Risikoanalyse

​Ein Risiko kann auf mathematischer Ebene zunächst rein binär betrachtet werden: es tritt entweder ein oder eben nicht. Letztendlich ist der Eintritt eines Risikos aber immer mit einer bestimmten variablen Wahrscheinlichkeit verbunden. Hieraus ergibt sich ein Unsicherheitsfaktor, der die Planung eines Projekts stark erschwert.

Im Projektmanagement ist ein Risiko zunächst einmal ein rein virtuelles Konstrukt, das im Eintrittsfall aber zu realen Schäden an Projekt und/oder Unternehmen führen kann. Davon betroffen sind vor allem die drei Steuerfaktoren eines Projekts: Zeit – Kosten – Qualität.

Die Risikoanalyse befasst sich sowohl mit den potenziellen Risiken, die ein bestimmtes Projekt mit sich bringt, als auch mit den durch sie drohenden Konsequenzen. Sie verfolgt dabei drei Hauptziele:
•    Fortlaufendes Erkennen und Analysieren von Risiken
•    Abschätzung der Eintrittswahrscheinlichkeit dieser Risiken
•    Vorhersage potenzieller Konsequenzen

Aus den Erkenntnissen der Risikoanalyse können im Projektteam Risikomanagementstrategien entwickelt werden, mit dem Ziel, den Eintritt bestimmter Risiken durch Einrichten spezifischer Sicherheitsmaßnahmen zu verhindern (Prävention) bzw. einen eingetretenen Schaden in seinem Ausmaß zu begrenzen (Firefighting).

Die Risikoanalyse sorgt dadurch für Transparenz und bietet den Projektverantwortlichen eine Entscheidungshilfe für den Umgang mit Risiken.

Eine Risikoanalyse wird dabei in mehreren aufeinanderfolgenden Schritten durchgeführt:

1.    Zunächst werden im Rahmen der Risikoidentifizierung alle potenziell auftretenden Risiken zusammengestellt und nach externen, internen, planerischen, kaufmännischen, fachlichen und Umfeld-Risiken kategorisiert. Um diese systematische Vorgehensweise effizient zu gestalten, sollten bereits die wichtigsten Projektdokumente wie Zielvorgaben, Struktur- und Ablaufpläne vorliegen und die Stakeholder-Analyse durchgeführt worden sein.
2.    Im Anschluss daran sollten sich die Projektteammitglieder eine Übersicht über die identifizierten Risiken verschaffen und sich eingehend mit Projektunterlagen und den Begebenheiten vor Ort vertraut machen. Insbesondere bei größeren Projekten sollte ggf. auch eine Rechtsformanalyse durchgeführt werden, mittels derer besondere Risiken erkannt und bewertet werden können, die aus rechtlichen Rahmenbedingungen wie Verträgen etc. entstehen können.

Da sich die Rahmenbedingungen in den verschiedenen Phasen eines Projekts ständig verändern, können ständig neue Risiken auftreten aber auch wegfallen. Daher ist die Risikoanalyse ein dynamisches Vorhaben, das im Projektverlauf zyklisch wiederholt und ergänzt werden sollte.

Schaffung von Transparenz als Entscheidungsgrundlage

Um ein Projekt erfolgreich realisieren zu können, müssen durch die Projektleitung fortwährend Entscheidungen getroffen werden. Hierzu müssen alle entscheidungsrelevanten Faktoren transparent dargestellt sein. Eine effiziente Risikoanalyse stellt alle Risiken, die den Erfolg eines Projekts bedrohen, für alle Projektbeteiligten transparent dar und erleichtert es damit, ein Projekt in risikoärmere Bahnen zu lenken.

Entwickeln eines gezielten Handlungsbedarfs zur Einleitung geeigneter Schutzmaßnahmen

Risiken bedrohen den Erfolg eines Projekts, indem sie negativen Einfluss auf Kosten, Zeit und/oder Qualität nehmen. Aber nicht alle Risiken sind von gleicher Bedeutung für diesen Erfolg. Es ist daher notwendig, frühzeitig insbesondere diejenigen Risiken zu erkennen, die eine hohe Eintrittswahrscheinlichkeit haben und eine besondere Tragweite für Projekt und Unternehmen entwickeln können. Nur wenn diese Faktoren bekannt sind, ist es möglich, zielgerichtete Maßnahmen zur Vorbeugung oder Abwehr zu treffen. Die Risikoanalyse schafft die Möglichkeit, jedes Risiko individuell zu durchleuchten und auf seine Bedeutung für den Projekterfolg hin zu bewerten, sodass die entsprechenden Maßnahmen frühzeitig entwickelt werden können.

Höheres Sicherheitsniveau für Management und Projektbeteiligte

Indem Risiken und sich daraus ergebender Handlungsbedarf frühzeitig bekannt sind, ergibt sich für das Projektmanagement automatisch ein deutlich erhöhtes Sicherheitsniveau. Da sich Risiken im Projektverlauf verändern, neu hinzukommen oder auch wegfallen, muss eine nachhaltige Risikoanalyse zyklisch wiederholt durchgeführt werden.

​Das folgende Kapitel widmet sich den Begriffen Risiko und Risikoanalyse. Im Zentrum der Betrachtungen steht dabei, wie die Risiken eines Projekts im Rahmen des Projektmanagements erfasst werden können. Strategien, wie Risiken als Chancen erkannt und als solche genutzt werden können, werden an anderer Stelle besprochen.

