8 | Risikomanagement

Bei projektrelevanten Risiken handelt es sich um unsichere Ereignisse, die den Projekterfolg gefährden können. Das Erkennen und die Analyse von Risiken sowie die Maßnahmenplanung und Umsetzung sind die Grundpfeiler eines effektiven Risikomanagements.

Typische Kategorien von Risiken in der öffentlichen Verwaltung:

• Politik/Strategie
• Fachlichkeit
• Organisation (bezüglich Projekt-/Programmorganisation)
• Technik
• Vertragsmanagement (z. B. externe Auftragnehmer/Generalunternehmer)

Das Risikomanagement ist eine zentrale strategische Aufgabe im Projektmanagement, welche vorausschauendes Planen und Handeln erfordert. Für den Erfolg des Risikomanagements sind häufig Unterstützungsleistungen des Lenkungsausschusses und anderer Stakeholderinnen und Stakeholder nötig, welche im Regelfall nur die Projektleitung effektiv einfordern kann. Die Rolle der Projektleitung muss eine offene Kommunikationskultur für Risiken schaffen. Dies fängt bei ihr selbst an: Geht sie z. B. offen mit einer Lücke in ihren Kompetenzen um, die ein Risiko darstellt? Durch die offene Kommunikation wird sichergestellt, dass alle Projektbeteiligten bei der Vermeidung und Minderung von Risiken mithelfen sowie ernst genommen werden, wenn sie auf Risiken hinweisen.

Abbildung 25: Risikomanagement

Zudem sollte eine Priorisierung von Risiken vorgenommen werden (z. B. Eintrittswahrscheinlichkeit, zeitliche Nähe etc.), um die Balance zwischen großem Projektoptimismus und niedriger Risikotoleranz zu bewahren.

Praxistipp 8-1: Risiken als Chance verstehen
Risiken werden häufig nur negativ betrachtet. Dabei können Risiken als Chancen genutzt wer-den, wenn geeignete Gegenmaßnahmen getroffen werden. Bei der Suche nach einer Risikogegenmaßnahme können z. B. schnellere, günstigere oder bessere Lösungen gefunden werden.

Beispiel: Die Umsetzung eines politisch brisanten oder kostenträchtigen Projektvorhabens birgt das Risiko, in der Bevölkerung auf Widerstand zu stoßen und durch die fehlende Akzeptanz in der öffentlichen Wahrnehmung zu scheitern. Wird gegen dieses Risiko jedoch mit z. B. frühzeitigen Kommunikationsmaßnahmen und einer transparenten Umsetzung gegengesteuert, kann sich daraus eine vorher nicht existierende Chance für die Akzeptanz und damit den Erfolg des Projekts ergeben.

8.1 Ziele des Moduls

Für ein effektives Risikomanagement gelten die folgenden operativen Ziele:

• Risiken umfassend erkennen: Es dürfen keine wesentlichen Risiken übersehen werden.
• Risiken angemessen bewerten: Risiken sind mit Blick auf ihre Eintrittswahrscheinlichkeit, Auswirkungen und zeitliche Nähe einzuschätzen und entsprechend zu beurteilen.
• Balance zwischen Analyse und Handeln finden: Zum einen gilt es, Risiken zu analysieren und Projektleitung und Auftraggeberin, Auftraggeber auf sie hinzuweisen, zum anderen muss sichergestellt sein, dass Gegenmaßnahmen ergriffen werden („Lösungs- statt Problemorientierung“).
• Risiken vorausschauend minimieren: Risiken sind nicht unveränderbar. Vielmehr muss es darum gehen, durch aktives und frühzeitiges Gegensteuern Auswirkungen und Eintrittswahrscheinlichkeiten zu reduzieren.
• Übersichtliche Kommunikation: Es wird sichergestellt, dass Risiken an die Auftraggeberseite rechtzeitig und umfassend kommuniziert werden („keine Überraschungen“).
• Risiken überwachen: Die oben genannten Punkte sind während des gesamten Projektzyklus für bekannte und neue Risiken regelmäßig durchzuführen.

Praxistipp 8-2: Risikomanagement eng mit Stakeholdermanagement verknüpfen
Es hat sich in der Praxis bewährt, das Risikomanagement eng mit dem Stakeholdermanagement zu verknüpfen. Bei hohen und zahlreichen Risiken steigt der Managementaufwand exponentiell. Risiken, die mit nicht ausgesprochenen Vorhaben der Stakeholderinnen und Stakeholder einhergehen (z. B. Bewahrung von Einflussbereichen), müssen identifiziert und angegangen werden. Die Abstimmungen dazu nehmen entsprechend Zeit in Anspruch und müssen explizit eingeplant werden. Eine entsprechende Abstimmung erhöht die Akzeptanz der Projektergebnisse.

