~/gdp · Zusammenfassung, am Quelldokument geprüft

Vorgehen im Risikomanagement (Woche 4)

Dieses Modul aus Woche 4 des MOOC Gestion de Projet von Rémi Bachelet (Centrale Lille) führt durch das vollständige Vorgehen im Risikomanagement: realistische Ziele festlegen, die Bedrohungen für die Ressourcen erkennen, anhand der Kritikalität priorisieren, einen Präventionsplan aufstellen, sich als Führungskraft richtig verhalten und die Risiken über das gesamte Projekt hinweg überwachen. Es stellt direkt anwendbare Werkzeuge vor, etwa die Zielmatrix, die Eisenhower-Matrix und den Risikomanagementplan.

Persönliche Zusammenfassung, am Quelldokument gegengelesen. Den vollständigen Kurs, seine Videos und Teilnahmebescheinigungen finden Sie im MOOC Gestion de Projet von Rémi Bachelet, Centrale Lille: Nichts ersetzt den MOOC selbst. Die Materialien des MOOC stehen unter der Lizenz Creative Commons BY-NC-SA 4.0.

S4V1

Die Ziele eines Projekts wirksam festlegen

Ohne klare Ziele lässt sich kein Risikomanagement betreiben: Ein vollständiger Überblick über die Projektziele ist zwingende Voraussetzung für jedes Risikomanagement.
Ein von Anfang an unrealistisches Projekt (kein kompetentes Team, unzureichende Finanzierung, nicht einhaltbare Termine) ist kein Fall für das Risikomanagement: Die Verantwortung dafür zu übernehmen, ist ein fataler Fehler; zuerst muss die Machbarkeit bestätigt werden.
Um die Ziele zu validieren, stützt man sich auf die Projektdokumente (Auftragsschreiben, Lastenheft, Projektcharta) und ermittelt so die grundlegenden Blockadepunkte.
Bei einem Blockadepunkt gibt es zwei Auswege: die Ziele, die Liefergegenstände oder die zugewiesenen Ressourcen neu verhandeln oder, falls das unmöglich ist, die Verantwortung für ein Projekt ohne Erfolgschance ablehnen; Projekte, die scheitern, hatten oft von Anfang an keine Chance auf Erfolg.
Die Zielmatrix kreuzt in den Spalten die vom Kunden erwarteten Bereiche (zum Beispiel Liefergegenstand, Schulung, Dokumentation, Verwertung) mit den Leistungsstufen in den Zeilen (unzureichend, akzeptabler Erfolg, OK, hervorragend); jede Zelle beschreibt ein genaues Ergebnis.
Eine vereinfachte Variante widmet jedem Kunden des Projekts eine eigene Spalte; in jedem Fall muss die Klärung der Ziele vollständig sein und mit dem Kunden abgestimmt werden, niemals oberflächlich.

Zielmatrix: : Tabelle, die die vom Kunden erwarteten Bereiche (Spalten) mit den Leistungsstufen (Zeilen) kreuzt; jede Zelle beschreibt ein genau erwartetes Ergebnis.

S4V2

Bedrohungen erkennen

Die Identifikation der Bedrohungen geht nicht von den Zielen aus, sondern von den Ressourcen, die zu ihrer Erreichung eingesetzt werden müssen: Diese Überlegung wird oft missverstanden.
Ein Projekt bindet 4 Arten von Ressourcen: Menschen (Arbeitskraft in Personentagen und vor allem Kompetenzen), technische Ressourcen (Büros, Maschinen, Software), finanzielle Mittel und schließlich die Zeit, eine grundlegende Ressource, weil die Fristen vorgegeben sind.
Bedrohungen gefährden nicht direkt die Ziele, sondern die Ressourcen, mit denen sie erreicht werden; man geht deshalb in drei Schritten vor: die Ziele spezifizieren, die benötigten Ressourcen auflisten, dann die Bedrohungen identifizieren.
Vier Vorgehensweisen helfen, Bedrohungen wirksam zu identifizieren: vorhandene Projektmanagement-Dokumente auswerten (Meilensteine des Terminplans, kritischer Pfad, RACI-Matrix), Brainstormings im Team durchführen, Checklisten aus Normen wie ISO 31000 abarbeiten und den Erfahrungsrückfluss (Lessons Learned) aus ähnlichen Projekten nutzen.
Für jede Ressourcenart ein Bedrohungsszenario durchzuspielen (Kündigung eines Entwicklers, Virus ohne Datensicherung, Liquiditätsengpass, verspäteter Lieferant), hilft, die Liste der zu berücksichtigenden Bedrohungen aufzustellen.

ISO 31000: : Norm, die Checklisten vorschlägt, die vor dem Start eines Projekts abzuarbeiten sind.
Erfahrungsrückfluss (Lessons Learned): : Nutzung des Gedächtnisses früherer Projekte, im Gespräch mit denjenigen, die sie geleitet haben, um nicht dieselben Fehler zu wiederholen.