Es soll hier lediglich darauf hingewiesen werden, dass eine völlige Vermeidung aller potenziellen Risiken letztendlich die Aufgabe aller potenziellen Chancen nach sich zieht. Im Anschluss einer Risikoanalyse gilt es daher, ein optimales Gleichgewicht zwischen Risiko und Chance zu finden. Dieses Gleichgewicht ist je nach Rahmenbedingungen variabel und bezieht neben der Art des Projekts vor allem auch Erfahrungen und individuelle Risikobereitschaft des Projektleiters mit ein.

Das primäre Ziel einer Risikoanalyse ist es, mögliche Gefahren aufzudecken und zu bewerten, die im Rahmen eines Projekts auftreten können und für Projekt, Unternehmen sowie die am Projekt Beteiligten potenziell existenzgefährdend sind. Die Risikoanalyse ermöglicht es damit, bereits in frühen Projektstadien vorbeugende Maßnahmen zu entwickeln, um die bestehenden Risiken und daraus resultierende Konsequenzen mittels verschiedener Methoden beherrschbar zu machen und Kosten zu reduzieren. Sie stellt damit ein wertvolles Instrument zur Entscheidungsfindung für die Projektverantwortlichen dar.

Die typische Risikoanalyse besteht aus drei Phasen, die aufeinanderfolgend durchgeführt werden: Risikoidentifikation, Risikobewertung und Risikomanagement.

Wenngleich eine gut strukturierte Risikoanalyse zeit- und ressourcenaufwändig sein kann, gilt auch im Projektmanagement die Redensart „Vorsicht ist besser als Nachsicht“. Unerkannte und plötzlich eintretende Risiken können im Verlauf eines Projekts immensen Schaden anrichten, dessen Beseitigung (sog. Firefighting) wiederum die Kosten einer ausführlichen Risikoanalyse weit überschreiten kann.

Neben der Verminderung negativer Konsequenzen ermöglicht es eine Risikoanalyse zusätzlich, in einem Projekt steckende Chancen zu erkennen. Sie unterstützt die Strukturierung von Überlegungsprozessen und sorgt dadurch für Transparenz bei projektbezogenen Entscheidungsprozessen.

Auch wenn die Risikoanalyse ein mächtiges Projektmanagement-Tool ist, dient sie lediglich als Entscheidungshilfe. Die endgültige Entscheidung über den Umgang mit einem Risiko muss letztendlich von den Projektverantwortlichen getroffen werden.

Für den Begriff des Risikos (ital. risico = Wagnis) lassen sich eine Reihe verschiedener Definitionen finden. Hier einige Beispiele:
- der Effekt der Unsicherheit auf ein Objekt (ISO 31000)
- die Eintrittswahrscheinlichkeit eines Ereignisses multipliziert mit den daraus resultierenden Kosten oder Gewinnen
- ein ungewisses Ereignis, das, wenn es eintritt, einen Effekt auf mindestens ein (Projekt-)Ziel hat

Obwohl diese Definitionen auf den ersten Blick recht unterschiedlich klingen, eint sie doch, dass das Risiko als Ereignis angesehen wird, das bei Eintritt einen negativen oder positiven Effekt zur Folge haben kann, also erst einmal neutral betrachtet wird. Hinzu kommt ein Faktor der Unsicherheit, der das bewusste Eingehen eines Risikos zum Wagnis, zur Gefahr werden lässt.

In der zweiten Definition findet sich zudem ein Begriff, der in der Risikoanalyse im Projektmanagement von entscheidender Bedeutung ist: die Eintrittswahrscheinlichkeit.

Stellen wir uns an dieser Stelle einen hungrigen Löwen vor, der zweifelsohne eine Gefahr für jeden darstellt, der sich ihm nähert. Begegnet man diesem hungrigen Löwen in der Savanne, ist die Eintrittswahrscheinlichkeit, von diesem Löwen angefallen und gefressen zu werden, sehr hoch. Nähert man sich dem gleichen hungrigen Löwen aber im Zoo an und es befinden sich eine intakte Gehege-Abgrenzung zwischen dem Löwen und einem selbst, ist die Eintrittswahrscheinlichkeit für einen tödlichen Angriff äußerst gering. Die Annäherung stellt im ersten Fall ein hohes Risiko, im zweiten Fall ein niedriges Risiko dar.

Letztendlich definiert sich das Risiko also als Produkt aus einer Gefahr und der Eintrittswahrscheinlichkeit dieser Gefahr. Im Projektalltag hat sich allerdings eingebürgert, den Begriff der Gefahr durch den Terminus Risiko zu ersetzen und das Produkt aus Gefahr und Eintrittswahrscheinlichkeit z.B. mit einem Risiko-Score gleichzusetzen. Aus diesem Grund wird im Folgenden die gebräuchlichere Variante verwendet.

Risiken und Unsicherheit sind die natürlichen Feinde des Projektmanagers und des Projekterfolgs (auf unser Beispiel übertragen also der Löwe). Der Eintritt eines Risikos wirkt sich fast immer auf mindestens einen der drei Steuerfaktoren Zeit, Kosten und Qualität aus.  Ein erfolgreicher Projektleiter sollte daher immer bestrebt sein, die Kontrolle zu behalten und den Einfluss auf die drei Steuerfaktoren so gering wie möglich zu halten.

