42
42 RISIKO MANAGER 04|2017 zunächst nur: Die Risikoerkennung erfordert, dass diese drei formalen Kausalfaktoren bestimmbar sind. Der Ausgang der Situation in diesem Beispiel war aber beliebig. Es wäre vielleicht auch gar nichts passiert, oder die Flinte hätte in eine andere Richtung geschossen (NM). Das bedeutet, dass das Risiko alleine dadurch gegeben ist, dass es einen potenziellen Auslöser gibt. Die Konsequenzen aber sind und bleiben unsicher. Daher ist diese formale Konzeption in Übereinstimmung mit der Definition des Risikoforschers Terje Aven: Risiko bedeutet die Unsicherheit über die Konsequenzen von Aktivitäten [Aven 2012]. Vielleicht war das Spielen der Hunde (AN) nicht der einzige potenzielle Auslöser, jedenfalls aber der in dieser Situation relevante (A). Die formalen Kausalfaktoren beschreiben daher die in einer speziellen Situation übernommene Rolle und liefern eine hilfreiche Komplexitätsreduktion. Reduziert sich der Wirkungskreis potenzieller Wirkungen (K), so auch das Risikopotenzial und damit die daraus möglicherweise erwachsenden Risiken. Risikopotenziale sind solche, weil „Grundursachen“ nur in einem bestimmten Kontext verursachend wirken können. Der „Kausalnexus“ beschreibt die situationsspezifischen Wechselwirkungen, als (a) ihrer Konstellation zueinander: Das Risiko ist abhängig davon, ob und welche Auslöser potenziell vorhanden sind. Im Beispiel der Schussverletzung wäre es anders, wäre die Flinte nicht in Reichweite der Hunde gewesen, obwohl ein potenzieller Auslöser vorhanden war. Andererseits gibt es (b) eine bestimmte Fluktuation der Kausalfaktoren in dynamischen Situationen zueinander. Das wird an folgenden Beispielen deutlich: Beispiel 1: Rückrufaktion Samsung Galaxy Note 7 Ein lebensweltliches Beispiel für die Relevanz dieses Zugangs ist die Rückrufaktion von Samsung einer Bauserie von Smartphones im Oktober 2016, weil diese massenhaft explodiert sind. Dadurch wurde das Explosionsrisiko von Smartphones medienwirksam bekannt [vgl. T-Online 2016]. Dieses war bei dieser Bauserie offensichtlich erhöht, gilt aber grundsätzlich für alle Smartphones (G), da nicht jede Betriebstemperatur dafür geeignet ist (A). Das Risiko ist deshalb vorhanden, da Smartphones gerne jederzeit und überall benutzt werden, ohne auf die Bedingungen zu achten (AN), etwa unter dem Kopfkissen oder auf dem Wickeltisch (K) [vgl. Kurier 2013]. Somit handelt es sich hierbei um verschiedene Kontexte, die das potenzielle Schadensausmaß bestimmen, also ein sich stets veränderndes Risikopotenzial, insofern K immer bestimmbar bleibt. Im Fall des Wickeltisch-Ereignisses handelte es sich aber bereits vorauseilend um ein NM-Ereignis, und nach der Unfallpyramide ist daher die logische Konsequenz, dass es nur eine Frage der Zeit war, bis solche Ereignisse massenhaft auftreten. Damit sind nun auch „Risikopotenzialrisiken“ (RPR) definierbar, die aus solchen Risikopotenzialen erwachsen, deren Grundursachen Tendenzursachen sind, wenn zugleich genügend viele A im Wirkungsfeld einer G vorhanden sind. Ein RPR entsteht aber nicht unbedingt durch eine Änderung an G, sondern an den Wechselwirkungen zwischen G und A, was auch an A liegen kann. Eine gleichbleibende G kann zu einer Tendenzursache „mutieren“, da plötzlich viele A vorhanden sind, auf die sich G auswirkt. Mit Software-Programmen ergibt sich dieses Problem öfter: Ein schlummernder „Bug“ wird plötzlich verhängnisvoll, weil eine spezielle Funktion eines Programms frequentierter benötigt wird. Aus einem solchen Grund (G) wurden schon ganze Industrieanlagen (K) vorübergehend stillgelegt. Handelt es sich also um ein Risiko einfacher Art, mit einer Grundursache als der Bedingung der Möglichkeit zu einem Schadensereignis, gilt die einfache Abhängigkeit: umso gravierender der Schaden, desto unwahrscheinlicher das Eintreten. Im Fall eines RPR mit einer „Tendenzursache“ gilt dies nicht: Gerade weil gröbere Ereignisse unwahrscheinlicher sind, kündigen sich diese bei einem RPR meist durch mehrere Vorwarnungen an. In diesem Fall handelt es sich um einen früheren Ansatz: Ein Risikopotenzialrisiko (RPR) ist ein solches, weil zwar die Unsicherheit über die Konsequenzen von Aktivitäten bestehen bleibt, aber