4. Impact影响度评估：业务价值分级、安全风险系数、操作效率提升度量

Impact影响度评估用于衡量“如果这个权限任务顺利完成，能带来多大的正面冲击力”。在RICE框架中，Impact是唯一个不能单纯靠用户或产线数量来量化的维度，它必须结合“业务价值”、“安全风险系数”和“操作效率”三个子维度进行综合加权。只有完成这三要素的打分，最终的IO值才有排期参考意义。

4.1 适用场景

• 对权限任务进行RICE评分前的Impact子项计算阶段。
• 跨部门资源竞争时，需要客观对比不同权限任务的价值量级。
• 产品经理与安全工程师共同评审权限需求时，需要统一评估语言。
• 安全合规要求驱动下，必须定量评估权限变更带来的风险对冲收益。

4.2 前置条件

• 已完成任务边界定义（章节3.2），明确该权限任务的影响力范围。
• 已从业务方获取该任务的战略优先级标签（P0/P1/P2）。
• 已汇总该任务涉及的数据资产清单及已知安全漏洞列表。
• 已收集当前操作流程的历史耗时数据（分钟级记录）。

4.3 操作步骤

1. 业务价值分级（0–5分）
   根据KANO模型和用户分层将任务归入以下等级：
   

   分数	等级	判定标准
   5	核心P0	直接影响营收/关键合规/用户数据安全
   3–4	重要P1	显著提升核心用户效率或降低安全审计风险
   1–2	一般P2	体验优化或非核心角色权限调整
   0	无价值	不影响任何已定义指标

2. 安全风险系数（0–5分）
   基于权限操作触及的数据敏感度与漏洞可能性打分：
   
   • 5分：涉及最高等级敏感数据（如用户支付凭证、用户生物信息），且当前权限链路存在已知高危漏洞。
   • 3–4分：涉及一般个人身份信息或内部业务数据，且权限粒度过粗。
   • 1–2分：只涉及操作日志或非结构化数据，且权限已最小化。
   • 0分：不涉及任何不可公开数据，流程完全基于已授权白名单。
   避免陷阱： 不要将“高风险”直接等同于“高Impact”。安全风险系数高表示该任务急需解决，但实际的正面业务冲击还需与业务价值按权重合并。
3. 操作效率提升度量（0–5分）
   通过对比变更前后的平均操作耗时来评估：
   

   效率提升率 = (变更前耗时 - 变更后预计耗时) / 变更前耗时 × 100%
   分数映射：
     ≥ 50%   — 5分
     ≥ 30%   — 4分
     ≥ 15%   — 3分
     ≥ 5%    — 2分
     < 5%    — 1分
     无变化   — 0分

   示例：合同审批流程中的权限提权，变更前每次操作耗时平均12分钟，变更后预计耗时4分钟，效率提升率=(12-4)/12≈66.6%，映射为5分。

4. 加权计算与最终值
   使用公式 Impact = 0.5×业务价值分 + 0.3×安全风险系数分 + 0.2×操作效率提升分，得到最终0–5之间的影响度评分。

4.4 输入输出物

4.5 责任边界

• 产品经理： 负责业务价值分级，必须提供该权限任务与核心指标（DAU/转化率/合规通过率）的关联证据。
• 安全工程师： 负责安全风险系数评分，仅基于真实漏洞数据给出系数，不得受排期压力影响。
• 开发团队Lead： 负责操作效率提升度量，必须使用真实历史数据（不要使用估算数据）。
• PMO： 负责加权分数的最终汇总与存证，确保计算公式版本化。

4.6 记录材料

• Impact评估工作单（模板）：

  任务ID | 业务价值分 | 安全风险分 | 效率提升分 | 加权Impact得分 | 评估日期 | 评估人签名
  PMS-042 |         5 |         4 |        5 |           4.60 | 2025-04-11 | 张三/安全李四

• 效率基准截图：变更前的每次操作耗时分布图（或日志摘要）。
• KANO文档链接：证明任务归类的业务分析依据。

4.7 异常处理

4.8 验收标准

• 每个权限任务必须有一个完整的Impact评估记录，包含三个子维度原始分及加权得分。
• 业务价值分级必须引用KANO模型或核心指标清单，不得使用感性判断代替。
• 安全风险系数必须对应到具体的数据资产ID或漏洞报告编号。
• 操作效率提升度量必须有前后对比时间戳，不可使用“感觉上快很多”作为依据。
• 加权后的Impact得分必须写入该任务的RICE评分表，并关联到章节4.6中的记录材料。