Risikomanagement in Projekten

Kurzfassung Risikomanagement in Projekten Ein Konzept zur systematischen dentifikation, Bewertung und Behandlung von Risiken Dissertation zur Erlangung des akademischen Grades Dr.rer.pol. vorgelegt an der Fakultät für Wirtschaftswissenschaften der Technischen Universität Dresden von Dipl.-Wirtsch.-ng. Rouven Enz betreut durch Prof. Dr. Werner Esswein Dresden, den 20. Februar 2007

2 Abstract 1. Abstract Der vorliegende Beitrag stellt die Kurzfassung des Dissertationsvorhabens des Autors dar, in dem ein neuartiges Konzept 1 präsentiert wird, das Unternehmen den systematischen Umgang mit den Risiken all ihrer Projekte ermöglicht. Dabei werden folgende drei Felder, in denen Handlungsbedarf herrscht, adressiert: Die mangelhafte Zielerreichung von Projekten (vgl. [DROE03],. 17; [TG01]). Der Bedarf an Vorgehensweisen, die eine effizientere Projektdurchführung ermöglichen (vgl. [Clar84],. 129; [Bec+03b],. V; [Hill02],. 1; [Kus+06],. 3). Die durch nationale Gesetzgebungen (z.b. KonTraG, Corporate Governance Kodex) sowie branchenspezifische Vorgaben (z.b. Basel, olvency ) gestiegenen Anforderungen an Transparenz (vgl. [BiLu03]; [DBRE01]; [RDCG05]; [cgr04]). Nachdem in Kapitel 2 das Forschungsdesign der Arbeit vorgestellt wird, zeigt Kapitel 3 den tand der Forschung auf und bewertet diesen. Auf Basis der dabei identifizierten Defizite wird in Kapitel 4 das Konzept zum Risikomanagement in Projekten entwickelt. Dieses besteht aus drei aufeinander aufbauenden Modellen, die als Referenz-, Adaptions- und mplementierungsmodell bezeichnet werden. Das generische Referenzmodell (Kapitel 4.1) zeigt alle relevanten Betrachtungsgegenstände auf und enthält effiziente Abläufe, die das höchstmögliche Maß an Risikovergleichbarkeit sicherstellen. Des Weiteren gestattet es die ntegration des Risikomanagements in die Projektaufbau- und -ablauforganisation und ermöglicht dadurch die Minimierung des zeitlichen Aufwandes. Das Adaptionsmodell (Kapitel 4.2) enthält, darauf aufbauend, die notwendigen chritte, um das Referenzmodell an die spezifischen Gegebenheiten einer Projekt-, Programm- oder Multi-Projektlandschaft anzupassen. Dabei werden sowohl obligatorische Anpassungen als auch Empfehlungen (wie z.b. einzusetzende Werkzeuge) präsentiert. m Anschluss an das Adaptionsmodell zeigt das mplementierungsmodell (Kapitel 4.3) die Vorgehensweise auf, mit der das Konzept zum Risikomanagement in Projekten zu implementieren ist. Dies umfasst beispielsweise die Definition einer passenden Rollout-trategie und die Konzeption einer geeigneten Applikation. n Kapitel 5 wird die Prüfung des Konzeptes beschrieben, die bei einem deutschen Automobilhersteller stattfand und bei der qualitative (Kapitel 5.1) und quantitative Aspekte (Kapitel 5.2) aufgezeigt werden. Der Beitrag endet mit Kapitel 6, in dem zentrale Ergebnisse (Kapitel 6.1) und Potentiale für weitere Forschungsvorhaben präsentiert werden (Kapitel 6.2). 1 n dieser Arbeit wird unter dem Begriff Konzept die gedankliche Gestaltung und Evaluation einer Lösung für eine zuvor definierte Problemstellung verstanden (vgl. [Zimm95],. 106).

