L2-22产品风险分析的2参数：可能性与影响

前文“L2-21可选的产品风险分类 - ISO 25010”可以帮助测试人员更好的识别产品风险，接下来需要开展风险分析，其主要活动是确定每个产品风险的可能性和影响（或严重程度），并得到其风险级别。通常风险级别的计算公式是：风险级别RL = 可能性P * 影响S。

 

风险分析可以是基于定性，例如：非常高、高、中、低或非常低，其缺点是难以量化得到风险级别；也可以是定量方式，估算其可能性和影响，其难点是难以确定两个因素的具体数值。因此更合适的方式是将定性分析与定量分析相结合，分别用不同数值代表可能性与影响的定性值，例如：针对可能性，分别用5-1代表非常高、高、中、低或非常低；同理，用5-1分别代表影响的非常严重、严重、中等、次要和可忽略。通过这样的方式，就可以得到一个量化的风险级别，从而方便风险级别的确定，以及和预先定义的风险阈值进行比较。假如计算得到的风险级别大于定义的风险阈值，那么就需要采取相关的风险应对措施，以降低风险级别（例如：降低风险发生的可能性或者影响，或者两者兼而有之）。

 

针对识别的产品风险直接确定可能性与影响，应该是比较困难的，同时比较空洞。因此，我们需要分析哪些因素会影响风险级别的可能性与影响，然后分别从不同维度去判定可能性与影响。根据ISTQB的术语定义，可能性与影响的定义分别如下：

1、可能性：风险转变成既成事实或事件的概率。

2、影响：风险转变成既成事实或事件的危害。

 

根据可能性的定义，其视角主要是从技术层面考虑，也就是说技术方面的问题更容易影响可能性，例如：

1）被测对象采用的技术复杂度；

2）项目团队的内部冲突情况；

3）与工具供应商的合同问题；

4）时间、资源、预算和管理方面的压力；

5）项目团队在不同工作地点；

6）变更管理问题；

7）缺乏早期的质量保证活动；例如：测试的尽早介入问题；

8）......

 

根据影响的定义，其视角主要是从业务层面考虑，也就是说业务方面的问题更容易决定风险的严重程度，例如：

1）被测对象或功能的使用频率；

2）被测对象对于实现客户业务目标的关键程度；

3）导致的商业损失和声誉损害；

4）潜在的民事或刑事法律责任；

5）是否有合理的应对手段；

6）......

 

因此，风险分析过程中得到风险级别，从直接基于经验获取可能性与影响的数值，转变为根据被测对象的不同周景下考虑不同维度而得到，因此可以更合理的获取两个因子的数据。下表就是进行风险分析的一个例子，其中选择了几个适合本测试对象的因素。

 

需要注意的是，风险分析过程中应该考虑不同干系人的视角，例如：项目经理、程序员、系统人员、用户等，因为他们对影响风险级别的可能性与影响因素的理解和看法会不同。同时，风险分析过程应该包括一些策略和方法，以帮助在不同干系人在可能性与影响的估值上出现分歧时，通过什么方式以达到一致，从而更好的在后续阶段通过风险级别指导测试活动。