Rechne immer mit einem noch grösseren Hochwasser!

Der Beitrag des Tages-Anzeigers mit dem Titel "Welche Rekordfluten den AKW drohen" passt auch sehr gut zum Thema Risikomanagement in Projekten. Im Artikel blicken Oliver Wetter und Christian Pfister in ihrer Studie über die Rheinhochwasser in Basel zurück bis ins Jahr 1286. Ihre Daten sind für AKW-Betreiber, welche die Hochwassersicherheit belegen müssen, Gold wert. Was sind die Lehren für die AKW-Betreiber?
Eine erste Lehre aus der Basel-Studie lautet: Rechne immer mit einem noch grösseren Hochwasser. Wer bloss jüngste Fluten wie die von 1999 und 2007 berücksichtigt, unterschätzt das Zerstörungspotenzial der Natur. Lehre zwei: So schlimm wie 1480 kommt es in Zukunft kaum. Denn durch die Umleitung der Kander 1714 in den Thunersee und der Aare 1878 in den Bielersee wurde dem Hochwasser die Spitze gebrochen. Lehre drei aber stellt Lehre zwei wieder infrage: Die im letzten Jahrhundert gebauten Flusskorrekturen und Kraftwerkstauwehre erklären den Rückgang der Hochwasser nicht alleine. Laut den Berner Autoren spielen auch klimatische Gründe eine Rolle. Insbesondere die «Katastrophenlücke» von 1877 bis 1993, in der extreme Hochwasser ausblieben. In dieser langen Ruhezeit erlahmte die Vorsicht, das Wissen um Gefahren wurde vergessen. Und so wurde zu nah am Wasser gebaut. Umso böser war die Überraschung, als sich ab 1994 das Hochwasser zurückmeldete.
Wie sagt es Edurad Murphey so prägnant: "Früher oder später wird die schlimmstmögliche Verkettung von Umständen eintreten."

Projekt-Risikomanagement vs. Unternehmens-Risikomanagement

Kürzlich wurde mir die Frage gestellt, was der Unterschied zwischen Risikomanagement in Projekten und dem Unternehmens-Risikomanagement ist? Hier ein paar Gedanken dazu.

Das Risikomanagement in Projekten sucht Unsicherheiten, die das Projekt bzw. die Projektziele gefährden. Das Unternehmens-Risikomanagement sucht Unsicherheiten die das Unternehmen gefährden. Die Risiken selbst können sehr ähnlich sein, aber der Fokus und der zeitliche Rahmen unterscheiden sich wesentlich. Risikomanagement in Projekten ist eine zeitlich beschränkte Aktivität, halt eben so lange das Projekt dauert und hat dementsprechend eine kurzfristige Sichtweise. Das Risikomanagement im Unternehmen hat einen längerfristigen Fokus und kann sich auf "Standard-Risiken" wie z.B. Diebstahl, Umweltgefahren, Veruntreuung usw. konzentrieren. In Projekten gibt es auch die Standard-Risiken wie z.B.: zu wenig Projektmitarbeiter, kein Auftraggeber Committment, zu knappe Termine etc. Da Projekte aber einmalig, neuartig und komplex sind, sollte man über die Standard-Risiken hinausdenken und sich mit Brainstormings einiges mehr Mühe geben die spezifischen Risiken des Projektes zu suchen.
Der Risikomanagement-Prozess ist in beiden Bereichen identisch:

• Risikomanagement-Planung
• Risiko-Identifikation, Risiko-Analyse (qualitativ/quantitativ)
• Massnahmen-Planung
• Risiko-Überwachung und -Steuerung

Die Kommunikation und Dokumentation sind dabei zentrale Elemente während des ganzen Prozesses.

Im Projekt-Risikomanagement konzentriert man sich hauptsächlich auf die die Risiken der Projektdurchführung. Dabei sollte man aber nie die Risiken des erzeugten "Produktes", die System-Risiken vergessen. Diese treten dann meistens im Betrieb, nach Projektende auf.
Die grössten Risiken der einzelnen Projekte werden im Projektportfolio konsolidiert. Das Projektportfolio ist dann selbst eine Risikokategorie im Unternehmens-Risikomanagement.
Viele Manager sind der Auffassung, dass das Unternehmens-Risikomanagement direkt auf Projekte heruntergebrochen werden kann. Dies ist jedoch nicht der Fall. Das Risikomanagement in Projekten hat einen zeitlich und organisatorisch beschränkten Fokus (Projekt, Projektteam). Deshalb darf es dafür kein 50-seitiges Handbuch mit komplizierten Prozessen, verschiedenen Rollen und Gremien und einem aufwändigen Reporting geben. Das Projekt-Risikomanagement sollte schlank und der Projektgrösse angepasst sein. Machen Sie lieber einfach, es dafür aber aber richtig und konstant.
Im normalen Unternehmens-Risikomanagement stelle ich oft fest das ein Formalismus und eine Überorganisation bestehen und es so den beteiligten Mitarbeiten aus den Fachbereichen "stinkt" Ihren Beitrag zu liefern.

