7.2 Risikomanagement / Techniken

Strategien für die Risikoreaktion (7.2.P1)

Sobald Sie die Risiken identifiziert haben, gibt es eine Reihe von Möglichkeiten, wie man als Projektmanager darauf reagieren kann.

Lassen Sie es wie es ist. Hierbei schaut sich der Projektmanager die Risiken an und entscheidet sich nichts zu unternehmen. Das kann einen oder drei Gründe haben.

Der Projektmanager mag entschieden haben, dass die potentielle Projektauswirkung durch das Risiko nicht schwerwiegend genug ist, um eine Risikoreaktion zu rechtfertigen. Das ist typischerweise der Fall bei gering oder vielen mittel eingestuften Risiken.

Der Projektmanager ist zwar der Meinung, dass das Risiko gemanagt werden sollte, doch ist ihm die negative Auswirkung des Risikos nicht die Kosten und den Aufwand wert, die ein Risikomanagement erfordern würden.

Möglicherweise gibt es keine vernünftigen und praktischen Aktivitäten, um das Risiko zu managen. Diese Möglichkeit unterscheidet sich von den vorherigen, bei denen die Kosten über Verbesserungen gestellt wurden. In diesem Fall gibt es keinen praktikablen Weg das Risiko zu managen, auch wenn das Risiko hoch eingestuft wurde. So gibt es z.B. das Risiko, dass Ihr Sponsor aus dem Projekt aussteigt und ein neuer Sponsor das Projekt streichen würde. Tatsächlich wissen Sie sogar, dass dem Sponsor eine Beförderung bevorsteht und dass dieses Szenario sehr wahrscheinlich eintreten könnte. In dieser Situation ist es nicht an Ihnen Maßnahmen zu ergreifen. Erst wenn sich der aktuelle Sponsor erklärt, wissen Sie, ob Sie es sein lassen können oder auch nicht.

Risiko im Auge behalten. In diesem Fall managt der Projektmanager das Risiko nicht aktiv, sondern überwacht es, um zu sehen ob es mit der Zeit eintritt oder nicht. Wenn es danach aussieht, dass es tatsächlich eintritt, muss das Team später einen anderen Reaktionsplan aufstellen. Dieses Vorgehen kann auch für ernsthafte Risiken funktionieren, die nur sehr unwahrscheinlich eintreten werden. Also anders als gleich einen Plan aufzustellen, wird der Projektmanager erst aktiv, wenn es danach aussieht, dass das Risiko eintreten wird. Der Vorteil dabei ist, dass knappe Ressourcen nur auf die Risiken verwendet werden, die mit hoher Wahrscheinlichkeit eintreten werden. Ein Nachteil könnte dabei sein, dass das Risiko durch die Verzögerung nicht so erfolgreich gemanagt werden kann. Diese Methode kann auch angewandt werden, wenn Sie zwar ein Risiko identifiziert haben, dieses aber erst sehr viel später eintreten wird. Wenn das Risiko beispielsweise erst neun Monate später eintreten wird, würde es keinen Sinn machen, zum gegebenen Zeitpunkt Ressourcen dafür aufzuwenden. Besser ist es dann, das Risiko monatlich zu überwachen. Es ist auch möglich, dass sich das Risiko mit der Zeit aufgrund anderer Umstände erübrigt. Wenn das nicht der Fall ist, muss das Team das Risiko in den kommenden Monaten managen.

Vermeiden Sie das Risiko. Das Risiko vermeiden heißt, den Umstand, der das Problem verursacht, auszuschalten. Wenn beispielsweise ein Teil des Projekts mit hohen Risiken verbunden ist, wird dieser gesamte Teil des Projekts gestrichen. Risiken im Zusammenhang mit einem bestimmten Zulieferer können beispielsweise vermieden werden, indem man stattdessen einen anderen Lieferanten wählt. Diese Methode zur Beseitigung von Risiken ist sehr effizient, doch sie ist natürlich nur unter gewissen einmaligen Umständen anwendbar. In einem anderen Beispiel droht eventuell ein Risiko im Zusammenhang mit der Einführung einer Lösung an verschiedenen Standorten. Sobald das Risiko identifiziert ist, könnte der Sponsor den Projektumfang so ändern, dass nur ein Standort neu eingeführt wird. Durch die Streichung der Einführung und die Reduzierung auf nur einen Standort wird das Risiko vermieden.

