Risikomanagement im Projekt: Prozess, Methoden und Praxis nach ISO 31000

Was ist Risikomanagement im Projekt?

Jedes Projekt ist einmalig und damit unsicher. Termine verschieben sich, Schlüsselpersonen fallen aus, Anforderungen ändern sich, Lieferanten liefern verspätet, und manchmal ergeben sich unerwartete Gelegenheiten, die das Projekt schneller oder günstiger machen. Risikomanagement ist der systematische Umgang mit diesen Unsicherheiten: Risiken werden frühzeitig erkannt, bewertet, mit Massnahmen versehen und laufend überwacht. Ziel ist nicht, jedes Risiko zu beseitigen, sondern bewusst zu entscheiden, welche Risiken getragen, verringert, übertragen oder vermieden werden.

Die internationale Leitlinie ISO 31000:2018 definiert Risiko als Auswirkung von Unsicherheit auf Ziele. Eine Auswirkung ist dabei eine Abweichung vom Erwarteten, die positiv, negativ oder beides sein kann und Chancen wie Bedrohungen schaffen kann. Risiko wird üblicherweise über Risikoquellen, mögliche Ereignisse, ihre Konsequenzen und ihre Wahrscheinlichkeit beschrieben ^[1]. Diese Definition ist für Projekte besonders nützlich, weil sie den Blick auf die Projektziele richtet: Ein Risiko ist nur relevant, wenn es Termine, Kosten, Umfang, Qualität oder Nutzen beeinflussen kann.

Welche Grundbegriffe sind wichtig?

Die Begriffe stammen aus dem Begriffskapitel von ISO 31000 ^[1]. Wer sie im Projektteam einheitlich verwendet, vermeidet ein häufiges Problem: Im Risikoregister stehen Ursachen, Ereignisse und Folgen bunt gemischt, etwa «Lieferant» als Risiko statt «Verzug der Schnittstelle durch Kapazitätsengpass beim Lieferanten mit Folge Terminverschiebung». Eine gute Risikobeschreibung nennt Ursache, Ereignis und Auswirkung. Das Glossar erklärt die Grundlagen unter Risikomanagement und Risikoregister.

Wie läuft der Risikomanagementprozess ab?

ISO 31000 betont, dass der Prozess oft als Abfolge dargestellt wird, in der Praxis aber iterativ ist und auf strategischer, operativer, Programm- oder Projektebene angewendet werden kann ^[1]. Für Projekte heisst das: Risikomanagement ist keine einmalige Übung zu Projektbeginn, sondern begleitet das Projekt bis zum Abschluss. Auch die Projektmanagementnorm ISO 21502 behandelt Risikomanagement als eine der Praktiken, die über die gesamte Projektlaufzeit anzuwenden sind ^[6].

Wie werden Projektrisiken identifiziert?

Risiken werden mit verschiedenen Techniken gesammelt: in Workshops mit dem Projektteam, mit Checklisten aus früheren Projekten, durch Analyse von Annahmen und Abhängigkeiten, mit Interviews von Fachleuten oder mit kreativen Methoden wie einem Pre-Mortem, bei dem sich das Team vorstellt, das Projekt sei gescheitert, und nach den Gründen sucht. ISO 31000 nennt Faktoren, die bei der Identifikation zu berücksichtigen sind, etwa Ursachen und Ereignisse, Bedrohungen und Chancen, Schwachstellen und Fähigkeiten, Wissensgrenzen sowie Voreingenommenheit und Annahmen der Beteiligten ^[1]. Techniken mit Beispielen und typischen Risiken nach Kategorien beschreibt der Beitrag Projektrisiken identifizieren.

Wie werden Risiken bewertet?

