Risikoanalyse und Risikomanagement

Zweck

Risikoanalyse und Risikomanagement soll die Unsicherheiten, die auf dem erwarteten Wert einer Veränderung lasten, sichtbar und steuerbar machen. Sie verwandelt diffuse Sorgen in benannte Objekte, jedes mit einem geschätzten Niveau, einer geplanten Massnahme und einer bestimmten verantwortlichen Person.

Die Entscheidung, die sie stützt, ist zweifach: ob die Initiative angesichts des getragenen Risikos begonnen wird und, sobald sie läuft, wie die Ressourcen verteilt werden, die die schwersten Bedrohungen eindämmen. Ihr Ergebnis ist das Risikoregister, eine Tabelle, die für jedes Risiko seine Beschreibung, seine Wahrscheinlichkeit, seine Auswirkung, sein Niveau, die gewählte Massnahme, die verantwortliche Person und das Restrisiko nach der Behandlung festhält.

Die Technik gilt auf drei Ebenen. Das strategische Risiko betrifft den Wert des Unternehmens über die Zeit. Das taktische Risiko hängt an einer bestimmten Veränderung. Das operative Risiko lastet auf einer Lösung, sobald sie im Einsatz ist. Das Register ist in allen drei Fällen dasselbe Instrument; nur die Tragweite ändert sich.

Einsatz

Wann einsetzen

• Zu verteidigender Business Case: das von der Initiative getragene Risiko beziffern, damit der dem Sponsor gezeigte Nettowert ehrlich ist.
• Wesentliche Unsicherheit: ein Termin, ein Budget oder eine Compliance-Anforderung ist Gefahren ausgesetzt, deren Eintritt teuer käme.
• Exponierte Stakeholder: der Eintritt eines Risikos würde Dritte treffen (Kunden, Regulator, Mitarbeitende), die geschützt oder informiert werden müssen.
• Laufende Steuerung: das Risikoniveau verändert sich mit dem Fortschritt; die regelmässige Überprüfung des Registers hält die Massnahmen angepasst.
• Operatives Risiko nach der Inbetriebnahme: die Unsicherheiten überwachen, die bestehen bleiben, sobald die Lösung produktiv ist.

Wann nicht einsetzen

• Triviale Veränderung mit geringem Einsatz: Register und Bewertung kosten mehr, als die Entscheidung wert ist; ein einfaches Problemjournal genügt.
• Kein Verantwortlicher und kein Überprüfungsrhythmus: eher eine einfache Risiko-Checkliste, denn ein bewertetes Register ohne Verantwortlichen und ohne Überprüfung bliebe toter Buchstabe.
• Wirklich nicht erkennbare Unsicherheit: bei einer tiefgreifenden Neuheit erzeugt der Wert Wahrscheinlichkeit mal Auswirkung eine falsche Genauigkeit; eher die Szenario- und Annahmenanalyse oder ein experimentelles Vorgehen.

Beschreibung

Die Technik gliedert sich in vier Elemente, die zusammen das Register füllen und dann pflegen. Sie bilden eine Schleife: die Überwachung führt fortwährend zur Identifikation zurück, und das Restrisiko einer Massnahme ist ein neues zu analysierendes Risiko.

Identifikation

Die Identifikation erfasst die für die Initiative relevanten Risiken. Sie stützt sich auf Expertenurteil, den Beitrag der Stakeholder, Experimente, frühere Erfahrung und die historische Auswertung vergleichbarer Initiativen. Ein Risikoereignis kann einmal, mehrmals oder gar nicht eintreten; ein Ereignis kann mehrere Folgen haben und eine Folge auf mehrere Ursachen zurückgehen. Ziel ist eine möglichst vollständige Menge, die den unbekannten Anteil verringert. Es ist eine ständige Tätigkeit: die Identifikation auf einen einzigen Workshop zu Projektbeginn zu verkürzen lässt jene Risiken durch, die erst unterwegs auftauchen, sodass bedeutende Risiken nie identifiziert werden.

