safety & risk solutions Tailoring Safer Systems Das Magazin von safety & risk solutions The magazine of safety & risk solutions

Schlagwort: Essay

  • Was zwischen den Audits passiert

    Was zwischen den Audits passiert

    Ein Audit ist eine Momentaufnahme. Es prüft an einem festgelegten Datum, ob die Dokumentation den Anforderungen entspricht und die Verfahren so beschrieben sind, wie sie beschrieben sein müssen. Was es nicht prüft, ist, ob die Organisation ihre eigenen schwachen Signale sieht und aus Beinahevorfällen lernt. Diese Distinktion klingt akademisch, ist aber operativ folgenreich: Sie entscheidet darüber, ob eine Organisation ihre Sicherheit am Audit-Datum aufbaut oder dazwischen.

    Eine Polemik gegen Audits braucht es dafür nicht. Audits leisten, was sie sollen. Die ernsthafte Frage ist, was sie strukturell nicht leisten können. Und was an dieser Stelle daneben stehen muss, damit das, was zwischen den Audits passiert, nicht ein blinder Fleck der Organisation wird.

    Was Audits eigentlich messen

    Audits messen Konformität in einem definierten Beobachtungsfenster. Sie prüfen, ob die Dokumentation zum Zeitpunkt der Begehung das zeigt, was sie zeigen muss, und ob die Verfahren beschrieben sind, wie sie beschrieben sein müssen. Das ist eine berechtigte und nicht-triviale Aufgabe. Sie hat ihren Platz in der Vertrauenslandschaft, die komplexe Gesellschaften brauchen. Niemand würde in ein Flugzeug einer Airline ohne Zertifizierung steigen, kein Spital arbeitet ohne Akkreditierung, kein industrieller Betreiber operiert ohne regulatorischen Rahmen. Audits leisten diese Vertrauensproduktion über ein soziales Verfahren, dessen Funktion Michael Power in The Audit Society schon Ende der Neunziger präzise beschrieben hat: sie sind «rituals of verification», nicht Messinstrumente für die Eigenschaft, die sie zu prüfen vorgeben. Sie produzieren ein nachvollziehbares Bild von Ordnung, und dieses Bild ist anschlussfähig an Versicherung, Recht und Konzernreporting.

    Powers Pointe ist nicht, dass Audits nutzlos seien. Sie ist, dass das, was sie produzieren, nicht mit dem identisch ist, was sie zu produzieren scheinen. Ein bestandenes Audit sagt, dass das, was zum Zeitpunkt der Begehung dokumentiert war, den Anforderungen entsprach. Es sagt nichts darüber, ob die Organisation die schwachen Signale ihrer eigenen Praxis sieht, ob sie aus Beinahevorfällen lernt, ob ihre Anpassungsfähigkeit unter realem Druck reicht. Diese Eigenschaften sind nicht dokumentierbar in der Form, in der ein Audit dokumentierbare Befunde verlangt. Sie sind Prozesse, keine Zustände, und ein Audit ist konstruiert, um Zustände zu prüfen.

    Wer diese Distinktion nicht macht, baut sich eine Sicherheitsvorstellung, in der Compliance und Sicherheit dasselbe sind. BP hatte vor der Explosion in Texas City 2005 eine «lost time injury»-Rate, die unter dem Branchendurchschnitt lag, und ein Audit-Resultat, das diese Zahl bestätigte. Was sich gleichzeitig im selben Werk verschlechterte, war die Prozesssicherheit: ein Bereich, der von den geltenden KPIs nicht erfasst war. Andrew Hopkins hat das in Failure to Learn mit einer Klarheit beschrieben, die immer noch wehtut: die Organisation steuerte das, was sie messen konnte, und blendete das aus, was sich der Messung entzog. Das Audit bestätigte die Messung.

    Audits prüfen, ob das dokumentiert ist, was dokumentiert sein soll. Sie prüfen nicht, ob die Organisation sieht, was sie sehen müsste.