Die Analyse kann qualitativ, quantitativ oder kombiniert erfolgen ^[1]. Qualitativ werden Wahrscheinlichkeit und Auswirkung auf Skalen eingestuft und in einer Risikomatrix dargestellt. Quantitativ wird der Erwartungswert berechnet, also Wahrscheinlichkeit mal monetäre Auswirkung, oder es werden Unsicherheiten in Terminen und Kosten mit einer Monte-Carlo-Simulation modelliert. Techniken dafür beschreibt die Norm IEC 31010:2019 zu Risikobeurteilungsverfahren ^[4].

Ein Beispiel aus dem Beitrag zur Risikobewertung zeigt, warum quantitative Methoden wertvoll sind: Drei Arbeitspakete mit wahrscheinlichsten Dauern von 12, 10 und 6 Tagen ergeben einen Plan von 28 Tagen. Berücksichtigt man die realistischen Bandbreiten, wird dieser Plan in einer Simulation nur in rund 8 von 100 Durchläufen eingehalten; der Median liegt bei etwa 31,5 Tagen. Ausführlich mit Matrix, Erwartungswert und Simulation im Beitrag Risikobewertung.

Welche Strategien gibt es für den Umgang mit Risiken?

Diese sieben Optionen nennt ISO 31000 und hält fest, dass sie sich nicht gegenseitig ausschliessen und dass die Behandlung selbst neue Risiken erzeugen kann ^[1]. In der Projektmanagementpraxis des PMI werden für Bedrohungen häufig die Strategien vermeiden, mindern, übertragen, akzeptieren und eskalieren unterschieden, für Chancen nutzen, verbessern, teilen und akzeptieren ^[5]. Ein Vergleich mit Entscheidungshilfe findet sich im Beitrag Risikostrategien.

Warum gehören Chancen zum Risikomanagement?

Weil ISO 31000 Risiko neutral als Abweichung vom Erwarteten definiert, gehören positive Abweichungen ausdrücklich dazu. In vielen Projekten werden Chancen trotzdem übersehen, weil das Risikoregister nur Bedrohungen enthält. Dabei können Chancen erheblich zum Projekterfolg beitragen: ein früher verfügbares Teammitglied, eine Standardlösung statt Eigenentwicklung, eine Förderung, ein Synergieeffekt mit einem anderen Projekt. Wer Chancen genauso systematisch sucht und bewertet wie Bedrohungen, kann sie gezielt nutzen. Mehr dazu im Beitrag Chancenmanagement.

Welche Rolle spielt ISO 31000?

ISO 31000 ist die internationale Leitlinie für Risikomanagement in Organisationen jeder Grösse und Branche. Die zweite Ausgabe erschien im Februar 2018 und ersetzt die Ausgabe von 2009 ^[1]. Sie ist eine Leitlinie und kann nicht für Zertifizierungen verwendet werden, bietet aber Orientierung für interne und externe Audits ^[2]. Laut ISO befindet sich die Norm inzwischen in Überarbeitung ^[3]. Wie die Grundsätze, der Rahmen und der Prozess der Norm in Projekten umgesetzt werden, beschreibt der Beitrag ISO 31000 im Projekt.

Wie wird ein Risikoregister geführt?

Das Risikoregister ist das zentrale Arbeitsinstrument des Risikomanagements im Projekt. Es enthält für jedes Risiko eine eindeutige Kennung, eine Beschreibung mit Ursache, Ereignis und Auswirkung, die Einstufung von Wahrscheinlichkeit und Auswirkung, die verantwortliche Person, die gewählte Strategie, die Massnahmen mit Terminen, Frühwarnindikatoren und den aktuellen Status. Wichtig ist, dass das Register lebt: Es wird regelmässig überprüft, etwa in jeder Projektsitzung oder jedem Sprint Review, und neue Risiken werden ergänzt, erledigte geschlossen.

Vorlagen bietet flenio.ch unter Risikoregister und Risikoanalyse. Für die Einstufung hilft der Risikoscore-Rechner, für die Reserve der Budgetpuffer-Rechner. In Flenio lassen sich Massnahmen als Aufgaben mit Verantwortlichen und Fälligkeit verfolgen und Risiken im Projektstatus sichtbar machen.