Die Risikoanalyse (engl.: risk assessment) beschäftigt sich zum einen mit dem Erkennen potenziell projektrelevanter Risiken, sowie mit der Bewertung dieser Risiken in Bezug auf deren Tragweite für das Projekt auf Basis vorher definierter Risikoakzeptanzkriterien (z.B. gesetzliche Rahmenbedingungen).

Sie ist damit ein wichtiger Teil des Risikomanagements, das als Führungsaufgabe neben der Risikoanalyse auch noch die Bewältigung bzw. Beherrschung von Risiken durch geeignete Maßnahmen, die Risikoüberwachung und eine Dokumentation all dieser Prozesse beinhaltet.

Die Risikoanalyse sollte in einer frühen Phase des Projektmanagements durchgeführt werden, um Unsicherheiten soweit wie möglich aus einem Projekt zu verbannen. Eine einmalige Durchführung der Risikoanalyse ist aber i.d.R. für den erfolgreichen Abschluss nicht ausreichend, da im Projektverlauf immer wieder neue Risiken auftreten oder aber, im Rahmen des Abschlusses eines Arbeitspakets, wegfallen können. Eine effiziente Risikoanalyse sollte daher kontinuierlich oder zyklisch wiederholt durchgeführt werden.

​Zu Beginn einer Risikoanalyse werden alle potenziell relevanten Risiken, die im Laufe der Projektdurchführung auftreten können, identifiziert und zusammengetragen. Damit dieser Schritt effizient und zielgerichtet stattfinden kann, ist es notwendig, dass bereits wichtige Informationen und Kennzahlen des Projekts vorliegen. Dazu gehören Zielvorgaben, Struktur- und Ablaufpläne aber auch die Stakeholder-Analyse. Darüber hinaus sollten die wichtigsten Projektverantwortlichen sowie Berater und Entscheidungsgremien ein genaues Bild des Projektziels vor Augen und sich mit dem Projektablauf befasst haben.

Projektrelevante Risiken können verschiedenen Kategorien zugeordnet werden. Diese werden im Folgenden näher erläutert.

Jedes Projekt wird entscheidend durch äußere Faktoren und Rahmenbedingungen beeinflusst. Hierzu gehören regulatorische Bedingungen (Gesetzgebung und Vorschriften), Umweltbedingen (Klima, Wetter) aber auch spezifische Bedingungen im Absatzmarkt.

Externe Risiken können vom Projektteam nicht kontrolliert oder beeinflusst werden.

​Im Gegensatz zu externen Risiken stehen die internen Risiken durchaus in der Einflusssphäre des Projektteams und können daher in einem bestimmten Rahmen kontrolliert werden. Es handelt sich hierbei um Risiken, die aus vertraglichen Bedingungen, dem Einsatz von Ressourcen oder dem Ablauf des Projekts selbst ergeben. Interne Risiken sind jedoch nicht immer projektintern, sondern können auch im Umfeld des Projekts entstehen. So kann beispielsweise ein Schaden der IT-Infrastruktur den Fortschritt eines Projekts zum Erliegen bringen und eine mangelhafte Leistungserbringung kann sowohl durch fehlerhafte Rohstoffe als auch durch eine falsche Spezifikation des Endprodukts entstehen.

Diese Risikokategorie ist sehr komplex und kann im Rahmen dieser thematischen Einführung nicht umfassend ausgeführt werden. Zur Vertiefung sei an dieser Stelle auf weiterführende Lektüre verwiesen: Pinnells J.R., Pinnels E (2007). Risikomanagement in Projekten. Internationale Wagnisse identifizieren und minimieren. Gabler Verlag. Wiesbaden. ISBN: 978-3-8349-0125-5.

Fachliche Risiken

Nobody is perfect! In Systemen, in denen Menschen zusammenarbeiten, kommt es immer wieder zu Fehlern, auch bei Experten und Fachleuten. Fachliche Risiken können daher nie vollständig ausgeschlossen werden. Der mangelhafte Brandschutz der Berliner Flughafenbaustelle ist hierfür ein prominentes Beispiel. Regelmäßige Schulung, Erfahrungsschatz und ständige Qualitätskontrolle sind die erfolgreichsten Mittel zur Kontrolle dieser Risiken.

Kaufmännische Risiken

Ein unternehmerisches Projekt mit dem Ziel, ein neues Produkt auf den Markt zu bringen, kann nur dann erfolgreich sein, wenn es in einer Umsatzsteigerung für das Unternehmen mündet. Das Risiko, dass sich am Ende kein Abnehmer für das Produkt findet oder die erzielbaren Erlöse nicht kostendeckend sind, zählt zu den kaufmännischen Risiken. Ein solches Risiko lässt sich zwar durch eine adäquate Marktforschung bis zu einem gewissen Grad kontrollieren, sobald aber ein solventer Konkurrent mit einem besseren Produkt auf den Plan tritt, sehen die Chancen schlecht aus.

Weitere kaufmännische Risiken sind Budgetkürzungen, Solvenz und riskante Kapitalanlagen des Unternehmens.

