Risikostrukturplan

Zweck

Der Risikostrukturplan ist ein Baum aus Kategorien. Seine Blätter benennen Risikoquellen: Definition der Anforderungen, Qualität der Altdaten, Lieferanten, Regulierung. Die einzelnen Risiken bleiben im Register. Dort erhält jede Zeile den Code des Blatts, aus dem das Risiko stammt.

Die Risikoidentifikation liefert eine Liste. Ein Register mit vierzig Zeilen zeigt weder, wo sich die Exposition konzentriert, noch welche Themen wiederkehren, noch welche Quellen niemand geprüft hat. David Hillson schlug den Risikostrukturplan 2002 vor, um diese Lücke zu schliessen. Er bildete ihn nach dem Vorbild des Projektstrukturplans (PSP). Der PSP gliedert die zu leistende Arbeit. Der Risikostrukturplan gliedert die Risikoquellen.

Das Team setzt den Risikostrukturplan zu zwei Zeitpunkten ein. Vor der Identifikation geht das Team seine Kategorien durch, damit es keine Quelle vergisst. Danach ordnet es die identifizierten Risiken nach Quelle.

Das Ergebnis ist die Struktur selbst. Der Risikomanagementplan enthält den Risikostrukturplan unter der Rubrik "Risikokategorien". Risikoregister und Risikobericht übernehmen ihn: Das Register führt eine Spalte für die Kategorie, der Bericht verteilt die Risiken auf die Kategorien.

Einsatz

Wann einsetzen

• Register mit mehreren Dutzend Zeilen: Die Liste zeigt nicht mehr, wo sich die Exposition konzentriert.
• Workshop oder Interview zur Identifikation: Die Ebenen 1 und 2 geben die Traktanden vor und decken alle Quellen ab.
• Organisation mit ähnlichen Projekten: Ein gemeinsamer Risikostrukturplan gibt den Projekten dieselbe Sprache und ein vergleichbares Reporting.
• Steuerungsausschuss: Der Bericht fasst die Risiken auf Ebene 1 zusammen. Der Ausschuss sieht, woher die Exposition kommt.
• Bewertung von Offerten: Ein einziger Risikostrukturplan ordnet die Risiken aller Anbieter. Die Offerten lassen sich so Kategorie für Kategorie vergleichen.
• Projektabschluss: Nach Quelle geordnet, fliessen die eingetretenen Risiken in die Lessons Learned ein und korrigieren den Risikostrukturplan der Organisation.

Wann nicht einsetzen

• Kleines Projekt mit etwa zehn Risiken: Die Liste ist auf einen Blick lesbar. Eine Kategoriespalte im Register genügt.
• Frage nach dem betroffenen Teil des Projekts: Die Risiken nach Arbeitspaket des Projektstrukturplans (PSP) ordnen.

Beschreibung

Eine Hierarchie von Quellen

Der PMBOK Guide zerlegt die Risikoquellen. Hillson gruppiert die Risiken des Projekts nach Quelle.

Der Beispiel-Risikostrukturplan des PMBOK Guide hat drei Ebenen. Ebene 0 heisst "Alle Risikoquellen des Projekts". Ebene 1 umfasst die Familien technisches Risiko, Managementrisiko, kommerzielles Risiko und externes Risiko. Ebene 2 detailliert jede Familie. Die technische Familie beginnt mit der Definition des Umfangs, der Definition der Anforderungen sowie den Schätzungen, Annahmen und Einschränkungen. Die externe Familie beginnt mit Gesetzgebung, Wechselkursen sowie Standorten und Einrichtungen. Jedes Element trägt einen hierarchischen Code: 1, 1.1, 1.2. Hillsons Beispiele reichen zwei oder drei Ebenen unter Ebene 0.