8.2 Umsetzungsprozesse

Abbildung 26: Prozesse des Risikomanagements

8.2.1 Initialer Prozess „Aufbau Risikomanagement“

1. Verantwortlichkeiten und Rollen festlegen, Risikobudget reservieren

Um das Risikomanagement als Projektfunktion zu etablieren, sind zunächst die in diesem Modul beschriebenen Rollen zu besetzen und die Verantwortlichkeiten zu definieren. Ebenso ist ein hinreichendes Risikobudget vorzusehen.

Praxistipp 8-3: Risiken managen ist preiswerter als Schäden beheben
Um die Stakeholderinnen und Stakeholder von der Notwendigkeit eines Budgets bzw. von Ressourcen für die Durchführung des Risikomanagements zu überzeugen, lohnt sich eine Gegenüberstellung: der Aufwand für das Risikomanagement gegenüber dem möglichem Schaden bei Risikoeintritt.

2. Prozesse und Regelmäßigkeit festlegen

Es ist zu definieren, dokumentieren und kommunizieren, in welcher Regelmäßigkeit welche Projektmitarbeiter und Stakeholder und Stakeholderinnen zu ihren Risikoeinschätzungen wie befragt werden sollen. Wie häufig sind welche Berichte an wen zu versenden?

3. Risiken erkennen

Die Etablierung des Risikomanagements endet mit der Sammlung der zu erwartenden Risiken und der Dokumentation in einer Risikoliste. Diese erste Erhebung dient als Grundlage für das Risikomanagement. Die Risikoliste muss im Laufe des Projekts regelmäßig aktualisiert werden, um neue Risiken frühzeitig zu identifizieren.

Als Instrument zur schnellen Sammlung von Risiken eignet sich ein Fragebogen zur Statusbestimmung.

Praxistipp 8-4: Fokussierung auf relevante Risiken
Bei der Erhebung der Risiken, z. B. im Rahmen von Risikoworkshops oder Fragebögen, ist darauf zu achten, dass nur projektrelevante Risiken gesammelt werden. Häufig werden Risikolisten zu groß und unübersichtlich, da für das Projekt nicht relevante Risiken mit aufgeführt sind.

8.2.2 Laufender Prozess „Laufendes Risikomanagement“

1. Verankerung in der Projektorganisation sichern

Um den Erfolg des Projekts sicherzustellen, muss das Risikomanagement im gesamten Projektteam und auf allen Projektebenen verankert sein. Gefordert ist hier vor allem die Projektleitung. Sie muss die Bedeutung des Risikomanagements gegenüber allen Teilprojektleiterinnen und -leitern sowie Projektmitarbeitenden kontinuierlich demonstrieren und kommunizieren. Sie muss projektintern für die Etablierung einer offenen Fehlerkultur sorgen und die Teammitglieder anhalten, einmal vereinbarte Gegenmaßnahmen sorgfältig umzusetzen. Empfehlenswert ist, bei eigenen Maßnahmen mit gutem Beispiel voranzugehen.

Methodisch lässt sich die Verankerung in der Projektorganisation gut erreichen, indem das Risikomanagement in regelmäßigen Besprechungen einen Standard-Agendapunkt ist, insbesondere im Projektmanagement-Meeting der Führungsebene. Dort wird die Risikoliste durchgegangen und über Risiken berichtet. Verpflichtet die Projektleitung die Berichterstattenden (zumeist Leitung Teilprojekte), zu jedem Meeting über ein jeweils neues Risiko zu referieren, kann kein Routine-Leerlauf entstehen. Zudem werden die Teilprojektleitenden angehalten, sich detailliert mit den Risiken auseinanderzusetzen.

2. Risikoanalyse und –bewertung durchführen

In diesem Schritt werden die Risiken getrennt nach ihrer Eintrittswahrscheinlichkeit und ihres Schadensausmaß eingeschätzt und beurteilt. Geschieht dies nicht strikt losgelöst voneinander, besteht die Gefahr, beide Themen zu vermischen, und es findet keine realistische Einschätzung beider Dimensionen statt. Weitere Bewertungskriterien können z. B. die zeitliche Nähe eines Risikos oder entgangener Nutzen für die Auftraggeberseite bzw. das Sponsoring sein.

Die Risikoanalyse und -bewertung sollte in periodisch stattfindenden Gesprächen zwischen den verantwortlichen Personen für das Risikomanagement, der Leitung der einzelnen Teilprojekte sowie der Projektleitung durchgeführt werden. Diese festen Termine haben aus Sicht des Risikomanagements zum einen die Funktion, neue Risiken zu erkennen, zu sammeln und zu bewerten. Zum anderen dienen sie dazu, bereits vorher erkannte Risiken gemeinsam zu überprüfen. Ergänzend dazu sollte die für das Risikomanagement zuständige Person – über alle Projektebenen und -bereiche hinweg – auch direkte Gespräche mit Projektmitarbeitenden führen – und ggf. auch mit Stakeholderinnen und Stakeholdern, die nicht unmittelbar zum Projektteam gehören (z. B. Betroffene, Anwenderinnen und Anwender etc.).

