项目组合风险地图如果只用来展示风险点，很难回答组合层面的结构问题。把它当作诊断工具，需要先统一风险类别、等级和坐标口径，再按业务线、技术栈、供应商、地域等维度统计暴露分布，判断风险是集中在少数项目或单一依赖上，还是暴露面过窄、缺少对冲。本文给出一套可执行的诊断流程，包括口径定义、集中度计算、覆盖与相关性检查、处置动作和季度诊断会示例。
要点总览（TL;DR）
- 先统一风险类别、等级、坐标和归属维度，让同一张地图上的数据可以横向比较，再谈集中或分散。
- 判断过度集中分三步：按维度汇总敞口、计算头部占比与前三大占比等指标、合并同一供应商或技术栈上的同源暴露。
- 分散不足看覆盖与相关性：风险类别、项目、维度是否覆盖，高敞口风险是否有缓释安排，项目是否落在同一风险簇。
- 两类问题对应不同动作：集中用限额、拆分、替代和错峰，分散不足用补充对冲、扩展覆盖和组合级缓冲，并落到责任人与复核时点。
- 季度诊断会前完成数据准备，会上只做判定和决策，结论发布前用口径、数据、指标、证据、动作、复核六项检查。
先定诊断口径：风险地图要能回答哪两个问题
风险地图进入组合诊断前，必须先固定字段和坐标。否则同一张图上，不同项目对“高风险”的理解不一致，统计出的占比和集中度就没有可比性。诊断口径的目标是让地图稳定回答两个问题：风险是否过度集中在少数项目或单一依赖上；组合的风险暴露面是否过窄、缺少对冲。
建议先定义一张字段与坐标表，作为后续所有统计的基础。
| 口径项 | 定义内容 | 填写要求 |
|---|---|---|
| 风险类别 | 如进度、成本、质量、技术、供应链、合规、人才 | 使用统一类别清单，新增类别需组合管理委员会确认 |
| 风险等级 | 按发生概率与影响程度划分高、中、低 | 给出每一级的分值区间和判定示例，避免主观打分 |
| 地图坐标 | 横轴为发生概率，纵轴为影响程度；或横轴为风险敞口，纵轴为可控性 | 全组合使用同一套坐标，季度间保持不变 |
| 归属维度 | 业务线、技术栈、供应商、地域、项目阶段 | 每个风险条目至少标注一个归属维度，允许多选 |
| 风险敞口 | 风险发生时的预期损失或受影响工作量 | 统一单位（如人天或金额），并注明估算依据 |
| 诊断结论类型 | 过度集中、分散不足 | 两类结论分别对应不同指标，不混用 |
坐标选择上，概率×影响适合判断单个风险的严重程度，风险敞口×可控性更适合组合层比较：敞口大且可控性低的条目，应优先进入组合调整议程。归属维度决定后续能按什么口径切分数据，建议在风险登记时就要求填写，避免诊断时临时补录。完成标志是：任意一条风险记录都能落到类别、等级、坐标和至少一个归属维度上，且两名管理者对同一记录的分级结果一致。
识别风险过度集中：从分布到集中度指标
过度集中回答的是“风险是否压在少数承载对象上”。判断分三步：按维度统计敞口占比、计算集中度指标、识别关联暴露的叠加。
第一步，按选定维度汇总风险敞口。例如按项目汇总，得到每个项目承载的风险敞口及其占组合总敞口的比例；按供应商汇总，得到单一供应商相关风险的占比。统计时使用同一时间截面的数据，避免跨季度混算。
第二步，计算集中度指标。常用口径包括：
- 头部项目占比：敞口最大的单个项目占组合总敞口的比例。
- 前三大项目敞口占比：敞口排名前三的项目合计占比，反映头部集中程度。
- HHI类指标：各承载对象敞口占比的平方和，数值越高表示越集中。组合内对象数量不同，HHI的可比性会受影响，适合在同一组合的时间序列上比较。
- 单一依赖占比：某一供应商、技术栈或客户相关风险占组合总敞口的比例。
第三步，识别关联暴露的叠加。单个项目占比不高，但多个项目共用同一供应商、同一技术栈或同一客户时，风险会在同一触发条件下同时发生。做法是把归属维度作为交叉字段，统计“同一供应商下的项目数及其合计敞口”“同一技术栈上的高风险条目数”，把分散在各项目里的同源暴露合并观察。
| 指标 | 计算方式 | 解读方向 |
|---|---|---|
| 头部项目占比 | 最大单项目敞口 ÷ 组合总敞口 | 超过阈值说明单点承载过重 |
| 前三大项目占比 | 前三项目敞口合计 ÷ 组合总敞口 | 反映头部集中度，适合季度间对比 |
| HHI | 各对象敞口占比平方和 | 同一组合内纵向比较，观察集中趋势 |
