Risikomanagement co-kreativ gedacht

„Könntest Du bei uns ein Training zu Risikomanagement geben?“

Diese Anfrage erreichte mich letztes Jahr aus heiterem Himmel, kurz danach noch einmal so ähnlich. Also wurde ich neugierig. Und irgendwie reizte es mich, einen Weg zu finden, um dieses vermeintlich staubtrockene Thema anders zu gestalten, als ich es in der Vergangenheit in vielen Projekten erlebt habe.

Und nach dem ersten Workshop kann ich sagen: Es hat sich gelohnt!

Und vielleicht ist genau jetzt der richtige Moment, um Risikomanagement neu zu denken – nicht als Pflichtprogramm mit verstaubten Listen, sondern als co-kreatives Format, das wirklich wirkt!

Denn, wie Walter Scheel schon sagte: „„Nichts geschieht ohne Risiko, aber ohne Risiko geschieht auch nichts.“

Warum Risikomanagement gerade jetzt eine Renaissance erlebt

Die Welt wird gefühlt jeden Tag noch ein bisschen ungewisser. VUKA, BANI, Polykrisen – suchen Sie sich ein Akronym aus. [1] Kein Wunder also, dass viele Menschen den Wunsch haben, die Dinge wieder unter Kontrolle zu bekommen: mit klaren Plänen, starken Helden und am liebsten mit einer Excel-Tabelle, die für jedes Risiko eine Antwort parat hat und Sicherheit ausstrahlt.

Parallel dazu scheint Agilität aktuell an Strahlkraft zu verlieren. Das ist auch durchaus verständlich, da viele Initiativen, die unter dem Deckmantel der Agilität liefen, in den letzten Jahren gescheitert sind. [2] Vielleicht auch, weil vermeintlich verstaubte Themen wie Risikomanagement auf die leichte Schulter genommen und nach dem Motto “Wir brauchen kein Risikomanagement, wir machen doch Sprints” abgetan wurden? Oder weil der Schwarmintelligenz zugleich nie ernsthaft vertraut wurde? Wie auch immer. Also zurück zum guten alten „Command and Control“!

Für Küchenpsychologen wie mich ist das alles durchaus nachvollziehbar. Und leider kontraproduktiv und gefährlich. Denn gerade in unsicheren und dynamischen Zeiten ist es maximal riskant, wenn Entscheidungen von Einzelpersonen getroffen werden – der berühmte „Single Point of Failure“.

Was meinen Sie: Vielleicht ist es an der Zeit, Risikomanagement wieder ernst zu nehmen, ohne Ashby’s Law komplett auszublenden?

„Nach Ashby muss ein System über mindestens genauso viele Handlungsoptionen verfügen, wie Störungen von einem zu steuernden System ausgehen können. Das System muss also mindestens genauso komplex sein, wie die Situation, die es zu bewältigen gilt. Praktisch erreichen Sie dies durch die Erhöhung der eigenen Handlungsoptionen, also bspw. durch mehr Leute und Wissen, bessere Informationsverarbeitung oder bessere Methoden.“ [3]

Klassisch trifft kollaborativ: Die Idee hinter co-kreativem Risikomanagement

Risikomanagement ist kein neues Thema. Aber wie oft erleben Sie es als lebendigen, hilfreichen Prozess?

Meine Erfahrung aus rund 12 Jahren in klassischen Projekten, bei denen Risikomanagement im Handbuch stand: Risikomanagement wurde häufig als Pflichtübung abgearbeitet: eine initiale Liste dem Projektantrag beilegen, vor dem Lenkungsausschuss kosmetisch updaten – wenn überhaupt.

Habe ich in diesem Rahmen eine aktive Auseinandersetzung mit Unsicherheiten im Projektteam erlebt? Haben die dokumentierten Risiken zu einer echten Verhaltensänderung während des Projektes geführt? Eher Fehlanzeige.

Und dann ist Risikomanagement nicht mehr als ein Feigenblatt. Oder sogar reinste Zeitverschwendung.

Und das geht auch anders! Man nehme bewährte Werkzeuge des klassischen Risikomanagements und nutze sie gemeinsam und immer wieder und fokussiert.

Also weg vom einsamen Projektleiter, der die Risikoliste im stillen Kämmerlein pflegt, hin zur aktiven Beschäftigung aller, die betroffen oder beteiligt sind. Interaktiv. Iterativ. Mit Raum für individuelle Perspektiven und Erfahrungen. Denn gemeinsam sieht man mehr, auch mehr Risiken.

