Zurück zur Methodenübersicht

Risiken

Risiken: Basis

Einleitung Risiken

In vielen Projekten ist ein gutes Risikomanagement der zentrale Erfolgsfaktor. Die professionelle Identifikation von Risiken und deren Bewertung ist eine anspruchsvolle Aufgabe. Genau wie die Entscheidung darüber, ob sich - ggf. teure - Maßnahmen lohnen und in einem angemessenen Verhältnis zum Risiko stehen. Dennoch kann nur aus eigener Erfahrung dringend davon abraten, diese - vielen Projektleitern lästige - Thema mit einem pauschalen Aufschlag auf das Projektbudget zu behandeln. An einer intensiven Beschäftigung mit diesem Thema führt kein Weg vorbei, wenn man professionelles Projektmanagement betreiben möchte.

Mit klarer Unterscheidung von Ursachen, Risiken und Folgen die Qualität im Risikomanagement erhöhen

Ein Risiko ist ein ungeplantes Ereignis mit negativer Auswirkung auf die Projektziele. Eine Chance ist ein ungeplantes Ereignis mit positiver Auswirkung auf die Projektziele.

Risikomanagement erleichtert

  • die Entscheidung, ob sich das Projekt insgesamt lohnt (bei Kundenauftragsprojekten Teil des Vertriebs.
  • die Identifikation von Risiken und Maßnahmenplanung bei Planung und Abwicklung des Projekts (Aufgabe Projektleitung).

Die Behandlung von Risiken im Kundenauftragsgeschäft ist ein komplexes Thema und wird im Vertiefungsteil behandelt. An dieser Stelle nur der Hinweis, dass man bei den Vertragsverhandlungen aufpassen muss, wenn man bestimmte Risiken an den Kunden weitergeben möchte. Es versteht sich von selbst, dass man - schon aus Imagegründen - die Risiken der eigenen Organisation nicht an den Kunden weitergeben kann. Es gibt aber typische Risiken für das Projekt, die man nicht automatisch beim Auftragnehmer oder Auftraggeber verorten kann. Beispiele:

  • Neue Umwelt- oder Exportvorschriften
  • Massive Störung globaler Lieferketten
  • Bombenfunde auf Baustellen
  • Extreme Rohpreisschwankungen
  • Genehmigungsbehörden
  • Technische Neuentwicklungen Typisch teilbare Risiken sind:
  • Regulierung
  • Höhere Gewalt
  • Marktvolatilität
  • unbekannte Ausgangsdaten
  • Drittparteien
  • Innovationsunsicherheit Wenn man einen Großteil dieser Risiken an den Auftraggeber weitergeben möchte, kann das zum Streitpunkt werden, einen schlechteren Preis oder den Auftragsverlust zur Folge haben. In der Praxis hat es sich bewährt, solche Risiken fair zu teilen und Sonderbudgets bereitzustellen, die nach einem festgelegten Risikoinanspruchnahmeverfahren aufgelöst werden. Wenn zum Projektende das Budget nicht verbraucht ist, kann man es als Erfolgsprämie fair an beide Vertragsparteien verteilen (siehe Vertiefungsteil).

Mit Qualitätskriterien zu den unterschiedenen Risikobegriffen die Qualität des Risikomanagements weiter erhöhen

Durch konsequente Nutzung des „Konjunktives“ kann eine Verwechslung des Risikos mit feststehenden Ursachen oder bereits eingetretenen Risiken (Problemen) vermieden werden. Beispielformulierung: „Server könnte ausfallen“.

Wenn in der Risikotabelle eine eigene Spalte für die Auswirkungen auf die Projektziele vorgesehen ist, wird die Projektleitung methodisch “gezwungen”, diese detailliert zu beschreiben. Eine detaillierte Beschreibung wiederum ist eine wichtige Grundlage für eine angemessene Risikobewertung.
Auswirkungen beziehen sich immer auf die Projektziele laut Projektauftrag oder das ganze Unternehmen. Ein Risiko wirkt sich oft negativ auf mehrere Ziele aus. Eine Ziel-ID aus der Zielhierarchie könnte in dieser Spalte als Referenz sinnvoll sein.

Die negative Risikoauswirkung auf Projektziele sollten aus meiner Sicht eher nicht im Konjunktiv beschreiben werden, um das eigentliche Risiko auch grammatikalisch herauszuarbeiten.

💡 Ein Risiko wirkt sich oft negativ auf mehrere Ziele aus. Eine Ziel-ID aus der Zielhierarchie ist aus meiner Sicht eine wertvolle Zusatzinformation vor der Spalte “Auswirkung” (in der Abbildung nicht dargestellt). Nach meiner Erfahrung ist dann die Beschreibung der Auswirkungen deutlich strukturierter und präziser.

⚠️ Ursachen werden oft methodisch falsch als „etwas detailliertere Risiken“ mit Eintrittswahrscheinlichkeiten im Konjunktiv dargestellt.

Gut formulierte Ursachen als Fakten vereinfachen die Ableitung von Maßnahmen sehr, weil die Maßnahmen ja eine feststehende und ungünstige Realität verändern sollen, damit Risiken nicht eintreten. Gut formulierte Ursachen sind

  • nicht ungewiss
  • können selbst Risiken (Ereignisse) auslösen
  • sind faktenbasiert, also klar definierte Ereignisse oder Tatsachen
  • feststehende Rahmenbedingungen (wie sachliche Faktoren der Umfeldanalyse),
    • die bereits existieren oder
    • in naher Zukunft nahezu sicher sind wie z.B. beschlossene Änderungen relevanter Verordnungen, die in einer für das Projekt relevanten Zukunft eintreten

💡 Solange die Ursachen noch nicht wirklich feststehen:

  • Mit „Warum-Fragen“ zur Grundursache vorstoßen
  • Im Fortgeschrittenenmodus können analog zur “Fehlermöglichkeits- und Einflussanalyse” mehrere „Ursachenzeilen“ für dasselbe Risiko erstellt werden (um die ursachenbezogenen Maßnahmen einzeln zu bewerten)
  • Wegen ihrer Bedeutung für das Risikomanagement unbedingt eine eigene Spalte für die Ursachen vorsehen
  • Die Suche nach Ursachen von Risiken im Sinne von Fakten ist aus meiner Sicht das gleiche wie die Suche nach Lösungen von Problemen. Insofern spricht aus meiner Sicht nichts dagegen, wenn sich die Projektleitung bei der Suche nach Risikoursachen sowie der Formulierung von Maßnahmen auch klassischer Problemlösungstechniken bedient.
  • Selbst, wenn sich keine feststehenden Ursachen im Sinne von Fakten finden lassen, trägt die alleine die Suche nach meiner Erfahrung dazu bei, die Eintrittswahrscheinlichkeit und Tragweite realistischer einschätzen zu können.
  • Annahmen können als feststehende Fakten unterstellt werden, um eine Planungsgrundlage zu haben. Sie sollten jedoch regelmäßig über eine Annahmenanalyse überprüft werden.

