Wissenschaftliche Fundierung
Das Fundament von RisicoRadar
RisicoRadar bewertet Projektdokumente anhand von fünf Risikokategorien mit je drei Unterkriterien: Scope & Anforderungen, Planung & Ressourcen, Budget & Finanzen, Qualität & Compliance sowie Stakeholder & Kommunikation. Diese 5×3-Struktur ist direkt der Risk Breakdown Structure von Hillson (2002) entnommen, dem normativen Fundament des PMI Practice Standard for Project Risk Management, und wird durch die niederländische parlamentarische Lehre des Elias-Ausschusses (2014) verstärkt. Die wissenschaftliche Evidenz für die Wirkung von Risikomanagement selbst ist ehrlich gesagt gemischt — RisicoRadar bietet daher ein nachweisbares Signal, keine Erfolgsgarantie.
So ist diese Bewertung fundiert
Diese Grundlage beruht auf einer Tiefenrecherche entlang sechs Suchlinien durch 23 Quellen; von den 99 extrahierten Aussagen wurden die stärksten 25 kontradiktorisch mit drei unabhängigen Stimmen pro Aussage verifiziert (24 von 25 bestätigt).
Die Bewertungskategorien und ihr Fundament
1 Scope & Anforderungen
Der Elias-Ausschuss benennt Überambition und Komplexität als parlamentarisch festgestellte Fehlerursache — großer, komplexer Scope scheitert statistisch häufiger. Ergänzende Forschung (PDRI/CII) legt nahe, dass eine schärfere Scope-Definition Kosten- und Terminüberschreitungen begrenzen kann, wobei dieser Zusammenhang in dieser BoK nicht eigenständig verifiziert wurde.
2 Planung & Ressourcen
Planungsoptimismus (die Planning Fallacy) ist ein etabliertes Bias-Feld in der Projektliteratur; die Untermauerung über die spezifische Bias-Suchlinie wurde in dieser BoK noch nicht kontradiktorisch verifiziert (siehe die Schwesterprodukt-BoKs von PlanScore und CaseCheck, Flyvbjerg). Die Rubrik bewertet daher den Realismus des Zeitplans und explizite Abhängigkeiten, nicht bloß das Vorhandensein einer Planung. Seit v1.1 hat die Ressourcenkapazität einen eigenen Anker: eine qualitative Fallstudie (Engwall & Jerbrant, 2003; zwei Organisationen) beschreibt das 'resource allocation syndrome' — Überallokation eines gemeinsamen Personalpools — als das zentrale Steuerungsproblem von Multiprojektumgebungen.
3 Budget & Finanzen
In der Projektliteratur werden Kosten systematisch unterschätzt (Flyvbjerg 2021: tatsächliche Kosten 1,39–1,43× der Schätzung); dies wurde in der PlanScore-/CaseCheck-BoK kontradiktorisch verifiziert und wird hier als ergänzender Kontext behandelt. CaseCheck prüft den Business Case eingehend; RisicoRadar prüft, ob das Budgetrisiko selbst adressiert wird, einschließlich Puffer. Laut dem britischen Rechnungshof (NAO, 2013) ist eine schwache Evidenzbasis unter dem Business Case — ungeprüfte Annahmen, keine Sensitivitätsanalyse — eine dokumentierte, wiederkehrende Ursache von Kostenüberschreitungen in Regierungsprojekten.
4 Qualität & Compliance
Dies ist die Kategorie, für die RisicoRadar am wenigsten hart verifizierte Evidenz besitzt; die RBS-Logik von Hillson (2002) trägt sie als legitimes Risikofeld — das Fehlen von Qualitäts- und Compliance-Prüfung wäre ein blinder Fleck in der Taxonomie — aber eine empirische, kategoriespezifische Untermauerung wurde noch nicht kontradiktorisch verifiziert. Seit v1.1 verankert ISO 31000:2018 diesen Bereich normativ: Die Norm verlangt ausdrücklich, rechtliche und regulatorische Faktoren als externen Kontext zu untersuchen (Klausel 5.4.1), und führt Monitoring & Review als feste Prozesskomponente — ein normativer Anker, kein Wirkungsnachweis.
