Risiken sind im Projektmanagement unvermeidlich und können erhebliche Probleme für die Projektziele darstellen. Risiken frühzeitig zu erkennen und eine Strategie zu deren Bewältigung zu entwickeln, ist entscheidend für den Erfolg eines Projekts.
In diesem Artikel stellen wir die vier Schritte des Risikomanagement-Prozesses vor. Dabei erfahren Sie, wie potenzielle projektbezogene Risiken und Chancen identifiziert und bewertet werden und wie man effizient darauf reagiert. Entdecken Sie, wie dieser strategische Prozess zu einem widerstandsfähigeren Projektmanagement führen kann.
Der Risikomanagement-Prozess ist eine klar definierte Methode, um zu verstehen, welche Risiken und Chancen vorhanden sind, wie sie ein Projekt oder eine Organisation beeinflussen können und wie darauf reagiert werden sollte. Die Formalisierung dieses Prozesses innerhalb Ihrer Organisation sowie die Kommunikation der eingesetzten Werkzeuge und Methoden stärken das gesamte Projekt-Risikomanagement und ebnen den Weg für deutlich mehr Projekterfolg.
Die 4 wesentlichen Schritte des Risikomanagement-Prozesses sind:
- Risiken identifizieren
- Risiken bewerten
- Risiken behandeln
- Risiken überwachen und berichten
Schritt 1: Risikoidentifikation
Der erste Schritt im Risikomanagement-Prozess besteht darin, alle Ereignisse zu identifizieren, die die Projektziele negativ (Risiko) oder positiv (Chance) beeinflussen können:
- Projektmeilensteine
- Finanzielle Entwicklung des Projekts
- Projektumfang
Diese Ereignisse können in einer Risikomatrix aufgelistet und später im Risikoregister erfasst werden.
Ein Risiko (oder eine Chance) wird durch seine Beschreibung, Ursachen und Folgen, qualitative Bewertung, quantitative Bewertung sowie einen Maßnahmenplan charakterisiert. Zudem kann angegeben werden, wer für die Maßnahmen verantwortlich ist. Jede dieser Eigenschaften ist notwendig, damit ein Risiko (oder eine Chance) gültig ist.
Um effektiv gemanagt zu werden, müssen die identifizierten Risiken und Chancen (R&C) so präzise und spezifisch wie möglich beschrieben sein. Der Titel des Risikos oder der Chance muss knapp, selbsterklärend und klar definiert sein.
Alle Projektmitglieder können und sollten Risiken und Chancen identifizieren. Nach der Identifikation liegt die inhaltliche Verantwortung bei den Risk Ownern. Risikomanager sind dafür zuständig, einen formalen Prozess sicherzustellen, der die Identifikation von Risiken und die Entwicklung von Reaktionsplänen in Zusammenarbeit mit den Risk Ownern umfasst.
Im Folgenden Beispiele für Werkzeuge zur Unterstützung bei der Identifikation von Risiken und Chancen:
- Analyse vorhandener Dokumentationen
- Interviews mit Experten
- Durchführung von Brainstorming-Sitzungen
- Anwendung von Standardmethoden – wie z. B. Failure Modes, Effects and Criticality Analysis (FMECA), Ursache-Baum-Analysen usw.
- Berücksichtigung von Lessons Learned aus Risiken und Chancen früherer Projekte
- Verwendung vorgefertigter Checklisten oder Fragebögen, die verschiedene Bereiche des Projekts abdecken (Risk Breakdown Structure, RBS)
Schritt 2: Risikobewertung
Es gibt zwei Arten der Bewertung von Risiken und Chancen: qualitativ und quantitativ. Eine qualitative Bewertung analysiert die Kritikalität basierend auf der Eintrittswahrscheinlichkeit und der Auswirkung des Ereignisses. Eine quantitative Bewertung analysiert die finanziellen Auswirkungen oder den Nutzen des Ereignisses. Beide sind notwendig für eine umfassende Beurteilung von Risiken und Chancen.
Qualitative Bewertung
Der Risk Owner und der Risikomanager bewerten und priorisieren jedes identifizierte Risiko und jede Chance anhand der Eintrittswahrscheinlichkeit und der Schwere der Auswirkungen, entsprechend den Kritikalitätsskalen des Projekts.
