=== Fachliche Grundlagen ===


==== Risiken ====

Gemäß PMBOK (R) Guide, Kapitel 11 ist ein ''Risiko'' ein unsicheres Ereignis oder eine Bedingung, dessen/deren Eintreten eine positive oder negative Auswirkung auf mindestens ein Projektziel hat (z.B. Zeit, Kosten, Umfang, Qualität). Es hat somit eine bestimmte Eintrittswahrscheinlichkeit und vorhersehbare Folgen. Im Gegensatz dazu ist ein ''Problem'' ein Ereignis, das bereits eingetreten ist und negative Auswirkungen hat.

Per Definition können Risiken sowohl Bedrohungen als auch Chancen sein. Sie lassen sich hinsichtlich unterschiedlicher Kriterien (z.B. Risikoquellen, Bekanntheit) klassifizieren und in einen Risikostrukturplan (Risk Breakdown Structure, RBS) einordnen. Eine Einteilung hinsichtlich Risikoquellen könnte beispielsweise folgendermaßen aussehen:

* Fachliche bzw. technische Risiken
* Externe Risiken
* Organisatorische Risiken
* Projektmanagement-Risiken

<center>
</center>


=== Prozesse ===

Im oben genannten Kapitel 11 heißt es weiterhin: ''Risikomanagement'' im Projekt verfolgt das Ziel, die Wahrscheinlichkeit und Auswirkungen positiver Ereignisse zu erhöhen und die Wahrscheinlichkeit und Auswirkungen negativer Ereignisse zu vermindern. Es besteht aus folgenden Einzelprozessen:

* Risikomanagementplanung,
* Risikoidentifikation,
* Qualitative Risikoanalyse,
* Quantitative Risikoanalyse,
* Planung zur Risikobewältigung,
* Risikoüberwachung und -steuerung.

<center>
</center>


==== Risikomanagementplanung ====

In der ''Risikomanagementplanung'' werden die Grundlagen für die Durchführung der Risikomanagementaktivitäten im Projekt definiert. Hierzu gehören:

* Methodik (Ansätze, Tools, Datenquellen),
* Rollen und Verantwortlichkeiten,
* Budgetierungsansätze
* Zeitliche Planung
* Risikokategorien
* Schwellwerte
* Berichtsformate
* Nachhalten der Risikomanagementaktiviäten

<center>
</center>


==== Risikoidentifikation ====

''Risikoidentifikation'' ist ein iterativer Prozess, in dem festgestellt wird, welche Risiken das Projekt beeinflussen können, einschließlich der Dokumentation ihrer Eigenschaften. Dabei können folgende Techniken eingesetzt werden:

* Brainstorming,
* Delphi-Methode,
* Interviews,
* Ursachenidentifikation,
* SWOT-Analyse (<u>S</u>trengths, <u>W</u>eaknesses, <u>O</u>pportunities, <u>T</u>hreats).

Bei der SWOT-Analyse werden aus einer internen Sicht Stärken und Schwächen sowie aus einer externen Sicht Chancen und Gefahren untersucht.

Die Risikoidentifikation liefert eine Liste der festgestellten, klassifizierten Risiken einschließlich ihrer Auslöser (Ereignisse, die auf den Eintritt eines Risikos hinweisen) - das sogenannte Risk Register.


==== Qualitative Risikoanalyse ====

Die ''qualitative Risikoanalyse'' ist ein subjektives Werkzeug zur Priorisierung identifizierter Projektrisiken. Dabei werden für jedes Einzelrisiko die Eintrittswahrscheinlichkeit und der angenommene Auswirkungsgrad für die Projektziele bewertet. Durch Multiplikation dieser beiden Faktoren lässt sich das Risiko bewerten:

Bewertung = Eintrittswahrscheinlichkeit * Auswirkungsgrad

Legt man für Kombinationen von Eintrittswahrscheinlichkeit und Auswirkung unter Verwendung organisatorischer Richtlinien fest, für welche Bewertungsergebnisse ein Risiko als hoch, mittel oder niedrig eingestuft wird, kann man die Risiken priorisieren und zur weiteren Bearbeitung in einer Prioritätenliste zusammenfassen. Die entstehende Matrix heißt Wahrscheinlichkeits- / Auswirkungsmatrix, wobei die Einträge beschreibend oder numerisch sein können.


==== Quantitative Risikoanalyse ====

Die ''quantitative Risikoanalyse'' setzt die qualitative Risikoanalyse fort, indem sie die priorisierten Risiken aufgreift und einer numerischen Bewertung unterzieht. Dabei werden folgende Größen benötigt:

* Eintrittswahrscheinlichkeit in %,
* Auswirkung in monetärer Dimension (z.B. EUR, USD).

Das Produkt dieser beiden Größen liefert dann den Erwartungswert für den Eintritt des Risikos oder kurz: den Risikowert. Die Eintrittswahrscheinlichkeit übernimmt man entweder aus der qualitativen Risikoanalyse oder - falls man diesen Prozess übersprungen hat - ermittelt sie in der quantitativen Risikoanalyse. Addiert man die Risikowerte aller Einzelrisiken, so erhält man den Gesamtrisikowert des Projektes.


