Risikomanagement im Bau: Prozess, Register und Beispiele
Auf der Baustelle ist Risiko nicht die Ausnahme, sondern die Arbeitsumgebung: der Baugrund verhält sich anders als in den Gutachten, eine behördliche Entscheidung kommt später als vom Terminplan angenommen, und ein wichtiger Nachunternehmer hat gerade woanders einen größeren Auftrag gewonnen. Laut dem KPMG Global Construction Survey geben nur etwa die Hälfte der Bauherren an, dass ihre Projekte pünktlich fertig werden, und 37 % berichten von Budget- oder Terminüberschreitungen, die direkt auf fehlendes wirksames Risikomanagement zurückgehen. Beim Risikomanagement im Bau geht es daher nicht darum, Überraschungen zu vermeiden, was unmöglich ist, sondern darauf zu achten, dass jede von ihnen vorab einen Namen, einen Verantwortlichen und einen Reaktionsplan hat. In diesem Leitfaden behandeln wir die Arten von Baurisiken, den Risikomanagement-Prozess Schritt für Schritt und wie ein in einem System wie FlexiProject geführtes Risikoregister die Erfahrung aus einem Bau zum Vorteil auf allen folgenden macht.
Wichtigste Erkenntnisse:
- Definition — Risikomanagement im Bau ist der kontinuierliche Prozess, Bedrohungen für Termin, Budget, Qualität und Sicherheit einer Investition zu identifizieren, zu bewerten, auf sie zu reagieren und sie zu überwachen, von der Vorbereitung bis zur Übergabe.
- Risikoarten — ein Bau häuft Termin-, Finanz-, Baugrund- und Planungs-, Wetter-, behördliche, Nachunternehmer- und vertragliche Risiken an; jede Kategorie verlangt eine andere Art der Reaktion.
- Der Prozess — vier Schritte: Identifikation aus einer Liste typischer Risiken statt vom leeren Blatt, Bewertung in einer auf die Organisation abgestimmten Matrix, Zuweisung von Verantwortlichen und Reaktionsplänen sowie Reviews im festen Rhythmus.
- Ein Register über ein Projekt hinaus — in den Abschlussdokumenten fertiger Bauten beschriebene Risiken speisen die Vorlagen der nächsten, sodass die Organisation zwischen Investitionen lernt, statt dieselben Fehler zu wiederholen.
- Portfolio — eine aggregierte Sicht auf die Risiken aller Bauten lässt PMO und Vorstand erkennen, wo sich Bedrohungen häufen, bevor sie zu den Überschreitungen aus den KPMG-Berichten werden.
Was ist Risikomanagement im Bau?
Risikomanagement im Bau ist der kontinuierliche Prozess, Ereignisse zu identifizieren, zu bewerten und zu kontrollieren, die Termin, Budget, Qualität oder Sicherheit einer Bauinvestition bedrohen könnten. Es umfasst den gesamten Lebenszyklus des Vorhabens: von Vorplanungsanalysen und Genehmigungen über die Arbeiten bis zu Abnahmen und Gewährleistung, und sein praktisches Herzstück ist ein Risikoregister mit Verantwortlichen und Reaktionsplänen. Es ist eine Disziplin innerhalb der breiteren Aufgabe, Bauprojekte managen zu meistern, und diejenige, der am häufigsten die Schuld gegeben wird, wenn sich ein Bau verzögert.
Der Bau ist dabei ein härteres Umfeld für Risiken als die meisten Branchen. Das Projekt läuft im Freien, nicht in einer kontrollierten Halle; es hängt von Wetter, Baugrundbedingungen und behördlichen Entscheidungen ab, über die niemand auf der Baustelle die volle Kontrolle hat; und es bindet Dutzende Parteien mit unterschiedlichen Interessen ein, vom Bauherrn über Planer bis zu den Nachunternehmern der einzelnen Gewerke. Jeder dieser Faktoren kann einen Terminplan für sich allein entgleisen lassen, und in der Praxis wirken sie gleichzeitig.
Der Einsatz ist messbar. Da 37 % der Unternehmen in der KPMG-Umfrage Budget- oder Terminüberschreitungen einem schwachen Risikomanagement zuschreiben, verdient das Risikoregister, als grundlegendes Instrument der Investitionskontrolle behandelt zu werden, neben Terminplan und Budget, und nicht als Formalität, die vor einem Audit ausgefüllt wird.
Identifizieren und kontrollieren Sie Risiken in Ihren Projekten, testen Sie FlexiProject 30 Tage kostenlos.