Planerische Risiken

Planerische Risiken sind eng verwandt mit fachlichen Risiken. Fehler bei der Projektplanung – durch interne Projektteammitglieder aber auch externe Berater – können jederzeit auftreten. Die Herausforderung besteht darin, das Eintreten dieser Risiken unwahrscheinlich zu halten. Auch hier sind daher Kontrollmechanismen und ggf. externe Expertise die geeignetsten Gegenmaßnahmen.

Umwelt- und Umfeld-Risiken

Faktoren, die in der Umwelt bzw. im Umfeld eines Projekts wirken, sind schwer zu kontrollieren. Schlechtwetterperioden können beispielsweise Bauvorhaben in die Länge ziehen und mangelnde Unterstützung der Aktionärsversammlung kann Projekte des Vorstands eines Unternehmens gefährden. Auch die erfolgreichen Protestaktionen gegen Olympiabewerbungen deutscher Städte (Berlin, München/Garmisch-Partenkirchen) fallen in diese Risikokategorie

​Um einen adäquaten Überblick über alle identifizierten relevanten Risiken für ein Projekt zu behalten, sollten diese in einer Liste – dem Risiko-Log – katalogisiert werden. Hierzu bedarf es keiner speziellen Projekt-Software, eine Tabellenkalkulation wie Excel tut es dafür auch. Da sich die Liste der Risiken jederzeit durch Ergänzungen oder Kürzungen verändern kann, ist das Risiko-Log ein lebendes Dokument.

Im Risiko-Log sollten die folgenden Informationen unbedingt übersichtlich aufgeführt sein:
•    Eindeutige Kodierung des Risikos (z.B. eine Identifikationsnummer)
•    Beschreibung des Risikos
•    Effekt/Auswirkung des Risikos
•    vorhandene zugehörige Arbeitspakete
•    Verantwortliche Person
•    Bearbeitungsstatus
•    Gegenstrategien
•    Wahrscheinlichkeit des Eintritts
•    Eintrittsindikator
•    Risiko-Score bzw. Risikokennzahl
•    Tragweite des Risikos
•    Geschätztes Schadensausmaß

In der Sektion „Downloads“ können sie sich eine kostenlose Vorlage eines Risiko-Logs herunterladen.

​Nachdem im vorangegangenen Kapitel die wichtigsten Risikokategorien beschrieben wurden, ist es an der Zeit, Methoden vorzustellen, wie diese Risiken überhaupt erkannt werden können. Hierzu stehen im Projektmanagement eine Reihe von Werkzeugen zur Verfügung. Sie alle dienen ausschließlich der neutralen Beschreibung der Risiken, keinesfalls der Risikobewertung. Diese erfolgt erst im anschließenden Schritt.

Projektleiter, vor allem nicht dann, wenn sie selbst fachlich im Projekt eingebunden sind, sind kaum in der Lage, alle wesentlichen Risiken allein zu identifizieren. Wie in anderen Geschäftsbereichen können Brainstormings oder sogenannte „Risk-Assessment-Meetings“, die sich der Schwarm-Intelligenz bedienen, hier effizient Abhilfe schaffen.

Indem die einzelnen Arbeitspakete durchleuchtet werden, können in solchen Workshops viele potenzielle Risiken erkannt und thematisch zusammengefasst werden. Die Meetings sollten stringent mit klaren Zielvorgaben durchgeführt werden, damit sich die Beteiligten nicht im Klein-Klein verlieren. Vor allem sollte immer wieder darauf hingewiesen werden, dass jegliche Bewertung eines Risikos zu unterbleiben hat.

Wenngleich die Durchführung eines Risiko-Workshops sehr effektiv sein kann, besteht dennoch die Gefahr, dass Risiken übersehen werden. Es ist daher sinnvoll, auch andere unternehmensinterne oder -externe Berater hinzuzuziehen, die eine andere und unvoreingenommene Perspektive auf das Projekt haben. Diese Experten können dabei von Beginn an oder erst zum Abschluss der Projektplanungsphase eingebunden und zeitweise oder aber über die gesamte Laufzeit eines Projekts an das Projektmanagement angegliedert werden.

​Technische Pläne spielen eine zentrale Rolle bei Projekten, in denen es um Baustellen, Installationen und Infrastruktur geht. Aus ihnen geht beispielsweise hervor, wo Stromkabel und Wasserleitungen verlaufen, die nicht beschädigt werden dürfen und wo sicherheitsrelevante Elemente wie Brandschutzvorrichtungen und Nothähne angebracht sind, die im Ernstfall schnell erreicht werden müssen.

In wichtigen Projektdokumenten finden sich überdies Hinweise zu Risiken, die in Verbindung zu abgeschlossenen Verträgen mit Kunden, Subunternehmern und Dienstleistern stehen. Hieraus ergeben sich beispielsweise Informationen zu Haftungsbedingungen, Vertragsstrafen, Erbringungsfristen und zu den vereinbarten Konditionen des Nachforderungsmanagements.

Aus einem Projektplan wiederum können sich Risiken zu Ressourcenplanung und –mana-gement ergeben, aber auch Planungen in Bezug auf das magische Dreieck aus Kosten, Qualität und Zeit sollten hierin festgehalten sein.

