Risikomanagement für Projekte – 30 Minuten Kompakt-Wissen

Kürzlich habe ich wieder ein Buch veröffentlich. Dieses mal habe ich versucht das ganze Risikomanagement für Projekte so zu konzentrieren, dass Sie als Leser in nur 30 Minuten das Wichtigste über dieses Thema lernen.

 

In diesem Buch erhalten Sie Anweisungen und Tipps, die Sie sofort in Ihrem Projekt umsetzen können. Mit diesem praxisbezogenen Wissen machen Sie Ihr Projekt noch erfolgreicher und bewahren Ihr Projektleben vor vielen Problemen. Mit 30 Minuten Kompakt-Wissen haben Sie Ihre Projektrisiken im Griff!
In 30 Minuten lernen Sie die wichtigsten Schritte, wie Sie Risikomanagement in Projekten erfolgreich anwenden:

• Der Risikomanagement-Prozess
• Schritt 1: Risikomanagement-Planung
• Schritt 2: Risiko-Identifikation
• Schritt 3: Qualitative und quantitative Risikoanalyse
• Schritt 4: Massnahmenplanung
• Schritt 5: Risiko-Überwachung und -Steuerung
• Schritt 6: Risiko-Kommunikation und -Dokumentation

Es ist wirklich nicht einfach ein 300 Seiten Buch in einem 100 seitiges Büchlein zusammenzufassen. Aber ich habe es geschafft und bin wirklich Stolz auf dieses Werk! Einen Haken hat das Buch: Wenn Sie kein Schnellleser sind, dann schaffen Sie es nicht dieses Buch in 30 Minuten zu lesen. Das sollte Sie aber nicht weiter stören, denn wer kann heutzutage schon 30 Minuten lang ungestört lesen?
Das Buch ist als Taschenbuch oder als E-Book bei Amazon erhältlich.

Dass man Häme über jemanden ergiesst, der auf solche Gefahren aufmerksam macht, passt ganz gut zusammen

Unser Schweizer Armeechef André Blattmann wurde tatsächlich mit Häme überschüttet, als er in einem Interview sagte, für den Fall eines Blackouts Feuerholz und rund 300 Liter Mineralwasser im Keller hat. Jetzt lacht die ganze Schweiz über ihn. Zu Recht? Politikwissenschafter Maik Poetzsch hat für den Deutschen Bundestag die Folgen eines gravierenden Stromausfalls untersucht. Er hält die Wasservorräte von Armeechef André Blattmann für klug. Hier das Interview dazu.

Es gibt Risiken wie Blackouts oder Erdbeben, die sehr selten eintreten, aber man weiss, dass Sie eintreten, weil es eben schon einmal passiert ist. Soll man sich auf solche potentiellen Vorkommnisse angemessen vorbereiten, oder meinen Sie auch, „Die Wahrscheinlichkeit ist so klein. Das werde ich nie erleben!“? „Das letzte grosse Beben passierte 1906 in San Francisco.“ Es ist schon einmal passiert und es wird wieder eintreten – man weiss es! Man weiss nur nicht genau wann.

Wie steht es mit der Risikoidentifikation bei Ihrem Projekt. Wurde dort auch schon hämisch gelächelt, als jemand ein ungewöhnliches Risiko meldete oder ein eher unwahrscheinliches oder eines mit einer sehr geringen Eintrittswahrscheinlichkeit? Was haben Sie gemacht? Haben Sie die Meldung ernst genommen? Haben Sie das Risiko in das Risikoregister aufgenommen und haben Sie dafür sogar Massnahmen definiert?
Nehmen Sie die Risiken ernst, auch wenn Sie noch so ungewöhnlich oder unwahrscheinlich sind. Ist ein grosser Stromausfall bei uns wirklich so sehr unwahrscheinlich? Nicht nur Herr Blattmann hat Notvorräte sondern auch ich bei mir Zuhause!

An dieses Risiko glaube ich nicht!

Im Artikel „Wenn Hacker die Kontrolle übernehmen“ (lesenswert) im Tagesanzeiger vom 31.1.2014 wird über die Gefahr berichtet, dass Hacker sich Steuerungssysteme von Kraftwerken bemächtigen. Der Bund bestätigt nun erstmals Vorfälle in der Schweiz. Der Sprecher des Stromnetzbetreibers Swissgrid glaubt nicht an grossflächigen Angriff: „Es kann passieren, dass es zu einem Kaskaden-Effekt kommt, sodass eine ganze Region ohne Strom dastehen würde», sagt Klaus. An einen grossflächigen Angriff  (auf das Stromnetz) mag er jedoch nicht glauben, weil dies eine «sehr ausgefeilte Kenntnis aller Systeme» voraussetze.