Mehr über die Zusammenhänge Unternehmens-Risikomanagement vs. Projekt-Risikomanagement und das Risikomanagement im Projektportfolio-Management erfahren Sie in folgenden umfassenden Buch.

Projektrisiko-Reviews wirkungsvoll durchführen

Sie und ihr Team haben sich mit der Risikoidentifizierung viel Mühe gegeben und eine Liste mit wirklich relevanten Risiken zusammengetragen. Gratuliere wirklich gut gemacht!
Ja, die Welt sieht aber nach 2 Wochen schon wieder anders aus - und so ist es auch mit Ihren Risiken. Ihre Risikoliste ist schnell veraltet. Gewisse Risiken lösen sich mit der Zeit in Luft auf (hoffentlich), einige treten leider ein, und bei den anderen Risiken verändern sich die Eintrittswahrscheinlichkeit, Auswirkung usw. Deshalb müssen Sie von Zeit zu Zeit einen Blick auf Ihre Risikoliste werfen und die Risiken neu beurteilen. Wie oft sollten Sie das machen? Ich empfehle Ihnen sich für diese Tätigkeit mindestens alle 2 Woche eine Stunde Zeit zu reservieren. An dieser Risikoreview-Sitzung sollte wenn möglich das ganze Projektteam teilnehmen - falls es nicht zu gross ist.
Wie führen Sie ein solches Risikoreview durch? Ich habe für Sie versucht die wichtigsten Schritte zusammenzufassen.
Auf der Risikoliste, die Sie Ihrem Team aushändigen, sollten zuoberst die Risiken mit dem Status „Neu“ sein. Diese wurden seit dem letzten Risikoreview neu identifiziert und wurden bis jetzt noch nicht gemeinsam angeschaut. Diese Risiken müssen Sie deshalb vor allen Anderen detailliert anschauen.

1. Zuerst die neuen Risiken:

1. Überprüfen Sie ob die Risiken verständlich beschrieben sind
2. Definieren/überprüfen Sie Eintrittswahrscheinlichkeit und Auswirkung
3. Definieren/überprüfen Sie die Massnahmen
4. Definieren für jedes Risiko einen Risikoverantwortlichen, der das Risiko überwacht
5. Ändern Sie den Status von "Neu" zu "Offen"

2. Dann die offene Risiken (sortiert nach Risikowert*, grösster Wert zuoberst)

1. Überprüfen Sie ob die Risiken immer noch relevant und up-to-date sind
2. Überprüfen Sie die Eintrittswahrscheinlichkeit und Auswirkung
3. Überprüfen Sie mit dem Risikoverantwortlichen den Status des Risikos und der Massnahmen
   
4. Überprüfen Sie ob die Massnahmen immer noch gültig/relevant sind
5. Ändern Sie den Risikostatus von "Offen" nach "Geschlossen" wenn das Risiko nicht mehr existiert

Eine Stunde für ein Risikoreview von 30-40 Risiken sollte mehr als genügen. Wir nehmen uns meistens nur 30 Minuten Zeit dafür. Diskutieren Sie nicht lange herum. Sollen Sie sich nicht einig werden so entscheidet der Projektleiter. Wenn die Zeit für die letzten Risiken nicht mehr ausreicht ist dies kein Unglück, denn bei diesen handelt es sich dann eh um die kleinsten Risiken. Sie sollten aber mindestens nächstes mal dran kommen.

* Risikowert=Eintrittswahrscheinlichkeit x Auswirkung

Die offensichtlichen Risiken - try harder!