Fragen, die sich das Projektteam in Bezug auf diesen Themenblock stellen sollte können sein:
•    Wurde ein ausreichendes Projektbudget eingeplant?
•    Welche im Vertrag festgeschriebenen Bedingungen sind für das Projekt von elementarer Bedeutung?
•    Wie wird im Falle knapper Ressourcen (Rohstoffe, Anzahl verfügbarer Mitarbeiter, etc.) vorgegangen?
•    Wie kann die Baustelle bei Unfällen schnellstmöglich gesichert werden?

​Eine Weltreise wird niemand unvorbereitet antreten. In den Tagen und Wochen vor der Abreise empfiehlt es sich, anhand einer Checkliste zu prüfen, ob die essenziellen Reiseutensilien und -dokumente auch im Gepäck untergebracht sind und nichts vergessen wurde.

Hier einige Beispiele:
-    Besitzen die Reisepässe ausreichende Gültigkeit?
-    Liegen alle notwendigen Visa vor?
-    Wurden alle erforderlichen Impfungen durchgeführt?
-    Wurden wichtige Notfallnummern notiert?
-    Besteht Zugriff auf ausreichend Bargeld?

So banal sich diese Fragen auch anhören, im Projektmanagement spielen solche Checklisten ebenfalls eine wichtige Rolle. Solche Listen ergeben sich zumeist aus immer wiederkehrenden Projekttätigkeiten und werden im Laufe der Erfahrungen immer weiter ergänzt. Im Rahmen des Risikomanagements sind Checklisten ein einfaches aber umso mächtigeres und unverzichtbares Werkzeug.

​Die Vielfalt gültiger Normen in der EU ist sprichwörtlich und gleicht einem Dschungel aus Gesetzen, Verordnungen und Richtlinien. Hinzu kommen länder- und produktspezifische Regelungen sowie divergierende Rechtsprechungen etc.. Für einen Nicht-Juristen ist es schier unmöglich, sich in diesem Wirrwarr zurechtzufinden. Juristischer Beistand ist daher quasi verpflichtend, bevor ein Projekt umgesetzt werden kann.

Eine adäquate Analyse der zu beachtenden Rechtnormen sollte in der Lage sein, Antworten auf folgende Fragen zu liefern:
-    Welche Gesetze und Verordnungen sind für das Projekt relevant?
-    Welche Genehmigungen müssen eingeholt werden?
-    Welche Behörden müssen involviert werden?
-    Sind spezielle AGBs der Subkontraktoren zu beachten?
-    Inwieweit dürfen Arbeitspakete überhaupt an Dritte weitergegeben werden?
-    Welche Vorgaben entstehen durch Geheimhaltungsvereinbarungen?
-    Bestehen Möglichkeiten, vertragliche Risiken abzuwälzen oder positiv zu interpretieren?

​Alle Theorie ist grau! So hilfreich die bisher angesprochenen Methoden zur Risikoidentifikation sich auch erweisen mögen, die örtlichen Bedingungen können eine bestehende Planung völlig über den Haufen werfen. Auf einer Baustelle können die Stromanschlüsse weit entfernt liegen oder eine Zufahrt nur mit landgängigen Fahrzeugen möglich sein. Eventuell können auch speziell benötigte Maschinen vor Ort nicht betrieben werden. Solche Faktoren können nur vor Ort in Erfahrung gebracht werden. Häufig erweist es sich auch als sinnvoll, ortsansässige zu befragen. Zusätzlich können sich aus der Stakeholder-Analyse wichtige Erkenntnisse zu den örtlichen Gegebenheiten ergeben.

Auch Stakeholder können in einem Projekt ein eigenes Risiko darstellen. Insbesondere neutrale und negative Stakeholder sind diesbezüglich relevant, weil diese ggf. ungewollt wichtigen Informationen zurückhalten können oder generell an einer Verzögerung oder Unterbrechung des Projekts interessiert sind.

Um diese Risiken erkennen zu können, sollte die Stakeholder-Analyse möglichst abgeschlossen sein oder sich zumindest in einem fortgeschrittenen Stadium befinden. Das Besondere an dieser Risikokategorie ist, dass es sich um menschliche Motivationen und ggf. auch Emotionen handelt, die besonderer Sensibilität im Umgang bedürfen (z.B. Protestbewegung zu Stuttgart 21).

Die hier vorgestellten Methoden können, müssen aber nicht alle im Rahmen der Risikoidentifikation Anwendung finden. Die Auswahl der Methoden sollte je nach Gegebenheit des Projekts und Kenntnissen und Erfahrungen der Beteiligten getroffen werden. Hier ist der Projektleiter als Verantwortlicher gefragt!

​

Zum Abschluss dieses ersten Schritts des Risikomanagements sollten sich alle Beteiligten darüber im Klaren sein, dass trotz intensiver Vorbereitungen in einem Projekt jederzeit neue Risiken auftauchen können, die es zu katalogisieren und anschließend zu bewerten gilt. Es ist daher unerlässlich, in jedem Fall wachsam zu bleiben und sich mit ändernden Gegebenheiten auseinanderzusetzen.

Nachdem die projektrelevanten Risiken identifiziert und optimalerweise katalogisiert und sortiert wurden, geht es im zweiten Schritt der Risikoanalyse darum, die Risiken bezüglich ihrer Eintrittswahrscheinlichkeit und der jeweiligen Tragweite zu evaluieren.

