Das Problem der Erbse - Der Unsinn der Risikoanalyse

Kennen Sie den: Es kullern zwei Erbsen über die Straße, da sagt die Eine: "Pass auf, da vorne ist eine  Trep- pe - pe - pe - pe ..."

Ok, der ist nicht allzu witzig - aber noch weniger witzig ist, dass die Risikoanalyse unserer Erbse hervorragend funktioniert hat - sie hat das Risiko "Treppe" völlig richtig und als bedrohliche Situation erkannt! Genauso läuft die Risikoanalyse in der Praxis häufig ab: "Oh, da ist ein Risiko - toll, ich habe es erkannt - Risikoanalyse zu den Akten legen, Schulterklopfer vom Chef abholen und damit ist der Prozess beendet.

Aber wie bekommen wir das besser hin? 

Fangen wir mal beim Namen an, der ist schon stark irreführend: "Risikoanalyse" - wird jemand mit einer Risikoanalyse beauftragt, so hat er ja fast keine andere Möglichkeit, als den Prozess nach der Analyse mit den Worten: "Vorsicht, da kommt eine Treppe" zu beenden. Sinn und Ziel der Sache ist es eigentlich, Gegenmaßnahmen zu entwickeln  - in unserem Beispiel hätte die Erbse in eine andere Richtung kullern können, langsamer kullern oder ganz bremsen sollen, dann hätte sie erfolgreich eine Gegenmaßnahme eingeleitet. Treiben wir die Wortklauberei nicht auf die Spitze - die Risikoanalyse ist ein notwendiger erster Schritt um Gegenmaßnahmen entwickeln zu können, beides bildet zusammen mit der fortlaufenden Beobachtung ein wirkungsvolles Risikomanagement. Wichtig ist an dieser Stelle, dass die Risikoanalyse nur der erste Schritt im Risikomanagement darstellt - und dass der Risikomanagementprozess fortlaufend weit über die Risikoanalyse hinausgeht.  Nur durch einen wirkungsvollen Risikomanagementprozess können wir in Zukunft tausende Erbsen vor den Treppen retten und mindestens ebenso viele Lemminge vor dem Sprung von der Klippe bewahren - denn ein Sprung von der Klippe stellt möglicherweise keine adäquate Gegenmaßnahme auf ein identifiziertes Risiko dar, aber dazu später mehr. 

Wie betreiben wir ein wirkungsvolles Risikomanagement?

Zunächst brauchen wir eine Risikoanalyse - und die können wir ja noch von unserer Erbse lernen: Die Erbse guckt sich einfach aktiv um und sucht nach Gefahren. Nichts anderes ist die Risikoanalyse im Kern. Der Erbse ist allerdings in ihrer kullernden Laufbahn der Unterschied zwischen einer geringen Gefahr wie einer leicht abschüssigen Rampe und einer großen Gefahr wie einer hohen Treppe intuitiv klar - diesen eindeutigen Blick haben wir in komplizierten und bereichsübergreifenden Projekten oftmals nicht. Deshalb haben kluge Leute beschlossen, dass wir Risiken anhand deren Eintrittswahrscheinlichkeit in Prozent und deren Auswirkung in € bewerten, beide miteinander multiplizieren und so den Risikowert erhalten. 

Damit haben Universitätsprofessoren, zertifizierte Risiko- und Projektmanager einen Heidenspaß, das durchschnittliche Projektteam allerdings eher weniger. Das Projektteam sollte beim Brainstorming der Risiken und deren Bewertung jedoch dringend aktiv mitmachen, da es für den Projektmanager sehr schwer ist, Risiken aus unterschiedlichen Unternehmensbereichen zu erkennen und zuverlässig zu bewerten - leichter ausgedrückt: Der Projektmanager weiß nicht notwendigerweise, ab welcher Steigung eine Rampe für eine Erbse kritisch ist, das muss die Erbse selber am besten wissen. Das Problem ist lediglich, dass die Erbse weder in Prozent noch in tausend €- Dimensionen denkt, also erlösen wir die Erbse von dieser Aufgabe, die zugegebenermaßen nur geübten Akteuren gut gelingen kann, selbst bei häufiger Anwendung immer noch eine ungefähre Schätzung bleibt und niemals eine exakte Wissenschaft darstellen kann. Dazu kommt, dass die Risikoanalyse nur den ersten Schritt darstellt, daher wollen wir dazu auch nicht zu viel Zeit aufwenden - es geht uns ja letztendlich zielorientiert um die Gegenmaßnahmen.

