Kill the Risk Manager!

Im letzten „Risk Doctor Briefing“ hat David Hillson über eine provokative Idee geschrieben, die er kürzliche gelesenen hat: „Kill the Risk Manager“. Der Autor hat damit aber nicht gemeint wir sollen zum Mörder werden. Stattdessen hat er empfohlen den Titel „ Risk Manager“ zu killen. Warum?

Was erwarten wir, was ein Risk Manager tut? Ein Risk Manager managed natürlich Risiken. Aber das ist einerseits falsch und nicht wirklich hilfreich. Jeder sollte Verantwortung für das managen der eigenen Risiken übernehmen und dies nicht einer einzelnen Person überlassen, der alle behandeln soll. Wer für eine Anforderung oder ein Arbeitspaket verantwortlich ist, sollte auch die entsprechenden Risiken behandeln, welche dafür eine Bedrohung darstellen. Das heisst natürlich nicht, dass andere Personen dabei helfen dürfen. So sind wir alle Risiko Manager für die Aufgaben/Anforderungen/Ziele, für die wir verantwortlich sind.

Das heisst aber nicht, dass es keine spezifische Rolle gibt, die sich um Risken in Projekten und im Business kümmert. Es ist sehr sinnvoll, dass jemand bestimmt wird, der sich um den Risikomanagement-Prozess kümmert und schaut, dass dieser wirkungsvoll durchgeführt wird und man sich daran hält. Dazu gehört auch die Mitarbeiter zu ermutigen und „inspirieren“ ihre Verantwortung wahrzunehmen die Risiken zu managen. Nicht zuletzt obliegt dieser Person das Datenmanagement und Reporting an den Projektleiter oder die Geschäftsleitung. Nur ist es irreführend diese Person „Risk Manager“ zu nennen. Statt dessen solle er einen Job Titel haben, der seine Tätigkeit auch richtig beschreibt. Gute Alternativen dafür sind zum Beispiel „Risk Coordinator, Risk Faciliator oder Risk Process Manager. Das verhindert auch, dass es Personen gibt, die erwarten, dass er ihre Risken für Sie managed.

Risikomanagement in stürmischen Zeiten - machen wir nicht!

Unser Projekt läuft zwar gut hat aber in den letzten Tagen doch Schlagseite bekommen. Es wird in unserer Division reorganisiert was auch einen signifikanten Einfluss auf unser Programm hat. Das heisst, auch unser Programm wird in den nächsten Wochen personell reorganisiert und die Zuständigkeiten neu verteilt.

Ich bin für das wöchentliche Risiko-Reviewmeeting zuständig und habe wie üblich die Einladung dafür verschickt. Ich war natürlich sehr erstaunt als mich unser Projektleiter anwies das Meeting bis auf weiteres zu canceln. Das hat mich schon etwas beschäftigt. Wäre es nicht genau in stürmischen Zeiten notwendig sich mit Risiken zu beschäftigen?“Wir haben jetzt schon genug Probleme, für das Risikomanagement habe wir jetzt definitv keine Zeit". Ich habe ja ein gewisses Verständnis für die Reaktion meines Projektleiters. Es geht jetzt darum die eigene Existenz in der Organisation zu sichern und feindliche Gegner abzuwehren. Aber doch genau in stürmische Zeiten sollte man das Risikomanagement nicht suspendieren.

In ruhigen Zeiten will man kein Risikomanagement machen weil ja eh nichts passiert und in stürmischen Zeit weil man definitiv andere Probleme hat. Verstehen Sie das?

Rechne immer mit einem noch grösseren Hochwasser!

