Wahrscheinlichkeits- und Auswirkungsmatrix

Zweck

Die Wahrscheinlichkeits- und Auswirkungsmatrix ordnet die Einzelrisiken eines Projekts nach Priorität. Sie beantwortet eine Steuerungsfrage: Für welche Risiken setzt das Team seine Zeit und sein Budget zuerst ein? IEC 31010 nutzt sie als Werkzeug zum Vorsortieren eines Registers mit vielen Risiken. Die Matrix zeigt, welche Risiken eine vertiefte Analyse brauchen, welche das Team zuerst behandelt und welche an die Leitung gehen.

Die Technik liefert Skalen, die jede Stufe der Wahrscheinlichkeit und der Auswirkung definieren. Sie liefert ein Raster, das jedem Feld eine Zone und jeder Zone eine Entscheidungsregel zuordnet. Das Risikoregister erhält für jedes Risiko seine Einstufung, seinen Score und seine Zone.

Die Risikoanalyse und das Risikomanagement beschreiben den ganzen Prozess. Die Matrix ist ihr Bewertungsinstrument. Der Prozess Risiken analysieren des PMBOK Guide bewertet jedes Risiko während des ganzen Projekts nach Wahrscheinlichkeit und Auswirkung. Verlangt das Projekt es, kommt eine quantitative Analyse hinzu. Die Aufgabe Risiken managen in HERMES 2022 verlangt dieselbe Bewertung: die Eintrittswahrscheinlichkeit und das Schadensausmass jedes Risikos. Das Team hält das Ergebnis im Projektstatusbericht fest.

Einsatz

Wann einsetzen

• Register mit mehreren Dutzend Risiken: die Risiken danach sortieren, ob sie eine Reaktion, eine bezifferte Analyse oder eine Beobachtung brauchen.
• Steuerungsausschuss informieren: auf einer Seite zeigen, welche Risiken in die hohe Zone fallen.
• Ende einer Phase oder eines Release: die offenen Risiken vor der Freigabe der nächsten Etappe neu einstufen und sehen, welche die Zone gewechselt haben.
• Bedrohungen und Chancen im selben Register: sie auf einer gemeinsamen Wahrscheinlichkeitsskala einordnen.
• Skalen von der Organisation vorgegeben: Das Projekt übernimmt sie und stuft ab dem ersten Workshop ein.
• Vorgesetzte im Raum: Die stille Einzelbewertung kommt vor der Diskussion und hält abweichende Meinungen sichtbar.
• Verteiltes Team: Jede Person stuft aus der Ferne in einer geteilten Tabelle ein. Die Sitzung behandelt nur die Abweichungen.

Wann nicht einsetzen

• Entscheid hängt von der Gesamtexposition ab: Scores lassen sich nicht addieren. Für eine Reserve oder einen einzuhaltenden Termin zur Monte-Carlo-Simulation wechseln.
• Betrag für eine Reaktion: Die Matrix legt eine Reihenfolge fest und nennt keinen Betrag. Entscheidungsbäume vergleichen mehrere Reaktionen mit ungewissem Ausgang in Franken. Die Kosten-Nutzen-Analyse vergleicht die Kosten einer Reaktion mit dem erwarteten Verlust, den sie vermeidet.

Beschreibung

Die Elemente der Matrix

Die Wahrscheinlichkeitsskala teilt die Eintrittswahrscheinlichkeit eines Risikos in Stufen. Jede Stufe hat Grenzen in Prozent. Die Auswirkungsskala teilt die Wirkung des Risikos auf jedes Projektziel in Stufen. Das Raster kreuzt die beiden Skalen. Jedes Feld trägt einen Score und eine Zone. Jede Zone hat eine Priorisierungsregel: was das Team mit einem Risiko in dieser Zone tut.

