Wie unterscheiden sich interne und externe Risiken bei Projekten?

Kürzlich habe ich einen Bericht über interne und externe Projektrisiken gelesen. Der Autor schrieb darin, dass das Projektteam keine Kontrolle über die externen Risiken hat. Ein interessanter Aspekt, bei dem es sich lohnt etwas genauer hinzuschauen. Als interne Risiken wurden folgende Risiken aufgezählt:

• Kostenrisiken: Risiken, dass die Projektkosten überschritten werden aufgrund der Schätzungsungenauigkeit bei den Kosten oder von schleichenden Scopeänderungen.
• Terminplanänderungen: Risiken, das Aktivitäten länger dauern als erwartet, was meistens wiederum zu Kostenerhöhungen führt, späterem Einbringen des Nutzens und eines möglichen Verlust der Konkurrenzfähigkeit.
• Leistungs- oder Qualitätsrisiken: Risiken, dass das Projekt scheitert die geplanten Resultate zu liefern mit der versprochenen Leistung und Qualität.

Dies werden als die typischen “internen Risiken angeschaut, also Risiken, die sich aus der Projektabwicklung ergeben. Als externe Risiken wurden folgende Beispiele genannt:

• Governance Risiken: Dieses haben einen Bezug zum Unternehmensmanagement, Projektsupport, Führung und Unternehmensreputation.
• Strategierisiken: Diese resultieren in Fehlern bei der Strategiedefinition, z.B. im Verwenden einer Technologie die nicht den gewünschten Erfolg bringt.
• Operationelle Risiken: Dies entstehen durch schlechte Implementierung und durch Prozessprobleme, z.B. beim Einkauf, Produktion und Vertrieb, aber auch beim Schutz vor Diebstahl, Betrug.
• Marktrisiken: Diese umfassen die Konkurrenz, Währungsrisiken, Rohstoff und Zinsrisiken sowie Liquiditäts- und Kredit-Risiken
• Rechtsrisiken: Diese entstehen aus veränderten regulatorischen Anforderungen, Vertragsrisiken, oder durch patentrechtlichen Risiken.
• Umweltrisiken: Risiken im Bezug zu Erdbeben, Stürmen, Überflutung, Vandalismus, Sabotage, Bürgerunruhen oder Streiks.

Der Artikel schreibt, dass die Projektrisiken beide Arten von Risiken umfassen, die internen Risiken, die assoziiert sind mit dem erfolgreichen Durchführen jeder Projektphase (Projektabwicklungsrisiken) und die externen Risiken auf die das Projektteam keinen Einfluss hat. Diese Aussage kam mir doch ein wenig Suspekt vor. Schauen wir das einmal etwas genauer an.
Hat das Projektteam tatsächlich nur Einfluss auf Risiken, die im Bereich von Zeit, Kosten und Qualität sind, also auf die internen Risiken?
Grundsätzlich ist es ja so, dass man nur für bekannte Risiken (die bekannten Unbekannten) Maßnahmen ergreifen kann, um die Eintrittswahrscheinlichkeit oder Auswirkung des Risikos zu senken oder das Risiko ganz zu vermeiden.
Man kann zum Beispiel als Maßnahme mehr Statussitzungen mit dem Projektteam durchführen, um schneller auf Projektabwicklungsprobleme reagieren zu können
Wie ist es nun bei externen Risiken? Sind wir diesen tatsächlich ausgeliefert? Nein, so ist es nicht! Bei externen Risiken sieht dies ähnlich aus wie bei den internen Risiken.
Man kann zum Beispiel als Maßnahme den Sponsor und das Management (externes Risiko) öfters und besser über das Projekt informieren und Feedback abholen, damit das Risiko nicht oder weniger besteht, dass diese etwas entscheiden, was unserem Projekt Schaden hinzufügt.
Es gibt hier jedoch eine spezielle Art von Risiken, bei denen Sie die Eintrittswahrscheinlichkeit mit Maßnahmen nicht senken können. Diesen Risiken sind Sie einfach ausgeliefert. Hier handelt es sich meist um Umweltrisiken, wie z.B. Orkane, Tsunamis oder Erdbeben. Hier können Sie nur Maßnahmen treffen, um die Auswirkung des Risikos zu vermindern, die Eintrittswahrscheinlichkeit zu senken ist hier leider nicht möglich.
Wir sind also nur Risiken ausgeliefert, die wir nicht kennen aber die trotzdem vorhanden sind (die unbekannten Unbekannten). Schauen Sie also, dass Sie möglichst viele Risiken Ihres Projektes identifizieren und wenn sinnvoll Maßnahmen dafür ergreifen. Bei den unbekannten Unbekannten hilft auch beten nichts, da ist es sinnvoller eine Contigency Reserve zu haben, die solche (Not)-Fälle abdeckt!