Der Beitrag des Tages-Anzeigers mit dem Titel "Welche Rekordfluten den AKW drohen" passt auch sehr gut zum Thema Risikomanagement in Projekten. Im Artikel blicken Oliver Wetter und Christian Pfister in ihrer Studie über die Rheinhochwasser in Basel zurück bis ins Jahr 1286. Ihre Daten sind für AKW-Betreiber, welche die Hochwassersicherheit belegen müssen, Gold wert. Was sind die Lehren für die AKW-Betreiber?
Eine erste Lehre aus der Basel-Studie lautet: Rechne immer mit einem noch grösseren Hochwasser. Wer bloss jüngste Fluten wie die von 1999 und 2007 berücksichtigt, unterschätzt das Zerstörungspotenzial der Natur. Lehre zwei: So schlimm wie 1480 kommt es in Zukunft kaum. Denn durch die Umleitung der Kander 1714 in den Thunersee und der Aare 1878 in den Bielersee wurde dem Hochwasser die Spitze gebrochen. Lehre drei aber stellt Lehre zwei wieder infrage: Die im letzten Jahrhundert gebauten Flusskorrekturen und Kraftwerkstauwehre erklären den Rückgang der Hochwasser nicht alleine. Laut den Berner Autoren spielen auch klimatische Gründe eine Rolle. Insbesondere die «Katastrophenlücke» von 1877 bis 1993, in der extreme Hochwasser ausblieben. In dieser langen Ruhezeit erlahmte die Vorsicht, das Wissen um Gefahren wurde vergessen. Und so wurde zu nah am Wasser gebaut. Umso böser war die Überraschung, als sich ab 1994 das Hochwasser zurückmeldete.
Wie sagt es Edurad Murphey so prägnant: "Früher oder später wird die schlimmstmögliche Verkettung von Umständen eintreten."

Projekt-Risikomanagement vs. Unternehmens-Risikomanagement

Kürzlich wurde mir die Frage gestellt, was der Unterschied zwischen Risikomanagement in Projekten und dem Unternehmens-Risikomanagement ist? Hier ein paar Gedanken dazu.

Das Risikomanagement in Projekten sucht Unsicherheiten, die das Projekt bzw. die Projektziele gefährden. Das Unternehmens-Risikomanagement sucht Unsicherheiten die das Unternehmen gefährden. Die Risiken selbst können sehr ähnlich sein, aber der Fokus und der zeitliche Rahmen unterscheiden sich wesentlich. Risikomanagement in Projekten ist eine zeitlich beschränkte Aktivität, halt eben so lange das Projekt dauert und hat dementsprechend eine kurzfristige Sichtweise. Das Risikomanagement im Unternehmen hat einen längerfristigen Fokus und kann sich auf "Standard-Risiken" wie z.B. Diebstahl, Umweltgefahren, Veruntreuung usw. konzentrieren. In Projekten gibt es auch die Standard-Risiken wie z.B.: zu wenig Projektmitarbeiter, kein Auftraggeber Committment, zu knappe Termine etc. Da Projekte aber einmalig, neuartig und komplex sind, sollte man über die Standard-Risiken hinausdenken und sich mit Brainstormings einiges mehr Mühe geben die spezifischen Risiken des Projektes zu suchen.
Der Risikomanagement-Prozess ist in beiden Bereichen identisch:

• Risikomanagement-Planung
• Risiko-Identifikation, Risiko-Analyse (qualitativ/quantitativ)
• Massnahmen-Planung
• Risiko-Überwachung und -Steuerung

Die Kommunikation und Dokumentation sind dabei zentrale Elemente während des ganzen Prozesses.

Im Projekt-Risikomanagement konzentriert man sich hauptsächlich auf die die Risiken der Projektdurchführung. Dabei sollte man aber nie die Risiken des erzeugten "Produktes", die System-Risiken vergessen. Diese treten dann meistens im Betrieb, nach Projektende auf.
Die grössten Risiken der einzelnen Projekte werden im Projektportfolio konsolidiert. Das Projektportfolio ist dann selbst eine Risikokategorie im Unternehmens-Risikomanagement.
Viele Manager sind der Auffassung, dass das Unternehmens-Risikomanagement direkt auf Projekte heruntergebrochen werden kann. Dies ist jedoch nicht der Fall. Das Risikomanagement in Projekten hat einen zeitlich und organisatorisch beschränkten Fokus (Projekt, Projektteam). Deshalb darf es dafür kein 50-seitiges Handbuch mit komplizierten Prozessen, verschiedenen Rollen und Gremien und einem aufwändigen Reporting geben. Das Projekt-Risikomanagement sollte schlank und der Projektgrösse angepasst sein. Machen Sie lieber einfach, es dafür aber aber richtig und konstant.
Im normalen Unternehmens-Risikomanagement stelle ich oft fest das ein Formalismus und eine Überorganisation bestehen und es so den beteiligten Mitarbeiten aus den Fachbereichen "stinkt" Ihren Beitrag zu liefern.

