风险日常管理成熟度模型框架(编译稿).docVIP

PAGE PAGE 1 风险管理成熟度模型框架（编译稿） 1．风险管理成熟度模型 成熟度模型被很好地开发和接受，卡耐基－梅隆大学的软件工程研究院（SEI）开发了一个软件组织能力成熟度模型（CMM）和一个系统工程组织能力成熟度模型（CMMI）。这些模型定义了增加能力和成熟度的五个等级，分别是起步（第一级）、可重复（第二级）、界定（第三级）、管理（第四级）和优化（第五级）。每一级被清晰地定义和描述，使得组织能够在可接收范围内自我评估。认识到自身的CMM等级，组织能够清晰地设定改进目标，瞄准下一能力和成熟度等级。 尽管SEI CMMI很好地建立，但其应用受限于总体的扩散能力。充分应用CMMI模型（包括一个风险管理成熟度模型）需要巨量的资源和整个系统工程流程的一体化。本报告概述的RMMM特别地关注风险管理，并提供一个比正式的CMMI评估更容易实现的不太正式的方法，一个一般性的专注风险的成熟度模型。试图为希望执行正式的风险流程或者改进其现有方法的组织提供帮助。它应该适用于任何行业、政府或商业部门的各种项目和组织。 RMMM被设计为一种诊断工具而不是一个用于执行的常规模型。如果组织期望使用成熟度模型，作者建议或者使用EIA/IS-731.1或者使用CMMI-SE/SW于管理系统。RMMM包括估计成熟度的四个等级，与其他模型等级比较如下表所示： 表一：成熟度模型等级比较 等级 RMMM CMMI – SE/SW EIA/IS-731.1 0 Ad Hoc特定级 Incomplete不完全的 Initial起步 1 Initial起步级 Performed运行 Performed运行 2 Repeatable可重复级 Managed管理 Managed管理 3 Repeatable可重复级 Defined界定 Defined界定 4 Managed管理 Managed quantitatively量化管理 Measured计量 5 Managed管理 Optimizing优化 Optimizing优化 RMMM提供了一个框架，允许组织以成熟度的四个标准等级为基准开展风险管理，并概述了过渡到下一等级的必要的活动。在此描述的风险管理成熟度模型（RMMM）为那些希望发展或改善他们的风险管理方法、并为增进其风险成熟度开发行动计划的组织提供了清晰的指引。概要描述了四个RMMM等级，随后是对当前等级的诊断的指引，而且还讨论了发展到下一成熟度等级的战略。 2．风险管理成熟度模型框架 组织风险管理流程的成熟度可被分组，从完全无正式流程到风险管理充分整合组织的所有方面。为了表达这一点，本报告中描述的风险管理成熟度模型（RMMM）提供了四个标准等级的风险成熟度（如图一）。与所有模型一样，预期某些组织可能不完全适合这一分类，但是，RMMM等级充分界定了适用于大部分组织的差异。一般认为，超过四个等级的分类在不对模型给出任何更加精确条件的情况下，将会增加歧义。 RMMM等级描述如下： 2.1．第一级：特定级（英雄崇拜） 在特定级，组织不清楚风险管理的需要，而且没有建构方法来应对不确定性，导致每一项目或运营出现一系列危机。如果存在风险管理，管理和工程过程也是重复的和反应性的，也很少或者从不试图从过去的项目中学习，或为未来的不确定性做出准备。从不试图定义项目风险，或者开发减轻风险或应变计划。处理问题的正常方法是在问题发生之后应对而无前瞻性的思考。在危机之时，典型的应对方案是放弃计划并从好的方面着想。项目成功依赖于有一个优异的管理者和一个成熟和有效率的团队。有时候，在项目期间，有能力而且强势的管理者能够识别并根据减轻风险的原则行事；但当他们离开时，他们的影响也随之而去。甚至，一个强有力的工程过程不能克服风险管理实践的缺失所带来的不稳定性。 尽管这一应对危机管理的混沌过程，第一级组织常常开发有效的产品，即使他们通常超过他们的原始预算和计划，甚至不包含所要求的全部原始功能。第一级组织的成功依赖于组织中的人们的个人能力和英雄主义，除非新的项目被分配给同一个人，否则成功不可能再现。因此，在第一级，能力是个人特征而非组织特点。 注意到，在这一成熟度模型中，最困难的一步是从第一级进入第二级。因为所有的管理程序和活动必须重新组合，也可能是由于缺乏对需要变革的理解。一个特定级的组织可能缺乏对存在问题的任何感觉或认识。在成熟度的更高级别，组织和项目管理对不确定性更加清晰，而且能够采取任何必要的减轻或者临时行动。这一清晰度使得管理能够在某些事情走入歧途之前采取行动，或者在某些事情走入歧途时有合适的应对计划。成熟度级别的差异也可描述为精确地识别和前瞻性地应对不确定性的能力。当组织提升成熟度级别水平时，风险识别变得更加准确，而且必须的减轻/临时行动变得更加清楚。 2.2．第二级：起步（试用）