Abb. 1: Übersicht Risikomanagement-Prozesse (vgl. Kutsch/Hall, 2009) Risikoorientiertes Projektcontrolling Peter Rötzel ........................................................ 1. Relevanz des Risikoaspektes für das Projektcontrolling ........................................................ Das Projektcontrolling ist fester Bestandteil eines erfolgreichen Projektmanagements geworden (vgl. Schreckenender, 2010). Selbst bei kleineren Einzelprojekten, für die kein eigener Projektcontroller zur Verfügung steht, werden die mit dem Projektcontrolling verbunden Aufgaben oftmals vom Projektmanager selbst wahrgenommen. Dies zeigt, wie hoch die Bedeutung eines erfolgreichen Projektcontrollings für den Gesamterfolg des Projektes ist. Da in der Vergangenheit oftmals die Tendenz bestand und teilweise noch besteht, das Projektcontrolling auf die Finanzperspektive zu beschränken, wurden weitere Elemente in das Instrumentarium des Projektcontrollings aufgenommen. Eines der wichtigsten neuen Elemente ist das Controlling von Projektrisiken. In empirischen Studien wurde nachgewiesen, dass Projektmanager teilweise dazu neigen, Risiken kategorisch zu unterschätzen oder zu ignorieren (vgl. Kutsch/Hall, 2010). Darüber hinaus haben Projektmanager oftmals das Problem der Rechtfertigung von Vermeidungskosten für Projektrisiken und das Problem der Bestimmung der Kosten (vgl. Kutsch/Hall, 2009), so dass das systematische Controlling von Projektrisiken zunehmend an Bedeutung gewinnt. Hierbei erfüllt das Projektcontrolling neben der Sicherung der Ergebnis-, Finanz- und Strategietransparenz auch die Sicherung der Risikotransparenz (vgl. Schreckenender, 2010). ........................................................ 2. Risiken in Projekten ........................................................ Die Begriffe „Risiko“ und „Risikocontrolling“ sind in der Fachliteratur nicht eindeutig definiert (vgl. Kutsch/Hall, 2010). Im Lichte des Projektcontrollings liegt es nahe, einen finanz- und zielbezogenen Risikobegriff zu wählen, der Verlustgefahr abbildet, welche durch die Projektrisiken verursacht wird. Dabei sollten sowohl für die mit dem Projekt verbundenen Erträge als auch Vermögensrisiken berücksichtigt werden. Risikocontrolling ist ein Bestandteil des Risikomanagements. In Projekten ergänzt es dabei oftmals die Koordinierungsfunktion des Projektcontrollings um den Risikoaspekt, und zwar auf der einen Seite in der risikoorientierten Zielausrichtung und auf der anderen Seite in der Koordination des Planungs-, Informationsund Kontrollsystems für Projektrisiken (vgl.Wolke, 2008, S. 239). Projektrisiken können grundsätzlich von verschiedenen Risikoarten ausgehen (in Anlehnung an die Projektrisikoklassifizierung der IPMA, siehe grundlegend Schelle/Ottmann/Pfeiffer, 2008):  (Innere) Kaufmännische Risiken: Unter diese Risikoart fallen alle betrieblichen Risiken, wie Kalkulationsrisiken, Finanzierungsrisiken, Leistungsrisiken, Haftungsrisiken und Gewährleistungsrisiken. Beispiel: Der Auftraggeber gerät während des Projektes in Zahlungsschwierigkeiten und kann den vertraglich vereinbarten Zahlungsverpflichtungen nicht zeitgerecht nachkommen;  Technische Risiken,  Terminrisiken,  Ressourcenrisiken,  Politische Risiken. Zwischen diesen Risikoarten bestehen oft Abhängigkeiten. So kann es beispielsweise bei kurzfristig auftretenden technischen Problemen (=Technisches Risiko) durch