These walls are kind of funny like that. First you hate them, then you get used to them. Enough time passed, get so you depend on them. That‘s institutionalized.

　这些墙很有趣。刚入狱的时候，你痛恨周围的高墙;慢慢地，你习惯了生活在其中;最终你会发现自己不得不依靠它而生存。这就叫体制化。　 ——电影《肖申克的救赎》的台词

　软件项目的“高墙”

　还记得电影《肖申克的救赎》中，瑞德那段关于体制化 (institutionalization)的见解么?一开始你恨它，它剥夺了你的自由;接着你会慢慢的习惯它、熟悉它;最后你会离不开它，离开它你将象老布一样不知所措。

　肖申克的高墙阻挡了囚犯与外界的联系，他们被困在这个闭塞的空间里，被“体制化”了。风险，软件项目中无处不在的风险，像不像那座肖申克监狱的“高墙”?

　· 痛恨

　刚开始的时候，我们还不懂得风险为何物，但是各种血淋淋的失败案例让我们害怕、恐惧、甚至憎恶风险。项目经理圈子

　风险的存在，让项目充满了不确定性--客户目标的不确定、客户期望值的不确定、项目复杂度的不确定、流程变动的不确定、技术成熟度的不确定等等，这些不确定性像一只虎视眈眈的猎豹，时刻威胁着项目的成功，成为项目经理心头的一把刀。

　· 习惯

　接着，我们慢慢习惯风险的存在，认为它不过是一只打着呼噜的狮子，虽然看上去可怕，但其实没有想象的那么危险。

　当我们战战兢兢的完成一个项目，曾经让我们胆战心惊的风险却并没有出现，或者即使出现了，也没有造成太大的损失，尚在可承受的范围内。于是，我们习惯它的偷窥，熟悉它的造访，甚至开始忘记它的可怖。

　· 依靠

　最后，我们会离不开它。当风险成为项目中一个固有的存在，不再具有让人提心吊胆的威力，我们就开始依靠了。

　不可否认，风险的存在总是伴随着更大的机遇，它会带来失败的威胁，但更有成功的机会，既是成功的威胁，也是成功的动力。风险越大，其成功的愿景越令人疯狂，面对失败与成功的不确定性，我们选择淡忘失败的一面，或者说，我们选择了忽视，只愿意记住成功的诱惑。

　如果我们因为风险不经常表现出的惊人破坏力，而丧失了警惕，把风险管理当作了项目管理过程中一个可有可无的形式化的步骤，那么，我们也被风险“体制化”了。

  这种“体制化”会禁锢住我们对风险的判断力，沉浸在“风险不会那么容易发生”的虚假幻像中，风险，成为喊着“狼来了”的孩子口中，那只可能永远不会出现的狼。慢慢的，我们将习惯性的漏掉所有风险即将发生的预兆，被真正出现的那只“狼”吃掉所有的“羊”。

　安迪的完美逃离

　肖申克监狱不但囚禁了犯人的身体，也禁锢了他们的思想，一个又一个老布沉沦其中，成为肖申克的牺牲品，成为“体制化”的牺牲品。

　可是安迪不同，肖申克的高墙没有阻断他逃离的脚步，他没有被“体制化”、没有被封闭。他的逃离而并非只是身体上的，而是整个身心的自由，不会像老布那样永远被禁锢在高墙之内，即使身体获得了自由。

　这是安迪的完美逃离，也是肖申克的“救赎”。可是，在囚犯们不断沉沦的肖申克，为什么只有安迪能够真正逃离?

