Wie organisiert HERMES Qualität und Risiko?
HERMES trennt zwei Perspektiven. Die Projektführung plant, führt und koordiniert das Projekt; dazu gehören die Aufgaben Risiken managen und Qualitätssicherung führen. Die Projektsteuerung stellt die Zielerreichung sicher und trifft Entscheide zu Risiken.[1] Dazwischen steht — je nach Grösse und Risiko des Projekts — der Qualitäts- und Risikomanager, der dem Auftraggeber eine unabhängige Sicht liefert.[3]
| Ebene | Wer | Aufgabe | Ergebnisse |
|---|---|---|---|
| Steuerung | Auftraggeber, Projektausschuss | Entscheide zu Risiken, Freigaben | Liste Projektentscheide Steuerung |
| Steuerung (unabhängig) | Qualitäts- und Risikomanager | Unabhängige Beurteilung, Empfehlungen | QS- und Risikobericht |
| Führung | Projektleiter | Risiken managen, Qualitätssicherung führen | Projektstatusbericht, Projektmanagementplan, Prüfprotokoll |
| Ausführung | Fachrollen, Tester | Qualität der Ergebnisse, Tests | Testprotokoll, Ergebnisse |
Was macht der Qualitäts- und Risikomanager?
Der Qualitäts- und Risikomanager unterstützt den Auftraggeber mit einer unabhängigen Beurteilung des Projekts und empfiehlt Massnahmen zur Erreichung der Projektziele. Zu seinen Verantwortlichkeiten gehören die Beurteilung der Einhaltung der Vorgaben der Stammorganisation sowie die Beurteilung von Vorgehen und Ergebnissen des Projektmanagements, der Projektorganisation und der Zusammenarbeit im Projekt.[2]
Für die Besetzung gelten strenge Regeln: Der Auftraggeber setzt das Qualitäts- und Risikomanagement je nach Grösse und Risiken ein, es berichtet direkt an ihn. Die unabhängige Organisation, die die Rolle stellt, übernimmt keine weiteren Rollen im Projekt und muss die Unabhängigkeit des Mandats sicherstellen.[3] Als Fähigkeiten nennt die Rollenbeschreibung vertieftes Projektmanagementwissen — insbesondere zu Controlling, Qualitätssicherung und Risikomanagement —, betriebswirtschaftliche Kenntnisse und vertiefte, durch ein Zertifikat belegte HERMES-Kenntnisse.[2]
Welche Risiken betrachtet HERMES in welcher Phase?
Risikomanagement ist in HERMES kein einmaliges Dokument, sondern zieht sich durch die Phasenbeschreibungen. Das Referenzhandbuch formuliert für jede Phase, was mit den Risiken zu geschehen hat:[1]
| Phase | Anforderung an das Risikomanagement |
|---|---|
| Initialisierung | Die Studie ermittelt unter anderem die Projekt- und Betriebsrisiken; zu hohe Risiken sind ein möglicher Grund für die Beendigung |
| Konzept | Projekt- und Betriebsrisiken müssen vor der Phasenfreigabe identifiziert, analysiert und bewertet sein |
| Realisierung | Einführungsrisiken müssen beurteilt werden und vertretbar sein, sonst kann die Einführung nicht erfolgen |
| Umsetzung (agil) | Projekt-, Betriebs- und Einführungsrisiken werden iterativ identifiziert, analysiert, bewertet und beurteilt |
| Alle Phasen | Risiken managen als laufende Aufgabe der Projektführung; Entscheide zu Risiken durch die Steuerung |
Die Tabelle zeigt, warum die Freigaben in HERMES so viel Gewicht haben: An jedem Phasenende steht implizit die Frage, ob die Risiken noch tragbar sind. Die Entscheide selbst beschreibt das Kapitel Meilensteine und Entscheide.
Wie funktioniert die Qualitätssicherung?
Die Qualitätssicherung wird im Projektmanagementplan geplant: Er enthält Qualitätsziele und -vorgaben für die Durchführung, einen Prüfplan und Regeln zur Qualitätssicherung.[1] Die Aufgabe Qualitätssicherung führen erzeugt das Prüfprotokoll, das in jeder Phase nachweist, welche Prüfungen durchgeführt wurden und mit welchem Ergebnis. Tests im engeren Sinn regelt das Modul Tests mit Testkonzept und Testprotokoll.
