Verwenden Sie verschiedene Methoden zur Risikoidentifikation

Es gibt verschiedene Methoden um Risiken zu identifizieren – einfachere und aufwändigere. Leider wird für die Identifikation von Risiken oft nur eine Methode angewendet – und dies sind Checklisten. Der Vorteil von Checklisten ist offensichtlich: Man muss nicht viel bei der Arbeit denken, aber die Ausbeute an relevanten Risiken ist damit gering. Nur mit verschiedenen Methoden und Informationslieferanten haben Sie eine Chance möglichst viele relevante Risiken zu entdecken. Jede angewandte Methode gibt eine andere Sichtweise auf das Projekt; und nur so kann das Know-how der verschiedenen Beteiligten einfliessen. Die möglichen Identifikationsmethoden reichen von den eher formalistischen Methoden, wie zum Beispiel Checklisten, bis zu intuitiven Methoden, wie Brainstorming.
Bewährte Methoden für die Risikoidentifikation:

• Dokumentenanalyse und historische Aufzeichnungen
• Auswerten der Lessons learned von ähnlichen Projekten
• Brainstorming mit dem Projektteam und Experten
• Interviews mit Fachexperten und anderen Projektleitern
• Brainwriting, z.B. mit Methode 635
• Delphi Technik
• Risikochecklisten mit Risikokategorien und Risiken

Brainstorming ist aus meiner Sicht die beste Methode um Risiken zu identifizieren. Es sollte jedoch nicht die einzige Methode sein.

Unmögliche Risiken? Vogel legt Cern lahm!

Der Zürcher Tagesanzeiger vom 9. November 2009 liefert wieder einmal eine interessante Schlagzeile: Vogel legt Cern lahm! Das hochkomplexe Cern erlitt durch einen sehr simplen Zwischenfall einen Kurzschluss.

"Von einem Vogel fallengelassene Brotkrümel haben beim Teilchenbeschleuniger des Cern in Genf einen Kurzschluss ausgelöst. Der Vorfall ereignete sich bereits am Dienstag vergangener Woche, wie das Cern am Montag mitteilte. Die Baguettekrümel verursachten den Kurzschluss demnach bei einer externen elektrischen Anlage, die Teile des Large-Hadron-Collider (LHC) mit Strom versorgt. Wegen des Kurzschlusses sei auch ein Teil des Kühlsystems des LHC unterbrochen worden, sagte eine Cern-Sprecherin. Dadurch sei es zu einer leichten Erwärmung von der absoluten Tiefsttemperatur (minus 273 Grad Celsius) auf minus 268 Grad Celsius gekommen. Wenige Stunden nach dem Vorfall habe sich die Lage aber wieder normalisiert, die Störung sei nicht gravierend gewesen."

Was heisst hier nicht gravierend? Es hätte ja vielleicht auch schlimmer kommen können! Lassen Sie Ihre Projektmitarbeiter bei der Risiko-Identifikation beim Brainstorming auch utopische oder komische Risiken vorschlagen, wie zum Beispiel: "Von einem Vogel fallengelassene Brotkrümel könnten beim Teilchenbeschleuniger einen Kurzschluss auslösen". Solche Risiken stossen mindestens zum Nachdenken an und vielleicht sind sie ja doch nicht so utopisch?

Risikomanagement - The Good, the Bad and the Ugly

Im Blog von Herding Cats hat der Post vom 11. Oktober den Titel "Risk Management- The Good, the Bad and the Ugly". Darin sind die 16 Top-Gründe beschrieben warum Projekte scheitern. Diese will ich Ihnen nicht vorenthalten.Vermutlich kommen Ihnen einige Punkte dieser Liste bekannt vor:

1. Missverständnisse bei den Anforderungen
2. Scheitern beim Managen der Benutzererwartungen
3. Unklarheiten/Missverständnisse bei den Projektzielen/Projektumfang
4. Schleichender Funktionszuwachs (Scope creep)
5. Mangel an klar zugewiesenen Vollzeit Projektressourcen
6. Schlechte Schätzungen
7. Mangel an eingefrohrenen Anforderungen
8. Ungenügendes Managen von Projektänderungen
9. Mangel an Top-Management Support
10. Keine oder ungenügende Projektplanung
11. Mangel an qualifiziertem und verfügbarem Personal
12. Ungenügende Projektmanagement-Kenntnisse
13. Ungenügende Definition von Rollen und Verantwortlichkeiten
14. Nicht identifizieren aller Stakeholder
15. Ändernder Projektumfang/Projektziele
16. Schlechtes Risikomanagement

Die oben genannten 16 Punkte sind keine Risiken, sondern Tatsachen, die in Ihrem Projekt vielleicht auch vorkommen. Wenn Sie mit diesen Tatsachen konfrontiert sind, so sollten Sie die möglichen Risiken und Auswirkungen für Ihr Projekt bestimmen. Wenn Sie dem letzten Punkt ihre spezielle Aufmerksamkeit widmen dann werden Sie nicht so schnell von "unerwarteten" Problemen überrascht.

