Szenariotechnik, Szenarioanalyse

Szenarioanalyse ist ein beliebtes Vorgehen, sich die ungewisse Zukunft zu vergegenwärtigen, also in der Vorstellung in die Gegenwart zu holen. Nicht "beam me up, Scotty", eher "crystal ball gazing", eher "science fiction" als "scientific approach". 

Szenarien werden permanent generiert und kommuniziert. In der Wirtschaft in Unternehmen. In der Politik in Bezug auf die Gesellschaft.

Szenarioanalyse wird in der Norm ISO 31010 im Abschnitt B. 10 als eine Methode der Beurteilung von Risiken gelistet. Die dortigen Definitionen und Erklärungen sind etwas dürftig.

Szenarien sind bildhafte Vorstellungen von Zuständen in der Zukunft und damit von deren Ungewissheit bestimmt. Damit sind Szenarien virtuell und imaginär. Szenarioanalyse ist eine Methode des Risikomanagements. Szenarien eines Zustands können nach ihrem "Wert" und nach ihrer "Eintrittswahrscheinlichkeit beurteilt werden. Sie lassen sich mehr oder weniger quantitativ mit dem Werkzeug der Risikomatrix graphisch darstellen.

Die Abbildung zeigt eine Beurteilung von den drei typischen Szenarien

• worst case (geringster Wert)
• realistic case (realistischer Fall)
• best case (höchster Wert)

eines zukünftigen Zustands. Die Wahrscheinlichkeiten der drei Fälle sind in Summe auf 1.0 normiert; eine gängige Vereinfachung, die mögliche Szenarien mit Werten zwischen den drei herausgehobenen Fällen vernachlässigt.

Wissen und Nicht-Wissen aus Sicht von Risiko

Diese 4 Kombinationen von Adjektiv und Subjektiv sind eine Art "BonMot". Interessanterweise werden sie auch in dem Standard ISO / IEC 3101010 zitiert:

IEC/ISO 31010 INTERNATIONAL STANDARD

Risk management – Risk assessment techniques

Annex B (informative) Risk assessment techniques

B.4 Check-lists

B.4.6 Strengths and limitations

Limitations include:

• they address the ‘known knowns’, not the ‘known unknowns’ or the ‘unknown unknowns’.

Dr. Peter Meier Risikomanagement Seminare 2015 Vorest AG

Risikomanagement Seminare 2015
Veranstalter: Vorest AG; Referent: Dr. Peter Meier
Nr.	Datum	Thema	Ort
S20	16.02. – 18.02.2015	Risikomanagementbeauftragter ISO 31000 strategisch	Stuttgart
S21	19.02. – 20.02.2015	Risikomanager ISO / IEC 31010 operativ	Stuttgart
S20	18.05. – 21.05.2015	Risikomanagementbeauftragter ISO 31000 strategisch	Düsseldorf
S21	22.05. – 23.05.2015	Risikomanager  ISO / IEC 31010 operativ	Düsseldorf
S20	13.07. – 15.07.2015	Risikomanagementbeauftragter ISO 31000 strategisch	München
S21	16.07. – 17.07.2015	Risikomanager ISO / IEC 31010 operativ	München
S20	05.10. – 07.10.2015	Risikomanagementbeauftragter ISO 31000 strategisch	Düsseldorf
S21	08.10. –  09.10.2015	Risikomanager ISO / IEC 31010 operativ	Düsseldorf
S20	23.11. – 25.11.2015	Risikomanagementbeauftragter ISO 31000 strategisch	Pforzheim
S21	26.11. – 27.11.2015	Risikomanager ISO / IEC 31010 operativ	Pforzheim

Risikomatrix - in der Praxis immer unsymmetrisch

Beim Anblick der Ergebnisse der google-Bildsuche nach dem Stichwort "riskmatrix" oder "Risikomatrix" drängt sich der falsche Eindruck auf, Risikomatrizen seien symmetrisch zur Diagonalen. In der Praxis sind Risikomatrizen unsymmetrisch zur Diagonalen. "Links" von der Diagonalen stehen Risiken, die anders bewertet sind, als Risiken, die "rechts" von der Diagonalen stehen. 