Die Blätter bleiben Kategorien. "Lieferanten und Anbieter" ist ein Blatt. "Der Lieferant liefert das Abrechnungsmodul zwei Monate zu spät" ist ein Risiko. Es kommt unter diesem Blatt ins Register. Im Beispiel des PMBOK Guide trägt das Blatt den Code 3.3.

Die Abkürzung RBS steht auch für die resource breakdown structure. Sie gliedert die Ressourcen des Projekts nach Kategorie und Typ. Das Team schreibt den vollen Begriff bei der ersten Nennung in jedem Dokument aus.

Die benachbarten Strukturpläne

Der PMBOK Guide zählt den PSP, die OBS, die resource breakdown structure und die VBS zu den hierarchischen Diagrammen. Den Risikostrukturplan behandelt er im Risikomanagementplan. Die fünf Strukturen teilen die Baumform. Jede gliedert einen anderen Gegenstand.

Der PMBOK Guide schlägt vor, die Risiken mit dem Risikostrukturplan nach Quelle oder mit dem PSP nach betroffenem Projektteil zu ordnen. Die beiden Ordnungen kreuzen sich. Ein Fehler bei der Datenübernahme stammt aus einer technischen Quelle und trifft das Arbeitspaket Migration. Ein Register mit beiden Codes beantwortet beide Fragen.

Ausgangsstruktur wählen

Laut PMBOK Guide führt die Organisation einen generischen Risikostrukturplan für alle Projekte oder einen pro Projekttyp. Andernfalls baut das Team einen projektspezifischen Risikostrukturplan auf. Ein generischer Risikostrukturplan aus dem Project Management Office (PMO) vereinheitlicht Identifikation und Reporting in einer gemeinsamen Sprache. Ein projektspezifischer Risikostrukturplan passt zu den Bedürfnissen des Projekts. Die Vereinheitlichung geht dabei verloren.

Ein veröffentlichter Risikostrukturplan ist ein Ausgangspunkt. Jede Organisation passt ihren eigenen an ihre Branche und ihre Projekte an. Ein Spital ergänzt eine Familie "Klinischer Betrieb". Eine kantonale Verwaltung detailliert "Öffentliche Beschaffung" unter der kommerziellen Familie. Ein Team, das das Beispiel des PMBOK Guide unverändert übernimmt, behält generische Familien. Keine davon nennt eine branchenspezifische Quelle. Das Team sucht deshalb in den branchenspezifischen Quellen gar nicht nach Risiken.

Ein Blatt muss ein Risiko eindeutig aufnehmen. Überschneiden sich zwei Blätter, codiert das Team die Risiken aus derselben Quelle mal unter dem einen, mal unter dem anderen Blatt. Jedes Blatt zeigt dann nur einen Teil der Exposition. "Ressourcen" und "Kompetenzen" sind ein häufiger Fall. Der PMBOK Guide lässt auch eine einfachere Struktur zu: eine Liste von Kategorien oder eine Struktur nach den Projektzielen.

Den Risikostrukturplan im Risikomanagementplan festhalten

Der Risikomanagementplan legt die Risikokategorien des Projekts fest. Der Risikostrukturplan steht dort mit seinen Codes und einer Zeile Definition pro Blatt. Diese Definitionen klären die Grenzfälle im Voraus. Der Identifikationsworkshop muss dann nicht mehr über Zuordnungen diskutieren. Im Projektverlauf ergänzt das Team bei Bedarf ein Blatt. Wer Blätter umbenennt oder zusammenlegt, macht die Ergebnisse zweier Überprüfungen unvergleichbar.

Risiken mit dem Risikostrukturplan identifizieren

Im Workshop geht die Gruppe die Elemente des Risikostrukturplans einzeln durch. Im Interview liefert der Risikostrukturplan die Traktanden. Aus der untersten Ebene leitet das Team eine Checkliste ab: generische Risiken pro Blatt. Die Moderatorin schliesst den Workshop mit einer Frage nach den Risiken, die die Struktur nicht vorgesehen hat.