Konzeption des Forschungsdesigns 3 2. Konzeption des Forschungsdesigns Das Forschungsdesign der vorliegenden Arbeit wurde nach dem Vorgehensmodell von BRAUN/EWEN konzipiert, das den Bezug einer wissenschaftstheoretischen Position sowie die Abgrenzung des Rahmens der Erkenntnisgewinnung fordert (vgl. [BrEs06]). Zur Bestimmung der wissenschaftstheoretischen Position sind die ubjekt-objekt-relation sowie eine dazu konforme Wahrheitstheorie zu bestimmen. Hinsichtlich der ubjekt-objekt- Relation wird angenommen, dass keine ontische d.h. vom Bewusstsein unabhängige Realität existiert und dass die Realitätswahrnehmung komplett subjektgebunden ist. Bei der Wahrheitstheorie wird auf den konsensorientierten Wahrheitsbegriff zurückgegriffen, da dieser eine breit angelegte Verifizierung der subjektiven Wahrnehmungen und Erkenntnisse des Forschers ermöglicht. Der wissenschaftstheoretischen Position folgt die Abgrenzung des Rahmens der Erkenntnisgewinnung. Hierzu sind Forschungsziel, Verfahren zur Erkenntnisbildung sowie passende Forschungsmethoden auszuwählen. Die hauptsächliche 2 Zielsetzung der Arbeit besteht in der Bereitstellung eines Konzeptes, das Unternehmen den systematischen Umgang mit den Risiken all ihrer Projekte ermöglicht. Nach der Bestimmung des Forschungsziels sind die Verfahren zur Erkenntnisbildung auszuweisen, wobei zwischen induktiven und deduktiven Vorgehensweisen unterschieden wird (vgl. [Bec+03a],. 7). Für die vorliegende Arbeit werden ausschließlich induktive Verfahren verwendet, wobei sowohl auf existierende Wissensgrundlagen als auch auf Beobachtungen aus der Praxis zurückgegriffen wird. Nachdem die Verfahren zur Erkenntnisbildung festgelegt wurden, sind die zu verwendenden Forschungsmethoden auszuwählen. Dabei wird das zur Erreichung des Forschungsziels notwendige Wissen mittels Literaturanalysen und Expertenbefragungen generiert. Für die Überprüfung des Konzeptes zum Risikomanagement in Projekten wird darüber hinaus eine Einzelfallstudie in der deutschen Automobilindustrie durchgeführt. 2 Neben der Erfüllung des hauptsächlichen Ziels ist die Arbeit so zu gestalten, dass die für die Wirtschaftsinformatik gültigen Gestaltungsrichtlinien Entwurf als Artefakt, Problemrelevanz, Entwurfsbewertung, Wissenschaftsbeitrag, trenge der Forschung und Ausweisung des uchprozesses eingehalten werden (vgl. [Hev+04],. 82 ff.).

4 tand der Forschung 3. tand der Forschung Werden Projekte hinsichtlich ihrer Zielsetzung untersucht, zeigt sich, dass mehr als die Hälfte der Vorhaben ihre Kosten-, Zeit- und Qualitätsziele nicht erreichten 3. Die hohe Fehlerquote wird nahezu einheitlich mit der fehlerhaften Anwendung der Methoden des Projektmanagements und vor allem mit der unzureichenden Auseinandersetzung mit Risiken begründet. Besonders das zuletzt genannte Argument trifft in Wissenschaft und Praxis auf breite Zustimmung und fordert eine Untersuchung der Werkzeuge, die Unternehmen zum Umgang mit den Risiken ihrer Projekte verwenden. (vgl. [Blas04],. 1; [Brüh03],. 173 ff.; [De- Li03],. 26 ff.; [Freu00],. 52; [MeMa03],. 63 ff.; [PM00],. 127 ff.; [cho97],. 120). Zur Durchführung dieser Untersuchung sind drei zentrale Fragen zu beantworten: 1. Was bedeuten die Begriffe Risiko und Risikomanagement? 2. Gibt es Theorien, die das Verhalten von ndividuen in Risikosituationen beschreiben? 3. Welche Risikomanagement-Ansätze existieren in der Literatur? 4. Können diese Ansätze alle Anforderungen der unternehmerischen Praxis erfüllen? Zu 1.: Für den Risikobegriff existiert in der Literatur keine einheitliche Definition. Die im Folgenden präsentierte Begriffsbestimmung lehnt sich daher an die Arbeiten von MÜLLER- MERBACH, CHMTTNG/EME und WEHRMANN/ZMMERMANN an (vgl.: [Müll96]; ([ci03],. 5; [WeZi05],. 249): Ein Risiko ist ein mögliches zukünftiges Ereignis, dessen Auswirkungen negative Folgen für zuvor definierte (unternehmerische) Zielsetzungen haben. Darauf aufbauend kann der Begriff Risikomanagement wie folgt formuliert werden (vgl. [Blas04],. 7; [Brüh03],. 31; [Hack75],. 327; [Mada00],. 490; [Prit99],. 146): Risikomanagement ist ein unterstützendes nstrument, das allen Unternehmensbereichen die systematische dentifikation, Bewertung und Behandlung von Risiken ermöglicht. 3 Belegt werden kann dies beispielsweise durch die Chaos-tudie der TANDH GROUP, welche im Jahre 2000 in amerikanischen Unternehmen durchgeführt wurde. Die tudie untersuchte fast 300.000 Entwicklungsprojekte, deren Zielsetzung in der chaffung bzw. mplementierung von nformationssystemen bestand und belegte, dass lediglich 28% der Vorhaben alle zuvor festgelegten Zielsetzungen erreichten (vgl. [TG01]). Die restlichen Projekte wurden entweder vorzeitig abgebrochen (23%) oder mit Abweichungen hinsichtlich Kosten, Zeit und Qualität zu Ende geführt (49%). Dass mangelnde Zielerreichung nicht nur bei -Entwicklungsprojekten vorliegt, wurde im Jahre 2003 durch das Beratungsunternehmen DROEGE & COMP. bestätigt, das damals 217 Führungskräfte aus deutschen Unternehmen branchenübergreifend befragt hatte (vgl. [DROE03],. 17). Nach dieser Befragung erreichten über die Hälfte (54,9%) der untersuchten Projekte ihre vorgegebenen Ziele nicht vollständig.