⚠️ Die Projektleitung darf sich nicht selbst zum Risiko machen:

  • Die Projektleitung sollte eher Risiken außerhalb der definierten „AKV“ (Aufgaben, Kompetenzen, Verantwortung) angeben.
  • Aufgaben:
    • Typische Aufgaben wie „Schätzung“ gehören zum normalen Handlungsportfolio der Projektleitung.
    • Mit Risiken wie „Kostenschätzung könnte ungenau sein“ könnte man sich beim Auftraggeber disqualifizieren. Seine Antwort könnte sein: „Eine gute Schätzung ist ihr Job als Projektleiter. Bitte machen Sie es einfach und besprechen nur echte Risiken mit mir“.
  • Kompetenz (bzw. Befugnis): Typische Projektmanagement-Aufgaben sollten nur angegeben werden, wenn die entsprechende Befugnis zum Handlungsspielraum der Projektleitung zu gering erscheint, um Risiken angemessen zu managen.
  • Verantwortung: Weil die Projektleitung klassisch die Verantwortung für die Erreichung der Leistungs-, Termin- und Kostenziele übernimmt, ist die „Nichterreichung von Zielen“ als Risikoformulierung zu vermeiden.
    • Typisches schlechtes Beispiel als Risiko: „Budgetüberschreitung“.
    • Mögliche Antwort Auftraggeber: „Wenn Sie sich die Zielerreichung nicht zutrauen, unterschreiben Sie den Projektauftrag nicht. Ich suche mir dann einen Projektleiter, der sich dieses Projekt zutraut“.
      • Das ist natürlich ein idealtypischer Hinweis. Wenn man zum Beispiel von seinem Vorgesetzten gezwungen wird, ein Projekt mit einem unrealistischen Budget zu übernehmen, dann ist dieses “Risiko” eine Maßnahme zur persönlichen Absicherung. In Organisationen mit einem hohen Projektmanagementreifegrade besteht die Möglichkeit, unrealistische Projektaufträge abzulehnen.
      • Orientierung gibt die AKV-Matrix der eigenen Firma zur Projektleitungsrolle.
      • Es ist sinnvoll, als Projektleitung in Kenntnis des Business Cases auch Mitigations-maßnahmen auch für  Risiken vorzuschlagen, die für die Nutzungsphase und/oder das Unternehmen gelten. Selbst wenn man idealtypisch nicht für Nutzungsphase verantwortlich ist, unterstreicht das das unternehmerische Mindset, das eine Projektleitung haben sollte.
      • Jede Berichtsinstanz hat hier allerdings eigene Präferenzen. Die Risikodefinition sollte mit der Berichtsinstanz besprochen werden.
      • Bei der Besprechung mit externen Auftraggebern sollte man natürlich keine Risiken ansprechen, um die sich der Auftragnehmer zu kümmern hat. Bei Risiken, die weder bei Auftraggeber noch bei Auftragnehmer liegen, könnte man unter Umständen eine Risikoteilung vereinbaren.

💡 Tipp: Orientierung gibt die AKV-Matrix der eigenen Firma zur Projektleitungsrolle als letzte Checkliste, ob man ein Risiko überhaupt ins Register aufnehmen sollte. Aber wie gesagt lohnt sich eine grundsätzliche Besprechung mit der Berichtsinstanz (Beispiel Auftraggeber oder Risikomanager), welche Themen aufzunehmen sind. Das ist zum Teil unterschiedlich und ggf. auch eine Frage der persönlichen Risikoneigung. Es gibt Auftraggeber, die wollen wirklich alle Themen sehen, die sich zum Risiko eignen und andere, die sich auf die wenigen Top-Risiken konzentrieren wollen.

Mit vielen Quellen Risikoidentifikation als wichtigster Erfolgsfaktor breit aufstellen

Das Risikomanagement sollte mit der Identifikation der möglicher Risiken starten. Die Identifikation von Risiken ist die Königsdisziplin und ermöglichen aktives Risikomanagement.

⚠️ Weit verbreitet ist die Praxis, für Risiken nur pauschal ein Risikobudget als Prozentsatz vom Projektbudget vorzusehen, auf die Identifikation konkreter Risiken zu verzichten und das Beste zu hoffen. Das ist aus meiner Sicht eine sehr reaktive Haltung zum Risikomanagement. Die Königsdisziplin ist in der Regel die Verringerung der Eintrittswahrscheinlichkeit oder sogar die Vermeidung von Risiken. Und ohne eine vorherige Identifikation der Risiken ist das nicht möglich.

💡 Lieber viele Risiken identifizieren und methodisch eher durchschnittlich bearbeiten als umgekehrt.

In der Umfeldanalyse können die wichtigsten Einflussfaktoren auf das Projekt schnell identifiziert werden. Im Zentrum für das Risikomanagement stehen die sachlichen Faktoren. Sachliche Faktoren sind inhaltliche Einflussfaktoren auf das Projekt, also keine Personen, sondern Dinge bzw. Rahmenbedingungen, die möglicherweise eine negative Wirkung auf das Projekt haben könnten. Faktoren können sich auch positiv auswirken, dann sind sie keine Quelle für Risiken sondern für Chancen.

Beispiel Risikocheckliste

  • Starke Abhängigkeit von anderen Projekten
  • Projektdauer größer 12 Monate
  • Projektteam größer 12 Personen
  • Projektteam an mehr als 3 Orten verteilt
  • Geringer Projektreifegrad in der Organisation des Auftraggebers
  • Geringer Managementsupport
  • Niedrige Projektpriorität
  • Hohe Betroffenheit der Belegschaft vom Projektergebnis
  • Kundenkritische Geschäftsprozesse betroffen
  • Technische Komplexität hoch oder unbekannt
  • Hohe Lieferantenabhängigkeit
  • Qualität externer Berater unbekannt
  • Kundenverhalten unbekannt
  • Rechtliche Rahmenbedingungen im Umbruch

💡 Risikochecklisten sollten eher spät genutzt werden, wenn es beim Brainstorming etwas hakt und man keine Ideen mehr hat.

Die Annahmen, die die Erreichung der Projektziele gefährden, sollten regelmäßig auf Genauigkeit, Konsistenz und Vollständigkeit überprüft werden (Annahmen-Analyse: Welche Annahmen sind ungenau, inkonsistent, unvollständig und stellen insofern ein Risiko für das Projekt dar).

Bei der Identifizierung (und später auch für die Bewertung) sollte man sich nicht nur auf einzelne Experten verlassen, sondern gezielt die “Schwarmintelligenz” größerer Teams nutzen:

Risikoidentifikation: Breites Spektrum von Fachexperten für Brainstorming einladen

💡 Bei Workshops zum Risikomanagement sollte aus meiner Sicht besser ein Teilnehmer zu viel als zu wenig eingeladen werden, um die Schwarmintelligenz zu nutzen. Natürlich kann man aus Effizienzgründen erst mal mit dem Kernteam die wichtigsten Risiken identifizieren, bevor diverse Fachleute zum “großen Brainstorming” eingeladen werden. Bei projektbasierten Organisationen können solche Meetings schnell das Projektbudget belasten, wenn jeder Meetingteilnehmer seine Stunden auf das Projekt bucht. Trotzdem würde ich solche Workshops in Erwägung ziehen, weil schon ein zusätzlich erkanntes Risiko die Workshopkosten schnell wieder wettmacht.

⚠️ Allerdings sollte die Projektleitung das Phänomen des “Risk Shiftings” auf dem Schirm haben: Gruppen entscheiden im Allgemeinen risikofreudiger. Risiken werden auf die Gruppenmitglieder abgewälzt bzw. „geshiftet“ nach dem Motto “gemeinsam sind wir stark”. Insofern ist es nicht selten, dass latent vorhandene Risiken von Workshopgruppen unterschätzt werden.

Brainstorming: Risiken sind oft interdisziplinär, breites Expertenfeld kann Wechselwirkungen von technologischen, strategischen und betriebswirtschaftlichen Risiken besser erkennen. Externe Perspektiven von Lieferanten, Kunden und Fachfremden sind auch empfehlenswert. Gerade die Komplexität heutiger Systeme erfordert breites Wissen. Kognitive Vielfalt begünstigt die Chance, schwarze Schwäne zu finden, die außerhalb klassischer Risikokategorien liegen. Groupthink und blinde Flecken werden durch externe Perspektiven reduziert. Positiver Nebeneffekt: Es besteht oft mehr Motivation zur Umsetzung der Mitigationsmaßnahmen bei der Einbindung in die Identifikation von Risiken. Deshalb würde ich lieber zu viele als zu wenige Experten zu einem Risiko-Workshop einladen – sowohl eigene Experten als auch Kunden- und Lieferantenvertreter.