Zur Quantifizierung der Eintrittswahrscheinlichkeit wird in der Regel eine Einordnung in Prozentstufen vorgenommen. Dabei ist es wichtig, frühzeitig festzulegen, wie diese Prozentstufen definiert sind, da die persönliche Wahrnehmung die Bewertung der Eintrittswahrscheinlichkeit stark beeinflussen kann. Es ist daher sinnvoll, die Prozentstufen (hier haben sich Sprünge von jeweils 10 Prozentpunkten bewährt) mit Beispielen zu verknüpfen.

Die Risiko-Tragweite befasst sich mit den Auswirkungen eines Risikos auf das Projekt und dessen Erfolg. Sie lassen sich in verschiedene Kategorien einteilen, die aber wie die prozentuale Eintrittswahrscheinlichkeit eines Risikos gut definiert sein sollten, um Wahrnehmungsdifferenzen zu nivellieren.

Folgende fünf Kategorien werden in der Regel für die Risikobewertung herangezogen (absteigende Reihenfolge bezüglich der Konsequenzen für das Projekt):

• Projetgefährdend
• Kritisch (stark negative Auswirkung)
• Teilweise/in Bereichen kritisch (mit negativer Auswirkung)
• Unkritisch
• Vernachlässigbar

Bei einer U-Bahn-Baustelle kann beispielsweise ein erhöhter Grundwasserspiegel die Umsetzung des Projekts gefährden. Sind statt der ursprünglich geplanten hellblauen Fliesen jedoch nur hellgrüne verfügbar, ist der Einfluss auf die Fertigstellung der Baustelle hingegen eher als unkritisch zu betrachten.

Für jedes Projekt sollten Eintrittswahrscheinlichkeit und Tragweite der Risiken neu und individuell definiert werden. Gegebenenfalls müssen hierbei aber unternehmensinterne Vorgaben beachtet werden. Alle zuvor identifizierten Risiken sollten dann bezüglich dieser Parameter einzeln bewertet werden.

Als Ergebnis der Risikobewertung kann beispielsweise ein Risiko-Score aus Eintrittswahrscheinlichkeit und Tragweite gebildet werden, der einen besseren Vergleich der Größe der jeweiligen Risiken ermöglicht und eine Hilfestellung bietet, welche Risiken priorisiert zu managen sind.

Es gibt verschiedene Wege zum Umgang mit Projektrisiken. Dabei haben sich vier grundlegende Methoden als besonders hilfreich erwiesen.

Das beste Risiko ist ein vermeidbares Risiko! Im Zuge der Risikovermeidung wird daher angestrebt, den Eintritt möglichst aller identifizierten Risiken zu vermeiden. Hierdurch soll maximale Sicherheit erreicht werden. Sicherheit geht allerdings immer mit erhöhter Kontrolle und zusätzlichen Kosten einher, im Falle der Risikovermeidung i.d.R. mit einer Vermeidung von Chancen. Zugleich bleibt die Freiheit zur Gestaltung von Prozessen auf der Strecke.

Risikovermeidung kommt immer dann zum Tragen, wenn es um die Sicherheit von Menschenleben geht, wie z. B. in der medizinischen Forschung oder der Luftfahrt. Dementsprechend sind die gesetzlichen Rahmenbedingungen hier so strikt, dass kaum Handlungsspielraum für die involvierten Unternehmen besteht.

Risikovermeidung kann nur durch konsequente und stringente Planungen im Projektvorfeld erreicht werden. Das Ziel ist eine Sicherstellung höchstmöglicher Qualität, was gemäß dem magischen Dreieck zulasten von Kosten und/oder Zeit geschieht. Im Extremfall ist ein solches Vorhaben aufgrund begrenzter Projektressourcen utopisch.

​Möchte oder kann man die negativen Begleiterscheinungen der Risikovermeidung nicht in Kauf nehmen, kann es eine sinnvolle Strategie sein, die Risiken zu verringern. Dabei wird versucht, durch Maßnahmen in der Organisation von Personal und Arbeitsplatz die Eintrittswahrscheinlichkeit eines Risikos möglichst klein gehalten.

Hier einige Beispiele:
-    Die Sensibilität aller Beteiligten für die relevanten Risiken steigern
-    Bestmögliche Schulung aller Beteiligten
-    Umgestaltung des Arbeitsplatzes
-    Einsatz von State-of-the Art Arbeitsmitteln

​Die Methoden zur Vermeidung und Verringerung von Risiken werden durch beachtlichen Aufwand seitens des projektausführenden Unternehmens betrieben. Eine Möglichkeit zur Reduktion oder Vermeidung solcher Aufwendungen ist es, Risiken über vertragliche Vereinbarungen auf Dritte (Dienstleister, Subkontraktoren) zu übertragen. So können risikoreiche Arbeitspakete komplett an Dritte outgesourct werden, die dann für sämtliche Risiken haftbar gemacht werden.

Bei dieser Methode ist es erforderlich, dass alle Verträge juristisch genau geprüft werden, um sicherzustellen, dass wirklich eine vollständige Übertragung aller Risiken gewährleistet ist.

​Das völlige Gegenteil zur Vermeidung eines Risikos ist dessen Akzeptanz. Dabei werden Risiken als gegebene Ereignisse erachtet, mit denen man im Notfall leben muss. Diese Strategie kann sich lohnen, wenn ein Risiko nur mit geringer Wahrscheinlichkeit eintritt oder keine besondere Tragweite hat. Auch Risiken, deren Management übermäßige Ressourcen verbrauchen würden und nicht umgangen werden können, kann so begegnet werden.

