01 / Einfach erklärt
Was ist Risikomanagement im Projekt?
Kein Projekt verläuft vollständig nach Plan. Anforderungen ändern sich, wichtige Ressourcen fallen aus, Liefertermine verschieben sich oder notwendige Freigaben bleiben aus.
Nicht jedes dieser Ereignisse muss eintreten. Aber viele lassen sich frühzeitig als mögliche Risiken erkennen.
Risikomanagement bezeichnet den systematischen Umgang mit Unsicherheiten, die sich auf die Ziele eines Projekts auswirken können. Dazu gehört, mögliche Risiken zu identifizieren, ihre Wahrscheinlichkeit und Auswirkungen einzuschätzen, geeignete Maßnahmen festzulegen und ihre Entwicklung regelmäßig zu überprüfen.
Ein Risiko ist dabei noch kein eingetretenes Problem.
- Risiko: Ein Ereignis könnte eintreten und das Projekt beeinflussen.
- Issue (Problem): Das Ereignis ist bereits eingetreten und muss konkret bearbeitet werden.
Ein Beispiel:
„Ein wichtiger Dienstleister könnte seine Lieferung nicht rechtzeitig abschließen.“ Das ist ein Risiko.
„Der Dienstleister hat den zugesagten Liefertermin nicht eingehalten.“ Das ist ein eingetretenes Problem.
Diese Unterscheidung ist wesentlich. Denn während wir auf ein bestehendes Problem reagieren müssen, können wir bei einem Risiko noch vorbeugend handeln.
Risikomanagement kann übrigens auch Chancen berücksichtigen. In diesem Beitrag konzentrieren wir uns bewusst auf mögliche negative Auswirkungen, wie sie in vielen IT-Projekten besonders häufig betrachtet werden.
02 / Warum ist das wichtig?
Wenn aus einem kleinen Risiko ein großes Problem wird
Stellen wir uns ein Projekt vor, das auf den ersten Blick gut läuft.
Die Aufgaben sind geplant, das Team arbeitet an den vereinbarten Ergebnissen und der nächste Meilenstein scheint erreichbar.
Im Projektstatus steht Grün.
Allerdings sind mehrere Mitarbeitende nur eingeschränkt verfügbar. Ein externer Dienstleister hat seine Lieferung noch nicht verbindlich bestätigt. Und für den nächsten Projektabschnitt wird eine organisatorische Freigabe benötigt.
Jeder dieser Punkte kann den Projektverlauf beeinflussen.
Solange niemand diese Risiken aktiv bewertet und nachverfolgt, entsteht leicht ein falsches Gefühl von Sicherheit.
Erst kurz vor dem geplanten Termin stellt sich dann heraus, dass notwendige Voraussetzungen fehlen.
Das Projekt gerät unter Zeitdruck. Maßnahmen müssen kurzfristig organisiert werden. Ressourcen werden umgeplant und Entscheidungen unter erheblichem Druck getroffen.
Dabei hätte sich manches bereits Wochen vorher erkennen lassen.
Risikomanagement verhindert nicht automatisch, dass Probleme entstehen. Aber es verschafft einem Projektteam Zeit und Handlungsoptionen.
Und genau darin liegt sein Wert.
03 / Praxisbeispiel: IT-Rollout
Der Rollout ist geplant. Aber sind wir wirklich bereit?
Betrachten wir ein fiktives IT-Projekt.
Ein Unternehmen möchte eine neue Anwendung an mehreren Standorten einführen. Das Projektteam hat die technische Lösung vorbereitet, die Anwendung getestet und einen standortübergreifenden Rolloutplan erstellt.
Die ersten Einführungstermine stehen fest.
Allerdings bestehen noch einige Unsicherheiten.
Risiko 1: Organisatorische Freigaben
Für den Rollout wird eine Freigabe durch mehrere Beteiligte benötigt. Sollte diese nicht rechtzeitig vorliegen, könnte sich der Einführungstermin verschieben.
Risiko 2: Verfügbarkeit der lokalen Ansprechpartner
An den Standorten werden Mitarbeitende benötigt, die die Einführung unterstützen. Es besteht das Risiko, dass diese aufgrund des laufenden Betriebs nicht ausreichend verfügbar sind.