Gerade bei komplexen Projektstrukturen können nur direkte Gespräche verborgene Risiken aufdecken. So sollte die für das Risikomanagement zuständige Person z. B. fragen, welche Teile des Projekts aus welchen Gründen besonders schwierig sind. Sie sollte dabei systematisch typische inhaltliche Risikokategorien durchgehen. Bei Anzeichen von Problemen sollte sie mit den Personen ins Detail gehen, die über technische und beziehungsweise oder fachliche Expertise verfügen, um auch verborgene Risiken zu identifizieren.

Praxistipp 8-5: Risiken mit geringer Eintrittswahrscheinlich können hohen Schaden verursachen
Angesichts der erheblichen Größenordnung und Bedeutung von Großprojekten in der öffentlichen Verwaltung (viele betroffene Personen, beinhalten oft sensible Aspekte wie Sicherheit etc.) müssen auch Risiken mit kleiner Eintrittswahrscheinlichkeit, die aber einen hohen Schaden verursachen können, näher betrachtet werden.

3. Gegenmaßnahmen definieren und durchführen

Für die einzelnen Risiken sind Gegenmaßnahmen zu planen, um die Eintrittswahrscheinlichkeit oder Schadenshöhe zu mindern. Gleichzeitig sind Verantwortliche für die einzelnen Risiken festzulegen sowie entsprechende Berichte zu erstellen. Diese Dokumentation wird gepflegt und regelmäßig aktualisiert.

Wirkungsvolles Risikomanagement erhöht die Wahrscheinlichkeit, dass vereinbarte Maßnahmen realisiert werden, indem es durch Schaffung von Transparenz Handlungsdruck aufbaut:

• Wie erreicht die Projektleitung, dass auf Lenkungsausschuss-Ebene gehandelt wird? Gute Ansatzpunkte sind:
  
  • Maßnahmen in die Planung aufnehmen,
  • dem Lenkungsausschuss Auswirkungen darstellen (auch Auswirkung der Maßnahmen auf die Planung auf allen Ebenen),
  • Puffer auflösen,
  • Nutzen der Risikomaßnahmen verdeutlichen.
• Wie werden Handlungen in den unteren Projektebenen ausgelöst? Bewährte Ansatzpunkte sind:
  • per Änderungsauftrag ans Projekt,
  • durch Überführung der Maßnahmen aus dem Risikomanagement in die normalen Planungswerkzeuge des Projekts (übergreifendes Aufgabenmanagement/Planung etc.),
  • durch regelmäßige Kontrolle der Wirksamkeit der Maßnahmen.
• Ein sogenanntes „Trouble Management“ für besonders große Probleme nutzen: Dafür wird eine Task Force eingerichtet, um ein vorhandenes Risiko oder Problem zu lösen. Die für das Trouble Management zuständige Person leitet diese Aktivitäten. Der Vorteil liegt darin, dass sich Stakeholder und Stakeholderinnen sowie Mitarbeitende, die vorher Teil des Problems waren, häufig besser in eine Task Force mit frischem Ansatz und unverbrauchten Personen einbinden lassen.

4. Regelmäßig berichten

Die Berichte zu den geplanten oder durchgeführten Gegenmaßnahmen werden wie die Risikoliste kontinuierlich aktualisiert und den vorher definierten empfangsberechtigten Personen zugeleitet/vorgestellt.

Praxistipp 8-6: Unterstützung der Organisationsleitung wahrt die Effektivität des Risikomanagements
Wenn Risiken kleingeredet oder gar nicht erst kommuniziert werden, liegt der Grund oft in der „Gefahr eines offenen Risikomanagements“: Insbesondere von der politischen Opposition können Risiken ausgenutzt oder dramatisiert werden. Um hier im Vorfeld gegenzusteuern, ist die Unterstützung durch die oberste Leitungsebene und die im Lenkungsausschuss vertretenen Stakeholderinnen und Stakeholdern wesentlich: sie müssen die Vertraulichkeit über die Risikoberichterstattung wahren und gleichzeitig die Projektrisiken gemeinsam tragen.

8.3 Ergebnisdokumente

Wie effektiv das Risikomanagement ist, entscheidet sich weniger in der Erstellung von Ergebnisdokumenten, als vielmehr in der Definition und Durchsetzung wirksamer Gegenmaßnahmen.