Arten von Risiken in Bauprojekten
Eine sinnvolle Reaktion beginnt damit, die Kategorie zu benennen, denn verschiedene Risikoarten verlangen verschiedene Werkzeuge. In Bauprojekten arbeitet man meist mit sieben Gruppen.
Terminrisiken ergeben sich aus der sequenziellen Natur eines Baus: der Verzug einer Arbeit wandert über die Kette der Abhängigkeiten zur nächsten, und genau diese Abhängigkeiten legt Methode des kritischen Pfads im Bau offen, und eine Anhäufung kleiner Verzögerungen verschiebt die Übergabe. Finanzrisiken sind Materialpreissteigerungen zwischen Angebot und Ausführung, Liquidität bei langen Zahlungszielen und die Kosten von Stillständen. Baugrund- und Planungsrisiken umfassen von den Gutachten abweichende geotechnische Bedingungen, Kollisionen zwischen Gewerken und Planungsfehler, die erst auf der Baustelle auftauchen. Wetter- und Umweltrisiken decken Winter- oder Regenstillstände ebenso ab wie Umweltauflagen, die eine Arbeitsfront aufhalten.
Behördliche Risiken sind Verzögerungen von Genehmigungen, Entscheidungen und Abstimmungen, auf die der Bauherr begrenzten Einfluss hat und die die gesamte Startsequenz einfrieren können. Nachunternehmer- und Lieferrisiken umfassen die Nichtverfügbarkeit von Kolonnen, die Insolvenz eines Auftragnehmers und verspätete Lieferungen von Bauteilen mit langer Vorlaufzeit. Schließlich vertragliche Risiken: Vertragsstrafen, Nachträge, Streit über den Leistungsumfang und Klauseln, die Verantwortung verlagern. Eine eigene Kategorie ist die Arbeitssicherheit; in der Systempraxis führt man Arbeitsschutz- und Compliance-Anforderungen am besten wie Aufgaben im Plan, mit Verantwortlichem, Termin und formaler Abnahme, damit sie nicht nur im Ordner existieren.
Diese Landkarte der Kategorien ist der Ausgangspunkt für den wichtigsten Schritt des Prozesses: eine Identifikation, die nicht bei null beginnt.
Der Risikomanagement-Prozess im Bau Schritt für Schritt
Die Methodiken unterscheiden sich in der Benennung, doch der Kern des Prozesses ist gemeinsam und besteht aus vier Schritten, die über die gesamte Dauer der Investition zyklisch wiederholt werden.
Risiken identifizieren: mit einer Liste beginnen, nicht mit einem leeren Blatt
Die klassische Identifikation ist ein Team-Workshop: eine Durchsicht der Dokumentation, der Bauzeitenplan-Vorlage und des Vertrags darauf, was schiefgehen könnte. Ein Workshop ist jedoch nur so gut wie das Gedächtnis seiner Teilnehmer, und die meisten Baurisiken sind schmerzhaft wiederkehrend: Geotechnik, Genehmigungen, Lieferungen und Nachunternehmer kehren bei jeder Investition zurück.
Deshalb kann in FlexiProject eine Liste typischer Risiken für einen Projekttyp Teil der Vorlage sein, mit der ein neuer Bau startet. Das Team entdeckt Bedrohungen nicht von Grund auf neu; es prüft eine auf früheren Investitionen gesammelte Basis und ergänzt sie um die Besonderheiten der neuen: ungewöhnlicher Baugrund, ein anspruchsvoller Bauherr, ein neuer Konstruktionstyp. Die Identifikation beginnt auf dem Erfahrungsniveau des ganzen Unternehmens, nicht dem Gedächtnis eines einzelnen Bauleiters.
Risiken bewerten: eine auf Ihre Organisation abgestimmte Matrix
Identifizierte Risiken werden nach Eintrittswahrscheinlichkeit und Auswirkung auf das Projekt bewertet, und das Ergebnis positioniert sie in einer Risikomatrix, die entscheidet, was sofort anzugehen und was nur zu beobachten ist. Das Problem ist, dass viele Werkzeuge ein starres Matrixformat aufzwingen, das nicht zum Standard des Unternehmens passt.
FlexiProject lässt Sie die Dimensionen der Matrix selbst konfigurieren: eine Organisation, die auf einer 3×3-Skala arbeitet, muss sich nicht der 5×5 eines anderen beugen. Der Effekt ist praktisch: alle Bauten bewerten Risiken nach einem gemeinsamen Standard, sodass sich die Register verschiedener Investitionen vergleichen lassen und die Eskalation klare Schwellen hat.
