Risk Management in agilen Projekten: Fluch oder Segen?
April 29, 2016
Aus dem CAS Digital Risk Management mit Dr. Alan Moran bloggt Daniel Berger:
Projektleiter zum Programmierer: “Wir brauchen für diese Programmänderung einen Plan, um in den Budgetverhandlungen den erhöhten Aufwand für unser Projekt begründen zu können.” Programmierer: “Für die Änderung brauche ich zehn Sekunden. … Fertig.” Projektleiter: “Jetzt brauchen wir nur noch den Plan.”
Liebe Leserinnen und Leser, dieser Witz hat in der heutigen, agilen Zeit ganz schön viel mit der Realität zu tun. Die Geschwindigkeit nimmt ständig zu, auch in Projekten. Die fast schon „veralteten“ Einweg-Projektphasenmodelle werden mehr oder weniger einmal durchlaufen. Im agilen Zeitalter geschieht das innerhalb der Phasen oft mehrmals. Man muss sich deshalb früher oder später die Frage stellen, welchen Einfluss die Agilität in Projekten auf das Risikomanagement hat. Natürlich werden weiterhin traditionelle Modelle benötigt, nämlich dort, wo Stabilität das Ziel ist (Infrastruktur, Organisationsprojekte).
Was ist Agilität? „Agile“ ist eine Methode, die iterative und inkrementelle Praktiken anwendet, welche mit Hilfe von Feedbackzyklen und flexiblen, eng zusammenarbeitenden Organisationsstrukturen einen Mechanismus erzeugen, um mit Veränderungen und Unsicherheiten umgehen zu können. Typischerweise gibt es in diesen Teams keine einzelnen Wissensträger mehr. Das soziale Verhalten der Teilnehmenden ist deshalb wichtig, weil Konflikte früher oder später auftauchen und diskutiert werden müssen. Geschichtlich gesehen kommt Agile aus der Industrie. Die IT hat diese Methode formalisiert und standardisiert.
Agile Prinzipien. Die neuen, agilen Methoden verändern einige Prinzipien in den Bereichen Produkte, Prozesse und Mitarbeitende. Ein Prinzip überlagert alle Bereiche: Agile Prozesse fördern die nachhaltige Entwicklung. Sponsoren, Entwickler und User sollten eine konstante Geschwindigkeit beibehalten können!
Traditionell vs. Agile. Klassische Projektmanagement-Methoden sind vor allem auf die vorhersehbare und genaue Planung sowie auf ein einmaliges Durchlaufen von Projektphasen fixiert. Hingegen bevorzugen agile Teams eine adaptive Planung, wiederkehrende Entwicklung und ein Team von Wissensgeneralisten, die den Entwicklungsprozess mit einer lernenden und unterstützenden Art fördern. Oft wird dafür die SCRUM-Methode verwendet.
Agilität im Entwicklungsprozess. Der agile Entwicklungsprozess hat etwas den Ruf, Risiken unkontrolliert in den Betrieb zu überführen. Das ist aber keine Folge des neuen Entwicklungsprozesses, sondern ist vielmehr auf die Risiken in den verschiedenen Phasen zurückzuführen, welche zum richtigen Zeitpunkt eruiert werden müssen. Risikoplanung beginnt somit nicht erst bei der Überführung in das Operations, sondern bereits beim Validieren des strategischen Portfolios. Quellen von agilen Risiken sind z.B. neue Anforderungen, Technologien, falsche Projektmethodologien, Lieferanten und Menschen. Menschen haben den grössten Einfluss auf die Qualität. Der Grat zwischen dem Zulassen von Innovation und dem Kontrollieren von Risiken ist sehr schmal. Wie viel Risiken die Teams tragen können, ist sehr unterschiedlich.
Die Frage, wie und wann Risiken oder Chancen adressiert werden, ist absolut zentral für das Fördern von Innovationen. Wie geht man nun mit diesen Risiken um?
- Entwickeln der richtigen Fähigkeiten (Generieren eines Mehrwerts für den Kunden bzw. die Kundin)
- Retrospektives Engagement mit Hilfe von heterogenen Teams und Kommunikationskanälen
- Kreieren von Prototypen
Wirkliches „options thinking“ ist die Entscheidung, wie man mit Risiken umgeht und diese so lange wie möglich zulässt. Letzteres braucht Mut und eine Risiko-offene Kultur. Unterstützt wird dies, in dem man das Testen von Optionen fördert und danach entscheidet, wie man mit dem Risiko umgeht. Ausreden wie “Wir haben im Projekt keine Zeit, Optionen zu testen” dürfen nicht gelten, das ist eine Frage der Planung! Jede Option muss den Wert steigern, ein Enddatum haben und die Kosten aufzeigen. Optionen sind so lange Optionen, bis sie akzeptiert werden, dann gelten sie!
