Welche Strategien gibt es für Projektrisiken?
Nachdem Risiken identifiziert und bewertet sind, folgt die Entscheidung, wie mit ihnen umgegangen wird. ISO 31000 beschreibt den Zweck der Risikobehandlung darin, Optionen zur Behandlung auszuwählen und umzusetzen; der Vorgang ist iterativ: Optionen formulieren und auswählen, Behandlung planen und umsetzen, Wirksamkeit beurteilen, entscheiden, ob das verbleibende Risiko akzeptabel ist, und bei Bedarf weiter behandeln [1].
| Option | Bedeutung | Projektbeispiel |
|---|---|---|
| Vermeiden | Tätigkeit, die das Risiko verursacht, nicht beginnen oder nicht fortsetzen | auf die Entwicklung einer Eigenlösung verzichten und Standardsoftware wählen |
| Eingehen oder erhöhen | Risiko bewusst eingehen, um eine Chance zu nutzen | früherer Livegang mit Teilumfang für eine Marktchance |
| Risikoquelle beseitigen | Ursache entfernen | Wissen einer Schlüsselperson dokumentieren und auf zwei Personen verteilen |
| Wahrscheinlichkeit ändern | Eintritt unwahrscheinlicher machen | Prototyp der kritischen Schnittstelle vor Umsetzungsbeginn |
| Konsequenzen ändern | Auswirkung bei Eintritt verringern | Rückfallebene und Notfallplan für den Livegang |
| Teilen | Risiko mit anderen teilen, etwa durch Verträge oder Versicherungen | Vertragsstrafe bei Verzug, Festpreis mit Lieferant |
| Tragen | Risiko durch informierte Entscheidung akzeptieren | geringes Risiko beobachten, Reserve einplanen |
Die Norm hält fest, dass die Optionen sich nicht gegenseitig ausschliessen und nicht in allen Situationen passen; oft werden mehrere kombiniert [1]. Im Alltag werden sie häufig zu vier Grundstrategien zusammengefasst: vermeiden, vermindern (Quelle beseitigen, Wahrscheinlichkeit oder Konsequenzen ändern), übertragen (teilen) und akzeptieren (tragen). Die Option, ein Risiko bewusst einzugehen oder zu erhöhen, um eine Chance zu nutzen, betont den neutralen Risikobegriff der Norm.
Welche Strategien unterscheidet das PMI?
In der Projektmanagementpraxis des Project Management Institute werden für Bedrohungen üblicherweise fünf Strategien unterschieden: eskalieren, wenn das Risiko ausserhalb der Befugnis des Projekts liegt; vermeiden; übertragen; mindern; und akzeptieren, aktiv mit Reserve oder passiv ohne weitere Massnahmen. Für Chancen gelten spiegelbildlich eskalieren, nutzen, teilen, verbessern und akzeptieren [2]. Die Eskalation ist ein wichtiger Zusatz zur Norm: Risiken, die das Projekt nicht selbst steuern kann, etwa eine Reorganisation oder ein Strategiewechsel, gehören an den Auftraggeber oder Lenkungsausschuss.
Wie wählt man die richtige Strategie?
ISO 31000 verlangt, bei der Auswahl den möglichen Nutzen für die Zielerreichung gegen Kosten, Aufwand oder Nachteile der Umsetzung abzuwägen; die Begründung ist dabei breiter als rein wirtschaftliche Überlegungen und berücksichtigt Verpflichtungen, freiwillige Zusagen und die Sicht der Stakeholder [1]. Für Projekte hat sich eine einfache Entscheidungshilfe bewährt, die das Risikoniveau mit dem Einfluss des Projekts kombiniert.
| Situation | Naheliegende Strategie |
|---|---|
| hohes Risiko, Ursache vom Projekt beeinflussbar, Massnahme günstiger als Erwartungswert | vermindern |
| hohes Risiko, Tätigkeit verzichtbar oder ersetzbar | vermeiden |
| hohes Risiko, Partner kann es besser tragen oder steuern | übertragen oder teilen |
| Risiko ausserhalb der Befugnis des Projekts | eskalieren |
| geringes Risiko oder Massnahme teurer als Erwartungswert | akzeptieren mit Beobachtung oder Reserve |
| Risiko eröffnet eine wertvolle Chance | bewusst eingehen, mit Rückfallebene |
Rechenbeispiel: Lohnt sich die Massnahme?