Mehr über die Zusammenhänge Unternehmens-Risikomanagement vs. Projekt-Risikomanagement und das Risikomanagement im Projektportfolio-Management erfahren Sie in folgenden umfassenden Buch.

Projektrisiko-Reviews wirkungsvoll durchführen

Sie und ihr Team haben sich mit der Risikoidentifizierung viel Mühe gegeben und eine Liste mit wirklich relevanten Risiken zusammengetragen. Gratuliere wirklich gut gemacht!
Ja, die Welt sieht aber nach 2 Wochen schon wieder anders aus - und so ist es auch mit Ihren Risiken. Ihre Risikoliste ist schnell veraltet. Gewisse Risiken lösen sich mit der Zeit in Luft auf (hoffentlich), einige treten leider ein, und bei den anderen Risiken verändern sich die Eintrittswahrscheinlichkeit, Auswirkung usw. Deshalb müssen Sie von Zeit zu Zeit einen Blick auf Ihre Risikoliste werfen und die Risiken neu beurteilen. Wie oft sollten Sie das machen? Ich empfehle Ihnen sich für diese Tätigkeit mindestens alle 2 Woche eine Stunde Zeit zu reservieren. An dieser Risikoreview-Sitzung sollte wenn möglich das ganze Projektteam teilnehmen - falls es nicht zu gross ist.
Wie führen Sie ein solches Risikoreview durch? Ich habe für Sie versucht die wichtigsten Schritte zusammenzufassen.
Auf der Risikoliste, die Sie Ihrem Team aushändigen, sollten zuoberst die Risiken mit dem Status „Neu“ sein. Diese wurden seit dem letzten Risikoreview neu identifiziert und wurden bis jetzt noch nicht gemeinsam angeschaut. Diese Risiken müssen Sie deshalb vor allen Anderen detailliert anschauen.

1. Zuerst die neuen Risiken:

1. Überprüfen Sie ob die Risiken verständlich beschrieben sind
2. Definieren/überprüfen Sie Eintrittswahrscheinlichkeit und Auswirkung
3. Definieren/überprüfen Sie die Massnahmen
4. Definieren für jedes Risiko einen Risikoverantwortlichen, der das Risiko überwacht
5. Ändern Sie den Status von "Neu" zu "Offen"

2. Dann die offene Risiken (sortiert nach Risikowert*, grösster Wert zuoberst)

1. Überprüfen Sie ob die Risiken immer noch relevant und up-to-date sind
2. Überprüfen Sie die Eintrittswahrscheinlichkeit und Auswirkung
3. Überprüfen Sie mit dem Risikoverantwortlichen den Status des Risikos und der Massnahmen
   
4. Überprüfen Sie ob die Massnahmen immer noch gültig/relevant sind
5. Ändern Sie den Risikostatus von "Offen" nach "Geschlossen" wenn das Risiko nicht mehr existiert

Eine Stunde für ein Risikoreview von 30-40 Risiken sollte mehr als genügen. Wir nehmen uns meistens nur 30 Minuten Zeit dafür. Diskutieren Sie nicht lange herum. Sollen Sie sich nicht einig werden so entscheidet der Projektleiter. Wenn die Zeit für die letzten Risiken nicht mehr ausreicht ist dies kein Unglück, denn bei diesen handelt es sich dann eh um die kleinsten Risiken. Sie sollten aber mindestens nächstes mal dran kommen.

* Risikowert=Eintrittswahrscheinlichkeit x Auswirkung

Die offensichtlichen Risiken - try harder!