die Kompensation mit einem teureren Material zu deutlichen Kostenüberschreitungen (=Kaufmännisches Risiko) kommen. Diese Risiken lassen sich mithilfe von quantitativen und qualitativen Verfahren im Sinne des risikoorientierten Projektcontrollings messen. Während das unternehmensweite Risikocontrolling eher auf diejenigen Risiken eingeht, die mit Unternehmenszielen verbunden sind, muss das risikoorientierte Projektcontrolling nur die kurz- und mittelfristigen Risiken des Projektes identifizieren, messen und steuern. 687CONTROLLING-COMPACT 22. Jahrgang 2010, Heft 12 Abb. 2: Risikomaße für das Projektcontrolling (in Anlehnung an Wolke, 2008) Im internationalen Vergleich zeigt sich, dass die Einteilung der Handhabung von Risiken in vier Schritte, die dem PDCA- Management-Kreislauf (Plan-Do-Check- Act) nachempfunden sind, in allen Systemen ähnlich verläuft. Eine Übersicht der Risikocontrolling-Ansätze wird in Abb. 1 dargestellt. Entweder wird die Rolle des risikoorientierten Projektcontrollings als jeden Prozessschritt begleitendes Instrument gesehen (PMI, OGC, APM) oder nur als abschließender Bestandteil des Prozesses (vgl.Wolke, 2008). Risikomaße und Kennzahlen für das Projektcontrolling Nach der Identifikation der Risiken (siehe weiterführend zur Risikoidentifikation: Brühwiler/Romeike, 2010; Wolke, 2008) können diese mithilfe von Kennzahlen gemessen und gesteuert werden. Grundsätzlich lassen sich quantitative und qualitative Risikomaße unterscheiden (siehe Abb. 2). Die quantitativen Risikomaße beruhen auf vorhandenen oder berechenbaren Datensätzen, wie Mengen oder Preisen. Hierbei wird zwischen einfachen, aufwandsarmen Risikomaßen (z. B. Maximalverlust) und komplexen Risikomaßen wie dem Operational Value at Risk (siehe weiterführend Cruz, 2005). Der Operational Value at Risk (OVaR) ist ein verlustorientiertes Risikomaß und eine Maßzahl für die Erfassung von Betriebsrisiken, die mit dem Projekt verbunden sind. Darüber hinaus können auch Szenario-Analysen für die Bestimmung quantitativer Risikomaße herangezogen werden (siehe weiterführend Brühwiler/Romeike, 2010). Liegen quantitative Daten nicht vor oder sind sie nicht aussagekräftig genug, kann auf qualitative Risikomaße zurückgegriffen werden. Qualitative Risikomaße haben allerdings den Nachteil, dass ihre Determinierung oft sehr aufwendig ist. Ein Beispiel für diese Art von Maßen sind Scoring-Modelle oder Evaluations-Modelle (siehe weiterführendWolke, 2008). Scoring-Modelle in Projekten sind aus den Bereichen der Finanzwirtschaft und des unternehmensweiten Risikomanagements entstanden. Sie sind Entscheidungsmodelle, bei denen projektbezogene Zielsetzungen gewichtet und in verschiedenen Kombinationen verglichen werden. Dazu werden skalierte Punktwerte verwendet. Ein Vorteil ist, dass man auf diese Weise auch nicht-monetäre Aspekte und Projektziele abbilden kann. In Projekten erweisen qualitative Risikoma- ße sich meist erst ab einer bestimmten Größe und Komplexität als nützlich, da ggf. sonst der Aufwand den Nutzen übersteigt. Die projektbezogenen Scoring- Modelle haben den Vorteil, sowohl quantitative als auch qualitative Einflussfaktoren von Risiken zu berücksichtigen und subjektiv vergleichbar zu machen. Doch gerade die Subjektivität stößt auf Kritik, da sie die Vergleichbarkeit einschränkt (vgl. Cruz, 2005). Analyse und Bewertung der Risikomaße in Projekten Nach der Messung der Risikomaße und ihrer Darstellung in Kennzahlen ist es zweckmäßig, die Kennzahlen in drei Kategorien einzuteilen, um daraus abgeleitet die Priorisierung für Follow-Ups im Projektmanagement abzuleiten. Da sowohl die identifizierten Risiken als auch die Projekte sehr heterogen sein können, sollten konkrete Grenzwerte unternehmens- oder sogar projektindividuell festgelegt werden. Dies sollte von der Projektleitung, dem Projektcontrolling und dem Lenkungsausschuss in der Unternehmensspitze gemeinsam gemacht werden (vgl. Schelle/Ottmann/Pfeiffer, 2008). Als Risikokategorien bieten sich drei Stufen an:  Kritische Projektrisiken (rot): Projektrisiken dieser Kategorie können zu einer ernsthaften und unmittelbaren Gefährdung des Projektes oder zu dessen vorzeitiger Beendigung führen;  Bedeutende Projektrisiken (gelb): Diese Kategorie beschreibt Projektrisiken, die zwar keine unmittelbaren Gefährdung des Projektes darstellen, aber wesentliche Ressourcen (z. B. personell, materiell, monetär) binden können oder mit höherer Priorität behandelt werden müssen;  Unwichtige Projektrisiken (grün): Solche Projektrisiken können ohne bedeutenden zusätzlichen Aufwand aus dem laufenden Projektbetrieb bewältigt werden. Einhergehend mit einer Analyse und Bewertung der Projektrisiken ist eine Stakeholder-orientierte Kommunikation ratsam, z. B. in Form von Projektrisiko-Reports oder Risiko-Workshops (siehe weiterführend Schelle/Ottmann/Pfeiffer, 2008;Wolke, 2008). Risikostrategien für das Projektcontrolling Im Anschluss an die Messung und Bewertung von Projektrisiken gilt es, geeignete Strategien für die Steuerung dieser Risiken festzulegen. Dieser Prozess erfordert eine intensive Koordination des Projektcontrollings mit der Projektleitung und den für das Projektrisiko wesentlichen Stakeholdern (vgl. APM, 2005). Grundsätzlich wird zwischen vier verschiedene Strategien für die Steuerung von Projektrisiken unterschieden (vgl. Schelle/Ottmann/Pfeiffer, 2008): 688 CONTROLLING-COMPACT CONTROLLING – ZEITSCHRIFT FÜR ERFOLGSORIENTIERTE UNTERNEHMENSSTEUERUNG Abb. 3: Projektrisikoportfolio  Akzeptanz: Nicht alle Projektrisiken müssen vermieden, vermindert oder verlagert werden. Bei Projektrisiken mit niedriger Eintrittswahrscheinlichkeit und niedrigem (monetären) Schaden für das Projekt kann eine sinnvolle Strategie die Akzeptanz dieser Projektrisiken sein. Dennoch ist es oftmals erforderlich, akzeptierte Projektrisiken weiterhin zu überwachen, um frühzeitig reagieren zu können, falls sie in Eintrittswahrscheinlichkeit oder potenzieller Schadenshöhe steigen.  Verminderung: Die Risikoverminderung zielt darauf ab, die Eintrittswahrscheinlichkeit des Projektrisikos oder den potenziellen Schaden zu reduzieren. Beispiele können hierbei die Substitution fixer durch variable Kosten oder die redundante Auslegung von Ressourcen sein.  Verlagerung: Die Risikoverlagerung begegnet Projektrisiken durch die Verlagerung des Risikos auf Dritte, z. B. Versicherungen oder externe Dienstleister (Outsourcing).  