    Audit-Vorbereitung wird zur Daueraufgabe

    Aus dieser strukturellen Eigenschaft folgt eine zweite, die in vielen Organisationen sichtbar wird, sobald man auf die Aufwandverteilung über das Jahr schaut. Audit-Vorbereitung ist zu einer Daueraufgabe geworden, mit eigenen Ressourcen, eigenen Rollen, eigenen Quartalsrhythmen. Eine interne Compliance-Funktion, die das ganze Jahr darauf hin arbeitet, dass die externe Begehung gut verläuft. Pre-Audits, Mock-Audits, Action-Listen, «Gap-Analysen», die das Ergebnis vorwegnehmen sollen. Das ist nicht dumme Bürokratie, sondern die nachvollziehbare Reaktion auf einen Audit-Modus, der über die letzten zwanzig Jahre dichter, formalisierter und folgenreicher geworden ist.

    Schwierig wird diese Rationalität dort, wo sie Aufmerksamkeit verdrängt. Aufmerksamkeit ist endlich, Linienzeit ist endlich, und das, was sich in einem Audit auszahlt, konkurriert um genau diese Ressourcen mit dem, was sich in einem Audit nicht zeigen lässt. Erik Hollnagel beschreibt diesen Effekt in Safety-II in Practice als systematische Verstärkung des Work-as-Imagined: je dichter die Vorgabe, desto stärker arbeitet die Organisation an der Pflege der Vorgabenwelt. Was sie an Aufmerksamkeit dort einsetzt, fehlt der Beobachtung des Work-as-Done. Die Lücke zwischen den beiden wächst gerade dort am stärksten, wo am meisten dokumentiert wird, weil die Dokumentation eine eigene Realität schafft, die Pflege braucht.

    Die Verdrängung geschieht ohne böse Absicht. Sie folgt der Mechanik der Priorisierung unter Termindruck: ein operatives Signal, das nicht audit-relevant ist, wandert nach hinten, und «nach hinten» heisst im Jahresrhythmus bis zum nächsten Quartal, in dem dieselbe Logik wieder greifen wird. Im Moment der Priorisierung ist die Verschiebung sachlich korrekt. Über die Zeit ist sie ein Muster: was sich der Audit-Form entzieht, kommt selten zurück auf den Tisch.

    Konkret: Im November meldet eine Schichtführerin eine Anomalie an einer Mess-Stelle, die in keiner Audit-Checkliste auftaucht. Die Vorgesetzte ordnet es ein als «an Q1 weiterleiten». Das Q4-Audit läuft sauber. Im Q1 läuft die Vorbereitung des nächsten Audit-Sets, die Anomalie steht auf einer Liste, die niemand mehr öffnet. Im April hat ein anderer Schichtdienst auf derselben Mess-Stelle einen Beinahevorfall, der mit der ursprünglichen Meldung zusammenhängt. Die Verbindung sieht niemand mehr.

    Wer dieses Muster sehen will, muss aus der Audit-Logik heraustreten. Innerhalb ihrer Sortierung sieht jede einzelne Verschiebung nach sauberer Arbeit aus.

    Was daneben stehen muss

    Audits abzuschaffen ist weder möglich noch sinnvoll. Sie haben ihre Funktion, sie sind in Versicherungs- und Regulierungslogiken eingebaut, sie produzieren das Vertrauen, das eine arbeitsteilige Wirtschaft braucht. Was sie nicht leisten, muss daneben geleistet werden. Daneben, nicht statt.

    Das ist keine elegante Antwort. Sie verlangt eine zweite Schicht, die in den Normalbetrieb gehört und eine andere Logik hat als die Audit-Schicht. Diese zweite Schicht hat in der Resilience- und HOP-Literatur einen Namen: Operational Learning. Sie ist nicht die Sammlung von Lessons Learned aus Vorfallberichten. Sie ist der laufende Abgleich des Bildes der Arbeit mit dem, was im Betrieb tatsächlich passiert, bevor es zu einem Ereignis wird.

