Risikomanagement

Was kann schiefgehen, bevor es schiefgeht?

In den meisten Organisationen funktioniert Risikomanagement nach demselben Muster: Erst passiert etwas, dann wird reagiert. Eine neue Freigabestufe, ein zusätzliches Vier-Augen-Prinzip, eine weitere Checkliste – Hauptsache, etwas wurde getan. Das Problem dabei: Reaktives Risikomanagement schützt vor dem letzten Vorfall, aber nicht vor dem nächsten. Systematisches Risikomanagement geht den umgekehrten Weg und beantwortet eine Frage, die zu selten gestellt wird: Was könnte hier schiefgehen und merken wir es rechtzeitig? Die Methode wirkt dabei auf zwei Ebenen. Im laufenden Prozess kartographiert sie die Ungewissheit rund um einen stabilen Ablauf, bewertet Risiken nach Eintrittswahrscheinlichkeit und Auswirkung und legt fest, wie mit erwartbaren Abweichungen umzugehen ist: präventiv, detektierend oder reaktiv. Im Prozessprojekt, also bei Einführung, Optimierung oder Migration von Prozessen, sichert sie ein befristetes Vorhaben gegen Termin-, Budget-, Ressourcen- und Akzeptanzrisiken ab. Der Unterschied ist wesentlich: Prozessrisiken bestehen dauerhaft fort, Projektrisiken enden mit dem Projekt. Aber ein gescheitertes Projekt hinterlässt oft genau die Prozessrisiken, die es beheben sollte.

Anwendung

Im Projekt:

• Ab der Initiierung: bei unklarem Scope, knappen Terminen, Abhängigkeit von Schlüsselpersonen, fehlender Ressourcenzusage oder absehbarem Widerstand der Betroffenen

Im Prozess:

• Sobald ein Ablauf fachlich fertig optimiert und stabil ist. Erst dann lohnt die Risikobetrachtung.
• Wenn ein Prozess kritisch ist (Notrufannahme ja, Bürobedarf eher nicht).
• Wenn nach einem Schadensfall reflexartig neue Mitzeichnungsschritte gefordert werden, statt die Ursache zu lösen.
• Wenn eine Kontrolle nur noch mit „das machen wir immer schon so" begründet wird.

Vorgehen

1. Ebene und Kontext klären. Geht es um das Projekt oder den späteren Regelbetrieb? Prozessart, Abhängigkeiten, Ressourcen, Regularien und IT-Abhängigkeit erfassen.
2. Risiken ermitteln. Im Projekt entlang Scope, Zeit, Budget, Stakeholder und Übergang in den Betrieb; im Prozess mit Checklisten getrennt nach Risiken für und im Prozess.
3. Bewerten. Jedes Risiko nach Eintrittswahrscheinlichkeit und Auswirkung einschätzen: qualitativ, aber mit präzise definierten Kategorien.
4. Priorisieren. Risiken in die Matrix eintragen und daraus den angemessenen Maßnahmenaufwand ableiten.
5. Gegenmaßnahmen planen. Immer alle drei Typen bedenken: präventiv (senkt Wahrscheinlichkeit), detektierend (verkürzt Zeit bis zur Entdeckung), reaktiv (begrenzt Schaden).
6. Übergabe sichern. Beim Projektabschluss offene Projektrisiken bewusst in das Risikoregister des Regelbetriebs überführen: sie verschwinden nicht von selbst.
7. Modellieren und messen. Wirkung über SMARTe Kennzahlen prüfen und im Betrieb per Stichprobe nachhalten.

Einschätzung aus dem Berateralltag

Die Methode zwingt zu einer Disziplin, die viele scheuen: im Projekt früh und unbequem auf das zu schauen, was kippen kann, im Betrieb erst zu optimieren und dann Risiken zu betrachten und nie alles auf Prävention zu setzen. Das typische Muster ist ein Überfluss an Mitzeichnungsschritten, deren zweites Augenpaar schon 90 % der Fehler abfängt, während jedes weitere kaum etwas bewirkt und nur Laufzeit treibt. Ihre Grenze ist die Datenlage: ohne Vorgangsdaten keine Detektion. Und die größte blinde Stelle entsteht am Projektende, wenn niemand die Verantwortung für die noch offenen Risiken in den Betrieb übernimmt. Die Methode liefert kein Sicherheitsversprechen, sondern eine ehrliche Landkarte für beide Ebenen.