Analyse

Die Analyse versteht jedes Risiko und schätzt sein Niveau. Die Wahrscheinlichkeit wird als Zahlenwert oder auf einer Skala Gering / Mittel / Hoch ausgedrückt. Die Auswirkung wird am bedrohten Wert beschrieben: Kosten, Dauer, Umfang oder Qualität oder vereinbarte Faktoren wie Reputation, Compliance oder soziale Verantwortung. Eine Auswirkungsskala mit drei bis fünf Stufen gibt ein gemeinsames Vokabular, um die Schwere zu lesen. Das Risikoniveau ist eine Funktion von Wahrscheinlichkeit und Auswirkung, oft ihr Produkt, und dient dazu, die Risiken untereinander zu ordnen. Ein zeitlich nahes Risiko, oder eines aus einer sensiblen Kategorie wie Compliance, kann über seinen rohen Wert angehoben werden. Dieser Wert bleibt eine gemeinsame Konvention zur Einordnung; ihn für eine exakte Messung zu halten ist die häufigste Falle dieses Schritts.

Bewertung

Die Bewertung vergleicht das analysierte Niveau mit dem potenziellen Wert der Veränderung, um zu entscheiden, ob dieses Niveau akzeptabel ist. Es ist eine Abwägung: das von der Veränderung getragene Risiko wird gegen den Gewinn aufgewogen, den sie erbringen soll. Ein Gesamtrisikoniveau, die Summe der einzelnen Niveaus, gibt dem Sponsor ein Gesamtbild. Hier hört das Register auf, ein Inventar zu sein, und wird zum Entscheidungsinstrument: ein als inakzeptabel beurteiltes Risiko verlangt eine Massnahme vor jedem weiteren Engagement.

Behandlung

Die Behandlung wählt für jedes berücksichtigte Risiko eine Massnahme aus, unter fünf kombinierbaren Ansätzen:

• Vermeiden: die Quelle des Risikos beseitigen oder den Plan so anpassen, dass das Risiko nicht eintreten kann.
• Übertragen: die Last des Risikos auf einen Dritten verlagern oder mit ihm teilen, durch einen Vertrag, eine Versicherung oder eine Service-Level-Klausel.
• Vermindern: die Wahrscheinlichkeit oder die Schwere der Folgen senken.
• Akzeptieren: vorerst nichts unternehmen und bei Bedarf eine Ausweichlösung bereithalten, falls das Risiko eintritt.
• Erhöhen: mehr Risiko eingehen, um eine Chance zu ergreifen, wenn die Unsicherheit zugunsten des Werts wirkt.

Jedes Risiko erhält einen Massnahmenplan und eine verantwortliche Person mit der Verantwortung und der Befugnis zu handeln. Ein Risiko ohne Verantwortlichen wird von niemandem überwacht und sein Plan wird nie ausgelöst. Nach der Behandlung wird das Risiko neu analysiert, um sein Restrisiko zu bestimmen, seine Wahrscheinlichkeit und Auswirkung neu berechnet, sobald die Massnahme greift. Eine Kosten-Nutzen-Prüfung bestätigt, dass die Massnahme ihren Preis wert ist, denn eine Massnahme, die teurer ist als das gedeckte Risiko, ist ein schlechtes Geschäft. Die Stakeholder werden über die gewählten Pläne informiert. Das Restrisiko zu ignorieren heisst, ein Risiko für erledigt zu halten, obwohl es in verminderter Form fortbesteht.

Das Register über die Zeit halten

Das Register lebt mit der Initiative. Die Niveaus verändern sich, ein gestern verworfenes Risiko wird wieder aktuell, eine Massnahme schafft ein zu überwachendes Restrisiko. Eine periodische Überprüfung öffnet die offenen Risiken erneut, aktualisiert die Werte und schliesst jene, die nicht mehr eintreten können. Die umgekehrte Gefahr droht ebenso: ein Register, das ohne Unterscheidung anschwillt, wird unlesbar, denn nur eine Teilmenge der Risiken lässt sich steuern. Die Disziplin besteht darin, im Register die Risiken zu behalten, die man bearbeiten wird.

KI-Überlegungen

Die KI hilft vor allem im Vorfeld und beim Volumen. Sie kann aus einem Projektauftrag oder aus vergleichbaren früheren Initiativen eine erste Risikoliste vorschlagen, ein umfangreich gewordenes Register gruppieren und entdoppeln, vergessene Risiken aus historischen Daten und Erfahrungsberichten hervorholen und Optionen für einen Massnahmenplan zur Diskussion skizzieren.

