CMMI 1.2的RSKM 过程域的SP1.1为：Determine risk sources and categories，在该实践中明确区分了风险来源与风险分类。确定风险的来源和分类是为了全面、系统地识别潜在风险，合并类似风险的规避措施。 风险来源用于在项目或组织内确定风险产生的原因。对项目来讲有许多风险来源，包括内部和外部的。风险来源标识了风险可能发生的常见领域。常见的内部和外部风险来源有： •       不确定的需求            •       无法达到的工作量估算 •       不可行的设计            •       不成熟的技术 •       不切实际的进度估算与安排    •       人手或技能不够 •       成本与资金问题          •       不可靠的或不充分的分包商能力 •       不可靠的或不充分的供应商能力  •       与实际的或潜在的客户或他们的代理沟通不充分 对风险来源没有进行充分的策划就会导致风险的发生。早期识别内部和外部风险来源能够早期识别风险，这样可以在项目的早期实施风险缓解计划，来排除风险的发生或降低风险发生的影响。 风险类别为风险的收集和组织分门别类，是对风险的共同属性的归集。标识风险类别有助于在风险缓解计划中整合将来的缓解活动。在确定风险类别时可以有多个角度： •       按项目生命周期模型的阶段分类，如需求、设计、制造、测试和评价、交付、部署 •       按过程类型分类，如需求开发过程、配置管理过程等 •       按产品类型分类，如软件、硬件等 •       项目管理风险（Program management risks)，例如，合同风险、预算和成本风险、进度风险、资源风险、性能风险、可支持性风险 当然也可以基于风险的来源进行风险的分类。比如我们对于上边举例的风险的来源进行风险分类为：

组织可以建立风险分类树为识别风险提供框架。 一个风险可能属于多个风险类别。如：由于人员比较年轻，缺乏业务经验，可能会导致遗漏潜在需求，交付时验收不通过。对于该风险，其风险来源是开发人员缺乏业务经验，如果按照风险的来源这个角度来分类，可以归结为人员风险类，如果按照开发过程分类，可以归结为需求风险类。在考虑风险的规避措施时，可以基于风险的来源考虑，也可以基于风险的分类来考虑之，从不同的角度考虑时，获得的风险规避措施可能相同，也可能不相同。对于上面的风险，如果基于风险来源考虑规避措施则可以识别的措施为： 选择有业务经验的需求分析人员进行需求获取； 对需求分析人员进行业务知识培训； 如果基于风险的分类来考虑规避措施则可以识别的措施为： 借鉴历史的需求； 执行需求的正式评审； 需求要获得客户的正式确认；