Der PMBOK Guide lässt benannte Stufen (von sehr niedrig bis sehr hoch) oder Zahlenwerte zu. Bei Zahlenwerten ergibt das Produkt aus Wahrscheinlichkeit und Auswirkung den Score. Laut PMBOK Guide kann die Organisation die Priorisierungsregeln im Voraus in ihrem Prozessvermögen festlegen. Das Projekt kann sie auch an seinen Kontext anpassen. Die Schritte 1 bis 5 bauen die Matrix für ein Projekt, das von der Organisation nichts erhält. Ein Projekt mit übernommenen Skalen und Zonen beginnt bei Schritt 4. Es prüft zuerst, ob die Schwellen seines Auftraggebers dazu passen.

1. Den Risikoappetit in Schwellen übersetzen

Der PMBOK Guide geht vom Risikoappetit der Stakeholder aus. Der Risikomanagementplan drückt ihn für jedes Projektziel in messbaren Schwellen aus. Diese Schwellen legen die akzeptable Exposition fest und begründen die Definitionen von Wahrscheinlichkeit und Auswirkung. Die Analystin holt sie vor dem ersten Bewertungsworkshop beim Auftraggeber ein. Sie stellt eine Frage pro Ziel: Welchen Verzug, welche Mehrkosten, welchen Qualitätsverlust tolerieren Sie?

Eine Schwelle wird zur Skalengrenze. Bei einem Projekt von CHF 1,2 Millionen toleriert der Auftraggeber zwei Wochen Verzug und CHF 50'000 Mehrkosten. Diese beiden Werte bilden die Obergrenze der Stufe Niedrig auf der Auswirkungsskala. Ein Risiko darüber fällt in die Stufe Mittel. Über eine Skala ohne diese Schwellen streitet das Team in jeder Sitzung, weil niemand weiss, was "mittel" bedeutet.

2. Die Skalen aufbauen

Laut PMBOK Guide hat ein einfacher Prozess in der Regel drei Stufen und eine detaillierte Analyse meist fünf. IEC 31010 nennt drei, vier oder fünf Stufen als die gebräuchlichsten. Drei Stufen genügen einem Team, das zum ersten Mal einstuft. Fünf Stufen trennen die Risiken in einem Register mit mehreren Dutzend Zeilen besser.

Die Auswirkungsskala hat eine Spalte pro Ziel. Tabelle 4-2 des PMBOK Guide nennt drei: Termin, Kosten und Qualität. Der Guide hält fest, dass ein ethisches Risiko, ein Reputationsrisiko oder ein Risiko für die Teammoral in keine dieser Spalten passen kann. Das Team definiert dann mit dem Auftraggeber eine Auswirkungsspalte für das Ziel, das dieses Risiko bedroht. Andernfalls trägt es das Risiko ausserhalb des Rasters ins Register ein und notiert den Grund. Ein Risiko erhält eine Einstufung für jedes Ziel, das es berührt. Das Register behält alle diese Einstufungen. Das Team platziert das Risiko nach der höchsten im Raster. Sonst platziert das Raster ein Risiko mit wenig Verzug und hohen Kosten nach seiner niedrigen Termineinstufung. Seine hohe Kosteneinstufung bleibt unbemerkt.

Laut IEC 31010 muss jede Stufe so eindeutig wie möglich definiert sein. Eine bezifferte Definition nennt ihre Einheit. "Wahrscheinlich" heisst für die eine Person 60% und für die andere 90%. "Mehr als 60 bis 85% über die Projektdauer" heisst für alle dasselbe. Die Auswirkungsskala reicht von der schwersten glaubwürdigen Folge bis zur geringsten Folge, die Beachtung verdient. Die niedrigste Wahrscheinlichkeit muss für die höchste Auswirkung akzeptabel bleiben. Sonst wird jede Tätigkeit, deren schlimmste Folge schwer ist, unabhängig von ihrer Wahrscheinlichkeit untragbar.