Variante Umkehrbrainstorming:

  • Kann Denkblockaden lösen und macht Spaß
  • Klassisches Risiko-Brainstorming: Welche Ereignisse gefährden die definierten Ziele
  • Reverse-Brainstorming: Was muss man aktiv tun, um die definierten Ziele klar zu verfehlen.
    • Schritt 1: Umkehrung Aufgabenstellung von „möglichst erreichen“ in möglichst nicht erreichen“. Beispiel: “Wie schaffen wir es, dass unser Projekt nicht mehr relevant ist?”
    • Schritt 2: Möglichst absurde Vorschläge sammeln. Beispiel: ” Wir schlagen dem Auftraggeber vor, die Projektziele detailliert auf eine Nischenstrategie auszurichten, die garantiert niemand in 6 Monaten will.“
    • Schritt 3: Antworten umkehren (vom „Kopf auf die Füße“ stellen). Beispiel: “Das Projekt könnte bei bei Priorisierungsrunden oder Kostenprogrammen durchs Raster fallen.”
    • Schritt 4:  Maßnahmen benennen. Beispiel: “Frühzeitige Anbindung an Strategie, OKRs oder Portfolio-Boards.”

Mit einer quantitativen Bewertung die Detailanalyse fördern und die Entscheidungsgrundlage für Maßnahmen verbessern

Die Eintrittswahrscheinlichkeit beschreibt die Wahrscheinlichkeit, mit der ein Risiko eintritt oder nicht.

Die Tragweite bzw. Schadenshöhe beschreibt den Schaden, der entstehen dem Projekt (und/oder dem Unternehmen) entstehen würde, wenn das Risiko eintritt und somit zum Problem (= eingetretenes Risiko) wird.

💡 Ich verwende den Begriff “Tragweite” lieber als Schadenshöhe, weil er als neutraler Begriff auch einfach in der Methode “Changenmanagement” verwendet werden kann, wo “Schadenshöhe” als Begriff nicht hinpasst.

Die Risikoquantifizierung erhöht die Qualität des Risikomanagements. Man beschäftigt sich automatisch mehr mit den Details. Außerdem fällt es in der Regel einfacher, eine Entscheidung zu treffen, ob man Präventivmaßnahmen umsetzen soll oder nicht.

💡 Es empfiehlt sich, vor der Maßnahmenableitung die bewerteten Risiken in ein Portfolio zu übertragen. Hier bekommt man eine schnelle Übersicht, welche die Priorisierung und Art der Maßnahmen erleichtert.

💡 Keine Risiken höher als 30% angeben: Die Idee ist, nach dem kaufmännischen Vorsichtsprinzip sich bei entsprechenden Risiken nicht weiter mit möglichen Maßnahmen zu beschäftigen. Sondern davon auszugehen, dass das Risiko schon eingetreten ist, ich also ein zu lösendes Problem habe. So kann ich vermeiden, dass das Risikoregister mit nicht relevanten Risiken “verschmutzt” wird, weil sie ja eigentlich Probleme darstellen, um die man sich mit Problemlösungstechniken ab einer gewissen Höhe kümmern muss.

Eine Verbalisierung der Eintrittswahrscheinlichkeit hilft bei der Orientierung. Beispiel:

  • <5%: sehr klein
  • 10%: klein
  • 20%: mittel
  • 30%: hoch Weitere Verbalisierungshilfe: Bei Standardprojekten heißt 10%, dass das Risiko in einem von 10 Projekten auftritt.

💡 Spezialmethoden wie die Monte Carlo Simulation oder PERT-Verfahren bringen meist nur einen geringen Mehrwert (abgesehen von sehr spezifischen Kontexten).

💡 Tragweite ist ein neutraler Begriff und hat im Vergleich zur Schadenshöhe den Vorteil, dass er auch im Chancenmanagement unverändert verwendet werden kann.

💡 In den meisten Projekten ist es empfehlenswert, in einer Extraspalte die Kalkulation der Tragweite darzustellen oder die Kalkulation zumindest in einer Kommentarspalte zu beschreiben. Grund: Erfahrungsgemäß werden solche Kalkulationen schnell wieder vergessen.

💡 Zielprioritäten können gerade bei teuren Maßnahmen ein zusätzliches Kriterium zur Entscheidungsfindung sein)

💡 Vorteile des (virtuellen) Risikowerts:

Der Risikowert ist ein rein virtueller Wert, der für verschiedene Zwecke hilfreich ist:

  • Ein Beispiel ist die Berechnung von Kennzahlen wie dem sogenannte “Risikoindex”. Siehe Vertiefung
  • Oft wird die Summe aller Risikowerte für das Risikobudget für identifizierbare Risiken als Teil des Projektbudgets verwendet. Hinweis: Klassisch werden die Kosten für die (genehmigten) Risikomaßnahmen nicht gesondert aufgeführt, weil für die Maßnahmen Arbeitspakete angelegt werden und sie als “normale Projektbudgetbestandteile” angesehen werden.
  • Ein weiteres Beispiel ist die einfachere Priorisierung der Maßnahmen nach Risikowert.
    • Grundsätzlich sollte man sich früher und intensiver um Risiken mit einem hohen Risikowert kümmern.
    • Es hängt aber auch von der Zusammensetzung des Risikowerts an: Bei extremer Tragweite mit einer minimalen Eintrittswahrscheinlichkeit sollte man natürlich trotzdem z.B. korrektive Maßnahmen wie Versicherungen vorsehen, selbst wenn man das bei anderen Risiken mit vergleichbaren Risiken nicht machen würde.*

Hauptnachteil einer rein quantitativen Bewertung von Risiken: Die quantitative Risikobewertung ist in der Anwendung zeitintensiv

Vorteile einer rein quantitativen Betrachtung der Risiken:

  • Die Methode zwingt den Anwender in der Regel, wegen der notwendigen Festlegung auf konkrete Eintrittswahrscheinlichkeiten und Schadenshöhen mehr ins Detail zu gehen:
    • Oft ist es z.B. empfehlenswert, für die Schadenshöhe eine Kalkulation zu hinterlegen.
    • Bei den anderen auch sehr sinnvollen Bewertungsvarianten (Beispiel qualitativ oder semi-quantitativ) ist die Ermittlung oft schneller und etwas gröber.
  • Man erhält eine ggf. sinnvolle zusätzliche Entscheidungshilfe bei teuren Einzelmaßnahmen (Durchführen ja oder nein). Siehe Entscheidungshilfe bei Top-Risiken
  • Man erhält über die Kennzahl „Risikoindex“. Siehe Vertiefung
    • eine weitere Entscheidungshilfe im Kundenauftragsgeschäft zur Bewertung von Angeboten und zur Bewertung
    • ob genügend Mitigationsmaßnahmen für Projektrisiken vorliegen.

Aus pragmatischen Gründen können pro Risiko mehrere Ursachen angegeben werden. Wenn man weitere Optimierungspotenziale heben möchte, kann man sich aber auch an der Fehlermöglichkeits- und Einflussanalyse orientieren und für ein Risiko pro Ursache eine eigene Zeile vorsehen. Siehe Getrennte Betrachtung einzelner Risikoursachen

Effizienzsteigerung bei Erstbewertung durch semiquantitatives Verfahren und Nutzung der Schwarmintelligenz

Es ist gerade bei möglichen Risiken empfehlenswert, ein breites Spektrum von Fachspezialisten aus unterschiedlichsten Bereichen einzuladen. Nicht nur für die Identifizierung (siehe Brainstorming mit Fachexperten) sondern auch für die Bewertung. Warum sollte man die anwesenden Fachspezialisten - wenn sie schon mal da sind - nicht nutzen, um ihre Expertise auch in die Bewertung der identifizierten Risiken einfließen zu lassen?