    Todd Conklin entwickelt in Pre-Accident Investigations zwei Werkzeuge, die für genau diese zweite Schicht konstruiert sind. Das erste sind Learning Teams: kleine, zeitlich begrenzte Gruppen aus Operating-Personal und einer Moderation, die sich nach einem Beinahevorfall oder einer Routineaufgabe für eine bis zwei Stunden hinsetzen. Ihre Aufgabe ist nicht, eine Lösung zu finden. Sie ist, zu rekonstruieren, was tatsächlich getan wurde, und es mit dem zu vergleichen, was hätte getan werden sollen. Der Output ist eine Beobachtung, keine Massnahme. Genau dieser Verzicht auf das Massnahmenformat ist die Bedingung, unter der die Beobachtung scharf wird. Wer sofort Lösungen sucht, sieht nichts mehr.

    Das zweite sind Pre-Job Briefs. Damit gemeint sind nicht die formellen Sicherheitsinstruktionen, die jeder kennt, sondern kurze strukturierte Gespräche am Beginn einer nicht-routinierten Tätigkeit: Was könnte schiefgehen. Welcher Trigger heisst, dass wir abbrechen. Wer hat in welcher Situation das Sagen. Der Output ist ein geteiltes mentales Modell, keine Liste. Eine gut gemachte Pre-Job-Brief-Praxis ist in einem Audit schwer zu zeigen, weil sie kein Papier hinterlässt. Sie ist in der täglichen Sicherheit wirksam, weil sie das, was schiefgehen kann, vor dem Tun zur Sprache bringt.

    Beide Werkzeuge teilen ein Prinzip. Sie sind auf das Sehen ausgerichtet, nicht auf das Steuern. Die Audit-Schicht steuert, was sichtbar dokumentiert ist. Die Lernschicht macht sichtbar, was in der Steuerung nicht ankommt. Steven Shorrock und Claire Williams nennen das in ihrer Arbeit über Human Factors in der Praxis die «professional curiosity» der lernfähigen Organisation: die Bereitschaft, das eigene Bild der Arbeit immer wieder mit der tatsächlichen Arbeit abzugleichen. Das ist kein einmaliges Projekt. Es ist eine laufende Praxis.

    Wichtig ist die Abgrenzung zu dem, was viele Organisationen unter «Lessons Learned» rapportieren. Lessons Learned sind ein Output-Format: was wir aus einem abgeschlossenen Vorfall mitnehmen, formuliert als Massnahme oder Erkenntnis, ablegbar in einem System, zitierbar im nächsten Audit. Operational Learning im Sinn von Conklin ist kein Output, sondern ein laufender Modus, in dem die Organisation ihr Bild der Arbeit fortwährend nachschärft. Das eine schliesst etwas ab, das andere hält etwas offen.

    Ein Beispiel zeigt den Unterschied am schärfsten. Ein Beinahevorfall in einem Kontrollraum: ein Operator stuft einen Alarm anders ein, als die Designer es vorgesehen hatten. Im Lessons-Learned-Format wird daraus eine Massnahme. «Alarm-Beschriftung präzisieren, Operator nachschulen.» Erledigt, abgehakt, im System ablegbar. Im Operational-Learning-Format wird daraus eine Beobachtung. «Operator unter Belastung X liest den Alarm im Kontext anderer Signale anders als der Designer annahm. Das Muster wiederholt sich unter Bedingungen Y. Was wir nicht wissen, ist, welche kontextuellen Cues die Interpretation mitsteuern.» Eine Frage statt eines Ergebnisses. Statt die Untersuchung abzuschliessen, hält sie sie offen.

    Wer Operational Learning in das Lessons-Learned-Format presst, hat das Konzept gerade verloren.

    Warum das schwerer ist als es klingt

    Die Audit-Logik und die Lernlogik konkurrieren um dieselbe Ressource: die Aufmerksamkeit der Linie. Die Audit-Logik gewinnt diesen Wettbewerb fast immer, weil ihre Konsequenzen kurzfristig und sichtbar sind. Ein verfehltes Audit zieht Nachfragen, Berichte, Rechtfertigungen nach oben. Eine ausgelassene Learning-Team-Sitzung zieht nichts. Sie wird einfach nicht gemacht, und niemand merkt es, bis ein Ereignis passiert, dessen Zusammenhang mit der unterlassenen Lernarbeit sich nicht mehr eindeutig zeigen lässt.