Die beiden Skalen können in verschiedenen Schritten wachsen. Im Beispiel der Abbildung 5-14 des PMBOK Guide steigt die Wahrscheinlichkeit in gleichen Schritten von 0,10 bis 0,90. Die Auswirkung verdoppelt sich mit jeder Stufe: 0,05; 0,10; 0,20; 0,40; 0,80. Diese Wahl gibt der Auswirkung mehr Gewicht als der Wahrscheinlichkeit. Ein fast sicheres Risiko mit sehr niedriger Auswirkung erhält dort 0,90 × 0,05 = 0,045. Ein sehr unwahrscheinliches Risiko mit sehr hoher Auswirkung erhält 0,10 × 0,80 = 0,08 und rückt nach vorn. Auf zwei Skalen von 1 bis 5 erhielten beide 5. IEC 31010 lässt die Gewichtung des Rasters offen: mehr Gewicht auf der Folge, mehr Gewicht auf der Wahrscheinlichkeit oder gleiches Gewicht. Das Team entscheidet vor der Einstufung und hält seine Wahl im Risikomanagementplan fest.

3. Die Zonen und ihre Regeln festlegen

Das Produkt der Gewichte ergibt fünfundzwanzig Scores. Wie in Abbildung 5-14 sind sie auf zwei Dezimalstellen gerundet. Der PMBOK Guide färbt sein Raster in drei Tönen und veröffentlicht keine Schwelle zwischen ihnen. Wie die Priorisierungsregeln sind die Schwellen Sache der Organisation oder des Projekts. Das Projekt legt die hohe Zone bei 0,20 und mehr fest. Es legt die niedrige Zone bei 0,05 und weniger fest. Die Scores dazwischen bilden die mittlere Zone.

Eine Zone ohne Regel färbt das Raster und entscheidet nichts. IEC 31010 verbindet jede Risikostufe mit einer Entscheidungsregel: der Aufmerksamkeit der Leitung, der Frist für die Reaktion. Das Projekt hält seine Regeln im Risikomanagementplan fest. Die Schwellen aus Schritt 1 begrenzen die Skalen. Die Regeln der Zonen entscheiden, wer das Risiko behandelt. In der hohen Zone greift der Auftraggeber ein.

Bevor die Analystin die Zonen freigibt, wendet sie die Regel von IEC 31010 zur niedrigsten Wahrscheinlichkeit an: Bleibt eine sehr hohe Auswirkung auf der Stufe Sehr niedrig akzeptabel? Im Raster des Projekts fällt ein Risiko mit höchstens 15% Wahrscheinlichkeit und Mehrkosten von über CHF 250'000 in die mittlere Zone (0,08). Hält der Auftraggeber dieses Risiko für inakzeptabel, liegt die Grenze der Stufe Sehr niedrig zu hoch. Das Projekt senkt sie oder fügt darunter eine Stufe hinzu.

4. Die Risiken in der Sitzung einstufen

Das Team stuft die Risiken in Interviews oder Sitzungen ein. Die Teilnehmenden sind Teammitglieder und Fachleute ausserhalb des Projekts. Sie kennen die Risikoarten des Registers. Für jedes Risiko schätzen sie mit den Definitionen des Risikomanagementplans die Wahrscheinlichkeit und die Auswirkung auf jedes Ziel. Sie halten die Annahmen fest, die jede Stufe begründen. Laut PMBOK Guide sind Abweichungen zwischen den Teilnehmenden zu erwarten und zu prüfen.

Eine Abweichung von zwei Stufen zeigt oft eine Information an, die eine Person hat und die andere nicht. Der Entwickler stuft "hoch" ein, weil er den Verzug des Anbieters bei einem anderen Mandat kennt. Die Projektleitung stuft "niedrig" ein, weil sie den Vertrag gelesen hat. Die Moderatorin lässt alle vor der Diskussion still einstufen. Nennt die ranghöchste Person ihre Einstufung zuerst laut, verankert sie alle folgenden Einstufungen.

Laut IEC 31010 stuft das Team die Wahrscheinlichkeit der gewählten Folge ein. Der Lohnserver fällt zweimal im Jahr aus. Ein Ausfall, der die Lohnzahlung des Monats blockiert, ist seltener. Wählt das Team diese Blockade, stuft es deren Wahrscheinlichkeit ein. Das Team wählt zwischen der häufigsten Folge und der schwersten glaubwürdigen Folge. Zählen beide, trägt es sie als zwei Zeilen ins Register ein.

