Wie viel Puffer braucht Ihr Projekt wirklich?

Lenkungskreis, Donnerstag, kurz nach vier. Die Geschäftsführerin blättert zur Budgetfolie und fragt, wie viel Puffer eingeplant ist. "Zehn Prozent, wie immer." Kurzes Nicken, nächste Folie.

Die Antwort klingt solide. Nur kann niemand am Tisch sagen, ob die 80.000 Euro Reserve in diesem Projekt reichen. Und falls ja, mit welcher Wahrscheinlichkeit.

Wie Sie Risiken überhaupt erst finden, beschreiben und bewerten, steht in unserem Beitrag Effektives Risikomanagement. Dieser Beitrag setzt danach an und rechnet aus, was Ihre Risiken zusammen in Euro und Tagen bedeuten.

Woher die zehn Prozent kommen

Die Pauschale hat einen großen Vorteil. Sie ist schnell gerechnet und niemand muss sie verteidigen. Zehn Prozent sind das, was man eben nimmt.

Dabei schätzen wir Menschen systematisch zu optimistisch, auch wenn wir es besser wissen. Ein bekanntes Experiment von Buehler, Griffin und Ross aus dem Jahr 1994: Studierende sollten schätzen, wie lange sie für ihre Abschlussarbeit brauchen. Im Schnitt tippten sie auf 33,9 Tage. Tatsächlich waren es 55,5. Die Psychologie nennt das den Planungsfehlschluss.

In Projekten sieht es nicht besser aus. Bent Flyvbjerg hat mit seinem Team über 16.000 Projekte ausgewertet. Nur 8,5 Prozent davon blieben gleichzeitig im Budget und im Zeitplan. Für IT-Projekte ist eine andere Zahl noch aufschlussreicher: In einer Untersuchung von 1.471 IT-Projekten lag die Kostenüberschreitung im Mittel bei 27 Prozent. Etwa jedes sechste Projekt riss dagegen richtig aus, mit rund 200 Prozent Mehrkosten und rund 70 Prozent Terminverzug.

Einen Durchschnitt deckt eine Pauschale noch halbwegs ab. Diese Ausreißer nicht.

Die britische Finanzverwaltung hat daraus schon 2003 Konsequenzen gezogen. Ihr Leitfaden zum "Optimism Bias" arbeitet mit Aufschlägen je Projektart: bis zu 24 Prozent für Standardgebäude, bis zu 66 Prozent für ungewöhnliche Tiefbauprojekte und bis zu 200 Prozent für Ausrüstung und Entwicklungsvorhaben. Eine einheitliche Zahl für alles gibt es dort nicht. In Deutschland hat die Reformkommission Bau von Großprojekten 2015 ähnlich argumentiert: Pauschale Zuschläge nehmen den Anreiz, sich mit den tatsächlichen Risiken eines Vorhabens zu beschäftigen.

Erwartungswert, P50, P80: drei Zahlen statt einer

Bevor wir rechnen, kurz die Begriffe:

Der Erwartungswert ist der Durchschnitt über alle denkbaren Verläufe. Wenn Sie ein Projekt tausendmal durchspielen könnten, wäre das der mittlere Betrag, den die Risiken kosten. Bei Risiken mit seltenen, teuren Ausreißern wird er allerdings nur in gut der Hälfte der Fälle eingehalten.

P50 ist der Betrag, der in 50 Prozent der Verläufe reicht. Eine Münzwurf-Reserve, wenn man so will.

P80 ist der Betrag, der in 80 Prozent der Verläufe reicht. Anders gesagt: In acht von zehn Fällen kommen Sie damit aus.

Welches Sicherheitsniveau das richtige ist, hängt von Ihrem Haus ab. Die AACE International, der Fachverband für Kostenschätzung, bezeichnet P50 in ihrer Empfehlung 41R-08 als risikoneutrale Wahl und stellt fest, dass viele gewinnorientierte Unternehmen mit 80 Prozent oder mehr planen. Gleichzeitig weist sie darauf hin, dass zu hohe Reserven Geld binden, das an anderer Stelle im Portfolio fehlt. Die Entscheidung ist also eine Management-Entscheidung. Aber eine, die man mit Zahlen treffen kann.