Ein Risiko hat eine Wahrscheinlichkeit von 0,4 und eine Auswirkung von 25 000 CHF, also einen Erwartungswert von 10 000 CHF. Eine Massnahme, ein früher Prototyp der Schnittstelle, kostet 4 000 CHF und senkt die Wahrscheinlichkeit auf 0,1. Der neue Erwartungswert beträgt 2 500 CHF. Die Massnahme reduziert den Erwartungswert um 7 500 CHF und kostet 4 000 CHF; der erwartete Nettonutzen liegt bei 3 500 CHF. Die Massnahme lohnt sich also. Würde sie 9 000 CHF kosten, wäre sie wirtschaftlich nicht gerechtfertigt, es sei denn, die Auswirkung wäre für das Projekt existenzbedrohend.
| Variante | Kosten der Massnahme | Wahrscheinlichkeit danach | Erwartungswert danach | Gesamt |
|---|---|---|---|---|
| keine Massnahme | 0 CHF | 0,4 | 10 000 CHF | 10 000 CHF |
| Prototyp | 4 000 CHF | 0,1 | 2 500 CHF | 6 500 CHF |
| Prototyp und Vertragsstrafe | 4 500 CHF | 0,1, Auswirkung 15 000 CHF | 1 500 CHF | 6 000 CHF |
Die dritte Variante kombiniert zwei Optionen: Der Prototyp senkt die Wahrscheinlichkeit, die Vertragsstrafe teilt einen Teil der Auswirkung mit dem Lieferanten. Das zeigt den Hinweis der Norm, dass Optionen kombiniert werden können. Wie Erwartungswerte berechnet werden, beschreibt der Beitrag Risikobewertung.
Was gehört in einen Massnahmenplan?
ISO 31000 nennt die Inhalte eines Behandlungsplans: die Begründung für die gewählten Optionen einschliesslich des erwarteten Nutzens, die für Genehmigung und Umsetzung Verantwortlichen, die vorgesehenen Massnahmen, die benötigten Ressourcen einschliesslich Reserven, Leistungskennzahlen, Einschränkungen, Berichterstattung und Überwachung sowie die Termine für Beginn und Abschluss [1]. Für Projekte genügt meist eine Zeile pro Massnahme im Risikoregister: Massnahme, Verantwortliche, Termin, Kosten, Status und erwartete Wirkung.
Wichtig ist, dass Massnahmen in die normale Projektplanung einfliessen. Ein Prototyp zur Risikominderung ist ein Arbeitspaket mit Aufwand und Termin; eine Vertragsstrafe gehört in den Vertrag; eine Reserve gehört ins Budget. Massnahmen, die nur im Risikoregister stehen, werden erfahrungsgemäss nicht umgesetzt. In Flenio lassen sich Massnahmen als Aufgaben mit Verantwortlichen, Fälligkeit und Zeiterfassung planen.
Was passiert mit dem Restrisiko?
Nach der Behandlung bleibt meist ein Restrisiko. ISO 31000 verlangt, dass Entscheidungsträger und andere Stakeholder Art und Ausmass des verbleibenden Risikos kennen; es wird dokumentiert, überwacht und bei Bedarf weiter behandelt. Gibt es keine Behandlungsoptionen oder verändern sie das Risiko nicht ausreichend, wird das Risiko erfasst und laufend überprüft. Zudem kann die Behandlung selbst neue Risiken erzeugen, die ebenfalls gesteuert werden müssen [1]. Ein Beispiel: Die Übertragung eines Risikos an einen Lieferanten erzeugt ein neues Risiko, nämlich die Abhängigkeit von dessen Zahlungsfähigkeit.
Wie helfen Frühwarnindikatoren?