S4V3

Risiken priorisieren

Jede Bedrohung wird auf zwei Achsen bewertet, um sie zu quantifizieren und in ein Risiko zu überführen: die Schwere (die Folgen, falls die Bedrohung eintritt) und die Häufigkeit (die Wahrscheinlichkeit dieser Bedrohung).
An den vier Extremen des Koordinatensystems: Schwere-Risiken (katastrophal, aber äußerst unwahrscheinlich, etwa ein Meteoriteneinschlag) muss man in Kauf nehmen; Häufigkeits-Risiken (geringe Folgen, aber sehr häufig) sind in Wirklichkeit Probleme, die mit den Werkzeugen und Methoden der Problemlösung anzugehen sind; vernachlässigbare Risiken kann man ignorieren; untragbare Risiken zwingen dazu, das Projekt zu wechseln oder die Ziele zu überarbeiten.
Das eigentliche Feld des Risikomanagements ist der mittlere Bereich des Häufigkeits-Schwere-Diagramms, zwischen diesen vier Extremen.
Die Häufigkeit wird entweder über einen Index bestimmt (zum Beispiel von 1 für ein seltenes bis 4 für ein sehr häufiges Ereignis) oder, strenger, anhand von Statistiken oder Daten.
Die Schwere lässt sich mit einem Index bewerten (leichter, schwerer, sehr schwerer Unfall), die strengste Lösung ist jedoch der Geldwert: Verlorene Zeit wird in Gehältern beziffert, weggeworfene Produkte zu ihren Herstellkosten, ein verlorener Verkauf über den entgangenen Gewinn.
Die Kritikalität eines Risikos ergibt sich aus der Multiplikation von Schwere und Häufigkeit; in der Risikomatrix des Projekts liegen die vorrangigen Risiken im Bereich maximaler Kritikalität, da sie zugleich die häufigsten und die schwersten sind.

Schwere: : Folgen, die eintreten, wenn sich die Bedrohung verwirklicht.
Häufigkeit: : Wahrscheinlichkeit, dass eine Bedrohung eintritt.
Kritikalität: : Produkt aus Schwere und Häufigkeit, das den Grad der Bedeutung eines Risikos misst.

S4V4

Projektrisiken vorbeugen und analysieren

Sind die Risiken identifiziert und priorisiert, geht man zum Handeln über und erstellt den Risikomanagementplan; die Risikomatrix zeigt zwei Strategien auf: den Schutz, der die Schwere eines Risikos verringert, und die Vermeidung, die seine Häufigkeit verringert.
Beispiel Arbeitsweg mit dem Auto: Einen Airbag einzubauen ist Schutz (der Unfall bleibt möglich, aber weniger schwer); drei Tage pro Woche im Homeoffice zu arbeiten ist Vermeidung (an diesen Tagen kein Unfall mehr, aber unveränderte Schwere an den Fahrtagen).
Am besten kombiniert man beide Strategien, um Schwere und Häufigkeit zugleich zu senken; so wandert das Risiko in den tolerierbaren Bereich der Matrix.
Ein Risiko gut zu behandeln heißt vor allem, seine Ursache zu verstehen: Man verfolgt es bis zu den Grundursachen zurück, mit einem Ursache-Wirkungs-Diagramm, der 5-Why-Methode oder einem Ursachenbaum.
Beispiele typischer Maßnahmen: organisatorische (vielseitig einsetzbares Team, um Abwesenheiten und Kündigungen aufzufangen), rechtliche (Vertragsstrafen für einen verspäteten Lieferanten), finanzielle (Reserve von 5 % des Budgets für Unvorhergesehenes) oder Risikotransfer (Versicherung, die im Brandfall zahlt).
Im Präventionsplan beschreibt jede Zeile ein genau benanntes Risiko, bewertet nach Schwere und Häufigkeit, mit berechneter Kritikalität, Präventionsmaßnahmen für jedes vorrangige Risiko und einer für die Überwachung verantwortlichen Person; die Tabelle wird so sortiert, dass die vorrangigen Risiken oben stehen.

Schutz: : Strategie, die die Schwere eines Risikos verringert, ohne seine Häufigkeit zu verändern.
Vermeidung: : Strategie, die ein Risiko behandelt, indem sie seine Häufigkeit verringert.
Risikotransfer: : Strategie, bei der das Risiko übertragen wird, zum Beispiel durch eine Versicherung, die im Brandfall zahlt.

