划相结合
风险管理作为项目管理中的一项活动，它不应该和项目策划分开，单独进行。
风险管理活动与项目策划的结合体现在两个方面：
风险管理计划是开发计划的一部分。
计划和资源应按照已经识别出来的风险进行调整。比如：如果已经识别出了某个开发人员技能水平不足，可能会影响开发进度的风险，那么在安排他承担任务的时候，就应该考虑尽量安排一些简单的任务或者安排一些有经验的高级的技术人员和他共同承担复杂的任务。又如：如果已经识别出了某些外部接口由于缺乏测试环境存在不能及时完成系统测试的风险，就要给系统测试阶段保留足够的时间余量，以免风险发生打乱计划。
风险管理必须与监控相结合
同样的风险管理也不能和项目监控分开。
风险管理活动与项目监控的结合也体现在两个方面：
风险监控的节点通常与项目监控的节点一致。
项目监控的进展评审和里程碑评审同时也是向利益相关方通报风险状态的最佳时机。
风险监控频率不能太低
由于风险随时都有可能发生，所以，除了要尽早开始风险管理活动之外，风险监控的频率也不能太低。风险监控的频率如果太低，就很有可能在项目组还没有采取任何缓解措施的情况下，风险就已经发生了，那么前面所进行的风险识别、分析这些管理活动就都失去了意义。
建议在项目周例会上要进行风险监控。
监控风险缓解的有效性
风险应对中最常见的就是风险缓解。一旦制定了风险缓解措施，那么在风险监控的时候就要监控采取这些措施的有效性。因为只有这样，你才能及时地发现措施是否有效，是否需要通过改进措施来达到缓解风险的目的。
必须定义可接受的风险阈值
风险管理活动需要付出很大的代价，所以，我们必须事先定义好可以接受的风险阈值，只有当风险超出这个阈值的时候，我们才会采取缓解措施，才会积极地应对风险，如果风险没有达到这个阈值，我们可以只进行风险跟踪，而不需要采取任何措施。
PS：风险阈值通常会用风险参数评估值的乘积来表示。
这正是：
风险管理没效果，想想做的多不多
最佳实践五六条，试试再说好不好
参考书目：软件测试管理，作者：郑文强,马均飞，出版社：电子工业出版社