Risiko 3: Technische Voraussetzungen
Nicht alle Geräte oder Benutzerkonten wurden bereits abschließend geprüft. Mögliche Probleme könnten erst während der Einführung auffallen.
Die technische Projektplanung allein reicht deshalb nicht aus, um den erfolgreichen Rollout sicherzustellen.
Das Projektteam muss bewerten, wie wahrscheinlich diese Ereignisse sind, welche Folgen sie hätten und was sich vorbeugend unternehmen lässt.
Beispielsweise könnte das Team Freigabetermine verbindlich abstimmen, lokale Ansprechpartner frühzeitig bestätigen lassen und technische Voraussetzungen vor jedem Standorttermin anhand einer Checkliste überprüfen.
Entscheidend ist: Die Maßnahmen beginnen, bevor das Risiko eintritt.
Das ist gelebtes Risikomanagement.
04 / So setzt du es um
Schritt 1: Risiken frühzeitig identifizieren
Die erste Frage lautet: Was könnte unser Projekt daran hindern, seine Ziele zu erreichen?
Dabei lohnt es sich, über die rein technische Umsetzung hinauszuschauen.
Risiken können beispielsweise aus Abhängigkeiten, fehlenden Ressourcen, organisatorischen Entscheidungen, unklaren Anforderungen oder externen Lieferungen entstehen.
Besonders hilfreich ist der Austausch mit dem Projektteam und den beteiligten Fachbereichen. Unterschiedliche Perspektiven decken häufig Risiken auf, die in der zentralen Projektplanung nicht sichtbar sind.
Formuliere jedes Risiko möglichst konkret.
Statt „Probleme mit dem Dienstleister“ besser:
„Wenn die Geräte nicht bis zum vereinbarten Termin geliefert werden, kann der geplante Standort-Rollout nicht vollständig stattfinden.“
Eine hilfreiche Struktur lautet:
Wenn [mögliches Ereignis], dann [Auswirkung auf das Projekt].
Schritt 2: Wahrscheinlichkeit und Auswirkungen bewerten
Nicht jedes Risiko verdient dieselbe Aufmerksamkeit.
Für den Einstieg genügt ein einfaches Bewertungsmodell mit drei Stufen:
| Stufe | Wahrscheinlichkeit | Auswirkung |
|---|---|---|
| 1 – Gering | Eher unwahrscheinlich | Geringe Beeinträchtigung |
| 2 – Mittel | Möglich | Spürbare Auswirkungen |
| 3 – Hoch | Wahrscheinlich | Erhebliche Auswirkungen auf Projektziele |
Der Risikowert ergibt sich aus:
Risikowert = Wahrscheinlichkeit × Auswirkung
Für die Priorisierung verwenden wir folgende Einteilung:
- 1–2, Grün: Niedrige Priorität
- 3–4, Gelb: Mittlere Priorität
- 6–9, Rot: Hohe Priorität
Die Risikomatrix stellt Wahrscheinlichkeit und Auswirkungen auf zwei Achsen dar. Jedes Risiko erhält darin eine Position und eine entsprechende Farbe.
Das hilft besonders bei Projektstatusmeetings: Statt eine lange Tabelle durchzugehen, lässt sich schnell erkennen, welche Risiken besondere Aufmerksamkeit verdienen.
Wichtig: Diese Einteilung ist eine einfache Entscheidungshilfe, keine objektive mathematische Prognose. Ein seltenes Ereignis mit existenzbedrohenden Auswirkungen kann auch dann besondere Maßnahmen erfordern, wenn sein berechneter Wert nicht im roten Bereich liegt.
| A ↓ / W → | 1 | 2 | 3 |
|---|---|---|---|
| 3 | 3 · Mittel | 6 · Hoch | 9 · Hoch |
| 2 | 2 · Niedrig | 4 · Mittel | 6 · Hoch |
| 1 | 1 · Niedrig | 2 · Niedrig | 3 · Mittel |
Schritt 3: Gegenmaßnahmen und Restrisiko festlegen
Ein Risikoregister sollte nicht bei der Beschreibung und Bewertung enden.