Die Bewertung jedes einzelnen Risikos durch das gesamte anwesende Team kann jedoch sehr zeitintensiv und damit nervend sein und deshalb zu Akzeptanzverlusten bei dieser Methode führen. Ein bewährter Weg, mehr Effizienz und Spaß in die gemeinsame Bewertung zu bringen, stellt der oben beschriebene Ablauf dar.

Mit einem Risikoportfolio die Priorität bestimmen und eine erste Inspiration für mögliche Risikostrategien und Maßnahmen bekommen

Die Orientierung am Portfolio soll nur eine erste Inspiration sein. Selbstverständlich sind das nur erste grobe Kategorisierungen. Es ist natürlich je nach Projekt erlaubt, z.B. auf das Risiko 2 eine Risikobeeinflussung bzw. eine Risikominderung zu versuchen.

Hinweise zu ausgewählten Strategien und deren Beispielen

  • Risikotransfer
    • Hermesbürgschaften sichern Exporte deutscher Unternehmen ab.
    • Bei Termingeschäften vereinbart man zu einem bestimmten Zeitpunkt Menge und Preise und sichert sich zumindest vor Preissteigerungen dadurch ab.
    • Wenn die vertragliche Abwälzung im konkreten Einzelfall trotz Vertrag nicht funktioniert (z.B. weil der Lieferant insolvent geworden ist), interessiert das den Kunden meist nicht. Die „sicherere“ Variante wäre also in jedem Fall, den entsprechenden Auftrag erst gar nicht anzunehmen.
  • Risikoakzeptanz
    • Man entscheidet sich bewusst, keine Maßnahmen zu ergreifen – entweder weil die Kosten der Abwehr zu hoch sind und das Risiko insgesamt niedrig ist. Akzeptanz heißt also nicht, dass man z.B. bei Top-Risiken einfach keine geeigneten Maßnahmen findet und deshalb zu sich und dem Auftraggeber sagt: “Naja, dass muss man jetzt einfach akzeptieren.”
    • Im Schadensfall zahlt man aus den laufenden Mitteln oder bildet Rücklagen.
    • Letztlich ist unternehmerisches Handeln immer ein Stück Risiko, dass man zwangsläufig immer eingehen muss, wenn man wirtschaftlich handelt. Deshalb ist es auch immer empfehlenswert, den Nutzen eines Geschäfts aus dem Business Case den Risiken gegenüberzustellen, um die Risikoübernahme besser beurteilen zu können. Das Risikoportfolio könnte zur besseren Abwägung zu einem Chancen und Risikoportfolio ergänzt werden. Ableitung von Prioritäten:
  • Tendenziell sollte man natürlich Risiken mit Prio bearbeiten, wenn sie sich im Quadranten rechts oben befinden.
  • Natürlich kann das Portfolio noch aussagekräftiger gestaltet werden, wenn man noch besser die Entscheidungsfindung bzw. Priorisierung gestaltet möchte.
  • Wenn zum Beispiel für Wahrscheinlichkeit und Schadenshöhe 5 Stufen unterschieden werden, kann man eine klare Trennung in drei Bereiche vornehmen:
    • Links unten Akzeptanz
    • Gelber Bereich:
      • Risiken sollten näher untersucht werden, Maßnahmen sind ratsam
      • Vielleicht kann man das alleine ohne Abstimmung mit dem Auftraggeber oder Management machen.
    • Roter Bereich: Auf jeden Fall Maßnahmen durchführen und ggf. auch mit Auftraggeber oder Management abstimmen.

Mit „Lehrbuchdefinition“ von „präventiv“ und „korrektiv“ für eine größere Anzahl echter Präventivmaßnahmen sorgen

Während präventive Maßnahmen ursachenorientiert die Wahrscheinlichkeit minimieren oder das Risiko im Keim zu ersticken, setzen korrektive Maßnahmen folgenorientiert am Schadensausmaß an.

💡 Sicherheitshalber sollte pro Risiko mindestens eine präventive und eine korrektive Maßnahme überlegt werden.

“Präventiv” und “korrektiv” werden nach der internationalen Leitlinie für das Risikomanagement ISO 31000 nicht als Strategie (Strategie = Art des Umgangs) bezeichnet sondern als Wirkungsweise. Die Wirkungsweise liegt über den Strategien: Die meisten Strategien können je nach Ausgestaltung mit den einzelnen Maßnahmen präventiv oder korrektiv wirken. Sie dienen also eher der Klassifizierung der Maßnahmen innerhalb der Strategie nach ihrer Wirkungsweise.

Präventive Maßnahmen sind in vielen Fällen wichtiger, weil nur durch „echte“ Präventivmaßnahmen verhindert oder zumindest unwahrscheinlicher gemacht werden kann, dass es überhaupt zum Eintritt des Risikos kommt. Korrektivmaßnahmen sind zwar besser als die Hinterlegung eines „Budgets für Unvorhergesehenes“, weil es hier um die konkrete Definition von Maßnahmen statt um die pauschale Hinterlegung eines Budgetpostens geht. Aber wie gesagt: Bis auf wenige Ausnahmen (sehr große Schäden bei Risikoeintritt) sind aus meiner Sicht die Präventivmaßnahmen oft entscheidend.

💡 Die Trennung von „präventiv“ und „korrektiv“ nach der hier vorgenommenen Definition hat den großen Vorteil, dass keine „Pseudo-Präventivmaßnahmen“ die Klassifizierung „Präventiv“ verwässern und man wirklich gezwungen wird, echte Präventivmaßnahmen zu hinterlegen. Von der „sogenannten Praxis“ hört man oft das Argument, dass es angeblich üblich sei, alle Maßnahmen als präventiv zu klassifizieren, die vor dem Risikoeintritt durchgeführt werden. Nach dieser Philosophie wäre zum Beispiel der Bau einer Sprinkleranlage präventiv. Hier wird der Zeitpunkt der Maßnahmendurchführung entscheidend für die Definition. Zu dieser Argumentation kann ich die folgenden Gegenargumente anführen:

  • Zum einen stimmt es nicht, dass das die sogenannte Praxis sei. In über 100 PM-Handbüchern, die ich bisher in Firmen sehen durfte, wird praktisch immer die oben aufgeführte „Lehrbuchdefinition“ verwendet.
  • Zum anderen hat die “Praktikerdefinition” Nachteile:
    • Sie führt dazu, dass die Kategorie „Präventiv“ schnell mit Schubladenplänen abgehakt wird.
    • Es ist immer leichter ist, einen Schubladenplan zu definieren, die in der Regel natürlich vor dem Risikoeintritt (wegen des Umfangs und der Dauer der Maßnahme) durchzuführen sind.
    • Das Problem: Sie sind nicht geeignet, die Wahrscheinlichkeit des Risikoeintritts zu reduzieren. Durch die Verteilung von Feuerlöschern wird die Wahrscheinlichkeit des Risikoeintritts nicht reduziert. Aber z.B. durch die Verbauung von schwer entflammbaren Materialien oder Rauchverbote. Quintessenz: Die Lehrbuchdefinition von präventiv und korrektiv verbunden mit einer Vorgabe, pro Strategiekategorie mindestens eine Maßnahme zu hinterlegen, führt zu dem Bemühen um die meist besonders wertvolle präventiven Maßnahmen zur Mitigation von Risiken.

💡 Selbst wenn im Risikoregister bei einer zusätzlichen Kategorisierung in “präventiv” oder “korrektiv” erst mal in der oft schwierigen Kategorie “präventiv” nichts steht, kann spätestens beim ersten Bericht an die Berichtsinstanz die Frage kommen, warum in dieser Kategorie nichts drin steht. Nach meiner Erfahrung erhält man gerade von der Berichtsinstanz oft noch einen anderen Blickwinkel und weitere gute Ideen - ggf. sogar zur Kategorie “präventiv”, zu der man zunächst nichts gefunden hatte.