Es besteht ein Risiko mit sehr hoher Auswirkung, aber man glaubt nicht so richtig daran –  weil die Wahrscheinlichkeit, dass jemand so ausgefeilte Kenntnisse hat, nicht existiert. Ich kann hier nur sagen:„Expect the unexpected!“ Da kommt mir gerade der Amerikanische NSA (National Security Agency) in den Sinn. Wer hätte vor 12 Monaten gedacht, mit welchem immensen Wissen und Computersystemen der NSA in unsere Computersysteme eindringt und die ganze Welt abhört?

„An einen grossflächigen Angriff  (auf das Stromnetz) mag er jedoch nicht glauben“. Wer nicht an ein Risiko glaubt, obwohl es besteht, nimmt es aus meiner Sicht nicht ernst und unternimmt nicht die notwendigen Massnahmen um das Risiko genauer zu verstehen und entsprechende Massnahmen zu definieren und umzusetzen. „Das ist aber weit her geholt!“ Kennen Sie diesen Ausspruch? Man kommuniziert bei einer Projektsitzung Bedenken (mögliche Risiken) und wird innerhalb von Sekunden von Kollegen abgekanzelt, nach dem Motto “Hey Kollege, bleib doch realistisch!

Nehmen Sie die Risiken ernst und wenn diese noch so utopische sind (Die Amerikaner könnten die ganze Welt abhören). Vor 12 Monaten noch Utopie, heute wissen wir es.

Ich empfehle der schweizerischen Swissgrid, glauben sie an das Risiko und nehmen sie es ernst, denn das Unerwartete wird früher oder später eintreffen.

Black Swans and “They Never Saw It Coming”

Auf dem Blog von TechWell gibt es einen guten Post über Black Swans und gescheiterte Projekte.
Bei Risiken und deren Eintreten wird oft argumentiert: Man sah es nicht kommen. Man wurde plötzlich überrascht. Dafür gibt es jedoch einige Gründe: Der erste ist natürlich,  man schaute einfach nicht hin. Man konnte es nicht sehen, weil man es nicht sehen wollte. Oder man wusste nicht wo man schauen sollte. Oder man konnte das Unglück nicht erkennen, bis es dann eingetreten ist.
Die 2008 Finanzkrise war sicher kein “Black Swan Event” weil sie einige kommen sahen und davon massiv finanziell profitierten und das grosse Geld daraus machten. Schauen Sie diese zwei Bücher an  The Big Short und All the Devils Are Here , die beschreiben, wie viele die Krise voraussahen und wie sie davon massiv profitierten.
Oft wird ein “Unglück” bei Projekten als “Black Swan Event” bezeichnet – eine faule Ausrede! “So etwas konnten wir nie voraussehen”. Man will der Wahrheit einfach nicht ins Gesicht sehen und zugeben, dass man sich zu wenig Mühe gegeben hat Risiken systematisch zu identifizieren und zu behandeln.


Gibt es bei Projekten Black Swans?

Wenn Sie ein ERP-System einführen, eine neue Website entwickeln oder mehrere alte IT-Systeme in ein neues System integrieren – hier gibt es keine Black Swans. Diese Projekte sind zu berechenbar.
Wenn Sie zum ersten mal einen Partikelbeschleuniger entwickeln und das Steuerungssystem für die supraleitenden Magneten entwickeln, da kann es unbekannte Unbekannte geben. Aber wenn das Stromversorgungssystem für diese Magneten unter Bäumen liegt, die bei einem Sturm auf die Stromversorgung fallen könnten, dann ist das kein Black Swan, sondern man hat einfach nicht nach Risiken gesucht.
Black Swans sind fast immer eine Ausrede für schlechtes Risikomanagement in Projekten.  Wir wollen uns nicht  mit Risiken beschäftigen weil es unangenehm ist. Wir haben keine Zeit uns mit Risiken beschäftigen. Wenn wir Risiken finden haben wir kein Budget für Verminderungsmassnahmen, nach dem Motto: „Es wird schon nichts passieren“. Und so weiter. Machen Sie es besser und nehmen Sie das Risikomanagement in Projekten ernst und schauen Sie sich schwarze Schäne im Zoo an.