　原因又很多，也许有些是相互矛盾的，但是下面这几个应该是其中的必要条件，从中我们也能管窥一二。

　首先，安迪有信念。

　对自由的向往是安迪坚持的动力，靠着这个，他凿穿了瑞德认为几百年也凿不穿的墙壁。blog.mypm.net

　其次，安迪有才华。

　安迪的逃离不是盲目的，他的每一个步骤都是精心准备的，他收集典狱长的罪证、转移资金、假造身份，没有足够的智慧是做不到这些的。

　再次，安迪有毅力。

　二十年的努力才成就了那样一个雷雨之夜，这期间的任何一次疏忽或者动摇，都可能葬送掉一切，但是安迪坚持住了。

　最后，安迪不放弃。

　唯一能使安迪脱罪的证人被典狱长害死，他的前途真正变得一片漆黑，然而，即使在这样的打击之下，安迪也没有轻言放弃，这才有了最后的成功。

　面对高墙，大部分人就象老布，最终在高墙中沉沦下去;还有些人就象瑞德，差一点就沉沦下去，可是命运待他不薄，让他结识了安迪这样的朋友，获得了完整的自由;只有极少数人才象安迪那样，有着坚强的意志和对自由不死的向往，凭着自己的毅力和智慧，在拯救自己的同时，也拯救了他的朋友。

  同样，面对软件项目里的“高墙”--软件风险，我们不能指靠别人的拯救，只有依靠自己的努力，正确的认识风险、管理风险，并努力的坚持下去，不被暂时的挫折打败，才能获得真正意义上的救赎。

　打破风险的“高墙”

　风险让人既爱且恨，从憎恶、熟悉到习惯，最后像老布一样迷失自我。但是，无论项目大小、无论“敏捷”与否，在项目开始前做好准备，在项目开始后防患未然，在风险发生时沉着应对，这应该是对待软件风险的正确原则。

　对于风险这道“高墙”，我们不能一味惧怕，也不能全不在意，必须谨慎对待。为了避免成为被高墙体制化的囚犯，我们更应当学习安迪的坚韧、信念和智慧，完成软件项目的肖申克救赎。

　首先，正确的认识

　迪克成功的第一个原因是“有信念”，对于风险，我们同样应该从思想上认识它的本质，然后才能一步步的学会应对、防范和掌控。

　风险有两种定义：一种强调了风险表现为不确定性，说明风险产生的结果可能带来损失、获利或是无损失也无获利，属于广义风险;另一种则强调了风险表现为损失的不确定性，说明风险只能表现出损失，没有从风险中获利的可能性，属于狭义风险。

　软件项目的风险属于广义风险，有失败的可能性，也有成功的可能性，就像一把双刃剑，可能带来损失的同时，也可能带来意外的成功。但是，令项目经理们严阵以待的那道“高墙”，却是狭义的风险，是那些会影响到项目顺利进行的负面因素，比如《风险检查单》里出现的各种风险因素。

　不论是广义风险还是狭义风险，“知己知彼”，对风险保持清醒的认识，总是“百战不殆”的前提。但是真正做到这一点的人却并不多。

　许多项目经理制定出来的《风险管理计划》完全是敷衍了事--随便从列表中挑出三五个风险因素，照抄一下以往的应对措施，再拍脑袋想出几个概率和强度，一份有模有样的风险管理计划就新鲜出炉了。而这样的风险管理计划到底有多大用处，就可想而知了。

　正确的认识风险是管理风险的基础，是制定风险应对预案的基础，是及时识别风险信号的基础，更是打破风险“高墙”的基础。既然是基础，其重要性当然不言而喻，只有意识到风险的破坏性和风险管理的迫切性，风险才可能真正的被“管理”起来。

　其次，足够的能力

　迪克的成功靠的不是运气，更不是空想，如果没有非凡的才华与智慧，是不可能逃出肖申克的。对于风险，除了要在思想上认识其本质，也要具备足够的能力，从组织、人员、制度上加以保障。

　管理风险的第一步是识别，只有正确的识别出该项目最可能出现的风险因素，项目经理才能制定出恰当的风险管理计划，针对不同的风险内容采取可行的应对策略。

　风险的识别有很多种方法，信息化项目中最常用的是风险列表分析法。具体的作法可以是，组织把以往项目中曾经发生过的风险整理到一起，并按照项目的类型、规模和特点进行分类，分别编制成适用于不同种类项目的风险列表，供项目组评估和分析当前项目所面临的风险时使用。