Und – vielleicht noch wichtiger – alle Beteiligten werden durch die aktive Beschäftigung mit der Thematik für das Erkennen und Handhaben von Risiken während des Projektes sensibilisiert. Das Verhalten ändert sich. Die Risiken treten aus dem Schatten der Risikoliste in das Scheinwerferlicht, in die kollektive Aufmerksamkeit aller Beteiligten.

Und noch ein Aspekt, der oft zu kurz kommt: Natürlich wissen wir alle, dass Risiken und Chancen zwei Seiten derselben Medaille sind. Doch Hand aufs Herz: Wenn schon Risikomanagement häufig stiefmütterlich behandelt wird, dann das Chancenmanagement erst recht. Doch wenn die Forschung zu Effectuation nicht trügt, dann vergeben wir viel Potenzial, indem wir Chancen, die wir zum Vorteil nutzen könnten, gar nicht erst erkennen.

Doch nun zurück zum konkreten Anlass: Wie sieht so ein co-kreatives Risikomanagement konkret aus?

Der Workshop-Ansatz: Vom Sticky Note zum Plan B

Co-kreatives Risikomanagement folgt der Struktur des klassischen Risikomanagements und bindet dabei alle Beteiligten (mindestens das Projektteam, vielleicht sogar schon bekannte Stakeholder) von Anfang an interaktiv in den Prozess ein.

Ein initialer „Chancen & Risiken“-Workshop findet zu einem möglichst frühen Zeitpunkt statt und beginnt direkt mit dem ersten C aus dem Training from the Back of the Room-Framework: Connect. Denn bevor wir Risiken analysieren, sollten wir erstmal Verbindungen zum Thema, zu den eigenen Erfahrungen und zu den anderen Teilnehmenden schaffen.

Also bringen alle ihre Fragen, Erfahrungen und Vorurteile zum Thema Risikomanagement mit; diese werden gesammelt, geclustert und den vier zentralen Elementen des Risikomanagements zugeordnet:

1. Risiken identifizieren
2. Risiken analysieren
3. Maßnahmen ableiten
4. Laufendes Risiko-Controlling

An dieser Stelle gilt es, genau hinzuhören. Denn aus den Fragen und den Erfahrungen der Teilnehmenden lässt sich die Risikokultur in der Organisation (oder auch unterschiedliche Risikokulturen aus unterschiedlichen Bereichen der Organisation) heraushören. Dies transparent zu machen und unterschiedliche Haltungen (risikoscheu, risikotolerant, risikoaffin) und deren Auswirkungen besprechbar zu machen, ohne pauschal zu bewerten, ist eine wichtige Basis für funktionierendes Risikomanagement im Team.

Nachdem alle Fragen diskutiert und gute Praktiken und Erfahrungen miteinander geteilt wurden, folgen noch zwei kurze Denkanstöße:

„Wenn wir alles perfekt machen wollen, machen wir irgendwann gar nichts mehr.“

Die Lösung für dieses Dilemma kennt man aus dem Design Thinking und anderen Kreativtechniken: der Double Diamond! Auch bei Risiken denken wir zunächst breit und sammeln alle denkbaren Risiken. Und da das viel zu viele Risiken sind, als dass wir alle ernsthaft im Auge behalten, geschweige denn managen könnten, konzentrieren wir uns auf einige wenige, die sehr wahrscheinlich und/oder sehr schädlich wären. Diese Denkschritte wiederholen wir noch einmal für die Maßnahmen.

Der zweite Denkanstoß sensibilisiert dazu, im gesamten Prozess immer auch die zweite Seite der Medaille im Auge zu behalten: „Wenn wir nur auf Risiken starren, verpassen wir Chancen.“

Risiken identifizieren: Im Kopfstand und die Stakeholder im Blick

Gerade für den ersten Schritt, die Identifikation von Risiken, bietet es sich an, das Thema gemeinsam aus unterschiedlichen Perspektiven zu betrachten, um den Fokus möglichst breit zu stellen und möglichst viele potenzielle Risiken sichtbar zu machen. Dabei können die unterschiedlichen Techniken entweder durch parallele Kleingruppen oder von allen gemeinsam nacheinander bearbeitet werden.

Perspektive A: Stakeholderanalyse

Auf einer klassischen Matrix (Einfluss × Betroffenheit) werden alle möglichen Stakeholder zum Projekt eingeordnet und mit einer Einschätzung zur Haltung (positiv, neutral, negativ) zum Projekt versehen. Aus den unterschiedlichen Quadranten lassen sich schon erste Taktiken ableiten, wie während des Projektes mit den dort verorteten Stakeholdern umgegangen werden sollte. [4]

Denn Stakeholder sind oft die größten Risiken oder Chancen.