Dass man Häme über jemanden ergiesst, der auf solche Gefahren aufmerksam macht, passt ganz gut zusammen

Unser Schweizer Armeechef André Blattmann wurde tatsächlich mit Häme überschüttet, als er in einem Interview sagte, für den Fall eines Blackouts Feuerholz und rund 300 Liter Mineralwasser im Keller hat. Jetzt lacht die ganze Schweiz über ihn. Zu Recht? Politikwissenschafter Maik Poetzsch hat für den Deutschen Bundestag die Folgen eines gravierenden Stromausfalls untersucht. Er hält die Wasservorräte von Armeechef André Blattmann für klug. Hier das Interview dazu.

Es gibt Risiken wie Blackouts oder Erdbeben, die sehr selten eintreten, aber man weiss, dass Sie eintreten, weil es eben schon einmal passiert ist. Soll man sich auf solche potentiellen Vorkommnisse angemessen vorbereiten, oder meinen Sie auch, „Die Wahrscheinlichkeit ist so klein. Das werde ich nie erleben!“? „Das letzte grosse Beben passierte 1906 in San Francisco.“ Es ist schon einmal passiert und es wird wieder eintreten – man weiss es! Man weiss nur nicht genau wann.

Wie steht es mit der Risikoidentifikation bei Ihrem Projekt. Wurde dort auch schon hämisch gelächelt, als jemand ein ungewöhnliches Risiko meldete oder ein eher unwahrscheinliches oder eines mit einer sehr geringen Eintrittswahrscheinlichkeit? Was haben Sie gemacht? Haben Sie die Meldung ernst genommen? Haben Sie das Risiko in das Risikoregister aufgenommen und haben Sie dafür sogar Massnahmen definiert?
Nehmen Sie die Risiken ernst, auch wenn Sie noch so ungewöhnlich oder unwahrscheinlich sind. Ist ein grosser Stromausfall bei uns wirklich so sehr unwahrscheinlich? Nicht nur Herr Blattmann hat Notvorräte sondern auch ich bei mir Zuhause!

An dieses Risiko glaube ich nicht!

Im Artikel „Wenn Hacker die Kontrolle übernehmen“ (lesenswert) im Tagesanzeiger vom 31.1.2014 wird über die Gefahr berichtet, dass Hacker sich Steuerungssysteme von Kraftwerken bemächtigen. Der Bund bestätigt nun erstmals Vorfälle in der Schweiz. Der Sprecher des Stromnetzbetreibers Swissgrid glaubt nicht an grossflächigen Angriff: „Es kann passieren, dass es zu einem Kaskaden-Effekt kommt, sodass eine ganze Region ohne Strom dastehen würde», sagt Klaus. An einen grossflächigen Angriff  (auf das Stromnetz) mag er jedoch nicht glauben, weil dies eine «sehr ausgefeilte Kenntnis aller Systeme» voraussetze.

Es besteht ein Risiko mit sehr hoher Auswirkung, aber man glaubt nicht so richtig daran –  weil die Wahrscheinlichkeit, dass jemand so ausgefeilte Kenntnisse hat, nicht existiert. Ich kann hier nur sagen:„Expect the unexpected!“ Da kommt mir gerade der Amerikanische NSA (National Security Agency) in den Sinn. Wer hätte vor 12 Monaten gedacht, mit welchem immensen Wissen und Computersystemen der NSA in unsere Computersysteme eindringt und die ganze Welt abhört?

„An einen grossflächigen Angriff  (auf das Stromnetz) mag er jedoch nicht glauben“. Wer nicht an ein Risiko glaubt, obwohl es besteht, nimmt es aus meiner Sicht nicht ernst und unternimmt nicht die notwendigen Massnahmen um das Risiko genauer zu verstehen und entsprechende Massnahmen zu definieren und umzusetzen. „Das ist aber weit her geholt!“ Kennen Sie diesen Ausspruch? Man kommuniziert bei einer Projektsitzung Bedenken (mögliche Risiken) und wird innerhalb von Sekunden von Kollegen abgekanzelt, nach dem Motto “Hey Kollege, bleib doch realistisch!