    Dazu kommt: Operational Learning hat keinen schönen KPI. Eine Organisation kann die Anzahl der durchgeführten Learning Teams zählen, aber sobald sie das tut, beginnt sie, das Format zu erfüllen statt es zu nutzen. Charles Goodhart hat diesen Effekt 1975 für die ökonomische Steuerung beschrieben: Sobald eine Kennzahl zum Steuerungsziel wird, verliert sie die Eigenschaft, die sie zur guten Kennzahl machte. Das macht die Lernschicht im Reporting nach oben sperrig, und Sperrigkeit ist in Organisationen unter Effizienzdruck eine knappe Eigenschaft.

    Wer diese zweite Schicht aufbauen will, akzeptiert, dass sie nicht in derselben Sprache rapportierbar ist wie die Audit-Schicht. Sie verlangt eine Geschäftsleitung, die Zeit und geschützte Räume freigibt, ohne sofort eine Wirkungsmessung zu verlangen. Sie verlangt eine Linie, die Beobachtung als legitime Tätigkeit anerkennt, nicht nur als Mittel zum Massnahmenzweck. Das ist die anspruchsvollere Form von Sicherheitsarbeit, und sie ist genau die, die zwischen den Audits passiert oder eben nicht passiert.

    Wo das Audit hingehört

    Audits werden bleiben, weil sie funktional sind. Was neben ihnen fehlt, ist die zweite Schicht: eine laufende Lernpraxis, die das Audit nicht ersetzt, aber die Sicherheitsarbeit übernimmt, die das Audit strukturell nicht leisten kann. Erst mit dieser zweiten Schicht wird das Audit zu dem, was es sein sollte: eine Bestätigung des Zustands, den die Organisation kennt. Nicht die Hauptquelle ihrer Sicherheitserkenntnis.

    Quellen

    • Michael Power – The Audit Society: Rituals of Verification, Oxford University Press 1997
    • Todd Conklin – Pre-Accident Investigations: An Introduction to Organizational Safety, Ashgate 2012
    • Erik Hollnagel – Safety-II in Practice: Developing the Resilience Potentials, Routledge 2018
    • Andrew Hopkins – Failure to Learn: The BP Texas City Refinery Disaster, CCH Australia 2008
    • Steven Shorrock & Claire Williams – Human Factors and Ergonomics in Practice, CRC Press 2017
  • Der Mensch ist nicht die Schwachstelle

    Der Mensch ist nicht die Schwachstelle

    15. Januar 2009. US Airways Flug 1549 hebt um 15:25 Uhr von LaGuardia ab, Richtung Charlotte. Knapp anderthalb Minuten später, in 2’800 Fuss über Manhattan, fliegt der Airbus A320 in einen Schwarm Kanadagänse. Beide Triebwerke verlieren Schub, fast simultan. Was Captain Chesley «Sully» Sullenberger und First Officer Jeffrey Skiles in den nächsten drei Minuten tun, steht in keinem Manual. Es gibt keine Checkliste für «dual engine flameout at 2’800 feet over Manhattan». Die Engine-Restart-Procedure, an der sie sich der Form halber abarbeiten, ist für Höhen über 20’000 Fuss konzipiert. Sie passt schon im ersten Schritt nicht. Sully entscheidet, die Maschine nicht zum Flughafen Teterboro zurückzubringen, wie der Tower vorschlägt (er sieht in zwanzig Sekunden, dass das nicht reicht), sondern auf den Hudson zu setzen. Eine Entscheidung, die kein Verfahren vorsieht, weil kein Verfahren sie vorsehen kann. Alle 155 Menschen an Bord überleben.