Perspektive B: Kopfstand-Methode

Mit der Frage „Was müssten wir tun, damit unser Projekt grandios scheitert?“ kommt eine lange Liste an Sabotageideen zusammen – von absurden Ideen bis hin zu beunruhigend realistischen Stolperfallen. Diese werden im paarweisen Vergleich in eine How-Now-Wow-Matrix einsortiert. Auch hier ergeben sich schon durch die Einsortierung in die Quadranten der Matrix erste Erkenntnisse, wie mit diesen Risiken (und Chancen) umgegangen werden sollte. [5]

Spielerische Methoden können ernsthafte Erkenntnisse fördern.

Natürlich gibt es noch weitere Ansätze, wie die Umfeld-Analyse, PESTLE-Analyse, SWOT-Analyse, Risk Breakdown Structure (top-down/bottom-up), Root-Cause-Analysis oder Impact Mapping, die in diesem Schritt hilfreich sein können und sich durchaus co-kreativ einsetzen lassen.

Darüber hinaus kann es durchaus Sinn ergeben, die co-kreativ entstandenen Ergebnisse noch durch eine klassische Recherche (in eigenen Projektdatenbanken oder in öffentlichen Quellen), durch gezieltes KI-Prompting oder Expertenbefragungen zu ergänzen.

Risiken analysieren, bewerten und priorisieren – mit Erkenntnisgewinn

Im nächsten Schritt geht es darum, den Fokus wieder einzuengen: Alle bisher identifizierten Risiken werden im paarweisen Vergleich gemeinsam in eine klassische Risikomatrix (Wahrscheinlichkeit × Schadenshöhe) einsortiert: „Welches Risiko ist gefährlicher? Welches wahrscheinlicher?“

Dabei ist es hilfreich, sich an Techniken wie Silent Sorting, Magic Estimation oder Team Estimation Game zu orientieren.

Das klingt mühsam, das Ergebnis ist aber durchaus erhellend und offenbart, wo die wirklich gravierendsten Gefahren für das Projekt lauern.

Doch bevor wir damit weitermachen, sollten wir das Ergebnis noch einmal kritisch hinterfragen: Reicht uns das so? Wie objektiv waren wir?

Die Antwort mag wiederum desillusionieren, es ist aber wichtig, sich hier nichts vorzumachen: Es gibt keine Garantie auf Vollständigkeit und erst recht nicht auf eine objektive Einschätzung!

Die Ergebnisse eines solchen co-kreativen Vorgehens sind besser als nichts und sehr wahrscheinlich besser, als wenn es eine Person allein erledigt hätte. Und vermutlich steht der Aufwand, die Ergebnisse weiter zu vervollständigen und objektiv zu bewerten, in keinem Verhältnis zum daraus resultierenden Mehrwert.

Nichtsdestotrotz lassen sich die Ergebnisse mit Expertenbefragungen oder einer kleinen KI-Recherche mit überschaubarem Aufwand hinterfragen und absichern.

Maßnahmen ableiten: In konkreten Szenarien denken

Hier bietet sich Critical Uncertainties aus dem Liberating Structures-Framework [6] als Denkwerkzeug an: Wir nehmen die beiden Top-Risiken und leiten daraus vier mögliche Szenarien ab:

Szenario 1: Beide Risiken treten nicht (oder nur mit sehr geringer Auswirkung) ein.

Szenario 2 und 3: Jeweils eines der Risiken tritt nicht (oder nur mit sehr geringer Auswirkung) ein, das andere Risiko tritt ein (und mit signifikanter Ausprägung).

Szenario 4: Beide Risiken treten ein (und mit signifikanter Ausprägung).

Ja, wieder eine Matrix mit vier Feldern!

Gemeinsam (bzw. in parallelen Kleingruppen) werden zunächst diese Szenarien konkretisiert beschrieben (Wie wirkt sich dieses Szenario ganz konkret auf unser Projekt aus? Wie geht es uns dabei?) und anschließend werden daraus Gegenmaßnahmen abgeleitet: präventive und reaktive Fragen, die dabei helfen:

• Was machen wir, bevor es knallt?
• Was machen wir, wenn es knallt?
• Was brauchen wir, um es rechtzeitig zu merken?
• Was müssen wir tun, um nicht nur zu überleben, sondern erfolgreich zu sein?

