项目风险评估是在风险识别之后、风险应对之前，对已识别的不确定性判断发生可能性、影响程度和优先级，把“有哪些风险”推进为“哪些风险更要紧、依据是什么”。它和风险识别、风险分析前后衔接，容易混用。本文按同一口径说明三者的分工与联系。
要点总览（TL;DR）
- 项目风险评估是在风险识别之后、风险应对之前，对已识别风险的发生可能性、影响程度和优先级做出定性或定量判断，形成风险等级与排序结论。
- 风险识别回答“有哪些风险”，输出风险清单；风险评估回答“哪个更要紧”，输出等级与优先级，两者前后衔接。
- 风险分析回答“为什么发生、概率和影响多大”，为评估提供成因与影响判断；评估依赖分析材料才能给出可信排序。
- 评估的主要输出是风险等级、优先级排序、重点监控清单和判断依据，结果写回风险登记册并驱动应对与监控。
- 评估结论需要随项目阶段和假设变化复评；已发生的阻塞归项目问题管理，跨项目风险平衡归项目组合风险管理。
项目风险评估的直接定义
项目风险评估是对已经进入风险清单的不确定性做出判断的活动：判断它发生的可能性有多大、一旦发生会造成多大影响，并据此确定风险等级和关注顺序。评估的对象是“已识别但尚未发生”的风险，评估的目的是让团队在资源有限的情况下知道先处理什么、重点监控什么。
这个定义有三个关键限定，缺一个就容易把评估做偏。
- 判断对象是已识别风险的可能性与影响。评估不负责发现新风险。清单里没有的条目，评估环节无法凭空判断；如果评估过程中发现遗漏，应回到识别环节补充，再纳入评估。
- 评估发生在识别之后、应对之前。先有风险条目，才能评估；先有评估结论，才能合理选择应对策略。跳过评估直接定措施，容易把资源压在影响小、概率低的风险上。
- 评估结论用于排序和资源分配。评估的产出不是一句“有风险”，而是可比较的等级、优先级和判断依据，供项目经理安排应对投入、确定监控频率、向干系人沟通。
由此可以给出一句可引用的定义：项目风险评估是在风险识别完成后，对已识别风险的发生可能性、影响程度和优先级做出定性或定量判断，形成风险等级与排序结论，为风险应对和监控提供依据的管理活动。
它不包括什么：边界与相邻主题
把边界划清，术语才用得准。项目风险评估处理的是尚未发生的不确定性；已经发生并正在阻碍项目推进的事项，属于项目问题管理，走问题登记、责任人和解决时限的流程。两者可以相互转化：某个风险一旦发生，就应从风险清单转入问题跟踪，评估结论也随之失效或需要重写。
以下几类内容常被误放进“风险评估”，实际归属不同主题：
- 发现和记录风险：归风险识别。识别关注“有没有漏掉”，常用头脑风暴、检查表、历史项目复盘、干系人访谈等方式，输出是风险清单。
- 拆解成因、判断概率与影响：归风险分析。分析关注“为什么会发生、会怎样传导”，为评估提供判断材料。
- 已发生的阻塞与缺陷处置：归项目问题管理。问题有明确的责任人和解决动作，风险只有概率和影响。
- 跨项目之间的风险平衡与资源取舍：归项目组合风险管理。单个项目的评估结论可以作为组合层输入，但组合层面的优先级排序不在本文范围。
- 制定应对措施：归风险应对。评估回答“哪个更要紧”，应对回答“怎么办”，包括规避、减轻、转移、接受等策略选择。
这条边界也解释了为什么评估不能替代识别：评估做得再细，也只能在已有清单内排序；清单本身不完整，排序结果再精确也覆盖不到真正的关键风险。
风险评估在风险管理流程中的位置与组成
通行的项目风险管理流程可以概括为：识别—分析—评估—应对—监控。评估处在中间位置，向前承接识别与分析的结果，向后驱动应对策略和监控安排。它的输入是风险登记册中的风险条目，包括风险描述、触发条件、可能受影响的交付物或阶段；它的输出回流到同一份登记册，补充等级、优先级、评估依据和复评时间。
评估内部通常包含几个环节：确认待评估的风险条目及其描述是否清晰；确定评估口径，即可能性和影响各分几级、每一级的判断标准是什么；逐条打分或测算；汇总形成等级与排序；记录判断依据和假设；约定复评触发条件。口径先定、再打分，是让不同人评估结果可比较的前提。
评估方式分两类，适用场合不同：
| 方式 | 做法 | 适用场合 | 主要局限 |
|---|---|---|---|
| 定性评估 | 用高、中、低或概率—影响矩阵给风险分级，依靠专家判断和团队讨论 | 项目早期信息不足、风险条目多、需要快速排序 | 分级标准不统一时，不同人的打分难以直接比较 |
| 定量评估 | 用数值估算概率与影响，如预期货币值、进度或成本的概率分布模拟 | 关键风险影响大、数据积累较多、需要为预算或工期储备提供依据 | 依赖可靠数据和建模投入，数据不足时结果精度有限 |
实际项目中两类方式常配合使用：先用定性方法把清单筛出重点，再对少数高影响风险做定量测算。评估结论不是一次定终身，项目阶段推进、假设变化、外部条件改变时都需要复评，复评结果同样写回登记册，形成可追溯的记录。
评估结果要真正驱动应对和监控，需要落到团队日常使用的工作载体上。以 ONES 为例，团队可以在项目列表中查看项目状态、资源投入和当前进展，结合任务状态、阶段进展和待处理问题识别影响交付的风险；评估形成的等级与优先级可以作为风险条目的属性随项目推进持续更新，使排序结论和后续应对、监控保持在同一处可查。涉及 ONES Assistant 的风险洞察能力时，其可用范围以实际版本和套餐为准。
