Was ist der Unterschied zwischen Risikoanalyse und Risikobewertung?
ISO 31000 unterscheidet innerhalb der Risikobeurteilung drei Schritte: Identifikation, Analyse und Bewertung. Die Analyse dient dazu, Art und Merkmale eines Risikos einschliesslich seines Niveaus zu verstehen; sie kann qualitativ, quantitativ oder kombiniert erfolgen, je nach Zweck, Verfügbarkeit verlässlicher Informationen und Ressourcen. Die Bewertung vergleicht die Ergebnisse der Analyse mit den festgelegten Risikokriterien und unterstützt die Entscheidung, ob weitere Massnahmen nötig sind [1]. Im Sprachgebrauch werden beide Schritte oft zusammen als Risikobewertung bezeichnet.
Die Bewertung kann laut Norm zu verschiedenen Entscheidungen führen: nichts weiter tun, Behandlungsoptionen prüfen, weitere Analysen durchführen, bestehende Massnahmen beibehalten oder Ziele überdenken [1]. Die letzte Option wird in Projekten oft übersehen: Manchmal ist die angemessene Reaktion auf eine Häufung grosser Risiken nicht eine weitere Massnahme, sondern ein angepasstes Ziel, etwa ein späterer Termin oder ein reduzierter Umfang.
Warum braucht es Risikokriterien?
Bevor Risiken bewertet werden, müssen Kriterien feststehen: Welche Skalen gelten für Wahrscheinlichkeit und Auswirkung? Ab welchem Niveau muss ein Risiko behandelt werden? Wie viel Risiko ist das Projekt bereit zu tragen? ISO 31000 verlangt, dass eine Organisation festlegt, welches Ausmass und welche Art von Risiko sie eingehen will oder nicht, und Kriterien zur Beurteilung der Bedeutung von Risiken definiert; diese Kriterien sollen zu Beginn festgelegt, aber laufend überprüft werden [1]. Ohne Kriterien werden Bewertungen beliebig, und jede Person stuft nach Gefühl ein. Das Glossar erklärt den Begriff unter Risikoappetit.
Wie funktioniert eine Risikomatrix?
| Stufe | Wahrscheinlichkeit | Auswirkung auf Kosten | Auswirkung auf Termin |
|---|---|---|---|
| 1 sehr gering | unter 0,1 | unter 5 000 CHF | unter einer Woche |
| 2 gering | 0,1 bis 0,3 | 5 000 bis 15 000 CHF | ein bis zwei Wochen |
| 3 mittel | 0,3 bis 0,5 | 15 000 bis 40 000 CHF | zwei bis vier Wochen |
| 4 hoch | 0,5 bis 0,7 | 40 000 bis 100 000 CHF | ein bis zwei Monate |
| 5 sehr hoch | über 0,7 | über 100 000 CHF | über zwei Monate |
Jedes Risiko erhält eine Stufe für Wahrscheinlichkeit und eine für Auswirkung; das Produkt ergibt eine Risikokennzahl zwischen 1 und 25. Häufig werden Bereiche eingefärbt: niedrig bis 4, mittel von 5 bis 12, hoch ab 15. Risiken im hohen Bereich müssen behandelt werden, im mittleren Bereich wird entschieden, im niedrigen Bereich werden sie beobachtet. Die Skalen sind projektspezifisch: Für ein Projekt mit 200 000 CHF Budget sind 40 000 CHF hoch, für ein Grossprojekt nicht. Die Matrix ist schnell und anschaulich; mehr im Glossar unter Risikomatrix; für die Berechnung hilft der Risikoscore-Rechner.
Die Matrix hat bekannte Grenzen: Die Multiplikation von Stufen ist mathematisch fragwürdig, weil die Stufen nicht gleichmässig verteilt sind; Risiken mit geringer Wahrscheinlichkeit, aber katastrophaler Auswirkung landen im mittleren Bereich; und verschiedene Personen stufen dasselbe Risiko unterschiedlich ein. Sie eignet sich deshalb vor allem für die erste Priorisierung. Für wichtige Entscheidungen, etwa die Höhe der Reserve, sind quantitative Methoden aussagekräftiger.