Haben Sie auch schon den Begriff „Standard-Risiken gehört? In meinen Risikoreviews und bei Risikoanalysen stosse ich oft auf Risiken, die ich in fast jedem Risikoregister finde:

• Die Projektressourcen könnten zu knapp sein, oder von anderen Abteilungen beansprucht werden
• Der Endtermin ist sehr knapp bemessen und könnte nicht erreicht werden
• Das Projektbudget ist zu knapp bemessen und könnte überschritten werden
• Die Anforderungen könnten zu wenig detailliert definiert sein

Dies sind die einfachsten Beispiele. Es gibt noch einige solcher Risiken mit denen jedes Projekt zu kämpfen hat. Ja, jedes Projekt ist mit diesen „Standard-Risiken“ konfrontiert und deshalb hat man diese Risiken auch einfach und schnell identifiziert. Schnell und man hat im Risikoregister schon sieben Risiken vorzuweisen, womit sich dann das PMO oder der Sponsor sicher zufrieden gibt.
Man macht sich die Arbeit doch sehr oft zu einfach! Machen Sie es nicht so, „gehen Sie die Extra-Meile“! Investieren Sie die doppelte oder dreifache Zeit für die Risikoidentifizierung und machen sie ein paar Brainstorming Sessions mit Ihren Projektteammitgliedern und Stakeholdern. Mit etwas mehr Zeitaufwand und der gemeinsamen Hirnleistung werden Sie viele „projektspezifische“ Risiken finden, die Ihr Projekt speziell bedrohen.
Mit den offensichtlichen, einfachen Risiken kämpfen alle Projekte. Das heisst aber nicht, dass wir diese nicht beachten und nicht vermindern oder ausschalten sollten. Nein! Das meine ich nicht. Geben Sie sich einfach ein wenig mehr Mühe und finden Sie ihre projektspezifischen Risiken. Es lohnt sich!

Sehen sie den Nutzen des Risikomanagements?

Warum nehmen viele Projektleiter das Thema Risikomanagement nicht erst? Wie ich im letzten Blog-Eintrag geschrieben habe, ist der Hauptgrund vermutlich, dass man keinen kurzfristigen, persönlichen Nutzen in dieser Aktivität sieht: Es bringt das Projekt keinen Schritt weiter. Denken Sie auch so?
Der Nutzen des Risikomanagements ist für die Beteiligten leider nicht sofort offensichtlich. Das macht natürlich das ganze Thema doch etwas schwieriger. Ist jetzt das Risiko nicht eingetreten weil wir eine Massnahme dafür definiert haben oder lag es einfach an der Eintrittswahrscheinlichkeit des Risikos? Diese Frage kann nicht immer klar beantwortet werden. Aber es gibt viele Fälle wo dies doch sehr gut geht. Ein einfaches Beispiel aus dem Leben. Sie tragen beim Fahrradfahren einen Helm. In Ihrer Risikoanalyse haben Sie sich gesagt:

• Risiko: Unfall
• Eintrittswahrscheinlichkeit: sehr klein
• Auswirkung: gross (Kopfverletzung)
• Massnahme: Helm tragen (Wirkungsbezogene Massnahme)

Nehmen wir an, Sie verursachen 4 Wochen später einen Unfall und fallen auf den Kopf. Ihr Kopf bleibt unverletzt. Hat jetzt Ihre Risikoanalyse und die getroffene Massnahme einen Nutzen gehabt? Offensichtlich schon! Sie werden mir jetzt vielleicht sagen: „Hey Roland, das ist aber doch aber ein sehr einfacher, offensichtlicher Fall!“ Da haben Sie natürlich Recht. Das ist ein bekanntes Risiko, für das es eine „Standard“-Massnahme gibt.
Wenn jetzt das Risiko aber nicht Eintritt, hat dann unserer Risikomanagement bzw. unsere Massnahme einen Nutzen gehabt oder nicht? Das kann man meistens erst am Ende des Projektes sagen - und nicht selten stellt man dann fest: Hätten wir nach unserer Risikoanalyse die Pläne nicht geändert, oder wären wir für die entsprechenden Themen nicht sensibilisiert gewesen, dann wären wir mit unserem Projekt voll in die Wand gefahren.