Das Urteil bleibt menschlich, wo es eine Verantwortung bindet. Wahrscheinlichkeit und Auswirkung zu schätzen ist eine zwischen Stakeholdern ausgehandelte Konvention; ein von einem Modell vorgeschlagener Wert ist keine Messung und muss neu verhandelt werden. Die Wahl der Massnahme und die Benennung der verantwortlichen Person tragen eine Rechenschaftspflicht, die sich keinem Modell übertragen lässt. Sensible Risiken, die Reputation, Compliance oder Personen berühren, verlangen eine Rahmung und eine Zurückhaltung, die nur ein Mensch gewährleisten kann.

Beispiele

Ein Dienstleistungs-KMU mit vierzig Mitarbeitenden ersetzt seine Software für Fakturierung und Buchhaltung. Das Register bewertet fünf Risiken auf Skalen von 1 bis 5 für Wahrscheinlichkeit und Auswirkung, wobei das Niveau ihr Produkt ist (1 bis 4 Gering, 5 bis 9 Mittel, 10 bis 16 Hoch, 17 bis 25 Kritisch). Die zu lesende Spalte ist die letzte: das Restrisiko zeigt die Wirkung der Massnahme, neu bewertet, sobald die Massnahme greift.

Visualisierungen

Die Bewertung eines Risikos wird lesbar, sobald man es auf einer Wahrscheinlichkeits-Auswirkungs-Matrix platziert: jedes Risiko sitzt an seinen zwei Koordinaten und die Farbe des Feldes gibt sein Niveau. Vor und nach der Massnahme eingetragen, zeigt die Position eines einzelnen Risikos, was die Massnahme ihm genommen hat. Die unvollständige Datenmigration startet bei Wahrscheinlichkeit 3 für Auswirkung 4, im Band Hoch; sobald die Testmigration und der Abgleich stehen, fällt sie auf Wahrscheinlichkeit 2 für Auswirkung 2 zurück, im Band Gering. Der Pfeil, der die beiden Punkte verbindet, ist die Massnahme selbst.

Kosten

Werkzeuge

Ein Whiteboard und Haftnotizen genügen für die Identifikation im Workshop, wo die Geschwindigkeit der Erfassung mehr zählt als die Form. Eine Tabellenkalkulation trägt mühelos ein Register von einigen Dutzend Risiken, mit automatischer Niveauberechnung und Sortierung nach Priorität. Sobald mehrere Initiativen Risiken teilen oder die Compliance eine Prüfspur verlangt, bietet ein dediziertes Werkzeug für das Risikomanagement oder ein GRC-Modul (Governance, Risk, Compliance) innerhalb einer Projektsteuerungs-Suite die Historisierung, die Erinnerungen an Überprüfungen und die Konsolidierung eines Gesamtniveaus. Eine Vorlage der Wahrscheinlichkeits-Auswirkungs-Matrix gibt den Bewertungssitzungen eine gemeinsame visuelle Grundlage.

Quellen

• IIBA, A Guide to the Business Analysis Body of Knowledge (BABOK Guide) v3, §10.38 „Risk Analysis and Management“: die vier Elemente der Technik, die fünf Massnahmenansätze, das Niveau als Funktion von Wahrscheinlichkeit und Auswirkung, das Restrisiko und die Pflege des Registers. Beschreibende Quelle.
• ISO 31000:2018, Risikomanagement, Leitlinien, ISO: der Rahmen und die Grundsätze des Risikomanagements, einschliesslich des fortlaufenden Charakters des Vorgehens.
• IEC 31010:2019, Risikomanagement, Verfahren zur Risikobeurteilung, IEC/ISO: der Katalog der Verfahren zur Risikobeurteilung, einschliesslich der Wahrscheinlichkeits-Auswirkungs-Matrix.
• Project Management Institute, The Standard for Risk Management in Portfolios, Programs, and Projects, PMI: die normative Behandlung der Risikoantworten, einschliesslich des Ansatzes, eine Chance zu erhöhen, und der Rahmung als fortlaufender Prozess.