Wie berechnet man den Erwartungswert eines Risikos?
Der Erwartungswert eines Risikos ist das Produkt aus Eintrittswahrscheinlichkeit und monetärer Auswirkung. Ein Risiko mit einer Wahrscheinlichkeit von 0,2 und einer Auswirkung von 40 000 CHF hat einen Erwartungswert von 8 000 CHF. Der Erwartungswert ist kein Betrag, der tatsächlich anfällt, sondern ein Durchschnitt über viele gleichartige Situationen: Tritt das Risiko ein, kostet es 40 000 CHF, tritt es nicht ein, nichts.
| Risiko | Wahrscheinlichkeit | Auswirkung | Erwartungswert |
|---|---|---|---|
| R1 Ausfall der Schlüsselperson für die Migration | 0,2 | 40 000 CHF | 8 000 CHF |
| R2 Verzug der Schnittstelle durch Lieferant | 0,4 | 25 000 CHF | 10 000 CHF |
| R3 Änderung der Anforderungen nach Umsetzungsbeginn | 0,5 | 30 000 CHF | 15 000 CHF |
| R4 Steigende Lizenzkosten im ersten Jahr | 0,1 | 12 000 CHF | 1 200 CHF |
| Summe | 34 200 CHF |
Die Summe der Erwartungswerte von 34 200 CHF ist ein Anhaltspunkt für die Risikoreserve. Sie berücksichtigt, dass nicht alle Risiken eintreten werden. Tritt R3 ein, sind 30 000 CHF fällig, die Reserve deckt das; treten R2 und R3 gleichzeitig ein, reichen 34 200 CHF nicht für die 55 000 CHF. Deshalb wird die Reserve oft höher angesetzt als die Summe der Erwartungswerte, besonders wenn wenige grosse Risiken das Bild prägen. Für die Berechnung hilft der Budgetpuffer-Rechner.
Was zeigt eine Monte-Carlo-Simulation?
Eine Monte-Carlo-Simulation modelliert Unsicherheit, indem sie einen Plan tausende Male mit zufällig gezogenen Werten durchrechnet. Für jedes Arbeitspaket wird statt einer einzigen Dauer eine Bandbreite angegeben, etwa minimal, wahrscheinlichst und maximal. In jedem Durchlauf wird für jedes Paket ein Wert aus dieser Bandbreite gezogen und die Gesamtdauer berechnet. Aus allen Durchläufen ergibt sich eine Verteilung, aus der sich ablesen lässt, mit welcher Wahrscheinlichkeit ein Termin eingehalten wird. Simulationsverfahren gehören zu den Risikobeurteilungstechniken, die IEC 31010 beschreibt [2].
| Arbeitspaket | Minimum | Wahrscheinlichst | Maximum |
|---|---|---|---|
| A Konzept | 10 | 12 | 18 |
| B Umsetzung | 8 | 10 | 16 |
| C Test und Einführung | 5 | 6 | 10 |
| Summe der wahrscheinlichsten Werte | 28 |
Wer nur die wahrscheinlichsten Werte addiert, plant 28 Arbeitstage. Eine Simulation mit 100 000 Durchläufen und Dreiecksverteilungen ergibt ein anderes Bild: Der Median liegt bei rund 31,5 Tagen, der Mittelwert bei rund 31,7 Tagen. 80 von 100 Durchläufen enden innerhalb von etwa 33,9 Tagen, 90 von 100 innerhalb von etwa 35,2 Tagen. Der Plan von 28 Tagen wird nur in rund 8 von 100 Durchläufen eingehalten, 30 Tage in rund 28 von 100. Der Grund: Die Bandbreiten sind asymmetrisch, Verzögerungen sind grösser als mögliche Beschleunigungen, und dieser Effekt summiert sich über die Pakete.