tand der Forschung 5 Zu 2.: Auf theoretischer Ebene wird das Handeln unter Risiko mehrheitlich mithilfe der Entscheidungstheorie erläutert (vgl. [Bühn01],. 674; [Cors00],. 966; [Jung04],. 176). Da die klassischen Entscheidungsregeln (Bayes-Regel und (µ, σ)-prinzip) bei Risikosituationen an ihre Grenzen geraten 4, kann lediglich das BERNOULL-Prinzip als theoretische Grundlage dienen (vgl. [CoRe99],. 173; [Laux98],. 144 ff.; [Wöhe02],. 126 ff.). Dieses besagt, dass Entscheidungen unter Risiko auf Basis einer persönlichen Einschätzung des Risikonutzens (Nutzen in Abhängigkeit zum potenziellen chaden) getroffen werden (vgl. [Bern38],. 175 ff.). Zu 3.: Die Literatur enthält vielfältige Ansätze, die den Umgang mit Risiken in Projekten thematisieren. Zusammengefasst sind diese Risikomanagement-Ansätze, die sich entweder auf den Projektablauf oder den Risikomanagement-Prozess (Risikoidentifikation, -bewertung und -behandlung) beziehen, in Tabelle 1 dargestellt. Risikomanagement- Ansätze Kurzbeschreibung Quellen Orientierung am Projektablauf piralmodell Für oftware-entwicklungsprojekte konzipiertes Vorgehensmodell, welches das Risikomanagement ablauforganisatorisch in die Projekttätigkeiten integriert. [Boeh88],. 64 ff. Orientierung am Risikomanagement-Prozess nduktive und deduktive Methoden Erhebungs- und Kreativitätstechniken Analyse- und Prognosetechniken Für Entwicklungsprojekte konzipierte grafische Verfahren, die entweder die dentifizierung [Brüh03],. 38 ff.; möglicher Risiken (ursachenbasiert) oder Findung der Ursachen für bereits eingetretene [DN80]; [DN81]; Risiken (wirkungsbasiert) ermöglichen. Bekannte Methoden sind die Failure Mode and Effect [DN85]; [cho97], Analysis (FMEA), die Ereignisablaufanalyse und die Fehlerbaumanalyse.. 138 Erhebungstechniken werden zur dentifikation von Risiken aus vorhandenen Wissensquellen verwendet. Hierzu zählen insbesondere die verschiedenen Formen der Expertenbefragung wie [Blas04],. 35ff.; Einzelabschätzung, Mehrfachbefragung und Delphi-Methode. Kreativitätstechniken werden [Burg02],. 213 ff.; dagegen zur direkten Generierung neuer Gedanken genutzt, auf deren Basis weitere Risiken [Clar73]; [chm85], erkannt werden können. Bekannte Kreativitätstechniken sind beispielsweise das. 96 Brainstorming und die Collective-Notebook-Methode. Analysetechniken werden zur systematischen Untersuchung bestehender ysteme hinsichtlich möglicher Risiken verwendet. Hierunter fallen etwa netzplanbasierte Verfahren, wie die Program Evaluation and Review Technique, oder Checklisten. Prognosetechniken dienen dagegen der Vorhersage von Ereignissen, Zuständen oder Entwicklungen, die potentielle Risiken darstellen könnten. Hierunter fallen beispielsweise die Analogiemethode und die Monte-Carlo-imulation. [Altr96]; [BaRo06]; [DeLi03],. 105; [Glei04],. 31; [Gic99],. 213; [MeMa03],. 65; [chi03],. 176 ff.; [Wild72],. 142 ff. Tabelle 1: Existierende Risikomanagement-Ansätze Quelle: eigene Erstellung 4 Die Bayes-Regel fordert bei Entscheidungen unter Risiko die Auswahl der Alternative, die über den größten mathematischen Erwartungswert der Zielerreichung verfügt. Dabei setzt sie eine indifferente Risikoeinstellung voraus und vernachlässigt individuelle Ausprägungen des Entscheidungsträgers (z.b. Risikosympathie bzw. Risikoaversion). Das (µ, σ)-prinzip, das auf der Bayes-Regel aufbaut und individuelle Risikoeinstellungen über die tandardabweichung (σ) berücksichtigt, kann das Verhalten unter Risiko ebenfalls nur eingeschränkt beschreiben. Denn sobald sich ein Entscheidungsträger zwischen zwei Handlungsmöglichkeiten entscheiden muss, von denen eine durch einen niedrigen Erwartungswert und ein geringes Risiko und die andere durch einen hohen Erwartungswert und ein hohes Risiko gekennzeichnet sind, hilft das (µ, σ)-prinzip nicht weiter.