Noch ein Begriffspaar, weil es in jeder zweiten Diskussion durcheinandergeht:

• Die Contingency Reserve deckt die Risiken ab, die Sie kennen und bewertet haben. Sie gehört gerechnet.
• Die Management Reserve ist für das, was niemand auf dem Zettel hatte. Hier ist ein Erfahrungswert völlig in Ordnung.

Beides hat seinen Platz. Nur sollte die Reserve für bekannte Risiken nicht dieselbe Pauschale sein wie die für unbekannte.

Ein Rechenbeispiel: ERP-Einführung mit 800.000 Euro Budget

Ein Maschinenbauer mit rund 300 Mitarbeitenden führt ein neues ERP-System ein. Budget 800.000 Euro, Laufzeit 180 Tage. Das Projektteam hat sechs Risiken identifiziert und für jedes drei Werte geschätzt: den günstigsten Fall, den wahrscheinlichsten und den ungünstigsten.

Jetzt gibt es drei Wege, eine Reserve festzulegen.

Weg 1, die Pauschale: 10 Prozent von 800.000 Euro sind 80.000 Euro. Beim Termin entsprechend 18 Tage.

Weg 2, die klassische Tabellenrechnung: Wahrscheinlichkeit mal wahrscheinlichster Betrag, für jedes Risiko, dann addieren. Ergebnis: 62.250 Euro. Das ist die Zahl, die in vielen Risikoregistern unten rechts in der Summenzeile steht.

Weg 3, die Simulation: Wir haben die sechs Risiken 10.000 Mal durchgespielt. In jedem Durchlauf entscheidet der Zufall entsprechend der Wahrscheinlichkeit, ob ein Risiko eintritt. Tritt es ein, wird ein Betrag innerhalb der geschätzten Spanne gezogen. Das Ergebnis:

Die Pauschale von 80.000 Euro reicht in etwa 62 Prozent der simulierten Verläufe. Das ist mehr als eine Münzwurf-Reserve, aber weit weg von "wir sind auf der sicheren Seite". Beim Termin sieht es deutlicher aus: 18 Puffertage reichen nur in rund 30 Prozent der Fälle.

Die Tabellenrechnung liegt sogar unter dem Erwartungswert. Der Grund steckt in den Spannen. Der ungünstigste Fall liegt bei fast allen Risiken viel weiter vom wahrscheinlichsten Wert entfernt als der günstigste. Wer nur mit dem wahrscheinlichsten Wert rechnet, blendet diese Schieflage aus.

P80 liegt bei rund 108.000 Euro, das sind 13,5 Prozent des Budgets. Mit dieser Zahl kann die Projektleitung im Lenkungskreis etwas anfangen: "Mit 108.000 Euro Reserve kommen wir nach heutigem Stand in acht von zehn Fällen aus. Mit 80.000 Euro in sechs von zehn."

In gut zehn Prozent der Verläufe tritt überhaupt kein Risiko ein. Das sind die Projekte, die hinterher erzählen, dass zehn Prozent Puffer doch immer gereicht haben.

Der größte einzelne Kostentreiber ist nicht die verzögerte Abnahme mit ihren 150.000 Euro im schlimmsten Fall. Es sind die Altdaten, mit durchschnittlich rund 22.500 Euro Beitrag. Hohe Wahrscheinlichkeit schlägt hier hohe Schadenssumme. Wer Maßnahmen priorisieren will, sollte dort anfangen.

Monte-Carlo-Simulation ohne Formeln erklärt

Was im Beispiel passiert ist, heißt Monte-Carlo-Simulation. Der Name kommt vom Casino, die Idee ist entsprechend einfach: Man würfelt sehr oft und schaut, was dabei herauskommt.

Für jedes Risiko und in jedem Durchlauf stellt die Simulation zwei Fragen. Tritt das Risiko ein? Und wenn ja, wie teuer wird es und wie viele Tage kostet es? Nach 10.000 Durchläufen liegen 10.000 mögliche Projektverläufe vor. Sortiert man sie nach den Kosten, lassen sich P50, P80 und P90 einfach ablesen.

