风险概率计算的关键，是先固定“哪条风险、在多长时间内、以什么为分母”，再选择与数据条件匹配的方法。有历史同类事件数据时，用发生次数除以暴露次数得到频率；缺少历史数据时，用专家分级或成对比较得到相对概率，并统一换算到百分比或五级量表。结果需要同时标注时间窗、样本量和置信度，它表示不确定性程度，不能直接当作损失金额或绩效结论。
要点总览（TL;DR）
- 先固定风险单元和时间窗，再选方法：有历史同类事件数据用频率法，概率=发生次数÷暴露次数×100%，分母须与分子来自同一总体。
- 缺少历史数据时用专家分级或成对比较，明确评分规则、评分人数和一致性要求，多人评分取中位数后映射到统一概率区间。
- 同一本风险台账使用一种主刻度，百分比与五级量表之间给出固定换算规则，避免每次计算临时决定。
- 概率只表示不确定性程度，需与影响评估组合排序，并标注样本量、置信度和复核周期。
- 小样本、场景变化和主观评分都会限制结果精度，概率应随项目进展和触发条件定期更新。
评估目标：概率要回答哪个问题
风险概率回答的是一个具体问题：某条已识别的不确定性事件，在给定时间窗内发生的可能性有多大。它描述的是“会不会发生”和“发生的机会有多大”，不描述“发生后有多严重”。把这两件事分开，后续的排序和应对才有稳定的比较基础。
需要区分两个层级。单条风险概率针对一条风险事件，例如“第三方接口在联调阶段延期交付”，结果是一个可比较的数值或等级。风险集合的整体概率针对一组风险，例如“本季度至少有一条关键路径风险发生”，它需要基于各条风险的概率和相互关系另行估算，不能把单条概率简单相加。多条风险相互独立时，整体发生概率约为 1 减去各条风险不发生概率的乘积；风险之间存在关联时，这种估算会失真，应改用情景分析。
评估目标决定了结果怎么用。用于排序时，概率需要与影响组合成风险值，单独的概率排序会低估高损失低概率事件；用于确定应对优先级时，概率高低决定投入监控资源的多少；用于监控预警时，概率需要设定复核周期和触发条件，让台账上的数值随项目进展更新。开始计算前先写清用途，可以避免后面为了“算得准”而收集与决策无关的数据。
指标与范围：风险单元、时间窗与概率刻度
风险单元是一条已识别且描述清晰的不确定性事件。合格的描述包含触发条件、受影响对象和可能后果，例如“核心开发人员在迭代第 3 周前离职，导致支付模块联调延期”。描述含糊的条目，如“人员风险”“技术风险”，无法定义分母，也无法判断是否发生，应先拆分再评估。
时间窗是概率的分母所覆盖的期间，必须与风险台账保持一致。常用口径包括项目阶段（如“联调阶段”）、固定周期（如“本季度”）和剩余工期（如“至上线前”）。同一条风险在不同时间窗下的概率不同，跨期比较时必须换算到同一窗口，或明确标注各自窗口。时间窗还应说明起止日期，避免“本季度”在不同团队间指向不同区间。
概率刻度决定结果的表达形式。同一本风险台账应使用一种主刻度，其他刻度只作为展示换算。下表给出常用的换算参考，具体区间可由组织在评估前统一约定。
| 等级 | 百分比参考区间 | 高/中/低 | 适用说明 |
|---|---|---|---|
| 5 几乎确定 | 80%–100% | 高 | 有充分历史数据支持，或条件已基本具备 |
| 4 很可能 | 60%–80% | 高 | 同类事件在可比场景中多次出现 |
| 3 可能 | 40%–60% | 中 | 有部分证据，专家意见存在分歧 |
| 2 不太可能 | 20%–40% | 低 | 偶发，缺乏稳定规律 |
| 1 罕见 | 0%–20% | 低 | 仅有理论可能，历史样本极少 |
刻度换算规则应在评估启动时写入风险管理办法，而不是每次计算时临时决定。百分比适合需要与影响值相乘做定量排序的场景，五级量表适合专家判断为主、数据较少的早期阶段。两种刻度混用时，应保留原始评分记录，便于复核换算是否一致。