6 tand der Forschung Zu 4.: Zur Beantwortung der vierten Frage sind zuerst die Anforderungen an einen Risikomanagement-Ansatz zu benennen, die mithilfe der Kriterien Allgemeingültigkeit, Qualität und Akzeptanz beschrieben werden können. Die Allgemeingültigkeit bezieht sich auf die Breite des Anwendungsbereichs, der sich über alle Projekte und Formen des Projektmanagements erstreckt. Dabei können die Projekte hinsichtlich ihrer Art in Forschungs-, Entwicklungs-, Organisations- und nvestitionsprojekte unterteilt werden (vgl. [Fuch00],. 144 ff.; [Lind98],. 95 ff.; [chr69],. 16 ff.; [cha96],. 302 ff.). Beim Projektmanagement entwickelten sich das Programmmanagement und das Multi-Projektmanagement in den letzten Jahren als zusätzlich Formen. Das Programmmanagement beschreibt dabei die Leitung mehrerer Projekte, die bestimmte Gemeinsamkeiten, wie etwa gleiche Ziele, Ressourcen oder Auftraggeber, besitzen (vgl. [PM00],. 10). Das Multi-Projektmanagement bezieht sich demgegenüber auf die gesamte Projektlandschaft, d.h. auf alle in einem Unternehmen ablaufenden Projektvorhaben (vgl. [Hill02],. 129). Neben der Allgemeingültigkeit ist die Qualität ein zentrales Kriterium für jeden Risikomanagement-Ansatz, das sich sowohl auf Ergebnisse (Ergebnisqualität) als auch auf Abläufe (Prozessqualität) bezieht (vgl. [Barb96],. 23; [Gudd03],. 47 ff.). Die Akzeptanz, welche eine Prämisse für den konfliktfreien Risikomanagement-Einsatz darstellt, ist darauf aufbauend das dritte Kriterium, das ein Ansatz zu erfüllen hat (vgl. [Fank01],. 286; [Kore99],. 16). Werden die in Tabelle 1 aufgezeigten Risikomanagement-Ansätze den entwickelten Kriterien gegenübergestellt, ergibt sich das in Tabelle 2 dargestellte Bild. Zusammengefasst kann demnach festgehalten werden, dass dem tand der Forschung kein Risikomanagement- Ansatz zu entnehmen ist, der übergreifend in allen Projektarten und in den verschiedenen Formen des Projektmanagements mit einem ausreichenden Maß an Qualität und mit akzeptierten Methoden und Prozessen eingesetzt werden kann. Allgemeingültigkeit Bewertungskriterien Qualität Risikomanagement-Ansätze Ergebnis Prozess Akzeptanz Am Projektablauf orientierte Ansätze piralmodell Am Risikomanagement- Prozess orientierte Ansätze, basierend auf induktiven & deduktiven Methoden Erhebungs- und Kreativitätstechniken Analyse- und Prognosetechniken Kriterienausprägung: voll erfüllt teilweise erfüllt nicht erfüllt Tabelle 2: Zusammengefasste Bewertung der Ansätze Quelle: eigene Erstellung