Was bedeutet Agilität im Risk Management? Ein Team, das mit Risiken umgehen kann, fördert Innovationen. Ebenfalls werden so die Risiken auf das Team verteilt und nicht auf einzelne Personen. Das Identifizieren und Bündeln dieser Tätigkeiten kann z.B. beim Start jeder Iteration mit einem Risikoworkshop unterstützt werden. Ein agiles Vorgehen hat ein wenig die Tendenz, Risiken zu fördern, jedoch kann man dem gut entgegenwirken, indem die Risiken visualisiert werden. Eine von Risikoappetit geprägte Organisationskultur, die mit Rückschlägen und Verlusten umgehen kann, wird es einfacher haben, den agilen Entwicklungsprozess einzuführen.
Agile Risk Management. Agiles Risk Management basiert auf den Prinzipien von Transparenz, Balance und Fluss. Transparenz verfolgt das Ziel, Risiken visibel und zugänglich zu machen, damit die Kontrollierbarkeit gewährleistet wird. Risiken und Belohnung sollten daher im Gleichgewicht sein. Risiken dürfen auf keinen Fall den Fluss des kontinuierlichen Lieferns verhindern. Im nachfolgenden Modell von Moran werden die Projektphasen näher betrachtet.
Risiko-Identifizierung: Hier geht es darum, dass die Risiken identifiziert werden, am besten in der ersten Phase des Projekts. Risiken führen immer zu Unsicherheit, die einen positiven oder negativen Impact haben kann. Risiken, die von Anfang an bekannt sind, sollten nicht kontrolliert werden, da sie ja bereits bekannt sind – auch der Impact! Konkretes Beispiel: Ein physischer Server wird in die Cloud verschoben. Was sind die Risiken? Data Security, regulatorische Anforderungen, Verfügbarkeit … wobei letzteres kein Risiko, sondern ein Effekt ist. Es ist besser, zu fragen, was passieren kann und nicht, was die Risiken sind. Man sollte sich an den Unsicherheiten orientieren und nicht an den Risiken.
Risiko-Analyse & Priorisierung: Risiken müssen für die richtige Priorisierung analysiert werden, nur so können diejenigen Risiken eruiert werden, welche die grössten Gefahren oder Chancen beinhalten. Für jedes Risiko gibt es drei Dimensionen: Gefahren, Eintrittswahrscheinlichkeit und Chancen. Gefahren sollen verhindert/minimiert und Chancen bewahrt werden. Agile Projektteams tendieren dazu, Risiken frühzeitiger zu adressieren, dadurch entsteht eine wissensorientierte Teamkultur.
Risiko-Dokumentation: Wichtig ist, immer nur die Risiken zu dokumentieren, die auch relevant sind: Informationen wie ID, Titel, Beschreibung, Klassifizierung, Eintrittswahrscheinlichkeit, Impact, Score, Priorität, Messkriterien und schlussendlich das Resultat der Risikobeurteilung. Es gibt keinen Verantwortlichen für Risiken, das Team ist für die Risiken verantwortlich.
Risiko-Reduzierung: Es gibt drei Strategien, Risiken zu reduzieren. Erstens: Einen oder mehrere Tasks erstellen, die ein gleiches Risiko begleiten. Zweitens: Eine Taskliste aller Aktivitäten erstellen, um die Risiken zu minimieren. Drittens: Die Weiterführung planen, falls die Risiken nicht eliminiert werden können.
Risiko Reporting: Beim Risiko Reporting geht es vor allem darum, die Risk Burndown Rate zu veranschaulichen. Das muss nicht zwingend heissen, dass Risiken mit gewissen Aktivitäten minimiert oder eliminiert werden, es können auch neue Risiken entstehen, die immer wieder überwacht werden müssen. Das wäre dann die Aufgabe der Risiko-Überwachung.
Risiko-Präsentation: Die visualisierten Risiken sollten allen zugänglich sein, nur das schafft eine offene Kultur.
Fluch oder Segen? So oder so werden die traditionellen Projektmanagement-Modelle den neuen, agilen Merkmalen gegenübergestellt. Wenn Risiken nur vor der Überführung der Projekte in die nächste Phase überprüft werden, steigt der Aufwand und meistens ist es dann zu spät, um etwas unternehmen zu können – ausser man stoppt das Projekt. Der risikobasierte Ansatz legt den Fokus auf die Risiken, unabhängig von den Projektphasen. Wenn es gelingt, die Risiken projektübergreifend, phasenunabhängig, möglichst früh und zum richtigen Zeitpunkt zu identifizieren und zu reduzieren, dann bekommt man die Risiken in den Griff. Der Segen kommt dann, wenn im Unternehmen eine Risikokultur entsteht und der Risikoappetit nicht zur Sucht wird.
An dieser Stelle möchte ich Herrn Dr. Alan Moran nochmals für den interessanten Morgen danken!