Diese falsch verstandene Symmetrie folgt aus dem falschen Verständnis von Kennzahlen für Risiko. Werden für das Merkmal "Ausmaß" und für das Merkmal "Wahrscheinlichkeit" z. B. in vier Stufen die Kennzahlen 1, 2, 3, 4 für jeweils einen Wert vergeben, so sind dies ordinale Zahlen. Zwischen denen ist als Verknüpfung nur der Vergleich "größer als" ( > ) und "kleiner als" ( < ) definiert. Die naheliegende Multiplikation der Kennzahlen für das "Ausmaß" mit der Kennzahl für die "Wahrscheinlichkeit" zu einem Produkt als Kennzahl für Risiko als wahrscheinlichkeitsskaliertes Ausmaß ist zwar sehr anschaulich und führt zu einer symmetrischen Matrix, ist aber nicht definiert. Es sei denn, die Kennzahlen für die beiden Achsen der Matrix sind als rationale Zahlen definiert, innerhalb derer weitere arithmetische Verknüpfungen, wie Multiplikation und Division definiert sind. 

Im Bildbeispiel gibt es innerhalb der Matrix in den Dimensionen "Ausmaß" und "Wahrscheinlichkeit" mit jeweils 4 ordinalen Kennzahlen 16 Felder mit 16 weiteren ordinalen Kennzahlen von 1 bis 16. Sie stammen nicht aus einer Arithmetik, sondern aus einer Bewertung entsprechend der "Priorität" des Risikos. Die unumstößliche Annahme ist, dass die höchste Priorität 1 hier rechts oben und die geringste Priorität 16 hier links unten steht. Alle anderen Zuordnungen sind das Ergebnis eines Bewertungsprozesses, der individuell ist. Diese 4*4 Matrix kann für eine andere Organisation eine andere Bewertungsfolge zwischen 1 und 16 erhalten. Die weiße dicke Linie trennt in diesem Beispiel die rote no-go-zone vom Rest.

Achtung: Ein Risikofeld mit der Kennzahl 16 für die Priorität enthält nicht Risiken, die 1/16 so groß sind, wie Risiken in dem Risikofeld mit der Kennzahl 1 für die Priorität. Diese Arithmetik ist bei ordinalen Zahlen nicht definiert. Genau so wenig wie die Kennzahlen für den "Platz" als Ergebnis eines Formel I Rennens.

   

   

  

ISO TR 31004:2013

The ISO Technical Report

ISO TR 31004:2013

Risk management -
Guidance for the implementation of ISO 31000

is a useful complement to the ISO International Standard

ISO 31000:2009
Risk Management -
Principles and Guidelines.

The Technical Report is structured in 3 Chapters and a couple of Annexes.

Most important are the descriptions how to integrate Risk Management with the management of other issues.

*    3.3 Integration of ISO 31000 into the organization’s management processes

*    Annex E (informative) Integrating risk management within a management system

The ISO Technical Report shows how to customize the generic standard ISO 31000 to become a focussed and specialized risk management system for a real organization.

  

Vorest AG Risikomanagement Seminare 2014

Im Jahr 2014 bietet die Vorest AG an:

Grundlagenseminar S20 Risikomanagementbeauftragter

Aufbauseminar S21 Risikomanager

17.-19.02.2014 Risikomanagementbeauftragter - ISO 31000 S20 in Berlin
20.-21.02.2014 Risikomanager - ISO 31000/31010 / Operative Methoden S21 in Berlin

05.-07.05.2014 Risikomanagementbeauftragter - ISO 31000 S20 in Frankfurt
08.-09.05.2014 Risikomanager - ISO 31000/31010 / Operative Methoden S21 in Frankfurt

14.-16.07.2014 Risikomanagementbeauftragter - ISO 31000 S20 in Stuttgart
17.-18.07.2014 Risikomanager - ISO 31000/31010 / Operative Methoden S21 in Stuttgart