Für wichtige Risiken lohnt es sich, Frühwarnindikatoren festzulegen: beobachtbare Signale, die zeigen, dass ein Risiko wahrscheinlicher wird. Beispiele sind verspätete Zwischenlieferungen eines Lieferanten, steigende Fehlerzahlen in Tests, sinkende Teilnahme an Workshops oder ein wachsender Backlog an offenen Fragen. Wird ein Indikator ausgelöst, wird eine vorbereitete Massnahme aktiviert, etwa ein Eskalationsgespräch oder die Aktivierung einer Rückfallebene. So wird aus dem Risikoregister ein Steuerungsinstrument statt einer Liste. Das Glossar erklärt die Eskalation unter Eskalation.
Typische Fehler bei Risikostrategien
| Fehler | Folge | Gegenmittel |
|---|---|---|
| Massnahmen ohne Verantwortliche | nichts geschieht | Eigner und Termin für jede Massnahme |
| Massnahme teurer als Risiko | Ressourcen verschwendet | Kosten gegen Erwartungswert abwägen |
| Akzeptieren ohne Entscheid | Risiko unbemerkt getragen | Akzeptanz bewusst entscheiden und dokumentieren |
| Übertragen ohne Prüfung | neue Abhängigkeiten | Folgerisiken der Übertragung prüfen |
| Keine Wirksamkeitskontrolle | Massnahmen wirken nicht | Wirkung bei jeder Überprüfung beurteilen |
Beispiel: Strategien für fünf Risiken einer Softwareeinführung
Eine Kanzlei führt eine neue Mandatsverwaltung ein und hat fünf wichtige Risiken bewertet. Für den Ausfall der Person, die das Altsystem kennt, wird die Risikoquelle beseitigt: Ihr Wissen wird in zwei Workshops dokumentiert und auf eine zweite Person übertragen. Für unvollständige Altdaten wird die Wahrscheinlichkeit gesenkt, indem eine Probemigration mit einem Teil der Daten früh durchgeführt wird. Für die mögliche Verzögerung durch den Anbieter wird das Risiko geteilt: Der Vertrag enthält Meilensteine mit Zahlungen erst nach Abnahme. Für den geringen Schulungsaufwand der Anwältinnen während laufender Verfahren werden die Konsequenzen verringert, indem kurze, aufgezeichnete Schulungseinheiten bereitgestellt werden. Das Risiko einer leicht höheren Lizenzgebühr im zweiten Jahr wird bewusst getragen und im Budget berücksichtigt.
Das Beispiel zeigt, dass in einem Projekt meist alle Strategien nebeneinander vorkommen. Die Wahl richtet sich nach dem einzelnen Risiko, nicht nach einer allgemeinen Haltung. Wichtig ist, dass jede Entscheidung begründet und dokumentiert wird, damit später nachvollziehbar bleibt, warum ein Risiko akzeptiert oder übertragen wurde. Eine Vorlage für die Dokumentation bietet flenio.ch unter Risikoregister.
Ergänzend lohnt sich, die gewählten Strategien bei jeder Überprüfung des Registers kurz zu hinterfragen: Wirkt die Massnahme, hat sich das Risiko verändert, braucht es eine andere Strategie? So bleibt die Behandlung so dynamisch wie die Risiken selbst.
Erledigte Risiken werden dabei nicht gelöscht, sondern mit Begründung geschlossen, damit sie als Erfahrung für künftige Projekte erhalten bleiben.
Ein Blick auf diese geschlossenen Risiken lohnt sich besonders beim Start ähnlicher Vorhaben. Sie zeigen, welche Massnahmen tatsächlich gewirkt haben.
Risikostrategien in Normen und Praxis
ISO 31000 und die Strategien des PMI ergänzen sich: Die Norm bietet differenzierte Optionen und betont Abwägung, Restrisiko und Folgerisiken, die PMI-Praxis ergänzt die Eskalation und eine spiegelbildliche Behandlung von Chancen. Auch ISO 21502 sieht vor, dass Risiken im Projekt laufend gesteuert und an die Projektsteuerung berichtet werden [3]. Wie Chancen genutzt werden, beschreibt der Beitrag Chancenmanagement. Den Gesamtzusammenhang zeigt der Leitfaden Risikomanagement im Projekt; wie Risiken im Projektstatus berichtet werden, der Beitrag Projektstatus objektiv bewerten.