Wer ist für Risiken verantwortlich?

ISO 31000 verlangt, Personen zu bestimmen, die Verantwortung und Befugnis haben, Risiken zu steuern, sogenannte Risikoeigner ^[1]. Im Projekt hat jedes Risiko einen Eigner, der die Entwicklung beobachtet und Massnahmen anstösst. Die Projektleitung koordiniert das Risikomanagement insgesamt, der Auftraggeber oder Lenkungsausschuss entscheidet über Risiken, die den Rahmen des Projekts sprengen, und über die Freigabe von Reserven. Wer Risiken entdeckt, ist dagegen jede Person im Projekt; eine offene Kultur, in der Risiken früh angesprochen werden, ist wichtiger als jedes Formular.

Risikomanagement in agilen Projekten

Agile Vorgehen reduzieren viele Risiken bereits durch ihre Struktur: Kurze Zyklen, frühe Lieferungen und regelmässiges Feedback machen Abweichungen schnell sichtbar. Trotzdem ersetzen sie das Risikomanagement nicht. Technische Risiken lassen sich etwa durch frühe Spikes oder Prototypen verringern, Abhängigkeiten zu anderen Teams werden im Backlog sichtbar gemacht, und Risiken können in der Priorisierung berücksichtigt werden; WSJF etwa enthält ausdrücklich eine Komponente für Risikoreduktion, siehe Backlog priorisieren. Ein schlankes Risikoregister, das im Sprint Review kurz durchgesehen wird, genügt in vielen Teams.

Typische Fehler im Risikomanagement

• Risikoregister zu Projektbeginn erstellt und danach nie wieder angeschaut.
• Ursachen, Ereignisse und Folgen vermischt, sodass Massnahmen nicht ableitbar sind.
• Alle Risiken mittel eingestuft, weil niemand sich festlegen will.
• Massnahmen ohne Verantwortliche und Termine.
• Nur Bedrohungen betrachtet, Chancen übersehen.
• Unrealistische Pläne aus wahrscheinlichsten Werten ohne Reserve.

Welchen Nutzen bringt Risikomanagement im Projekt?

Der Nutzen von Risikomanagement zeigt sich selten in spektakulären Momenten, sondern in Problemen, die nicht eintreten oder früh genug erkannt werden. Ein Projekt, das die Abhängigkeit von einer Schlüsselperson rechtzeitig erkannt und Wissen verteilt hat, übersteht deren Ausfall ohne grosse Verzögerung. Ein Projekt, das die Verspätung eines Lieferanten vorhergesehen hat, hat eine Rückfallebene. Ein Projekt, das Unsicherheiten in der Terminplanung realistisch berücksichtigt hat, muss seinem Auftraggeber keine überraschende Verschiebung erklären. Laut ISO 31000 ist der Zweck des Risikomanagements die Schaffung und der Schutz von Wert; es verbessert die Leistung, fördert Innovation und unterstützt die Zielerreichung ^[1].

Hinzu kommt ein Nutzen, der oft unterschätzt wird: Risikomanagement verbessert die Entscheidungen. Wer weiss, welche Risiken mit einer Option verbunden sind, kann bewusster wählen, etwa zwischen einer günstigen, aber unerprobten Lösung und einer teureren, bewährten. Auftraggeber schätzen es, wenn Projektleitende Risiken offen darlegen und Optionen mit ihren Unsicherheiten vorstellen, statt nur Erfolgsmeldungen zu liefern. Das schafft Vertrauen und macht es leichter, bei Problemen gemeinsam nach Lösungen zu suchen.

Wie werden Risikokriterien festgelegt?

