PMBOK 把风险（risk）定义为一个不确定的事件，一旦发生会对项目目标产生影响——注意，影响可以是负面的（威胁 threat），也可以是正面的（机会 opportunity）。『某模块可能比预期提前完成』和『供应商可能延迟交付』一样，都是风险。

国际上还有 ISO 31000 标准把风险管理思维提升到组织层面。核心心法：不确定性无法消灭，但可以被识别、评估、应对和监控——把『可能出事』提前变成『有预案』。

风险管理不是开工时想一遍就完事，而是贯穿全程的循环过程，PMBOK 分七步：

1. 规划风险管理——定方法、定角色；
2. 识别风险——把『可能出事/可能有利』尽量列全；
3. 定性分析——概率×影响快速排序；
4. 定量分析（可选）——给要紧的风险算数；
5. 规划应对——每条风险定策略；
6. 实施应对——把策略落成行动；
7. 持续监控——新风险冒出来、老风险在变，循环回去更新。