Im Rahmen einer guten Projektplanung sollten sich die Projektteammitglieder frühzeitig die Frage stellen, welche Präventivmaßnahmen unter Berücksichtigung von Zeit, Kosten und Qualität getroffen werden können, um den Eintritt eines Risikos möglichst zu reduzieren.

Da Risiken aufgrund des erforderlichen Kosten- und Arbeitsaufwands kaum vollständig vermieden werden können, sollte zudem die Frage gestellt werden, welche Maßnahmen angewendet werden müssen, sobald ein Risiko eingetreten ist, bzw. einzutreten droht. Diese Maßnahmen werden auch als Firefighting bezeichnet.

Die Entscheidung für eine dieser Methodenformen ist eine Einzelfallentscheidung durch den Projektleiter und hängt vor allem von Kosten, Zeit und Qualität ab.

Sinnvoll ist es, nach Identifikation und Bewertung jedem Risiko eine Maßnahme zur Prävention sowie eine Gegenmaßnahme zuzuordnen. Hierbei sollten immer die Verantwortlichen des jeweiligen Arbeitspakets hinzugezogen werden.

​Der Eintritt eines Risikos kann extrem teuer werden und im schlimmsten Fall das Aus für Projekt und Unternehmen bedeuten. Für Risiken mit hohem Risiko-Score müssen daher die Schadenssummen berechnet und auf Vereinbarkeit mit dem Projektbudget geprüft werden.

Ein Beispiel:

Im Rahmen eines Hausbauprojekts wurde ein Schreiner beauftragt, eine Einbauküche mit weißen Schrankfronten zu installieren.
Für eine Arbeitsstunde verlangt der Schreiner 80 €, die Materialkosten der Schrankfronten betragen 1.000 €.

Zur Ausführung der Arbeiten werden 16 Arbeitsstunden benötigt – insgesamt fallen also 2.280 € Kosten an (1.280 € Arbeitsleistung und 1.000 € Materialkosten).

Bei Prüfung der abgeschlossenen Arbeiten fällt auf, dass statt weißer graue Fronten eingebaut wurden. Im Falle eines adäquaten Nachforderungsmanagements müsste der Schreiner nun den Aufwand zur Herstellung des bestellten Zustands tragen. Wenn darauf allerdings nicht geachtet wurde, hat ggf. der Projektträger alle Zusatzkosten zu tragen, um die Küchenschränke mit den weißen Fronten auszustatten: für die 2-stündige Entfernung und Entsorgung der grauen Schrankfronten fallen daher zusätzlich 200 € an, zusätzlich müssen die neuen weißen Schrankfronten (1.000 €) sowie die zusätzlichen 16 Arbeitsstunden zum Neueinbau (1.280 €) getragen werden (insgesamt also 2.480 €).
Insgesamt fallen also für das Arbeitspaket Kosten i.H.v. 2.280 € und zusätzlich 2.480 € Risikokosten an.

Der Eintritt dieses Risikos zieht gegebenenfalls weitere Verzögerungen bei der Installation der Einbaugeräte für die Küche und daraus entstehende Schadensersatzansprüche des Elektroinstallationsdienstleisters nach sich. Die tatsächlichen Zusatzkosten für das Bauprojekt können daher enorm steigen.

In diesem Beispiel wurden die Schadenskosten eines eingetretenen Risikos berechnet. Auf ähnliche Weise können die Kosten für präventive Maßnahmen errechnet werden (s. nächstes Kapitel).

In jedem Fall sollten bei der Berechnung von Schadenssummen finanzielle Puffer eingerechnet werden, da ggf. weitere unvorhergesehene Kosten auftreten können (in unserem Beispiel könnte dies bedeuten, dass durch die Neumontage ein Einbauschrank beschädigt wurde und ausgetauscht werden muss).

​Für jede Präventivmaßnahme muss geprüft werden, ob sich diese im Vergleich zur Schadenssumme im Eintrittsfall eines Risikos auch rechnet. So könnten zur Vorbeugung eines unkritischen Risikos beispielsweise 5.000 € an Kosten anfallen, während die Behebung des eingetretenen Schadens nur mit 2.000 € zu Buche schlägt. Es wird deutlich, dass sich in diesem Fall die Präventivmaßnahmen aus wirtschaftlichen Gründen nicht rentieren und im Projekt daher darauf verzichtet werden kann. Risikoakzeptanz lautet hier das Stichwort.

Diese Überlegungen unterscheiden sich aber von Risiko zu Risiko. Sie müssen daher für jedes Risiko einzeln durchgeführt werden. Sollte sich der Projektleiter für die Durchführung präventiver Maßnahmen entscheiden, müssen dafür im Projektplan eigene Arbeitspakete mit entsprechenden zugehörigen Risiken berücksichtigt werden.

​Wie bereits angedeutet, können Risikoanalyse und Risikomanagement nicht als einzelne abgeschlossene Phasen zu Beginn eines Projekts betrachtet werden. Es handelt sich um einen lebenden Prozess, der ständig durch sich ändernde Gegebenheiten und neu hinzukommende bzw. wegfallende Risiken angepasst werden muss. Adäquates Risiko-Controlling muss daher in den Projektmanagement-Zyklus integriert werden.

