Risiken und Maßnahmen identifizieren

Im Rahmen des Risikomanagements werden Risiken identifiziert und bewertet, sowie Maßnahmen geplant, mit denen auf bereits indentifizierte Risiken reagiert werden kann. Diese Aktivitäten werden im Folgenden beschrieben.

Risiken identifizieren

Mögliche neue Projektrisiken sind laufend, das heißt periodisch und/oder ereignisbedingt, während der Projektlaufzeit zu identifizieren, zum Beispiel bei Projektstart, Meilensteinen oder Phaseneintritten. Für die Identifizierung der Risiken zu bestimmten Zeitpunkten haben sich Risiko-Workshops bewährt. Bei diesen Workshops ist auf das Know-how von Experten und die Erfahrungen aus früheren Projekten zurückzugreifen. Um bei den Workshops das gesamte Spektrum potentieller Risiken zu erfassen, werden Fragenkataloge eingesetzt. Diese gliedern sich in unterschiedliche Themengebiete und Fragestellungen, wie:

• Zu erstellendes System / Technik / Technologie.
  • Sind die Anforderungen an das System stabil, klar und machbar?
  • Sind die Schnittstellen des Systems präzise?
  • Ist das System testbar?
  • Wird eine neue Technologie eingesetzt?
• Prozesse / Tätigkeiten / Dokumente
  • Ist der Entwicklungsprozess definiert und angemessen?
  • Sind die Projektbeteiligten entsprechend ihrer Tätigkeiten geschult?
  • Kennen alle Projektbeteiligten die Abläufe, Tätigkeiten und die erwarteten Ergebnisse?
  • Sind die geplanten Termine realistisch?
• Organisation / Arbeitsumgebung
  • Sind genügend Mitarbeiter für die Abwicklung des Projektes verfügbar?
  • Ist das notwendige Budget verfügbar?
  • Bestehen Abhängigkeiten von Unterauftragnehmern?
  • Sind die benötigten Entwicklungsumgebungen vorhanden?

Die identifizierten Risiken sind in der Risikoliste zu dokumentieren.

Sollen im Rahmen des Risikomanagements auch Chancen betrachtet werden (siehe Projekthandbuch), können neben den Risiken auch Chancen identifiziert und in der Risikoliste dokumentiert werden. Chancen sind dabei analog zu den Risiken zu behandeln. Im Folgenden wird deshalb nur noch von Risiken gesprochen.

Risiken bewerten

Für jedes identifizierte Risiko ist die Eintrittswahrscheinlichkeit (Risikowahrscheinlichkeit) und die Schadenshöhe (Risikoschaden) bei Eintritt des Risikos zu schätzen und daraus das Risikomaß zu berechnen. Es genügt dabei, Größenordnungen für die Eintrittswahrscheinlichkeit und die Risikoauswirkungen anzugeben. Auf Basis des Risikomaßes und der Erfahrung wird das Risiko einer Risikoklasse zugeordnet. Die Ergebnisse sind in die Risikoliste zu übernehmen.

Maßnahmen planen

Um auf die identifizierten Risiken reagieren zu können, bevor sie zu einem Problem für das Projekt werden, sind Gegenmaßnahmen und Verantwortliche zu definieren sowie Aufwand und Termine für die Umsetzung dieser Maßnahmen zu planen. Abhängig von der Risikoklasse sind in einer Planungsrunde folgende Entscheidungen zu treffen und entsprechende Maßnahmen zu planen:

• Risiko vermeiden: Es sind präventive Maßnahmen wie Technologiewechsel zu planen und sofort zu starten.
• Risiko lindern oder minimieren: Es sind situationsabhängige Maßnahmen, wie Ausweichpläne, zu definieren. Dazu sind Trigger, zum Beispiel Terminverzug oder Mehrkosten, festzulegen, bei deren Eintreten mit der Durchführung der Maßnahmen zu beginnen ist.
• Risiko übertragen oder teilen: Hierbei ist das Risiko auf verschiedene Partner aufzuteilen oder ganz auf andere zu übertragen. Für die Übertragung der Verantwortung für ein Risiko ist üblicherweise eine Prämie an den Verantwortungsnehmer zu bezahlen. Eine weitere Möglichkeit sind Geldrückstellungen, zum Beispiel für Konventionalstrafen. Maßnahmen sind nur noch für das verbleibende Restrisiko zu planen.
• Risiko akzeptieren: In diesem Fall sind bewusst keine Maßnahmen zu planen und bei Eintritt die Folgen des Risikos zu tragen. Dies ist zum Beispiel dann sinnvoll, wenn der Aufwand für die Gegenmaßnahmen die verbleibende Schadenshöhe übersteigt. Es ist deshalb das nach Durchführung einer Maßnahme verbleibende Restrisiko durch die Daten Risikowahrscheinlichkeit, Risikoschaden, Risikomaß und Risikoklasse zu bestimmen. Der Aufwand, der für die Durchführung der Maßnahme notwendig ist, sollte dabei nicht höher sein als die Differenz zwischen Risikomaß und Restrisikomaß. Bei Verzicht auf Gegenmaßnahmen ist zu prüfen, ob Geldrückstellungen, zum Beispiel für Konventionalstrafen, zu erfolgen haben.

Die Planungsdaten für die beschlossenen Gegenmaßnahmen sind in der Risikoliste zu dokumentieren und in den Projektplan und die Kostenschätzung einzubringen.