  无论采用何种方法，准确的识别出当前项目的风险，是有效管理项目风险的前提，也是后续各步骤的基础。

　规范的制度是保证风险可控的前提。

　风险管理作为一项重要和复杂的项目管理任务，只靠个人的热情和某个项目组的努力是不够的，组织必须制定出清晰完备的制度，来保证风险管理的过程可监控、可预测、可管理。有了可遵循的制度，风险管理的行为就会变成组织的标准行为，收到效果显著而且稳定的成效。

　完善的人员配备是风险管理成功的有力保障。

　组织的行为是通过合理的角色分配和完善的组织架构来保障的，良好的风险管理需要全面的信息，也需要合适的人员。例如准确度量风险、分析项目信息、及时发出预警等任务，都需要有能力、有经验的风险管理人员来承担。

　没有合理的角色分配和组织架构，组织的风险管理水平是无法得到保证的。

　再次，持续的跟进

　安迪的毅力令人由衷的佩服。对于风险，它从来都不会老老实实的等在那里，只有把持续跟踪、风险监控纳入到项目管理的常态，才是对风险最有效的管理。

　风险随时都可能发生，我们需要持续不断的跟踪和度量，来监控这只沉睡的狮子。

　罗马不是一天建成的，风险也不是突然出现的。在风险演化为后果严重的危机之前，总会有蛛丝马迹可寻，风险监控的意义就在于此。只要我们足够的细心，给予足够的重视，很多情况下是可以化危机于无形的，或者，至少可以降低所造成的危害。

　项目的管理工作会产生许多有用的数据和指标，比如项目进度报告、状态跟踪报告、里程碑评估报告等等。通过利用它们，我们可以拼凑出一幅完整的项目现状图，了解到许多有用的信息，比如：项目进度是否落后、质量是否波动、需求是否变更、功能点完成多少?对其中的异常信息进行重点分析，及时发出风险预警，提醒项目组成员确认风险并采取相关的风险应对措施，达到管理风险的目标。

　防微杜渐是风险监控的目的，见微知著是风险监控的原则，只有坚持不懈的收集项目的监控数据，才能及时准确的监控和预警风险的发生，这也是达到管理风险这一目标不可缺少的条件之一。

　最后，不轻言放弃

　无论机会看上去多么渺茫，迪克都不曾放任自己沉沦在高墙之内。对于风险，无论它是否真的出现，无论项目最后是否成功，我们都应该坚持下去，不轻言放弃。

　不是每个潜在的风险都会变成现实，也不是每个识别出来的风险都能避免，即使我们认真的防范了、监控了，风险也还是会造成意想不到的影响。

  可怕的不是风险本身，而是当风险成为事实后的惊慌失措。既然墨菲真实存在，那么风险变为现实也就没什么好奇怪的，重点是我们应该怎样面对已成事实的风险，怎样努力降低风险造成的损失。

　每个项目都会面临不同类型的风险，每个风险都会有不同形式的表现，每次处理都会有不同程度的效果，只有当这些流水般的经验在组织里积累和沉淀下来，才能成为有用的组织知识，为以后的项目提供宝贵的风险管理经验。

　只有把每一次风暴都当作认识风险的机会，不断的遭遇、不断的积累、不断的总结，才能把沉睡的狮子关进笼子，让风险成为真正可控制、可度量、可管理的对象。

　项目无论大小，都存在着风险，完全没有风险存在的项目在现实中很难找到，即使真的存在，那也只能是一串平凡的行为过程，一份弃之可惜的鸡肋，不会让参与者热血沸腾，也不会让参与者竭尽全力，注定不会有多大成功。

　我们需要风险的存在，它就像那条被放进沙丁鱼群的鲶鱼，威胁项目的成功，也刺激着项目走向真正的成功。