Unter Risikomanagement versteht man eine systematische und proaktive Vorgehensweise, um die Kontrolle über Projekte zu erlangen und Unklarheiten zu verringern. Sehr wichtig ist dabei, dass sich das Risikomanagement — obwohl es der Name suggeriert — nicht nur mit Risiken (Threats) sondern ebenfalls mit Chancen (Opportunities) im Projekt, also Ereignissen, die das Projekt positiv beeinflussen können, auseinandersetzt.

Schritt 1:  Planung

Im ersten Schritt erstellen Sie einen Risikomanagement-Plan. Dort legen Sie fest, auf welche Art und Weise das Risikomanagement im Projekt durchgeführt wird: Welche Methoden, welche Tools, wer ist wofür zuständig. Beziehen Sie unbedingt die Projektsponsoren in das Risikomanagement ein. Dies kann der externe Auftraggeber, mindestens aber der interne Ansprechpartner (Key- Account Manager) sein. Der entstehende Plan soll für alle Beteiligten einsehbar sein.

Schritt 2:  Risiko-Identifikation

Risiken sind Ereignisse mit negativer Auswirkung auf das Projekt, die mit einer Wahrscheinlichkeit von weniger als 100 Prozent eintreten und noch nicht eingetreten sind. Chancen sind entsprechend Ereignisse mit positiver Auswirkung. Identifizieren Sie so viele Risiken und Chancen wie möglich. Dies können leicht hundert oder mehr sein.

Die Erfahrung zeigt, dass es schwieriger ist, Chancen zu identifizieren als  Risiken. Daher empfiehlt es sich, sich auf beide Themen separat zu konzentrieren und mit den Chancen zu beginnen. Geeignete Methoden sind hier beispielsweise das Brainstorming, das Interview von Experten oder die Sichtung historischer Aufzeichnungen alter Projekte.

Nutzen Sie bei der Formulierung von Risiken immer die Formel: Ursache - Risiko - Auswirkung. Zum Beispiel: „Da das Projekt im Management keine hohe Priorität hat, könnte Herr X aus dem Projekt abgezogen werden, was eine Verlangsamung des Projektes und eine Verzögerung um zwei Monate zur Folge hätte“. 

In einem nächsten Schritt werden dann sogenannte Trigger ermittelt, also frühe Warnsignale, dass der Eintritt eines Risikos bevorsteht. Die Risiken werden in einem Risikoregister dokumentiert.

Schritt 3:  Qualitative Risikoanalyse

Hier werden alle Risiken subjektiv bewertet. Zum einen wird die Eintrittswahrscheinlichkeit und zum anderen die Auswirkung auf das Projekt bewertet. Beides erfolgt auf einer Skala von 1-10. Diese Skala ist einer Skala „hoch“, „mittel“ und „niedrig“ vorzuziehen, da sonst in einem späteren Schritt die Priorisierung der Risiken nicht granular genug ist. 

Vor der Bewertung der Auswirkungen ist eine Interpretations-Tabelle zu erstellen, die festlegt, was die Zahlen 1-10 bedeuten. Für jedes Risiko wird dann das Produkt aus der Bewertung für die Eintrittswahrscheinlichkeit (1-10) und der Bewertung für die Auswirkungen (1-10) berechnet. Dies führt zu einem Risiko-Score zwischen 1 und 100. Dadurch erfolgt eine Priorisierung der Risiken.

Niedrig priorisierte Risiken können in einer Watchlist verbleiben, die vom Projektleiter im Verlauf des Projektes überwacht wird. Höher priorisierte Risiken werden in die folgenden Schritte einbezogen. Die Summe aller Risiko-Scores ergibt den Projekt-Risiko-Score, mit dem Projekte untereinander verglichen werden können.

Schritt 4:  Quantitative Risikoanalyse

Wenn es das Projektbudget zulässt, kann in diesem Schritt für jedes Risiko die genaue monetäre oder zeitliche Auswirkung auf das Projekt ermittelt werden. Hier wird dann die Eintrittswahrscheinlichkeit als Zahl zwischen 0 und 1 ausgedrückt und mit der Auswirkung in Euro (bzw. in  der Dauer) multipliziert, so erhält man den erwarteten Wert des Risikos. Addiert man diese Werte, so erhält man eine Aussage über das Projektrisiko (Budget und Zeit).

Schritt 5:  Bewältigungsplanung

Nun wird festgelegt, wie mit den erkannten Risiken umgegangen wird. Außerdem wird für die Top-Risiken spätestens hier ein ‚Risiko-Eigner‘ festgelegt. Dieser ist im Verlauf des Projektes für die Verfolgung dieses
Risikos verantwortlich. Für jedes Risiko wird nun eine Strategie festgelegt und im Detail bestimmt, wie auf das Risiko reagiert wird:

1. Strategie „Vermeidung“: Es werden Maßnahmen ergriffen, die den Eintritt des Risikos gänzlich verhindern.
2. Strategie „Verringerung“: Es werden Maßnahmen ergriffen, die die entweder Eintrittswahrscheinlichkeit oder die Auswirkung des Risikos verringern.
3. Strategie „Übertragung“: Das Risiko wird auf andere übertragen (Versicherung, Kunde, Lieferant). Hierbei ist zu berücksichtigen, dass das Risiko weiterhin in vollem Umfang existiert.
4. Strategie „Akzeptanz“: Das Risiko wird in der bestehenden Form akzeptiert

Analog wird mit Chancen verfahren. Nach der Bewältigungsplanung wird der Projektplan unter Berücksichtigung der Bewältigungspläne überarbeitet. Die erwarteten Werte der verbleibenden Risiken werden als Risikoreserve hinzugefügt.

Schritt 6:  Überwachung und Steuerung

Der Risikoeigner beobachtet das ihm zugeordnete Risiko und seine Trigger während der Projektlaufzeit und reagiert im Falle eines Falles mit den geplanten Maßnahmen. Parallel hierzu werden die in der Watchlist verblieben Risiken, im Allgemeinen vom Projektleiter, beobachtet. Alleine durch die Offenlegung von Risiken verringert sich erfahrungsgemäß deren Eintrittswahrscheinlichkeit. Extrem wichtig, ist daher die offene Kommunikation von bestehenden Risiken.