MAN.5 风险管理是 ASPICE 管理过程组的重要过程，风险不只是算法、架构这类技术难题，人员变动、外包交付延期、硬件样件延期、客户需求频繁改动，都属于项目需要识别的风险。不少研发出身的项目负责人做风险管理，习惯性只聚焦产品技术层面，项目管理类风险识别不全。等到 ASPICE 评估访谈，评估师问到进度、供应链相关风险的时候，项目拿不出对应的识别、分析、处置记录，造成 MAN.5 产生弱项。

执行 ASPICE MAN.5 风险管理，经常出现几类现实误区。风险清单几乎全部是软件技术相关风险，供应链、人员、资源、外部接口、定点约束这类项目类风险完全缺失。风险只做简单登记，不分析发生可能性和造成的后果，没有区分缓解措施和应急预案。风险识别一次性完成，项目迭代过程不更新风险台账，新出现的风险没有录入，已经消除的风险不做关闭记录。风险发生之后，没有把该事件转入 SUP.9 问题解决管理流程，风险台账和问题台账互相脱节。风险评审只由技术人员参与，项目经理、QA、采购没有共同参与评审。

MAN.5 风险管理面向项目全部潜在不利事件，既包含产品技术风险，也包含项目管理层面的各类风险，两类风险都要完成识别、分析、制定措施、持续监控、关闭闭环整套流程。

开展风险识别的时候，拓宽风险收集来源。除架构、算法、接口、安全这类技术维度，还要覆盖人力资源、关键岗位人员流失、供应商交付、硬件样件、客户需求变更、预算、合规定点要求等项目维度。

每一条风险，记录风险描述，分析发生可能性、发生之后的影响，区分缓解措施用来降低风险发生概率，应急预案用来风险一旦发生之后如何应对。定期在项目例会评审风险台账，新增识别的风险及时录入，风险条件变化之后更新风险等级，风险已经消除写明关闭理由完成闭环。

当潜在风险真正落地，演变为已经实际发生的事件，除更新 MAN.5 风险状态，同步创建 SUP.9 问题记录，转入问题解决管理流程，做好两个过程之间的衔接。风险评审邀请项目经理、采购、QA、技术多方共同参与，评审记录归档，作为 ASPICE 评估证据。

内部预评估核查 MAN.5 风险台账，检查风险类型覆盖面，确认不只收录技术风险，核查风险分析、措施、关闭、评审记录完整度。

MAN.5 不是只管理产品技术隐患，项目层面各类潜在不利事件同样需要纳入管控。兼顾技术风险与项目风险，完整执行识别分析监控闭环，才能够满足 ASPICE MAN.5 的全部实践要求。