Gemäß PMBOK (R) Guide, Kapitel 11 ist ein Risiko ein unsicheres Ereignis oder eine Bedingung, dessen/deren Eintreten eine positive oder negative Auswirkung auf mindestens ein Projektziel hat (z.B. Zeit, Kosten, Umfang, Qualität). Es hat somit eine bestimmte Eintrittswahrscheinlichkeit und vorhersehbare Folgen. Im Gegensatz dazu ist ein Problem ein Ereignis, das bereits eingetreten ist und negative Auswirkungen hat.
Per Definition können Risiken sowohl Bedrohungen als auch Chancen sein. Sie lassen sich hinsichtlich unterschiedlicher Kriterien (z.B. Risikoquellen, Bekanntheit) klassifizieren und in einen Risikostrukturplan (Risk Breakdown Structure, RBS) einordnen. Eine Einteilung hinsichtlich Risikoquellen könnte beispielsweise folgendermaßen aussehen:
Im oben genannten Kapitel 11 heißt es weiterhin: Risikomanagement im Projekt verfolgt das Ziel, die Wahrscheinlichkeit und Auswirkungen positiver Ereignisse zu erhöhen und die Wahrscheinlichkeit und Auswirkungen negativer Ereignisse zu vermindern. Es besteht aus folgenden Einzelprozessen:
In der Risikomanagementplanung werden die Grundlagen für die Durchführung der Risikomanagementaktivitäten im Projekt definiert. Hierzu gehören:
Risikoidentifikation ist ein iterativer Prozess, in dem festgestellt wird, welche Risiken das Projekt beeinflussen können, einschließlich der Dokumentation ihrer Eigenschaften. Dabei können folgende Techniken eingesetzt werden:
Bei der SWOT-Analyse werden aus einer internen Sicht Stärken und Schwächen sowie aus einer externen Sicht Chancen und Gefahren untersucht.
Die Risikoidentifikation liefert eine Liste der festgestellten, klassifizierten Risiken einschließlich ihrer Auslöser (Ereignisse, die auf den Eintritt eines Risikos hinweisen) - das sogenannte Risk Register.
Die qualitative Risikoanalyse ist ein subjektives Werkzeug zur Priorisierung identifizierter Projektrisiken. Dabei werden für jedes Einzelrisiko die Eintrittswahrscheinlichkeit und der angenommene Auswirkungsgrad für die Projektziele bewertet. Durch Multiplikation dieser beiden Faktoren lässt sich das Risiko bewerten:
Bewertung = Eintrittswahrscheinlichkeit * Auswirkungsgrad
Legt man für Kombinationen von Eintrittswahrscheinlichkeit und Auswirkung unter Verwendung organisatorischer Richtlinien fest, für welche Bewertungsergebnisse ein Risiko als hoch, mittel oder niedrig eingestuft wird, kann man die Risiken priorisieren und zur weiteren Bearbeitung in einer Prioritätenliste zusammenfassen. Die entstehende Matrix heißt Wahrscheinlichkeits- / Auswirkungsmatrix, wobei die Einträge beschreibend oder numerisch sein können.
Die quantitative Risikoanalyse setzt die qualitative Risikoanalyse fort, indem sie die priorisierten Risiken aufgreift und einer numerischen Bewertung unterzieht. Dabei werden folgende Größen benötigt:
Das Produkt dieser beiden Größen liefert dann den Erwartungswert für den Eintritt des Risikos oder kurz: den Risikowert. Die Eintrittswahrscheinlichkeit übernimmt man entweder aus der qualitativen Risikoanalyse oder - falls man diesen Prozess übersprungen hat - ermittelt sie in der quantitativen Risikoanalyse. Addiert man die Risikowerte aller Einzelrisiken, so erhält man den Gesamtrisikowert des Projektes.
Die Planung zur Risikobewältigung umfasst die Entwicklung von Alternativen und Ableitung von Maßnahmen, um Chancen für die Projektziele zu verstärken und Gefahren zu reduzieren. Für negative Risiken (Bedrohungen) und positive Risiken (Chancen) gibt es jeweils drei generische Strategien.
Strategien für negative Risiken:
Strategien für positive Risiken:
Im Rahmen des Prozesses Risikoüberwachung und -steuerung werden die identifizierten und bewerteten Risiken sowie die abgeleiteten Maßnahmen in regelmäßigen Abständen überprüft und angepasst. Dabei stehen folgende Fragen im Vordergrund:
Für eine transparente und nachvollziehbare Risikosteuerung benötigt das Projektmanagement eine durchgängige und konsistente Sicht auf die Informationen, die in den Teilprozessen des Risikomanagements entstehen. Dies bedeutet:
Ein umfassendes und proaktives Risikomanagement erfordert somit weit mehr als lediglich die Sammlung einzelner Risiken in einer Excel-Datei. Eine verlässliche Steuerung lässt sich nur mit einem methodisch durchgängigen, professionellen Werkzeug inklusive konsistenter Datenhaltung, Integration und Verknüpfung der Informationsobjekte sowie Zugriff auf ihre Historie erreichen.