Ein SaaS-Rollout geht in der Nacht zum Samstag live. Am Samstagmorgen können sich Kunden nicht mehr anmelden, das Support-Aufkommen schnellt in die Höhe und die Statusseite des Anbieters meldet einen Teilausfall. Der Auftraggeber fragt, warum das Risikomanagement dieses Problem nicht erkannt hat.
Bevor Sie das Risikoregister aktualisieren, müssen Sie eine schwierigere Frage beantworten: Gab es ein konkretes Risikosignal, auf das man hätte reagieren können, oder machen Sie sich die nachträgliche Erkenntnis zunutze, um Schuldzuweisungen vorzunehmen? Diese Lektion vermittelt einen Governance-konformen Ansatz, um erkennbare Signale von echten Überraschungen zu unterscheiden, die Ergebnisse zu klassifizieren und zu entscheiden, wo KI unterstützen kann – ohne die KI zur Entscheidungsträgerin zu machen.
Betrachten Sie den Vorfall zunächst als zeitlichen Ablauf und nicht als abgeschlossenes Ereignis. Analysieren Sie, welche Informationen zu diesem Zeitpunkt vorlagen, wer darüber verfügte und was ein besonnener Projektmanager damit hätte anfangen können.
Ein häufiger Fehler besteht darin, jedes negative Ergebnis als vorhersehbar einzustufen. Dies vermittelt zwar ein Gefühl von Verantwortlichkeit, verleitet Teams jedoch dazu, Risiken von geringer Bedeutung übermäßig zu dokumentieren und die wenigen wirklich wichtigen Signale zu übersehen.
Während eines Ausfalls vermischen sich oft vier verschiedene Arten von Aussagen; auch KI-Systeme vermischen diese, sofern keine festen Regeln durchgesetzt werden.
Ein Risiko ist ein ungewisses zukünftiges Ereignis, das bei Eintritt Auswirkungen auf die Zielerreichung hat. Beispiel: Ratenbegrenzungen (Rate Limits) des Authentifizierungsdienstes eines Anbieters bei Spitzenlast während des Startwochenendes.
Ein Problem (Issue) ist ein aktueller Sachverhalt, der bereits eingetreten ist. Beispiel: Benutzer erhalten beim Anmeldeversuch aktuell „500“-Fehlermeldungen.
Eine Annahme ist ein Punkt, der für die Planung als wahr vorausgesetzt wird, sich jedoch als falsch erweisen kann. Beispiel: Der Anbieter behält die aktuellen Kapazitätsniveaus über das gesamte Quartal bei.
Eine Abhängigkeit ist eine externe Leistung oder Bedingung, die für Ihr Projekt erforderlich ist. Beispiel: Der Anbieter schließt das geplante Wartungsfenster vor Ihrer Umstellung (Cutover) ab.
Frage zur Prognose: Welche Fehlklassifizierung führt während eines Ausfalls zur schwerwiegendsten Verzögerung bei der Eskalation?
Üben Sie nun die konsequente Anwendung dieser Kategorien, da Ihr Governance-Prozess auf einer einheitlichen Klassifizierung vor der Priorisierung basiert.
Es ist ein falscher Reflex, alles als Risiko zu erfassen, nur um sich Optionen offenzuhalten. Die Folge ist, dass sich niemand für echte Probleme verantwortlich fühlt und diese nicht gelöst werden, während Annahmen niemals validiert werden.
Wenn Ihr Risikomanagement einer Prüfung (Audit) standhalten soll, können Sie sich nicht auf eine informelle Liste in einem Chatverlauf verlassen. Sie benötigen Dokumentationen, die eine konsistente Denkweise und die Historie der Entscheidungsfindung belegen.
Eine Risikotaxonomie ist ein strukturiertes Kategoriensystem zur Gruppierung von Risiken, das ein konsistentes Berichtswesen über verschiedene Projekte hinweg gewährleistet. Sie verhindert Probleme, die entstehen, wenn ein Projektmanager von „Lieferantenrisiko“ spricht, ein anderer von „Zuverlässigkeit von Drittanbietern“, und niemand mehr Trends aggregieren kann.
Ein Risikoregister ist eine kontrollierte Liste identifizierter Risiken samt der zugehörigen Managementdaten. Governance-Vorgaben sehen hierfür meist spezifische Felder vor, wie etwa Risiko-ID, Risikobeschreibung, Ursache, Ereignis, Auswirkung, Eintrittswahrscheinlichkeit, Auswirkungsgrad, Risikoausmaß (Exposure), Risikoverantwortlicher, Reaktionsstrategie, Reaktionsmaßnahmen, Zieldatum, Status, Auslöser und Datum der letzten Überprüfung. Die Nachvollziehbarkeit (Audit Trail) ergibt sich daraus, dass dokumentiert wird, was wann geändert und wer die Änderung genehmigt hat.
Frage zur Einschätzung: Welches fehlende Feld im Register macht es am schwierigsten nachzuweisen, dass Sie das Risiko tatsächlich gemanagt und nicht nur erfasst haben?
Vergleichen Sie, was eine informelle Liste nicht belegen kann, im Gegensatz zu einem formal geführten Risikoregister.