Wie führen wir die Risikoanalyse am besten durch?

Ich habe gute Erfahrungen damit gesammelt, das Konzept der Risikoanalyse zwar in seiner epischen mathematischen Breite dem Projektteam vorzustellen, das nachfolgende Brainstorming und die Kategorisierung der Risiken jeweils anhand der Skala 1 bis 5 sowohl für die Dimension der Eintrittswahrscheinlichkeit als auch in der Dimension der Tragweite durchzuführen - das ist wesentlich alltagstauglicher für ein Projektteam: 

Die Zahlen innerhalb der Felder stellen übrigens den Risikowert dar, bevor Sie anfangen nachzurechnen. Das Brainstorming lässt sich auf diese Art einfach an einem Whiteboard, einer Pinnwand oder, meine bevorzugte Variante, mit Stattys an irgendeiner Wand durchführen. Die Projektmitglieder können ihre Zettel mit Risiken einfach frei an der Wand verteilen, die grundlegenden Fragestellungen lauten nur:

• Wird das Risiko auf jeden Fall eintreten (Eintrittswahrscheinlichkeit Wert 5)?
• Wird dieses Risiko das Unternehmen insolvent gehen lassen (Auswirkung Wert 5)? 

Eine nachfolgende Diskussionsrunde kann helfen, dass Projektmitglieder anderer Abteilungen Stellung beziehen und das Projektteam sich so auf eine gemeinsame Betrachtung einigt. 

Ich habe übrigens folgende Beobachtung gemacht: Je länger solche Diskussionsrunden gehen, desto mehr werden die einzelnen Zettel mit den Risiken im Millimeterbereich verschoben. An dieser Stelle können Sie die offene Diskussion dann getrost beenden, denn der Kern der Risikoanalyse ist erstmal der Text, der auf dem betreffenden Zettel steht, nicht so sehr seine millimetergenaue Einordnung. 

Wie Sie an der Ampel- Farbcodierung bereits sehen können, teilen wir die Risiken danach eh wiederum  zumindest gedanklich in die üblichen managementtauglichen 3 Kategorien ein: Rot - Gelb - Grün. Vor diesem Hintergrund scheint es umso widersinniger, dass wir uns vorher die Mühe des Denkens in Prozenten und tausend € machen sollen und das ganze Zeug auch noch multiplizieren müssen, finden Sie nicht auch?

So, die Risikoanalyse steht, jetzt sind wir genauso klug wie die Erbse. Fangen wir an, klüger als selbige zu sein: Widmen wir uns den Gegenmaßnahmen. 

Jedem Risiko sollte mindestens eine Gegenmaßnahme zugeordnet werden, die wir dann in der Schublade haben, falls wir das betreffende Risiko eintreten sehen. Die Gegenmaßnahmen können ebenfalls prima im Kreis des Projektteams gebrainstormt werden, falls wir das Team vorher nicht mit dem Denken in Prozenten und in exorbitanten Kostendimensionen oder beim exzessiven Verschieben von Zetteln zu sehr beansprucht haben sollten. 