  • Ich empfehle bei den Maßnahmen immer, mindestens eine präventive und eine korrektive Maßnahme vorzusehen. Grund: Oft beschränken sich die Projektleiterinnen und Projektleiter zu sehr auf korrektive Maßnahmen, obwohl die präventiven Maßnahmen oft die wirksameren und empfehlenswerteren Maßnahmen sind. Voraussetzung: Es sollte die Lehrbuchdefinition von „präventiv“ und „korrektiv“ verwendet werden, damit man nicht zu viele „Pseudo-Präventive“ Maßnahmen erhält, die in Wahrheit (Beispiel Sprinkleranlage) korrektiv sind, aber „in der Praxis“ gerne als präventiv bezeichnet werden, nur weil sie zeitlich vor einem möglichen Risikoeintritt durchgeführt werden.
  • Umgang mit präventiven und korrektiven Maßnahmen: Ich habe in meiner Praxis in erster Linie (siehe oben) darauf geachtet, mindestens eine Maßnahme aus beiden Kategorien zu haben. Dann habe ich aber diese Maßnahmen isoliert bewertet und abgewogen, ob sich die einzelne Maßnahme lohnt. Dabei habe ich also keinen Vergleich einer präventiven mit einer korrektiven Maßnahme durchgeführt. So war es bei mir ohne weiteres möglich, dass ich für ein Risiko keine Maßnahme durchgeführt habe oder nur eine Kategorie von den beiden oder sowohl eine präventive als auch korrektive. Das war bei mir immer zurückzuführen auf eine Bewertung der einzelnen Maßnahme und der Einschätzung der immer sehr individuellen Projektsituation.

Mit Risikoquantifizierung eine bessere Entscheidungsgrundlage vor allem von Top-Risiken schaffen

💡 Tipps für die Nutzung der Risikotabelle:

  • Pro Risiko mindestens eine präventive und eine korrektive Maßnahme angeben.
  • Eine Maßnahme kann auch “Akzeptanz” sein und mit A abgekürzt werden. In so einem Fall ist das Risiko dann aktuell zu gering und man beschränkt sich auf Beobachtung.
  • Für die entschiedenen und deshalb (ggf. als Arbeitspaket einzuplanenden) Maßnahmen sollte zusätzlich zum „normalen“ Projektbudget zusätzliches Risikobudget beantragt werden.
  • Bei der Abwägung, ob sich Maßnahmen lohnen, sollten berücksichtig werden, ob vom Risiko Muss-, Soll- oder Kannziele betroffen sind.
  • Präventive Maßnahmen sollten grundsätzlich die Königsdisziplin sein. Aber nicht immer sind die präventiven Maßnahmen sinnvoll.
  • In der Praxis gibt es viele Varianten, ob und wie man korrektive Maßnahmen in die Berechnung des neuen Risikowerts einfließen lässt. Die hier vorgestellte Variante ist nur eine von viele. Ich würde die Kosten der Maßnahme nicht mit der Tragweite verrechnen, sondern isoliert betrachten. Sonst wird es schnell komplex werden.
  • Man muss sich nicht unter die Zahlen „unterwerfen“, zumal sie ja ohnehin aufgrund des Themas nie wissenschaftlich exakt sein können. Im obigen Beispiel könnte – aus welchen Gründen auch immer – die Entscheidungen für die Maßnahmen auch umgekehrt ausfallen.
  • Idealtypisch könnte man nur eine Ursache pro Risiko darstellen, weil je nach Ursache spezifische Maßnahmen zu bewerten sind. Ähnlich der FMEA kann man sich überlegen, pro Ursache einzelne Zeilen vorzusehen. Oft kann man nach meiner Erfahrung in einer Zeile mehrere unterschiedliche Ursachen stehen lassen und sich für eine besonders wirksame Maßnahme entscheiden. Selbst, wenn sie nicht in der Lage ist, jede Ursache zu bekämpfen.

Von der Fehlermöglichkeits - und Einflussanalyse (FMEA) inspirieren lassen für eine getrennte Betrachtung einzelner Risikoursachen

Die FMEA (Fehler-Möglichkeits- und Einfluss-Analyse) ist eine systematische Methode des Qualitäts- und Risikomanagements. Sie dient dazu, mögliche Fehler in Produkten, Prozessen oder Systemen frühzeitig zu erkennen, deren Auswirkungen zu bewerten und vorbeugende Maßnahmen zu entwickeln, bevor Probleme tatsächlich auftreten.

Die FMEA ist kein klassisches Instrument des Risikomanagements, welches projektbezogen ist und nicht produktbezogen wie die FMEA. Bei der FMEA dürfte zum Beispiel das Risiko “projektrelevantes Gesetz könnte geändert werden” nicht analysierbar sein, weil Entdeckungswahrscheinlichkeit des Fehlers - der zusätzliche Parameter der FMEA im Vergleich zum klassischen Risikomanagement - bei diesem Risiko kaum sinnvoll anwendbar sein dürfte.

Dennoch kann man sich aus meiner Sicht von der FMEA bei seinem Risikomanagement zum Umgang mit den Risikoursachen inspirieren lassen: Eintrittswahrscheinlichkeit und Tragweite (Schadenshöhe) eines Risiko hängen ja stark von den Fakten (Ursachen) ab, die dem Risiko zugrunde liegen. Insofern kann man sich als Projektleiter überlegen, für jedes Risiko einer Risikotabelle eine eigene Zeile vorzusehen, in der für das Risiko unterschiedliche Eintrittswahrscheinlichkeiten und Auswirkungen bewertet werden und Maßnahmen pro Ursache abgeleitet werden.

Natürlich kann man in der Praxis sogar pro Ursache mehrere denkbare Maßnahmen in ihrer Wirkung miteinander vergleichen. Dann würde man sogar noch pro Maßnahme für ein und dieselbe Ursache eine eigene Zeile aufmachen. Prinzipiell empfehle ich ja immer mindestens eine präventive und eine korrektive Maßnahme pro Risiko bzw. Ursache. Hier geht es aber weniger um einen Vergleich sondern - aus meiner Sicht - immer um eine individuelle Bewertung. So dass man theoretisch keine Maßnahme durchführt, nur eine oder beide. Die Bewertung erfolgt mit unterschiedlichen Verfahren, mal wird die Eintrittswahrscheinlichkeit reduziert (präventiv), mal die Tragweite (korrektiv). Deshalb kann man diese zwei unterschiedlichen Maßnahmenkategorien in einer Zeile darstellen.

Wo es für mich zu komplex wird: Dass man für ein und dieselbe Ursache zwei Maßnahmen einer Maßnahmenkategorien miteinander vergleicht. Dann wird es irgendwann zu komplex. Dann hätte man ja z.B. für ein Risiko mit 3 Ursachen und jeweils 3 mögliche Präventivmaßnahmen pro Ursache insgesamt 9 Maßnahmen, die man zur Bewertung heranziehen würde - für ein Risiko.

Auf der anderen Seiten bin ich gegen eine zu starke Vereinfachung. Ich kenne Praktiker, die einfach die Summe aller Maßnahmenkosten aller Risiken mit der dadurch bewirkten Risikowertreduktion des gesamten Portfolios miteinander zu vergleichen. Das empfinde ich als eine zu starke Vereinfachung. Auf diese diese Art und Weise werden ggf. viele isolierte und überhaupt nicht lohnende Maßnahmen durchgeführt werden, nur weil der pauschale Abgleich auf Ebene des ganzen Portfolios nahelegt, dass sich die Maßnahmen insgesamt rentieren.

Eine generelle Regel kann man aus meiner Sicht gerade beim Risikomanagement nicht ausgeben. Der Vorteil eines guten Modells ist seine Flexibilität und die Möglichkeit eines Transfers in viele verschiedene Praxissituationen. Diese sind zu unterschiedlich, so dass eine Aufstellung von Heuristiken (wenn die Situation so ist, dann mache jenes) aus meiner Sicht an seine Grenzen gerät: Die ganze Methode wird dann viel zu komplex. Und das ist gerade beim Thema „Risikomanagement“, welches unter Projektleiterinnen und Projektleitern leider ein Akzeptanzproblem hat, aus meiner Sicht problematisch.