    In der späteren NTSB-Aufarbeitung wird errechnet, dass das Flugzeug Teterboro hätte erreichen können, wenn die Crew sofort gewendet hätte, ohne den Engine-Restart zu versuchen, ohne die Sekunden zu verbrauchen, in denen ein Mensch das Unmögliche zu beurteilen versucht. «Hätte erreichen können», unter Bedingungen, die im Cockpit niemand kannte: Crew im Simulator, vorbereitet auf das Szenario, mit Triebwerksdaten, die real keiner haben konnte. Sully selbst hat dazu in der Anhörung gesagt: It was not realistic. Er hatte recht.

    Das ist die Geschichte, die zum Klassiker wurde. Sie wird in Trainings gezeigt, in Talks zitiert, auf LinkedIn geteilt. Was an ihr selten gesagt wird, ist die Stelle, an der sie unbequem wird, die Stelle, an der das Lob für den Captain und die Sicherheitslogik unserer Branche auseinanderfallen müssten.

    Was Sully an diesem Tag rettete, war nicht das Verfahren. Es war die Bereitschaft, das Verfahren zur Seite zu legen, sobald klar wurde, dass es nicht passt. Es war die Erfahrung, in Sekunden eine Maschine in Beziehung zu Geographie zu setzen, die er aus Tausenden Flugstunden kannte. Es war ein Cockpit, in dem zwei Menschen schnell und ohne hierarchische Reibung kommunizieren konnten. Und es war eine Organisation, die in den Jahren davor genug Vertrauen aufgebaut hatte, dass ein Captain die Verantwortung für eine Wasserlandung übernahm. Und nachträglich nicht dafür gerügt wurde, dass er vom Skript abwich.

    In der dominanten Sicherheitslogik unserer Zeit ist genau dieser Moment eine Anomalie. «Menschliches Versagen» ist die Standarderklärung für die meisten Vorfälle. Was nennen wir das, was Sully tat, in derselben Sprache?

    Die übliche Diagnose

    Die übliche Diagnose nach einem Vorfall geht vorhersehbar. Sie läuft in zwei Stufen: erst «menschliches Versagen», dann «mehr Standardisierung». Wer hätte es besser machen sollen, was hätte er tun müssen, welches Verfahren wurde nicht eingehalten? Das Vokabular ist eingespielt, die Schlussfolgerung steht meist vor der Untersuchung: präziseres Manual, schärfere Schulung, stärkere Compliance.

    Was diese Logik nicht greift, ist die Asymmetrie zwischen dem, was als «Versagen» zählt, und dem, was als «Erfolg» registriert wird. Sully gilt heute als Held. In dem Moment, in dem er die Restart-Checkliste verlässt, hätte ihn jede formal getriebene Untersuchung als «procedural deviation under pressure» lesen müssen. Hätte das Flugzeug den Hudson nicht erreicht, wäre Sully heute ein Beispiel für «inadequate procedural compliance». Die Geschichte hängt am Ergebnis, nicht am Tun.

    Genau hier wird Erik Hollnagels Punkt aus Safety-II in Practice operativ: dasselbe Verhalten, das wir nach einem Vorfall als Versagen klassifizieren, ist die Bedingung dafür, dass das System die meisten Tage durch den Tag kommt. Menschen passen Verfahren laufend an die Realität an, in der die Verfahren nicht passen. Wenn es gut geht, redet niemand davon. Wenn es schief geht, wird die Anpassung zum Symptom, das es zu verhindern gilt.

    Das ist nicht ein methodischer Schönheitsfehler von Vorfalluntersuchungen. Es ist die strukturelle Grundlage einer Sicherheitslogik, die mit dem Begriff «menschliches Versagen» nicht beschreibt, was passiert ist, sondern was nicht hätte passieren sollen. Eine Diagnose, die immer schon weiss, wo das Problem liegt (beim Menschen), und entsprechend nichts mehr lernt.