Für die Beträge innerhalb der Spanne nutzt man meist die PERT-Verteilung. Sie gewichtet den wahrscheinlichsten Wert stärker als die Ränder und passt damit gut zu der Art, wie Menschen Dreipunktschätzungen abgeben. Wie Sie gute Dreipunktschätzungen erstellen, lesen Sie in Effektive Aufwandsschätzung im Projektmanagement.

Zwei Diagramme gehören dazu. Die S-Kurve gibt für jeden Betrag an, mit welcher Wahrscheinlichkeit er reicht. Sie lesen eine Reserve ab und sehen sofort das zugehörige Sicherheitsniveau. Das Histogramm zeigt, wie sich die Verläufe verteilen. Der lange Ausläufer nach rechts ist das, was eine Pauschale nicht sieht.

Exotisch ist die Methode nicht. Die internationale Norm IEC 31010:2019 zu Verfahren der Risikobeurteilung führt die Monte-Carlo-Simulation ausdrücklich als Technik auf. Im Anlagenbau und bei großen Infrastrukturprojekten gehört sie seit Jahren zum Handwerkszeug.

So rechnet WORKSPACE.PM Ihre Reserve

In WORKSPACE.PM läuft die Rechnung aus dem Beispiel direkt im Risikoregister. Sie brauchen dafür keine Excel-Datei mit Zufallsformeln und kein Zusatzprogramm.

Risiken mit Spanne erfassen

Im Risikoformular tragen Sie neben der Eintrittswahrscheinlichkeit die Kostenwirkung und die Terminwirkung in Tagen ein, jeweils mit minimalem, wahrscheinlichem und maximalem Wert. Die Auswirkung bewerten Sie in drei Dimensionen: Termin, Kosten und Leistung. Wer lieber mit einem Vorschlag startet, lässt sich über "Mit AI erstellen" Risiken samt Maßnahmen vorschlagen und übernimmt nur, was passt.

Die Analyse-Ansicht

Ein Klick auf den Umschalter "Analyse" im Risikomanagement des Projekts, und WORKSPACE.PM rechnet die quantitative Risikoanalyse: 10.000 Iterationen mit PERT-Verteilung. Oben stehen die Kacheln P50, P80, P90 und der Erwartungswert. Darunter folgen die S-Kurve, die Verteilung der Gesamtkosten, das Termin-Exposure in Tagen und die fünf größten Kostentreiber.

Die Ergebnisse sind reproduzierbar. Gleiche Eingaben liefern dieselben Zahlen, auch wenn ein Kollege die Ansicht eine Woche später öffnet. Wer prüfen möchte, wie stabil das Ergebnis ist, lässt es über "Neu berechnen" mit einem neuen Zufallsstart durchlaufen. Im Beispiel oben bewegt sich P80 dabei um wenige hundert Euro.

Und weil Zahlen ohne Erklärung im Lenkungskreis selten überzeugen: Jede berechnete Kennzahl zeigt per Mausberührung, wie sie zustande kommt. Ein geführter Rundgang erklärt Simulation, S-Kurve, Treiber, Frühwarnindikatoren und Reserve Schritt für Schritt. Das hilft vor allem Kolleginnen und Kollegen, die zum ersten Mal mit Perzentilen arbeiten.

Maßnahmen, die sich in der Reserve zeigen

Jedem Risiko ordnen Sie präventive und korrektive Maßnahmen zu. Präventive Maßnahmen senken die Eintrittswahrscheinlichkeit, korrektive die Schadenshöhe. Jede Maßnahme lässt sich mit einer Karte auf dem Kanban-Board verknüpfen. Sobald das Team sie erledigt, rechnet die Simulation mit dem verringerten Risiko.

Die empfohlene Reserve sinkt also sichtbar, wenn Ihr Team handelt. Übertragen auf das Beispiel heißt das: Eine erledigte Datenbereinigung, die das Altdaten-Risiko von 50 auf 20 Prozent drückt, erscheint direkt als niedrigerer P80-Wert. Damit lässt sich vor dem Lenkungskreis begründen, warum eine Maßnahme ihr Geld wert ist. Im Reiter "Neubewertung" sehen Sie zudem für jedes Risiko die ursprüngliche Bewertung, den heutigen Stand und den Nettowert nach Maßnahmen nebeneinander.