das dahinterliegende Potenzial – je nach RPR – darüber entscheidet, in welchem Maß die Eintrittswahrscheinlichkeiten zu allen negativen Konsequenzen erhöht sind. Beispiel 2: Nutzung von Smartphones im öffentlichen Verkehr Ein weiteres Smartphone-Beispiel wurde durch die Studie von Dekra aus dem Jahr 2016 medienwirksam [vgl. Dekra 2016]: Wegen der Nutzung von Smartphones von Fußgängern im öffentlichen Verkehr wurde das Unfallrisiko in europäischen Hauptstädten als erhöht eingestuft. Eine Risikobewertung nach der einfachen Risikoformel Eintrittswahrscheinlichkeit (E) x Schadensausmaß (S) ist nicht anwendbar [vgl. Gleißner/Romeike 2011]. Sie versagt, da mit ihr die Komplexität der Situation nicht zu erfassen ist. Nach dieser würde die im Hintergrund wirksame „Grundursache“ unbeachtet gelassen werden, wodurch E verzehrt wäre, und S wäre wegen dem alleinigen Fokus auf spezifische Ursachen verfälscht. Doch nach dem RPR-Konzept ist erkennbar: Es liegt offensichtlich eine „Tendenzursache“ vor, nämlich die „Ablenkung durch Smartphonenutzung“ (G) im Kontext des öffentlichen Verkehrs (K). Nur wenn in einer Hauptstadt aus einem bestimmten Grund K nicht mit jenem anderer Städte vergleichbar wäre, dann würde es sich um verschiedene Risikopotenziale handeln. G besitzt zwar potenzielle Wirkungen im Rahmen von K, sie ergeben aber noch kein bestimmbares Risiko. Erst durch ein Vorhandensein von A wird dies zum Risiko. A ist in diesem Fall etwa ein Fahrer, der einen Schadensfall verursacht beziehungsweise sonstige negative oder ungewollte Konsequenzen. Ein Auslöser ist er deshalb, da nicht A das Schadensausmaß (S) bestimmt, sondern die Kontextfaktoren (K), was beim Überqueren der Straße durch ein Auto anders geartet ist als beim Queren eines Fahrradstreifens. Auch wenn in erster Linie vielleicht dem Fahrer die Schuld gegeben würde, ist die tiefere Ursache doch „Ablenkung durch Smartphonenutzung“, da es offensichtlich absurd wäre, in allen Fällen immer den Fahrern die Schuld zu geben, wenn bekanntermaßen unvorsichtiges Fuß-
ERM 43 gängerverhalten vorliegt. Da davon auszugehen ist, dass in allen Städten stets potenzielle Auslöser vorhanden sind, handelt es sich in allen Fällen rein formal um dasselbe Risiko (G, K, A) = Risikoerkennung. Werden Hauptstädte mit kleineren Städten verglichen, ist wegen der höheren Menge an A – so hier nun die Annahme – ein höheres spezifisches Risiko vorhanden, welches hier als Risiko-ID bezeichnet wird, und zumindest theoretisch quantifizierbar ist, wenn auch praktisch vielleicht nur eingeschränkt. Es sind also die formale Risikoerkennung und die mathematische Risikoidentifikation zu unterscheiden. Trotz desselben Risikos unterscheiden sich daher auch die Risiko-IDs in den Hauptstädten voneinander. Da in den Ergebnissen von Dekra explizite Beispiele für Risikopotenziale angegeben werden, ist die Ermittlung einer Risiko-ID unter Zuhilfenahme von NM möglich. Beispiel 3: Schiffsunfälle Die Reederei „Viking“ erlitt im Sommer 2016 negative mediale Aufmerksamkeit. Zuletzt wegen des Großunglücks mit zwei Todesopfern auf dem Main-Donau-Kanal, bei dem ein Schiff mit einer Brücke kollidierte. Dieses Ereignis stellte die Spitze der Unfallpyramide weiterer kleinerer Unglücksfälle dar: Am 19. August lief ein Schiff auf Grund, und am 19. Juni streifte ein Schiff einen Brückenpfeiler, was zur Querlage des Schiffs führte [Quelle für alle Reedereien siehe Schiffe und Kreuzfahrten 2016]. An der Spitze steht daher ein Unfall mit Todesopfern, dem zwei Unfälle mit reinem Sachschaden und Passagierevakuierungen vorausgehen. Diese Unfallserie wird aber durch weitere Vorfälle mit Sachschäden in den früheren Jahren von Viking Schiffen fortgesetzt. Ganz im Sinn der Unfallpyramide gehen diesen tatsächlichen Unfällen eine ganze Reihe an Beinahe-Unfällen und leichten Unfällen auch bei anderen Reedereien voraus. Auch in diesem Fall würde die einfache Risikoformel versagen. Die Erweiterung um den Faktor „Häufigkeit“ bleibt ebenfalls unzureichend. Es ist zwar korrekt, dass umso häufiger Schiffe auf der Donau fahren das Risiko eines Unfallereignisses steigt. Dabei handelt es sich aber um eine rein formale und nicht realitätsnahe Annahme: Bezeichnet