Teil 1 – Risikomanagement für Unternehmen
In meinen Beratungen stelle ich immer wieder fest, dass das Thema Risikomanagement von vielen Unternehmen sehr stiefmütterlich, bzw. gar nicht betrachtet wird. Oft höre ich Aussagen wie: „Da haben sie natürlich recht Herr Blankertz, aber da müssen wir uns später mal drum kümmern“. Jetzt kommt es natürlich darauf an für wann man sich das „Später“ aufheben möchte? Den seit dem 01.05.1998 gilt für alle Aktiengesellschaften das KonTrag Gesetz. Durch den Einsatz sollten zum damaligen Zeitpunkt ein Frühwarnsystem für Risiken (Bedrohungen & Chancen) implementiert werden, welches die Aktionäre über die aktuellen Entwicklungen der Risiken und Gegenmaßnahmen informiert. Wie sieht es aber mit privatgeführten Gesellschaften aus? Mit in Kraft treten des Gesetzes über den Stabilisierungs- und Restrukturierungsrahmen (StaRUG), welches seit dem 01.01.2021 gilt, werden alle Geschäftsführer einer Unternehmung ebenfalls in die Pflicht genommen, ein entsprechendes Regelwerk zu implementieren. Stellt sich natürlich die Frage, besitzen die Risiken der Projekte ein so hohes Gefahrenpotenzial, dass beim Eintreten, die Auswirkungen sich wiederum auf die Handlungsfähigkeit meines Unternehmens auswirkt? Wäre ich jetzt ein Jurist würde ich wahrscheinlich schreiben – kommt drauf an. Genau so ist es leider. Sollte einmal vergessen werden die richtigen Serverschrankschienen für den neuen Server zu bestellen, wird die Zahlungsfähigkeit deines Unternehmens vermutlich nicht eingeschränkt werden. Solltest du aber ein Client-Rollout bei einem Konzern projektieren und die Abschlagzahlungen nach dem im Asset-System zurückgemeldeten Rechnern erfolgen, kann ein zwanzigprozentiger Rückstand sehr wohl die Zahlungsfähigkeit beeinflussen. Dies durfte ich leider selber schon in meiner beruflichen Laufbahn erleben.
Stellen wir uns als erstes die Frage, wie ich als Unternehmen ein Risikomanagement relativ einfach implementieren kann? Wichtig dabei ist zunächst eine Risikokultur in der Organisation zu implementieren. Ein guter Indikator für eine fehlende Risikokultur ist ein häufiges Finger-Pointing, das Empfangen von SMA-E-Mail (Save my Ass), häufige Verwendung von Konjunktiven und die Aufgabenzuweisung im Plural. Allerdings soll uns das in dieser Blogreihe erstmal nicht weiter interessieren.
Mit dieser neuen Blog-Reihe möchte ich dir zeigen, wie du auf Basis von Project for the Web dein Risikomanagement in deiner Organisation unterstützen kannst. Bevor wir mit dem technischen Part anfangen, möchte ich in diesem Blog noch einmal das theoretische Wissen zu diesem Prozess aufarbeiten und die Anforderungen für unseren Risikoprozess vertiefen. Ich habe mich hierzu an der Projektmanagementmethode PRINCE2 orientiert. Die Anforderungen aus der PMI- und der GPM-Framework sind aber nur minimal unterschiedlich.
Der Risikomanagement Cycle
Grundlegend besteht der Risiko-Cycle aus vier Bausteinen. Das Identifizieren, das Bewerten, das Planen und die Implementierung. Ich möchte kurz darauf eingehen, welche Maßnahmen die einzelnen Bausteine besitzen.
Risko-Cylce
Identifizieren
Hier werden im ersten Schritt die Bedrohungen und Chancen im Risikolog aufgenommen, die sich auf die Projektziele auswirken können. Im späteren wollen wir den Risiko-Log natürlich digitalisieren und in Project for the Web integrieren. Bei der Beschreibung einer Bedrohung oder Chance solltest du immer darauf achten, dass aus der Beschreibung die Risikoursache, das Risikoereignis und die Risikoauswirkung herauszulesen sind. Ebenfalls sollten die Frühwarnzeichen und die potenziellen Risikoquellen aufgenommen werden. Natürlich sollte auch noch identifiziert werden, wie sich die Bedrohung oder Chancen aus Sicht der Stakeholder auf die Ziele des Projektes auswirken werden.
Bewerten
Im ersten Schritt wird hier die Bedrohung oder Chance entsprechend auf dessen Eintrittswahrscheinlichkeit (1-100%) und Auswirkung (1-10) auf die Projektziele bewertet. Ebenfalls wird festgelegt, wann die Eintrittsnähe (Datum) und wie hoch die Risikokosten sein werden.
