Fast jedes strukturierte Projekt legt zu Beginn ein Risikoregister an. Die wenigsten schauen danach wieder hinein. Dieses Muster ist so verbreitet, dass es sich lohnt, nicht über bessere Methoden zu sprechen, sondern über den Grund für den Abbruch.
Der Grund ist meist, dass das Register zum falschen Zweck erstellt wurde. Es entstand, weil das Vorgehen es verlangt — nicht, weil jemand eine Frage damit beantworten wollte. Ein Dokument ohne Frage wird nicht gepflegt, unabhängig davon, wie gut es aufgebaut ist.
Ein Risiko ist kein Zustand
Der häufigste handwerkliche Fehler steckt in der Formulierung. „Unklare Anforderungen" ist kein Risiko, sondern eine Zustandsbeschreibung. Man kann sie nicht bewerten, weil unklar ist, was passieren soll, und man kann keine Massnahme daraus ableiten.
Ein brauchbarer Eintrag formuliert einen möglichen Eintritt mit Folge: „Wenn die Anforderungen bis zum Konzeptabschluss nicht abgenommen sind, verschiebt sich die Realisierung um mindestens vier Wochen." Diese Form lässt sich bewerten, sie benennt einen Zeitpunkt, und sie macht sichtbar, ob die Massnahme wirkt.
Die Bewertung ist weniger wichtig als die Konsistenz
Um Bewertungsskalen wird viel diskutiert. Ob drei oder fünf Stufen, ob Zahlen oder Farben — das ist zweitrangig. Entscheidend ist, dass alle Beteiligten gleich bewerten. Wenn eine Person alles als hoch einstuft und eine andere alles als mittel, ist die Priorisierung wertlos, egal wie fein die Skala ist.
Praktisch bewährt sich eine grobe Skala mit zwei bis drei Ankerbeispielen: Was gilt als hohe Auswirkung, woran erkennt man mittlere? Diese Beispiele einmal festzulegen kostet eine halbe Stunde und macht die Bewertung über Personen und Zeit hinweg vergleichbar.
Vier Umgangsarten, und eine wird verwechselt
Für jedes Risiko gibt es vier Wege: vermeiden, vermindern, übertragen, akzeptieren. Der vierte ist der am meisten missverstandene. Akzeptieren ist eine legitime, oft richtige Entscheidung — wenn der Aufwand der Massnahme die Auswirkung übersteigt, wäre alles andere unwirtschaftlich.
Der Unterschied zwischen Akzeptieren und Ignorieren liegt ausschliesslich in der Dokumentation. Ein akzeptiertes Risiko ist bewertet, benannt und mit einer bewussten Entscheidung versehen. Ein ignoriertes ist nicht aufgeschrieben. Wenn es eintritt, ist der Unterschied erheblich: Im ersten Fall war es eine Abwägung, im zweiten ein Versäumnis.
Die Risiken, die systematisch fehlen
Register enthalten überwiegend technische und terminliche Risiken, weil die am leichtesten zu benennen sind. Systematisch unterrepräsentiert sind drei andere Kategorien. Personelle Risiken: Was passiert, wenn die Person geht, die als einzige ein bestimmtes System versteht? Organisatorische: Was, wenn der Auftraggeber die Rolle wechselt und der Nachfolger andere Prioritäten hat? Und Abhängigkeiten von Dritten, auf deren Zeitplan das Projekt keinen Einfluss hat.
Diese drei sind unangenehm, weil ihre Massnahmen unbequem sind — Wissensverteilung kostet Zeit, und eine Abhängigkeit anzusprechen wirkt wie Misstrauen. Genau deshalb fehlen sie, und genau deshalb treffen sie Projekte häufiger als das technische Risiko, das jeder aufgeschrieben hat.
Risiko und Problem gehören getrennt
Ein Risiko kann eintreten, ein Problem ist eingetreten. Werden beide im selben Register geführt, verdrängen die Probleme die Risiken, weil sie dringend sind. Nach kurzer Zeit ist aus dem Risikoregister eine Pendenzenliste geworden — und die vorausschauende Funktion, für die es angelegt wurde, ist verloren.
Was ein Register lebendig hält
Zwei Dinge machen den Unterschied. Erstens ein fester, kurzer Prüftermin: fünfzehn Minuten, in denen drei Fragen beantwortet werden — ist das Risiko noch aktuell, wirkt die Massnahme, ist etwas Neues dazugekommen? Zweitens eine namentlich benannte Person je Eintrag. Ein Risiko, das dem Projekt gehört, gehört niemandem.
Und eine Grössenregel: Zehn ernsthaft gepflegte Einträge sind fünfzig abgelegten weit überlegen. Die Vollständigkeit eines Registers ist kein Qualitätsmerkmal — seine Wirkung ist eines.