In der Diskussion tauchen Begriffe wie Frühwarnsystem, Plan B, Wahrscheinlichkeitsreduktion, Schadensbegrenzung, Notfallpläne und sogar „Versicherung“ auf. Risikomanagement wird lebendig, wenn die mögliche Gefahr kein abstrakter Eintrag in einer Risikoliste mehr ist, sondern zu einer vorstellbaren Zukunft wird.

Wenn man sich nun die vier Szenarien und die daraus abgeleiteten Maßnahmen anschaut, kann man durchaus Muster erkennen.

Hypothese: Maßnahmen, die von verschiedenen Personen für unterschiedliche Szenarien erdacht wurden, könnten durchaus robuste Taktiken darstellen, sofern es sich dabei nicht um Standardfloskeln handelt.

Ansonsten hilft bei der Priorisierung und Auswahl von Maßnahmen wiederum die gemeinsame Einordnung in eine How-Now-Wow-Matrix mit paarweisem Vergleich aller Maßnahmen zueinander.

Reichen diese vier Szenarien, die sich aus den zwei Top-Risiken ableiten lassen? Wahrscheinlich nicht. Und doch haben wir so eine ziemlich konkrete Vorstellung von unserem Projekt in einer riskanten Zukunft gewonnen und davon, was das für jeden Einzelnen persönlich bedeutet. Darauf lässt sich aufbauen. Man kann den Fokus schrittweise auf weitere Risiken erweitern und diese in die Szenarien integrieren bzw. die Szenarien weiter ausdifferenzieren. Dabei können wiederum klassische Recherche, KI-Prompting oder Expertenbefragungen helfen. Oder man setzt weitere co-kreative Ansätze wie What–So what–Now what oder Mini Specs (beides aus Liberating Structures) ein, um die Kreativität der Beteiligten zu nutzen.

Damit haben wir die Initialisierung des Risikomanagements abgeschlossen. Bevor es nun darum geht, wie damit im Laufe des Projektes aktiv umgegangen wird, kann es Sinn machen, noch einmal die Perspektive zu wechseln, um Scheuklappen und Scheingewissheit zu vermeiden.

Effectuation in Situationen hoher Ungewissheit

Was, wenn alles ungewiss ist?

Manchmal bringt Risikomanagement einfach nichts. Wenn weder klar ist, was überhaupt passieren könnte, noch wie gefährlich oder wahrscheinlich es ist, dann helfen Risikolisten nicht weiter, sind Zeitverschwendung oder lenken im schlimmsten Fall sogar von der Realität ab.
In solchen Situationen hoher Ungewissheit hilft: Effectuation.

Effectuation beschreibt, wie erfahrene Entrepreneure unter Ungewissheit (z. B. ein neues Produkt, ein noch nicht existierender Markt) erfolgreich entscheiden und handeln:

• Sie nutzen ihre bereits vorhandenen Mittel und die sich daraus ergebenden Möglichkeiten.
• Sie handeln immer im Rahmen ihres leistbaren Verlustes.
• Sie nutzen Umstände und Zufälle aktiv als Chancen.
• Sie gehen Partnerschaften auf Augenhöhe ein.
• Sie gestalten die Zukunft aktiv mit, statt sie zu analysieren.

Gerade bei innovativen Projekten, beim Betreten von Neuland und echter Pionierarbeit ist Effectuation ein erfolgreicher Ansatz.

Um zu Projektstart herauszufinden, ob Effectuation, Design Thinking, Scrum oder klassisches Projektvorgehen oder ein Mix im jeweiligen Fall Sinn ergibt, hilft es, zu Beginn des Vorhabens das Cynefin Modell (oder eine Stacey Matrix als vereinfachtes Modell) als Denkwerkzeug zu nutzen. [7]

Und wahrscheinlich werden Sie oftmals keine eindeutige Antwort darauf finden, denn die meisten Projekte sind nicht 100 % Innovation. In solchen Situationen gilt es, gezielt zu unterscheiden und zu agieren: Bei den innovativen Komponenten eines Projektes, z. B. bei der User Experience einer neuartigen App, braucht es vielleicht weniger Risikomanagement und mehr Chancenerkennung, bei der Absicherung eines Backends gegen Hackerangriffe hingegen eine extra Portion Gewissenhaftigkeit bei der Risikoeinschätzung.

Kontinuität statt Aktionismus: Risikomanagement als Routine

Zum Schluss nun die wahrscheinlich wichtigste Frage: Wie bleibt das Thema lebendig?

