PMP职场实战108问 · 第36问

可控风险和不可控风险如何区分处理？

你是不是也遇到过这种场景：项目上线前三天，开发说“第三方API突然限流了”，你急得跳脚，但根本没法控制对方服务器。另一边，你明明提前发现了“测试环境不稳定”的风险，却因为没及时采取措施，硬生生让Bug堆积到了最后一刻。

这两种风险，本质完全不同。前一种是不可控风险，你只能被动应对；后一种是可控风险，你没管好，就是你的失职。

很多PM最大的问题，不是风险识别能力差，而是分不清哪些风险该“管”，哪些风险只能“认”。把精力花在不可控的事情上，焦虑又无效；对可控风险视而不见，等着爆雷。今天咱们就把这层窗户纸捅破。

一、核心区别在哪？只看一个维度：行动权

判断标准很简单：你能不能通过自己的决策和行动，直接改变风险发生的概率或影响？

• 可控风险：你可以主动采取行动来预防、减轻或转移。比如：内部团队能力不足、代码质量差、关键物料采购延迟（你可以催、可以换人、可以加预算）。
• 不可控风险：你无法直接干预其发生。比如：政策突变、供应商倒闭、疫情影响、客户突然砍预算。你只能提前预警、准备备选方案、争取缓冲时间，但阻止不了它发生。

一个容易混淆的例子：
“供应商延迟交货”——如果这家供应商是你签的、有合同约束、你可以沟通催促、甚至换供应商，那它就是可控风险。
如果这家供应商是客户指定的唯一来源，且合同条款对你完全不利——那它就是不可控风险，你只能事先要求客户增加风险储备金。

二、真实场景举例

去年我辅导过一个电商大促项目，上线前两周，运营突然说要加一个“满减凑单推荐”功能。

我当时的风险清单是这么写的：

结果呢？重点说说可控风险那一项——开发人手不足，我以为申请加班就行了，但团队连续加班三天后，开发leader跟我说：“兄弟，不是人力问题，是需求没拆清晰，开发写代码的时间，有一半在等产品确认逻辑。”

这就是典型的“可控风险失控”——问题的根因不是资源，而是流程。我立刻拉了产品经理和开发坐在一起，用半天时间把每个功能点的输入输出全部敲死，后续进度直接翻倍。

而那个第三方支付限流，我们提前做了备案，但上线当天还是出现了短时拥堵。因为不可控，我们只能启动备用通道把流量切走，同时运营发公告致歉。结果客户反馈良好，说“虽然慢了点但没丢单”。你看，不可控风险，核心是减少损失，而不是追求完美。

三、四步区分法：怎么判断+怎么处理

Step 1: 问自己三个问题

• 我能直接叫停它吗？
• 我能花钱/换人/加时间解决它吗？
• 我手里有没有可执行的预案？

三个答案如果有一个“是”，就是可控风险。如果一个都没有，就是不可控风险。

Step 2: 可控风险——用“主动管理”
✅ 预防：比如识别出“开发不熟悉这个技术栈”，立刻安排培训或引入外部专家，而不是等代码写崩。
✅ 减轻：比如“测试时间不足”，那就砍掉低优先级用例，只保核心流程。
✅ 转移：比如“自己团队搞不定安全测试”，花钱外包给专业公司。

重点：可控风险是项目经理的“内功”，80%的项目问题都出在这里。别抱怨外部环境，先把你能管的管住。

Step 3: 不可控风险——用“被动应对”
✅ 预警：提前建立监听机制。比如“客户有可能砍预算”——每周和客户沟通一次财务进度，一旦出现苗头立马启动预算冻结。
✅ 备选方案：比如“关键供应商可能断供”——提前验证第二、第三供应商，不把鸡蛋放一个篮子。
✅ 争取缓冲：不可控风险最怕“突然”。提前在项目中预留10%~15%的应急储备（时间或预算），专门应对这类风险。

重点：不可控风险是你的“护城河”，不是用来焦虑的，是用来提前下注的。

Step 4: 建立风险升级机制
在项目启动时就和团队明确：

• 可控风险：PM直接拍板，不需要汇报老板。
• 不可控风险：一旦出现征兆，必须1小时内升级给项目发起人或决策层，让他们做政治决策。

很多PM犯的错是：明明是不可控风险（比如客户要改需求），还自己硬扛，结果越扛越崩。该动用的权力不用，就是浪费组织资源。

四、一个你明天就能用的工具

我建议你做一个 “风险分色表”：

这个表贴在项目会议室或IM群公告里，谁都不需要问“这个风险该不该汇报”，看一眼颜色，直接执行。

📌 今日动作：打开你当前项目或最近结束项目的风险登记册，用“能否通过自己行动直接影响”这个标准，把所有风险重新标一遍（可控/不可控）。可控风险里，挑出3个你没及时处理的，写下明天能立刻推进的一个具体动作。

📚 返回 PMP职场实战108问 目录 →