风险来源与风险分类的区CMMI 1.2的RSKM 过程域的SP1.1为：Determine risk sources and categories，在该实践中明确区分了风险来源与风险分类。确定风险的来源和分类是为了全面、系统地识别潜在风险，合并类似风险的规避措施。

　　风险来源用于在项目或组织内确定风险产生的原因。对项目来讲有许多风险来源，包括内部和外部的。风险来源标识了风险可能发生的常见领域。常见的内部和外部风险来源有：

• 不确定的需求

• 无法达到的工作量估算

• 不可行的设计

• 不成熟的技术

• 不切实际的进度估算与安排

• 人手或技能不够

• 成本与资金问题

• 不可靠的或不充分的分包商能力

• 不可靠的或不充分的供应商能力

• 与实际的或潜在的客户或他们的代理沟通不充分

　　对风险来源没有进行充分的策划会导致风险的发生。早期识别内部和外部风险来源能够早期识别风险，这样可以在项目的早期实施风险缓解计划，来排除风险的发生或降低风险发生的影响。

　　风险类别为风险的收集和组织分门别类，是对风险的共同属性的归集。标识风险类别有助于在风险缓解计划中整合将来的缓解活动。在确定风险类别时可以有多个角度：

• 按项目生命周期模型的阶段分类，如需求、设计、制造、测试和评价、交付、部署

• 按过程类型分类，如需求开发过程、配置管理过程等

• 按产品类型分类，如软件、硬件等

• 项目管理风险（Program management risks)，例如，合同风险、预算和成本风险、进度风险、资源风险、性能风险、可支持性风险

　　当然也可以基于风险的来源进行风险的分类。比如我们对于上边举例的风险的来源进行风险分类为：
大类

小类

风险来源

内部风险

需求类风险

不确定的需求

技术类风险

不可行的设计

不成熟的技术

资源类风险

人手或技能不够

成本与资金问题

管理类风险

无法达到的工作量估算

不切实际的进度估算与安排

与实际的或潜在的客户或他们的代理沟通不充分

外部风险

分包风险

不可靠的或不充分的分包商能力

不可靠的或不充分的供应商能力

客户风险

客户不配合项目的实施

组织可以建立风险分类树为识别风险提供框架。

　　一个风险可能属于多个风险类别。如：由于人员比较年轻，缺乏业务经验，可能会导致遗漏潜在需求，交付时验收不通过。对于该风险，其风险来源是开发人员缺乏业务经验，如果按照风险的来源这个角度来分类，可以归结为人员风险类，如果按照开发过程分类，可以归结为需求风险类。在考虑风险的规避措施时，可以基于风险的来源考虑，也可以基于风险的分类来考虑之，从不同的角度考虑时，获得的风险规避措施可能相同，也可能不相同。对于上面的风险，如果基于风险来源考虑规避措施则可以识别的措施为：

选择有业务经验的需求分析人员进行需求获取；

对需求分析人员进行业务知识培训；

如果基于风险的分类来考虑规避措施则可以识别的措施为：

借鉴历史的需求；

执行需求的正式评审；

需求要获得客户的正式确认；