Häufigkeit das grundsätzliche Auftreten einer risikobehafteten Situation (G, K, A), dann wird die Häufigkeit der Risikosituation erhöht, nicht aber das der Situationen inhärente Risiko selbst. Berechenbar wird dies durch die Anwendung der Kausalfaktoren, insofern der Faktor A bestimmbar ist! A muss aber nicht in Echtzeit bestimmt werden, er kann aus aggregierten Informationen über NM gewonnen werden. Es werden zwar nicht alle Auslöser zu NM führen, da auch viele Auslöser „verpuffen“ können (und durch den Einsatz von Sicherheitsvorkehrungen auch unbedingt sollen), aber nach der empirischen Verhältnismäßigkeit innerhalb der Unfallpyramide ist davon auszugehen, dass die Menge der tatsächlichen NM die nächst größere Menge nach der Menge aller vorhandenen Auslöser ist, und daher eine realistische Schätzung über die potenziell wirksamen Auslöser ergibt. Die statistische Verhältnismäßigkeit der Unfallpyramide besagt nun, dass in dem Maß, in dem Vorwarnungen, Beinahe-Unfälle und leichte Unfälle zunehmen, auch die Wahrscheinlichkeit zu größeren ansteigt, deshalb, weil eben auch Extremwerte mit der Häufigkeit an Werten zunehmen. Umso häufiger also Auslöser einen „Weg finden können“ (siehe hierzu das „Schweizer-Käse-Modell“ von James Reason), desto häufiger wird etwas geschehen. Daher spiegelt erst die Hinzunahme von NM die aktuelle Situation realistisch wider. Das RPR-Konzept legt nun den Fokus auf die verursachenden Faktoren: Aus den Nachrichten ist zu entnehmen, dass zumindest zwei präzise bestimmbare Kausalfaktoren gegeben sind: Brücken sind offenbar eine „Tendenzursache“. Das ist ein eher ungewöhnlicher Befund und nur nach dem holistischen Kausalverständnis nach RPR nachvollziehbar. Sie sind eine Ursache, weil sie einen konstant auftretenden „unsicheren Zustands“ bei der Durchfahrt von Kreuzfahrtschiffen verursachen. Somit ist es zulässig, alles als „G“ anzunehmen, was sich in der Realität als „G“ offenbart: von Finanzzuständen über die soziale Spannung am öffentlichen Platz zwischen verschiedenen Personengruppen und gewissen Umweltfaktoren bis zum „mangelhaften Klebstoff“. Im Fall der Donaukreuzfahrt ließe sich diese Behauptung beispielsweise mit einem Pareto-Diagramm oder einer ABC-Analyse überprüfen: erfolgt die überwiegende Mehrheit der Unfälle (Chiffre 80 Prozent) bei Brücken (Chiffre 20 Prozent aller Ursachen). Denn nicht alle Brücken müssen „Tendenzursachen“ (= Tendenz zu Möglichkeiten innerhalb eines Spektrums potenzieller Schäden) sein, dass heißt es kann auch besonders relevante Brücken geben, während für Motorboote (K) nur von einer „Grundursache“ (= Bedingung der Möglichkeit innerhalb eines Spektrums potenzieller Schäden) auszugehen ist. Wenn nun medial verlautbart wird, dass die Unfallursache ungeklärt ist, weil der Grad der Zerstörung des Steuerhauses beim Unfall mit Todesopfern dies nicht zu erheben erlaubt, bedeutet das nach dem Kausalschema aber, dass der Auslöser, sei er technisch, organisatorisch oder personal, nicht gefunden wurde. Die Lösung bestünde darin, NM ernst zu nehmen, die Lehren daraus zu ziehen und auch ein geeignetes Risikomanagement einzuführen. Der Zugang über formale Kausalfaktoren ist allgemein anwendbar [zur Entwicklung siehe Brunnhuber 2016], und trotz eines gewissen Grads an Vagheit nicht beliebig. Die Kausalfaktoren konkretisieren sich situationsspezifisch gegenseitig: Ein G kann nicht willkürliche A haben, ein A kann nur im Rahmen von einem gewissen K auslösend wirken. Ein Risikopotenzial wird damit realistisch bestimmbar ( Infobox 02: Fragen-Heuristik 1). Der formale Zugang umgeht zumindest einen Kardinalfehler, welcher dazu führte, dass ein Erklärungskonzept in den Sicherheitswissenschaften das andere ablöste. Der besonders einflussreiche Sicherheitsexperte Jens Rasmussen merkte dazu an: Unfallursachen werden nicht gefunden, sie werden konstruiert. Das bedeutet nicht, dass es keine Ursachen gibt, sondern nur, dass sie je nach Modell anders verstanden werden und alle Modelle und Erklärungen notwendige Vereinfachungen sind. Eine plausible Ursache muss also längst nicht „wahr“ sein. Deshalb werden typische Beispiele von Unfällen und Katastrophen stets mit neuen Methoden und Modellen analysiert.