- Qualitätsziele und Prüfplan im Projektmanagementplan festlegen.
- Prüfungen je Ergebnis planen: Wer prüft was, wann, nach welchen Kriterien?
- Ergebnisse im Prüfprotokoll festhalten.
- Abweichungen als Massnahmen nachverfolgen, nicht nur notieren.
- Abnahmekriterien früh im Einführungskonzept definieren.
Der QS- und Risikobericht
Der QS- und Risikobericht ist das zentrale Ergebnis für die Steuerung. Er gehört zu den Ergebnissen der Entscheide Phasenfreigabe, Releasefreigabe, Phasenfreigabe Abschluss und Projektabschluss sowie der laufenden Aufgabe Projekt steuern.[1] Damit liegt bei jedem wichtigen Entscheid eine unabhängige Einschätzung vor.
Eine bewährte Gliederung, wie sie auch die Flenio-Vorlage QS- und Risikobericht verwendet: Management Summary, durchgeführte QS-Aktivitäten, wichtigste Risiken mit Bewertung, Massnahmenplan, Trend gegenüber dem letzten Bericht und eine klare Empfehlung an den Auftraggeber. Entscheidend ist die Empfehlung — ein Bericht ohne Empfehlung überlässt die Bewertung dem, der sie am wenigsten unabhängig treffen kann.
Projekt-, Betriebs- und Einführungsrisiken
HERMES unterscheidet in den Phasenbeschreibungen drei Arten von Risiken, die zu verschiedenen Zeitpunkten im Vordergrund stehen.[1] Die Unterscheidung hilft, das Risikoregister zu strukturieren und die richtigen Personen einzubeziehen:
| Risikoart | Worum es geht | Typische Beispiele | Wer bewertet mit |
|---|---|---|---|
| Projektrisiken | Gefährden Ziele, Kosten oder Termine des Projekts | Schlüsselpersonen fehlen, Anforderungen ändern sich, Lieferverzug | Projektleiter, Anwendervertreter |
| Betriebsrisiken | Gefährden den späteren Betrieb der Lösung | Unklare Verantwortung, fehlende Betriebskompetenz, Sicherheitslücken | Betriebsverantwortlicher, ISDS-Verantwortlicher |
| Einführungsrisiken | Gefährden den Übergang in den neuen Zustand | Ungenügende Schulung, Datenmigration, Akzeptanz | Anwendervertreter, Einführungsorganisation |
Die Beispiele sind illustrativ. Entscheidend ist der Zeitpunkt: Betriebsrisiken gehören schon in die Studie, weil sie die Wahl der Lösungsvariante beeinflussen; Einführungsrisiken müssen spätestens am Ende der Realisierung vertretbar sein.
Ein QRM-Mandat aufsetzen
Wird das Qualitäts- und Risikomanagement extern vergeben, entscheidet das Mandat über seinen Nutzen. Aus den Rollenregeln ergeben sich klare Anforderungen: Die beauftragte Organisation berichtet direkt dem Auftraggeber, übernimmt keine weiteren Rollen im Projekt und sichert ihre Unabhängigkeit.[3] Ihre Prüfgegenstände sind die Einhaltung der Vorgaben der Stammorganisation sowie Vorgehen und Ergebnisse von Projektmanagement, Projektorganisation und Zusammenarbeit.[2]
- Prüfumfang und Prüfzeitpunkte im Mandat festlegen, ausgerichtet auf die Freigabe-Meilensteine.
- Zugang zu allen Projektunterlagen und Gremien sicherstellen, bei agiler Umsetzung auch zum Entwicklungsteam.
- Berichtslinie direkt zum Auftraggeber vereinbaren, nicht über die Projektleitung.
- Ausschliessen, dass die beauftragte Organisation im selben Projekt liefert oder berät.
- Format des QS- und Risikoberichts mit Empfehlung und Trend vorgeben.