Denn damit es funktioniert und wirkt, braucht es Konsequenz. Oder, wie Dwayne Johnson sagt: „Success isn’t always about greatness. It’s about consistency. Consistent hard work leads to success. Greatness will come.“

Und wahrscheinlich ist die Lösung nicht – oder nur sehr selten – ein zusätzliches Regel-Meeting!

Stattdessen ein paar Ideen:

• Sichtbarkeit schafft Aufmerksamkeit: Transparente Visualisierung der identifizierten Risiken auf einem Risk Board im Projektraum, ob real oder virtuell.
• Habit Stacking: An bereits etablierte Routinen und Meetings andocken statt neue zu schaffen: z. B. regelmäßige Check-ins zu Risiken und Chancen im Daily oder etwas ausführlicher im Rahmen der Sprint Retrospektive.
• Klare Verantwortlichkeiten für den Umgang mit Risiken und Maßnahmen definieren.
• Nur nur präventive sondern auch reaktive Maßnahmen direkt prophylaktisch im Projektplan als Optionen hinterlegen.
• Risiken bei der Sortierung von Product Backlog Einträgen explizit berücksichtigen.

Und ja, manchmal bedeutet das auch: etwas anderes nicht zu machen. Denn Zeit ist begrenzt und Aufmerksamkeit auch.

Deshalb passt hier noch einmal der Denkanstoß vom Beginn des Artikels: „Wenn wir alles perfekt machen wollen, machen wir irgendwann gar nichts mehr.“ Wo ist unsere Aufmerksamkeit gut investiert? Und wo eher nicht?

Und jetzt Sie: Was ändern Sie ab morgen?

Stellen Sie sich vor, Sie haben einen solchen co-kreativen Risikomanagement Workshop im Projektteam durchgeführt, Sie haben viele Risiken identifiziert, sich dann gemeinsam auf die wichtigsten konzentriert und Maßnahmen dazu abgeleitet und sich darauf committet. Die Energie im Team ist hoch, sogar noch nachdem Sie gemeinsam definiert haben, wie es mit den Risiken nun weitergehen wird.

Es wäre leicht, nun einfach den Workshop zu beenden und sich anderen Dingen zuzuwenden. Doch wie hoch ist die Wahrscheinlichkeit, dass die meisten Beteiligten das Thema Risiken geistig abhaken und im Projektalltag schnell wieder vergessen werden?

Was dagegen helfen kann: Zum Abschluss noch einmal alle für sich die individuelle Perspektive reflektieren! Was werde ich ab morgen ganz konkret anders machen?

Und wenn Sie die Verbindlichkeit weiter erhöhen wollen, dann machen Sie diese persönlichen Vorsätze transparent im Team und zum Thema in der nächsten Retrospektive.

Jetzt aber wirklich Sie: Was denken Sie zu co-kreativem Risikomanagement? “Alter Wein in neuen Schläuchen”? Ja, klar. Und ist es nützlich? Was werden Sie ab morgen ganz konkret anders machen? Und gibt es noch andere, vermeintlich staubtrockene Projektmanagement-Themen, bei denen es sich lohnen würde, die Staubschicht einmal beherzt wegzupusten?

Hinweise:

Wenn Sie lernen wollen, wie Sie Ihr Projekt ohne fixen Plan voranbringen, Ihre vorhandenen Mittel clever einsetzen, Überraschungen zu Ihrem Vorteil nutzen und wie künstliche Intelligenz Ihnen bei all dem helfen kann, dann melden Sie sich zum Effectuation Training – Effectual Product Ownership von Heiko Bartlog an. Wann: 08. Juli 2025 – 10. Juli 2025, jeweils von 9:00 – 13:00 Uhr. Wo: Online.

[1] Was ist VUKA, was ist BANI?
[2] Download: Blogpaper Agilität? Haben wir probiert! Funktioniert nicht!
[3] Alexander Tornow: Die erfolgreiche Gruppenkommunikation
[4] Wissen kompakt: Wie funktioniert eine Stakeholderanalyse?
[5] Wissen kompakt: Wie funktioniert die Kopfstandtechnik?
[6] Birgit Schiche: Liberating Structures – Befreiende Strukturen für bessere Kommunikation
[7] Stacey Matrix: Entscheidungshilfe bei der Projektkomplexität

Hier finden Sie weitere Informationen zum Thema Risikomanagement, inklusive Ziele, Aufgaben und Fragen aus der Praxis.

Wenn Ihnen der Beitrag gefällt oder Sie darüber diskutieren wollen, teilen Sie ihn gerne in Ihrem Netzwerk. 

Heiko Bartlog hat weitere Beiträge im t2informatik Blog veröffentlicht, u. a.: