Dazu zunächst die Grundbegriffe, die vor der Durchführung einer Risikoanalyse bekannt sein sollten:

Risiko
Im Bereich des Projektmanagements fassen folgende Aussagen den Begriff des Risikos gut zusammen – so handelt es sich bei einem Risiko um:

• ein Ereignis mit negativen Auswirkungen
• ein mögliches Problem, das noch nicht eingetreten ist, aber eintreten könnte
• eine Unsicherheit, die sich auf die Ergebnisse negativ auswirken kann
• ein Eintreten von ungeplanten oder Nicht-Eintreten von geplanten Ereignissen
• eine potenzielle negative Abweichung
• ein Ereignis oder Umstand, der nicht sicher, sondern nur mit einer gewissen Wahrscheinlichkeit eintritt

Ursache
Ursachen sind bereits existierende Umstände oder definitiv eintretende Ereignisse. Über Ursachen herrscht keine Unsicherheit, da sie bereits zum aktuellen Zeitpunkt vorhanden sind oder es bereits klar ist, dass Ereignisse eintreten werden. Eine Ursache kann zum Eintritt von Risiken führen – muss sie aber nicht.

Auswirkung
Auswirkungen ergeben sich, wenn ein Risiko tatsächlich eintritt. Sie äußern sich in einer Abweichung von den Vorgaben bzw. Zielen und verursachen einen Schaden.

Häufige Fehler
In vielen Fällen werden Risiken mit bereits bestehenden und bekannten Problemen gleichgesetzt:

• Ressourcenmangel
• veraltete Infrastruktur
• Budgetknappheit
• Wechselhafte Witterungsbedingungen

Die genannten Punkte sind alle keine wirklichen Risiken, sondern eher Ursachen, die zum Eintritt von Risiken führen können.

Die 7 Schritte des Risikomanagements

1. Identifizieren möglicher Risiken

Zunächst werden Risiken gesammelt. Hierbei geht es darum, mögliche Gefährdungen und Bedrohungen der Tätigkeiten in der Prüfstelle oder Inspektionsstelle zu identifizieren.

Kernfragen:

• Was kann alles schiefgehen?
• Welche Gefahren lauern?
• Wo gab es früher schon einmal Probleme?

Dazu sollte zumindest jeder Prozess einzeln beleuchtet werden. Es kann auch notwendig sein einzelne Prüf- oder Inspektionsverfahren zu betrachten.

2. Risiken bewerten
Nach der Sammlung von Risiken kommt der zweite wichtige Schritt: Die Bewertung der Risiken. Sinn und Zweck dieser Bewertung ist die Identifikation der wirklich wichtigen Risiken. Nicht alle Risiken sind gleichermaßen gefährlich. In der Folge kommt es darauf an, sich auf die bedrohlichsten Risiken zu konzentrieren.

Kernfragen:

• Mit welcher Wahrscheinlichkeit tritt das Risiko ein?
• Welcher Schaden entsteht, wenn das Risiko eintritt?

3. Strategien entwickeln
Im Idealfall wird festgestellt, dass einige Risiken zwar vorhanden sind, aber weder sehr wahrscheinlich eintreten noch einen sonderlich großen Schaden anrichten. Mit diesen Risiken kann man anders umgehen, als mit wirklich bedrohlichen Gefahren. – Es heißt nun also, unterschiedliche Strategien für die einzelnen Risiken anzuwenden.

Kernfragen:

• Welche Risiken will ich vermeiden?
• Welche Risiken will ich reduzieren?
• Welche Risiken will ich abwälzen?
• Welche Risiken kann ich akzeptieren?

4. Maßnahmen definieren
Risiken, die nicht akzeptiert werden, sollten mit Maßnahmen belegt werden. Ziel: Vermeidung oder zumindest eine Reduzierung der Risiken.

Kernfragen:
Welche Maßnahmen kann ich einsetzen, um die Eintrittswahrscheinlichkeit des Risikos zu reduzieren?
Welche Maßnahmen kann ich einsetzen, um den Schaden zu reduzieren, falls das Risiko doch eintritt?

5. Maßnahmen umsetzen
Kurz und knapp: Wurden Maßnahmen definiert, so sollten sie auch umgesetzt werden. Dabei ist es sinnvoll, diese eindeutig zu definieren und gleich Verantwortung und Termin zu vergeben.

Kernfragen:

• Wie werden die Maßnahmen umgesetzt?
• Wer ist verantwortlich für die Umsetzung?
• Wann müssen die Maßnahmen umgesetzt werden?

6. Auswirkungen prüfen
In vielen Unternehmen hört das Risikomanagement an dieser Stelle auf (falls man überhaupt so weit gekommen ist). Aber nun kommt ein sehr wichtiger Teil: Die Wirksamkeit und Nachhaltigkeit prüfen.