Qualitätsziele konkret formulieren
Qualitätsziele im Projektmanagementplan sind nur nützlich, wenn sie prüfbar sind. Eine einfache Struktur aus Ziel, Messgrösse und Prüfung macht sie überprüfbar und gibt dem Prüfprotokoll eine klare Grundlage:
| Qualitätsziel | Messgrösse | Prüfung |
|---|---|---|
| Anforderungen sind vollständig und abgenommen | Anteil abgenommener Lösungsanforderungen | Review mit dem Anwendervertreter vor der Phasenfreigabe |
| Kritische Fehler sind vor der Einführung behoben | Anzahl offener kritischer Fehler | Testprotokoll vor der Abnahme |
| Dokumente folgen den Vorgaben der Stammorganisation | Abweichungen von Vorlagen | Stichprobe durch die Projektunterstützung |
| Entscheide sind nachvollziehbar | Vollständigkeit der Liste Projektentscheide | Prüfung durch das Qualitäts- und Risikomanagement |
Die Beispiele sind illustrativ. Wichtig ist, dass jedes Ziel einer Prüfung im Prüfplan zugeordnet ist und das Ergebnis im Prüfprotokoll erscheint.
Risiken verständlich berichten
Der Projektstatusbericht ist der Ort, an dem Risiken die Steuerung erreichen. Hilfreich ist eine kurze, gleichbleibende Darstellung: die wichtigsten Risiken mit Bewertung und Trend, die beschlossenen Massnahmen mit Stand und eine Aussage, welche Entscheide die Steuerung treffen muss. Wer jedes Mal die vollständige Risikoliste beilegt, versteckt die wichtigen Risiken in der Menge.
Was die Finanzkontrolle erwartet
Im Vorwort des Referenzhandbuchs fordert die Eidgenössische Finanzkontrolle, nie ohne ausgereiftes Qualitäts- und Risikomanagement zu starten. Sie verlangt zudem, Architektur-, IKS- und Sicherheitsverantwortliche früh einzubeziehen und sicherzustellen, dass ausreichend explizite Testfälle für interne Kontrollen und Sicherheitselemente vorliegen und möglichst automatisiert durchgeführt werden.[1] Für das Qualitäts- und Risikomanagement ist das eine klare Prüfliste.
Qualität und Risiko in kleinen Projekten
Auch ohne QRM gilt die Empfehlung der Finanzkontrolle sinngemäss: Ein kleines Projekt braucht ebenfalls ein bewusstes Qualitäts- und Risikomanagement, nur in kleinerem Umfang. Eine einseitige Risikoliste mit Massnahmen und Verantwortlichen, die vor jeder Freigabe aktualisiert wird, erfüllt diesen Zweck oft bereits.
Ein eigener Qualitäts- und Risikomanager ist für kleine Projekte oft unverhältnismässig. Die Aufgaben der Projektführung bleiben aber: Risiken managen und Qualitätssicherung führen. Bewährt hat sich, die unabhängige Sicht anders sicherzustellen — etwa durch eine kurze Prüfung durch das Kompetenzzentrum Projektmanagement vor der Durchführungsfreigabe oder durch ein Review einer Person aus einem anderen Projekt. Wichtig ist, dass die prüfende Person keine Rolle im Projekt hat. Die Entscheidung, auf das QRM zu verzichten, gehört begründet in den Projektmanagementplan.
Qualität in der Abnahme
Die Abnahme ist der Punkt, an dem Qualität rechtlich wirksam wird. Das Abnahmeprotokoll hält fest, ob die vereinbarten Lösungseigenschaften erfüllt sind und welche Mängel mit welchen Fristen bestehen.[1] Deshalb sollten Abnahmekriterien früh definiert und mit den Qualitätszielen verknüpft werden; eine Abnahme ohne vorher vereinbarte Kriterien führt fast zwangsläufig zu Streit.
Praxisanleitung: Risikomanagement in einem HERMES-Projekt
- 1In der Studie Projekt- und Betriebsrisiken je Lösungsvariante erfassen.
- 2Ein Risikoregister mit Eintrittswahrscheinlichkeit, Auswirkung, Massnahme und Verantwortlichem führen.
- 3Risiken mit einer Risikomatrix bewerten und Prioritäten setzen.
- 4Top-Risiken im Projektstatusbericht laufend berichten.
- 5Vor jeder Freigabe den QS- und Risikobericht einholen.
- 6Entscheide zu Risiken der Steuerung in der Liste Projektentscheide dokumentieren.
- 7In den Projekterfahrungen festhalten, welche Risiken eingetreten sind und welche Massnahmen gewirkt haben.
Wie die Rollen zusammenspielen, beschreibt das Kapitel HERMES-Rollen; welche Dokumente insgesamt entstehen, das Kapitel HERMES-Ergebnisse. Den Überblick bietet der HERMES-Leitfaden.