Die Reserve ins Budget übernehmen

Im Abschnitt "Contingency-Reserve" wählen Sie das Sicherheitsniveau: P50, P80 oder P90. Voreingestellt ist P80. Mit "Als Reserve-Position übernehmen" legt WORKSPACE.PM eine Kostenposition "Risikovorsorge" im gewählten Arbeitspaket an. Eine Notiz hält fest, worauf der Betrag beruht, etwa "Monte-Carlo P80 vom heutigen Stand".

Die Reserve steht damit in der Kostenplanung des Projekts und nicht nur in einer Präsentation. Dort nimmt auch der Business Case seine Zahlen her. Jede Übernahme wird protokolliert.

Bowtie: sehen, wo Ihre Maßnahmen ansetzen

Die Simulation beantwortet die Frage "wie viel". Das Bowtie-Diagramm beantwortet die Frage "warum" und "wo greifen wir ein".

Die Methode stammt aus der Prozesssicherheit. Erste Spuren finden sich in Kursunterlagen des britischen Chemiekonzerns ICI von 1979. Richtig verbreitet hat sie Shell Anfang der 1990er Jahre, nach dem Unglück auf der Bohrinsel Piper Alpha. Auch die Bow-tie-Analyse steht als Technik in der IEC 31010.

Der Aufbau erklärt sich fast von selbst. In der Mitte steht das Risiko. Links die Ursachen, die dazu führen können, rechts die Folgen, falls es eintritt. Dazwischen sitzen die Barrieren: vorbeugende Maßnahmen auf der linken Seite, mildernde auf der rechten. Die Form erinnert an eine Fliege, daher der Name.

In WORKSPACE.PM hat jedes Risiko einen eigenen Reiter "Bowtie". Nehmen wir das Altdaten-Risiko aus dem Beispiel. Links stehen Ursachen wie "kein fachlich Verantwortlicher für die Stammdaten", "Altsystem seit 20 Jahren ohne Bereinigung" und "Dubletten bei Kunden und Artikeln". Rechts die Folgen: "manuelle Nacharbeit nach dem Go-Live" und "Go-Live verschiebt sich". Ursachen und Folgen legen Sie direkt im Diagramm an. Präventive Maßnahmen docken als Barrieren an den Ursachen an, korrektive an den Folgen. Jede Barriere zeigt, ob die Maßnahme erledigt ist und wie stark sie wirkt. In der Mitte steht der Risikowert vor und nach den Maßnahmen.

Im Diagramm sieht man oft auf den ersten Blick, dass alle Maßnahmen auf einer Seite liegen, meist auf der rechten. Man bereitet sich gut auf den Schaden vor und tut wenig dafür, dass er gar nicht erst eintritt.

Ursachen und Folgen wandern mit, wenn Sie ein Projekt als Vorlage speichern. Das nächste ERP-Projekt startet also nicht bei null.

Frühwarnwerte: merken, bevor die Reserve aufgebraucht ist

Eine Reserve, die im Januar sauber gerechnet wurde, sagt im Mai wenig, wenn sich die Risikolage verschoben hat. Deshalb gehören zu einem ernsthaften Risikomanagement Frühwarnwerte, auf Englisch Key Risk Indicators oder kurz KRI.

Das Committee of Sponsoring Organizations (COSO) hat KRI schon 2010 als vorausschauende Kennzahlen beschrieben. Sie sollen anschlagen, bevor ein Schaden entsteht, und nicht erst, wenn er in der Buchhaltung auftaucht.