数据口径：频率法、分级法与证据要求
频率法适用于有历史同类事件数据的场景。分子是统计窗口内同类事件实际发生的次数，分母是可比的暴露次数，例如同类项目数、同类交付批次数、同类变更单数或风险暴露的人天。分子和分母必须来自同一总体和同一时间窗：用 20 个历史项目统计接口延期次数，分母就是 20 个项目，而不是 200 个接口。分母口径一旦改变，结果不可直接比较。
分级法适用于缺少历史数据、或历史数据与当前场景不可比的情况。做法是明确评分规则，让多位评估者独立给出等级，再汇总为单一结果。评分规则应写清每个等级对应的判断依据，例如“4 级：同类事件在过去两个项目中至少出现过一次”。评分人数建议不少于 3 人，覆盖技术、业务和项目管理视角；汇总时取中位数以降低个别极端判断的影响，同时记录评分分布，分布过于分散说明认识不一致，需要补充证据后再评。
无论采用哪种方法，证据记录都应包含：数据来源（历史项目台账、缺陷系统、供应商履约记录或专家判断）、样本量、统计时间窗、缺失值处理方式，以及评估日期和评估人。缺失值不能默认按“未发生”处理，否则会系统性低估概率；分母为零时也不能推断概率为零，应改用分级法并注明原因。下表汇总两种方法的口径差异。
| 对比项 | 频率法 | 分级法 |
|---|---|---|
| 数据条件 | 有可比的同类历史事件记录 | 缺少历史数据或场景不可比 |
| 分子 | 同类事件发生次数 | 不适用，改为评分 |
| 分母 | 暴露次数、项目数或批次数 | 不适用，记录评分人数 |
| 结果形式 | 百分比，附样本量 | 等级，可映射为百分比区间 |
| 主要限制 | 样本小、场景变化时外推风险高 | 受评估者经验和立场影响 |
计算步骤：从原始数据到概率值
频率法的计算分四步。第一步，确定风险单元和时间窗，写入台账。第二步，统计窗口内同类事件发生次数，作为分子。第三步，统计同一窗口内可比的暴露次数，作为分母，并核对分子分母是否来自同一总体。第四步，按公式计算并标注单位与样本量：
概率 = 发生次数 ÷ 暴露次数 × 100%
例如 12 个可比项目中 3 个出现供应商延期，概率为 3 ÷ 12 × 100% = 25%，样本量为 12 个项目，时间窗为过去 12 个月。样本量很小时，百分比应同时给出区间或直接标注“低置信度”，避免把 1/2 得出的 50% 与 50/100 得出的 50% 等同看待。
分级法的计算也分四步。第一步，评估者按统一规则独立打分。第二步，汇总评分，取中位数作为主结果，均值作为参考，并记录评分范围和人数。第三步，按事先约定的换算表把等级映射到百分比区间，取区间中值或直接保留等级。第四步，标注评估日期、评估人和一致性情况。若评分分布跨越三个及以上等级，应先组织讨论对齐判断依据，再重新评分。
两类边界情况需要固定规则。分母为零时，频率法不适用，改用分级法并在台账中注明“无暴露样本”。数据缺失时，区分“未记录”和“确认未发生”：前者不计入分母或单独列为缺失，后者才可计入。概率结果保留整数百分比或一位小数即可，过度精确会掩盖样本本身的误差。
算例：一条进度风险的概率计算
演示情景：某系统集成项目处于联调阶段，风险台账中有一条风险“第三方支付接口在联调阶段延期交付，导致上线推迟”。时间窗设为联调阶段开始至计划上线日，共 6 周。该团队过去 18 个月完成过 10 个包含第三方接口的项目，其中 4 个发生过接口延期交付，延期均发生在联调阶段。
按频率法计算：分子为 4 次延期事件，分母为 10 个可比项目，概率 = 4 ÷ 10 × 100% = 40%。样本量 10 个项目，时间窗为过去 18 个月，结果标注为“40%，中等置信度”。由于样本量偏小，同时记录延期幅度分布：4 次延期中有 3 次在两周以内，1 次超过四周，供后续影响评估使用。
