wird, kann man die Projektplanung mit dem Risikomanagement gleichsetzen, da Risikokontrolle und -überwachung praktisch nicht stattfinden. Da ein Projekt ein dynamischer Prozess ist, ist diese Situation jedoch ziemlich unrealistisch und wird im Folgenden nicht weiter berücksichtigt.
3.2. Risikokontrolle
Die Risikokontrolle (risk control) befasst sich mit der Entwicklung und Überprüfung der Durchführbarkeit von Kontrollmechanismen, die eingesetzt sind, um Risiken einzuschränken, oder in unvorhergesehenen Fällen eingesetzt werden könnten. Außerdem werden hier der risk management plan (RMP) und der risk aversion plan (RAP) erstellt sowie ein aktualisiertes RES (risk estimate of the situation), auf die hier nicht näher eingegangen werden soll. Diese Pläne dienen ebenfalls als Grundlage für den Entscheidungsprozess.
3.3. Risikoüberwachung
Der Begriff Risikoüberwachung wurde nicht aus der benutzten Fachliteratur übernommen, sondern wird an dieser Stelle als Übersetzung des Begriffs risk monitoring eingeführt.
Die Risikoüberwachung kommt zum Tragen, nachdem Entscheidungen über Risikostrategien und Taktiken gefallen sind. Es wird überprüft, ob die getroffenen Entscheidungen die geplanten Folgen nach sich ziehen. Außerdem werden Gelegenheiten aufgezeigt, an denen man noch steuernd oder verbessernd eingreifen kann.
Es werden Erfahrungswerte und Daten für zukünftige Entscheidungen gesammelt, um neue Risiken oder solche, die mit der gewählten Strategie nicht erfasst werden, oder solche, deren Natur sich im Laufe der Zeit geändert hat, zu kontrollieren. Hier kommt also erneut die Risikoanalyse zum Tragen, um neue Daten zu sammeln. Ziel der Risikoüberwachung ist also festzustellen, ob eine gewählte Strategie wirkungsvoll genug ist oder ob eine neue Entscheidung zu treffen ist.
3.4. Einige "Grundregeln" des Risikomanagements
Charette [4] nennt einige einfache und plakative "Grundregeln" für erfolgreiches Risikomanagement, die ich für interessant genug halte, um an dieser Stelle angeführt zu werden.
Eigentlich ein Grundsatz aus der Physik. Wenn bei der Bearbeitung von Risiken mehr neue Risiken entstehen als bearbeitet werden können, dann soll man es sein lassen und diese Risiken nicht akzeptieren. Man hat meistens die Möglichkeit zu warten, bis durch die Risikobewertung und Risikoverdichtung größere Sicherheit entstanden ist. Sind die Risiken kleiner oder gleich den abgeschätzten, so braucht man sich nur noch auf unbekannte oder nicht vorhersehbare Risiken zu konzentrieren, worunter nicht nur neue Risiken zu verstehen sind, sondern auch solche, die durch Verbindung oder Vermischung bekannter Risiken entstanden sind. Die Suche nach diesen Fehlerquellen sollte eine hohe Priorität haben.
"Es ergibt einen großen Haufen, wenn man zu einem bisschen ein wenig hinzufügt." (zitiert frei nach Ovid). Diese Weisheit entspricht etwa dem deutschen Sprichwort "Kleinvieh macht auch Mist" und gilt natürlich auch für das Risikomanagement.
Die Risikoanalyse kann die Wahrscheinlichkeit des Eintretens irgendeines ungünstigen Ereignisses bestimmen, aber nichts über einzelne Ereignisse aussagen. Das Ziel des Risikomanagements ist die Verbesserung der Erfolgswahrscheinlichkeit. Alle Projektaktivitäten sind Nebenerscheinungen dieser Zielsetzung. Risikomanagement existiert ja nicht um seiner selbst willen. Alle Mittel, um die Erfolgswahrscheinlichkeit zu steigern, sollten berücksichtigt werden.
Risikomanagement basiert auf dem, was durchgeführt werden kann, nicht auf dem, was man hofft durchführen zu können. Realismus ist eine Voraussetzung für ein erfolgreiches Risikomanagement. Der Weg zum Versagen eines Projekts ist voll von guten Absichten.