In WORKSPACE.PM legen Sie im Abschnitt "Frühwarnindikatoren" für jedes Projekt beliebig viele KRI an. Zur Wahl stehen sechs Kennzahlen, die WORKSPACE.PM laufend aus dem Risikoregister berechnet:

• Netto-Exposure
• Brutto-Exposure
• Kritische Risiken
• Offene Risiken
• Eingetretene Risiken
• Überfällige Reviews

Für jeden KRI setzen Sie eine Schwelle. Im ERP-Beispiel liegt das Exposure zum Start bei gut 62.000 Euro. Ein sinnvoller Frühwarnwert wäre "Netto-Exposure größer als 75.000 Euro". Wird er überschritten, hat sich die Risikolage deutlich verschlechtert und es ist Zeit, die Reserve neu zu rechnen. Ein zweiter KRI, "Überfällige Reviews größer als 2", zeigt, wenn das Register anfängt zu veralten.

Die Liste zeigt jederzeit, ob ein Wert "Im Rahmen" oder "Verletzt" ist. WORKSPACE.PM prüft alle KRI jede Nacht und benachrichtigt, sobald ein Wert kippt, je nach Einstellung im Posteingang, per E-Mail oder als Push-Nachricht. Über Workflows, Webhooks und Microsoft Teams landet die Meldung auf Wunsch auch beim PMO oder im Kanal des Projektteams.

Damit die Zahlen stimmen, auf die sich die KRI beziehen, bekommt jedes Risiko einen Prüfzyklus in Tagen. Ist ein Review fällig, erhält der Risikoverantwortliche einen Hinweis, bei kritischen Risiken mit hoher Priorität. Mit "Als geprüft bestätigen" hält er fest, ob die Bewertung noch stimmt oder angepasst wurde. Der Verlauf bleibt nachvollziehbar, auch für die nächste Prüfung durch die Revision.

Vom Projekt zum Portfolio

Ein PMO will außerdem wissen, wie viel Risiko in allen laufenden Projekten zusammen steckt.

Im Portfolio unter "Risiken" rechnet WORKSPACE.PM dieselbe Monte-Carlo-Simulation über alle Projekte hinweg, einschließlich der Risiken auf Programm- und Portfolioebene. Sie sehen P50, P80, P90 und den Erwartungswert für das gesamte Portfolio, dazu S-Kurve und Verteilung. Die Auswertung "Exposure nach Projekt" zeigt, welche Vorhaben den größten Anteil tragen. Dazu kommen eine Heatmap, der Risiko-Burndown, eskalierte Risiken und überfällige Reviews. Filter und Gruppierungen helfen, zum Beispiel nur die Projekte eines Geschäftsbereichs zu betrachten.

Das verändert die Diskussion in der Portfoliorunde. Statt über einzelne rote Ampeln zu sprechen, reden Sie darüber, ob das Unternehmen das Gesamtrisiko tragen will. Mehr zur Steuerung auf dieser Ebene lesen Sie in Das große Bild: Projektportfoliomanagement meistern.

Warum das im Mittelstand bisher selten gemacht wurde

Bewährt ist die Methode also. Trotzdem rechnen nur wenige Mittelständler ihre Reserve. Eine Befragung von BDI und PwC unter 1.021 mittelständischen Unternehmen kam zu einem ernüchternden Bild: Nur 28 Prozent waren mit ihrem Risikomanagement zufrieden, und 81 Prozent arbeiteten dafür mit Standard-Office-Programmen. Die Studie ist von 2011, aber wer heute in ein durchschnittliches Risikoregister schaut, findet meist dieselbe Excel-Tabelle.

Quantitative Risikoanalysen mit Monte-Carlo-Simulation und P-Werten waren lange vor allem Spezialwerkzeugen und großen Enterprise-Plattformen vorbehalten. Oder sie wurden mit Zusatzprogrammen für Excel und Microsoft Project gerechnet, die laut Herstellerangaben ab rund 1.000 US-Dollar je Lizenz kosten und eigenes Fachwissen verlangen. In vielen Projektmanagement-Lösungen für den Mittelstand endet das Risikomanagement beim Register und der Matrix.

WORKSPACE.PM rechnet die Simulation dort, wo die Risiken ohnehin gepflegt werden, ohne Export und ohne zweites Werkzeug. Die Reserve landet als Kostenposition im Budget. Seit Version 2.0 gehören Monte-Carlo-Simulation, Contingency-Reserve, Bowtie und Frühwarnindikatoren zum Risikomanagement. Einen Überblick über alle Neuerungen finden Sie im Beitrag WORKSPACE.PM 2.0 ist da.

