風險來源與風險分類的區(qū)CMMI 1.2的RSKM 過程域的SP1.1為：Determine risk sources and categories，在該實踐中明確區(qū)分了風險來源與風險分類。確定風險的來源和分類是為了全面、系統(tǒng)地識別潛在風險，合并類似風險的規(guī)避措施。

　　風險來源用于在項目或組織內(nèi)確定風險產(chǎn)生的原因。對項目來講有許多風險來源，包括內(nèi)部和外部的。風險來源標識了風險可能發(fā)生的常見領(lǐng)域。常見的內(nèi)部和外部風險來源有：

• 不確定的需求

• 無法達到的工作量估算

• 不可行的設(shè)計

• 不成熟的技術(shù)

• 不切實際的進度估算與安排

• 人手或技能不夠

• 成本與資金問題

• 不可靠的或不充分的分包商能力

• 不可靠的或不充分的供應(yīng)商能力

• 與實際的或潛在的客戶或他們的代理溝通不充分

　　對風險來源沒有進行充分的策劃會導致風險的發(fā)生。早期識別內(nèi)部和外部風險來源能夠早期識別風險，這樣可以在項目的早期實施風險緩解計劃，來排除風險的發(fā)生或降低風險發(fā)生的影響。

　　風險類別為風險的收集和組織分門別類，是對風險的共同屬性的歸集。標識風險類別有助于在風險緩解計劃中整合將來的緩解活動。在確定風險類別時可以有多個角度：

• 按項目生命周期模型的階段分類，如需求、設(shè)計、制造、測試和評價、交付、部署

• 按過程類型分類，如需求開發(fā)過程、配置管理過程等

• 按產(chǎn)品類型分類，如軟件、硬件等

• 項目管理風險（Program management risks)，例如，合同風險、預(yù)算和成本風險、進度風險、資源風險、性能風險、可支持性風險

　　當然也可以基于風險的來源進行風險的分類。比如我們對于上邊舉例的風險的來源進行風險分類為：
大類

小類

風險來源

內(nèi)部風險

需求類風險

不確定的需求

技術(shù)類風險

不可行的設(shè)計

不成熟的技術(shù)

資源類風險

人手或技能不夠

成本與資金問題

管理類風險

無法達到的工作量估算

不切實際的進度估算與安排

與實際的或潛在的客戶或他們的代理溝通不充分

外部風險

分包風險

不可靠的或不充分的分包商能力

不可靠的或不充分的供應(yīng)商能力

客戶風險

客戶不配合項目的實施

組織可以建立風險分類樹為識別風險提供框架。

　　一個風險可能屬于多個風險類別。如：由于人員比較年輕，缺乏業(yè)務(wù)經(jīng)驗，可能會導致遺漏潛在需求，交付時驗收不通過。對于該風險，其風險來源是開發(fā)人員缺乏業(yè)務(wù)經(jīng)驗，如果按照風險的來源這個角度來分類，可以歸結(jié)為人員風險類，如果按照開發(fā)過程分類，可以歸結(jié)為需求風險類。在考慮風險的規(guī)避措施時，可以基于風險的來源考慮，也可以基于風險的分類來考慮之，從不同的角度考慮時，獲得的風險規(guī)避措施可能相同，也可能不相同。對于上面的風險，如果基于風險來源考慮規(guī)避措施則可以識別的措施為：

選擇有業(yè)務(wù)經(jīng)驗的需求分析人員進行需求獲取；

對需求分析人員進行業(yè)務(wù)知識培訓；

如果基于風險的分類來考慮規(guī)避措施則可以識別的措施為：

借鑒歷史的需求；

執(zhí)行需求的正式評審；

需求要獲得客戶的正式確認；