Reagieren: Verantwortliche und Reaktionspläne im Register
Auf jedes wesentliche Risiko antwortet man mit einer von vier Strategien: Vermeidung (Änderung der Technologie oder der Arbeitsfolge), Transfer (Versicherung, eine Vertragsklausel, die das Risiko auf die Partei verlagert, die es besser kontrolliert), Minderung (Zeitpuffer für das Aushärten von Beton, ein zweiter Lieferant kritischer Elemente) oder bewusste Akzeptanz mit einer Reserve. Eine Strategie ohne Adressaten bleibt jedoch eine Absichtserklärung.
Im FlexiProject-Register hat jedes Risiko einen Verantwortlichen und einen Reaktionsplan, und die dem Risiko zugewiesene Person wird darüber benachrichtigt. Das schließt die häufigste Lücke von Tabellen: die Zeile, die alle sahen und für die niemand verantwortlich war. Wenn ein Risiko eintritt, beginnt keine Diskussion darüber, wer reagieren soll; der vorbereitete Plan wird ausgeführt.
Überwachen: Reviews auf Daten, nicht auf Gedächtnis
Ein einmal, zu Baubeginn, aktualisiertes Register veraltet schneller als der Terminplan. Deshalb kehren Risiken in einem festen Rhythmus von Projektreviews auf den Tisch zurück, zum Beispiel alle zwei Wochen bei Bauten in Ausführung, und das Material für das Review kommt direkt aus dem System: Risikostatus, Verantwortliche, Kategorien und Änderungen seit dem letzten Treffen, gelesen neben dem Gantt-Diagramm im Bau, das die Mannschaft ohnehin verfolgt, alles aus denselben Daten, mit denen das Team täglich arbeitet. Ein Risiko kommt in die Koordinationsbesprechung zurück, bevor es eintritt, nicht als Erklärung dafür, warum das Budget überschritten wurde.
Ein Risikoregister, das einen einzelnen Bau überdauert
Der größte Unterschied zwischen reifem und ad-hoc Risikomanagement liegt nicht in einem einzelnen Projekt, sondern darin, was mit dem Wissen nach dessen Ende geschieht. In einem typischen Unternehmen stirbt das Register mit dem Projekt: die Datei landet im Archiv und die Lehren in den Köpfen von Menschen, die gerade gehen können.
In FlexiProject werden Risiken auch im Projektabschlussdokument beschrieben: was eingetreten ist, was funktioniert hat, was gefehlt hat. Diese Schlussfolgerungen speisen die Wissensbasis der Organisation, und die aktualisierte Liste typischer Risiken kehrt in die Projektvorlage zurück, mit der der nächste Bau startet. Der Kreis schließt sich: die Identifikation bei der zehnten Investition ist tatsächlich besser als bei der ersten, weil sie auf dokumentierter Erfahrung steht und nicht auf dem wechselnden Gedächtnis des Teams.
Für den Vorstand ist das eine qualitative Veränderung: Risikomanagement hört auf, ein formaler Kostenpunkt einzelner Bauten zu sein, und wird zu einem Unternehmenswert, der mit jedem abgeschlossenen Projekt wächst.
Managen Sie Projektrisiken wirksam mit Risikoregister und Reaktionsplänen, starten Sie FlexiProject noch heute kostenlos.
Risiko über das Portfolio hinweg: die Sicht für PMO und Vorstand
Ein Unternehmen, das ein Dutzend Bauten führt, kann Risiko nicht durch das Lesen eines Dutzends separater Register steuern. Es braucht eine aggregierte Sicht: welche Investitionen die schwersten Bedrohungen tragen, in welchen Kategorien sich Probleme häufen und wo dieselben Risiken über mehrere Projekte zugleich wiederkehren, zum Beispiel die Abhängigkeit von einem einzigen Lieferanten für Stahlkonstruktionen auf drei Bauten gleichzeitig.
In FlexiProject sind die Risiken aller Projekte auf Portfolioebene und in aus Registerdaten gebauten Berichten sichtbar, ohne vor einer Sitzung manuell Zusammenfassungen zusammenzustückeln. PMO und Vorstand sehen das Gesamtbild und können auf Portfolioebene reagieren: Ressourcen verschieben, einen Rahmenvertrag neu verhandeln, den Start der nächsten Investition zurückhalten, bevor sich ein geteiltes Risiko auf allen zugleich verwirklicht.