Risikoreviews/Risikomanagementaudits

Reviews und Audits sind zwei wichtige Qualitätssicherungsmassnahmen im Projektumfeld. Oft werden diese beiden Methoden jedoch im gleichen Zusammenhang genannt. Deshalb finde ich es sinnvoll diese zwei verwandten Methoden kurz zu beschreiben und die Unterschiede in der Anwendung zu zeigen.

Risikoreviews

Mit jedem Tag des Projektes ändert sich die Umwelt des Projektes. Man lernt dazu und wird schlauer (hoffentlich!). Dieses neue Wissen muss in die Risikomanagement-Aktivitäten einfliessen. Deshalb sollten periodisch ausführliche Risikoreviews mit dem Projektteam durchgeführt werden, zum Beispiel monatlich oder bei kurzen, komplexen Projekten nach Abschluss einer Projektphase, oder alle 2 Wochen.

Risikoreviews sind eine periodische Massnahme des Projektleiters, die folgende Ziele verfolgen:

• Überprüfen der bestehenden Risiken und Chancen: Stimmt die Beschreibung und Bewertung noch? Fallen Risiken weg?
• Suchen von neuen Risiken und Chancen in Teamarbeit aufgrund neuer Kenntnisse.
• Überprüfen, ob sich Restrisiken (Risiken ohne Massnahmen) verändert haben und neu Massnahmen notwendig sind.
• Überprüfen, ob die definierten Massnahmen noch gültig sind, ob sie eingeleitet sind und auch wirken.
• Anpassen von Massnahmen aufgrund neuer Kenntnisse, unter anderem auch, um deren Wirkung noch zu erhöhen.
• Überprüfen, ob die Risikomanagement-Aktivitäten effektiv sind oder ob Anpassungen am Vorgehen notwendig sind.

Besonders der Punkt der neuen Risiken darf nicht vernachlässigt werden. Neue Risiken können zum Beispiel aus Projektänderungen oder aus Änderungen der Umwelt entstehen. Auch ein Blick auf zurzeit laufende oder zukünftige Aktivitäten könnten Hinweise auf neue Risiken liefern. Jegliche Änderungen von Risiken benötigen eine neue qualitative und/oder quantitative Risikoanalyse und eventuell eine neue Priorisierung der Risiken. Wichtig ist, dass Risikoreviews kein Ersatz sind für den Tagesordnungspunkt „Risiken“ bei den wöchentlichen Projektstatussitzungen. Planen Sie Risikoreviews fix im Projektplan ein, damit sie "nicht vergessen" gehen.

Risikomanagementaudits

Risikomanagementaudits sind eine Qualitätssicherungsmassnahme des Project Management Offices (PMO) oder der internen Revision. Bei Risikomanagementaudits überprüfen Auditoren, ob der definierte Risikomanagementprozess für Projekte mit den geforderten Aktivitäten eingehalten wird. Wichtige Punkte dabei sind:

• Kontinuität der Risikomanagement-Aktivitäten
• Verwendete Methoden zur Risikoidentifikation
• Qualität der gefunden Risiken: Wurden z.B. statt Risiken nur Tatsachen oder aktuelle Probleme identifiziert?
• Welche Parteien wurden in die Risikoidentifikation involviert?
• Qualität der Auswertung und Dokumentation der Risiken
• Kommunikation der Risiken
• Wirksamkeit der Massnahmenüberwachung und -umsetzung

Die 10 wichtigsten Punkte im Projekt-Risikomanagement

Wenn Sie mein Buch über Projekt-Risikomanagement gelesen haben dann werden Sie vielleicht denken: „Wenn ich das alles machen muss was da drin steht, dann wird mein Projekt ja nie fertig!“ Damit haben Sie vielleicht recht. Ich empfehle Ihnen soviel zu machen und soviel Zeit aufzuwenden, wie es für Ihr Projekt sinnvoll ist. Aber die folgenden 10 wichtigsten Punkte lege ich Ihnen wärmstens ans Herz, diese ernst zu nehmen.

1. Schulen Sie zu Beginn des Projektes das Projektteam im Risikomanagement.
2. Involvieren Sie das ganze Projektteam in das Risikomanagement.
3. Führen Sie den Risikomanagement-Prozess nicht nur einmal durch, sondern periodisch.
4. Beschreiben Sie die Risiken im Ursache/Risiko/Auswirkung Format.
5. Versuchen Sie auch Chancen zu identifizieren.
6. Verwenden Sie verschiedene Methoden für die Risikoanalyse, wie Brainstorming-Sessions, Interviews und Checklisten.
7. Beschreiben Sie Risiken und Massnahmen detailliert
8. Überwachen Sie die Risiken und Massnahmen periodisch – am besten wöchentlich an Projektstatus-Meetings und führen Sie periodisch Risikoreviews durch.
9. Konzentrieren Sie sich auf die Top-5 Risiken. Verwenden Sie 70% der Zeit für die Top-5 Risiken und 30% der Zeit für die anderen 30, 40 oder 100 Risiken.
10. Sie müssen nicht viel Zeit für das Risikomanagement aufwenden, aber machen Sie es seriös und aus Überzeugung.

Es sind nur 10 Punkte – und sie geben auch ein wenig Arbeit. Aber ich verspreche Ihnen es wird sich lohnen!