Kernfragen:

• Wurden die definierten Maßnahmen umgesetzt?
• Waren die ergriffenen Maßnahmen erfolgreich?
• Konnten Risiken reduziert oder vermieden werden?

7. Risiken überwachen
Was passiert aber, wenn sich die Eintrittswahrscheinlichkeit eines zunächst geringen Risikos deutlich erhöht, man aber zuvor entschieden hat, das Risiko zu akzeptieren? – Ein regelmäßiger Blick auf die Risiken ist im Rahmen der Managementbewertung vorgesehen.

Kernfragen:

• Hat sich die Bewertung von Risiken geändert?
• Sind neue Risiken aufgetaucht?
• Müssen zusätzliche Maßnahmen gesetzt werden?
• Sind alle relevanten Risiken unter Kontrolle?

Fast fertig! Obwohl… nicht so ganz. Denn im Grunde ist das Risikomanagement ein Kreislauf – so richtig fertig ist es eigentlich nie.

Es können nicht alle Risiken vermieden werden. Allerdings können für bekannte Probleme frühzeitig Maßnahmen zum Gegensteuern ergriffen werden. Wenn diese zu einer geringeren Gefährdung beitragen, dann ist der Sinn definitiv gegeben.

Zusätzlich sind alternative Strategien für wirklich unvorhergesehene Risiken und Unsicherheiten notwendig.

Das Gegenstück zu Risiken: Chancen

Das ist doch mal ein schönes Thema! Wenn unvorhergesehene negative Ereignisse eintreten können, so gilt das ebenso gut für positive.

Denn wo Risiken sind, da gibt es auch Chancen. Auch Chancen sind unvorhergesehene Ereignisse, die nur mit einer gewissen Wahrscheinlichkeit eintreten. Im Gegensatz zu Risiken wirken sie sich allerdings positiv auf das Unternehmen aus. Chancen führen dazu, dass neben den eigentlichen Zielen zusätzliche positive Entwicklungen erreicht werden.

Was also ist zu tun, um richtig mit Chancen umzugehen?

1. Träumen und Fantasieren
Ja, wirklich! Oft sind wir Menschen so konditioniert, dass es uns viel leichter fällt, Gefahren und Probleme zu identifizieren. Doch welche positiven Entwicklungen könnte es geben? Wo könnten sich zusätzliche Möglichkeiten bieten? Was würde Mitarbeiter, Führungskräfte, Eigentümer in Begeisterungsstürme ausbrechen lassen?

Dieser Prozess des Bewusstmachens ist unglaublich wichtig. Wenn Chancen in den Köpfen sind, wird oft auch automatisch stärker auf ein Erreichen der Chancen hingearbeitet – wie in einer selbsterfüllenden Prophezeiung.

2. Analysiere Chancen
Ebenso wie bei den Risiken kann auch bei den Chancen gefragt werden:

• mit welcher Wahrscheinlichkeit die Chancen eintreten und
• welchen (monetären) Vorteil die Chancen bringen.

Die Beantwortung dieser Fragen hilft dabei, die wirklich spannenden Chancen von weniger wichtigen zu unterscheiden.

3. Kommunikation
Chancen motivieren! – Sie motivieren nicht nur sich selbst, sondern alle Beteiligten. Oft wird ausschließlich über Probleme geredet; wie wäre es zur Abwechslung mal mit der Kommunikation von unerwarteten positiven Ereignissen? Die Kommunikation von zusätzlichen Benefits kann Wunder wirken.

Manche Chancen ergeben sich von selbst. Andere muss man bewusst wahrnehmen.
Sobald die wichtigen Chancen identifiziert sind, kann man daran arbeiten, ihre Eintrittswahrscheinlichkeit zu erhöhen.

Hier gilt es, die richtige Balance zu finden zwischen:

• dem Ausnutzen von Chancen
• der Erreichung der eigentlichen ursprünglichen Projektziele und
• dem Aufwand, der zum Nutzen der Chancen nötig ist

Fazit

Risiko- und Chancenmanagement wird nicht nur von den Normen gefordert – neben der EN ISO/IEC 17020:2012 hat nun auch die EN ISO/IEC 17025:2017 explizit Anforderungen zur Berücksichtigung von Risiken und Chancen aufgenommen – sondern sie schafft auch einen echten Nutzen für Unternehmen und in weiterer Folge für ihre Auftraggeber. Im Fokus steht, wie so oft, geeignete Abläufe angepasst auf die eigene Unternehmensgröße und Tätigkeit festzulegen und einen proaktiven Umgang mit Risiken und Chancen zu schaffen.