5. Ordnen und die Rangfolge überprüfen

Innerhalb einer Zone ordnet der Score die Risiken: Der PMBOK Guide gibt diese Rolle dem Produkt der beiden Werte. Das Register führt das Paar aus Wahrscheinlichkeit und Auswirkung neben dem Score. Zwei Risiken mit gleichem Score können verschiedene Reaktionen verlangen. Beim einen senkt die Reaktion die Wahrscheinlichkeit. Beim anderen begrenzt sie die Auswirkung.

Der PMBOK Guide nennt weitere Kriterien für die qualitative Analyse: den Zeitpunkt der Auswirkung, die Kontrolle des Teams über das Risiko, seine Verbindungen zu anderen Risiken, gemeinsame Ursachen oder Wirkungen. Das Raster zeigt keines davon. Das Team liest sie im Register. Es kann ein Risiko über seine Zone hinaus hochstufen und hält den Grund fest.

Der PMBOK Guide setzt Risiken mit niedriger Wahrscheinlichkeit und niedriger Auswirkung auf eine Beobachtungsliste im Register. Die Analyse wiederholt sich während des ganzen Projekts. Bei jeder Überprüfung stuft das Team die offenen Risiken neu ein. Die Überprüfung sucht die Risiken, die das Feld wechseln.

Bedrohungen und Chancen im selben Raster

Der PMBOK Guide gibt der Performance-Domäne Risiken ein doppeltes Ziel: Wahrscheinlichkeit und Auswirkung positiver Risiken erhöhen und jene negativer Risiken senken. Der Guide trägt beide in dieselbe Matrix ein. Eine negative Auswirkungsdefinition stuft die Bedrohung ein. Eine positive Definition stuft die Chance ein. Abbildung 5-14 zeichnet das Raster gespiegelt: Bedrohungen links, Chancen rechts, auf beiden Seiten dieselbe Wahrscheinlichkeitsskala.

Dieselbe Skala liest sich in beide Richtungen. Für eine Bedrohung bedeutet die Stufe Mittel mehr als zwei bis vier Wochen Verzug oder mehr als CHF 50'000 bis 100'000 Mehrkosten. Für eine Chance bedeutet sie mehr als zwei bis vier gewonnene Wochen oder mehr als CHF 50'000 bis 100'000 Einsparung. Eine Chance in der hohen Zone verlangt ebenso eine Reaktion wie eine Bedrohung. Die Reaktionen, die nur Chancen betreffen, gehören zur Chancenanalyse.

HERMES 2022 definiert Risiken als mögliche Ereignisse, die Schaden verursachen. Ein Team, das sich an diese Definition hält, stuft nur Bedrohungen ein und lässt die rechte Hälfte des Rasters leer.

Was das Raster nicht zeigt

Cox (2008) benennt die Mängel von Risikomatrizen. Dasselbe Feld nimmt sehr verschiedene Risiken auf. Ein kleineres Risiko kann eine höhere Einstufung erhalten als ein grösseres. Das Raster bietet keine Grundlage für die Verteilung der Ressourcen auf die Reaktionen.

Mit den Skalen des Projekts fallen ein Risiko A mit 16% Wahrscheinlichkeit und Mehrkosten von CHF 55'000 und ein Risiko B mit 38% Wahrscheinlichkeit und Mehrkosten von CHF 95'000 in dasselbe Feld (0,30 × 0,20 = 0,06). Ihre erwarteten Verluste betragen CHF 8'800 und CHF 36'100. Der zweite ist viermal so hoch.