Für die Praxis bedeutet das: Ein Termin, der mit hoher Sicherheit gehalten werden soll, liegt in diesem Beispiel eher bei 34 bis 35 Tagen als bei 28. Die Differenz ist kein Polster, sondern die realistische Berücksichtigung von Unsicherheit. Mit der Dreipunktschätzung nach PERT lässt sich ein ähnlicher Effekt ohne Simulation abschätzen, siehe Aufwandsschätzung und den PERT-Rechner. Das Glossar erklärt die Methode unter Monte-Carlo-Simulation.
Welche Methode passt wann?
| Methode | Aufwand | Aussagekraft | Geeignet für |
|---|---|---|---|
| Risikomatrix | gering | Priorisierung, grobe Einstufung | alle Projekte, erste Bewertung |
| Erwartungswert | mittel | monetäre Grösse, Reserve | Projekte mit Budgetverantwortung |
| Dreipunktschätzung | mittel | Bandbreite für Termine und Aufwände | Termin- und Kostenplanung |
| Monte-Carlo-Simulation | hoch | Wahrscheinlichkeiten für Termine und Kosten | grosse oder kritische Projekte |
ISO 31000 weist darauf hin, dass Analysen durch Meinungsunterschiede, Voreingenommenheit, Risikowahrnehmung und Urteile beeinflusst werden können und dass bei sehr unsicheren Ereignissen eine Kombination von Techniken meist mehr Einsicht bietet [1]. In der Praxis hat sich bewährt, alle Risiken zuerst in der Matrix einzustufen und für die wichtigsten zusätzlich Erwartungswerte zu berechnen. Simulationen lohnen sich für grosse Projekte und für Terminzusagen mit hoher Tragweite.
Typische Fehler bei der Risikobewertung
- Keine festgelegten Skalen, jede Person stuft nach Gefühl ein.
- Alle Risiken mittel eingestuft, weil niemand sich festlegen will.
- Risiken mit geringer Wahrscheinlichkeit und katastrophaler Auswirkung unterschätzt.
- Erwartungswerte als sichere Kosten missverstanden.
- Terminpläne aus wahrscheinlichsten Werten ohne Berücksichtigung der Bandbreiten.
- Bewertungen nicht aktualisiert, obwohl sich die Lage verändert hat.
Bewertung im Werkzeug festhalten
Wahrscheinlichkeit, Auswirkung, Kennzahl und gegebenenfalls Erwartungswert gehören ins Risikoregister, zusammen mit dem Datum der Bewertung. So lässt sich verfolgen, wie sich Risiken entwickeln. In Flenio lassen sich Risiken mit Einstufung und Massnahmen führen und Reserven im Projektbudget sichtbar machen. Welche Strategien nach der Bewertung zur Wahl stehen, beschreibt der Beitrag Risikostrategien. Den Gesamtzusammenhang zeigt der Leitfaden Risikomanagement im Projekt.
Bewertung in der Praxis des Projektmanagements
In der Projektmanagementpraxis des PMI werden qualitative und quantitative Risikoanalyse als ergänzende Schritte verstanden: Die qualitative Analyse priorisiert alle Risiken, die quantitative Analyse betrachtet die wichtigsten genauer und ihre Gesamtwirkung auf Termine und Kosten [3]. Dieses zweistufige Vorgehen hält den Aufwand in Grenzen und konzentriert die Rechenarbeit auf die Risiken, die tatsächlich über Erfolg oder Misserfolg entscheiden. Welche Risiken überhaupt in die Bewertung gelangen, hängt von einer gründlichen Identifikation ab, siehe Projektrisiken identifizieren.
Wer die Bewertung so organisiert, erhält mit vertretbarem Aufwand ein realistisches Bild der Risikolage und eine belastbare Grundlage für Reserven und Terminzusagen.
Auch die Bewertungen selbst sollten regelmässig überprüft werden, weil sich Wahrscheinlichkeiten und Auswirkungen im Projektverlauf verändern.
Ein kurzer Vermerk zum Datum jeder Bewertung macht Veränderungen nachvollziehbar.