| 单一依赖占比 | 某供应商/技术栈/客户相关敞口 ÷ 总敞口 | 识别同源风险叠加 |
阈值没有通用数值，应结合组合规模、项目数量和风险偏好设定。可行做法是：先用过去四个季度的数据算出指标分布，取一个能区分“正常波动”和“需要干预”的分位点作为初始阈值，再根据实际处置效果调整。阈值一旦确定，应在组合管理委员会备案，季度间保持稳定，调整时记录原因。完成标志是：每个维度都有一张集中度计算表，指标、阈值和判定结果可追溯到原始风险条目。
识别风险分散不足：暴露面与对冲缺口
分散不足与过度集中是两类问题。过度集中看头部占比，分散不足看覆盖面和相关性：组合的风险是否只落在少数类别上，是否存在看似分散、实际同源的风险，以及是否为高影响风险准备了缓释或反向安排。
暴露面过窄可以从三个覆盖角度检查：
- 风险类别覆盖：组合涉及的风险类别数量，以及高敞口类别是否只有一两类。若绝大部分敞口集中在进度和成本两类，技术、供应链、合规类风险缺少识别和预案，说明覆盖不足。
- 项目覆盖：风险条目是否只来自少数几个重点项目，其余项目的风险处于未识别状态。覆盖不足不等于没有风险，可能只是没有登记。
- 维度覆盖：业务线、地域、供应商等维度上，风险是否只出现在单一侧。例如全部项目依赖同一地域的交付资源，地域维度上没有分散。
缺少对冲的表现包括：某类高影响风险没有任何缓释项目或备用方案；关键资源只有一条供给路径；进度风险集中的同时没有设置组合级时间缓冲。检查时把每条高敞口风险与已有的缓释安排对应起来，找不到对应安排的即为对冲缺口。
相关性矩阵用于识别“看似分散实则同源”的风险。做法是选取项目或风险条目作为行列，按是否共享供应商、技术栈、客户、关键人员等触发因素打分，相关性高的组合视为同一风险簇。一个组合可能在项目数量上分布均匀，但多数项目落在同一风险簇内，实际分散程度很低。
| 检查项 | 判断依据 | 输出 |
|---|---|---|
| 类别覆盖 | 高敞口类别的数量与分布 | 覆盖缺口清单 |
| 项目覆盖 | 有风险登记的项目占比 | 未覆盖项目名单 |
| 维度覆盖 | 各归属维度上的分布是否单侧 | 单侧依赖说明 |
| 对冲安排 | 高敞口风险是否有缓释项目或备用方案 | 对冲缺口清单 |
| 相关性 | 共享触发因素的项目聚类结果 | 风险簇及簇内敞口 |
完成标志是：每个高敞口风险都能对应到覆盖检查和相关性检查的结论，且能明确区分“集中”与“分散不足”两类判断，不把项目数量多误认为风险已分散。
从地图到动作：两类问题的处置路径
诊断结论需要转化为组合层面的调整动作，并明确责任人和复核时点。两类问题的处置方向不同，应分别形成清单。
针对过度集中，可选动作包括：设置单一项目或单一依赖的敞口限额；把高敞口项目拆分为阶段交付，降低单点失败的影响；引入替代供应商或备用技术方案；对同源项目错峰排期，避免风险在同一时间窗口叠加。动作的选择取决于集中发生在哪个维度：项目维度集中优先考虑拆分和限额，供应商维度集中优先考虑替代和备份。
针对分散不足，可选动作包括：补充对冲性项目或缓释工作，使高影响风险有对应安排；扩展风险类别覆盖，把未登记的技术、合规、供应链风险纳入地图；设置组合级缓冲，如预留资源或时间余量，用于吸收集中暴露。分散不足的调整往往周期更长，应纳入组合规划而非单季度临时安排。
| 角色 | 职责 | 决策节点 |
|---|---|---|
| 组合管理委员会 | 确认阈值、审批限额和组合级缓冲 | 季度诊断会 |
| PMO | 维护口径与字段、汇总数据、计算指标、跟踪处置清单 | 诊断会前准备与会后跟踪 |
| 项目负责人 | 提供风险条目与敞口估算、执行拆分或错峰等具体动作 | 诊断会后至下一复核点 |
处置动作应记录为“问题—动作—责任人—时限”的清单，每条动作注明对应的诊断结论和证据条目。跟踪方式上，可在协作平台中把风险条目与处置任务关联登记，使动作状态和下一轮地图更新使用同一份数据。ONES 支持围绕项目进展、资源配置等数据生成分析，帮助管理者在风险扩大前完成干预；多团队组织架构也可用于按业务线或团队分别登记和汇总风险条目。具体字段配置和组合层视图需结合实际版本确认。完成标志是：每条诊断结论都有对应动作、责任人和完成时限，且动作状态可在下一轮诊断前查询。