Geben Sie das Risiko weiter. Bei manchen Gelegenheiten kann die Verantwortung für das Risikomanagement aus dem Projekt herausgenommen werden, indem man das Risiko an eine andere Stelle oder einen Dritten weitergibt. Ein dritter Partner verfügt eventuell über spezielles Fachwissen, mit dem er die Arbeit ohne Risiko ausführen kann. Auch wenn das Risiko dann immer noch gegeben ist, so liegt die Verantwortung es zu lösen in anderen Händen. Eine weitere Art der Risikoweitergabe stellt eine Versicherung dar. Ein einfaches Beispiel wäre etwa die Verschiffung sehr zerbrechlicher und wertvoller Güter – hier besteht das Risiko, dass das Material beschädigt werden könnte. Mit einer Versicherung des Materials haben Sie das Risiko ausgelagert. Natürlich haben Sie im Schadensfall immer noch einen Zeitverlust, da Sie nun auf die Schiffslieferung mit Ersatzmaterial warten müssen, das finanzielle Risiko ist aber nicht mehr gegeben. Dieses liegt nun bei der Versicherung.

Mindern Sie das Risiko. In den überwiegenden Fällen ist dies der richtige Ansatz. Das Risiko mindern heißt, dass man aktive Schritte einleitet, um sicherzustellen, dass das Risiko nicht eintritt. Ein weiterer Zweck der Risikominderung liegt darin, dass wenn da Risiko eintritt die negative Auswirkung möglichst gering gehalten wird. Im Sinne des TenStep Projektmanagement-Prozess wird generell davon ausgegangen, dass Risikomanagement-Pläne der Risikominderung dienen.

Positive Risiken / Chancen (7.2.P2)

Risiken können auch als Chancen gesehen werden und durchaus positiv sein. In unserem Zusammenhang riskieren Sie oder das Projektteam, um daraus einen Nutzen und Gewinn zu schlagen. Beispielsweise werden neue Technologien benutzt, um Kosten und Zeit zu sparen. Natürlich gibt es keine Garantie, dass dies gelingt. Das Team glaubt aber daran, dass es klappen wird und nimmt das Risiko in Kauf. Dies ist ein Beispiel von einer Chance oder eines positiven Risikos. (Der TenStep Projektmanagement Prozess beschäftigt sich jedoch überwiegend mit "negativen" Risiken. Risiken aus denen mögliche Problemfälle entstehen und deren Schaden verhindert werden soll.)

Mit einem Risiko verbindet sich eine Unsicherheit (7.2.P3)

Wenn ein Ereignis als Risiko identifiziert wird, verbindet sich damit eine gewisse Unsicherheit bzw. Wahrscheinlichkeit. Ereignisse mit 0% Sicherheit (100% Unsicherheit) sind kein Risiko, sondern eine Fiktion. Ereignisse, bei denen keine Unsicherheit besteht bzw. 100% sicher sind, sind Tatsachen. Ein Risiko hat somit eine Wahrscheinlichkeit von 1% bis 99%. Wenn Sie Risikomanagement betreiben, schließen Sie Fiktionen wie auch Tatsachen aus.

Unterscheiden Sie zwischen Risiken, Ursachen und Auswirkungen (7.2.P4)

Für jedes Risiko gibt es eine Ursache und jedes Risiko hat seine Auswirkungen. Wenn Sie ein Projektrisiko identifizieren, stellen Sie sicher, dass Sie das Risiko selbst definieren und die Ursachen oder Auswirkungen.