💡 In der von mir beobachteten Praxis kommt es immer wieder vor, dass Ursachen nicht als Fakten sondern als mögliche Ereignisse beschrieben und mit einer Eintrittswahrscheinlichkeit versehen werden. Dieser - methodisch falsche - Ansatz könnte verstärkt werden, wenn man pro Ursache verschiedene Eintrittswahrscheinlichkeiten in einer Tabelle darstellt. Es sollte für den Leser klar sein, dass sich die Eintrittswahrscheinlichkeiten nicht auf die Ursache beziehen sondern immer nur auf das Risiko. Und das damit nur zum Ausdruck gebracht werden soll, dass die Ursache A das Risiko mit 10% Wahrscheinlichkeit treibt, und die Ursache B das Risiko mit 30% Wahrscheinlichkeit. Deshalb empfehle ich die Ergänzung der Spaltenüberschrift “Eintrittswahrscheinlichkeit mit dem Zusatz “des Risikos”

💡 Natürlich kann man wie im obigen Beispiel zur quantitativen Bewertung auch pragmatisch vorgehen und dort verschiedene Ursachen stehen lassen und über die Maßnahmen zumindest die wichtigsten Ursachen bekämpfen. Aber die reine Lehre wäre ist das natürlich nicht und man verschenkt je nach Risiko unter Umständen Optimierungspotenziale.

Weitere Details zum Vorgehen und zu Einsatzbereichen der FMEA siehe Vertiefung.

Risikomanagement nicht nur initial sondern im Projektverlauf regelmäßig durchführen und Risikoregister aktualisieren

Risikomanagement im Projektverlauf. Risikomanagement ist wie Stakeholdermanagement eine Daueraufgabe, mit einer initialen Identifikation, Bewertung und Maßnahmenversorgung von Risiken ist es nicht getan. Genau das passiert aber oft in der Praxis. Grund: Nach Start des Projekts wird man von vielen operativen Projektproblemen überrollt und empfindet das Risikomanagement als zu aufwändig, um es regelmäßig anzuwenden.

⚠️ Wenn man Risiko- und Stakeholdermanagement als Standardagendapunkt im Teamjourfix vorsieht, zwingt man sich mit einfachen Bordmitteln zu dieser Regelmäßigkeit. Oft ist das Sprechen über Änderungen des Risikoregisters nach 5 Minuten vorbei. Der Aufwand wird gerne überschätzt und ist mit dem initialen Aufwand nicht zu vergleichen. Beispiel für Änderungen von Risiken:

Wie man Risiken und den Risikowert im Risikoregister am besten anpasst, siehe: Vertiefung

Mit systematischer Chancenbetrachtung die Wahrscheinlichkeit der Projektzielerreichung erhöhen.

Eine Chance ist im Kontext Projektmanagement ein ungeplantes Ereignis mit positiver Auswirkung auf die Erreichung der Projektziele.

Insofern sind Chancen sind im Projektmanagement im engeren Sinn keine zusätzlichen Geschäftschancen zusätzlich zum ursprünglich verabredeten Projektscope. Es ist also das Pendant zum Projektrisiko, nur umgekehrt. Für die Projektleitung gilt, die Augen ständig nach Chancen offen zu halten, welche die Zielerreichung positiv beeinflussen können.

⚠️ In der Praxis führt das regelmäßig zu Verwirrung, weil sich das klassische Verständnis von Chancen eher auf die Erweiterung von Geschäftsfeldern bezieht. In den meisten Geschäftsberichten befinden sich einzelne Kapitel, die sich genau mit diesem Thema “Geschäftserweiterung” beschäftigen.

Risiken: Vertiefung

Vorgehen und Einsatzbereiche bei der FMEA

Vorgehensweise der FMEA:

  • Analyseobjekt festlegen. Festlegen, welches Produkt, welcher Prozess oder welches System untersucht werden soll.
  • Mögliche Fehler identifizieren. Das Team sammelt potenzielle Fehlerquellen bzw. Fehlermöglichkeiten in einzelnen Prozess- oder Systemschritten. Auswirkungen der Fehler analysieren
    Für jeden möglichen Fehler wird untersucht, welche Folgen er für Produkt, Prozess oder Kunden haben kann.
  • Bewertung der Risiken. Die Fehler werden nach drei Kriterien bewertet:
    • Bedeutung/Auswirkung (Severity)
    • Auftretenswahrscheinlichkeit (Occurrence)
    • Entdeckungswahrscheinlichkeit (Detection)    Daraus wird eine Risikoprioritätszahl (RPZ) gebildet. Wenn der Wert einen bestimmten Wert übersteigt, wird organisationsabhängig festgelegt, weitere Verhütungs- und Prüfmaßnahmen zu empfehlen und durchzuführen.
  • Maßnahmen festlegen und umsetzen. Für kritische Risiken werden Verbesserungs- oder Präventionsmaßnahmen definiert und anschließend erneut bewertet, ob jetzt der tolerierbare Bereich der RPZ erreicht ist.
  • Zur Beschreibung des aktuellen Zustands gehören auch die Verhütungs- und Prüfmaßnahmen, die geplant oder bereits durchgeführt worden sind:
    • Verhütungsmaßnahmen: Diese Maßnahmen setzen vor der Fehlerentstehung an und sollen die Ursache ausschalten oder reduzieren (Klare Arbeitsanweisungen, Schulung des Personals, Automatisierung fehleranfälliger Schritte…)
    • Prüfmaßnahmen: Diese greifen erst nach der Entstehung, um Fehler zu erkennen, bevor sie weitergegeben werden (Sichtprüfung, Stichprobenkontrollen, Funktionsprüfung…)

Einsatzbereiche der FMEA:

  • Entwicklung neuer Produkte (Produkt-FMEA)
  • Analyse und Verbesserung von Produktions- oder Geschäftsprozessen (Prozess-FMEA)
  • Qualitäts- und Risikomanagement in Projekten
  • Vorbeugung von Fehlern und Reduzierung von Qualitätskosten
  • Damit hilft die FMEA, Risiken frühzeitig zu erkennen, die Qualität zu verbessern und Ausfälle oder Reklamationen zu vermeiden.

Schwarze Schwäne - Sonderfall extremer Eintrittswahrscheinlichkeiten

„Schwarzer Schwan“: Unerwartete und unwahrscheinliche zukünftige Ereignisse mit erheblichen Auswirkungen

  • Ausreißer außerhalb des üblichen Bereichs der Erwartung
  • Kontroverse unter Risikomanagementexperten:
    • „Konkrete Präventivmaßnahmen kaum sinnvoll anwendbar. Eintrittswahrscheinlichkeiten von 0,00001% in den üblichen Risikowertformeln nicht sinnvoll zu verarbeiten.
    • versus…
    • „Auftreten unerklärbarer Zufälligkeiten wird unterschätzt. Frühere Schiffsbauer haben Schiffe für die wenigen Hurrikane-Tage gebaut, was heute nicht mehr üblich sei.

In der Praxis ist es - für mich nachvollziehbar - dass dieser Teil unbekannter Risiken nicht das einzelne Projektbudget belastet, sondern als Rücklage von der Gesamtunternehmung getragen wird. Das macht man aber erfahrungsgemäß nur in größeren Firmen bestimmter Branchen (Banken und Versicherungen, Energie und Chemie, Luftfahrt und Raumfahrt, große Tech-Konzerne, Familienunternehmen mit konservativer Finanzierung, staatsnahe Infrastrukturanbieter). Hochoptimierte und margenschwache Branchen (Just-in-Time, Single Sourcing) sind am fragilsten bzw. am anfälligsten.