Für relevante Risiken braucht es konkrete Maßnahmen.
Im Rollout-Beispiel könnte das bedeuten, organisatorische Freigaben frühzeitig einzuplanen, lokale Ressourcen bestätigen zu lassen oder technische Voraussetzungen durch zusätzliche Vorabtests abzusichern.
Dabei lassen sich verschiedene Strategien unterscheiden: ein Risiko vermeiden, seine Wahrscheinlichkeit oder Auswirkungen reduzieren, bestimmte Folgen übertragen oder es bewusst akzeptieren.
Entscheidend ist die Unterscheidung zwischen ursprünglichem Risiko und Restrisiko.
Angenommen, die Wahrscheinlichkeit einer verspäteten Freigabe wird zunächst mit 2 und die Auswirkung mit 3 bewertet. Der ursprüngliche Risikowert beträgt damit 6.
Durch einen verbindlichen Freigabeplan, frühe Entscheidungsvorlagen und regelmäßige Abstimmungen könnte die Eintrittswahrscheinlichkeit nach erneuter Einschätzung auf 1 sinken.
Das verbleibende Restrisiko hätte dann den Wert 3.
Diese Neubewertung darf allerdings nicht automatisch erfolgen, nur weil eine Maßnahme geplant wurde. Sie muss nachvollziehbar begründet sein – idealerweise nachdem ihre Wirksamkeit überprüft wurde.
So wird sichtbar, ob unsere Maßnahmen tatsächlich etwas bewirken.
Schritt 4: Verantwortlichkeiten klären
Jedes relevante Risiko benötigt einen Risk Owner.
Diese Person ist dafür verantwortlich, dass das Risiko beobachtet, seine Bewertung überprüft und die vereinbarten Maßnahmen nachverfolgt werden.
Der Risk Owner muss nicht alle Maßnahmen selbst durchführen.
Eine technische Prüfung kann beispielsweise durch das IT-Team erfolgen, während die Projektleitung das übergreifende Terminrisiko verantwortet.
Ohne eindeutige Verantwortung bleibt auch das beste Risikoregister eine bloße Tabelle.
Schritt 5: Risiken regelmäßig überprüfen
Projekte verändern sich. Deshalb darf die Risikobewertung nicht statisch bleiben.
Ein Risiko, das heute als gering eingestuft wird, kann zwei Wochen später kritisch sein. Andere Risiken verlieren an Bedeutung oder entfallen vollständig.
Für viele Projekte reicht ein kurzer Risikoreview im wöchentlichen Projektstatusmeeting.
Dabei helfen vier Fragen:
- Hat sich die Eintrittswahrscheinlichkeit oder Auswirkung verändert?
- Sind vereinbarte Gegenmaßnahmen umgesetzt und wirksam?
- Gibt es neue Risiken?
- Ist ein Risiko bereits eingetreten und muss als Issue behandelt werden?
Ein Risiko sollte erst dann geschlossen werden, wenn der Grund dafür nachvollziehbar ist – beispielsweise weil das Ereignis nicht mehr eintreten kann oder die Gefährdung nicht mehr besteht.
Schritt 6: Kritische Risiken rechtzeitig kommunizieren
Nicht jedes Risiko muss dem Lenkungskreis gemeldet werden.
Wenn jedoch wesentliche Projektziele, Budgets oder Meilensteine gefährdet sind und das Projektteam die notwendigen Maßnahmen nicht selbst entscheiden kann, muss rechtzeitig eskaliert werden.
Dabei helfen klare Informationen:
Was könnte passieren? Wie wahrscheinlich ist es? Welche Folgen erwarten wir? Welche Maßnahme empfehlen wir? Welche Entscheidung benötigen wir?
Hier überschneiden sich Risiko- und Entscheidungsmanagement.
Ein transparentes Risikoregister zeigt mögliche Gefahren auf. Ein strukturiertes Entscheidungsmanagement hilft, erforderliche Gegenmaßnahmen verbindlich zu beschließen.