Eine prompt list ist laut PMBOK Guide eine vordefinierte Liste von Kategorien, die während der Identifikation die Ideenfindung lenkt. Die Kategorien der untersten Ebene des Risikostrukturplans liefern eine solche Liste für die Einzelrisiken. Für die Quellen des Gesamtrisikos des Projekts nennt der PMBOK Guide andere Raster: die PESTLE-Analyse, TECOP (technisch, umweltbezogen, kommerziell, operativ, politisch) und VUCA (Volatilität, Unsicherheit, Komplexität, Ambiguität).

Jedes Risiko einem Blatt zuordnen

Das Team ordnet jedes Risiko im Register einem Blatt der untersten Ebene zu. Ein leeres Blatt weist auf einen möglichen blinden Fleck hin. Niemand hat dort ein Risiko gefunden. Offen bleibt, ob jemand gesucht hat. Auch die Risiken aus anderen Techniken kommen unter den Risikostrukturplan. Zwei Zeilen unter demselben Blatt beschreiben dann manchmal dasselbe Risiko.

Bevor das Team ein leeres Blatt für risikofrei erklärt, hält es dazu eine kurze Sitzung ab. Ein Risiko, das unter kein Blatt passt, zeigt einen unvollständigen Risikostrukturplan an. Das Team ergänzt das fehlende Blatt. Unter einem benachbarten Blatt würde das Risiko die Verteilung verfälschen.

Manche Teams nummerieren die Risiken nach dem Risikostrukturplan. Das Risiko 1.2-03 ist dann das dritte Risiko des Blatts 1.2. Der Code zeigt die Herkunft des Risikos, ohne dass jemand das Register öffnet. Ein umgeordnetes Risiko wechselt aber seine Kennung. Seine Historie und seine Rückverfolgbarkeit brechen ab. Das Team führt deshalb im Register eine stabile Kennung und erfasst den RBS-Code in einer eigenen Spalte.

Konzentration messen

Die Anzahl Risiken pro Blatt täuscht. Ein Blatt kann zehn geringe Risiken tragen. Ein anderes trägt nur zwei, dafür grosse. Das Team berechnet deshalb die Punktzahl pro Element, die Hillson vorschlägt: die Summe der Punktzahlen aus Wahrscheinlichkeit × Auswirkung der zugeordneten Risiken. Der Risikomanagementplan legt die Bewertungsskalen fest. Die Wahrscheinlichkeits- und Auswirkungsmatrix wendet sie Risiko für Risiko an. Ohne Bewertungen zählt das Team nur die Zeilen und behandelt diese Zahl als vorläufig.

Danach addiert das Team die Punktzahlen der Ebene 2 und erhält so die Punktzahlen der Ebene 1. Die Punktzahl addiert ordinale Bewertungen. Sie ordnet die Blätter untereinander. Sie beziffert weder einen Verlust noch eine Verzögerung.

Eine Summe belohnt auch die Menge: Zehn Risiken mit 3 Punkten übertreffen ein Risiko mit 25 Punkten. Das Team zeigt deshalb neben der Summe die höchste Punktzahl jedes Blatts. Es kann auch jedes Risiko über der Schwelle aus dem Risikomanagementplan gesondert markieren.

Das Register enthält Bedrohungen und Chancen. Das Team summiert ihre Punktzahlen für jedes Blatt getrennt. Eine gemischte Summe versteckt eine Exposition hinter einer Chance.

Verteilung lesen und Massnahmen ausrichten

Laut PMBOK Guide macht die Gruppierung nach Kategorie die Massnahmen wirksamer. Das Team richtet Aufmerksamkeit und Aufwand auf die am stärksten exponierten Bereiche. Es kann auch eine generische Massnahme für eine Gruppe verwandter Risiken entwickeln. Die Wahl der Massnahme gehört zu den Risikoreaktionsstrategien.