Risikokriterien bestimmen, wie Risiken bewertet werden und welche Risiken behandelt werden müssen. ISO 31000 verlangt, festzulegen, welches Ausmass und welche Art von Risiko eingegangen werden darf, und Kriterien zur Beurteilung der Bedeutung von Risiken zu definieren; dabei sind unter anderem die Art der Unsicherheiten, die Messung von Konsequenzen und Wahrscheinlichkeit, zeitliche Faktoren und die Kombination mehrerer Risiken zu berücksichtigen ^[1]. Im Projekt werden diese Kriterien zu Beginn mit dem Auftraggeber vereinbart und im Projekthandbuch festgehalten.

Die Eskalationsgrenze in Prozent des Budgets ist eine projektspezifische Festlegung und kein Normwert; sie zeigt, wie Kriterien konkret formuliert werden können. Entscheidend ist, dass alle Beteiligten dieselben Kriterien kennen und anwenden, damit Bewertungen vergleichbar sind und Entscheidungen nachvollziehbar bleiben.

Wie werden Risiken berichtet?

ISO 31000 nennt die Aufzeichnung und Berichterstattung als eigenen Schritt des Prozesses: Ergebnisse werden dokumentiert, um Risikomanagement in der Organisation zu kommunizieren, Informationen für Entscheidungen bereitzustellen und das Risikomanagement zu verbessern; bei der Berichterstattung sind unterschiedliche Informationsbedürfnisse, Kosten, Häufigkeit und Aktualität zu berücksichtigen ^[1]. Im Projekt gehört ein kurzer Risikoabschnitt in jeden Statusbericht: die wichtigsten fünf Risiken mit Trend, neue Risiken, geschlossene Risiken und Entscheide, die vom Auftraggeber benötigt werden.

Ein häufiger Fehler ist, im Statusbericht das gesamte Register abzubilden. Entscheidungsträger brauchen eine Verdichtung: Welche Risiken gefährden die Ziele, was wird dagegen getan, und wo ist eine Entscheidung nötig? Eine Ampel für die Risikolage ergänzt die Ampeln für Termin, Kosten und Umfang. Wie Statusberichte objektiv aufgebaut werden, beschreibt der Beitrag Projektstatus objektiv bewerten im Hub Projektplanung.

Warum ist die Risikokultur entscheidend?

ISO 31000 nennt menschliche und kulturelle Faktoren als eigenen Grundsatz: Verhalten und Kultur beeinflussen alle Aspekte des Risikomanagements ^[1]. In Projekten zeigt sich das besonders deutlich. Wer schlechte Nachrichten überbringt, wird in manchen Organisationen als Pessimist abgestempelt; Risiken werden dann verschwiegen, bis sie eintreten. Eine gute Risikokultur belohnt das frühe Ansprechen von Problemen, unterscheidet zwischen Risiko und Schuld und behandelt Risikomanagement als Teil professioneller Projektarbeit, nicht als Misstrauensvotum.

Projektleitende können die Kultur im eigenen Projekt stark prägen: indem sie selbst offen über Risiken sprechen, Risiken in jeder Sitzung kurz thematisieren, Hinweise aus dem Team ernst nehmen und Auftraggeber frühzeitig einbeziehen. Methoden wie das Pre-Mortem helfen, Hemmungen zu überwinden, weil sie das Sprechen über mögliches Scheitern zur legitimen Aufgabe machen.

Wie gelingt der Einstieg in fünf Schritten?

1. 1Kriterien festlegen: Skalen für Wahrscheinlichkeit und Auswirkung, Behandlungspflicht und Eskalationsregeln mit dem Auftraggeber vereinbaren.
2. 2Risiken sammeln: einen Workshop von 90 Minuten mit Team, Fachbereich und Partnern durchführen, Bedrohungen und Chancen in getrennten Runden.
3. 3Bewerten und priorisieren: alle Risiken in der Matrix einstufen, für die wichtigsten Erwartungswerte berechnen.
4. 4Massnahmen planen: Strategie wählen, Verantwortliche und Termine festlegen, Massnahmen in den Projektplan übernehmen.
5. 5Regelmässig überprüfen: das Register in jeder Projektsitzung kurz durchgehen und monatlich gründlich aktualisieren.

