Risk Management

IT-Projektmanagement

ISO 31000:2018

Die ISO 31000:2018 ist eine ISO-Norm, die sich mit Risikomanagement beschäftigt. Dabei legt die Norm Leitlinien fest, die den Umgang mit Risiken in einer Organisation beschreiben. In dieser Norm wird das Risikomanagement als wiederkehrender Prozess beschreiben, bestehend aus: Anwendungsbereich, Kontext und Kriterien Risikobeurteilung Risikoidentifizierung -> Erfassen in einer Risikoliste Risikoanalyse -> Was ist das Problem Risikobewertung -> Was ist die Auswirkung Risikobehandlung Risikoüberwachung Risikoberichterstattung

ISO31000:2018 Prozess

Risiken Identifizieren

Um überhaupt eine Liste von Risiken zu erhalten, eignet sich ein Brainstorming ganz gut. Die so gefundenen Risiken können anschliessend im Team besprochen und analysiert, bewertet und behandelt werden. Um Risiken oder Ursachen zu erörtern gibt es verschiedene Methoden. Hier ein Beispiel:

Methode Fehlerbaumanalyse (Fault Tree Analysis), nach DIN 25424

Die Fehlerbaumanalyse baut auf der sogenannten negativen Logik auf. Das heißt, der Fehlerbaum beschreibt eine Ausfallsfunktion die bei dem Zustand logisch-1 einen Ausfall ausdrückt, bei logisch-0 liegt ein funktionsfähiges System vor. Hier werden die selben Symbole verwendet wie in der Digitalelektronik. Mit dieser Methode können kausale Zusammenhänge dargestellt werden.

Berechnung von Risiken

Oft werden Risiken in Form eines Frankenbetrages ausgewiesen. Solche Berechnungen erfolgen meist nach dieser Formel:

• Risikobetrag = Wahrscheinlichkeit des Eintretens x Kostenfolgen bei Eintritt
  

Bei einem wahrscheinlichen Schadensfall von Fr. 100'000.- und einem wahrscheinlichen Eintreten von 80% ergibt dies somit ein Risikobetrag von:

• Fr. 80'000.- (80% x Fr. 100'000.-)

Risiko Behandlung

Sind die Risiken erkannt, analysiert und bewertet, kann eine entsprechende Behandlung geplant werden. Hierbei wird zwischen dem Initialrisiko und dem Restrisiko unterschieden.

Beispiel

• Ein Mitarbeiter hat erkannt, dass die bestehende Version der Buchhaltungssoftware keine XML-Daten verarbeiten kann.
• Ohne diese XML-Verarbeitung können keine Verrechnungen aus "bookwell" direkt in die FIBU übermittelt werden.
• Dies wird ein Problem bei der Inbetriebnahme von "bookwell" sein.

Entsprechend muss dieses Risiko behandelt werden.

Feld	Inhalt	Beispiel
Zusammenfassung	Kurzbeschreibung des Risikos	Keine automatische Datenübertragung zu Buchhaltung bei GoLive
Auswirkung bei Eintreffen	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Hoch
Wahrscheinlichkeit des Eintreffens	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Sehr Hoch
Behandlung des Risikos	Akzeptieren, Vermeiden, Vermindern, Transferieren	Vermindern
Beschreibung der Behandlung	Wie gehen wir das Risiko an…	Ein Upgrade der Buchhaltungssoftware wurde bestellt. -> Task 325
Restauswirkung	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Hoch
Restwahrscheinlichkeit	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Sehr Tief
Notfallplan	Was machen wir wenn…	Daten müssen in CSV-Format exportiert und in Buchhaltung importiert werden
Risiko ist eingetreten	Ja, Nein	Nein

Das Resultat dieser Risikobehandlung sieht somit wie folgt aus:

• Initialrisiko: Sehr Hoch
  
• Restrisiko: Mittel

Nun muss der Auftraggeber entscheiden, ob er dieses Restrisiko so tragen will.

Risikomatrix

Die so behandelten Risiken können am Schluss in einer Risikomatrix eingetragen werden.

Methode des Grösstmöglichen Schadens

Es kann Situationen geben, in welchen gewisse Tasks oder Vorhaben so viele Risiken haben, dass es nicht mehr Zielführend ist, diese alle aufzuführen. In solchen Fällen eignet sich auch die Methoden des Grösstmöglichen Schadens.

• Hierbei wird beurteilt, welches der grösste mögliche Schaden ist, welcher mit dem entsprechenden Vorhaben verursacht werden kann.
• Anschliessend werden verschiedene Szenarien geklärt:
  • Welche Möglichkeiten gibt es, beim Eintreten des Risikos wieder zurück auf eine stabile Ausgangslage zu kommen
  • Welche flankierenden Massnahmen sind möglich um den Schaden zu reduzieren
  • Gibt es alternative Vorgehensweisen
• Wurden alle diese Punkte geklärt, entscheidet das Team ob es nun dieses Risiko eingehen will