Wie erkennt man Risiken und wie selektiert man sie?

Zur Identifikation von Risiken haben sich Workshops bewährt, in denen mit Hilfe einer Checkliste die Risiken und Ursachen beschrieben werden. Die Teilnehmer des Workshops sollten aus den betroffenen Fachbereichen und aus der IT kommen. Sie müssen ihre Sichtweisen offen schildern können. Anschließend lassen sich die Risiken dann, soweit möglich, nach Eintrittswahrscheinlichkeit, Eintrittszeitpunkt und Schadensausmaß quantitativ, also monetär und zeitlich, bewerten.

Das Ergebnis des Workshops lässt sich in einem "Risikoradar" veranschaulichen:

Nach der Identifikation und Bewertung der Risiken sind Maßnahmen zum Umgang damit abzuleiten. Vier Risikostrategien stehen dabei zur Verfügung:

• Akzeptieren,

• Vermindern,

• Übertragen (zum Beispiel an den Auftraggeber, durch den Abschluss einer geeigneten Versicherung oder an einen besser aufgestellten Lieferanten) und

• Vermeiden.

Letztendlich sollten die Auswirkung nach Einsatz der Maßnahmen bewertet werden, um gegebenenfalls die Bedingungen eines Projektabbruchs oder einer Veränderung des Scope festzulegen.

Im letzten Schritt gilt es, Stresstest-Szenarien durchzugehen. Im Anschluss an die Ableitung einer geeigneten Risikostrategie sollten im Anschluss auch extreme Stresstests durchgegangen werden. So lassen sich sogar für die Black Swans wirksame Handlungsoptionen finden. Wie bereits angedeutet, bezeichnet dieser Begriff Katastrophen erheblichen Ausmaßes mit nicht planbarem Charakter. Klassische Fragen für diese Stresstests sind die folgenden:

• Was, wenn das Projektbudget um 200 Prozent überschritten wird?

• Was, wenn unser Projekt-Sponsor das Unternehmen verlässt?

• Was, wenn das Projekt zwei Jahre länger dauert als geplant?

• Was, wenn ein kritischer Lieferant vom Markt verschwindet?

Diese kreative Übung sollte regelmäßig durchlaufen werden. Sie ist quasi eine der Kernaufgaben des Projekt-Managers - auf jeden Fall immer beim Erreichen wichtiger Meilensteine.