Konzept zum Risikomanagement in Projekten 7 4. Konzept zum Risikomanagement in Projekten Da aus dem tand der Forschung kein Risikomanagement-Ansatz abgeleitet werden kann, der den Anforderungen von Projekten in der gesamten Breite entspricht, wird im Folgenden ein neuartiges Konzept präsentiert, das projektartübergreifend in einzelnen Vorhaben, Programmen und Multi-Projektlandschaften einsetzbar ist. Dieses Konzept besteht aus drei aufeinander aufbauenden Modellen, die als Referenz-, mplementierungs- und Adaptionsmodell bezeichnet werden. Als Basis dient das generische Referenzmodell, das die Grundlage für das Risikomanagement in Projekten darstellt und beispielsweise als übergreifender tandard in Unternehmen eingesetzt werden kann. Um den Anforderungen aller potenziellen Einsatzgebiete gerecht zu werden, wurde der Detaillierungsgrad des Referenzmodells bewusst eingeschränkt. Das Adaptionsmodell enthält, darauf aufbauend, die notwendigen chritte, um das Referenzmodell an die spezifischen Gegebenheiten einer Projekt-, Programm- oder Multi-Projektlandschaft anzupassen. Dabei werden sowohl obligatorische Anpassungen als auch Empfehlungen (wie z.b. einzusetzende Werkzeuge) präsentiert. m Anschluss an das Adaptionsmodell zeigt das mplementierungsmodell die Vorgehensweise auf, mit der das Konzept zum Risikomanagement in Projekten in der Praxis zu implementieren ist. Dies umfasst die Definition einer Rollout-trategie, die Konzeption einer geeigneten Applikation sowie die Definition und Verfolgung der mit dem Risikomanagement einhergehenden Zielsetzungen. Wie in Abbildung 2 gezeigt, bilden sowohl Referenz- als auch Adaptionsmodell die Realität vereinfacht ab. Das mplementierungsmodell sorgt daran anschließend dafür, dass die gewonnenen Erkenntnisse in die Praxis zurückgespielt werden können. Um die Leistungsfähigkeit von Referenz- und Adaptionsmodell zu steigern, können bei Bedarf zusätzliche Funktionen als Erweiterungen in die oben genannten Modelle integriert werden. Referenzmodell Anpassung an Einsatzgebiet Erweiterung Adaptionsmodell Anwendung im Erweiterung Einsatzgebiet Realität mplementierungsmodell Abbildung 1: Aufbau des Konzepts zum Risikomanagement in Projekten Quelle: eigene Erstellung

8 Konzept zum Risikomanagement in Projekten 4.1 Referenzmodell Das in Abbildung 2 dargestellte Referenzmodell besteht aus fünf ichten, welche die betrachteten Objekte, deren relevante Zustände, die durchzuführenden Aktionen sowie die Organisation des Risikomanagements in Projekten wiedergeben. ntegriert werden die Erkenntnisse der einzelnen Perspektiven durch die icht der teuerung. Organisation (Kapitel 4. 1. 4) Aktionen (Kapitel 4. 1. 3) Objekte (Kapitel 4. 1. 1) teuerung (Kapitel 4. 1. 5) Zustände (Kapitel 4. 1. 2) Abbildung 2: Referenzmodell Quelle: eigene Erstellung 4.1.1 icht der Objekte Die mittels UML-Klassendiagrammen dargestellte Objektsicht beschreibt die relevanten Klassen sowie deren Beziehungen und Eigenschaften. Zur trukturierung werden die einzelnen Klassen einer strategischen bzw. einer operativen Ebene zugeordnet. Die strategische Ebene fasst dabei die Klassen zusammen, die der langfristigen Unternehmenssteuerung dienen. Die hierzu notwendigen trategien werden aus den Zielen des Unternehmens abgeleitet und von externen Anforderungen (z.b. Gesetzgebungen) beeinflusst, welche die Zielerreichung fördern oder gefährden können. Gegebenenfalls ist eine Anpassung der Ziele auf die externen Anforderungen notwendig. Die trategie eines Unternehmens determiniert auch die Aufbauorganisation, die zu ihrer Umsetzung notwendig ist.

Konzept zum Risikomanagement in Projekten 9 Externe Anforderung * wird angepaßt * trategische Ebene Ziel * 1..* * Aufbauorganisation 1 1..* setzt um bestimmt * 1..* trategie * * setzt um bestimmt realisiert 1..* 1 1..* * * Projektaufbauorganisation Projekt Risiko 1 definiert, plant, überwacht, steuert 1..* beinhaltet beeinflußt 1..* * * 1 * 1 setzt um unterstützt 1..* 1..* bearbeitet Projektmanagement Risikomanagement Wissen Operative Ebene Abbildung 3: icht der Objekte Quelle: eigene Erstellung Die operative Ebene bündelt die Klassen, die zur trategieumsetzung herangezogen werden. Hierzu werden Projekte initiiert, welche von einer Projektaufbauorganisation durchgeführt werden. Die Projektaufbauorganisation ist dem Projektmanagement unterstellt, welches die Definition, Planung, Überwachung und teuerung des Vorhabens sicherstellt. Die für ein Projekt charakteristische Einmaligkeit der Aufgabenstellung bedingt, dass ein gewisses Maß an Unsicherheit und somit auch an Risiko inhärente Bestandteile eines jeden Vorhabens darstellen. Die Auswirkungen eines Risikos können sowohl das Projekt als auch die trategie negativ beeinflussen. Des Weiteren können zwischen zwei oder mehr Risiken Vernetzungen in Form von Wechselwirkungen oder Abhängigkeiten bestehen. Die Bearbeitung eines Risikos erfolgt durch das Risikomanagement und umfasst die Risikoidentifikation, -bewertung und -behandlung. Die Verantwortung für das Risikomanagement und dessen Aktionen liegt beim Projektmanagement. owohl das Projektmanagement als auch das Risikomanagement benötigen zur Erfüllung ihrer Aufgaben Wissen, denn auf dieses wird bei der Durchführung eines Projektes zum einen zugegriffen, zum anderen wird neues Wissen generiert.

