无论是系统集成或是软件开发，IT公司经常面临着各种项目的实施和管理，面临着如何确定项目的投资价值、评估利益大小、分析不确定因素、决定投资回收时间等众多问题。并且，一个IT项目，无论其规模大小，必然会为被实施方（用户）在管理、业务经营等多方面带来变革，这就使IT项目必然具有高风险性的特点。尤其是近年来，IT项目的广泛实施，一方面为众多的企业带来了管理、经营方面的革新，而另一方面，夭折、中断、失败的项目也不在少数。因此，如何在项目实施中有效地管理风险、控制风险，已经成为了项目实施成功的必要条件。
项目风险的管理不仅贯穿于整个项目过程，而且在项目事件发生之前风险的分析就已经开始。我们可以根据风险控制与项目事件发生的时间将风险管理划分为三个部分：事前控制——风险管理规划，事中控制——风险管理方法，事后控制——风险管理报告。
一、事前控制——风险管理规划
风险管理规划是在项目正式启动前或启动初期对项目的一个纵观全局的基于风险角度的考虑、分析、规划，也是项目风险控制中最为关键的内容，包括风险形势评估、风险识别、风险分析和风险评价等几部分。
1、 风险形势评估
风险形势评估以项目计划、项目预算、项目进度等基本信息为依据，着眼于明确项目的目标、战略、战术以及实现项目目标的手段和资源。从而实现：通过风险的角度审查项目计划认清项目形势，并揭示隐藏的一些项目前提和假设，使项目管理者在项目初期就能识别出一些风险。尤其是项目建议书、可行性报告或项目计划一般都是在若干假设、前提、预测的基础上完成的，这些假设、前提、预测在项目实施期间有可能成立，也有可能不成立。而这其中隐藏的风险问题又通常是被忽视的。一旦问题发生，往往造成项目管理方的措手不及和无一应对。例如项目计划中假设用户实施小组全力支持、脱产或几乎脱产投入IT项目的实施，但在实际过程中，用户方人员却不得不抽出大量时间处理原有的业务，造成IT项目实施进度的拖延和实施效果不尽人意的风险。诸如此类的例子还有很多。为了找出这些隐藏的项目条件和威胁，就需要对与项目相关的各种计划进行详细审查，如人力资源计划、合同管理计划、项目采购计划等等。由此我们可以得出，风险形势评估一般应重视以下内容：项目的起因、目的、项目的范围、组织目标与项目目标的相互关系、项目的贡献、项目条件、制约因素等。
2、风险识别
在对项目的基础的风险形势评估之上，就需要对各种显露的和潜在的风险进行识别。风险识别实际上是对将来可能发生的风险事件的一种设想和猜测。因此，一般的风险识别结果应包括风险的分类、来源、表现及其后果、以及引发的相关项目管理要求。在具体识别风险时，一方面可利用一些常识、经验和判断，通过以前经历的项目中积累起来的资料、数据、经验和教训，或者请教相关的专家和资深从业人员，采用集体讨论的方式。另一方面，可以通过分解项目的范围、结构来识别风险，理清项目的组成和各个组成部分的性质、之间的关系、与外因的联系等内容，从而减少项目实施过程中的不确定性。除此之外，还可以利用一些技术和工具。比如，结合经验和教训，将项目成功和失败的原因罗列成一张核对表，或者是项目的实施范围、质量控制、项目进度、采购与合同管理、人力资源与沟通等。以上都是风险识别常用的一些手段和方法，当然还有其他更多的途径，因项目而异，灵活运用。
3、风险分析和评价
在进行风险识别并整理之后，必须就各项风险对整个项目的影响程度做一些分析和评价，通常这些评价建立在以特性为依据的判断和以数据统计为依据的研究上。风险分析的方法非常多，一般采用统计学范畴内的概率、分布频率、平均数众数等方法。但无论是哪一种工具，都各有长短，而且不可避免的会受到分析者的主观影响。可以通过多角度多人员的分析或者采取头脑风暴法等尽可能避免。此外，我们应当明确，风险是一种变化着的事物，基于这种易变条件上的预测和分析，是不可能做到十分的精确和可靠的。所有的风险分析都只有一个目的，即尽量避免项目的失控和为具体的项目实施中的突发问题预留足够的后备措施和缓冲空间。