Bewertung der Eintrittswahrscheinlichkeit (P):
Diese wird üblicherweise auf einer Skala von 1 bis 99 % angegeben und basiert auf Erfahrung, dem Fortschritt des Projekts oder der Einschätzung eines Risikoexperten.
Beispiel: Das Risiko, dass „der Zulieferer X bis Ende 2025 keine Studien zur Änderung Y durchführen kann“, wird mit einer Wahrscheinlichkeit von 50 % bewertet. Dies kann anhand von Rückmeldungen und einer Analyse der Auslastung des Zulieferers bestimmt werden.
Bewertung der Auswirkungsstärke (I):
Zur Beurteilung der Gesamtauswirkung wird die Schwere der auf Projektebene definierten Auswirkungen geschätzt. Eine Skala klassifiziert die unterschiedlichen Auswirkungen und deren Schweregrade. So wird sichergestellt, dass die Bewertung eines jeden Risikos oder einer Chance standardisiert und verlässlich erfolgt.
Der Kritikalitätsgrad eines Risikos oder einer Chance wird mit folgender Formel berechnet:
Kritikalität = P x I
Ziel der qualitativen Bewertung ist es, sicherzustellen, dass das Risikomanagement-Team die Reaktion zunächst auf die kritischsten Punkte priorisiert. Die Bewertung der Eintrittswahrscheinlichkeit oder der Schwere der Auswirkungen ist dabei das, was diese Methode „qualitativ“ macht. Dennoch ermöglicht die Vergabe eines numerischen Wertes eine objektive Priorisierung.
Quantitative Bewertung
In den meisten Projekten dient die quantitative Bewertung dazu, eine finanzielle Einschätzung der Auswirkungen eines Risikos oder des Nutzens einer Chance zu ermitteln, falls diese eintreten. Dieser Schritt wird vom Risk Owner, vom Risikomanager (mit Unterstützung der Verantwortlichen für Schätzungen und Zahlen) oder vom Controlling durchgeführt, je nach organisatorischer Struktur des Unternehmens. Die Beträge stellen potenzielle Mehrkosten (bzw. potenzielle Gewinne bei Chancen) dar, die im Projektbudget nicht vorgesehen waren.
Dazu ist es notwendig, alle zusätzlichen Kosten zu bewerten, die durch das Risiko (bzw. das unerwünschte Ereignis) entstehen. Die Kosten der Folgen des Risikos werden durch Addition dieser Werte berechnet.
Die Bewertung potenzieller Kosten umfasst unter anderem:
- Stunden interner Technik/Engineering
- Stunden externer Dienstleister/Subunternehmer
- Zusatzarbeiten
- Änderungen und/oder Ansprüche gegenüber Verträgen
- usw.
Dieser Schritt ermöglicht eine Abschätzung des zusätzlichen Budgetbedarfs für Risiken und Chancen im Projekt.
Schritt 3: Risikobehandlung
Um Risiken zu behandeln, muss eine Organisation zunächst Strategien zur Risikobehandlung festlegen und einen Behandlungsplan entwickeln. Ziel des Risikobehandlungsplans ist es, die Wahrscheinlichkeit des Eintretens eines Risikos zu verringern (präventive Maßnahmen) und/oder die Auswirkungen des Risikos zu reduzieren (mildernde Maßnahmen).
Bei einer Chance besteht das Ziel des Behandlungsplans darin, die Wahrscheinlichkeit ihres Eintritts zu erhöhen und/oder den Nutzen zu steigern. Abhängig von der Art des Risikos oder der Chance wird eine Reaktionsstrategie für das Projekt definiert. Folgende sieben Strategien sind möglich:
7 Strategien zur Risikobewältigung
- Akzeptieren: Keine Maßnahmen ergreifen, aber weiterhin überwachen.
- Mildern/Verbessern: Die Eintrittswahrscheinlichkeit und/oder die Auswirkungsstärke verringern (bei Risiken) oder erhöhen (bei Chancen).
