Das Risikomanagement hat oft keine feste Position im Organigramm der Organisation. Der Wunsch nach Optimierung und nach einer lernenden Organisation ist zwar groß, doch die Installation des Risikomanagements als eigenständige Organisationseinheit, die eine effektive Begleitung der Risiken durchgängig gewährleistet, fehlt. Als eine Kernkompetenz sollte sie aber sichtbar sein in der Struktur der Organisation.

Wir kennen die Risikomanager als eigenständige Position aus Banken und Versicherungen. Bei technischen Projekten jedoch fällt diese Aufgabe meist dem klassischen Projektmanager zu. Aufgrund der Vielzahl anderer Aufgaben stößt ein Projektmanager aber oft an seine Grenzen, insbesondere bei wirklich großen Projekten. Und Risikomanagement macht niemand „mal eben so mit“. Die Überwachung und Steuerung von Risiken und das Einleiten von Gegenmaßnahmen ist für große Investitionsprojekte ein Fulltime-Job und nicht nebenbei zu leisten.

Anscheinend sind Unternehmen sehr zurückhaltend, wenn es darum geht in Risikomanagement-Systeme und in die erforderlichen Strukturen bzw. Ressourcen zu investieren. Ein Trugschluss, der teuer werden kann: die Folgekosten für nicht erfolgreich abgeschlossene Projekte – Qualität, Zeit, Budget – übersteigen die nicht getätigten Investitionen um ein Vielfaches. Nur bei  einer entsprechenden organisatorischen,  hierarchischen  und  auch strategischen  Einbettung  des  Risikomanagements  in  ein  Unternehmen  kann dieses auch voll handlungsfähig sein und für die Organisation Nutzen stiften.

Um Projektrisiken besser einschätzen und steuern zu können, muss man versuchen zu verstehen, was das Projektrisiko antreibt. Dazu sollte im ersten Schritt eine Form der Kommunikation zu diesem Thema etabliert werden, zum Beispiel Risk Management Workshops mit allen beteiligten Fachbereichen. „In der Praxis sehen wir ganz oft erhebliche Mängel, wenn es darum geht, das Thema Risiko und damit verbundene positive wie negative Erfahrungen  anzustoßen. Dabei könnte man daraus so unglaublich viel lernen, denn ein solcher Erfahrungsschatz ist ein ganz wertvolles Kapital. Hier lassen viele Unternehmen so große Chancen einfach liegen. In der Praxis spricht man von sogenannten Lessons Learned. Gemeint ist die Analyse vergangener Projekte und die Faktoren, die dazu führten, dass die Projektziele verfehlt wurden. Diese Faktoren werden zwar oft in einem Abschlussbericht ansatzweise dokumentiert, aber nicht konsequent für das nächste Projekt tiefgreifender untersucht und optimiert. Solch wertvollen Erfahrungen werden zu oft nicht archiviert, um später erneut darauf zurückzugreifen.

Hinzukommt, dass Fehler ganz oft lieber nur intern analysiert werden. Externe Stakeholder zum Beispiel werden nur sehr selten eingebunden. Dass sich Partner gegenseitig stärken und zur Weiterentwicklung verhelfen, ist leider die Ausnahme. Fehler werden allzu oft nicht sachlich analysiert, sondern zu emotional betrachten. Und spätestens dann, sind gewisse Bereiche nahezu tabu. Sich davon zu befreien, ist extrem wichtig. Der Fehler muss korrigiert werden, nicht die Person, die ihn begangen hat. Diese Grauzone muss aus der Welt geschafft werden, damit sich alle Beteiligten zu einer offenen, toleranten Fehlerkultur bekennen.

Spricht man von typischen Risiken für technische Projekte liegt der Fokus oft folgenden Aspekten:
•    kommerzielle Bedingungen
•    technische Anforderungen und deren Beherrschbarkeit
•    Faktor Zeit
•    Leistung- und Vertragsgestaltung der ausführenden Kontraktoren-Firmen
•    Politik- und Umweltrisiken oder Ereignisse die, auf höhere Gewalt zurückzuführen sind

Jede Organisation des Auftraggebers hat eine eigene DNA, die sich aus positiven Faktoren zusammensetzt, aber auch ihre Schwächen hat. Wenn es darum geht Risiken zu identifizieren, müssen unbedingt auch interne Schwächen kritisch analysiert werden. Ob ein kapitalintensives und komplexes technisches Projekt sein Ziel erreichen kann, hängt demnach auch von der Unternehmenskultur ab: Dabei geht es zum Beispiel um folgende Analysefaktoren:

•    Was ist unsere Kernkompetenz? Was können wir gut? Und was können wir nicht?
•    Haben wir die richtigen Leute?
•    Wie sehr wird Eigenständigkeit gefördert?
•    Wer darf entscheiden und wie konsequent wird entschieden?
•    Wie gut funktionieren unsere Schnittstellen?

Insbesondere der Faktor Mensch kann zum Risiko werden. Projekterfolg erreicht man nicht nur mit ausgereiften Prozessen, sondern vor allem mit kompetenten Menschen. Deshalb sollte gerade bei den erforderlichen Fähigkeiten für die zu besetzenden Stellen aus den eigenen Reihen, wie zum Beispiel dem Projektmanager und seinem Stab genau hingeschaut werden.

