Risk Radar and Escalation
FDE 的现场价值之一，是比别人更早发现项目会在哪里死掉。风险不升级，本质上就是默认接受失败。
七类核心风险
| 风险 | 典型信号 | 处理 |
|---|---|---|
| 目标风险 | 业务目标一直变化，没人能说清成功标准 | 拉决策人重开澄清 |
| 数据风险 | 数据不可得、质量差、权限卡住 | 明确 owner 和截止时间 |
| 组织风险 | 使用者不参与，内部冠军缺失 | 升级到客户负责人 |
| 范围风险 | 每次会议都加需求 | 建 later list，守住 demo 假设 |
| 技术风险 | 环境、集成、性能、稳定性不确定 | 做 spike 或降级方案 |
| 合规风险 | 权限、隐私、审计要求不明确 | 暂停生产化，先确认边界 |
| 退出风险 | 客户越用越依赖 FDE | 加强 runbook 和内部冠军训练 |
| 政治/声誉风险 | 公共部门、医疗、数据敏感项目遭遇员工、监管或公众质疑 | 建立数据治理说明、审计路径和退出方案 |
| 客户锁定风险 | Ontology、工作流和平台绑定太深，客户担心无法迁移 | 提前说明可迁移边界和交付资产归属 |
升级条件
任一条件成立，必须升级：
- 决策人连续两次缺席关键会议。
- 数据访问超过约定时间仍未解决。
- 成功标准无法量化。
- 客户要求生产上线但 runbook、回滚、监控未完成。
- 项目进入 Yellow 超过一周。
- 项目进入 Red。
升级说明模板
当前项目风险：[一句话]
影响：[业务/时间/交付/安全影响]
已经尝试：[已做动作]
卡点：[需要谁决策或提供什么]
建议决策：[选项 A / B / C]
最晚决策时间：[日期]
如果不决策：[后果]风险 review 问题
- 哪个风险如果今天不处理，一周后会变贵？
- 哪个风险被包装成了“还在沟通”？
- 哪个风险其实是客户没有 owner？
- 哪个风险来自我们自己过度承诺？
- 哪个风险会在项目成功后才爆发，例如隐私、锁定或政治争议？
FDE 的升级原则
- 升级事实，不升级情绪。
- 带选项，不只抛问题。
- 明确后果，不暗示。
- 越早升级，成本越低。
Palantir 案例提醒
01-palantir-case-study 显示，企业 AI 项目即使指标有效，也可能因为数据隐私、公共信任、采购争议或高切换成本进入高风险状态。FDE 不应只追求上线速度，还要设计可解释、可审计、可退出的交付路径。