Diese fünf Schritte genügen für die meisten Projekte, um die Kernideen von ISO 31000 schlank umzusetzen. Der Aufwand ist überschaubar: Ein Workshop zu Beginn, eine halbe Stunde für die Bewertung der wichtigsten Risiken und wenige Minuten pro Sitzung für die Überprüfung. Entscheidend ist die Regelmässigkeit. Ein Register, das monatlich aktualisiert wird, ist wertvoller als ein perfekt ausgearbeitetes, das niemand mehr anschaut. Mit wachsender Projektgrösse kommen quantitative Methoden, Frühwarnindikatoren und ein formelles Berichtswesen hinzu.

Hilfreich ist zudem, Risikomanagement mit anderen Routinen zu verbinden: Risiken werden im Kick-off vorgestellt, in Statusberichten verdichtet, vor Meilensteinen überprüft und im Projektabschluss als Lessons Learned ausgewertet. So wird es Teil der normalen Projektarbeit statt einer Zusatzaufgabe. Die Beiträge zum Hub Projektplanung zeigen, wo Risikomanagement in den einzelnen Phasen ansetzt, etwa im Projektauftrag, im Projekthandbuch und im Projektabschluss.

Wie hängen Risiken, Reserven und Budget zusammen?

Risiken haben direkte Folgen für das Projektbudget. Bewährt ist die Unterscheidung zweier Reserven: Eine Reserve für bekannte Risiken, die aus den Erwartungswerten der identifizierten Risiken abgeleitet wird und in der Verantwortung der Projektleitung liegt, und eine Managementreserve für unbekannte Risiken, über die der Auftraggeber entscheidet. Die erste wird mit dem Risikoregister begründet, die zweite mit der allgemeinen Unsicherheit des Vorhabens, etwa bei neuen Technologien oder unklaren Anforderungen. Beide Reserven werden im Budget ausgewiesen, nicht in den Schätzungen der Arbeitspakete versteckt.

Diese Trennung schafft Transparenz: Der Auftraggeber sieht, wie viel des Budgets für Risiken vorgesehen ist, und kann bewusst entscheiden, ob er diese Reserve bereitstellt oder lieber Umfang oder Termin anpasst. Versteckte Polster in den Schätzungen dagegen werden erfahrungsgemäss aufgebraucht, unabhängig davon, ob Risiken eintreten. Ein ausgearbeitetes Beispiel mit vier Risiken und einer Reserve von 34 200 CHF enthält der Beitrag zur Risikobewertung; für die Berechnung hilft der Budgetpuffer-Rechner auf flenio.ch.

Alle Beiträge dieses Leitfadens nennen ihre Quellen mit Abrufdatum und werden jährlich fachlich überprüft; massgebend bleibt der Originaltext von ISO 31000. Die Rechenbeispiele sind bewusst einfach gehalten und lassen sich mit eigenen Zahlen nachvollziehen.

Risikomanagement im DACH-Raum

Im DACH-Raum orientieren sich viele Organisationen an ISO 31000, im Projektmanagement zudem an ISO 21502, am PMBOK Guide und in der Schweizer Verwaltung an HERMES, das Risiken als Teil der Projektführung behandelt. In regulierten Branchen kommen eigene Vorgaben hinzu, etwa für Banken, Versicherungen oder Medizintechnik. Für die meisten Projekte genügt ein schlankes, aber konsequentes Vorgehen: klare Kriterien, ein gepflegtes Register, verantwortliche Eigner und eine regelmässige Überprüfung. Die folgenden Beiträge vertiefen Identifikation, Bewertung, Strategien, ISO 31000 und Chancenmanagement.