用途
Risk Register 是一个 Claude 技能（Skill），目标是创建并维护一份「持续更新」的项目风险登记册。它强调风险登记册不是一次性文档，而应在每个 sprint 评审和更新——新风险会出现、旧风险会被缓解、有些风险会真正发生。其核心目的是尽早暴露项目风险，使其在演变为事故、延误或范围爆炸之前被处理。
主要能力
技能围绕以下环节组织：
-
风险发现（Risk Discovery）
- 代码库与技术风险扫描：通过命令统计复杂度热点（行数最多的文件）、变更最频繁的文件（churn）、缺陷修复最集中的文件、依赖漏洞（npm audit、pip audit）、过时依赖（npm outdated、pip list --outdated）、TODO/FIXME/HACK 数量、测试覆盖缺口、巴士因子为 1 的文件、关键路径错误处理缺失、基础设施配置、健康检查与监控、密钥管理使用情况等。
- 项目与交付风险：评估近期提交速度（每周 commits）、PR 周期时长、开放 PR、待办 issue、近期事故、范围变更或决策记录、截止日期引用等。
-
风险分类：分技术（T1–T8：架构、代码质量、依赖、安全、性能、数据、基础设施、集成）、交付（D1–D5：时间线、资源、范围、依赖、沟通）、运营（O1–O4：可用性、灾难恢复、合规、支持）、业务（B1–B4：市场、供应商、收入、声誉）四大类及子类。
-
风险评分：使用可能性量表（1 Rare 至 5 Almost Certain）与影响量表（1 Negligible 至 5 Severe），按 Risk Score = Likelihood × Impact 计算，并映射到 🟢 低（1–4）、🟡 中（5–9）、🟠 高（10–15）、🔴 严重（16–25）四档，配套风险评分矩阵。
-
风险响应策略：为每条风险选择 Avoid、Mitigate、Transfer、Accept 或 Contingency 策略。
-
风险条目格式：每条风险包含分类、子类、描述、触发条件、可能性、影响、分值、响应、缓解措施、应急计划、负责人、状态、截止日期、证据、关联项、最近评审日期等字段。
-
自动风险检测规则：定义自动标记为严重、高、中风险的触发条件，例如已知严重 CVE（CVSS ≥ 9.0）、密钥提交到 git、生产数据库无备份、认证或支付代码零测试覆盖、单点故障、无回滚策略、关键路径关键人物依赖且无文档、截止日期不足两周且超过 30% 范围未完成等。
-
风险趋势：以表格记录风险随时间的变化（可能性、影响、分值、变化方向与备注），支持 ↑ 恶化、→ 稳定、↓ 改善、⚡ 已发生、✅ 已关闭等符号。
-
评审节奏建议：快速扫描（每个 sprint）、完整评审（每月）、深度剖析（每季度）、临时评审（按需）。
-
输出文档模板：包含项目信息、风险摘要、风险热图、需行动的首要风险、完整风险登记册等部分。
使用方式
技能要求始终将输出保存为项目根目录 project-decisions/ 下的 Markdown 文件（目录不存在则创建）。文件命名：首次为 project-decisions/YYYY-MM-DD-risk-register.md；更新时编辑现有文件并在底部 changelog 追加内容。若不存在现有登记册则新建，存在则更新。技能提供了一系列可直接运行的 shell 命令用于扫描代码库、依赖、git 历史、PR/issue、基础设施配置等。
适用场景
适用于需要持续跟踪项目风险的技术团队、技术项目经理（TPM）、技术负责人，尤其在需要结合代码库实际信号（复杂度、变更、依赖、测试、巴士因子）来量化风险的软件项目中。
限制
资料未说明该技能的具体安装方式、支持的平台范围、收费情况或价格。部分扫描命令依赖特定工具（如 npm、pip、gh、git）的存在。自动检测阈值与评分标准为技能既定规则，并非通用行业标准。