Haben Sie auch schon den Begriff „Standard-Risiken gehört? In meinen Risikoreviews und bei Risikoanalysen stosse ich oft auf Risiken, die ich in fast jedem Risikoregister finde:

• Die Projektressourcen könnten zu knapp sein, oder von anderen Abteilungen beansprucht werden
• Der Endtermin ist sehr knapp bemessen und könnte nicht erreicht werden
• Das Projektbudget ist zu knapp bemessen und könnte überschritten werden
• Die Anforderungen könnten zu wenig detailliert definiert sein

Dies sind die einfachsten Beispiele. Es gibt noch einige solcher Risiken mit denen jedes Projekt zu kämpfen hat. Ja, jedes Projekt ist mit diesen „Standard-Risiken“ konfrontiert und deshalb hat man diese Risiken auch einfach und schnell identifiziert. Schnell und man hat im Risikoregister schon sieben Risiken vorzuweisen, womit sich dann das PMO oder der Sponsor sicher zufrieden gibt.
Man macht sich die Arbeit doch sehr oft zu einfach! Machen Sie es nicht so, „gehen Sie die Extra-Meile“! Investieren Sie die doppelte oder dreifache Zeit für die Risikoidentifizierung und machen sie ein paar Brainstorming Sessions mit Ihren Projektteammitgliedern und Stakeholdern. Mit etwas mehr Zeitaufwand und der gemeinsamen Hirnleistung werden Sie viele „projektspezifische“ Risiken finden, die Ihr Projekt speziell bedrohen.
Mit den offensichtlichen, einfachen Risiken kämpfen alle Projekte. Das heisst aber nicht, dass wir diese nicht beachten und nicht vermindern oder ausschalten sollten. Nein! Das meine ich nicht. Geben Sie sich einfach ein wenig mehr Mühe und finden Sie ihre projektspezifischen Risiken. Es lohnt sich!

Sehen sie den Nutzen des Risikomanagements?

Warum nehmen viele Projektleiter das Thema Risikomanagement nicht erst? Wie ich im letzten Blog-Eintrag geschrieben habe, ist der Hauptgrund vermutlich, dass man keinen kurzfristigen, persönlichen Nutzen in dieser Aktivität sieht: Es bringt das Projekt keinen Schritt weiter. Denken Sie auch so?
Der Nutzen des Risikomanagements ist für die Beteiligten leider nicht sofort offensichtlich. Das macht natürlich das ganze Thema doch etwas schwieriger. Ist jetzt das Risiko nicht eingetreten weil wir eine Massnahme dafür definiert haben oder lag es einfach an der Eintrittswahrscheinlichkeit des Risikos? Diese Frage kann nicht immer klar beantwortet werden. Aber es gibt viele Fälle wo dies doch sehr gut geht. Ein einfaches Beispiel aus dem Leben. Sie tragen beim Fahrradfahren einen Helm. In Ihrer Risikoanalyse haben Sie sich gesagt:

• Risiko: Unfall
• Eintrittswahrscheinlichkeit: sehr klein
• Auswirkung: gross (Kopfverletzung)
• Massnahme: Helm tragen (Wirkungsbezogene Massnahme)

Nehmen wir an, Sie verursachen 4 Wochen später einen Unfall und fallen auf den Kopf. Ihr Kopf bleibt unverletzt. Hat jetzt Ihre Risikoanalyse und die getroffene Massnahme einen Nutzen gehabt? Offensichtlich schon! Sie werden mir jetzt vielleicht sagen: „Hey Roland, das ist aber doch aber ein sehr einfacher, offensichtlicher Fall!“ Da haben Sie natürlich Recht. Das ist ein bekanntes Risiko, für das es eine „Standard“-Massnahme gibt.
Wenn jetzt das Risiko aber nicht Eintritt, hat dann unserer Risikomanagement bzw. unsere Massnahme einen Nutzen gehabt oder nicht? Das kann man meistens erst am Ende des Projektes sagen - und nicht selten stellt man dann fest: Hätten wir nach unserer Risikoanalyse die Pläne nicht geändert, oder wären wir für die entsprechenden Themen nicht sensibilisiert gewesen, dann wären wir mit unserem Projekt voll in die Wand gefahren.