10 Konzept zum Risikomanagement in Projekten 4.1.2 icht der Zustände Die mittels UML-Zustandsdiagrammen modellierte und in Abbildung 4 dargestellte Zustandssicht zeigt die relevanten Zustandsänderungen für das Konzept auf. Dabei fokussiert sie die Zustände, welche die Klassen Projekt, Risiko und Wissen während ihres Lebenszyklus einnehmen und liefert Erkenntnisse zur Festlegung von Aktionen, die zum Umgang mit Risiken durchzuführen sind. Zustände eines Projekts Zustände eines Risikos Zustände des Objektes Wissen Abbildung 4: icht der Zustände Quelle: eigene Erstellung Die Zustände eines Projektes wurden aus dem Regelkreis des Projektmanagements übernommen (vgl. [Burg02],. 19). Darüber hinaus sind in dem hier präsentierten Zustandsdiagramm auch Rückschritte zu vorherigen Phasen aufgezeigt, die beispielsweise im Falle von nicht korrigierbaren Differenzen zwischen aktuellem und geplantem Zielerreichungsgrad bestehen. Da die Bearbeitung aller Risiken eines Projektes unter ökonomischen Gesichtspunkten nicht sinnvoll erscheint 5, ist die Relevanz eines jeden Risikos zu überprüfen. Demgemäß wurden die Zustände Relevant und rrelevant in das Zustandsdiagramm integriert. Ob ein Wissensobjekt den Zustand Generiert oder dentifiziert annimmt, hängt von dessen Verwendungsziel ab, wobei zwischen der Entwicklung von neuem Wissen (z.b. bei der Konzipierung revolutionärer Produkte) und der Wissenssuche mit Bezug auf eine konkrete Fragestellung unterschieden wird (vgl. [HoJo04],. 101). 5 Das Risikomanagement ist nicht der Vollständigkeit, sondern dem Prinzip der Wesentlichkeit verpflichtet (vgl. [Brüh03],. 111).

Konzept zum Risikomanagement in Projekten 11 4.1.3 icht der Aktionen Die durch ein UML-Aktivitätsdiagramm visualisierte Aktionssicht zeigt die Aktionen auf, die im Rahmen des Risikomanagements durchzuführen sind. nsgesamt verfügt die Aktivität Risikomanagement, welche in Abbildung 5 dargestellt ist, über maximal dreizehn Aktionen. Risiko identifizieren Risiko bewerten Risikobewertung anpassen [Relevant] Verantwortlichen identifizieren Behandlungsmöglichkeiten: Akzeptanz, Reaktion, Absicherung, Diversifikation Behandlungsmaßnahmen definieren [Delegation] [Bearbeitung durch Verantwortlichen] Bearbeiter identifizieren Risikobewertung verifizieren Risiko behandeln Relevanz bewerten [rrelevant] Erfolg kontrollieren [Erfolglos behandelt] Wissen verteilen Risiko archivieren Restrisiko bewerten Abbildung 5: icht der Aktionen Quelle: eigene Erstellung Risiko identifizieren Die Erkennung eines Risikos kann auf zwei Arten erfolgen, die als Ad-hoc- und gezielte dentifikation bezeichnet werden (vgl. [EnEs07],. 99). Eine Ad-hoc-dentifikation liegt dann vor, wenn ein Risiko zufällig identifiziert wird (z.b. während der Kontrolle von Arbeitspaketen). Demgegenüber beschreibt die zweite dentifikationsart die Möglichkeit, Risiken gezielt zu erkennen (z.b. im Rahmen eines Workshops). Risiko bewerten Bei der Risikobewertung wird mithilfe eines quantitativen oder qualitativen Maßstabes eine Aussage darüber getroffen, wann, wie wahrscheinlich und in welchem Grade das entdeckte Risiko definierte Zielsetzungen gefährden kann.

