打破風險的“高墻”
風險讓人既愛且恨，從憎惡、熟悉到習慣，后像老布一樣迷失自我。但是，無論項目大小、無論“敏捷”與否，在項目開始前做好準備，在項目開始后防患未然，在風險發生時沉著應對，這應該是對待軟件風險的正確原則。
對于風險這道“高墻”，我們不能一味懼怕，也不能全不在意，必須謹慎對待。為了避免成為被高墻體制化的囚犯，我們更應當學習安迪的堅韌、信念和智慧，完成軟件項目的肖申克救贖。
首先，正確的認識
迪克成功的第一個原因是“有信念”，對于風險，我們同樣應該從思想上認識它的本質，然后才能一步步的學會應對、防范和掌控。
風險有兩種定義：一種強調了風險表現為不確定性，說明風險產生的結果可能帶來損失、獲利或是無損失也無獲利，屬于廣義風險;另一種則強調了風險表現為損失的不確定性，說明風險只能表現出損失，沒有從風險中獲利的可能性，屬于狹義風險。
軟件項目的風險屬于廣義風險，有失敗的可能性，也有成功的可能性，像一把雙刃劍，可能帶來損失的同時，也可能帶來意外的成功。但是，令項目經理們嚴陣以待的那道“高墻”，卻是狹義的風險，是那些會影響到項目順利進行的負面因素，比如《風險檢查單》里出現的各種風險因素。
不論是廣義風險還是狹義風險，“知己知彼”，對風險保持清醒的認識，總是“百戰不殆”的前提。但是真正做到這一點的人卻并不多。
許多項目經理制定出來的《風險管理計劃》完全是敷衍了事--隨便從列表中挑出三五個風險因素，照抄一下以往的應對措施，再拍腦袋想出幾個概率和強度，一份有模有樣的風險管理計劃新鮮出爐了。而這樣的風險管理計劃到底有多大用處，可想而知了。
正確的認識風險是管理風險的基礎，是制定風險應對預案的基礎，是及時識別風險信號的基礎，更是打破風險“高墻”的基礎。既然是基礎，其重要性當然不言而喻，只有意識到風險的破壞性和風險管理的迫切性，風險才可能真正的被“管理”起來。
其次，足夠的能力
迪克的成功靠的不是運氣，更不是空想，如果沒有非凡的才華與智慧，是不可能逃出肖申克的。對于風險，除了要在思想上認識其本質，也要具備足夠的能力，從組織、人員、制度上加以保障。
管理風險的第一步是識別，只有正確的識別出該項目可能出現的風險因素，項目經理才能制定出恰當的風險管理計劃，針對不同的風險內容采取可行的應對策略。
風險的識別有很多種方法，信息化項目中常用的是風險列表分析法。具體的作法可以是，組織把以往項目中曾經發生過的風險整理到一起，并按照項目的類型、規模和特點進行分類，分別編制成適用于不同種類項目的風險列表，供項目組評估和分析當前項目所面臨的風險時使用。
無論采用何種方法，準確的識別出當前項目的風險，是有效管理項目風險的前提，也是后續各步驟的基礎。
規范的制度是保證風險可控的前提。
風險管理作為一項重要和復雜的項目管理任務，只靠個人的熱情和某個項目組的努力是不夠的，組織必須制定出清晰完備的制度，來保證風險管理的過程可監控、可預測、可管理。有了可遵循的制度，風險管理的行為會變成組織的標準行為，收到效果顯著而且穩定的成效。
完善的人員配備是風險管理成功的有力保障。
組織的行為是通過合理的角色分配和完善的組織架構來保障的，良好的風險管理需要全面的信息，也需要合適的人員。例如準確度量風險、分析項目信息、及時發出預警等任務，都需要有能力、有經驗的風險管理人員來承擔。
沒有合理的角色分配和組織架構，組織的風險管理水平是無法得到保證的。
再次，持續的跟進
安迪的毅力令人由衷的佩服。對于風險，它從來都不會老老實實的等在那里，只有把持續跟蹤、風險監控納入到項目管理的常態，才是對風險有效的管理。
風險隨時都可能發生，我們需要持續不斷的跟蹤和度量，來監控這只沉睡的獅子。
羅馬不是建成的，風險也不是突然出現的。在風險演化為后果嚴重的危機之前，總會有蛛絲馬跡可尋，風險監控的意義在于此。只要我們足夠的細心，給予足夠的重視，很多情況下是可以化危機于無形的，或者，至少可以降低所造成的危害。
項目的管理工作會產生許多有用的數據和指標，比如項目進度報告、狀態跟蹤報告、里程碑評估報告等等。通過利用它們，我們可以拼湊出一幅完整的項目現狀圖，了解到許多有用的信息，比如：項目進度是否落后、質量是否波動、需求是否變更、功能點完成多少?對其中的異常信息進行重點分析，及時發出風險預警，提醒項目組成員確認風險并采取相關的風險應對措施，達到管理風險的目標。
防微杜漸是風險監控的目的，見微知著是風險監控的原則，只有堅持不懈的收集項目的監控數據，才能及時準確的監控和預警風險的發生，這也是達到管理風險這一目標不可缺少的條件之一。
后，不輕言放棄
無論機會看上去多么渺茫，迪克都不曾放任自己沉淪在高墻之內。對于風險，無論它是否真的出現，無論項目后是否成功，我們都應該堅持下去，不輕言放棄。
不是每個潛在的風險都會變成現實，也不是每個識別出來的風險都能避免，即使我們認真的防范了、監控了，風險也還是會造成意想不到的影響。
可怕的不是風險本身，而是當風險成為事實后的驚慌失措。既然墨菲真實存在，那么風險變為現實也沒什么好奇怪的，重點是我們應該怎樣面對已成事實的風險，怎樣努力降低風險造成的損失。
每個項目都會面臨不同類型的風險，每個風險都會有不同形式的表現，每次處理都會有不同程度的效果，只有當這些流水般的經驗在組織里積累和沉淀下來，才能成為有用的組織知識，為以后的項目提供寶貴的風險管理經驗。
只有把每一次風暴都當作認識風險的機會，不斷的遭遇、不斷的積累、不斷的總結，才能把沉睡的獅子關進籠子，讓風險成為真正可控制、可度量、可管理的對象。
項目無論大小，都存在著風險，完全沒有風險存在的項目在現實中很難找到，即使真的存在，那也只能是一串平凡的行為過程，一份棄之可惜的雞肋，不會讓參與者熱血沸騰，也不會讓參與者竭盡全力，注定不會有多大成功。
我們需要風險的存在，它像那條被放進沙丁魚群的鯰魚，威脅項目的成功，也刺激著項目走向真正的成功。