22.-24.09.2014 Risikomanagementbeauftragter - ISO 31000 S20 in Hamburg
25.-26.09.2014 Risikomanager - ISO 31000/31010 / Operative Methoden S21 in Hamburg

10.-12.11.2014 Risikomanagementbeauftragter - ISO 31000 S20 in Düsseldorf
13.-14.11.2014 Risikomanager - ISO 31000/31010 / Operative Methoden S21 in Düsseldorf

Referent: Dr. Peter Meier; www.dr-peter-meier.de

Veranstalter: Vorest AG; www.vorest-ag.com

SI VIS - how to find risks / Risiken finden

SI VIS is an acronym of a management tool for risk management which stands for

S: Stakeholder: Interessierter, Interessierte Partei
I: Issue: Sache, Sachverhalt
V: Value: Wert
I: Interest: Interesse
S: Situation: Lage in Bezug auf günstige und gefährliche Umstände

and provides an easy and fool-prof pathway to identify risks and opportunities. It works nicely hand-in-hand with SWOT, a complementary tool for the search and identification of risks and opportunities of any kind for any organization.

The principle:
Stakeholders look at a certain Issue and thus give it a Value. Their Interest in the Situation is related to risk (dangerous circumstances) and opportunity (favorable circumstances).

The context:
This method will be applied in Clause 5 "Risk Management Process" / 5.3 "Establishing the context" in Standard ISO 31000.

The broadside:
Unfortunately, the standard IEC/ISO 31010 does neither address SWOT nor SI VIS.

The history:
SI VIS did evolve from practical work with the risk management Standards ISO 31000 and 31010.

Semantic note:
SI VIS is Latin and essentially means "If you want".

Legal note:
SI VIS is not registered as intellectual property, utility patent or similar and can be used freely like any other public domain procedure.

Carl Friedrich Gauss randomly visiting Monte Carlo running Excel normal distribution II

oder: Was geschieht, wenn zwei Risiken zusammenkommen?

Problem: Risikoaggregation - Wie groß ist das Gesamtrisiko, wenn zwei Einzelrisiken zusammenkommen?
Das aller-einfachste Beispiel: Zwei Risiken aggregieren - Risiko des Verkaufspreises; Risiko des Einkaufspreises;
Sachverhalt grundsätzlicher Art: Einkauf (en gros) und (Wieder-)Verkauf (en detail) sind jeweils mit Preisrisiken verknüpft.
Annahmen: Der Einkaufspreis einer Ware EK sei um den Mittelwert m=15 € mit einer Standardabweichung von s=3 € "normal" verteilt. Der Verkaufspreis der Ware VK sei um den Mittelwert m=20 € mit einer Standardabweichung von s=7 € "normal" verteilt.
Frage: Wie ist der Gewinn P/L=VK-EK verteilt?
Lösung: Monte Carlo Modellrechnung für P/L mit 10.000 Szenarien von "normal" verteilten Zufallsvariablen (Excel).
Ergebnis: Grafiken der EK-Verteilung, VK-Verteilung, P/L-Verteilung
Diskussion: Die Eigenschaften des Ergebnisses der Modellsimulation sind zu untersuchen und zu verstehen. Das sei dem Leser überlassen!
Bezug zu Normen: Die Norm IEC/ISO 31010:2009 Abschnitt B.25 führt Monte Carlo als eine Technik der Risikobeurteilung an.

IEC / ISO 31010:2009 - Risk Assessment Techniques

Die Norm beschreibt Techniken der Risikobeurteilung. Sie ist für mich unvollständig und durcheinander!

Diese Norm ist kein Werkzeuggebinde und kein Schweizermesser für Risikomanagement, sondern ein Wühltisch für Techniken, die man auch im Risikomanagement einsetzen kann (Ich sage bewusst nicht: "nutzen kann".). Weder die textliche Aufarbeitung noch die graphische Gestaltung sind aus einem Guss. Die Techniken sind in unterschiedlicher Tiefe beschrieben: Eine Anwendung der Technik in der Praxis ist mit der Darstellung zumeist nicht möglich. Die Techniken sind in verschiedener Weise bebildert: Eine Übertragung der Technik auf konkrete Fälle ist schwierig.
Zudem beschränkt sich diese Norm auf Techniken der Risikobeurteilung / Risk Assessment nach Kapitel 5.4 der Norm ISO 31000:2009. Wo sind die Techniken der Risikobewältigung / Risk Treatment nach Kapitel 5.5 der Norm ISO 31000:2009?