Es haben sich dennoch zwei Ergebnisdokumente für die Berichterstattung über Risiken bewährt, da sie den Fokus auf die Kernrisiken im Projekt lenken:

• Risikoliste: Tabellarische Liste aller Risiken und notwendiger Gegenmaßnahmen mit den folgenden Informationen:
  • Kategorisierung der Risiken
  • Beschreibung der Risiken
  • Beschreibung hinsichtlich Schadensausmaß im Falle des Eintretens
  • Bewertung hinsichtlich Eintrittswahrscheinlichkeit
  • Bewertung der Auswirkungen
  • Schätzung des zu erwartenden finanziellen Schadens
  • Beschreibung der Gegenmaßnahmen mit Verantwortlichkeiten
  • Bewertung der Umsetzung der Gegenmaßnahmen
• Risikomatrix: Diese Matrix mit zwei Dimensionen ermöglicht eine grafische Darstellung aller Risiken der Risikoliste (s. Abbildung 27). Kernrisiken, d. h. Risiken mit hoher Eintrittswahrscheinlichkeit und resultierendem großem Schaden im Falle des Eintretens, werden dabei besonders hervorgehoben (roter Bereich). Es empfiehlt sich, das Risiko vor Umsetzung und nach Umsetzung der Gegenmaßnahme zu betrachten, um die daraus resultierenden Änderungen bei der Risikoanalyse sichtbar zu machen.

Abbildung 27: Risikomatrix

8.4 Rollen

Rolle	Funktion
Projektleiter, Projektleiterin	Übernimmt immer auch das oberste Risikomanagement des Projekts. Kommuniziert Risiken aktiv an den LA und andere Stakeholderinnen und Stakeholder, um Überraschungen zu vermeiden. Fordert Unterstützung bei Stakeholdern und Stakeholderinnen ein, um Risikoeintritt zu vermeiden oder Auswirkungen zu mindern. Sorgt für die projektinterne Durchführung von Gegenmaßnahmen. Schafft durch Transparenz und offene Kommunikation eine positive Atmosphäre für das Risikomanagement („Fehlerkultur“). Ist bereit, eigene Leistung im Projekt offen und soweit möglich objektiv einzuschätzen: „Stelle ich selbst ein Risiko dar?“
Risikomanagerin, Risikomanager	Ist zuständig für die Analyse und Bewertung der Risiken sowie für die Definition und Verankerung von Gegenmaßnahmen. Definiert Verantwortliche für Gegenmaßnahmen und verankert die Maßnahmen in deren Aufgabenportfolio. Erstellt Berichte (Risikostatus) und steht auf Wunsch dem LA als unabhängiger Berichterstatter zur Verfügung.
Teilprojektleiter, Teilprojektleiterin und Leiterin, Leiter der Arbeitspakete	Sollten dem Risikomanager für eine periodische Risikosichtung und -bewertung zur Verfügung stehen Sind für die Durchführung eines Großteils der projektinternen Maßnahmen verantwortlich. Leisten einen Beitrag in der Risikoanalyse: Welche Risiken sehen sie aus ihrer Perspektive?
Trouble Management	Leitet die im Bedarfsfall eingerichtete Trouble Management Task Force und kümmert sich um die Aktivitäten, die zur Lösung des besonders großem Risikos oder Problems geplant werden. Stimmt sich eng mit Projektleitung und zuständigen Personen des Risikomanagements ab. Definiert notwendige Maßnahmen, leitet deren Umsetzung an und prüft den Erfolg der ergriffenen Maßnahmen.
Tabelle 11: Rollen und Funktionen im Risikomanagement

Praxistipp 8-7: Risiken müssen durch den Gesamtprojektleitung offen adressiert und aktiv angegangen werden
Bei Großprojekten in der öffentlichen Verwaltung kommen politische Risiken als besondere Risikodimension hinzu, deren Management der speziellen Kompetenz und Erfahrung der für die Gesamtprojektleitung zuständigen Person bedarf: sie muss Sachverhalte auf politischer Ebene so darstellen, dass richtiges Handeln ausgelöst wird. Gleichzeitig muss sie die richtige Ansprache ins Projekt hinein beherrschen. Sie sollte Risiken offen ansprechen, um Überraschungen zu vermeiden, sollte aber nicht als notorisch vor Risiken warnende Person erscheinen, sondern als lösungsorienthandelnde Person auftreten.

8.5 Erfolgsmessgrößen

Wie effektiv das bestehende Risikomanagement ist, kann die Auftraggeberseite des Projekts z. B. mit Hilfe von folgenden Kriterien und Überprüfungen feststellen:

• Wirksamkeit von initiierten Gegenmaßnahmen
• Positive Veränderung von Schadensausmaß, Eintrittswahrscheinlichkeit und voraussichtlichem Eintrittszeitpunkt seit Identifizierung des Risikos
• Regelmäßige Nachhaltung, Analyse und transparente Dokumentation der Risiken

8.6 S-O-S-Vorlagen

Navigieren