05 / Werkzeuge & eigene Erfahrungen
Ein Risikoregister muss nicht kompliziert sein
In vielen Projekten genügt eine einfache, regelmäßig gepflegte Übersicht.
| ID | Risiko | W | A | Wert | Owner | Gegenmaßnahme |
|---|---|---|---|---|---|---|
| R-001 | Rollout-Freigabe könnte verspätet erfolgen | 2 | 3 | 6 | Projektleitung | Freigabeplan abstimmen |
| R-002 | Lokale Ansprechpartner könnten fehlen | 2 | 2 | 4 | Standortkoordination | Ressourcen bestätigen |
| R-003 | Geräte könnten nicht einsatzbereit sein | 1 | 3 | 3 | Technische Teilprojektleitung | Vorabcheck durchführen |
Fiktive Beispieldaten. W = Wahrscheinlichkeit, A = Auswirkung.
In der vollständigen Vorlage kommen Status, Reviewtermin und weitere Angaben zur Nachverfolgung hinzu.
Zusätzlich zur Tabelle hilft eine einfache grafische Darstellung. In einer 3×3-Risikomatrix werden die Risiken entsprechend ihrer Bewertung positioniert und farblich markiert.
In der Excel-Vorlage werden mehrere Risiken mit derselben aktuellen Bewertung gemeinsam in einer Bubble dargestellt. Die Zahl zeigt ihre Anzahl; die zugehörigen Risiko-IDs bleiben in der separaten Zuordnung sichtbar.
So lässt sich auf einen Blick erkennen, ob sich Risiken eher im niedrigen, mittleren oder hohen Bereich konzentrieren.
Allerdings ersetzt auch das Diagramm nicht die fachliche Diskussion. Zwei Risiken mit demselben Wert können unterschiedliche Ursachen, Konsequenzen und geeignete Gegenmaßnahmen haben.
Ein Risikoregister ist kein Selbstzweck. Es soll Entscheidungen unterstützen und konkrete Maßnahmen auslösen.
Wie ich Risikomanagement selbst anwende
Auch beim Aufbau meiner persönlichen Website habe ich mich mit Risiken beschäftigt, die im ersten Moment nicht besonders auffällig waren.
Was passiert beispielsweise, wenn ein externer Dienst nicht erreichbar ist? Wie lässt sich die Website nach einem technischen Fehler wiederherstellen? Und wie schütze ich die Zugänge, über die meine Website betrieben wird?
Anstatt erst im Ernstfall Antworten auf diese Fragen zu suchen, habe ich begonnen, die Risiken strukturiert zu erfassen, zu bewerten und geeignete Gegenmaßnahmen umzusetzen.
Dazu gehören ein schlankes Risikoregister, eine Backup- und Recovery-Strategie sowie die Absicherung wichtiger Konten.
Nicht jede Maßnahme ist sofort abgeschlossen. Einige Risiken lassen sich nur reduzieren oder müssen zunächst weiter beobachtet werden.
Gerade daran zeigt sich für mich der praktische Nutzen: Risikomanagement bedeutet nicht, jedes Risiko vollständig auszuschließen. Es bedeutet, sich bewusst mit Unsicherheiten auseinanderzusetzen und vorbereitet zu sein.
Das gilt für eine persönliche Website ebenso wie für ein großes IT-Rollout-Projekt.
Take-away
Ein gutes Risikoregister verhindert nicht jedes Problem. Aber es macht aus Unsicherheit eine konkrete Handlungsoption.
Wer Risiken frühzeitig erkennt, bewertet und aktiv verfolgt, gewinnt Zeit für Entscheidungen und Maßnahmen – bevor aus einem möglichen Ereignis ein tatsächliches Problem wird.
Vorlage und Weiterlesen
Risikoregister – Excel und Confluence
Die begleitende Excel-Vorlage ermöglicht es, Risiken zu erfassen, automatisch zu bewerten und anhand einer farbigen Risikomatrix zu visualisieren.
Eine zusätzliche Confluence-Kopiervorlage bietet eine einfache Alternative für Teams, die ihre Projektdokumentation zentral pflegen.
Weiterführender Artikel: „Wenn Entscheidungen fehlen: So bleibt dein Projekt handlungsfähig“
Denn Risikomanagement und Entscheidungsmanagement gehören im Projektalltag häufig unmittelbar zusammen.