Das Senior-Management versteht Risikomanagement nicht

Im Blog von THE PROJECT MANAGEMENT HUT habe ich kürzlich den Artikel „Six Project Management Themes from 2013“ gelesen. Mit einem Punkt aus diesem Rückblick konnte ich mich speziell identifizieren: „Senior stakeholders don’t understand risk management.“

Aus meiner Erfahrung weiss ich, dass auf Projekt- oder Programm-Ebene das Thema Risikomanagement oft vernachlässigt wird. Besorgniserregend ist jedoch, dass Risikomanagement in Projekten beim Senior Management so gut wie nie ein Thema ist. Wir kennen das Problem zu gut von den letzten Finanzkrisen im Jahr 2000 und 2007. Entweder haben die „hohen Tiere“ die Risiken tatsächlich nicht gesehen, wollten sie nicht sehen, oder haben sie einfach heruntergespielt.

Wer ist schuld, wenn sich das Management oder Ihr Lenkungsausschuss nicht für Ihre Projektrisiken interessiert, oder diese ignoriert? Man sollte die Schuld nie zuerst bei den Anderen suchen, sondern zuerst bei sich selber.
Haben Sie als Projektleiter wirlich genug getan, um das Management immer wieder auf die Risiken hinzuweisen, diese zu „erklären“, die Sicht des Managements abzuholen, sie in den Risikomanagement-Prozess aktiv zu integrieren? Konnten Sie da wirklich nicht mehr machen?
Haben Sie den Lenkungsausschuss (LA) darauf hingewiesen, dass die Ziele des Projektes zu ambitioniert sind und mit den vorhanden Ressourcen nicht in der vorgegeben Zeit erreicht werden können? Haben Sie dem LA die Konsequenzen gezeigt, wenn das Budget um 20% gekürzt wird. Hier braucht es viel Überzeugungsarbeit, und ich weiss, oft stösst man auf taube Ohren.

Wenn Sie Ihr Bestes gegeben haben und alles nichts nützt, dann achten Sie darauf, dass Ihre Bedenken und Aussagen im Protokoll der Lenkungsausschuss-Sitzung niedergeschrieben sind. So sind haben Sie bei späteren Problemgesprächen mit dem Auftraggeber oder dem LA mindestens etwas in der Hand.
Zweitens, machen Sie das Beste aus der Situation. Betreiben Sie konsequentes Risikomanagement, definieren Sie Massnahmen, Notfallmassnahmen, Workarounds und vielleicht ist trotzt Budgetkürzung eine perfekte 80% Lösung auch ein Weg – mit der Idee die restlichen (nice to have) 20% nach Projektende mit neuem Budget noch zu erledigen –  falls dies dann noch ein Thema ist.

Ideal wäre es natürlich, wenn das Management an einer (managementgerechten) Risikomanagement-Schulung teilnimmt. Diese wird zum Beispiel durch Ihr Unternehmens-PMO organisiert und idealerweise durch einen externe Spezialisten gehalten, nach dem Motto: “Der Prophet im eigenen Lande ist nichts wert“.

Implizites oder explizites Risikomanagement?

Der “Risk Doctor” David Hillson schreibt im neusten Briefing über implizites und explizites Risikomanagement. Eine Interessante Ansicht über die sich die wenigsten Projektbeteiligten Gedanken machen. Die meisten Projektleiter werden auf die Frage: “Wie risikoreich ist Dein Projekt?” Schwierigkeiten haben eine Antwort zu geben. Dies, obwohl im Risikoregister alle Risiken bewertet und priorisiert sind und mit Massnahmen und Risikoverantwortlichen versehen sind. Aber wie kann eine solche Liste mit Risiken die Frage “wie risikoreich?” beantworten?  Um diese Frage zu beantworten benötigen wir eine andere Perspektive. Hier geht es darum, das Risiko des Einzelprojektes im Kontext zum ganzen Projektportfolio und zum Unternehmen selbst und dessen Umfeld zu betrachten.
Das Projekt-Risikomanagement basiert auf zwei Ebenen. Der Projektleiter ist primär dafür verantwortlich, dass die Risiken seines Projektes systematisch gemanged werden. Auf einer höheren Ebene sind der Projekt-Auftraggeber, Stakeholder, aber speziell auch der Projektportfolio-Manager verantwortlich für das Gesamtrisiko Projektes im Kontext zum Projektportfolio und dem Gesamtunternehmen. Diese zwei Ebenen können nach David Hillson unterschieden werden als die Risiken im Projekt (auf die Projektziele) und die Risiken des Projektes (auf das Projektumfeld).