Mit "Hot Standby" jedes Risiko ausschalten?

„Hot Standby“ ist eine Massnahme bei technischen Risiken, die man vorwiegend bei IT-Systemen antrifft, die hoch verfügbar sein müssen. Hierzu wird einer technische Anlage, deren Ausfallrisiko reduziert werden soll, ein zweites, redundantes, simultan betriebenes System vorgehalten, das exakt die gleichen Daten enthält. Dies kann z.B. eine gespiegelte Festplatte beim zentralen Server oder ein zweiter Generator bei einem Kernkraftwerk sein. Wichtigstes Kriterium bei dieser Methode ist die Umschaltzeit von der ausgefallenen Komponente auf die Ersatzkomponente.

Hot Standby ist die einfachste, aber auch teuerste Massnahme, um das Ausfallrisiko von kritischen Komponenten einer technischen Anlage oder z.B. von Engpassressourcen auf dem kritischen Pfad zu minimieren.
Beim „Warm Standby“ wird das zweite, redundante System in regelmässigen Intervallen auf den neuesten Datenstand gebracht, was bedeutet, dass es Zeiten gibt an denen die Systeme nicht auf dem gleichen Datenstand sind.
Beim "Cold Standby" wird das zweite System nur gestartet oder in Betrieb gesetzt wenn das erste System ausfällt. Das Standby-Stystem erhält in grösseren Zeitabständen regelmässig Backups. Dies bringt natürlich eine gewisse Ausfallzeit des Systems mit sich. Cold Standby wird für nicht kritische Anwendungen benutzt oder wenn Datenänderungen auf dem Hauptsystem unregelmässig stattfinden. Dies ist natürlich einiges günstiger als Hot oder Warm Standby.

Lieber auf der sicheren Seite sein als später bereuen?

Projektteams müssen bei der Massnahmenplanung entscheiden ob für Risiken Massnahmen definiert werden sollen oder nicht. Dies ist besonders eine Herausforderung wenn es um „nicht alltägliche Risiken“ geht, die bis jetzt in keinem anderen Projekt vorgekommen sind und deshalb noch keine Erfahrung dazu vorhanden sind. Die Auswirkung eines solchen Risikos zu bestimmen ist für das Projektteam meistens irgendwie möglich, aber die Eintrittswahrscheinlichkeit, das ist oft ein Ding der Unmöglichkeit. Dazu fehlen meistens die Erfahrung und das Wissen. Dies ist dann natürliche keine gute Vorraussetzung, wenn es dann zu beurteilen gibt, ob für das Risiko Massnahmen definiert werden sollen und was diese kosten dürfen. Oft lässt man sich dann von der bedrohlichen Auswirkung blenden und die meist sehr kleine und ungewisse Eintrittswahrscheinlichkeit tritt dann in den Hintergrund. Unter dieser Vorraussetzung wird dann übervorsorglich trotzdem eine Massnahme definiert, die viel Geld und Zeit kostet – für ein Risiko, dass mit grosser Wahrscheinlichkeit nie zu einem Problem wird. Im Englischen gibt es dazu ein passendes Sprichwort: „Better safe than sorry“. Man will lieber auf der sicheren Seite sein, als später etwas bereuen.

Ist „lieber auf der sicheren Seite sein als später bereuen“ bei Projekten wirklich die richtige Vorgehensweise? Mit ein paar einfachen Schritten können Sie vorbeugen „übervorsorglich“ zu werden. Zum Beispiel sollten Sie sicherstellen, dass Ihr Risikomanagement-Prozess die Eintrittswahrscheinlichkeit realistisch bewertet und die Auswirkung richtig einschätzt. Dann sollten Sie bedenken, dass der schlimmste Fall so gut wie nie eintritt, und dass es vielleicht besser wäre, Massnahmen für die höchstwahrscheinliche Auswirkung zu definieren. Auch sollten Sie sich an das Konzept der „Risiko-Effizienz“ gewöhnen, d.h. abwägen des Risikos zu dessen Nutzen und akzeptieren, dass es notwendig ist, gewisse Risiken einzugehen. Schlussendlich sollten Sie überprüfen ob Ihre Risikokommunikation wirkungsvoll ist. Wissen Ihre Stakeholder, welche Risiken Ihr Projekt eingeht, was deren Eintrittswahrscheinlichkeit und Auswirkung ist, was für Massnahmen getroffen wurden und wo man auf Massnahmen bewusst verzichtet hat?

“Better safe than sorry” hört sich nach einer guten Strategie an. Aber hier besteht die Gefahr der Übertreibung, die Gefahr zu vorsichtig und zu fürsorglich zu werden. Das hält Sie dann davon ab gewisse Risiken einzugehen, was Sie dann behindert voranzukommen, Innovationen entstehen zu lassen und somit erfolgreich zu sein. Deshalb verbannen Sie das „Vorsorgeprinzip“ von Ihren Projekten und verwenden Sie den Risikomanagement-Prozess dazu, so „safe“ wie möglich zu bleiben, damit Sie keinen Grund haben „sorry“ sagen zu müssen.