Das Ausmaß des Einsatzes ist gut dokumentiert: McKinseys Analyse von 532 großen Kapitalprojekten zeigt Kostenüberschreitungen von durchschnittlich mindestens 79 % gegenüber dem Budget der Machbarkeitsphase und Verzögerungen von durchschnittlich 52 %. Ein einzelner Bau mit einer solchen Überschreitung schmerzt; ein Portfolio, in dem niemand ein geteiltes Risiko bemerkt hat, kann das Unternehmen bedrohen. Die Portfolioebene existiert, um dieses Szenario früher abzufangen.
Häufig gestellte Fragen
Was sind die wichtigsten Arten von Risiken in Bauprojekten?
Die Baupraxis arbeitet meist mit sieben Kategorien: Termin-, Finanz-, Baugrund- und Planungs-, Wetter- und Umwelt-, behördliche (Genehmigungen und Entscheidungen), Nachunternehmer- samt Liefer- sowie vertragliche Risiken. Die Arbeitssicherheit wird gesondert behandelt und als Anforderungen mit Verantwortlichen und Terminen im Bauplan geführt.
Was ist ein Risikoregister im Bau?
Ein Risikoregister ist eine über die gesamte Dauer der Investition geführte Liste identifizierter Bedrohungen mit einer Bewertung von Wahrscheinlichkeit und Auswirkung, einem Verantwortlichen und einem Reaktionsplan für jede von ihnen. In einem Projektmanagementsystem ist das Register ein lebendiges Werkzeug: Verantwortliche erhalten Benachrichtigungen, Status werden laufend aktualisiert, und die Daten speisen Reviews und Berichte statt separat erstellter Zusammenfassungen.
Wie oft sollten Baurisiken überprüft werden?
Gute Praxis ist ein fester, an Projektreviews gebundener Rhythmus, zum Beispiel alle zwei Wochen bei Bauten in Ausführung und monatlich bei Investitionen in Vorbereitung. Unabhängig vom Rhythmus sollte das Review auf aktuellen Registerdaten beruhen und nicht auf dem Gedächtnis der Teilnehmer, und mit Entscheidungen enden: was wir eskalieren, was wir schließen, wo wir einen Reaktionsplan auslösen.
Lässt sich die Risikomatrix an unseren Unternehmensstandard anpassen?
In FlexiProject ja: die Dimensionen der Risikobewertungsmatrix konfiguriert die Organisation selbst, sodass ein Unternehmen, das auf einer 3×3- oder einer anderen eigenen Skala arbeitet, kein aufgezwungenes Format übernehmen muss. Mit einer gemeinsamen, unternehmensweiten Bewertungsmatrix sind die Register verschiedener Bauten vergleichbar und die Eskalationsschwellen für alle Teams eindeutig.
Risikomanagement im Bau entscheidet sich in der täglichen Mechanik, nicht in Absichtserklärungen: ob die Identifikation aus einer auf früheren Bauten gesammelten Liste startet oder von einem leeren Blatt; ob die Bewertung eine auf den Unternehmensstandard abgestimmte Matrix nutzt; ob jedes Risiko einen Verantwortlichen mit Reaktionsplan und Benachrichtigung hat; und ob Reviews in einem festen Rhythmus auf Registerdaten stattfinden. Ebenso wichtig ist, was mit dem Wissen nach der Übergabe geschieht: Lehren aus Abschlussdokumenten sollten in Vorlagen zurückkehren, damit jede weitere Investition von einem höheren Niveau startet, und die Portfoliosicht sollte dem Vorstand zeigen, wo sich Bedrohungen über Bauten hinweg häufen. Die Statistiken von KPMG und McKinsey zeigen, dass zig Prozent von Budget und Terminplan auf dem Spiel stehen, daher verdient das Risikoregister denselben Rang wie der Basisplan und das Investitionsbudget. FlexiProject verbindet diese Elemente in einem System: ein Register mit konfigurierbarer Matrix, Listen typischer Risiken in Projektvorlagen, Verantwortliche und Reaktionspläne mit Benachrichtigungen, Abschlussdokumente, die die Lehrenbasis speisen, und die Risiken aller Bauten aggregiert im Portfolio und in Berichten. Wenn Risiken in Ihrem Unternehmen noch in Tabellen leben, die vor einem Audit geöffnet werden, ist ihre Überführung in ein System wahrscheinlich die günstigste Versicherung, die Sie für das gesamte Investitionsportfolio kaufen können. Wie man es auswählt, zeigt der Kaufratgeber für Bauprojektmanagement-Software.