Hinweis: Rücklagen sind eigenkapitalnah und nicht zweckgebunden. Sie sind insofern das richtige Instrument im Gegensatz zu Rückstellungen (z.B. für mögliche Imageschäden), die für konkrete und bekannte Verpflichtungen mit einer hinreichenden Eintrittswahrscheinlichkeit bilanztechnisch zweckgebunden erstellt werden. Für Schwarze Schwäne sind Rückstellungen also ungeeignet.

Nutzung des Risikoindex zur Beurteilung von Angeboten und eines ausreichenden Risikomanagements beim Vertrag bzw. dem Projektauftrag (bei internen Projekten)

💡 Ein Risikoindex im PM-Handbuch unterstützt die einheitliche Anwendung des Risikomanagements im Unternehmen. Auch die Effizienz wird erfahrungsgemäß gesteigert: Manche Projektleiter sind unsicher, wie lange sie die Identifikation von Risiken vorantreiben sollen. Mit dem Risikoindex als Kennzahl sind sie in der Lage, aufzuhören, wenn eine firmenspezifisch festgelegte Mindestzahl erreicht worden ist. Wenn man noch über dieser Mindestzahl liegt, kann mit dieser übersichtlichen Darstellung in aller Regel schnell und effizient Top-Risiken identifizieren, bei deren Mitigation mit effizienten Maßnahmen der vorgegebene Index schnell erreichbar erscheint.

Beispiel: Bei einem Risikoindex von 30% ist die Durchführung eines Projekts ggf. zu riskant. Nach den Mitigationsmaßnahmen könnte der neue Risikoindex auf Basis der reduzierten Risikowerte berechnet werden (z.B. könnten dann 10 – 15% ok sein).

⚠️ Der Projektleiter sollte eine Mindestzahl inhaltlich angemessener Risiken identifizieren. Wenn man als Projektleiter nur ein harmloses Risiko in einem großen Projekt identifiziert, würde die Kennzahl sofort signalisieren, dass man nicht weitermachen muss. So ein Vorgehen wäre natürlich nicht sinnvoll. Der Risikoindex ist nur bei inhaltlich sinnvollen Risiken und bei einer angemessenen Anzahl von Risiken aussagekräftig.

  • Der Risikoindex kann auch für semi-quantitative Verfahren genutzt werden, in dem man sich bei allen Zahlen auf die jeweiligen Ober- und Untergrenzen bezieht. Semi-quantitative Verfahren sind einfacher und schneller und für Nicht-Experten verständlicher. Die Genauigkeit ist aber begrenzt. Diese Variante ist eher für eine frühe Projektphase geeignet, in der noch nicht so viele Projektinformationen zur Verfügung stehen.
  • Ein hoher Risikoindex kann zur Ablehnung eines Auftrags oder zur Initiierung weitgehender Mitigationsmaßnahmen führen.

⚠️ Wie oben in der Tabelle bereits erläutert sollte für die Summe der Risikowerte natürlich die unveränderten Risikowerte (vor) Maßnahmen ansetzen, wenn man sich gegen Maßnahmen entschieden hat. Die erste Risikowertreduktion in der ersten Spalte nach Maßnahmen diente ja nur der besseren Beurteilung, ob die Kosten der Maßnahmen in einem akzeptablen Verhältnis zur Reduktion des jeweiligen Risikowerts stehen. Im obigen Beispiel sind die Maßnahmen rot markiert, bei denen keine Entscheidung getroffen wurde. Diese Maßnahmen reduzieren insofern auch nicht den aktuellen Risikowert des betroffenen Risikos. Der unveränderte Risikowert ist in so einem Fall anzusetzen.

💡 Selbst bei einer deutlichen Reduktion des Risikowerts, ist es empfehlenswert, für die nicht identifizierten Risiken ein weiteres Budget (die Management-Reserve) für die “unbekannten Unbekannten” Risiken zur Verfügung zu stellen, z.B. nochmal pauschal 5% pauschal vom Budget. Die Höhe des Prozentsatzes wird am besten variiert: Je zufriedener man mit der Identifikation der Risiken ist (und umso weniger unbekannte Unbekannte “drohen”, desto niedriger könnte dieser Prozentsatz sein. Und umgekehrt.

Risikoindex und Bezugszeitraum: Der klassische Risikoindex (Summe der Risikowerte / Projektbudget) ist nur dann sinnvoll, wenn sich alle bewerteten Risiken auf das Projekt selbst beziehen – also auf Kosten, Zeit oder Qualität innerhalb der Projektlaufzeit:

  • Eine kurze Stabilisierungsphase oder Hypercare-Phase von z.B. 3-6 Monaten kann natürlich in das Projekt einbezogen werden.
  • Wenn man aber Risiken der Anwendungsphase (z. B. Betrieb, Nutzung, Wartung, Haftung) mit aufnimmst, entsteht aus meiner Sicht ein Skalenbruch:
    • Das Projektbudget bezieht sich auf einen begrenzten Zeitraum (z. B. 12–24 Monate).
    • Die Folgerisiken beziehen sich oft auf viele Jahre (z. B. 5–10 Jahre Nutzungsdauer).
    • Der monetäre Zusammenhang (Projektbudget ↔ Gesamtnutzen/Lebenszykluskosten) ist nicht mehr gegeben.
    • Ergebnis: Der Risikoindex wird künstlich aufgebläht, ohne dass das Projekt selbst zwingend riskanter ist. Mögliche Alternativen zur Abdeckung von Nachprojektrisiken: 
  • Rückstellungen (Fremdkapital, hohe Wahrscheinlichkeit, bezifferbar, kurz- bis mittelfristig, typisch z.B. für Gewährleistung)
  • Rücklagen(Eigenkapital, abstraktes Risiko z.B. mögliche Folgekosten nach Fehlbedingung, langfristig, eher strategisch)
  • Bei Firmen mit vielen Projekten durch z.B. einen zentralen Risikofonds
  • Versicherungen

Kostenzuordnung beschlossener Risikomaßnahmen im Projektstrukturplan

💡 Im Kundenauftragsgeschäft werden in der Regel bereits in der Angebotsphase Kosten für das Projektmanagement verhandelt. Aus meiner Sicht empfiehlt es sich, getrennte Budgetpositionen zu belegen: Die Kosten für die beschlossenen Maßnahmen zur Risikoreduktion werden dem Projektmanagement zugeordnet bzw. erhöhen die entsprechende Verhandlungsmasse. Die Kosten für das - trotz Maßnahmen immer noch - verbleibende Risiko werden als Contingency-Reserve als eigene Budgetposition verhandelt. Diese Contingency-Reserve darf nur bei Eintritt des entsprechenden Risikos reduziert werden. Denkbar ist auch, dass man sich mit dem Kunden diese Budgetposition in einem gemeinsamen Risikoinanspruchnahmeverfahren teilt und der am Projektende verbleibende Rest als “Prämie” beiden Parteien zugute kommt. Auch bei internen Projekten sollte natürlich ein angemessenes Projektmanagementbudget verhandelt werden, welches m.E. auch die Kosten für die beschlossenen Mitigationsmaßnahmen enthalten sollte.