Das Finden der Gegenmaßnahmen ist auf der quantitativen Ebene genauso ein kreativer Brainstormingprozess wie das Finden von Risiken. Uuuund jetzt kommen wieder die unkreativen Universitätsprofessoren hervor: Wenn wir ja vorher schon in Prozent und Gelddimensionen gedacht haben, dann machen wir das einfach direkt nochmal und bewerten unsere Gegenmaßnahmen anhand deren erwarteter Wirksamkeit (in Prozent) und deren Kosten (in €). Uuuund jetzt komme ich: Oder wir machen es etwas einfacher und wir lassen die erwartete Wirksamkeit weg - die ist eh grob geschätzt und für eine Maßnahme, die erstmal in der Schublade liegt jetzt nicht wirklich dringend notwendig. Die Kosten der Gegenmaßnahme sollten wir dafür dann so weit wie möglich in Erfahrung bringen, denn danach wird uns der Lenkungskreis mit hoher Wahrscheinlichkeit fragen (auch ohne konkrete Prozentangabe gültig). 

Wie bringen wir die Kosten für Gegenmaßnahmen in Erfahrung? 

Jetzt wird es wirklich unangenehm - wir müssen mit Menschen sprechen oder mit Zahlen rechnen oder im Zweifelsfall beides tun. Ein Beispiel: Für die üblichen Risiken "Projektverzögerung durch Personalmangel" oder "Projektverzögerung durch parallele Linienaufgaben" lässt sich die Gegenmaßnahme "kurzfristige Personalbeschaffung" formulieren. Dazu können wir z.B. beim Zeitarbeitsvermittler unseres Vertrauens anrufen und Verfügbarkeiten sowie Stundensätze in Erfahrung bringen. Der Stundensatz multipliziert mit den erwarteten Stunden im Ausfallzeitraum ergibt die halbwegs seriös geschätzten Kosten dieser Gegenmaßnahme. 

Wenn unsere Erbse die Kosten ihrer Gegenmaßname "Der Treppe ausweichen" hätte kalkulieren wollen, so hätte sie die Dauer des erwarteten Umwegs als Zeitkosten kalkulieren können und / oder die Opportunitätskosten dieses Zeitverzugs  als monetäre Kosten. 

Da dieser Kalkulationsprozess wirklich unangenehm ist, ist es praktikabel, Gegenmaßnahmen nach der vorgestellten Ampel- Farbcodierung mit dem Lenkungskreis abzustimmen: Im roten Bereich der Risiken sollten Gegenmaßnahmen recherchiert werden, im gelben Bereich reicht möglicherweise eine Schätzung und im grünen Bereich werden häufig keinerlei Gegenmaßnahmen definiert oder eingeleitet.

Abschließend sei noch erwähnt, dass wir diejenige Gegenmaßnahme zuerst einleiten, welche die höchste Effizienz verspricht  und die niedrigsten Kosten verursacht. Erfahrungsgemäß ist es jedoch am besten, bei einem eingetretenen Risiko die möglichen bzw. erforderlichen Gegenmaßnahmen mit dem Lenkungskreis abzustimmen.

Damit sind wir am Ende des Risikomanagementprozesses.... Halt, doch nicht, das habe ich vergessen, weil es eigentlich alle vergessen: Wir müssen die Risikoanalyse und die Aufstellung der Gegenmaßnahmen regelmäßig aktualisieren. 

Genauso wie im Laufe eines Projektes Stakeholder hinzukommen oder wegfallen können, kann dies auch mit Risiken passieren. Zusätzlich können sich Risiken hinsichtlich ihrer Eintrittswahrscheinlichkeit oder Auswirkung ändern, ebenso können sich die Kosten für die Gegenmaßnahmen ändern oder Gegenmaßnahmen können aufgrund technischer Machbarkeit wegfallen oder neue Gegenmaßnahmen möglich werden. Je länger ein Projekt dauert, je mehr es kostet und je wichtiger es ist, desto wichtiger ist es, die beschriebenen Schritte zu wiederholen. 

Jetzt war es das aber wirklich. 

Führen Sie in Ihren Projekten Risikoanalysen zusammen mit dem Projektteam durch? Welche Erfahrungen haben Sie dabei machen können? Definieren Sie vor Projektbeginn bereits Gegenmaßnahmen? In welchen Zyklen aktualisieren Sie Ihre Risikoanalyse?