风险评价之后，项目面临着两种选择，即面临着不可承受风险和可承受风险。对于前者，或者终止项目，或者采取补救措施，降低风险或改变项目；对于后者，则需要在项目之中进行风险控制。
二、事中控制——风险管理方法
管理风险，即控制风险，通过风险监视和风险规避消除一些潜在的威胁项目健康实施的事件。风险的管理在整个项目生命周期中是连续、反复进行的，消除了某些风险来源后，有可能又会出现其他的风险，而且，为减少风险损失而进行的风险管理本身也会带来新的风险。比如，管理风险所耗用的项目资源造成项目其他部分的可用资源减少，规避风险的行动影响原定项目计划而带来风险等。因此，在项目实施过程中，项目管理人员必须制订标准并按阶段衡量项目进展状况，时时监视项目实际进展情况，根据风险情况果断调整和纠正项目行动。
1、风险监视
由于时间对项目的影响是很难预计的，因此风险监视是项目实施过程中的一项重要工作。监视风险即监视项目产品、以及项目过程的进展和项目环境的变化，通过核查项目进展的效果与计划的差异来改善项目的实施。一般情况下，随着时间的推移，有关项目风险的信息会逐渐增多，风险的不确定性会逐渐降低，但风险监视工作也随信息量的增大而日渐复杂。我们一般可采取项目的审核检查的方式，通过各实施阶段的目标、计划、有关项目风险的信息会逐渐增多，风险的不确定性会逐渐降低，但风险监视工作也随信息量的增大而日渐复杂。我们一般可采取项目的审核检查的方式，通过各实施阶段的目标、计划、实际效果的对比、分析，寻找问题的根源，提出解决问题的方法。
2、风险规避
在风险管理规划基础上进行风险控制，一旦监视到风险，就应采取合理措施进行风险规避，可以从改变风险性质、改变风险发生的概率、改变风险的影响大小等多方面着手。风险规避的策略一般有预防、转移、回避、接受、后备措施等几种方式。
其中，预防风险尤其不能忽视项目的教育培训和按程序办事两个方面。由于项目实施成员的任何不当行为都会构成项目的风险因素，要减轻与之相应的影响，就必须对有关人员进行详细和有效的风险教育和项目培训，教育培训的内容应该包含项目相关的策略、计划、标准、规章规范、项目知识、产品知识等。在项目活动中，应该严格按照项目制度，如进度、人力调配、文档管理、资源分配等。
转移风险，在IT项目中使用最频繁的应该要数合作伙伴、项目外包、保险与担保等手段了。无论是与合作伙伴的协同实施还是项目的外包，都能在人力资源、成本费用、项目进度等方面分散风险，开脱责任。但转移风险的同时也必然带来利润的一部分流失。
回避风险，是指当项目风险潜在威胁的可能性极大，并会带来严重的后果，无法转移又不能承受时，通过改变项目来规避风险。通常会通过修改项目目标、项目范围、项目结构等方式来回避风险的威胁。
接受风险，作为规避风险的常见方法，主要是指主动将风险事件的不利后果承担下来，这种后果通常主要反映在实施周期、成本费用的有限增加上，以牺牲项目收益而不影响项目整体。
用于规避风险的后备措施，主要体现在后备费用、预留进度时间、后备技术力量三个方面，这些后备措施在项目计划中就应预留，保证在项目实施过程中，能充分调用后备力量解决问题。
三、事后控制——风险管理报告
无论项目进展的情况如何，都必须将风险管理的计划、行动、结果整理、汇总、进行分析，形成风险管理报告。风险管理的持续性要求风险管理报告的连贯性和不间断性，因此，该报告不是仅仅在项目结束之后才制作的，而是应该视项目的进展状况、项目计划、报告的对象等条件采取书面或口头、不定期的或阶段性的等多种方式，为项目的实施、控制、管理、决策提供信息基础。
我们在项目管理中进行风险控制的同时，还应该问自己几个问题：所制订的风险管理策略本身是否可行？实施风险控制的措施和手段是否与项目总目标保持一致？通过不断地在实践中反思、尝试、总结、分析，提高风险管理的水平。风险总是和效益并存的。只有正确地识别风险、分析风险、规避风险，才能确保每一个项目的顺利实施和成功完成，才能给企业带来更多的效益。