Die Verteilung zeigt auch die Art der Exposition des Projekts und seine Hauptquellen. Ein Affinitätsdiagramm der Risiken eines Blatts macht gemeinsame Ursachen sichtbar. Der PMBOK Guide gruppiert Risiken auch nach gemeinsamer Grundursache. Die Ursachenanalyse bestätigt diese Ursachen. Schliesslich hilft die Gruppierung, abhängige Risiken zu erkennen, die gemeinsam eintreten.

Nach Ebene berichten

Der Risikostrukturplan bestimmt den Detaillierungsgrad des Risikoberichts. Der Steuerungsausschuss liest Ebene 1. Die verantwortliche Person eines Blatts liest das Detail ihrer Risiken. Die Organisation bestimmt pro Familie eine verantwortliche Person.

Beim Abschluss auswerten

Beim Abschluss ordnet die Organisation die Risiken aus der Abschlussbeurteilung des Projekts in ihren Risikostrukturplan ein. Risiken, die von Projekt zu Projekt wiederkehren, werden dann pro Blatt sichtbar. Die Organisation korrigiert den Risikostrukturplan und seine Checklisten. Das PMO führt zudem einen Katalog typischer Risiken. Jedes abgeschlossene Projekt trägt seine Risiken dort ein. Der Risikostrukturplan ordnet sie.

In HERMES

HERMES 2022 überträgt der Projektleitung die Aufgabe Risiken managen. Die Projektleitung identifiziert darin die Risiken und ordnet sie Risikobereichen zu. Danach analysiert und bewertet sie die Risiken. Die Aufgabe zählt diese Bereiche nicht auf. HERMES unterscheidet zwei Arten von Risiken. Projektrisiken betreffen den Ablauf des Projekts. Betriebsrisiken betreffen die Nutzung seiner Ergebnisse. Diese beiden Arten ordnen Risiken danach, was sie treffen. Sie ergänzen den Risikostrukturplan. Seine Ebene 1 bleibt die Ebene der Quellen. Ein Risikostrukturplan gibt den Risikobereichen eine Struktur, die von Projekt zu Projekt stabil bleibt. Die Projektleitung dokumentiert die Risiken im Projektstatusbericht.

KI-Überlegungen

Ein Sprachmodell schlägt aus der Beschreibung des Projekts und der Branche einen ersten Risikostrukturplan vor. Es ordnet die Zeilen eines exportierten Registers den Blättern zu und markiert Zeilen, die unter zwei Blätter oder unter keines passen. Es findet Doppelungen. Es schreibt die Formel oder die Pivot-Tabelle, die die Risiken zählt und die Punktzahlen pro Blatt, dann pro Familie summiert. Die Tabellenkalkulation rechnet. Für eine Checkliste formuliert das Modell generische Risiken pro Blatt.

Ein generierter Risikostrukturplan übernimmt die veröffentlichten Beispiele. Er lässt die öffentliche Beschaffung, den Datenschutz und die anderen Quellen weg, die der Branche und dem Schweizer Kontext eigen sind. Das Team prüft ihn an den Lessons Learned der Organisation. Die verantwortliche Person eines mehrdeutigen Risikos ordnet es zu. Ein leeres Blatt stellt den Fachexpertinnen und Fachexperten eine Frage. Ein Modell, das es mit plausiblen Risiken füllt, bläht das Register auf und verdeckt den blinden Fleck. Das Register nennt Lieferanten und vertragliche Schwachstellen. Diese Daten fallen unter das Geschäftsgeheimnis: Vertrag und Geheimhaltungsvereinbarungen entscheiden, ob das Register an einen externen KI-Dienst gehen darf. Das Register nennt auch die Risikoverantwortlichen. Für diese Personennamen gilt das Datenschutzgesetz (DSG). Das Team entfernt oder pseudonymisiert sie vor dem Versand.