12 Konzept zum Risikomanagement in Projekten Verantwortlichen identifizieren Nach der Risikoerkennung ist ein Risikoverantwortlicher zu identifizieren, welcher den weiteren Umgang mit dem Risiko leitet. Diese Aktion ist notwendig, da speziell bei einer Adhoc-dentifikation nicht sichergestellt ist, dass der Risikoentdecker auch über die erforderlichen Kenntnisse und Kompetenzen zur Risikobewertung und -behandlung verfügt. Risikobewertung verifizieren Nach seiner Benennung prüft der Risikoverantwortliche, ob das identifizierte Risiko in seinen Verantwortungsbereich fällt. st dies nicht der Fall, kann er die Verantwortung ablehnen. Fällt das erkannte Risiko dagegen in den Verantwortungsbereich der ausgewählten Person, ist die Bewertung des Risikoentdeckers zu verifizieren 6. Relevanz bewerten n diesem chritt ist auf Basis der Risikobewertung abzuschätzen, ob es sich um ein für das Projekt, Programm oder die Multi-Projektlandschaft relevantes Risiko handelt. Behandlungsmaßnahmen definieren Wird ein identifiziertes Risiko als relevant eingestuft, sind Behandlungsmaßnahmen zu definieren. n der Literatur werden hierzu die Möglichkeiten Akzeptanz, Reaktion (Maßnahmendurchführung nach Risikoeintritt) und Absicherung (vor Risikoeintritt vereinbarte proaktive bzw. reaktive Maßnahmen zur Minimierung der Risikoeintrittswahrscheinlichkeit und - auswirkungen) unterschieden (vgl. [Blas04],. 68; [Burg02],. 301; [ci03],. 12). Bearbeiter identifizieren n vielen Fällen ist es nicht notwendig bzw. möglich, dass der Risikoverantwortliche alle Behandlungsmaßnahmen selbstständig durchführt. Deshalb kann er in diesem chritt Projektbeteiligte benennen und diese mit der operativen Maßnahmendurchführung beauftragen. Risiko behandeln Die Aktion Risiko behandeln beinhaltet die Umsetzung der definierten Maßnahmen. Erfolg kontrollieren Der Erfolg der eingeleiteten Maßnahmen ist zu einem späteren Zeitpunkt, welcher vor dem prognostizierten Risikoeintritt liegen sollte, zu verifizieren. ollte der durch die Risikobehandlung erhoffte Erfolg ausbleiben, ist das Risiko erneut zu bearbeiten und gegebenenfalls zu eskalieren. 6 Die Aktionen Verantwortlichen identifizieren und Risikobewertung verifizieren entfallen, wenn der Risikoentdecker mit der verantwortlichen Person identisch ist.

Konzept zum Risikomanagement in Projekten 13 Risikobewertung anpassen Bei einer erfolglosen Risikobehandlung ist eine Anpassung der Risikobewertung notwendig, da von einer Unterschätzung des Risikos ausgegangen werden kann. Diese Aktion ermöglicht ferner, den Faktor Zeit in die Risikobewertung zu integrieren 7. Denn die verkürzte Zeitspanne bedingt, dass sich entweder die Eintrittswahrscheinlichkeit des Risikos erhöht bzw. die Maßnahmenwirksamkeit verringert und somit die Priorität des Risikos steigt. Risiko archivieren Nachdem ein Risiko behandelt oder als irrelevant klassifiziert wurde, ist es mitsamt der während seiner Bearbeitung gewonnenen Erfahrungen zu archivieren. Dies ist notwendig, da diese nformationen unter Umständen in Folgeprojekten verwendet werden können. Wissen verteilen Für den Rückgriff auf Risikomanagement-Erfahrungen ist eine Verteilung des generierten Wissens unumgänglich. Dabei werden unter Wissensverteilung alle Maßnahmen verstanden, die Dritten die dentifikation von benötigtem Wissen ermöglichen. 4.1.4 icht der Organisation Hinsichtlich der Organisation des Risikomanagements in Projekten schlagen einige Quellen eine zentrale telle vor, welche das Risikomanagement unternehmens- oder bereichsweit verantwortet (vgl. [Brüh80]; [Brüh03],. 32 ff.; [TEU01],. 50). Das hier vorgestellte Konzept distanziert sich von diesem Ansatz. Denn die Delegation der Risikoverantwortung an eine projektexterne telle könnte dazu führen, dass Verantwortliche (z.b. Projektleiter) zu risikofreudig agieren und damit ihrem Projekt chaden zuführen. Ferner bedingt die Komplexität heutiger Projektvorhaben in den meisten Fällen, dass eine Einzelperson bzw. eine telle gar nicht in der Lage sein kann, das Risikomanagement eines Projekts oder Programms gesamthaft zu betreiben (vgl. [Enz06],. 222). Daraus lassen sich drei Konsequenzen ableiten: 1. n einem größeren 8 Projektvorhaben muss eine ausreichende Anzahl an Projektbeteiligten an den einzelnen chritten des Risikomanagements beteiligt sein. 7 n der gesichteten Literatur wird dem Faktor Zeit zumeist keine Beachtung geschenkt. Lediglich BLAU verwendet eine Kenngröße, die multiplikativ mit anderen Kenngrößen zur Risikobewertung verknüpft wird und die Zeitspanne zwischen Risikoidentifikation und -eintritt wiedergibt (vgl. [Blas04],. 51 ff.). Die von Eintrittswahrscheinlichkeit, Auswirkungen oder Maßnahmenwirksamkeit losgelöste Betrachtung des Zeitfaktors kann allerdings dazu führen, dass ein eigentlich irrrelevantes oder geringes Risiko lediglich aufgrund einer kurzen Zeitspanne als relevant oder kritisch angesehen wird. Das Risikomanagement würde in diesem Fall gegen das Prinzip der Wesentlichkeit verstoßen. 8 Eine mögliche Einteilung von Projekten hinsichtlich ihrer Größe findet sich bei BURGHARDT (vgl. [Burg02],. 22).