Vermeidung/Begrenzung: Die Risikovermeidung ist das stärkste Instrument im Controlling von Projektrisiken, da es in der ursprünglichen Form den Verzicht, z. B. auf eine mit dem Risiko verbundene Investition darstellt und sich stattdessen einer risikoärmeren Alternativinvestition zuwendet oder die Vermeidung eines Geschäftsabschlusses mit einem Lieferanten, da dieser eine schlechte Termintreue aufweist, die Qualität nicht den Erwartungen entspricht oder es vormals zu Ausfällen gekommen ist. Eine abgestufte Variante der Risikovermeidung ist die Risikobegrenzung, bei der das Risiko nur im reduzierten Maß eingegangen wird. Die einzelnen Risikostrategien sind abhängig von Eintrittswahrscheinlichkeit des Risikos und des unterstellten, meist monetär geschätzten, Schadens für das Projekt. Zur Visualisierung und Einordnung von Risiken ist es zweckmäßig, diese über ein Projektrisikoportfolio darzustellen (siehe Abb. 3). ........................................................ 3. Fazit ........................................................ Die Steuerung von Projektrisiken hat für das Projektcontrolling in der Vergangenheit immer mehr Bedeutung gewonnen. Dies ist zum einen durch einen intensiver werdenden Kostendruck in Projekten begründet, zum anderen ergibt sich aus dem stärker gewordenen Risikobewusstsein eine stärkere Nachfrage an Risikotransparenz (vgl. Kutsch/Hall, 2010). Dabei werden große Teile des unternehmensweiten Instrumentariums des Risikocontrollings auf das Projektcontrolling übertragen. Das Projektcontrolling kann darüber hinaus einen weiteren Beitrag zu einem erfolgreichen Projektmanagement leisten, indem es neben einer allgemeinen Projektrisikotransparenz auch die mit diesen Risiken verbundenen Kosten (Schadenskosten und Vermeidungskosten) bestimmt und damit in diesem Bereich eine Finanz- und Kostentransparenz ermöglicht. Die dargestellten Möglichkeiten im risikoorientierten Projektcontrolling bilden die Chance, durch Risikocontrolling in Projekten bislang Ineffizienzen zu verringern und so Wettbewerbsvorteile zu generieren. Das unternehmensweite Risikocontrolling ist bereits in vielen Unternehmen gängige Praxis, was die Grundlage dafür bildet, dass diese Entwicklung auch im Bereich von Risikocontrolling in Projekten immer mehr Akzeptanz und Anwendung findet. Literatur APM Association for Project Management, Project Management, London 2005. Brühwiler, B./Romeike, F., Praxisleitfaden Risikomanagement: ISO 31000 und ONR 49000 sicher anwenden, Berlin 2010. Cruz, M. G., Modeling, Measuring and Hedging Operational Risk, Chichester 2005. Junginger, M., Operational Value at Risk und Management von IT-Risiken, in: Das Wirtschaftsstudium, Bd. 32 (2003), 3, S. 356–364. Kutsch, E./Hall, M., Deliberate Ignorance in Project Risk Management, in: International Journal of Project Management, Vol. 28 (2010), S. 245–255. Kutsch, E./Hall, M., The Rational Choice of Not Applying Project Risk Management in Information Technology Projects, in: Project Management Journal, Vol. 40 (2009), S. 72– 81. OGV Office of Government Commerce, Management of Risk: Guidance for Practinioners, London 2007. PMI Project Management Institute, A Guide to the Project Management Body of Knowledge, Pennsylvania 2004. Schelle, H./Ottmann, R./Pfeiffer, A., Projektmanager, Nürnberg 2008. Schreckenender, B. C., Projektcontrolling, 3. Aufl., Freiburg 2010. Wolke, T., Risikomanagement, 2. Aufl., München 2008. Dr. Peter Rötzel ist wissenschaftlicher Assistent am Lehrstuhl Controlling der Universität Stuttgart. Des Weiteren ist er stellvertretender Abteilungsleiter Controlling im Luftwaffenamt in Köln und Senior Projekt Manager für Controlling- Projekte in der Luftwaffe. Risikoorientiertes Projektcontrolling 689 22. Jahrgang 2010, Heft 12