Wenn das Risikomanagement durch das Projektmanagement weder aktiv unterstützt noch die Notwendigkeit dafür eingesehen wird, hat es wenig Sinn, so zu tun, als ob man es durchführen würde. Das Risikomanagement verlangt Manager, die beharrlich und vorurteilsfrei Problemen direkt ins Auge sehen, anstatt ihnen auszuweichen oder vor ihnen wegzulaufen. Niemand mag Probleme, aber sie existieren und man muss professionell mit ihnen umgehen.
3.5. Vergleich von Risikomanagement und "normalem" Management
Oft stellt sich die Frage nach dem Unterschied zwischen dem, was bei "normalem" Projektmanagement, und dem, was bei Risikoanalyse und Risikomanagement passiert. In den meisten Fällen gibt es theoretisch keinen Unterschied. Risikoanalyse und Risikomanagement sind lediglich Mittel zum Zweck und müssen als solche mit anderen Instrumenten konkurrieren, die ebenfalls dazu dienen, die Projektziele zu erreichen. Charette [4] sieht jedoch zwei Bereiche, in denen sich Risikoanalyse und Risikomanagement vom "normalen" Management unterscheiden.
Der erste Unterschied liegt in ihrer Philosophie. Management wird gesteuert durch Möglichkeiten und Gelegenheiten, während Risiken die Handlungsfreiheit einschränken. Als Beispiel führt Charette [4] hier die Softwareentwicklungsstrategie der Japaner an, die lieber bestehende Systeme verfeinern und verbessern als das ganze System zu verändern oder etwas Neues herzustellen. Sie legen mehr Wert auf Zuverlässigkeit als auf Funktionalität. Gegenübergestellt wird das Verhalten der USA, wo mehr Wert auf Funktionalität gelegt wird, auch auf Kosten der Zuverlässigkeit und mit Inkaufnahme höherer Kosten. Man orientiert sich an den Anforderungen der Verbraucher und baut Komponenten neu, wenn diese benötigt werden. Das Risikomanagement wird also gesteuert durch die Risiken und durch die Möglichkeiten eingeschränkt.
Ein weiterer Unterschied liegt in der individuellen Praxis beider Ansätze. Das typische Management kann man als erfolgsorientiert bezeichnen. Es herrschen Einstellungen vor wie "es wird schon gutgehen", "mir kann nichts passieren" oder "bloß aufpassen, dass nichts durch meine Schuld schiefgeht". Niemand möchte zugeben, dass etwas schiefgehen könnte, oder gar dafür geradestehen müssen. Umso größer ist dann die Krise, wenn tatsächlich etwas schiefgeht. "Normales" Management könnte man daher als optimistisch oder gar als blauäugig bezeichnen.
Risikomanagement ist dagegen wesentlich realistischer orientiert. Der Erfolg beruht auf dem Vorhersehen von und dem Umgang mit Fehlern. Es wird vorgebeugt; Charette [4] spricht sogar von defensivem Management. Es werden Fragen gestellt wie
was kann schiefgehen?
wie verhindere ich, dass etwas schiefgeht?
wie hoch ist die Wahrscheinlichkeit, dass etwas schiefgeht?
welche Folgen hat es, wenn etwas schiefgeht?
wann und wie weiß ich, dass etwas schiefgegangen ist?
was tue ich, wenn etwas schiefgegangen ist?
Diese ein wenig pessimistische Einstellung mag paranoid erscheinen, aber man bedenke folgenden Merksatz:
Charette [4] macht die Unterschiede an einem weiteren anschaulichen Beispiel deutlich: Wenn man eine Yacht von einem Hafen zum anderen segeln möchte, so gibt es dazu mehrere Möglichkeiten: Einerseits kann man weit ins Meer hinaus segeln, wobei man zwar viel Zeit braucht, aber die Riffe, Felsen und Sandbänke an der Küste umgeht. Andererseits kann man aber auch nahe an der Küste segeln und dabei ständig Karten zu Rate ziehen, auf denen die Riffe, Felsen und Sandbänke eingezeichnet sind. Ebenso wie man nicht sagen kann, welcher Kurs in jeder Situation der Beste ist, gibt es auch immer mehrere Wege, um zu einer