Umfang und Inhalt des Risikomanagements orientiert sich an einem Handlungsrahmen, der durch den Risikomanagementplan abgesteckt wird. Dieses Dokument gibt im Detail Auskunft über

• eingesetzte Methoden, Werkzeuge, Datenquellen etc.,
• Rollen und Verantwortlichkeiten,
• Terminpläne,
• Risikostrukturierung und Kategorisierung sowie
• Risikowahrscheinlichkeiten.

Zu den Dokumenten, die den Zusammenhang der hier angesprochenen Planungsschritte veranschaulichen, zählen insbesondere der Risikostrukturplan sowie Darstellungen über Wahrscheinlichkeiten und Auswirkungen von Projektrisiken.

Aufgabe der Risikoidentifikation ist es, mögliche Risiken, denen das Projekt ausgesetzt ist, zu benennen. Um eine Einordnung des Projektes in die Risikolandschaft vornehmen zu können, bedarf es der

• Einschätzungen und Information über Quelle und Auswirkungen von Risiken,
• der Zuordnung dieser Risiken sowie
• der Dokumentation (Risikoregister)

nach Maßgabe der vorliegenden Projekt- und Risikomanagementpläne. Dabei ist im Auge zu behalten, dass Projektrisiken vielfach in iterativer Weise identifiziert werden: entweder, weil Risiken sich erst mit Fortgang der Projektierung manifestieren, oder aber als Resultat von Erfahrungsgewinnen erst zu einem späteren Zeitpunkt substantiiert werden können. Abhängig von Umfang in Inhalt des jeweiligen Projektes werden Investitions-, Kosten-, Qualitäts- und Terminrisiken (gleichsam modelltypisch) als Projektrisiken anzutreffen sein.

a) Qualitative Risikoanalyse

Auf das Erkennen von Risiken folgt ihre Einordnung. Gegenstand der qualitativen Risikoanalyse ist die Priorisierung der wahrgenommenen Risiken, die sich an

• der Eintrittswahrscheinlichkeit des risikogegenständlichen Ereignisses und
• dessen Reflexwirkung auf Projektziele und -erfolge

orientiert. Naheliegender Weise wird die Risikoanalyse auf dieser Ebene die Elemente danach unterscheiden, ob es sich um innere oder äußere Einflüsse handelt: erstere sind beeinflussbar, während äußere (Umwelt)Einflüsse und Rahmenbedingungen vielfach als gegeben und nicht gestaltbar einzustufen sind.
 

Abb. Risikomatrix

Die Praxis bedient sich dabei häufig sog. Matrix-Tabellen, die Eintrittswahrscheinlichkeiten des Risikos und Auswirkungen in Zusammenhang setzen und über klassifizierte Risikowerte gewichtet werden. Dabei gilt, dass intensiveren Wechselwirkungen zwischen Risikofaktoren und Projektanforderungen ein entsprechend höherer Risikowert zuzuordnen ist.

Die Bewertungen, die aus der qualitativen Risikoanalyse gewonnen werden, geben Auskunft über die strukturellen und inhaltlichen Risiken, mit denen das Projekt behaftet ist; die Erkenntnisse aus der Risikoanalyse fließen unmittelbar in die Aktions- und Maßnahmenplanung zur Risikobewältigung ein.

b) Quantitative Risikoanalyse

Die quantitative Risikoanalyse steht in engem Zusammenhang mit der qualitative Analyse: sie weist den zuvor identifizierten potenziellen Risikoereignissen allerdings numerische Wahrscheinlichkeiten und Erwartungswerte zu. Dementsprechend erlauben quantitative Analysen Aussagen über

• die Wahrscheinlichkeit, das / die Projektziele zu erreichen,
• das effektives Entscheidungsverhalten unter Risiko bzw. Ungewissheit,
• potenzielle Termin- und Risikokosten des Projektes,

an denen Termin- und Kostenpläne ausgerichtet werden können und gegebenenfalls auch revidiert werden müssen¹⁵. Analytisch steht ein breites Instrumentarium an Methoden zur Verfügung: zu den bekanntesten zählen Sensitivitätsanalysen, erwartete Geldwerte, Entscheidungsbaumanalysen sowie – bei Vorliegen komplexerer Risikoprofile – die Anwendung von Modellsimulationen und statistischer Wahrscheinlichkeitsverfahren.

Das erforderliche Maß der vorzunehmenden Risikoanalyse wird sich jeweils an den konkreten Projekt- und Risikogegebenheiten orientieren, um der Komplexität, Größe und Dauer des Projektes sowie der Risikoneigung der Beteiligten entsprechend Rechnung zu tragen.

Die Maßnahmenplanung trifft Vorsorge für effektiven Umgang mit Risiken. Sie prüft Verhaltensalternativen im Umgang mit Risiken und legt fest, mit welchen Maßnahmen dem identifizierten Risikopotenzial begegnet wird. Im Kern wird sich der Umgang mit Projektrisiken dabei allerdings an den risikopolitischen Grundlinien orientieren, die bereits durch Risikokultur, Risikostrategie oder Risikobereitschaft vorgezeichnet sind.

a) Strategien der Risikobewältigung

Maßgeblich wird die inhaltlichen Ausgestaltung der Risikobewältigung durch die Eigenart jeweiligen Risikos bestimmt: Risiken, deren Eintrittswahrscheinlichkeit und / oder Tragweite beeinflussbar ist, können aktiv gesteuert werden; entziehen sich Risiken hingegen der Beeinflussbarkeit der Projektorganisation, kann nur passiv, durch Aufbau einer entsprechenden Risikodeckung, reagiert werden.

Vor diesem Hintergrund liegt es auf der Hand, Maßnahmen in sequentiell-logischer Abfolge zu planen und festzulegen. Dementsprechend orientiert sich die Maßnahmenplanung an der Reihenfolge:

1. Eliminieren der Risikoursache,
2. Verringerung des Risikos,
3. Risikoübertragung sowie
4. Übernahme des verbleibenden Restrisikos.

Dieser mehrstufige Ansatz der Risikobewältigung stellt sicher, das identifizierte – mit dem Projekt einhergehende – Risikopotenzial durch Maßnahmen effektiv zu steuern.
 

Abb. Strategien der Risikobewältigung

Die Planung der Maßnahmen eröffnet damit differenzierte Einblicke in die wirtschaftliche Erfolgsrechnung des Projektes: sie bepreist Risiken und Vorsorgemaßnahmen und vervollständigt zugleich Planung und Kalkulation des Vorhabens nach Maßstäben unternehmerischer Sorgfalt.

b) Risikoreserven und Sicherheitspuffer

Es liegt auf der Hand, dass nur identifizierte Risiken in der Budgetierung (von Kosten und Zeit) und Maßnahmenplanung berücksichtigt werden können. Damit aber blieben zwei Gruppen von Risiken unberücksichtigt: Einerseits bekannte Risiken, für die zunächst keine konkrete Maßnahmen eingeplant wurden. Andererseits Risiken, die erst zu einem späteren Zeitpunkt identifiziert und gesteuert werden müssen.

Abb. Risikoreserven ¹⁷

Im Sinne der Transparenz bietet sich eine Darstellung derartiger Wagnisse als zunächst nicht budgetwirksame Eventualreserve (sog. Kontingenz- und Management-Reserven¹⁶) an; sie wird Teil des Projektplanbudgets demnach erst ab dem Zeitpunkt, in dem ein effektiver Zugriff stattfindet. Diesem Aspekt sollte im Rahmen projektgebundener Auftragsleistungen (auftraggeber- und auftragnehmerseitig) besondere Aufmerksamkeit gewidmet werden, um der Gefahr möglicher Mehrforderungen entgegenzutreten¹⁸.

Ausgehend von einem allgemeinen Controlling-Verständnis versteht sich auch das Risikocontrolling als die Summe an Gestaltungs-, Steuerungs-, Überwachungs- und Informationsmaßnahmen gegenüber Wagnissen und Projektunsicherheiten.
Das Risikocontrolling iwS. schließt den Kreislauf der Projektrisikomanagements. Es legt Rechenschaft über die zuvor angestellte Analyse, Maßnahmenplanung und Steuerung der identifizierten Risiken.

Projekt- und Risikomanagement als adaptiver Prozess

Seine Wirksamkeit kann ein Risikocontrolling jedoch nur in dem Maße entfalten, als Überwachung und Risikosteuerung integraler Bestandteil des Projektgeschehens sind – und dadurch den Controllingprozess zu einem adaptiven Steuerungskreislauf verdichtet. Auf diese Weise geben Risikoüberwachung und Steuerung Auskunft über

• die Dynamik der identfizierten Risiken,
• neu hinzugekommene Risiken (Frühwarnfunktion),
• die Wirksamkeit der Maßnahmenplanung,
• die Abweichung zwischen Plan und Ist-Zielen (Budgetvollzug)
• den Stand an Risikoreserven und Sicherheitspuffern

und damit einhergehendem Anpassungsbedarf.