S4V5

Management: die richtigen Verhaltensweisen

Wirksames Risikomanagement dient nicht dazu, Probleme zu bewältigen, sondern sie zu vermeiden: Das ist Proaktivität, die Fähigkeit, Probleme vorherzusehen, bevor sie auftreten.
In der Praxis kommen Probleme nicht einzeln, sondern gleichzeitig; das wirksamste Werkzeug ist dann die Eisenhower-Matrix, die Aufgaben nach Wichtigkeit und Dringlichkeit einordnet.
Die vier Verhaltensweisen der Eisenhower-Matrix: dringende und wichtige Aufgaben sofort erledigen, notfalls selbst; wichtige, nicht dringende Aufgaben einplanen, ohne sie zu vergessen (Erinnerung im Kalender); dringende, nicht wichtige Aufgaben an eine Vertrauensperson mit einem Fahrplan delegieren, zum Beispiel einem PDCA; mit Aufgaben, die weder dringend noch wichtig sind, keine Zeit verlieren.
Die Kontrollüberzeugung (Locus of Control) bezeichnet in der Psychologie, wie eine Person ihre Misserfolge und Erfolge deutet: external, wenn sie die Ursache äußeren Faktoren zuschreibt (Pech, Entscheidung anderer), internal, wenn sie sich für das, was ihr widerfährt, selbst verantwortlich fühlt; Proaktivität im Risikomanagement erfordert eine internale Kontrollüberzeugung.
Das Brooks'sche Gesetz stellt fest, dass zusätzliche Beteiligte eine verspätete Aufgabe noch weiter verzögern: Die Einarbeitung der Neuen kostet Zeit, und der Koordinationsaufwand wächst mit der Teamgröße; bei Verzug ist die einfachste Lösung, mehr zu arbeiten.

Proaktivität: : Fähigkeit, Probleme zu vermeiden, indem man sie vorhersieht, statt sie zu erleiden.
Eisenhower-Matrix: : Einordnung der Aufgaben nach Wichtigkeit und Dringlichkeit, aus der sich vier Verhaltensweisen ergeben: erledigen, einplanen, delegieren oder verwerfen.
Kontrollüberzeugung (Locus of Control): : Art, wie eine Person ihre Misserfolge und Erfolge zuschreibt: entweder äußeren Ursachen oder der eigenen Verantwortung (internale Kontrollüberzeugung).
Brooks'sches Gesetz: : Feststellung, dass zusätzliche Beteiligte bei einer verspäteten Aufgabe den Verzug noch vergrößern.

S4V6

Risiken laufend überwachen

Der Risikomanagementplan wird um zwei zusätzliche Spalten verfeinert: „Behebung“, der im Voraus vorbereitete Plan B für den Problemfall, und „Beobachtung / Erkennung“, um das Eintreten einer Bedrohung vorherzusehen.
Da sich das Projekt ständig weiterentwickelt, veraltet der ursprüngliche Plan schnell: Er muss bei jedem wichtigen Schritt, vor jeder Besprechung, überprüft und aktualisiert werden; die Risikoüberwachung ist ein Zyklus aus Planen, Bewerten, Steuern und Prüfen.
Je weiter das Projekt fortschreitet und je mehr Liefergegenstände eingehen, desto mehr Risiken verschwinden; am Ende eines Projekts bleiben nur noch sehr wenige Risiken zu steuern.
Zu vermeidende Praktiken: an unscharfen, schlecht identifizierten Risiken arbeiten (es braucht genaue Szenarien, die man sich von den Pessimisten im Detail schildern lässt), verschiedene Risiken in derselben Zeile des Plans vermischen, allein arbeiten, obwohl die Risiken bereichsübergreifend sind und unterschiedliche Sichtweisen erfordern, und schlecht oder gar nicht priorisieren.
Das Pareto-Prinzip gilt auch für den Risikoplan: 20 % der Ursachen sind für 80 % der Folgen verantwortlich; 80 % der Kritikalität konzentrieren sich in den allerersten Zeilen des Plans, und wer 20 % der Schwierigkeiten löst, senkt die Kritikalität um 80 %.
Der Beruf entwickelt sich zum Risk & Opportunities Manager: Dieselben Werkzeuge dienen dazu, Chancen zu erkennen und zu nutzen, im Geist der SWOT-Analyse, die auch dazu einlädt, auf die eigenen Stärken zu setzen; hinter jedem Risiko steckt eine Chance, die es zu ergreifen gilt.

Pareto-Prinzip: : 20 % der Ursachen sind für 80 % der Folgen verantwortlich.
Risk & Opportunities Manager: : Risikomanager, der dieselben Werkzeuge nutzt, um Chancen zu erkennen und zu ergreifen, nicht nur um negativen Ereignissen vorzubeugen.

Testen Sie sich

Übungsquiz

Frage 1 / 6

Man überträgt Ihnen ein Projekt mit nicht einhaltbaren Terminen und ohne kompetentes Team, und eine Neuverhandlung der Ziele oder der Ressourcen erweist sich als unmöglich. Was empfiehlt der Kurs?

Ein besonders strenges Risikomanagement einführen, um das auszugleichenDie Verantwortung für das Projekt ablehnenDie Hauptrisiken auf einen Versicherer übertragenDen Projektumfang unterwegs stillschweigend verkleinern

Offizielle Quellen: gestiondeprojet.pm/demarche-de-gestion-des-risques/ · projectmanagementcourse.pm/risk-management-process/ · mooc.gestiondeprojet.pm · ondemand.mooc.gestiondeprojet.pm