Es ist zuwenig, wenn FMEA (Abschnitt B.13) nur oberflächlich beschrieben wird.
Es ist zuwenig, wenn die klassische Risikomatrix (Abschnitt B.29) dürftig bebildert wird.
Es nett (was ist nicht alles nett :-), wenn die Einsatzbereiche von Monte Carlo (Abschnitt B.25) skizziert werden.
Es ist gefährlich, wenn nicht klar wird, ob mit Risk Indices (Abschnitt B.28) nun Kennzahlen gemeint sind oder nicht.
Bleibt der Trost, dass Brainstorming beschrieben ist (Abschnitt B.1) und man mit dieser Anleitung das Gehirn über diese Norm stürmen lassen kann.

Etwas Verständnis für die Unzulänglichkeiten dieser Norm habe ich durchaus: Es ist sehr schwer, generische Techniken für Risikomanagement zu beschreiben, wenn die aktuellen Risiken, die zu Schäden "materialisiert" sind, so verschieden sind, wie die folgenden Beispiele:

• Verlust und Schaden aus spekulativem Finanzgeschäft
• Verlust und Schaden infolge von Fehlern und mangelnder Qualität
• Verlust und Schaden aus Ereignissen infolge von Naturgefahren
• Verlust und Schaden infolge von Vorspiegelung falscher Tatsachen

u.v.a.m.

Risikomatrix - Ikone des Risikomanagements / Produkt aus dem Risikomanagementprozess

Sie hat es auf die Titelseiten von Monographien gebracht. Sie ziert Logos von spezialisierten Beratungsgesellschaften. Sie ist eine Berichtsform aus praktisch jeder Risikomanagementsoftware - was auch immer Risikomanagementsoftware ist. Sie wird von internationalen Normen (IEC / ISO 31010:2009) als Werkzeug und Methode - kritiklos - empfohlen. Die zweidimensionale Risikomatrix. Sie ist Programm und (Zwischen)- "Produkt" eines Risikomanagements zugleich. Sie ist das Ergebnis des Prozesschritts "Risiken bewerten" des Risikomanagementprozesses.

Ihr liegt das Verständnis zugrunde, Risiko kann in zwei Komponenten (Wirkungsausmass und Eintrittswahrscheinlichkeit oder Häufigkeit eines Ereignisses) zerlegt werden. Ihr liegt das Verständnis zugrunde ihre beiden Komponenten miteinander kombiniert - der Einfachheit halber miteinander multipliziert - ergeben wieder Risiko. (Ob das uneingeschränkt richtig ist oder ob es immer sinnvoll - was nichts mit richtig zu tun hat -  ist, klammere ich hier bewusst aus.)

Sie gibt es halb-quantitativ mit Bewertungen durch Worte entlang der beiden Koordinidatenachsen. Sie gibt es voll-quantitativ mit Bewertungen durch Zahlen in bester Kennzahlenmanier entlang der beiden Koordinatenachsen. Und natürlich können diese Achsen in jeder Manier von linear bis logarithmisch skaliert werden.

Sie schlägt mit ihrer Verwandtschaft zur dreidimensionalen FMEA-Matrix eine Brücke zwischen Risiko- und Qualitätsmanagement, die sehr hilfreich für das Verständnis ist.

Sie kann spielen, und tut das auch sogar in einigen der großen DAX-Unternehmen, die zentrale Rolle in der Kommunikation und in der Dokumentation von Risiken in der Praxis des Betriebs von Risikomanagement.

Ich halte mal positiv fest: An der Risikomatrix lässt sich wirklich gut über Risiko reden. Das ist nie falsch.