Risiko: 20 Prozent auf alles – außer Tiernahrung

Beim letzten Treffen der PMI Agile Community of Practice, Local Group Hamburg (XING-Gruppe) wurde das Risikomanagement in klassischen Projekten, agilen Projekten und Kanban-Systemen miteinander verglichen. Ein spannender und aufschlussreicher Abend mit vielen guten Gesprächen. Ein Thema hat mich anschließend weiter beschäftigt: die Frage, wie man die Eintrittswahrscheinlichkeit von Risiken abschätzt.

In PMI ordnet man jedes identifizierte Risiko in Abhängigkeit von der Eintrittswahrscheinlichkeit einer Risikoklasse zu. Ein einfache Klassifizierung sieht dann etwa wie folgt aus:

Durch Gegenüberstellung der Eintrittswahrscheinlichkeit und der erwarteten Schadenshöhe kann das Risiko bewertet werden. So weit, so gut.

Ich habe an diesem Abend in die Runde gefragt, wie man denn für ein konkretes Risiko die prozentuale Eintrittswahrscheinlichkeit beziffert. Die Antworten waren allesamt unbefriedigend, es fielen Begriffe wie „Bauchgefühl“ und „Erfahrung“. Hilfreich war der Hinweis, dass einige Projekte diese Eintrittswahrscheinlichkeit vom gesamten Team schätzen lassen und dann den Mittelwert bilden. Damit hat man jene Meinungsvielfalt erfasst, die auch in den agilen Schätzverfahren wie beispielsweise Magic Estimation genutzt wird, um möglichst realistische Schätzwerte zu erhalten.

Ich habe mir dann die Frage gestellt, welche Aussage ich zur Eintrittswahrscheinlichkeit eines Risikos treffen könnte, wenn man mich danach fragte. Gehe ich, wie in agilen Methoden üblich, empirisch vor, dann treffe ich meine Aussage auf der Basis konkreter Erfahrungen aus vergangenen Projekten. Anstatt also zu fragen „Wie hoch ist die Eintrittswahrscheinlichkeit für Risiko x?“, würde ich die Frage anders formulieren: „Wie oft hast Du in vergangenen Projekten erlebt, dass das Risiko x eingetreten ist?“ Diese viel konkretere Frage hat mehrere Vorteile:

• Sie objektiviert die Antwort; wenn ich einen Optimisten nach der Eintrittswahrscheinlichkeit frage, dann wird die Antwort anders ausfallen als bei einem notorischen Pessimisten. Die Frage nach konkreten Vorkommnissen werden beide – den selben Erfahrungswert vorausgesetzt – im Idealfall identisch beantworten.
• Bei der gedanklichen Suche nach konkreten Vorfällen beschäftigt man sich inhaltlich viel intensiver mit dem abzuschätzenden Risiko, als wenn man nur eine Prozentzahl zurückliefern muss. Das kann dazu führen, dass man eventuell neue Risiken entdeckt, die dann im Risikomanagement berücksichtigt werden.
• Sie ist ehrlich; hinter Prozentzahlen kann man sich leicht verstecken – beispielsweise um zu liefern, ohne den Sinn zu hinterfragen; oder weil man weiß, dass die Zahlen zwar gefragt, aber nicht genutzt werden. Bei der konkreten Frage kann man nur lügen, indem man eine falsche Anzahl erlebter Vorkommnisse nennt; meistens wird dann wohl eine Null gemeldet werden – was nicht so schlimm ist, wie wir gleich sehen werden.

Man kann gegen die konkrete Frage einige Einwände anbringen. Alle Kritikpunkte, die mir eingefallen sind, konnte ich aber selbst widerlegen:

Erster Einwand: Die Frage schränkt den Wertebereich der Vergleichsprojekte nicht ein. Damit gehen auch Projekte in die Bewertung ein, die sich fundamental von jenem Projekt unterscheiden, für das die Risikoabschätzung erstellt wird. Aber egal ob groß oder klein, mit einem oder vielen Teams, räumlich konzentriert oder weltweit verteilt, intern oder mit vielen Dienstleistern und unabhängig von der Branche: viele Risiken treten überall mit ähnlicher Wahrscheinlichkeit auf. Bei anderen Risiken, z.B. der Abhängigkeit von externen Partnern, die nicht wie geplant liefern, muss man die Ergebnisse der Umfrage anders interpretieren. Die Summe aller Antworten der Art „ich habe das noch nie in einem Projekt erlebt“ wird außer Acht gelassen, auch wenn man damit einige gut gelaufene Projekte dieser Kategorie ignoriert und somit das Risiko ein wenig überbewertet.

Antworten der Kategorie „Null“ sind ohnehin genauer zu betrachten. Häufen sich die „Nullen“ in den Antworten, dann bedeutet das (leider) nur selten, dass Sie einer risikoarmen Zukunft entgegensehen. Es kann auch daran liegen, dass die Befragten die Umfrage nicht ernst nehmen oder nur wenig Projekterfahrung mitbringen. Schon können Sie Ihrer Risikomatrix eine neue Zeile hinzufügen: „Das Projektteam ist unerfahren und benötigt viel Zeit zum Lernen und gegebenenfalls Unterstützung in Form von Training und Coaching“.

Sollten Sie das Glück haben, ihr Projekt mit einem über lange Zeit fast unverändert zusammenarbeitenden Team durchführen zu dürfen, dann dürfen Sie die Ergebnisse der Umfrage für bare Münze nehmen. Risiken, bei denen Ihr Bauchgefühl eine hohe Eintrittswahrscheinlichkeit meldet, die Vorfälle in der Vergangenheit jedoch sehr gering gewesen sind, sollten Sie niedrig bewerten. Der kollektiven Erfahrung räume ich in solchen Situationen mehr Gewicht ein als dem Bauchgrummeln eines einzelnen Entscheiders.

Machen Sie die Ergebnisse Ihrer Umfrage transparent, dann bekommt auch Ihr Team die Chance zu erkennen, welche Risiken alle im Auge behalten müssen. Das wird den Risikomanager des Teams hoffentlich freuen, da dessen Arbeit plötzlich implizit zur Aufgabe jedes Teammitglieds wird. Ich plädiere ohnehin für eine geteilte Verantwortung für Projektrisiken, denn viele Augen sehen bekanntlich mehr als die zwei des Risikomanagers. Und diejenigen, die in der Vergangenheit eingetretene Risiken erlebt haben, durften auch an der Behebung oder Verringerung des Risikos mitwirken. Diese Erfahrung soll auch im nächsten Projekt nicht ungenutzt bleiben.

Abschließend muss ich noch eine grundsätzliche Anmerkung zum Begriff „Risikomanagement“ loswerden: das Wort suggeriert, dass die Risiken lediglich verwaltet werden müssen, um ihrer Herr zu werden. Da gefällt mir das Motto aus Scrum-Projekten besser. Hier gilt: Hindernisse (Impediments) werden nicht verwaltet, sondern beseitigt. Wenn diese Grundhaltung in einem Projekt vorherrscht, dann muss man sich nicht mehr darüber Gedanken machen, ob die Eintrittswahrscheinlichkeit eines Risikos 29 oder 30 Prozent beträgt.