若该团队没有历史项目数据，则改用分级法。由项目经理、接口负责人和供应商对接人 3 人独立评分，规则为“过去两个项目中同类事件出现次数”：0 次记 2 级，1 次记 3 级，2 次及以上记 4 级。三人评分分别为 3、3、4，中位数为 3 级，映射到 40%–60% 区间，取中值 50%，标注“3 人评分，中等一致性”。两种方法结果接近，可在台账中保留频率法结果作为主值，分级法结果作为交叉验证。
结果表达应包含风险描述、时间窗、方法、分子分母或评分记录、概率值、置信度和评估日期。这样的记录可以被他人复算，也能在复核时判断是数据变化还是口径变化导致结果变动。
解读与限制：概率结果的边界
概率只表示不确定性程度，必须与影响评估组合使用。概率 40%、影响为两周工期延误的风险，与概率 40%、影响为一次数据泄露的风险，应对优先级完全不同。常见的组合方式是把概率等级与影响等级相乘或查矩阵得到风险值，再据此排序；概率本身不构成优先级结论，也不宜直接作为个人或团队的绩效指标。
置信度是小样本和主观评分无法回避的限制。频率法在样本少于 10 个可比对象时，百分比波动很大，应同时报告样本量和区间；分级法依赖评估者经验，评分人数少或立场单一时容易产生系统性偏差。概率结果适合支持决策和触发讨论，不适合作为精确预测。当历史场景与当前项目差异明显时，例如技术栈更换、供应商变更，历史频率只能作为参考起点，需要结合分级法修正。
概率需要随项目进展更新。建议在风险台账中为每条风险设定复核周期，例如每个迭代或每个阶段关口复核一次，并在触发条件出现时立即重评，如关键人员确认离职、供应商发出延期通知。复核时保留历史版本，便于观察概率变化趋势。概率上升本身就是一个预警信号，可以触发应对措施的启动或升级。
在项目计划和里程碑基线可对比的条件下，进度偏差可以作为风险概率更新的输入；ONES 的项目计划与基线对比能力可用于识别计划与执行的偏差，风险台账、评分记录和复核周期也可以在项目管理工具中承载，使每次概率调整都有记录可查。工具承载的是记录和流转，概率口径与方法选择仍需团队在评估前统一约定。
常见问题
风险概率的分母到底该用项目数、批次数还是人天？
分母的选择取决于分子统计的是什么。分子统计“多少个项目出现过同类事件”，分母就用可比项目数；分子统计“多少批次出现延期”，分母就用批次数。关键是分子和分母来自同一总体、同一时间窗，例如用 20 个历史项目统计接口延期次数，分母就是 20 个项目。换一种分母口径，结果就不能与之前的数据直接比较，台账中应同时记录分母定义。
历史数据只有两三个项目，还能用频率法吗？
可以算，但要谨慎解读。样本很小时百分比波动大，1/2 得出的 50% 与 50/100 得出的 50% 可信程度差别很大。建议同时报告样本量，标注低置信度，并用分级法做交叉验证。如果历史场景与当前项目差异明显，例如技术栈更换或供应商变更，历史频率更适合作为参考起点，最终概率结合专家判断修正。
专家评分分歧很大时该怎么处理？
先不要急着取平均值。评分分布跨越三个及以上等级，通常说明评估者对风险描述、评分规则或证据的理解不一致。可以组织一次短会，逐条对齐评分依据，补充缺失证据后重新独立评分。若分歧来自对时间窗的不同理解，应先统一时间窗再评。汇总时以中位数为主结果，同时保留评分范围和人数，便于后续复核。
概率算出来之后，多久需要更新一次？
更新周期与风险的变动速度相关。常见做法是每个迭代或每个阶段关口复核一次，并为关键风险设定触发条件，例如关键人员确认离职、供应商发出延期通知时立即重评。复核时保留历史版本，观察概率变化趋势；概率明显上升本身可以作为启动或升级应对措施的预警信号。
概率可以直接用来给风险排序吗？
单独按概率排序会低估高损失低概率事件。更稳妥的做法是把概率与影响组合成风险值，例如概率等级与影响等级相乘或查矩阵，再据此排序。概率结果也不宜直接作为个人或团队绩效指标，它更适合支持决策、触发讨论和安排监控资源。