==== Planung zur Risikobewältigung ====

Die ''Planung zur Risikobewältigung'' umfasst die Entwicklung von Alternativen und Ableitung von Maßnahmen, um Chancen für die Projektziele zu verstärken und Gefahren zu reduzieren. Für negative Risiken (Bedrohungen) und positive Risiken (Chancen) gibt es jeweils drei generische Strategien.

Strategien für negative Risiken:

* Vermeiden, d.h. Ändern der Rahmenbedingungen, so dass die Bedrohung neutralisiert wird (z.B. durch Abschwächung der Projektziele, Klarstellung von Anforderungen, Verbesserung der Kommunikation),
* Übertragen, d.h. Verlagerung der negativen Auswirkungen eines Risikos zusammen mit dem Risiko an eine andere Partei,
* Mindern, d.h. Absenken der Eintrittswahrscheinlichkeit und / oder Auswirkung eines Risikos unter einen verträglichen Schwellwert.

Strategien für positive Risiken:

* Ausschöpfen, d.h. Beseitigung von Unsicherheiten, so dass die Chance eintreten kann (z.B. durch Vergrößerung der Ressourcenallokation für das Projekt, um es schneller fertigzustellen oder Verbesserung der Qualität),
* Teilen, d.h. Übertragen der Verantwortung für das Risiko an eine andere Partei, die am besten für die Chancenwahrnehmung geeignet ist,
* Steigern, d.h. Erhöhen der Eintrittswahrscheinlichkeit und / oder Auswirkung des Risikos.

<center>
</center>


==== Risikoüberwachung und -steuerung ====

Im Rahmen des Prozesses ''Risikoüberwachung und -steuerung'' werden die identifizierten und bewerteten Risiken sowie die abgeleiteten Maßnahmen in regelmäßigen Abständen überprüft und angepasst. Dabei stehen folgende Fragen im Vordergrund:

* Welche Risiken sind eingetreten, welche konnten abgewendet werden?
* Wie haben sich für die identifizierten Risiken Eintrittswahrscheinlichkeit und / oder Auswirkung verändert?
* Welche neuen Risiken müssen berücksichtigt werden?
* Wie erfolgreich waren die Maßnahmen, die mit den Risiken verknüpft sind?
* Welche neuen Maßnahmen müssen definiert werden?
* Sind die gewählten Risikobewältigungsstrategien noch angemessen?

Für eine transparente und nachvollziehbare Risikosteuerung benötigt das Projektmanagement eine durchgängige und konsistente Sicht auf die Informationen, die in den Teilprozessen des Risikomanagements entstehen. Dies bedeutet:

* Es muss einen Überblick über alle Risiken geben, die das Projekt betreffen (Risk Register). Hierzu gehören einerseits Risiken, die bereits im Vorfeld des Projektes existierten und die durch die Projektierung von Anforderungen Eingang in das Projekt gefunden haben. Andererseits müssen die Risiken, die im Laufe des Projektes auf den einzelnen PSP-Elementen identifiziert wurden, auf einen Blick erkennbar sein. Der Überblick sollte alle relevanten Informationen wie Risikoart (d.h. auf welches Ziel das Risiko wirkt), Kategorie (Bedrohung oder Chance), Eintrittswahrscheinlichkeit und Auswirkung beinhalten.

* Zwischen Risiken und Maßnahmen muss eine Durchgängigkeit in der Informationsverknüpfung bestehen, d.h. es muss direkt erkennbar sein, welche Maßnahmen für ein Risiko definiert sind und auf welche Risiken eine Maßnahme wirkt. Stammt ein Risiko von einer Anforderung, so ist auch diese Information zu integrieren.

* Zur Begutachtung der Risikoverteilung müssen geeignete Auswertungsmöglichkeiten vorhanden sein, die einerseits eine Zusammenfassung der Risiken nach unterschiedlichen Kriterien (z.B. Bündelung aller Termin-, Budget- bzw. Qualitätsrisiken, Differenzierung zwischen Bedrohungen und Chancen, Klassifikation nach Risikostatus), andererseits ein Drill-Down zu den Einzelrisiken ermöglichen.

* Die relative Lage der Risiken zueinander hinsichtlich Eintrittswahrscheinlichkeit und Auswirkung erfordert eine grafische Darstellung, durch die sich Bedrohungen und Chancen auf einen Blick unterscheiden lassen und die ebenfalls eine direkte Navigation zum Einzelrisiko unterstützt.

* Neben den bereits genannten Auswertungs- und Darstellungsmöglichkeiten ist für eine wirkungsvolle Risikosteuerung auch eine Nachverfolgbarkeit der Entwicklung über einen definierbaren Zeitraum wichtig - sowohl für die Einzelrisiken als auch für das Gesamtrisiko.

Ein umfassendes und proaktives Risikomanagement erfordert somit weit mehr als lediglich die Sammlung einzelner Risiken in einer Excel-Datei. Eine verlässliche Steuerung lässt sich nur mit einem methodisch durchgängigen, professionellen Werkzeug inklusive konsistenter Datenhaltung, Integration und Verknüpfung der Informationsobjekte sowie Zugriff auf ihre Historie erreichen.
