在MSF for CMMI Process Guidance里它是这样解释的:
Bug
Bug 是表明产品中可能存在或已经存在问题的工作项。打开 Bug 的目的准确地报告问题，以便让读者能够了解问题的全部影响。Bug 工作项中的说明应便于跟踪在遇到 Bug 时所使用的步骤，从而使 Bug 易于重现。测试结果应该明确显示问题。此说明的明确性和可理解性通常会影响到修复 Bug 的可能性。（它的来源应该是产品本身中的问题，如果项目是开发某个MIS，则应是完成开发任务中遇到的代码问题）
问题
问题工作项记录可能阻止或当前正在阻止有关产品的工作的事件或情况。问题与风险的不同之处在于：问题通常是在每日团队会议上自发识别的。将对问题工作项进行评审和分析以创建解决该问题的任务。一旦采取纠正措施（通过完成任务），就可以解决该问题。最后，如果认为纠正措施是可接受的，则关闭该问题。（问题是已经存在的影响项目的，风险是还没发生，但将来可能发生或一定会发生的，我们所做的就是尽可能的去降低风险或转移风险．当发生了就转换为问题了），它与Bug的最大区别是他不是因为某个代码问题，而是在项目中遇到的阻碍整个项目或部分工作的实施的事件或情况。
风险
风险工作项记录任何会在将来对项目产生潜在负面结果的可能的事件或情况。项目管理的一个重要方面是认识和管理项目所固有的风险。如果指派一个风险进行缓解，则该风险将变成“活动”状态。该风险将一直保持活动状态，直到完成相应的缓解措施，此时风险已解决。如果已解决的风险经过验证表明已完全得到缓解，则该风险将被关闭。如果在任何时候发生了风险标识的事件，则该风险就会成为一个问题，将执行应变计划。
风险是任何可能在将来对项目产生潜在负面结果的可能的事件或情况。风险工作项记录和跟踪项目的技术风险或组织风险。当需要具体操作时，这些风险可能会转换成为减轻风险而执行的任务。例如，技术风险可引起建立结构原型的工作。团队应始终以一种积极的方式看待风险识别以确保提供有关团队所面临的风险的尽可能多的信息。
凡事都存在风险，风险只能减轻或降低或着转化为另一种形式存在，当风险降低到某种我们可以容忍或接受的程度就可以认为风险解决了．