4฀฀ EDITORIAL P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 5฀฀ REPORT ฀ P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 Risikomanagement฀-฀das฀ „Stiefkind“฀in฀der฀Projektarbeit Instrumente฀für฀Analyse฀und฀Bewertung฀der฀Projektrisiken฀bleiben฀häufig฀ungenutzt Oliver฀Steeger Experten฀schlagen฀Alarm: ฀Zu฀wenige฀Projektteams฀analysieren฀die฀Risiken฀ihres฀Vorhabens.฀Risikomanagement฀gehört฀bislang฀zu฀den฀„Stiefkindern“฀der฀Projektmanager฀ -฀mit฀fatalen฀Folgen.฀Die฀Liste฀der฀(vorhersehbaren)฀Gefahren,฀an฀denen฀Projekte฀in฀der฀ Praxis฀scheitern,฀ist฀lang.฀Indes,฀es฀liegen฀gute฀Strategien฀und฀Instrumente฀bereit,฀Projektrisiken฀zu฀identifizieren฀und฀zu฀bewerten.฀Zudem฀haben฀Unternehmen฀im฀Anlagenbau,฀ in฀der฀IT-Branche,฀in฀der฀Pharma-฀und฀der฀Automobilbranche฀Pionierarbeit฀geleistet.฀Sie฀ zeigen,฀wie฀sich฀Projekte฀gegen฀Risiken฀absichern฀lassen.฀Denn: ฀Am฀systematischen฀ Risikomanagement฀führt฀in฀den฀nächsten฀Jahren฀kein฀Weg฀vorbei฀-฀allein฀schon฀nicht฀ wegen฀den฀gesetzlichen฀Vorgaben,฀beispielsweise฀Basel฀II฀und฀KonTraGes.฀Diesen฀Trend฀ spiegeln฀die฀Expertenbefragungen฀der฀GPM฀und฀die฀praxisnahe฀Literatur฀zum฀Thema฀ Risikomanagement฀wider.฀ „ D ass die Probleme so eskalieren könnten“ - Projektleiter Thomas Gams (Name von der Redaktion geändert) ahnte, dass in seinem IT-Projekt von Anfang an „ein paar Punkte nicht so optimal waren“. Die Spezifikation, die der Wahl der Business- Software zugrunde lag, schien ihm beim ersten Blick an einigen Stellen unklar (an den entscheidenden Stellen, wie sich später zeigte). Dann zweifelte Gams an den vollmundigen Versprechungen eines Dienstleisters, der die neue Datenbanktechnologie als völlig problemlos bezeichnete. Zuletzt passierte etwas, was ihn hätte warnen müssen: Die Kollegen in der Buchhaltung, die mit der neuen Software arbeiten sollten, hielten von dem ganzen Projekt nichts. Nur halbherzig unterstützten sie die ersten Tests. Sie schienen geradezu erleichtert, als der Vorstand dem richtungslosen Vorhaben ein Ende setzte. Thomas Gams hat die Risiken seines Projektes geahnt, gelegentlich auch Vorsorge getroffen. Doch nicht genug, wie sich herausstellte: „Hätte ich die Risiken systematisch aufgespürt und mich abgesichert“, meint er heute, „ich hätte vieles anders steuern können.“ Die Erfahrung zeigt: Nicht wenige Projektleiter laufen blind ins Unglück. Sie versäumen es, methodisch die Gefahren ihres Vorhabens aufzuspüren, zu beschreiben, zu bewerten und sich zu wappnen. So durchkreuzen plötzlich, aber vorhersehbar technische Probleme die Planungen: Das Projektumfeld leistet „unerwartet“ Widerstand. Projektpartner arbeiten nicht pünktlich, das Top-Management versagt seine Unterstützung, es treten Engpässe bei Ressourcen ein. Solche Gefahren hätten sich bei gründlicher, früher Analyse in scharfer Kontur abgebildet. „Ich kenne genug Projektleiter, die ihre Projektrisiken nur als grobe Schemen sehen und auf gut Glück arbeiten“, klagt Professor Heinz Schelle von der Uni- Sorgfältig฀Risiken฀identifizieren฀und฀analysieren฀-฀das฀ist฀ beim฀Risikomanagement฀nur฀„die฀halbe฀Miete“.