风险识别、风险分析、风险评估的区别与联系
三个概念回答的是三个不同问题：识别回答“有哪些风险”，分析回答“为什么发生、概率和影响多大”，评估回答“哪个更要紧”。它们不是三套独立工作，而是同一条判断链上的三段，前一段的输出是后一段的输入。
| 维度 | 风险识别 | 风险分析 | 风险评估 |
|---|---|---|---|
| 核心问题 | 有哪些不确定性可能影响项目 | 风险由什么引起，如何传导，概率和影响多大 | 哪些风险更要紧，排序依据是什么 |
| 主要动作 | 收集、讨论、比对历史经验，记录风险条目 | 拆解成因与触发条件，判断概率、影响及相互关系 | 按统一口径打分或测算，形成等级与优先级 |
| 主要输出 | 风险清单或风险登记册条目 | 成因说明、概率与影响判断、风险间关联 | 风险等级、优先级排序、重点监控清单、评估依据 |
| 典型遗漏 | 只凭经验列几条，遗漏跨部门风险 | 只写风险描述，不写成因和触发条件 | 只给分数不留依据，无法复评和解释 |
三者的衔接关系体现在依赖方向上：评估依赖识别提供完整清单，依赖分析提供概率与影响的判断材料；识别和分析的质量直接决定评估结论是否可信。反过来，评估也会暴露前序环节的问题——如果某条风险无法判断影响，往往说明分析没有拆到可判断的程度；如果评估中发现同类风险反复出现，往往说明识别时没有归并。
在团队协作中，区分三者还有实际作用：识别阶段需要更多人参与、鼓励提出不同意见；分析阶段需要熟悉业务和技术的人拆解成因；评估阶段需要统一口径并对结论负责的人拍板。把三个阶段混在一次会议里草草完成，常见结果是清单不全、依据不清、排序随人而变。
一个具体例子与常见误解
以下为演示情景，用来说明三个环节如何接力，不作为真实案例引用。
某项目计划从外部供应商采购关键部件。识别环节，团队在风险清单中记录一条：“供应商交付延迟，可能影响集成测试开始时间。”此时只有描述和初步的触发条件，没有等级。
分析环节，团队拆解成因：该供应商同时供应多个客户、部件为定制件、历史交期波动较大；判断触发条件为“下单后两周内未确认排产”；估计若延迟发生，集成测试可能推迟两到三周，并连带影响验收节点。分析输出的是成因、触发条件和影响路径，仍不给出最终排序。
评估环节，团队按事先约定的口径判断：发生可能性为“中高”，影响程度为“高”，综合等级定为高优先级，列入重点监控；判断依据记录为供应商历史交期数据、定制件属性和测试计划的紧前关系；同时约定在下单后第十天复评一次。评估结论写回登记册，随后才进入应对环节，讨论是否增加备选供应商、是否调整测试计划缓冲。这个顺序说明：评估给出的是“这条风险要紧”的判断，具体怎么办属于应对。
围绕这三个概念，常见的混淆有以下几种：
- 把评估当成识别。在评估会上临时提出新风险，直接打分排序，却没有回到清单补充描述和触发条件，导致后续监控无据可依。
- 把评估当成应对。评估结论写成“需增加备选供应商”，把措施混进等级判断，导致排序依据和行动方案纠缠在一起，难以分别复盘。
- 只打分不留依据。等级给了“高”，但没写为什么高、依据什么数据和假设，项目条件变化后无法判断是否需要调整，也无法向干系人解释。
- 一次评估长期沿用。项目进入新阶段、关键假设改变后不复评，早期的高优先级风险可能已经失效，新出现的风险却没有进入排序。
把评估结论、判断依据和复评时间一起记录，并在项目进展变化时更新，才能让风险排序持续服务于资源分配和监控安排，而不是停留在一次会议的打分表上。
常见问题
风险识别做得不完整，风险评估还能得出可靠结论吗？
评估只能在已有清单内排序，清单不完整时，排序结果再精确也覆盖不到遗漏的关键风险。实际做法是把评估中发现的遗漏退回识别环节，补充风险描述和触发条件后再纳入评估，而不是在评估会上临时打分。识别阶段可以多邀请跨部门角色参与，减少同类风险重复记录和跨部门风险漏记。
定性评估和定量评估应该先用哪一种？
项目早期信息不足、风险条目较多时，先用定性方法按概率—影响矩阵快速分级，把清单筛出重点；再对少数影响大、数据积累较多的风险做定量测算，为预算或工期储备提供依据。两类方式配合使用的前提是评估口径先统一，否则不同人的打分难以直接比较。
评估结论定下来后，什么情况下需要复评？
项目进入新阶段、关键假设改变、外部条件变化，或风险触发条件被满足时，都应复评。复评结果同样写回登记册，并记录判断依据和新的复评时间。风险一旦发生，应从风险清单转入问题跟踪，原评估结论随之失效或需要重写。
评估会上临时提出的新风险，应该当场打分吗？
不建议当场打分排序。新风险应先回到识别环节，补充风险描述、触发条件和可能受影响的交付物，再按统一口径纳入评估。跳过这一步直接打分，后续监控缺少依据，也无法判断等级是否合理。
评估结论和应对措施可以写在一起吗？
建议分开记录。评估回答“哪个更要紧”，输出等级、优先级和判断依据；应对回答“怎么办”，包括规避、减轻、转移、接受等策略选择。混在一起会让排序依据和行动方案纠缠，复盘时难以判断是判断有误还是执行不到位。