14 Konzept zum Risikomanagement in Projekten 2. Nach dem Prinzip der Wesentlichkeit ist die Risikomanagement-Aufbauorganisation so zu strukturieren, dass jede Organisationseinheit die für sie wesentlichen Risiken identifizieren und/oder behandeln kann. Für den Fall, dass Risiken über- bzw. unterschätzt werden, ist eine stufenweise Eskalation und Deeskalation der Ereignisse zu ermöglichen. 3. Die Risikomanagement-Aufgaben sind bereits existierenden Organisationseinheiten zuzuweisen. Von der Definition neuer, speziell für das Risikomanagement verantwortlicher tellen ist aufgrund inhaltlicher Überschneidungen mit dem Projektmanagement und des daraus resultierenden erhöhten Koordinationsaufwands abzusehen. Auf der Grundlage der in der Literatur vorgegebenen idealtypischen Gremien und Entscheidungsinstanzen kann die Risikomanagement-Aufbauorganisation entsprechend des in Abbildung 6 gezeigten Organigramms strukturiert werden (vgl. [Burg02],. 96 ff.; [Hill02],. 13 ff.; [PM00],. 16 ff.). Abbildung 6: icht der Organisation Quelle: eigene Erstellung Unternehmensleitung Die Unternehmensleitung stellt die ranghöchste Entscheidungsinstanz dar. ie definiert die Unternehmensziele und die zu deren Realisierung notwendigen trategien. n diesem Rahmen ist sie auch für die Artikulierung prinzipieller Richtlinien über den Umgang mit Risiken verantwortlich.

Konzept zum Risikomanagement in Projekten 15 Multi-Projektausschuss Als hierarchisch höchster Lenkungsausschuss kann der Multi-Projektausschuss angesehen werden. Dieser besteht aus Vertretern der einzelnen Geschäftsfelder sowie aus Mitgliedern der jeweiligen Programmausschüsse. eine Aufgaben bestehen in der Gestaltung der Projektlandschaft und in der icherstellung der Zielerreichung. Wird das Risikomanagement im Rahmen des Multi-Projektmanagements eingesetzt, ist der Multi-Projektausschuss für die dentifikation, Bewertung und Behandlung der Risiken zuständig, welche die Zielerreichung der gesamten Projektlandschaft beeinflussen. Projektmanagement Office Das Projektmanagement Office (PMO) stellt eine zentrale Dienstleistungseinheit dar. Zu den Aufgeben des PMO gehört unter anderem die Weiterentwicklung des Projektmanagements durch chulung der Mitarbeiter im Hinblick auf die relevanten Vorgehensweisen sowie die Durchführung von Projektreviews. m Rahmen des Risikomanagements übernimmt das PMO koordinierende (z.b. Workshoporganisation) und administrative Tätigkeiten. Programmausschuss Der Programmausschuss verantwortet die übergreifende teuerung aller Projekte, die durch ein Programm gebündelt werden. m Rahmen des Risikomanagements hat der Ausschuss die für ihn wesentlichen Risiken zu identifizieren, zu bewerten und zu behandeln. Projekt Die operativen Aufgaben werden innerhalb der einzelnen Projekte durchgeführt. Hinsichtlich ihrer projektspezifischen Organisationsform können die einzelnen Vorhaben mittels einer Einfluss-, Matrix- oder reinen Projektorganisation durchgeführt werden (vgl. [PM00],. 19 ff.; [Rev84],. 60 ff.; [chi01],. 64). Projektleiter Geführt werden die Projekte durch einen Projektleiter, der zu seiner Unterstützung Teilprojektleiter einsetzen kann. m Risikomanagement hat der Projektleiter die wichtige Aufgabe, die Risiken seines Projekts zu bearbeiten oder gegebenenfalls zu eskalieren. Projektmitarbeiter Als Projektmitarbeiter werden die Personen betrachtet, die ein Projekt operativ umsetzen. Dies umfasst auch zeitweise eingebundene pezialisten aus der Linienorganisation und unternehmensexterne Partner. Da die Projektmitarbeiter aufgrund ihrer Fachkenntnisse projektbezogene Risiken frühzeitig erkennen können, sind sie durch die Bereitstellung adäquater Kommunikations- und Eskalationswege in besonderem Maße am Risikomanagement zu beteiligen.