฀Während฀ des฀Projekts฀muss฀das฀Projektteam฀die฀Gefahrenlage฀ständig฀beobachten. Foto: ฀Siemens 6฀฀ REPORT P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 7฀฀ ฀ P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 versität der Bundeswehr München. Mehr noch: Sie tun die Risiko-Betrachtungen als Schwarzmalerei ab. Das Grübeln in Worst-Case-Szenarien untergrabe die Motivation des Teams, irritiere Projektgeber und koste knappe Zeit. Indes, sie werden von der Realität schnell eingeholt. Allein in der Softwareindustrie endet, wie der CHAOS-Report der Standish Group zeigt, eins von drei Projekten vorzeitig; ein weiteres Drittel der IT-Projekte kommt nur mit Mühen, erheblichen Verlusten und Verspätungen ins Ziel. Auch in anderen Branchen werden sieche Projekte klammheimlich zu Grabe getragen, die an heimtückischen, meist aber voraussehbaren Problemen scheiterten. Siebzig฀Prozent฀der฀Unternehmen฀ohne฀Risikomanagement In wenigen anderen Projektmanagement-Bereichen klaffen Theorie und Praxis so weit auseinander wie beim Risikomanagement. Risikomanagement ist bekannt, seit Jahren schon. In anerkannten Projektmanagement-Standards gehört Risikomanagement wie selbstverständlich dazu. Einschlägige Prozessmodelle beispielsweise für die Automobilentwicklung umfassen die aktive Auseinandersetzung mit Projektrisiken. Praktiker haben in der Fachwelt geschätzte Ratgeber verfasst, darunter Elaine M. Hall (Managing Risk. Methods for Software Systems Development, Boston 1997) und Markus Gaulke (Risikomanagement in IT-Projekten, München-Wien 2002). Auch stellen bereits zwanzig Jahre alte Veröffentlichungen aus dem Anlagenbau ein praktikables Instrumentarium bereit, das es nur zu nutzen gilt. Der฀Anlagenbau฀gilt฀beim฀Risikomanagement฀als฀vorbildlich.฀Schon฀früh฀haben฀einzelne฀Unternehmen฀Checklisten฀ erarbeitet,฀die฀heute฀als฀Muster฀auch฀für฀andere฀Branche฀gelten. Foto: ฀Siemens Foto: ฀MAN In฀der฀Automobilbranche฀ist฀Risikomanagement฀weit฀ verbreitet.฀Hier฀hat฀das฀Qualitätsmanagement฀wichtige฀ Impulse฀geliefert. 6฀฀ REPORT P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 7฀฀ ฀ P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 So weit die Theorie, genauer: die Empfehlungen, die aus leidvollen Erfahrungen gewonnen wurden. In der Praxis kommt das Risikomanagement selten über rudimentäre Ansätze hinaus. In 70 Prozent der Unternehmen, berichtet ein Münchner Unternehmensberater im vertraulichen Gespräch, fehlt das Risikomanagement bei Projekten gänzlich. Bestenfalls anhand von Erfahrungswerten, in der Regel nur aus dem Bauch heraus, erwägen Projektleiter das, was schief gehen kann. Schlimmstenfalls ignorieren sie das drohende Unwetter. An dieser Diagnose gemessen klingen innovative Konzepte zur Risikomanagement-Praxis wie ein Griff nach den Sternen. Beispielsweise wird für das Risikomanagement eine „Vier-Augen-Strategie“ angeregt. Zum einen bearbeitet der Projektleiter die Risiken, zum anderen wacht eine zweite, neutrale Instanz - etwa das Project Office - über die Gefahrenlage. Ebenso „visionär“ klingt der (bereits in der Pharma-Industrie umgesetzte) Vorschlag, die Risikoanalyse beim Multiprojektmanagement als Faktor einzubeziehen. Idee ist hier, die Risiken aller Projekte eines Unternehmens und ihre Abhängigkeiten nach einheitlichem Standard zu ermitteln. Die Ergebnisse werden beispielsweise bei der Projektpriorisierung berücksichtigt. Anlagenbau,฀Pharma-฀und฀Automobilbranche฀ Pioniere Die Scheu vor dem Risikomanagement ist groß. Warum eigentlich? Risiken gehören zum Projekt wie der Regenschauer zum Frühlingswetter. Definitionsgemäß ist ein Projekt ein Aufbruch ins Ungewisse. Altgediente Projektleiter meinen, dass erst durch (erkannte) Risiken und (bewältigte) Probleme Projekte „erwachsen“ werden. Der Umgang mit der „Projektmasse Risiko“ müsste so selbstverständlich sein wie eine Budgetkalkulation und ein Netzplan. Die฀Finanzwirtschaft฀bereitet฀sich฀auf฀das฀Risikomanagement฀vor.฀Gesetzliche฀Vorgaben฀fordern฀Risikovorsorge. Foto: ฀Deutsche฀Bank Die฀Risiken฀an฀den฀„richtigen฀Stellen“฀suchen: ฀Die฀Entwicklung฀neuer฀Transporttechnologien฀wird฀auch฀durch฀politische฀ Eingriffe฀und฀öffentliche฀Dikussionen฀beeinflusst. Foto: ฀Siemens 8฀฀ REPORT P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 9฀฀ ฀ P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 Branchen, deren Vorhaben seit jeher mit Unwägbarkeiten verbunden sind, sind denn auch beim Projekt-Risikomanagement am weitesten fortgeschritten. Anlagenbauer beispielsweise, die umweltrechtliche und technische Gesetze beachten müssen, haben ausgefeilte Checklisten für das Risikomanagement entwickelt. Die Lurgi AG, eine weltweit tätige Unternehmensgruppe für Verfahrenstechnik und Anlagenbau, steht im Ruf, Pionier auf diesem Gebiet zu sein. Ähnliches gilt für die Pharma-Branche mit ihren hohen Arznei-Zulassungshürden. Auch Automobilzulieferer, in deren Metier das Qualitätsmanagement eine große Rolle spielt, haben ein Risikomanagement-System für die Produktentwicklung erarbeitet. Gesetzgebung฀fordert฀Risikomanagement Neuerdings beginnen die Finanzdienstleister mit Trainings und organisatorischen Maßnahmen dem Risikomanagement Rechnung zu tragen. Bewegt sich also doch etwas im Risikomanagement? Hoffentlich! Neue gesetzliche Regelungen erfordern Risikomanagement. So nimmt der Gesetzgeber seit 1998 die Spitze von Aktiengesellschaften in die Pflicht (KonTraGes - „Gesetz zur Kontrolle und Transparenz“ im Unternehmensbereich). Er fordert unternehmensweite Risikovorsorge. Das Top-Management habe über Risiken zu wachen, die den Fortbestand des Unternehmens gefährden könnten. Ins Visier des geforderten Überwachungssystems könnten groß angelegte Projekte kommen, IT-Projekte beispielsweise, die regelmäßig mit fünfbis sechsstelligen Investitionen zu Buche schlagen. Hier kann ein Totalausfall schnell das finanzielle Unternehmensfundament untergraben. In der Schadensbilanz summieren sich zu den verpulverten Investitionen dann auch die Einbußen in der Wettbewerbsfähigkeit, die eben dieses Projekt sichern sollte. Diese gesetzliche Pflicht zur unternehmensweiten Risikovorsorge betrifft zunächst nur Aktiengesellschaften. Doch könnte sie Kreise ziehen. International tätige Banken unterliegen mittlerweile einem ähnlichen Reglement zur Gefahrenabwehr (Basel II). Dies strahlt auf die übrige Wirtschaft ab, früher oder später. So prognostizieren die Fachleute, die die GPM in zwei Studien befragt hat, dem Risikomanagement eine große Zukunft. Alles, was Projektmanager an Instrumenten und Prozeduren brauchen, sei bereitgestellt. Es müsse jetzt nur genutzt werden. Eine gründliche Risikoanalyse, die sich des vorhandenen Instrumentariums bedient, kann Projektgeber, Kunden und Projektteams unsanft auf den Boden der Tatsachen holen. Nicht ausgeschlossen ist die Einsicht, dass ein Projekt aufgrund der Analyse erst gar nicht gestartet wird. Wieder andere Projekte könnten einen anderen Zuschnitt erhalten, müssten neue Wege gehen und ein aufwändiges Frühwarnsystem für Gefahren aufbauen. Vor allem: Auftraggeber - plötzlich mit gründlichen Gefahrenanalysen konfrontiert - müssten sich mit dem Thema Risiko auseinander setzen. Was kann das Unternehmen schultern? Wo lässt es besser die Finger von riskanten Vorhaben? Wo ist die Schmerzgrenze? Ein Balanceakt. Wer jedes Risiko ausschließen will, muss sich vom Projektgeschäft zurückziehen. Von derlei grundsätzlichen Erwägungen sind viele Unternehmen noch weit entfernt. Die wirtschaftliche Lage zwingt sie, in gefährliche Vorhaben einzuwilligen - selbst dann, wenn Risikomanager eher abwinken würden. Dann ergibt sich die paradoxe Situation, dass Projektmanager womöglich auf Risiken hinweisen, doch im Top-Management kein Gehör finden. Instrumentarien฀für฀Risikomanagement฀„en฀detail“ Das vorliegende Instrumentarium umfasst die systematische Identifizierung von Risiken, die Bewertung, In฀der฀Risiko-Prioritätenmatrix฀werden฀die฀Projektrisiken฀hinsichtlich฀ihrer฀Eintrittswahrscheinlichkeit฀sowie฀hinsichtlich฀ ihrer฀Folgen฀für฀Ergebnisse,฀Termine฀und฀Kosten฀eingeordnet. ��������������� ������������������ ������� ������ ����������� ������ ������������������ ������������������ ������������������� ������������������ �������� ������ ������������������ ����������������� ������������������� ����������� �������������� ������������������ ������������� ���������������� ������������������� ����������������� ���������������� �������������������� Grafik: ฀Prof.฀Dr.฀Siegfried฀Seibert 8฀฀ REPORT P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 9฀฀ ฀ P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 das Erstellen eines Maßnahmenplans und das Berichtswesen. Allerdings gibt es nur wenig Systeme von Frühwarnindikatoren, die rechtzeitig darauf hinweisen, dass ein identifiziertes Risiko tatsächlich zur realistischen Gefahr geworden ist. „Hier gibt es in der Tat noch keine Möglichkeit, diese Frühindikatoren zu messen“, meint Unternehmensberater Stephan Kasperczyk (TIBA Managementberatung, München). Beispiel: Bei einem Reorganisationsprojekt wird die mögliche Gefahr erkannt, dass das Top-Management seine Zustimmung für das Projekt zurücknimmt. An welchen Kriterien lässt sich bereits zu einem frühen Zeitpunkt erkennen und „messen“, dass dieses Projekt wirklich gefährdet ist? Ist es bereits ein Warnsignal, wenn das Top-Management auf wichtigen Sitzungen fehlt? Oder braucht’s noch deutlichere Hinweise? „Hier sind Projektmanager letztlich wieder auf ihre Erfahrungswerte angewiesen“, sagt Stephan Kasperczyk. Trotz dieser Einschränkung bietet sich Projektmanagern ein effizienter Prozess für das Risikomanagement an. Im Kern folgt es vier Phasen: 1. Phase eins: Risiken erkennen, also systematisch alle Bereiche eines Projekts auf mögliche Probleme untersuchen und die Risiken auflisten. Projektteams sollten in den Startsitzungen der Risikoidentifizierung viel Zeit widmen, dabei nicht nur an Planung und technische Risiken denken, sondern auch beispielsweise an das Projektumfeld, an Marktrisiken, an Ressourcenengpässe, Know-how-Probleme, „konkurrierende“ Pro- Risikomanagement฀bedeutet฀auch,฀nach฀dem฀„Feuerwehrprinzip“฀die฀richtigen฀ Notfallpläne฀bereitzuhalten. Foto: ฀Nokia 10฀฀ REPORT P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 11฀฀ ฀ P R O J E K TMANA G E M E N T ฀ 2 / 2 0 0 3 jekte oder ans Projektmarketing. Unternehmen, deren Projekte vorwiegend einem Standard folgen, empfiehlt Kasperczyk Checklisten für die Bestandsaufnahme aller Risiken. Das „Risiko-Inventar“ könne dann in einer Datenbank abgelegt werden. Zahlreiche Beispiele, wie etwa in dem Fachbuch von Markus Gaulke (siehe dazu auch die Buchbesprechung in diesem Heft) können hier unterstützen. Doch der Einsatz von Checklisten, die Projektteams wie eine Karte durch die Risikolandschaft führen, findet in der Praxis Grenzen. Betreten Teams mit innovativen Projekten Neuland, bleibt ihnen nur der kreative Weg: Sie sondieren die Felder, auf denen Gefahren lauern können. Stephan Kasperczyk schlägt dafür das „ETHOS-System“ vor und benennt die Felder mit economical, technical, human, organization und social. „Das ‚human‘-Feld umfasst Risiken, die sich seitens der Stakeholder oder des Teams ergeben“, erläutert Kasperczyk, „mit ‚social‘ ist das weitere Projektumfeld, beispielsweise gesellschaftliche Gruppierungen, gemeint.“ Mit diesem ETHOS-System haben die Teams zumindest grobe Cluster an der Hand, um die Risiken zu erschließen. 2. Phase zwei: Risiken analysieren und das Gefahrenpotential bewerten. Hier hat sich eine Matrix bewährt, in der die Risiken zum einen nach der Wahrscheinlichkeit ihres Eintritts, zum anderen nach ihrer Auswirkung auf das Projekt bewertet werden. Die Gefahren lassen sich damit zuverlässig gewichten und priorisieren. Berater Kasperczyk hat gute Erfahrungen damit gemacht die Projektrisiken in Euro-Beträgen zu beziffern, um ihre Auswirkungen plastisch zu machen. „Sind mögliche Beträge im Gespräch, setzen sich die Beteiligten automatisch intensiver mit dem Thema auseinander.“ Noch aussagekräftiger werden die Analysen, wenn als dritter Faktor der zu erwartende Gewinn eingerechnet wird: Was kann ich verlieren, wenn aus dem befürchteten Risiko eine reale Gefahr wird? Was kann ich gewinnen, wenn ich verantwortungsbewusst dieses Risiko eingehe? 3. Phase drei: Vorsorgemaßnahmen treffen. Spätestens jetzt stehen viele Projektmanager vor der Quadratur des Kreises. Wer Risiken ganz vermeidet, verschenkt womöglich Chancen. „In vielen Fällen lassen sich Risiken beherrschen, indem Projektplanungen geändert werden“, weiß Stephan Kasperczyk. Solche Vorsorgemaßnahmen vermindern die Eintrittswahrscheinlichkeit und die Auswirkung auf das Projekt. Für andere Risiken bieten sich Notfallpläne an. Sie liegen bereit, wenn aus einem Risiko eine tatsächliche Gefahr erwachsen ist. Die verlockende Strategie, Risiken beispielsweise auf Zulieferer zu verlagern, schützt derzeit nur wenig. „In wirtschaftlich schwierigen Zeiten ist es womöglich sinnvoller, das Risiko selbst zu tragen, als es auf einen unsicheren Partner zu übertragen“, meint er. Durch die Pleitenwelle werden Zulieferer, die bislang Risiken getragen haben, selbst zur Gefahrenquelle. „Bei der Vorsorge läuft letztlich vieles auf eine Mischung zwischen Schutzimpfung und Notfallpläne hinaus“, fasst Kasperczyk zusammen. 4. Phase vier: Risiken ständig überwachen, Risikomanagement pflegen. Die besten Pläne nutzen wenig, wenn das Team die Risikolandschaft nicht ständig im Blick hält. Zumindest bei jedem Statusmeeting sollte das Thema auf der Tagesordnung stehen und auch die Statusberichte sollten regelmäßig Risikomeldungen beinhalten. „Hilfreich ist es, Mitarbeiter persönlich für die Risikoüberwachung verantwortlich zu machen und es zu honorieren, wenn sie Gefahren rechtzeitig aufdecken“, meint Kasperczyk. Entscheidend für das Risikomanagement: Es muss früh beginnen, nicht erst dann, wenn das Projekt gestartet wird. Bereits bei der ersten Projektidee sollten die Risiken zumindest grob aufgespürt werden. „Dafür braucht man natürlich Zeit und Budget“, räumt Kasperczyk ein. Ohnehin sei die Vorsorge nicht zum Nulltarif zu bekommen. Für wichtig hält er es, dass die Instrumente des Risikomanagements alltagstauglich sind. Aufwändigen Methoden, denen komplizierte Rechenmodelle zugrunde liegen, erteilt er in der Regel eine Absage. Bürokratie hemmt eher die Vorsorge und fördert kaum Risikobewusstsein. Risikomanagement muss machbar sein, betont er.