Ein Risiko C mit 62% Wahrscheinlichkeit und Mehrkosten von CHF 22'000 fällt in die mittlere Zone (0,70 × 0,10 = 0,07). Ein Risiko D mit 14% Wahrscheinlichkeit und Mehrkosten von CHF 240'000 fällt in die niedrige Zone (0,10 × 0,40 = 0,04). Dabei beträgt der erwartete Verlust von D CHF 33'600. Bei C beträgt er CHF 13'640. Das Raster kehrt die Reihenfolge der beiden um.

Diese Rechnungen setzen eine Schätzung in Franken voraus, die das Raster nicht nutzt. Hat das Team diese Schätzung, behält es sie im Register. Es prüft die Rangfolge der Risiken nahe einer Zonengrenze.

Laut IEC 31010 lassen sich Risiken nicht addieren: Keine Anzahl niedriger Risiken ergibt ein mittleres Risiko. Das Raster liefert deshalb keine Gesamtexposition. Die Einstufung ist subjektiv. Zwei Bewertende stufen dasselbe Risiko oft verschieden ein. Risiken verschiedener Kategorien lassen sich schlecht vergleichen. Zwei verschiedene Folgen derselben Ursache bleiben zwei Zeilen im Register. Der Mangel entsteht, wenn das Team eine Folge in immer feinere Szenarien zerlegt. Jede Zeile erhält dann eine niedrigere Wahrscheinlichkeit. Das Raster unterschätzt so das Gesamtrisiko. Das Team legt die Zerlegung vor der Einstufung fest.

Krisper (2021) zählt vierundzwanzig Probleme von Matrizen mit Ordinalskalen auf. Eine Ordinalskala ordnet die Stufen und misst den Abstand zwischen ihnen nicht. Krisper plädiert für vollständig quantitative Methoden. In der Praxis sortiert die Matrix rund dreissig Risiken in einer Ausschusssitzung und bezeichnet jene, die eine Berechnung verdienen. Die quantitative Analyse im Prozess Risiken analysieren leistet diese Berechnung: die Gesamtexposition, die Reserve für Unvorhergesehenes, die Wahrscheinlichkeit für das Einhalten eines Termins. Die Monte-Carlo-Simulation ist ihr gängiges Werkzeug. Entscheidungsbäume vergleichen mehrere Reaktionen mit ungewissem Ausgang in Franken. Die Kosten-Nutzen-Analyse entscheidet, ob sich eine Reaktion lohnt: Sie vergleicht deren Kosten mit dem erwarteten Verlust, den sie vermeidet.

KI-Überlegungen

Ein Sprachmodell entwirft die Skalendefinitionen aus den Schwellen des Risikomanagementplans. Die Analystin prüft, ob jede Grenze eine Schwelle des Auftraggebers wiedergibt. Das Modell liest auch das Register gegen. Es meldet Risiken ohne eingetragene Folge, Einstufungen im Widerspruch zur notierten Annahme und in benachbarte Szenarien zerlegte Risiken. Eine Tabellenkalkulation oder ein Skript berechnet die Scores und zeichnet das Raster. Das Modell findet die Risiken nahe einer Zonengrenze. Das Team prüft sie in der Sitzung.

Die Einstufung gehört der Gruppe. Sie beruht auf dem, was die Teilnehmenden über den Anbieter, das Team und den Kontext wissen. Das Modell weiss es nicht. Zeigt die Moderatorin die Einstufung eines Modells vor der stillen Einstufung, verankert die Einstufung des Modells alle anderen. Die Moderatorin zeigt sie danach. Dann zählt sie als Meinung einer zusätzlichen teilnehmenden Person. Die Schwellen binden den Auftraggeber: Nur er legt sie fest.

Das Register eines Projekts nennt Lieferanten, Verträge und manchmal Mitarbeitende. Personendaten unterstehen dem Bundesgesetz über den Datenschutz (DSG). Die Analystin entfernt sie, bevor sie das Register einem Modell ausserhalb der Organisation vorlegt.

Beispiele

Das Projekt von CHF 1,2 Millionen löst die Lohnsoftware einer Gemeinde ab. Sein Register wendet seine Skalen und Zonen auf fünf Risiken an.