Beispiel: In einem Unternehmen mit Standorten auf der ganzen Welt, inklusive Entwicklungsländern, soll ein neues Telekommunikationssystem eingeführt werden. Wenn in den Standorten die Telefonleitungen nicht erneuert werden, funktioniert dort die neue Lösung nicht. Worin besteht in diesem Beispiel ein Risiko? Besteht es darin, dass

· die Lösung in Entwicklungsländern eingeführt wird? Nein, das ist die Ursache. Es ist eine Tatsache oder Anforderung.

· die Lösung in einzelnen Ländern nicht verwendet wird? Nein, das ist eine mögliche Auswirkung.

· die erforderlichen Telekommunikations-Aufrüstungen nicht durchgeführt werden? Ja, in diesem Punkt liegt die Unsicherheit.

Inhärente Risiken (7.2.P5)

Manchmal ist bei einem Projekt nicht einfach zu sagen, ob Risiken vorhanden sind oder nicht. Glücklicherweise können Sie sich zuerst einmal generelle Projektcharakteristiken anschauen, die ein höheres Risiko mit sich bringen. Ein Projekt mit 50 Teammitgliedern ist riskanter als ein Projekt mit fünf Teammitgliedern. Ebenso steigt das Risiko auch mit einem Anstieg der Kommunikation, der Zusammenarbeit, des Teilens von Informationen und des Personalmanagements. Ebenfalls wird Ihr Projekt, wenn es neue Technologien beinhaltet, riskanter sein als ein Projekt, das bewährte Technologien verwendet. Dies sind Beispiele für "inhärente" Risiken, die auf den allgemeinen charakteristischen Merkmalen des Projekts beruhen. Der Prozess der Risikoidentifizierung sollte bei diesen inhärenten Risiken beginnen. Nachdem diese identifiziert worden sind, sollte das Team diejenigen Risiken identifizieren, die speziell auf das Projekt zutreffen, das gerade durchgeführt wird. Eine Liste von inhärenten Risikofaktoren, die Sie in Ihrem Projekt beachten sollten, finden Sie unter 7.2.1 Inhärente Risikofaktoren.

Ein Budget für unbekannte Risiken anlegen (7.2.P6)

Ein Projektmanager kann ausgehend von einer qualitativen Risikoanalyse zu Beginn eines Projekts ein Sicherheitsbudget für den Risikofall anfordern. Risikoidentifizierung sollte jedoch nicht nur zu Beginn eines Projekts stattfinden, sondern der Projektmanager muss während des gesamten Projektverlaufs Risiken erkennen. Deshalb würde es bei mittleren bis großen Projekten Sinn machen, Zeit und Budget für unbekannte Risiken als Teil des Schätzungsprozesses einzuplanen. Risikotoleranz ist außerdem eine Frage der Kultur, die in Ihrer Unternehmung herrscht. Manche Unternehmen sind risikofreudiger und akzeptieren ein höheres Maß an Risiken bei Projekten. Bei solchen Unternehmen liegt die „Schmerzgrenze“ üblicherweise auch höher, bis man sich entscheidet ein Risiko zu managen.

Risikoidentifikation als Teamwork (7.2.P7)

Wenn Teammitglieder bereits Projekterfahrungen mitbringen, dann können sie eine aktive Rolle bei der Risikoidentifikation und -beurteilung übernehmen. Ein gemeinsames Vorgehen kann zu besseren Einschätzungen führen.

Kosten eines Risikoplans (7.2.P8)

Das Erstellen und Pflegen eines Risikoplans ist mit Kosten verbunden. Die Kosten für das Risikomanagement dürfen die Kosten, die das Eintreten des Risikos verursachen würde, nicht übersteigen. Bei hohen Risiken ist dies in der Regel nicht der Fall. Bei mittleren und kleinen Risiken ist jedoch die Frage berechtigt, ob sich Kosten und Nutzen die Waage halten.