Mit dem Projektmanagementzyklus wird die fortlaufende Tätigkeit des Projektleiters bezeichnet, die sich im Rahmen eines Projekts ständig wiederholt. In Bezug auf das Risikomanagement bedeutet dies:
-    Für abgeschlossene Arbeitspakete können keine Risiken mehr entstehen, sie fallen also weg
-    Neu ins Projekt aufgenommene Arbeitspakete und sonstige relevante Änderungen im Projekt bringen neue Risiken mit sich
-    Tragweite und Eintrittswahrscheinlichkeit von Risiken können sich verändern
-    Die Relevanz von Gegenmaßnahmen für ein Risiko kann im Projektverlauf variieren
-    Es kann zu Tendenzen bzgl. bestimmter Risikokategorien kommen

Das Risiko-Log sollte daher zyklisch aktualisiert und an alle Beteiligten transparent kommuniziert werden.

Risikoaversion und –penibilität

Risiken sind natürliche Bestandteile eines Projekts. Das Vorhaben, Risiken vollständig zu eliminieren stellt ein eigenes Risiko für die Umsetzung eines Projekts dar: zusätzlicher Planungs-, Arbeits- und Kostenaufwand können es unmöglich machen, im Rahmen des festgesetzten Projektbudgets ein Produkt von vorgegebener Qualität zu realisieren. Darüber hinaus wird der Handlungsspielraum für alle Projektbeteiligten immer enger.

Vergessen der Erfahrungssicherung

Um das Rad nicht ständig neu erfinden zu müssen, sollten die „Lessons learned“ festgehalten werden. Dies vermeidet wiederholtes Tappen in die gleiche Falle und erleichtert auch die Planung bei Folgeprojekten. In diesem Rahmen können auch Best-Practice-Ansätze erstellt und implementiert werden.

Zu Kategorie-behaftetes Denken

Auch wenn die Einteilung von Risiken in bestimmte Kategorien prinzipiell sinnvoll ist, kann sich daraus allerdings auch ein Pitfall ergeben, indem überehen wird, dass die Summe im einzelnen akzeptabler Risiken zu einem insgesamt eben nicht akzeptablen Risiko wird.

Anderseits kann die Kategorisierung von Risiken zum Verschwinden der Zusammenhänge mit den jeweiligen Arbeitspaketen führen. Risiken werden dann nur noch abstrakt und nicht mehr real betrachtet.

Kompetenzüberschätzung durch den Projektleiter

Zwar trägt der Projektleiter für das Gesamtprojekt die Verantwortung, er ist dabei aber von der Unterstützung aller Projektteammitglieder abhängig. Im Umkehrschluss sollte der Projektleiter im Risikomanagement darauf achten, Experten und erfahrene Mitarbeiter frühzeitig einzubinden, um deren abweichende Blickwinkel auf das Projekt gewinnbringend einzusetzen.

Übersehen von aus Maßnahmen entstehenden Folgerisiken

Jede Maßnahme, die im Rahmen des Risikomanagements eingesetzt wird, birgt wiederum eigene Risiken, die in anschließenden Projektphasen zum Eintritt kommen können. Bei der Planung von Maßnahmen sollte daher darauf geachtet werden, keine zusätzlich risikoreichen Arbeitspakete in den Projektplan aufzunehmen. Von einem zusätzlichen Risikomanagement für Maßnahmen sollte allerdings abgesehen werden, um die Planungen nicht unnötig zu verkomplizieren.

Problematische Risikokultur

Jedes Unternehmen hat seine eigene Art mit Risiken umzugehen. Dies ist vom Projektleiter kaum zu beeinflussen. Im Projektteam hingegen sollte der Projektleiter unbedingt darauf achten, dass Fehler und Probleme transparent und angstfrei auf den Tisch gebracht werden können. Fehler können jederzeit passieren – sie sollten sich bloß nicht wiederholen.

Uneinheitliche Maßstäbe zur Bewertung von Risiken

Viele Köche verderben den Brei! Sobald mehrere Projektleiter in einem Projekt involviert sind, bringen diese ihre jeweils eigenen Vorstellungen von Eintrittswahrscheinlichkeit und Tragweite eines Risikos mit. Zu Beginn des Risikomanagements sollten sich daher alle Beteiligten auf einheitliche Kategorien und Definitionen einigen.

Unterschätzung der Wirkungsdauer von Risiken

Jedes Risiko muss im Kontext des magischen Dreiecks aus Kosten, Zeit und Qualität betrachtet werden. Ein Risiko kann zudem eine einmalige Gefahr darstellen oder aber auch den gesamten Projektverlauf gefährden. Eine besonders prominente Risiko-Nachhaltigkeit stellen die Brandschutzmängel des Hauptstadtflughafens BER dar.

Verkennen der positiven Bedeutung des Risikomanagements

Es liegt in der Natur der Sache, dass Risiken etwas Negatives sind, mit dem sich niemand gern

ausführlich beschäftigt. Gutes Risikomanagement bedingt jedoch den Erfolg eines Projekts und ist damit viel mehr als Selbstzweck. Risikomanagement sollte daher von allen Beteiligten als integraler Bestandteil des Projektmanagements verstanden werden – als Erfolgsfaktor!