Es ist erstaunlich, wie viele Unternehmen strategische Projekte an Projektmanager delegieren, ohne dabei sicherzustellen, ob diese die erforderlichen Fähigkeiten dafür aufweisen. Viele Faktoren kennzeichnen einen guten Projektmanager, dazu gehören Teammanagement, Risikomanagement, Führungsqualitäten, Verhandlungsgeschick, Konfliktmanagement. Das sind grundlegende Bausteine für eine zielgerichtete Projektrealisierung. Ein Projektmanager muss also nicht nur ein guter Ingenieur sein, sondern über diesen Bereich hinausblicken können. Er ist der Kapitän, der den schweren Tanker sicher an das Ziel bringt, Unwetter sicher meistert und zu dem schließlich alle aufschauen. Aber nicht nur die Kultur und der Faktor Mensch sind entscheidend. Risikobehaftet sind auch die hauseigenen Systeme, Prozesse und vor allem die Projektorganisation mit ihren Fähigkeiten und Ressourcen. Hierbei gilt es, immer wieder zu analysieren und kritisch zu hinterfragen.

Zunächst muss ein erfolgreiches Risikomanagement zeitnah anfangen. Je länger der Betrachtungszeitraum von Risiken ist, desto mehr Spielraum gibt es für ein erfolgreiches Gegensteuern. Ansonsten ist es schwierig für Unternehmen rechtzeitig die richtigen Maßnahmen einzuleiten. 
Risiken betreffen alle innerhalb der Organisation. Risikomanagement scheitert oft an der Kommunikation. Der Risiko-Begriff ist negativ belegt, daher meiden wir solche Themen gern. Jedoch sollte ein offener Umgang damit in der Unternehmenskultur verankert werden. Mitarbeiter aus den unterschiedlichsten Fachbereichen sind im Umgang mit Risiken zu sensibilisieren und aktiv bei der Risikoidentifikation mit einzubeziehen. Oft haben die Mitarbeiter aus den operativen Reihen eine ganz andere Sichtweise auf mögliche Bedrohungen, sodass deren Erfahrungen ein wichtiger Beitrag sind.

Um Risiken zu identifizieren, haben sich kreative Techniken bewährt, da sie neue Sichtweisen unterstützen und Denkprozesse anregen. Mit der Delphi-Methode zum Beispiel, werden Experten unabhängig voneinander befragt. Auch kreative Brainstormings ohne Denkschranken, das heißt den Ideen freien Lauf zu lassen, können wichtige Perspektiven hervorbringen.

Es ist es elementar wichtig, die identifizierten Risiken aussagekräftig zu beschreiben und eindeutig nach Themenclustern zu klassifizieren. Eine selbsterklärende Beschreibung erleichtert die Kommunikation mit den Stakeholdern und die Planung der Gegenmaßnahmen. Die Beschreibung des identifizieren Risikos sollte so formuliert sein, dass sie auch von denjenigen Mitgliedern des Projektteams und von Stakeholdern inhaltlich klar verstanden wird, die bei der Risikoanalyse nicht anwesend waren.

Neben der eindeutigen Beschreibung des Risikos und dessen Auswirkung sind auch die Ursachen eindeutig zu beschreiben. Je konkreter die Auswirkung dargelegt und vor allem in Zahlen quantifiziert wird – Projekt, Dauer, Kosten – desto mehr Aufmerksamkeit wird bei dem Top Management geweckt, sich mit dem Risiko pro aktiv zu befassen. Auch wenn in der Praxis die Bewertung der Wahrscheinlichkeit des Auftretens und die Schwere in Form einer Matrix vorzunehmen ist, so ist es ratsam im ersten Schritt die Gedankenflut nicht zu stoppen, da dieser Prozess in der Arbeitsgruppe viel Zeit kostet. Erst nach Bestimmung der finalen Risiken, kann dies nachgeholt werden.  
Bei der Priorisierung und der Abarbeitung der Risiken besteht häufig die Gefahr, sich nicht in der Fülle von identifizierten Risiken zu verzetteln.

Zur Priorisierung kann der Grad der Beeinflussbarkeit herangezogen werden. Daher ist es oft sinnvoll, sich im ersten Schritt auf die internen Risiken zu konzentrieren, die direkt vom beteiligten Team beeinflusst werden können. Zweiter Punkt zur Priorisierung kann dann zum Beispiel die Schwierigkeit der Umsetzung sein. So lassen sich die vielen Risiken in eine sinnvolle, effektive Reihenfolge bringen, um sie dann abzuarbeiten. Auch fehlt oft eine klare Strategie, wie Risiken zu bewältigen sind. Sollen diese vermieden werden, abgeschwächt werden, an Dritte übertragen werden akzeptiert oder sogar einfach nur akzeptiert werden. Auch diese Punkte müssen mit einfließen. Am Ende ergibt sich eine Art Matrix, die nachfolgende Handlungen und Aktionen ablesbar macht.

Während des Projektverlaufs sollte durch alle Projektphasen hinweg ein Risikomanagementprozess kontinuierlich aufrechterhalten werden. Das heißt, die identifizierten Risiken und der Fortschritt der definierten Maßnahmen sind routinemäßig zu erfassen und zu bewerten. Dabei sind neue, zusätzliche Risiken weiterhin im Auge zu haben und entsprechend definierter Abläufe zu bewerten.