Projektrisiken managen bedeutet auf beiden Ebenen aktiv zu sein. Um Risiken auf der unteren Ebene zu managen gibt es gut definierte Prozesse, die auch grösstenteils gelebt werden. Bei den Risiken auf der höheren Ebene besteht hingegen noch einiges an Handlungsbedarf. Hier findet man keine strukturierten Prozesse.
Wie können aber hier die Projektrisiken umfassend gemanaged werden? Zum ersten Mal werden die Risiken in der Vor-Projektphase beurteilt, das heisst während der Projekt-Akquisitionsphase bei externen Projekten oder bei internen Projekte bei der Projektselektion und Priorisierung in der Portfolioplanung, wenn der Projektumfang und die Projektziele geklärt und abgenommen werden. Hier definiert der Projekt-Auftraggeber auch den erwarteten Nutzen des Projektes zusammen mit den Risikograd der toleriert werden kann. Dabei werden auch die potentiellen Risiken für das Unternehmen, auf die bereits laufenden Projekte, das Umfeld, aber auch was für ein Risiko für das Unternehmen besteht, wenn das Projekt nicht durchgeführt wird. Sobald die Entscheidung getroffen wurde und das Projekt dann gestartet ist kommt der normale Risikomanagement-Prozess zum Zug, um die (internen) Projektrisiken zu managen. Periodisch wird jedoch das PMO oder das Projektportfolio-Management die Risiken der einzelnen Projekte auf der höheren Ebene, auf das Portfolio, das Unternehmen und das Umfeld neu bewerten.
David Hillson unterscheidet folgende zwei Ebenen:

• Implizites Risikomanagement bezieht sich auf das Gesamtrisiko des Projektes auf sein Umfeld
• Explizites Risikomanagement bezieht sich auf die individuellen Projektrisiken, welche das Erreichen der Projektziele bedrohen.

Um die Frage: “Wie risikoreich ist Dein Projekt?” zu beantworten müssen wir beide Arten von Risiken verstehen und managen.

Kosten und Nutzen des Risikomanagements

Wenn es darum geht Risiken wirkungsvoll zu managen, dann werden auch automatisch Kostenfragen aufgeworfen, denn Risikomanagement gibt es nicht umsonst. Die anfallenden Kosten können in drei Kategorien unterteilt werden: Einmalkosten, Betriebskosten und Projektkosten.

Die Einmalkosten fallen an, damit die Organisation, bzw. das Projektumfeld, zum Risikomanagement befähigt wird. In diesen Bereich fallen die Kosten für das Erstellen der notwendigen Prozesse, Methoden, Richtlinien, Weisungen und Vorlagen für die Unterstützung des Risikomanagementprozesses.

Die Betriebskosten entstehen um ein wirkungsvolles Risikomanagement aufrechtzuerhalten. Es ist wichtig, den Risikoprozess frisch und aktuell zu halten und auf den Lessons Learned aufzubauen.

Die Projektkosten entstehen in Verbindung mit dem effektiven Management von Projektrisiken im jeweiligen Projekt. Dieses operative Anwenden des Risikomanagements verursacht Kosten, die in der Projektplanung berücksichtigt werden müssen.

Der Nutzen des Risikomanagements

Risikomanagement wird vom Management oft als Verschwendung von Geld und Zeit erachtet – solange nichts passiert. Es ist nicht einfach, als Pro-jektleiter das Management davon zu überzeugen, dass Risikomanagement ein gutes Investment darstellt und notwendig ist, selbst wenn keine Risiken eintreten. Hängen fehlende Probleme im Projekt mit einem guten Risikomanagement zusammen? Vielleicht, vielleicht auch nicht. Dies zu beweisen wird schwierig sein. Beim Rollerbladen tragen Sie als Risikoverminderungs-Maßnahme einen Helm. Wenn nach dem Ausflug keine Beule Ihren Kopf ziert, liegt es am Helm, oder daran, dass Sie nicht gestürzt sind? War es Ihnen diese Verminderungs-Maßnahme Wert?

Bei der Ausnutzung von Chancen (der positiven Risiken) sieht das ein wenig anders aus. Hier können Sie Messungen anstellen und einen Wert aufzeigen. Das Management wird sehr schnell den Wert des Risikomanagements schätzen lernen, wenn es den Zusammenhang zwischen Risiken und Zielen verstanden hat. Das Risikomanagement kann als “Prämie” zur Absicherung von Projektzielen angesehen werden. Mit dieser Sichtweise wird sich das Engagement sicher verstärken. Obwohl es schwierig ist, die Rendite für Risikomanagement zu messen, steht fest, dass keinerlei Nutzen erzielt wird, wenn die Organisation nicht gewillt ist, diese Kosten zu tragen.