风险敞口评估把“可能发生什么”换算成可比较的数值，核心公式是：风险敞口 = 发生概率 × 单次影响 × 暴露期占比，其中暴露期占比 = 暴露期 ÷ 评估周期。要让这个数值可复算、可比较，前提是先固定评估周期、影响单位和暴露期定义。下面按目标、字段、取数、计算、算例和解读六步展开。
要点总览（TL;DR）
- 风险敞口 = 发生概率 × 单次影响 × 暴露期占比，暴露期占比 = 暴露期 ÷ 评估周期；三个输入必须先统一单位才能代入。
- 概率用百分比或分级刻度，同一清单只用一种；影响用金额、人天或工期天数，不同单位先换算或分开汇总。
- 概率缺失按分级上限或历史频次估计并标注来源，影响不可比时单列，评估周期为零或缺失的风险不参与折算。
- 算例中暴露期从45天延长到90天，敞口从12.0人天升至24.0人天，说明暴露期需要随进展更新。
- 敞口值是期望量级，用于排序、资源投放和复核节奏，不构成因果保证，分档边界由团队结合资源承受能力设定。
评估目标：风险敞口要回答什么问题
敞口评估回答的是一个具体问题：在给定的评估周期内，尚未发生的若干不确定性，按期望量级折算后各有多大。它输出的是一组可排序的数值，用来决定先处理哪些风险、把资源投向哪里、多久复核一次。
这个定位决定了它的边界。风险一旦已经发生并造成阻塞，性质就从“不确定性”变成“已发生的问题”，应转入问题管理流程跟踪处置，不再计入敞口排序。多个项目之间如何平衡风险总量、如何按组合分配资源，属于更高一层的组合管理，本篇不展开。
明确目标还有一个实际作用：避免把敞口值当成风险清单的替代品。敞口是排序工具，风险登记表才是完整记录，两者配合使用。
指标与范围：概率、影响、暴露期三个输入怎么定义
三个输入必须各自有明确的单位、取值范围和记录方式，否则同一张清单里的数值无法相加或比较。建议在评估开始前先填一张字段定义表。
| 字段 | 定义 | 单位与取值 | 记录要求 |
|---|---|---|---|
| 发生概率 | 在评估周期内该风险实际发生的可能性 | 百分比（0–100%），或分级刻度（如1–5级） | 同一清单内只用一种刻度；用分级时须附换算规则 |
| 单次影响 | 风险一旦发生，单次造成的损失或延误 | 金额（元）、人天或工期天数 | 注明计量单位与估算依据 |
| 暴露期 | 风险可能造成影响的时间长度 | 天、周或月，与评估周期同单位 | 写明起止判断依据，如“从依赖确认到里程碑交付” |
| 评估周期 | 敞口折算的时间基准 | 与暴露期同单位，如一个季度 | 全清单统一，中途变更须记录 |
分级刻度与百分比的换算要事先写死，例如5级对应80%、4级对应60%、3级对应40%、2级对应20%、1级对应5%。换算规则一旦确定，本次评估内不再调整，否则前后结果不可比。
纳入范围同样要界定：本次评估覆盖哪些项目、哪些阶段的风险，哪些已关闭或已转为问题的条目排除在外。范围清单与字段定义一起存档，作为下次复核的对照基准。
数据口径：概率与影响从哪里取、怎么保证可比
概率的取数优先用历史同类事件的频次：过去若干周期内同类风险发生了几次、对应多少次机会，相除得到经验概率。没有历史数据时用专家判断，但要把判断人、判断依据和置信程度一并记录，便于复核时追溯。两种来源混用时，在字段里标注来源类型。
影响的取数依赖具体场景：工作量类风险取任务估算的人天；合同类风险取条款约定的违约金或赔付上限；进度类风险取里程碑依赖链上的关键路径天数。取数时写明引用的估算版本或合同条款编号，避免复核时找不到出处。
不同单位的影响不能直接相加。处理方式有两种：一是换算到同一基准，例如按内部人力单价把人天折成金额；二是分开汇总，金额类风险和工期类风险各出一张排序表。换算汇率或单价要作为口径参数记录。
缺失值和边界情况按以下规则处理：
- 概率缺失：按分级上限估计或引用历史频次，并标注“估计值”，不得默认为零。
- 影响不可比：单列展示，不并入合计排序。
- 评估周期为零或缺失：该风险不参与折算，单独标注待补。
- 暴露期大于评估周期：暴露期占比按1封顶，并在备注中说明跨周期影响。
计算步骤：把三个输入合成敞口值
计算按固定顺序执行，保证任何人拿到同样的输入都能复算出同样的结果。
- 统一单位。把概率统一为小数或百分比，把影响统一为同一计量单位，把暴露期与评估周期统一为同一时间单位。
- 计算暴露期占比。暴露期占比 = 暴露期 ÷ 评估周期。例如评估周期为一个季度（约90天），暴露期为30天，占比为0.33。
- 计算单风险敞口。风险敞口 = 发生概率 × 单次影响 × 暴露期占比。概率用小数代入，结果单位与影响单位一致。
- 汇总。同一单位下的敞口值相加得到合计；不同单位分开汇总。
- 分档。按敞口值排序后划分档位，例如高、中、低三档，档位边界由团队结合资源承受能力设定，不套用外部通用线。