Nehmen Sie die Risiken ernst und wenn diese noch so utopische sind (Die Amerikaner könnten die ganze Welt abhören). Vor 12 Monaten noch Utopie, heute wissen wir es.

Ich empfehle der schweizerischen Swissgrid, glauben sie an das Risiko und nehmen sie es ernst, denn das Unerwartete wird früher oder später eintreffen.

Die offensichtlichen Risiken - try harder!

Haben Sie auch schon den Begriff „Standard-Risiken gehört? In meinen Risikoreviews und bei Risikoanalysen stosse ich oft auf Risiken, die ich in fast jedem Risikoregister finde:

• Die Projektressourcen könnten zu knapp sein, oder von anderen Abteilungen beansprucht werden
• Der Endtermin ist sehr knapp bemessen und könnte nicht erreicht werden
• Das Projektbudget ist zu knapp bemessen und könnte überschritten werden
• Die Anforderungen könnten zu wenig detailliert definiert sein

Dies sind die einfachsten Beispiele. Es gibt noch einige solcher Risiken mit denen jedes Projekt zu kämpfen hat. Ja, jedes Projekt ist mit diesen „Standard-Risiken“ konfrontiert und deshalb hat man diese Risiken auch einfach und schnell identifiziert. Schnell und man hat im Risikoregister schon sieben Risiken vorzuweisen, womit sich dann das PMO oder der Sponsor sicher zufrieden gibt.
Man macht sich die Arbeit doch sehr oft zu einfach! Machen Sie es nicht so, „gehen Sie die Extra-Meile“! Investieren Sie die doppelte oder dreifache Zeit für die Risikoidentifizierung und machen sie ein paar Brainstorming Sessions mit Ihren Projektteammitgliedern und Stakeholdern. Mit etwas mehr Zeitaufwand und der gemeinsamen Hirnleistung werden Sie viele „projektspezifische“ Risiken finden, die Ihr Projekt speziell bedrohen.
Mit den offensichtlichen, einfachen Risiken kämpfen alle Projekte. Das heisst aber nicht, dass wir diese nicht beachten und nicht vermindern oder ausschalten sollten. Nein! Das meine ich nicht. Geben Sie sich einfach ein wenig mehr Mühe und finden Sie ihre projektspezifischen Risiken. Es lohnt sich!

Die besten Tipps zur Risikoidentifiaktion

Brainstorming ist aus meiner Sicht die beste Methode um Risiken zu identifizieren. Es sollte jedoch nicht die einzige Methode sein. Hier finden Sie meine besten Tipps:

• Benutzen Sie eine Kombination von Methoden für die Risikoidentifikation. Nur mit Brainstorming finden Sie nicht alle Risiken. Mit einer Kombination von z.B. Brainstorming, Experteninterviews und Checklisten finden Sie mehr Risiken.
• Benutzen Sie die Anonymität. Nicht jeder will vor den anderen seine Meinung laut sagen, insbesondere wenn die betreffende Person, oder Ihr Bereich ein Risiko darstellen. Auch in anderen Situationen kann Anonymität angesagt sein. In diesen Fällen benutzen Sie z.B. Pinwandkarten oder eine andere schriftliche Methode.
• Definieren Sie einen anonymen Reporting-Kanal, damit Teammitglieder oder Stakeholder auch "sensible" Risiken melden können.
• Versuchen Sie während der Risikoidentifikation so viele Risiken wie möglich zu entdecken - Quantität vor Qualität! Dazu eignet sich das Brainstorming mit seinen speziellen Regeln ausgezeichnet.
• Fragen Sie sich bei der Risikoidentifikation immer wieder: „ Was könnte schief gehen (Risiko)? Was könnte uns fördern (Chance)?“

Verwenden Sie verschiedene Methoden zur Risikoidentifikation

Es gibt verschiedene Methoden um Risiken zu identifizieren – einfachere und aufwändigere. Leider wird für die Identifikation von Risiken oft nur eine Methode angewendet – und dies sind Checklisten. Der Vorteil von Checklisten ist offensichtlich: Man muss nicht viel bei der Arbeit denken, aber die Ausbeute an relevanten Risiken ist damit gering. Nur mit verschiedenen Methoden und Informationslieferanten haben Sie eine Chance möglichst viele relevante Risiken zu entdecken. Jede angewandte Methode gibt eine andere Sichtweise auf das Projekt; und nur so kann das Know-how der verschiedenen Beteiligten einfliessen. Die möglichen Identifikationsmethoden reichen von den eher formalistischen Methoden, wie zum Beispiel Checklisten, bis zu intuitiven Methoden, wie Brainstorming.
Bewährte Methoden für die Risikoidentifikation:

• Dokumentenanalyse und historische Aufzeichnungen
• Auswerten der Lessons learned von ähnlichen Projekten
• Brainstorming mit dem Projektteam und Experten
• Interviews mit Fachexperten und anderen Projektleitern
• Brainwriting, z.B. mit Methode 635
• Delphi Technik
• Risikochecklisten mit Risikokategorien und Risiken

Brainstorming ist aus meiner Sicht die beste Methode um Risiken zu identifizieren. Es sollte jedoch nicht die einzige Methode sein.

Risiken eindeutig und klar formulieren

Risiken beschreiben ist gar nicht so einfach. Aber wenn Sie einige wichtige Punkte beachten, dann trägt Ihr Einsatz bald Früchte. Als ersten Schritt müssen Sie zuerst einmal potentielle Risiken identifizieren. Dafür gibt es verschiedene Methoden wie Brainstorming, Experten-Interviews, Checklisten usw. Wenn Sie dann Risiken entdeckt haben, geht es darum, diese korrekt zu formulieren. Dies scheint zwar banal. In der Praxis sieht man aber viele ungenau formulierte Risiken, die nichts aussagen, bei denen niemand so genau versteht, was damit gemeint ist. Je genauer und konkreter Sie Ihre Risiken formulieren, desto konkreter können Sie die Massnahmen dafür definieren und desto wirkungsvoller ist Ihr Risikomanagement. Nur wenn Sie die Risiken systematisch und sorgfältig formulieren, können Sie sicherstellen:

• dass jeder versteht, um was für ein Risiko es sich konkret handelt
• dass das identifizierte Risiko als relevant akzeptiert wird
• dass die richtigen Massnahmen ergriffen werden

Eine Beschreibung auf zu hoher Ebene wie zum Beispiel: "Etwas Unerwartetes könnte während der Projektdauer geschehen", ist natürlich nicht brauchbar, da keine sinnvollen Massnahmen auf dieser hohen Ebene möglich sind. Eine zu grosse Detailfreude ist hingegen ebenfalls nicht sinnvoll.
Risiken werden auch sehr oft mit Tatsachen oder aktuellen Problemen verwechselt, aber auch oft mit Ursachen, aus denen Risiken entstehen. Um Risiken eindeutig und konkret zu definieren sollten Sie das "Ursache – Risiko – Auswirkung" Format benutzen. Mit diesem Format müssen Sie sich ein wenig mehr anstrengen bei der Definition von Risiken. Es hilft Ihnen jedoch, sich intensiver mit den Risiken auseinander zu setzen und Risiken eindeutig von Ursachen und Auswirkungen zu trennen.

„Als Folge von (definitiver Ursache) kann (unsicheres Ereignis/Risiko) auftreten, welches (die Auswirkung) auslösen kann."

Wenn Sie so vorgehen wird Ihr Risikomanagement einiges wirkungsvoller!

Was hat ein Eichhörnchen mit Risikomanagement zu tun

Ein Eichhörnchen hat 25. August 2008 im Norden der Stadt Zürich einen Stromausfall von mehr als einer Stunde ausgelöst. Betroffen war auch das Schweizer Fernsehen: Die Übertragungen der Olympia-Abschlussfeier und das Formel-1-Rennen in Valencia wurden unterbrochen. Peinlich: Die Notstromanlage des Schweizer Fernsehens ist zu klein, um einen totalen Stromausfall zu beheben.

Die Fernsehdirektorin entschuldigte sich in der «Tagesschau» für die Störungen. Die Versorgungssicherheit sei indes durch die Studios in Bern oder Genf gewährleistet gewesen. Zum Stromausfall kam es wegen einem Kurzschluss, der von einem Eichhörnchen verursacht wurde. Aus Sicherheitsgründen schaltete sich nach dem Kurzschluss ein Transformator im Elektrizitätswerk Aubrugg selbstständig aus.

Wenn Sie im Risikomanagement mit Brainstorming Risiken identifizieren dann motivieren Sie die Teilnehmer auch ungewöhnliche, verrückte Ideen zu melden und der Fantasie freien Lauf zu lassen. Vielleicht kommen dann auch Ideen wie „Ein Eichhörnchen könnte das Hauptstromkabel durchbeisen“.