所有風險分析活動都只有一個目的--輔助項目組建立處理風險的策略。一個有效的策略必須考慮三個問題：
· 風險避免
· 風險監(jiān)控
· 風險管理及意外事件計劃
如果軟件項目組對于風險采取主動的方法，則避免永遠是最好的策略。這可以通過建立一個風險緩解計劃來達到。例如，頻繁的人員流動被標注為一個項目風險，基于以往的歷史和管理經(jīng)驗，人員流動的概率為70％，而影響被預測為對于項目成本及進度有嚴重的影響。為了緩解這個風險，項目管理者必須建立一個策略來降低人員流動。可能采取的策略如下：
· 與現(xiàn)有人員一起探討一下人員流動的原因（如惡劣的工作條件，低報酬，競爭激烈）
· 在項目開始之前，采取行動以緩解那些在管理控制之下的原因。
· 一旦項目啟動，假設會發(fā)生人員流動并采取一些技術措施以保證當人員離開時的工作連續(xù)性。
· 對項目進行良好組織，使得每一個開發(fā)活動的信息能被廣泛傳播和交流。
· 定義文檔的標準，并建立相應的機制，以確保文檔能被及時建立。
· 對所有工作進行詳細復審，使得不止一個人熟悉該項工作。
· 對于每一個關鍵的技術人員都指定一個后備人員。
隨著項目的進展，風險監(jiān)控活動開始進行。項目管理者監(jiān)控某些因素，這些因素可以提供風險是否正在變高或變低的指示。在上例中，應該監(jiān)控下列因素：
· 項目組成員對項目壓力的一般態(tài)度。
· 項目組的凝聚力。
· 項目組成員彼此之間的關系。
· 與報酬和利益相關的潛在問題。
· 在公司內(nèi)及公司外工作的可能性。
除了監(jiān)控上述因素之外，項目管理者還應該監(jiān)控風險緩解步驟的效力。例如：上例中，風險緩解步驟要求定義"文檔的標準，并建立相應的機制，以確保文檔能被及時建立"。如果有關鍵的人物離開了項目組，這是保證工作連續(xù)性的機制。項目管理者應該仔細地監(jiān)控這些文檔，以保證文檔內(nèi)容正確，當新員工加入該項目時，能為他們提供必要的信息。
風險管理及意外事件計劃假設緩解工作已經(jīng)失敗，風險變成了現(xiàn)實。繼續(xù)前面的例子，假定項目正在進行中，有一些人宣布將要離開。如果按照緩解策略行事，則有后備人員可用，因為信息已經(jīng)文檔化，有關知識已經(jīng)在項目組中廣泛進行了交流。此外，項目管理者還可以暫時重新將資源調(diào)整到那些需要人的地方去，并調(diào)整項目進度，從而使新加入的成員能夠"趕上進度"。同時，要求那些要離開的人員停止工作，進入"知識交接模式"。
RMMM步驟將導致額外的項目開銷。因此，風險管理的部分任務是評估何時由RMMM步驟所產(chǎn)生的效益低于實現(xiàn)它們所花費的成本。本質上是講，項目計劃者執(zhí)行一個典型的成本－效益分析來估算項目開銷變化情況。
對于一個大型項目，可能會標識出30－40種風險。如果為每種風險定義三至七個風險管理步驟，則風險管理本身就可能變成一個"項目"。經(jīng)驗表明：整個軟件風險的80％（即可能導致項目失敗的80％潛在的因素）能夠由僅僅20％的已知風險來說明。早期風險分析步驟中所實現(xiàn)的工作能夠幫助計劃者確定哪些風險在所說的20％中。
1、安全性風險和危險
風險不僅限于軟件項目本身。在軟件已經(jīng)能夠交付客戶之后，仍有可能發(fā)生風險。這些風險一般與領域中的軟件失敗相關。
雖然一個良好的系統(tǒng)發(fā)生錯誤的概率很小，但是基
于計算機的控制及監(jiān)督系統(tǒng)中未被發(fā)現(xiàn)的錯誤可能會導致巨大的經(jīng)濟損失，或者更加嚴重
當軟件被用作控制系統(tǒng)的一部分時，復雜性會以數(shù)量級增加。由于人的錯誤所引起的微小的設計缺陷，在使用軟件時會變得難以發(fā)現(xiàn)。
軟件安全和危險分析是屬于軟件質量保證活動，它主要是用來標識和評估可能對軟件產(chǎn)生負面影響并使整個系統(tǒng)失敗的潛在危險。如果能夠在軟件工程的早期階段標出危險，則可以指定軟件設計特征來消除或控制潛在地危險。
2、RMMM計劃
風險管理策略可以包含在軟件項目計劃中，或者風險管理步驟也可以組織成一個獨立的風險緩解、監(jiān)控和管理計劃（RMMM計劃）。RMMM計劃將所有風險分析文檔化，并由項目管理者作為整個項目計劃中的一部分來使用。