Häufige Fragen

Wie berechne ich einen Risikopuffer für mein Projekt? Schätzen Sie für jedes bekannte Risiko die Eintrittswahrscheinlichkeit und die Auswirkung in Euro und Tagen, jeweils mit günstigstem, wahrscheinlichstem und ungünstigstem Wert. Eine Monte-Carlo-Simulation spielt daraus tausende Verläufe durch. Als Reserve nehmen Sie den Wert des Sicherheitsniveaus, das zu Ihrem Haus passt, typischerweise P80.

Reichen zehn Prozent Puffer? Manchmal ja, manchmal nicht. Das Problem ist, dass Sie es ohne Rechnung nicht wissen. Im Beispiel oben deckten zehn Prozent die Kosten in rund 62 Prozent der Verläufe und den Termin nur in rund 30 Prozent.

P80 oder P90? Das hängt davon ab, wie viel Risiko Ihr Unternehmen tragen will und wie teuer gebundenes Kapital ist. P80 ist in vielen Branchen der übliche Ausgangspunkt. Für Festpreisprojekte mit Vertragsstrafen kann P90 sinnvoll sein.

Brauche ich dafür Statistikwissen? Nein. Sie brauchen drei Schätzwerte je Risiko. Die Rechnung übernimmt die Software, und in WORKSPACE.PM erklärt jede Kennzahl per Mausberührung, wie sie entstanden ist.

Wie viele Risiken sollte ich erfassen? Lieber wenige, sauber geschätzte als viele grobe. Sechs bis fünfzehn gut durchdachte Risiken liefern in einem mittelgroßen Projekt ein aussagekräftigeres Bild als eine Liste mit fünfzig Einträgen, die niemand mehr prüft.

Was ist der Unterschied zwischen Contingency Reserve und Management Reserve? Die Contingency Reserve deckt bekannte, bewertete Risiken ab und wird gerechnet. Die Management Reserve ist ein Polster für Unvorhergesehenes und wird meist als Erfahrungswert festgelegt. Beide ergänzen sich.

Was ist ein Bowtie-Diagramm? Eine Darstellung, die für ein Risiko links die Ursachen und rechts die Folgen zeigt, mit den Maßnahmen als Barrieren dazwischen. So sehen Sie auf einen Blick, ob Sie eher vorbeugen oder eher Schaden begrenzen.

Jetzt ausprobieren

Die schnellste Antwort auf die Frage, wie viel Puffer Ihr eigenes Projekt braucht, bekommen Sie mit Ihren eigenen Zahlen. Öffnen Sie in der Sandbox das Transformationsprogramm, legen Sie drei oder vier Risiken mit Spanne an und schalten Sie im Risikomanagement auf "Analyse". Nach wenigen Minuten sehen Sie Ihre S-Kurve, Ihren P80-Wert und die Reserve, die Sie mit einem Klick ins Budget übernehmen.

Projektmanagement-Software ohne Registrierung testen

Sie möchten Ihre Risikologik und Ihre Portfoliosteuerung lieber mit uns gemeinsam durchgehen? Erkundungstermin vereinbaren.

Wer zuerst zuschauen möchte: Die achtteilige Video-Reihe führt bis zum Risikomanagement durch dieselben Funktionen.

---

Quellen: Buehler, Griffin & Ross, Journal of Personality and Social Psychology 67(3), 1994; Flyvbjerg & Gardner, "How Big Things Get Done", 2023; Flyvbjerg & Budzier, Harvard Business Review 89(9), 2011; HM Treasury, Supplementary Green Book Guidance "Optimism Bias", 2003; Reformkommission Bau von Großprojekten, Endbericht 2015; AACE International, Recommended Practice 41R-08; IEC 31010:2019; COSO, "Developing Key Risk Indicators to Strengthen Enterprise Risk Management", 2010; BDI/PwC, "Risikomanagement 2.0", 2011.