Eine Risikoanalyse bewertet jedes Risiko nach Eintrittswahrscheinlichkeit und Auswirkung und leitet daraus eine von vier Strategien ab: vermeiden, vermindern, übertragen oder akzeptieren. Ohne zugeordnete Massnahme mit Verantwortlichem und Termin ist ein Risikoeintrag reine Dokumentation.
Risiken finden
Risiken werden nicht gefunden, indem man in einer Sitzung fragt, welche Risiken es gibt. Diese Frage liefert die drei offensichtlichen und übersieht die relevanten. Systematischer ist das Durchgehen von Kategorien — jede Kategorie erzeugt Fragen, die sonst nicht gestellt würden.
- Inhaltlich: Sind die Anforderungen stabil? Ist die Lösung technisch machbar?
- Terminlich: Welche Abhängigkeiten liegen ausserhalb unseres Einflusses?
- Ressourcen: Was passiert bei Ausfall von Schlüsselpersonen?
- Organisatorisch: Gibt es Widerstand? Steht die Entscheidungsstruktur?
- Extern: Lieferanten, Behörden, rechtliche Änderungen.
- Betrieb: Wer übernimmt nach der Einführung, und ist das geklärt?
Formuliert wird ein Risiko als Wenn-dann-Satz mit Ursache und Wirkung: «Wenn die Schnittstellenspezifikation nicht bis Ende Q3 vorliegt, verzögert sich die Realisierung um mindestens sechs Wochen.» Ein Eintrag wie «Schnittstellenprobleme» benennt ein Thema, kein Risiko — und lässt sich weder bewerten noch mit einer Massnahme verbinden.
Bewerten
Bewertet wird nach Eintrittswahrscheinlichkeit und Auswirkung, üblicherweise auf einer Skala von eins bis fünf. Das Produkt ergibt eine Kennzahl, nach der sich sortieren lässt. Diese Zahl ist keine Messung, sondern eine strukturierte Einschätzung — ihr Wert liegt in der Vergleichbarkeit, nicht in der Präzision.
Wichtiger als die Skala ist, wer bewertet. Eine Bewertung durch die Projektleitung allein bildet deren Perspektive ab. Risiken aus dem Fachbereich, aus dem Betrieb oder aus der Beschaffung werden dabei systematisch unterschätzt, weil das Wissen darüber woanders liegt.
Die vier Strategien
| Strategie | Bedeutung | Beispiel |
|---|---|---|
| Vermeiden | Ursache beseitigen, Vorgehen ändern | Auf die riskante Eigenentwicklung verzichten |
| Vermindern | Wahrscheinlichkeit oder Auswirkung senken | Frühen Prototyp bauen, um Machbarkeit zu klären |
| Übertragen | An Dritte weitergeben | Vertragliche Regelung, Versicherung |
| Akzeptieren | Bewusst tragen, Reserve vorhalten | Kleines Restrisiko mit Budgetreserve abdecken |
Ein akzeptiertes Risiko ist nicht dasselbe wie ein ignoriertes. Akzeptanz bedeutet: bewertet, bewusst getragen, mit Reserve unterlegt und dokumentiert — und beim nächsten Meilenstein erneut geprüft.
Vom Register zur Massnahme
Der Schritt, an dem die meisten Risikoanalysen enden, ist der entscheidende: Zu jedem Risiko oberhalb einer festgelegten Schwelle gehört eine Massnahme mit Verantwortlichem und Termin. Ohne diese drei Angaben bleibt der Eintrag Dokumentation.
Praktisch bedeutet das, die Massnahmen in dieselbe Steuerung zu geben wie die Arbeitspakete. Ein Risiko-Massnahmenplan, der neben dem Projektplan geführt wird, wird nicht abgearbeitet — die Massnahmen konkurrieren dann mit der eigentlichen Projektarbeit und verlieren regelmässig.
Aktuell halten
Risiken verändern sich: Manche treten ein und werden zu Problemen, andere entfallen, neue kommen hinzu. Die Überprüfung gehört an die Meilensteine — dieselbe Gelegenheit, an der ohnehin geprüft und entschieden wird.
Nützlich ist dabei eine Spalte für den Verlauf der Bewertung. Ein Risiko, dessen Kennzahl über drei Berichtsperioden steigt, verlangt eine andere Reaktion als eines, das konstant bleibt — und dieser Verlauf ist nur sichtbar, wenn die alten Werte nicht überschrieben werden.
Häufige Fragen
- Wie führt man eine Risikoanalyse im Projekt durch?
- Risiken systematisch nach Kategorien erfassen und als Wenn-dann-Satz formulieren, nach Eintrittswahrscheinlichkeit und Auswirkung bewerten, eine der vier Strategien wählen und für alle Risiken oberhalb einer Schwelle eine Massnahme mit Verantwortlichem und Termin festlegen.
- Welche Strategien gibt es im Umgang mit Risiken?
- Vermeiden (Ursache beseitigen), Vermindern (Wahrscheinlichkeit oder Auswirkung senken), Übertragen (vertraglich oder per Versicherung an Dritte) und Akzeptieren (bewusst tragen und mit Reserve unterlegen).
- Wie oft sollte die Risikoanalyse aktualisiert werden?
- An jedem Meilenstein — derselben Gelegenheit, an der ohnehin geprüft und entschieden wird. Alte Bewertungen sollten dabei stehenbleiben, damit sichtbar wird, welche Risiken über die Zeit an Bedeutung gewinnen.