B1 betrifft auch die Kosten auf der Stufe Niedrig (0,10). Das Register behält diese Einstufung. Das Raster platziert B1 nach seiner höheren Termineinstufung.

B1 ist die wahrscheinlichste Bedrohung im Register. B2 rückt vor B1, weil sich die Auswirkungsskala von Stufe zu Stufe verdoppelt. Eine am 1. Januar verpasste Steuerparametrierung erreicht die Stufe Sehr hoch. Auf zwei Skalen von 1 bis 5 erhielte B1 16 Punkte und läge vor B2 mit 15 Punkten.

Visualisierungen

Die Skalen, die Zonen und das Register passen in Zeilen und Spalten: Es sind HTML-Tabellen. Das Raster braucht ein Schema. Die Position eines Risikos im Raster zeigt auf einen Blick seine Wahrscheinlichkeit, seine Auswirkung und seine Zone. Bedrohungen stehen links und Chancen rechts. Ein zweites Schema platziert die Risiken A, B, C und D mit ihrem erwarteten Verlust in ihren Feldern. Es zeigt, wo die Reihenfolge der Felder und die Reihenfolge der Verluste auseinandergehen.

Aufwand

Werkzeuge

Für die meisten Projekte genügt eine Tabellenkalkulation. Eine Formel berechnet den Score. Eine bedingte Formatierung färbt die Zone. Eine Pivot-Tabelle setzt die Referenzen der Risiken in die Felder. Im Raum nimmt ein Raster auf einem Whiteboard eine Haftnotiz pro Risiko auf. Das Team sieht während der Diskussion, wie die Risiken von Feld zu Feld wandern. Für ein verteiltes Team übernimmt ein digitales Whiteboard wie Miro oder Mural dasselbe Raster. Ein Onlineformular sammelt die Einzeleinstufungen vor der Sitzung.

Projektmanagement-Software und Module für Governance, Risk und Compliance (GRC) leiten das Raster aus dem Register ab und halten es aktuell. Sie bewahren den Verlauf der Einstufungen von einer Überprüfung zur nächsten. Für die quantitative Analyse übernehmen Werkzeuge wie @RISK oder Oracle Primavera Risk Analysis.

Quellen

• Project Management Institute, A Guide to the Project Management Body of Knowledge (PMBOK Guide), 8. Aufl., PMI: das doppelte Ziel der Performance-Domäne Risiken (§2.7); der Prozess Risiken analysieren und seine Bewertungskriterien (§2.7.2.3, Abbildung 2-50); der Risikoappetit, die Definitionen von Wahrscheinlichkeit und Auswirkung, die Zahl der Stufen und die Skala pro Ziel (Section 4, Tabelle 4-2); das gemeinsame Raster für Bedrohungen und Chancen, der Score und sein Zahlenbeispiel (Section 5, Abbildung 5-14); die Einstufung in der Gruppe, die Abweichungen zwischen Teilnehmenden und die Beobachtungsliste (Section 5).
• IEC 31010:2019, Risikomanagement, Verfahren zur Risikobeurteilung, IEC/ISO: die Matrix als Werkzeug zum Vorsortieren, die Anforderungen an die Skalen, die Gewichtung des Rasters, die Entscheidungsregeln pro Stufe, die Wahl der eingestuften Folge und die Grenzen der Technik.
• Bundeskanzlei, HERMES 2022, Referenzhandbuch Projektmanagement, Aufgabe 5.4.3.41 Risiken managen: die Bewertung von Eintrittswahrscheinlichkeit und Schadensausmass und ihre Dokumentation im Projektstatusbericht.
• Cox, L. A. Jr., "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008, S. 497-512: die geringe Auflösung der Felder, die Fehler in der Rangfolge und die fehlende Grundlage für die Verteilung der Ressourcen.
• Krisper, M., "Problems with Risk Matrices Using Ordinal Scales", arXiv:2103.05440, 2021: eine Bestandsaufnahme der Probleme von Matrizen mit Ordinalskalen. Der Autor plädiert für quantitative Methoden.