5 Stakeholder & Kommunikation
Risikomanagement wirkt teilweise über kommunikatives Handeln (de Bakker et al. 2011): Stakeholder synchronisieren Wahrnehmungen und explizieren Verantwortlichkeiten, wodurch die Kommunikations- und Eskalationsdimension zu einem echten Risikofeld wird. StakeholderScan misst die Reife des Stakeholder-Ansatzes selbst. Wie teuer das Überspringen der Stakeholder-Identifikation sein kann, dokumentierte der britische NAO (2011): Wesentliche Stakeholder nicht von Anfang an einzubinden war eine Hauptursache des gescheiterten FiReControl-Projekts — mindestens £469 Millionen verschwendet ohne geliefertes System (ein gründlich geprüfter Einzelfall, keine Verallgemeinerung).
Kernaussagen aus der Forschung
Jede Aussage unten wurde adversariell verifiziert: drei unabhängige Prüfungen pro Aussage — aufgenommen wurde nur, was standhielt.
Risikomanagement in IT-Projekten ist wissenschaftlich kein nachgewiesener Erfolgsfaktor: die Metaanalyse von de Bakker, Boonstra & Wortmann (2010) kommt zu dem Schluss, dass die bestehende Literatur kaum Belege dafür liefert, dass Risikomanagement zum Erfolg von IT-Projekten beiträgt.
Quelle: de Bakker, Boonstra & Wortmann (2010) — IJPM 28(5)
Diesem kritischen Befund steht anderes Forschung gegenüber: Zwikael & Ahn (2011, eine Studie unter 701 Projektmanagern in 7 Branchen) zeigen, dass Risikomanagement die Beziehung zwischen Risikoniveau und Projekterfolg moderiert — wenngleich die Ergebnisse korrelativ, nicht kausal sind.
Quelle: Zwikael & Ahn (2011) — Risk Analysis 31(1)
Rabechini & Carvalho (2013, eine Studie mit 415 Projekten in Brasilien) stellen fest, dass Risikomanagementpraktiken einen signifikant positiven Effekt auf den wahrgenommenen Projekterfolg haben und dass ein dedizierter Risikomanager mit einer 3,9-mal höheren Chance auf wahrgenommenen Erfolg verbunden ist — ein korrelativer Befund auf Basis von Selbstauskünften.
Quelle: Rabechini Junior & Monteiro de Carvalho (2013) — J. Technology Management & Innovation 8(3)
Risikomanagement wirkt teilweise über kommunikatives Handeln: de Bakker, Boonstra & Wortmann (2011) zeigen, dass Stakeholder Risikomanagement nutzen, um Wahrnehmungen zu synchronisieren und Verantwortlichkeiten zu explizieren, neben seiner instrumentellen Analysefunktion.
Quelle: de Bakker, Boonstra & Wortmann (2011) — PMJ 42(3)
Die Risk Breakdown Structure von Hillson (2002) definiert eine Risikotaxonomie als eine quellenorientierte Gruppierung, die das gesamte Risikoexposure eines Projekts strukturiert — das normative Fundament der 5×3-Kategorienstruktur von RisicoRadar.
Quelle: Hillson (2002) — PMI Global Congress (→ PMI Practice Standard for Project Risk Management)
Hillson (2002) zeigt, dass die oberen Ebenen einer Risk Breakdown Structure als Prompt-Liste dienen, um eine vollständige Abdeckung bei der Risikoidentifikation zu gewährleisten, und dass die Zuordnung identifizierter Risiken zur Taxonomie blinde Flecken und Doppelzählungen aufdeckt — vorausgesetzt, die Taxonomie selbst ist vollständig.
Quelle: Hillson (2002) — PMI Global Congress
Das PMI dokumentiert das Muster des „Zombie-Risikos": Ein Team schließt ein Risiko ab, sobald die Wahrscheinlichkeit gering erscheint, und gibt den zugehörigen Puffer frei, woraufhin das Risiko dennoch eintritt, nachdem die Mittel bereits ausgegeben wurden — ein illustratives Muster, keine Prävalenzzahl.