Wenn Risikomanagement-Experten ein Projekt durchführen

Man könnte meinen, wenn Risikomanagement-Experten ein grosses Projekt durchführen, dann werden Sie den Projektrisiken ein spezielles Augenmerk widmen. Es ist also nicht so wie bei "normalen" Projekten, bei denen Risikomanagement einen sehr tiefen Stellenwert hat. Was meinen Sie dazu? Weit gefehlt!
Ich arbeite zur Zeit im Project Office einer grossen Bank, die ihr operationelles Risikomanagement Framework vollständig überarbeitet und weltweit neu implementiert. Das Programm kostet mehrere Millionen Euro und dauert mindestens zwei Jahre. Die beteiligten Personen wie Program Manager, Projektleiter, Design Spezialisten usw. sind alles Risikomanagement-Spezialisten mit langjähriger Erfahrung. Wenn es aber um Projekte geht sind sie gleich wie alle anderen Projektleiter.
Bei unserem Programm wurden zu Beginn Risiken für den Business Case und die Programm Charter identifiziert. Das heisst, es wurden Risiken notiert, die eher offensichtlich waren. Der Aufwand für diese Aktivität war gering. Als Project Office Manager bin ich natürlich bestrebt das man das Risikomanagement im Projekt ernst nimmt und entsprechend Zeit dafür opfert. Man redet an eine Wand - man glaubt es kaum - die Aktivität Risikomanagement für das Programm kommt am Schluss der Prioritätenliste. Priorität haben Projektresultate, wie Software, Prozesse, Training, usw.
Wenn schon Risikomanagement-Experten sich nicht um Projektrisiken kümmern, warum sollen es denn alle anderen Projektleiter tun? Ich bin immer noch auf der Suche nach Argumenten, weshalb man sich diesem Thema nur ungern widmet. Einige Argument sind bekannt:

• Man sieht keinen Nutzen im Risikomanagement
• Sich mit Risiken zu beschäftigen ist unangenehm.
• Man will nicht wahrhaben, dass ein Verlustpotenzial besteht.
• Würde man das mögliche Verlustpotenzial anerkennen, so würde das vorgeschlagene Projekt vermutlich nicht gestartet.
• Man will die Risiken gar nicht wissen, und schon gar nicht hören. Man hat schon genug andere Probleme.
• Wir sind uns den Risiken des Projektes schon bewusst und werden diese bei der Projektarbeit berücksichtigen
• Wir wissen, das das Thema wichtig ist, aber andere Aktivitäten sind eben noch wichtiger.

Sind es wirklich all diese Punkte oder gibt noch einen tieferen Grund, warum man das Thema Risikomanagement verdrängt? Projekte scheitern an Risiken. Würden diese Personen gleich reagieren, wenn es um ihr eigenes Kapital, ihre eigenen Ersparnisse ginge, oder würde sich ihre Einstellung schlagartig ändern?

Dieses Risiko bitte nicht!

Diese Woche hatten wir an unserem Risikoreview-Meeting eine interessante Situation. Unsere Division bekam einen neuen IT-Chef, der für unser grosses Projekt recht massgebend ist. Unser Projektleiter hat bereits zwei längere Meetings mit ihm gehalten, um ihm unser Projekt näher zu bringen und natürlich um mit diesem wichtigen Stakeholder eine gute Beziehung aufzubauen.

Im Risikoreview-Meeting, an dem das Kernteam anwesend war hat ein Kollege, als es um das Thema neue Risiken ging, das folgende Risiko genannt:

"Der neue IT-Chef könnte die Strategie des Projektes massgeblich in eine andere Richtung lenken."
Der Projektleiter stimmte meinem Kollegen zu. Ja das stimmt tatsächlich. Die Wahrscheinlichkeit ist gross! Nach kurzem überlegen sagte er dann: Aber dieses Risiko sollten wir nicht in das Risikoregister aufnehmen. Nein, das wäre nicht gut! Das Projektteam war ob dieser Aussage ein wenig verwirrt. Der Projektleiter sagte dann: Er habe in den letzten Tagen eine gute Beziehung zum IT-Chef aufgebaut und wenn wir jetzt diese Risiko, wenn auch ohne Namen der betreffenden Person, in das Risikoregister aufnehmen, dann könnte sich die Beziehung zwischen ihnen zwei beträchtlich verschlechtern und es könnte auch so einen negativen Einfluss auf das gesamte Projekt geben. Wir haben jetzt natürlich verstanden was gemeint war. Wenn wir dieses Risiko offenlegen, könnte dies ein Risiko für das Projekt sein. Hört sich das nicht komisch an?

Ich bin der Meinung, alle Risiken, ohne Ausnahme, gehören ins Risiko-Register. Und jetzt empfiehlt der Projektleiter dieses Risiko nicht in das Register aufzunehmen. Wir haben nachgegeben und haben jetzt das Risiko immer im Hinterkopf wenn wir den IT-Chef sehen oder von Ihm sprechen. Ist das eine gute Strategie? In diesem Fall vielleicht schon.