Risikotoleranz (7.2.P9)

Alle Projekte sind Risiken ausgesetzt, und alle Risiken haben mehr oder weniger drastische Auswirkungen auf das Projekt. Mit Risikomanagement legen Sie auch fest, für welche Risiken sich dieses Management lohnt. Bei der Identifikation von Risiken werden Sie auf solche Risiken treffen, die aller Wahrscheinlichkeit nach eintreten werden, jedoch nur eine geringfügige Auswirkung auf das Projekt haben werden. Wir fragen uns daher, wie hoch die Auswirkung sein muss, damit es unvermeidbar wird, dass wir uns damit beschäftigen. (Diese Frage stellt sich gleichermaßen, egal ob wir den qualitativen oder den quantitativen Ansatz wählen.) Die Antwort dazu sagt etwas über die Risikotoleranz aus.

Nehmen wir an, wir haben eine Risiko, dass wahrscheinlich eintreten wird und es ist mit einer Auswirkung von € 100.-- und einem halben Tag Verzögerung zu rechnen. Sie werden vermutlich entscheiden dieses Risiko nicht zu managen, sondern es zu ignorieren. In die Liste der Annahmen können Sie dieses Risiko nicht aufführen, da es mit größter Wahrscheinlichkeit auftreten wird. Trotzdem ist die Auswirkung geringfügig und die entstehenden Kosten liegen in einer Höhe, die Sie mittragen können. Die Kosten, um dieses Risiko zu managen, werden wohl um einiges höher sein. Daher wählen Sie die Strategie dieses Risiko zu ignorieren.

Im vorherigen Beispiel war die Ausgangslage äußerst trivial. Es ist einfach, mit solchen Risiken umzugehen. Lassen Sie uns also die Latte etwas höher legen. Nehmen wir an, dass Risiko kostet € 500 und beeinflusst unser Projekt mit einem Arbeitstag. Was ist bei € 1000 und drei Tagen Arbeitsleistungen? Natürlich hängt die Antwort von der Größe Ihres Projekts ab. Haben Sie ein Budget von € 20.000, bedeuten € 1.000 erhebliche Mehrkosten, bei einem Budget von einer Million Euro ist die Auswirkung jedoch geringfügig.

Wenn Sie also Risiken identifizieren, nutzen Sie die Toleranzgrenze. Dies hilft, sich auf die wesentlichen und wichtigen Risiken zu konzentrieren. Manche Unternehmen sind risikofreudiger und akzeptieren ein höheres Maß an Risiken bei Projekten. Bei solchen Unternehmen liegt die „Schmerzgrenze“ üblicherweise auch höher, bis man sich entscheidet ein Risiko zu managen.

Auf der anderen Seite gibt es auch Unternehmen, die eine ausgeprägte Anti-Risiko-Haltung einnehmen. Solche Unternehmen tendieren dazu, weniger riskante Projekte eher zu akzeptieren, während ihre Risikoschwelle für das Risikomanagement geringer angesetzt ist. Anders ausgedrückt: Nehmen wir einmal an, Sie führen in beiden Unternehmen ein ähnliches Projekt durch. Die Projektmanager in den risikofeindlichen Organisationen werden dazu neigen, Risiken zu managen, gegen die ein Projektmanager in der anderen Organisation vielleicht gar nichts unternimmt.

Entscheidungsbäume (7.2.P10)

Eine Methode zur Berechnung der finanziellen Folgen einer gegenseitigen Abhängigkeit von Risiken in einem Projekt ist der Entscheidungsbaum. Ein Entscheidungsbaum ist eine Technik zur Ermittlung des Gesamtrisikos, das mit einer Reihe von Risiken verbunden ist. Entscheidungsbäume sind eine gute Technik, wenn Sie folgende Merkmale haben:

Die Wahrscheinlichkeit eines Risikos beruht auf den Folgen eines früheren Risikos, das heißt, die Risiken sind sequentiell.

Sie haben es mit Entweder/Oder-Entscheidungen zu tun, oder mit einer kleinen Anzahl wahrscheinlicher Folgen für jeden Entscheidungspunkt – nicht mit einer unendlichen Zahl.

Die Risikokalkulation hat finanzielle Implikationen.

Betrachten Sie folgendes Beispiel für einen Entscheidungsbaum.