分档之后设定复核阈值：高敞口风险每个评估周期复核一次，中档每两个周期复核一次，低档在状态变化时复核。阈值和档位边界写入评估规则文档，变更时记录版本。
算例：三个风险在同一口径下的敞口对比
假设评估周期为一个季度，按90天计，影响统一用人天计量。三个风险的输入如下：
| 风险 | 发生概率 | 单次影响（人天） | 暴露期（天） | 暴露期占比 | 敞口（人天） |
|---|---|---|---|---|---|
| A：核心接口依赖第三方延期 | 40% | 60 | 45 | 0.50 | 12.0 |
| B：关键测试人员临时缺位 | 30% | 80 | 90 | 1.00 | 24.0 |
| C：需求变更导致返工 | 60% | 30 | 30 | 0.33 | 5.9 |
逐步代入：A 的敞口 = 0.40 × 60 × 0.50 = 12.0 人天；B 的敞口 = 0.30 × 80 × 1.00 = 24.0 人天；C 的敞口 = 0.60 × 30 × 0.33 ≈ 5.9 人天。
结果解读：按单次影响排序，B 最大、A 次之、C 最小；按概率排序，C 最高。合成敞口后 B 仍居首，但 A 与 C 的差距被暴露期拉开——A 的暴露期只有半个季度，敞口被折半；C 概率虽高，单次影响和暴露期都小，敞口最低。如果只看概率，C 会被优先处理，实际资源应先投向 B。
再看暴露期的作用：若 A 的依赖确认推迟，暴露期从45天延长到90天，占比变为1.00，敞口升至24.0人天，与 B 持平。这说明暴露期是敞口排序中最容易被忽略、也最需要随进展更新的输入。
解读与限制：结果能说明什么、不能说明什么
敞口值表达的是期望量级，即“按当前概率和影响估计，这个风险在一个评估周期内平均造成多大损失”。它不构成因果保证：概率是估计值，影响是估算值，实际发生与否、损失多少都可能偏离。把敞口值当作承诺或考核指标，会诱导填报者压低概率和影响，反而让数据失真。
主观性主要来自两处：一是概率缺乏历史数据时的专家判断，二是影响估算的乐观偏差。缓解办法是记录判断依据、定期用实际发生情况回测估计偏差，并在复核时校准。回测结果本身也应记录，作为下一轮取数的参考。
单指标不能替代全部风险判断。敞口值不反映风险的不可逆性、合规后果或声誉影响，这类风险即使敞口数值不高也需要单独评估。排序结果用于资源投放参考，最终决策还要结合风险性质和组织约束。
复核机制要落到记录上：每次复核记录敞口值变化、变化原因（概率调整、影响重估、暴露期延长或口径变更），口径变更单独标注版本。这样下一轮评估才能区分“风险本身变了”和“算法变了”。
在工具承载上，风险登记、三字段记录和复核节奏可以放进同一套工作项与文档流程：把概率、影响、暴露期设为风险条目的固定字段，评估周期作为版本化文档保存口径，复核时按字段更新并留痕。ONES 的项目计划与里程碑基线可用于对比计划与执行偏差、提早识别风险，多维度统计与工时报表可为影响估算提供数据基础；ONES Assistant 可围绕项目进展、工时投入和资源配置生成分析建议，供管理者在风险扩大前干预，其输出需人工复核。具体字段结构与报表能力以实际版本为准。
常见问题
评估周期和暴露期的单位不一致时怎么处理？
先把两者换算到同一时间单位再代入公式。常见做法是统一按天计：评估周期一个季度按90天，暴露期按月给出的先乘30再计算占比。如果团队习惯按周管理，也可以统一按周，但同一张风险清单内只能用一种单位，中途换单位要记录口径版本，否则前后敞口值不可比。
概率只有专家判断、没有历史数据，敞口值还能用吗？
可以用，但要标注为估计值并记录判断人、判断依据和置信程度。复核时用实际发生情况回测估计偏差，再校准下一轮的概率取值。需要注意的是，概率缺失时按分级上限或历史频次估计，不能默认为零，否则敞口会被系统性低估，排序结果失真。
暴露期超过评估周期，占比要不要大于1？
建议按1封顶，并在备注中说明跨周期影响。占比大于1意味着风险的影响会延续到下一个评估周期，这部分损失应在下一期评估中继续跟踪，而不是在本期一次性放大。封顶处理能保持各期敞口值在同一口径下可比。
敞口值算出来之后，分档边界和复核频率怎么定？
分档边界由团队结合资源承受能力设定，没有通用达标线。一种可行做法是按敞口值排序后划分高、中、低三档，高敞口每个评估周期复核一次，中档每两个周期复核一次，低档在状态变化时复核。档位边界和复核阈值写入评估规则文档，变更时记录版本，便于下一轮区分风险本身变化和口径变化。
风险已经发生并造成阻塞，还要计入敞口排序吗？
不再计入。风险一旦发生并造成阻塞，性质从不确定性变成已发生的问题，应转入问题管理流程跟踪处置。敞口排序只覆盖尚未发生的风险，两类条目混在一起会让排序结果失去意义。组合层面如何平衡风险总量属于更高一层的管理，本篇不展开。
