Risk Management

IT-Projektmanagement

ISO 31000:2018

Die ISO 31000:2018 ist eine ISO-Norm, die sich mit Risikomanagement beschäftigt. Dabei legt die Norm Leitlinien fest, die den Umgang mit Risiken in einer Organisation beschreiben. In dieser Norm wird das Risikomanagement als wiederkehrender Prozess beschreiben, bestehend aus: Anwendungsbereich, Kontext und Kriterien Risikobeurteilung Risikoidentifizierung -> Erfassen in einer Risikoliste Risikoanalyse -> Was ist das Problem Risikobewertung -> Was ist die Auswirkung Risikobehandlung Risikoüberwachung Risikoberichterstattung

ISO31000:2018 Prozess

Berechnung von Risiken

Oft werden Risiken in Form eines Frankenbetrages ausgewiesen. Solche Berechnungen erfolgen meist nach dieser Formel:

• Risikobetrag = Wahrscheinlichkeit des Eintretens x Kostenfolgen bei Eintritt
  

Bei einem wahrscheinlichen Schadensfall von Fr. 100'000.- und einem wahrscheinlichen Eintreten von 80% ergibt dies somit ein Risikobetrag von:

• Fr. 80'000.- (80% x Fr. 100'000.-)

Risiko Behandlung

Sind die Risiken erkannt, analysiert und bewertet, kann eine entsprechende Behandlung geplant werden. Hierbei wird zwischen dem Initialrisiko und dem Restrisiko unterschieden.

Beispiel

• Ein Mitarbeiter hat erkannt, dass die bestehende Version der Buchhaltungssoftware keine XML-Daten verarbeiten kann.
• Ohne diese XML-Verarbeitung können keine Verrechnungen aus "bookwell" direkt in die FIBU übermittelt werden.
• Dies wird ein Problem bei der Inbetriebnahme von "bookwell" sein.

Entsprechend muss dieses Risiko behandelt werden.

Feld	Inhalt	Beispiel
Zusammenfassung	Kurzbeschreibung des Risikos	Keine automatische Datenübertragung zu Buchhaltung bei GoLive
Auswirkung bei Eintreffen	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Hoch
Wahrscheinlichkeit des Eintreffens	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Sehr Hoch
Behandlung des Risikos	Akzeptieren, Vermeiden, Vermindern, Transferieren	Vermindern
Beschreibung der Behandlung	Wie gehen wir das Risiko an…	Ein Upgrade der Buchhaltungssoftware wurde bestellt. -> Task 325
Restauswirkung	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Hoch
Restwahrscheinlichkeit	Keine, sehr tief, tief, mittel, hoch, sehr hoch	Sehr Tief
Notfallplan	Was machen wir wenn…	Daten müssen in CSV-Format exportiert und in Buchhaltung importiert werden
Risiko ist eingetreten	Ja, Nein	Nein

Das Resultat dieser Risikobehandlung sieht somit wie folgt aus:

• Initialrisiko: Sehr Hoch
  
• Restrisiko: Mittel

Nun muss der Auftraggeber entscheiden, ob er dieses Restrisiko so tragen will.

Risikomatrix

Die so behandelten Risiken können am Schluss in einer Risikomatrix eingetragen werden.