Eine verbreitete Variante, die Risiken zu budgetieren, ist die oben beschriebene Variante:

  • Die Kosten der beschlossenen Maßnahmen kommen ins offizielle Projektbudget und werden als Arbeitspaket (in diesem Fall als Arbeitspaket des Projektmanagements) umgesetzt. Es wird immer wieder diskutiert, ob man diese Maßnahmen nicht besser als Facharbeit planen und die Kosten entsprechend zuordnen sollte, zumal die beschlossenen Mitigationsmaßnahmen oft nur von Fachspezialisten umgesetzt werden können. Das ist natürlich auch eine philosophische Frage bzw. eine Frage des persönlichen Geschmacks. Meiner Meinung nach sollten alle Mitigationsmaßnahmen dem Projektmanagement und entsprechenden Arbeitspaketen zugeordnet werden, solange sie nur dem Zweck dienen, dass bestimmte Risiken nicht eintreten. Echte Facharbeit dient m.E. nur der Erreichung der vereinbarten Ziele. Die Durchführung von Mitigationsmaßnahmen führt in aller Regel das Projekt der Erreichung der Ziele nicht näher, wenn das Risiko nicht eintritt. Selbst, wenn es sich bei den Maßnahmen um hochspezialisierte Facharbeit gehandelt hat, war sie in so einem Fall letztlich “Projektmanagement” bzw. “Risikomanagement”.
  • Anders verhält es sich mit dem Betrag, mit dem nach Maßnahmen das Gesamtrisikos des Projekts bewertet wird, welches ja nach wie vor existiert. Da hat sich der Risikowert unter Berücksichtigung der getroffenen Maßnahmen bewährt:
    • Sollte sich die Projektleitung bzw. der Auftraggeber bei einem einzelnen Risiko für Maßnahmen entschlossen haben, wird der vermutete reduzierte Wert “nach” Maßnahmen angesetzt.
    • Sollte sich die Projektleitung bzw. der Auftraggeber bei einem einzelnen Risiko gegen Maßnahmen entschlossen haben, weil sie angesichts der ausgelösten Risikowertreduktion nicht wirksam genug erscheinen, muss zur Bewertung des noch verbleibenden Risikos des Projekts natürlich der jeweilige Ausgangswert angesetzt werden.

Auch die Risiken der Arbeitspakete aus der Detailprojektplanung sollten aus Konsistenzgründen im Risikoregister dargestellt werden

  • Risikomanagement ist nicht nur eine High-Level-Betrachtung des gesamten Projekts aus der Initialisierungs- und Definitionsphase
  • Risiken können auch zu Elementen der Detailplanung identifiziert werden (und natürlich auch später während der Steuerung)
  • Auch Risiken einzelner Arbeitspakete sind zu betrachten
  • Auch Vorgänge auf dem kritischen Pfad sollten näher betrachtet werden, sollten sie riskant sein. Insbesondere dann, wenn die Termineinhaltung für das Projekt essenziell ist.
  • Sofern das Risikobudget bereits als Teil des Projektbudgets am Ende der Definitionsphase (Projektauftrag) festgelegt wurde, muss man u.U. für die Risiken aus der Planungsphase nachjustieren (oder den Projektauftrag erst am Ende der Planungsphase unterschreiben)

💡 Bei internen Projekten kann man ggf. noch mal mit dem internen Auftraggeber reden und Zusatzbudget verabreden. Das Problem besteht natürlich nicht, wenn man den Auftrag erst nach der Detailplanung geschlossen hat. Im Kundenauftragsgeschäft hat man jedoch oft das Problem, dass man vom Kunden im Angebotsprozess nicht die Zeit bekommt, diese Detailplanung vorzunehmen. Wenn im Vertrag dann keine ausreichenden Reserven gebildet worden sind, hat man neuen Risiken - wie die aus der Detailplanungsphase - schnell ein Problem (Hinweis: natürlich können auch in der Umsetzungsphase neue Risiken dazukommen): Aber es hilft nichts, die Augen vor diesem Problem zu verschließen. Wenn man das Risikobudget nicht erweitern kann, muss man offen mit dem Team sprechen und die Projektsteuerung über die Arbeitspaketbeschreibungen noch konsequenter durchführen und noch deutlicher als bisher Sparpotenziale heben und verhindern, dass Goldkantenlösungen zu Effizienzverlusten führen.

Vorteile einer Integration von Arbeitspaketbezügen zur Wahrung der Konsistenz

  • Darstellung Arbeitspaketbezug ist wichtig, um Mehrfachzählungen desselben Risikos zu vermeiden
  • In der Projektabwicklung fällt die Verfolgung von Risiken sowie dem entsprechenden Risikobudget leichter, wenn die Arbeitspaketspezifischen Risiken an einer zentralen Stelle aufgeführt werden. So können sie beim Abschluss des Arbeitspakets herausgenommen werden.
  • Die Verantwortung wird klar: Ein Risiko ohne AP-/Owner-Bezug „gehört“ niemandem und wird eher vergessen.
  • Inspirationsquelle für Aufbau der zeitlichen Reserve und der anzusetzen Dauer im Gantt-Chart

**Aspekte bei der Identifikation und Bewertung von arbeitspaketspezifischen Risiken

  • Komplexität der Aufgabe. Je unklarer ist, wie komplex die Aufgabe ist, desto größer die Spanne von Best und Worst Case.
  • Unvollständige Information zum Schätzzeitpunkt: Für mich ist dieser Aspekt eng verwandt mit der Komplexität der Aufgabe.
  • Ausfall der zugeordneten Person aufgrund besonderer Rahmenbedingungen, die über eine „normale Krankheit“ hinausgehen. Hier könnte man m.E. auch das Risiko einfließen lassen, dass eine sehr erfahrene, schnelle Ressource in so einem Fall durch eine weniger erfahrene / schnelle Ressource ersetzt werden müsste.
  • Externe ungeplante Ereignisse, die das Arbeitspaket direkt betreffen
  • Verfügbarkeit, Qualität, Erfahrung und Risikoneigung der Ressourcen: Wenn man idealtypisch beim Schätzzeitpunkt davon ausgeht, dass man die bereitgestellten Ressourcen selbst den Projektstrukturplan bilden und die Arbeitspakete schätzen, wäre das aus meiner Sicht kein echtes Risiko sondern eine Standardaufgabe bei der Schätzung nach bestem Wissen und Gewissen – basierend auf der Einschätzung der konkret bereitgestellten Ressource. Es macht aus meiner Sicht keinen Sinn, bei einer Verknüpfung eines Arbeitspakets mit individuellen konkreten Personen statt Rollen, den Faktor Mensch als getrenntes Risiko zu berücksichtigen. Wenn man zum Zeitpunkt der Schätzung aber noch nicht weiß, wer bei ggf. in weiter Zukunft liegenden Auftragseingang als Fachspezialist zur Verfügung steht, könnte man diesen Aspekt aus meiner Sicht einfließen lassen.

Akzeptanz Risikomanagement steigern: Tipps für die Projektleitung

Zentrale Botschaften zur Akzeptanzerhöhung:

  • Projektleiter sind für Erreichung der Ziele verantwortlich. Risiken gefährden die Erreichung der Ziele.
  • Schon ein geringer Einsatz von Risikomanagement bedeutet einen signifikanten Nutzen: Je nach Literaturquelle schon sehr geringe Prozentsätze vom PM-Aufwands für Risikomanagement für erhebliche Steigerung der Erfolgschancen.
  • Risikomanagement kann als eine Art Versicherungsprämie zur Absicherung von Projektzielen angesehen werden.
  • Definition „Verantwortung“ als „Verpflichtung“, dafür zu sorgen, dass alles einen möglichst guten Verlauf nimmt, in dem das Notwendige und Richtige getan und Schaden abgewendet wird. Verantwortung sollte also nichts mit einer Schuldfrage zu tun haben. Maßnahmen:
  • Risikomanagement im Jourfix normalisieren und als normale Projektaufgabe im Verhaltensrepertoire des gesamten Teams verankern
  • Nach Lessons Learned den Erfolg ausgewählter Maßnahmen zur Abwendung von Risiken und Umsetzung von Chancen herausheben und gegenüber ausgewählten Stakeholdern (Projektteam, Management) demonstrieren.
  • Auch wenn das wegen der Abhängigkeiten von der Unternehmenskultur schwierig für den einzelnen Projektleiter ist: Aufbau einer Fehler- und Scheiterkultur im Projektumfeld, damit Projektmitarbeiter bei ersten Frühwarnindikatoren sofort zum Projektleiter kommen, ohne befürchten zu müssen, dass sie kritisiert werden, weil es um ihren fachlichen Verantwortungsbereich geht.