Quelle: PMI — Zombie Risks (pmi.org learning library)
Der niederländische parlamentarische Elias-Ausschuss (2014) stellte wörtlich fest, dass „die Regierung die Steuerung und Beherrschung von Projekten mit einer bedeutenden IKT-Komponente nicht im Griff hat", und dass „Projekte zu groß und zu komplex" sind, während gerade diese großen Projekte statistisch gesehen häufiger scheitern.
Quelle: Tijdelijke commissie ICT-projecten (commissie-Elias), Grip op ICT — Eindrapport, Kamerstuk 33326 nr. 5 (2014)
Seit dem 1. Juli 2024 ist der niederländische Beirat für IKT-Prüfung (Adviescollege ICT-toetsing, Nachfolger des BIT) gesetzlich verankert, mit „Risikobeherrschung und Projektabhängigkeiten" als explizitem Prüfgebiet, und verlangt eine strukturelle Überwachung von Minderungsmaßnahmen, da sich das Projektumfeld verändert.
Quelle: Adviescollege ICT-toetsing — Toetskader (Instellingswet/Wet Adviescollege ICT-toetsing, 1 juli 2024, wetsdossier 36.191)
Leicht vorstellbare Risiken werden überschätzt, schwer vorstellbare übersehen oder unterschätzt (Verfügbarkeitsheuristik) — RisicoRadar nutzt diese Erkenntnis als Argument für eine feste Risikotaxonomie als Checkliste.
Quelle: Tversky & Kahneman (1974), Judgment under Uncertainty, Science 185(4157)
Eine Risikomatrix in einem Projektdokument signalisiert strukturiertes Risikodenken, garantiert aber keine korrekte Einschätzung: Qualitative Wahrscheinlichkeit×Auswirkung-Matrizen haben formal nachgewiesene Schwächen, darunter das Zusammenpressen sehr unterschiedlicher Risiken in dieselbe Zelle — diese Grenze benennen wir bewusst.
Quelle: Cox, L.A. (2008), What's Wrong with Risk Matrices?, Risk Analysis 28(2)
Zentrale Quellen
- de Bakker, K., Boonstra, A. & Wortmann, H. (2010), Does risk management contribute to IT project success? A meta-analysis of empirical evidence, IJPM 28(5)
- de Bakker, K., Boonstra, A. & Wortmann, H. (2011), Risk Management Affecting IS/IT Project Success Through Communicative Action, PMJ 42(3)
- Zwikael, O. & Ahn, M. (2011), The Effectiveness of Risk Management, Risk Analysis 31(1)
- Rabechini Junior, R. & Monteiro de Carvalho, M. (2013), Understanding the Impact of Project Risk Management on Project Performance, J. Technology Management & Innovation 8(3)
- Hillson, D. (2002), Use a Risk Breakdown Structure (RBS) to Understand Your Risks, PMI Global Congress (→ PMI Practice Standard for Project Risk Management)
- PMI, Zombie Risks (pmi.org learning library)
- Tijdelijke commissie ICT-projecten (commissie-Elias), Grip op ICT — Eindrapport, Kamerstuk 33326 nr. 5 (2014)
- Adviescollege ICT-toetsing — Toetskader, risicogebied "Risicobeheersing en projectafhankelijkheden"; Instellingswet/Wet Adviescollege ICT-toetsing (1 juli 2024, wetsdossier 36.191)
- ISO 31000:2018, Risk management — Guidelines (iso.org/standard/65694.html)
- Tversky, A. & Kahneman, D. (1974), Judgment under Uncertainty, Science 185(4157)
- Cox, L.A. (2008), What's Wrong with Risk Matrices?, Risk Analysis 28(2)
- Engwall, M. & Jerbrant, A. (2003), The resource allocation syndrome, IJPM 21(6)
- NAO (2011), The failure of the FiReControl project, HC 1272; NAO (2013), Over-optimism in government projects
Basierend auf unserem Body of Knowledge, v1.1 (23 juli 2026)