Hinweis: Der Risikowert wird später berechnet. Er berechnet sich aus dem geschätzten monetären Schaden bei Eintritt, multipliziert mit der geschätzten Eintrittswahrscheinlichkeit in Prozent.
Ebenfalls wird eine Bewertung vorgenommen, wie sich die Bedrohung oder die Chance im Laufe des Projektes entsprechend ändern können (fallend, gleichbleibend oder steigend).
Planen
Bei der Planung geht es darum, entsprechende Gegenmaßnahmen für das identifizierte Risiko zu erfassen. Zunächst wird festgelegt wie die Bedrohung behandelt werden soll. Hierzu sollte im Vorfeld eine Auswirkungsmatrix erstellt werden. Auch bekannt als das bekannte Bubble-Chart. Dadurch kann man leichter feststellen, welche Behandlungsmaßname ich der Bedrohung oder Chance zuweise. Folgende Behandlungskategorien sollte man verwenden:
Vermeiden: Hierbei kann es sein, dass bei der Klassifizierung das komplette Projekt geändert werden muss. Die Bedrohung muss möglichst vermieden werden.
Reduzieren: Hierbei wird versucht die Auswirkung oder/und die Wahrscheinlichkeit zu minimieren.
Eventualplanung: Hier gilt, das die Gegenmaßnahme eine reaktive Form ist. Diese kann ergriffen werden, sobald es eintritt. Ein gutes Beispiel hierzu ist die Auslagerung bei einem Engpass in einer Lieferkette zu einer weiteren teureren Spedition.
Übertragen: Hierbei wird versucht die Bedrohung auf eine dritte Partei zu übertragen. Hier spielt auch das Claim-Management eine wesentliche Rolle.
Hinweis: Höre hierzu gerne einmal meinen Podcast mit Herrn Hahn von der Firma 1155pm Consultants GmbH (#057 | Contract & Claimmanagement).
Akzeptieren: Hierbei wird die Bedrohung akzeptiert. Dies kann verschiedene Ursachen haben. Eine davon kann zum Beispiel aus ökonomischen Gründen sein. Da das Risikomanagement zu den immer wiederkehrenden Subprozessen gehört werden die Risiken ja immer wieder kontrolliert
Teilen: Hierbei wird versucht sich das Risiko mit seinen Vertragspartner zu teilen. Diese Klassifizierung gilt im übrigen auch für die identifizieren Chancen.
Ergreifen: Hierbei wird die Chance genutzt.
Steigern: Hierbei werden proaktive Maßnahmen getroffen um die Auswirkung oder die Wahrscheinlichkeit zu erhöhen, damit das Risiko eintritt.
Ablehnen: Genau wie bei der Bedrohung „Akzeptieren“ wird hierbei die entsprechend Chance abgelehnt.
Implementieren
Die Implementierung soll sicher stellen, dass die geplanten Maßnahmen zur Behandlung einer Bedrohung auch entsprechend durchgeführt werden. Hierzu ist eine eindeutige Rollenzuweisung nötig. Als Rollen gibt es einmal den Risikobearbeiter (Besitzer) und den Risikoeigentümer (Manager). Der Risikobearbeiter (Besitzer) ist mit der Ergreifung der beschlossenen Maßnahmen beauftragt, wenn das Risiko entsprechend eintritt. Der Risikomanager ist für das Management für die Überwachung des Risikos verantwortlich.
Kommunikation
Durch die Kommunikation soll sichergestellt werden, dass alle Bedrohungen und Chancen entsprechend derer Verhalten an die gewünschten Interessenparteien verfolgt werden können, um eventuell weitere Maßnahmen zu beschließen. Hierzu dienen unterschiedlichste Reports (Teamstatusbericht, Projektstatusbericht, Phasenabschlussberichte und der Erfahrungsbericht) aus dem Projektmanagementframework zur Verfügung.
Nachdem ich den Prozess erläutert habe stellt sich natürlich die Frage, wie kann man hier durch ein Tool unterstützt werden? Durch die Digitalisierung des Projektmanagementprozesses sollte grundsätzlich die Verwaltung der Risiken über das Projektmanagement-Tool gewährleistet werden. Warum? Der Mehrwert der Digitalisierung besteht nicht nur in der Eingabe, Verarbeitung und Ausgabe von Informationen, sondern durch eine Automatisierung des Prozesses. Dadurch kann der Projektleiter entlastet werden, um sich so um seine Kernaufgaben zu kümmern. Aus dem Grund sollte das Risikomanagement mit Project for the Web erfolgen, da ich hier durch die Integration in die Microsoft Power Platform alle nötigen Tools bekomme. In meinem nächsten Artikel werden wir uns als erstes um die Datenstruktur für den Risiko-Log kümmern und dann die Information in unser First-Party-App einbinden.