示例：一次季度风险地图诊断会怎么开
以下为演示情景，数据为假设，用于说明流程，不代表任何真实组合的结论。
输入：某组合共12个项目，分属3条业务线，季度风险登记共46条，每条包含类别、等级、敞口估算和归属维度。会前由PMO完成数据清洗，统一等级判定，补齐缺失的供应商和技术栈字段。
步骤一，统计。按项目汇总敞口，得到总敞口1000人天；按供应商、技术栈分别汇总；计算头部项目占比、前三大项目占比和HHI。
步骤二，判定。假设结果为：前三大项目敞口占比58%，超过预设阈值50%，判定为过度集中；供应商维度上，单一供应商相关敞口占35%，且涉及5个项目，判定为同源暴露叠加。覆盖检查发现，46条风险中技术类仅3条，且无对应缓释项目，判定为类别覆盖不足；相关性矩阵显示8个项目共享同一关键组件，构成一个风险簇。
步骤三，定位。过度集中的承载对象是三个高敞口项目和一个主要供应商；分散不足的缺口在技术类风险识别和关键组件的备用方案。
步骤四，形成动作。委员会审批对单一供应商设置30%敞口限额，要求两个高敞口项目拆分阶段交付；PMO补充技术类风险登记模板，项目负责人为关键组件提交备用方案，时限为下季度诊断会前。
输出：一份集中度结论、一份分散不足结论、一份处置清单，以及下一轮复核时点。会议时长控制在两小时内，数据准备在会前完成，会上只做判定和决策。
完成检查：诊断是否站得住
诊断结论发布前，用以下清单逐项核对，避免结论停留在印象判断。
- 口径一致性：所有风险条目使用同一套类别、等级和坐标定义；两名管理者对抽样条目的分级结果一致。
- 数据完整性：归属维度无缺失，敞口估算有依据，统计使用同一时间截面；缺失数据的条目已标注并说明处理方式。
- 指标可追溯：每个集中度指标都能从原始条目重新计算；阈值有设定依据和备案记录。
- 结论与证据对应：过度集中结论对应具体指标和承载对象；分散不足结论对应覆盖缺口或相关性簇，两类结论不混用。
- 动作可执行：每条处置动作有责任人、时限和完成标志；组合级动作经过委员会审批。
- 复核安排：下一轮地图更新时点已确定，处置动作状态纳入复核范围。
六项全部通过，诊断结果才适合提交组合管理委员会作为调整依据；未通过的项目应回到对应环节补充数据或重新判定，不带着缺口进入决策。
常见问题
风险地图上的项目数量多，是否就说明风险已经分散？
不能这样判断。项目数量多只说明承载对象多，如果这些项目共享同一供应商、同一技术栈或同一关键人员，风险会在同一触发条件下同时发生，实际分散程度仍然很低。识别方法是做相关性检查：把项目按共享触发因素聚类，观察敞口是否集中在少数风险簇内。项目数量多但多数落在同一簇，结论应写为分散不足，而不是风险已分散。
集中度阈值应该由谁定，定完还能不能改？
阈值建议由组合管理委员会确认并备案，PMO负责提供计算依据。初始阈值可以取过去四个季度指标分布中能区分正常波动与需要干预的分位点，再结合组合规模和风险偏好调整。阈值确定后应保持季度间稳定，否则前后结论无法比较；确需调整时记录原因和生效时间，并在下一轮诊断中同时呈现调整前后的口径。
同一份地图上，过度集中和分散不足的结论会同时出现吗？
会，而且常见。两类结论对应不同指标：过度集中看头部占比和同源暴露叠加，分散不足看覆盖缺口与相关性。一个组合可能前三大项目敞口占比很高，同时技术类风险几乎没有登记和缓释安排。诊断时应分别出具结论，各自对应证据条目和处置动作，不把两类判断合并成一句笼统的“风险较高”。
诊断出的调整动作跨季度才能完成，下一轮地图怎么跟踪？
处置清单中的每条动作应记录责任人、时限和完成标志，并注明对应的诊断结论。下一轮诊断会前，PMO先核对动作状态，把未完成项与新一轮指标一起呈现。动作状态和风险条目使用同一份数据登记，可以避免会上反复核对口径。对于补充对冲、扩展风险类别覆盖这类周期较长的动作，纳入组合规划并按季度检查进度，不要求在一个季度内关闭。
风险条目数据缺失较多时，还能不能开诊断会？
可以开，但结论要标注数据限制。会前先做数据清洗：统一等级判定，补齐归属维度，对无法补齐的条目单独标注并说明处理方式。缺失严重的维度，其集中度指标只作参考，不作为决策依据。诊断会可以把“补齐数据”本身列为处置动作，指定责任人和时限，在下一轮复核时检查完成情况。