- Übertragen/Teilen: Die Verantwortung für ein Risiko an einen Dritten übertragen, der die Folgen trägt (bzw. die Vorteile einer realisierten Chance teilt).
- Vermeiden/Nutzen: Das Risiko vollständig eliminieren bzw. die Chance gezielt nutzen.
Die Überwachung des Fortschritts im Behandlungsplan liegt in der Verantwortung des Risk Owners. Dieser muss regelmäßig an den Risikomanager berichten, der das Risikoregister stets aktuell hält.
Hinweis: Die Kosten eines Risikominderungsplans müssen im Projektbudget berücksichtigt werden.
Bei der Definition eines Behandlungsplans gilt:
- Jede Maßnahme beginnt mit einem aktiven Verb und verfolgt ein klares Ziel.
- Jede Maßnahme hat eine verantwortliche Person (Actionee) und eine Frist.
- Maßnahmen, die Kosten verursachen könnten, müssen erfasst und im Projekt berücksichtigt werden.
- Beispiel: Um das Risiko einer Autopanne zu reduzieren, könnte ein Behandlungsplan darin bestehen, das Fahrzeug jährlich in einer Werkstatt überprüfen zu lassen.
Wann wird aus einem Risiko ein Problem?
Es kann vorkommen, dass trotz eingeleiteter Maßnahmen zur Minderung oder Vermeidung, die Eintrittswahrscheinlichkeit eines Risikos steigt und 100 % erreicht. Sobald das Ereignis bestätigt oder sicher ist, spricht man nicht mehr von einem Risiko, sondern von einem Problem (Issue). Der Risikomanager muss dann die verschiedenen Projektbeteiligten informieren, die weiter kommunizieren, dass aus einem Risiko ein Problem geworden ist, und dieses in das Issue-Log übertragen.
Schritt 4: Risikoüberwachung und -berichterstattung
Risiken, Chancen und die dazugehörigen Behandlungspläne müssen kontinuierlich überwacht und berichtet werden. Die Häufigkeit richtet sich nach der Kritikalität des Risikos. Die Entwicklung einer Struktur für Überwachung und Berichterstattung sorgt dafür, dass es geeignete Eskalationsforen gibt und die richtigen Risikomaßnahmen umgesetzt werden.
Erinnern wir uns daran, dass der Risk and Opportunity Management Plan (ROMP) eines der fünf wesentlichen Elemente des Projekt-Risikomanagements ist. Er sollte nicht nur die Projektbeteiligten und Steuerungsgremien umfassen, sondern auch die Governance-Rhythmik für Überwachung und Berichterstattung von Risiken und Chancen festlegen. Wie dies organisiert und gesteuert wird, definiert der Risikomanager in Abstimmung mit dem Projektmanager.
Zusammenfassung
Das Verständnis der komplexen Natur des Risikomanagements ist ein wichtiger Schritt zur Verbesserung Ihrer Projektergebnisse. Wenn Sie jeden Schritt des Risikomanagement-Prozesses kennen, verfügen Sie über ein umfassendes Instrumentarium, um mögliche Risiken und Chancen zu identifizieren, zu bewerten und darauf zu reagieren. Das nächste Ziel ist, diesen Prozess in Ihrer Organisation zu formalisieren und konsequent anzuwenden.
Dies verschafft Ihnen nicht nur mehr Kontrolle über die Ausrichtung Ihres Projekts, sondern fördert auch Wachstum und Entwicklung innerhalb Ihrer Organisation. Denken Sie daran: Jedes Mitglied Ihres Teams spielt eine Rolle bei der Identifikation von Risiken und Chancen. Nutzen Sie den Prozess, lernen Sie aus vergangenen Erfahrungen und gehen Sie zuversichtlich in eine Zukunft voller Möglichkeiten.
Vielen Dank an die folgenden Mitwirkenden: Marie BELGODÈRE, Jérémie CLAUSTRE, Capucine COMTE, Alioune DIALLO, Emmanuel LATGÉ, Jessy MIGNOT, Ingrid NGOBAY, Pierre PÉTILLON, Louann SUGDEN, Chris WAMAL sowie die MIGSO-PCUBED Risk Management Community of Practice.