Beispiele

Ein Regionalspital löst seine Fakturierungssoftware ab. Das Register zählt 23 Risiken mit einer Bewertung von 1 bis 5 für Wahrscheinlichkeit und Auswirkung. Das Team ordnet jedes Risiko einem Blatt zu und addiert die Punktzahlen.

Das Blatt 1.1 Anforderungen trägt die meisten Zeilen: sechs geringe Risiken mit 22 Punkten. Das Blatt 1.2 Qualität der Altdaten trägt zwei mit 32 Punkten. Der Ausschuss richtet die Massnahmen auf diese Daten aus. Die technische Familie vereint 81 der 149 Punkte des Projekts. Das Blatt 3.2 Subunternehmer bleibt leer. Ein Subunternehmer führt jedoch die Datenmigration durch.

Visualisierungen

Der Risikostrukturplan wird als Baum gezeichnet. Ebene 0 steht links. Die Familien und danach die Blätter breiten sich nach rechts aus. Jedes Element trägt seinen Code. Der Baum dient dem Identifikationsworkshop. Der Steuerungsausschuss erhält Balken pro Familie der Ebene 1. Der Risikobericht zeigt eine Treemap oder einen nach Punktzahl eingefärbten Baum. Die Arbeitskopie bleibt eine eingerückte Liste mit Codes in der Tabellenkalkulation.

Aufwand

Werkzeuge

In den meisten Projekten genügt eine Tabellenkalkulation. Eine Pivot-Tabelle zählt die Risiken und summiert die Punktzahlen pro Blatt und pro Familie. Eine Mindmap-Software (XMind, MindManager) zeichnet den Baum im Workshop, der den Risikostrukturplan aufbaut. Ein Tracking-Werkzeug wie Jira führt den RBS-Code in einem Feld mit festen Werten und verhindert so erfundene Kategorien. Ein Dashboard-Werkzeug wie Power BI zeichnet die Verteilung aus einem Registerexport als Treemap.

Quellen

• Project Management Institute, A Guide to the Project Management Body of Knowledge (PMBOK Guide), 8. Auflage, PMI: der Prozess Risiken analysieren (Perform Risk Analysis) mit dem Werkzeug Risikokategorisierung (§2.7.2.3); die Definition des Risikostrukturplans, seine drei Varianten und das Beispiel in Figure 4-5 (Section 4, Eintrag Risk management plan, Rubrik Risk categories); die Verteilung nach Kategorie im Risikobericht (Section 4, Eintrag Risk report); die Kategorisierung nach Quelle, nach betroffenem Teil und nach Grundursache (Section 5, Eintrag Risk categorization); der Risikostrukturplan als prompt list, PESTLE, TECOP und VUCA (Section 5, Eintrag Prompt lists).
• David Hillson, "The Risk Breakdown Structure (RBS) as an aid to effective risk management", PMI Europe 2002, Cannes, Juni 2002: der Beitrag, der den Risikostrukturplan als Gruppierung der Risiken nach Quelle definiert; veröffentlichte Risikostrukturpläne als Ausgangspunkte; ihr Einsatz bei der Identifikation (Workshop, Interview, Checkliste, Schlussfrage nach unvorhergesehenen Risiken), bei der Zuordnung (leeres Blatt, Doppelungen, Nummerierung nach dem Risikostrukturplan), bei der Bewertung über die Punktzahl, beim Lesen der Art der Exposition, beim Vergleich von Projekten, im Reporting und in den Lessons Learned.
• PMI France, Cercle des Entreprises, Optimiser l'utilisation du Registre de Risques, Version 2, Januar 2015, §3.3 und §3.4: der französische Begriff, der Einsatz der Ebenen und die verantwortliche Person pro Familie, generischer und projektspezifischer Risikostrukturplan, der Katalog typischer Risiken.
• Bundeskanzlei, HERMES 2022, Referenzhandbuch Projektmanagement: die Aufgabe Risiken managen (5.4.3.41), Zuordnung der Risiken zu Risikobereichen, Projektrisiken und Betriebsrisiken.