    Es wäre zu einfach, dieses Lese-Muster als blossen Erkenntnisrückstand zu verbuchen. Die Old View überlebt nicht, weil ihre Vertreterinnen und Vertreter zu wenig gelesen hätten. Sie überlebt, weil sie eine Reihe institutioneller Bedürfnisse sehr effizient bedient. Sie liefert klare Zurechnung: eine Person, eine Schuld, ein abgeschlossener Fall. Sie passt zur Versicherungs- und Haftungslogik, die nach individueller Verantwortung fragt. Sie ist im Geschäftsleitungs-Reporting ohne Übersetzungsverlust darstellbar: Mitarbeiter X hat Verfahren Y nicht eingehalten, Schulung Z ist die Antwort. Sie minimiert vor allem die Notwendigkeit, das System selbst (und damit die Entscheidungen derjenigen, die es gestaltet haben) in Frage zu stellen. Gegen all das anzuargumentieren, ist nicht in erster Linie eine Frage des besseren Wissens. Es ist eine Frage, wer die Kosten der Verschiebung trägt.

    Die heimliche Wahrheit

    Wenn wir ehrlich auf einen durchschnittlichen Arbeitstag in einer Hochrisikoorganisation schauen, sehen wir nicht, was im Handbuch steht. Wir sehen Tausende kleine Anpassungen, von denen die meisten nie aufgeschrieben werden. Und ohne die das System nicht überleben würde.

    Eine Pflegende kombiniert Anordnungen, weil das Originalverfahren in der konkreten Konstellation nicht passt. Ein Industrieoperator nimmt einen Schritt vorweg, weil das Werkzeug, das im Verfahren genannt ist, gerade unterwegs zur Wartung ist. Ein Pilot folgt der Checkliste in einer Reihenfolge, die der Lage angemessener ist als die im Handbuch vorgegebene. Ein Feuerwehrmann setzt das Strahlrohr zwei Meter näher an, als die Standardformation vorschreiben würde, weil er die Geometrie des Brandes anders liest.

    Was Hollnagel das efficiency-thoroughness trade-off nennt (die ständige Abwägung zwischen Aufwand und Vollständigkeit, die unter realen Bedingungen nicht wegtrainiert werden kann), ist keine Ausnahme. Es ist die Form, in der Arbeit verrichtet wird. Steven Shorrock spricht in seinen Beiträgen auf humanisticsystems.com deshalb von adjustments als der eigentlichen Sicherheitssubstanz: der ständige, unsichtbare Strom kleiner Korrekturen, durch den Verfahren mit Realität verbunden bleiben.

    Diese Anpassungen gehen nirgendwo in die Statistik ein. Sie tauchen nicht in den Sicherheits-KPIs auf. Sie sind nicht Teil der Compliance-Reports. Sie passieren, weil sie passieren müssen. Und weil keiner darüber redet, weiss niemand, wie viele es täglich sind und worauf sie sich stützen. Die Organisation ist auf eine Resilienz angewiesen, deren Existenz sie offiziell nicht anerkennt.

    Genau das, was die Sicherheitslogik verlangt (strikte Verfahrenstreue), ist das, was Sicherheit unter realen Bedingungen unterminiert.

    Was Old-View-Denken kostet

    Solange die offizielle Logik den Menschen als Schwachstelle adressiert, hat diese unsichtbare Anpassungsarbeit einen impliziten Status: sie ist toleriert, solange nichts passiert, und wird sanktioniert, sobald etwas passiert. Das hat zwei Folgen, die zusammen das Lernsystem der Organisation aushöhlen.

    Erstens lernen Mitarbeitende (schnell und in jedem Betrieb), dass Anpassungen besser nicht dokumentiert werden. Wer etwas tut, das vom Verfahren abweicht, und das in einem Bericht festhält, riskiert Konsequenzen, die nicht in der Anpassung selbst liegen, sondern in der Tatsache, dass sie sichtbar wurde. Die rationale Antwort ist, sie nicht sichtbar zu machen. Damit verliert die Organisation den einzigen Zugang zu der Frage, wie sie eigentlich funktioniert.

    Zweitens werden die Mitarbeitenden, deren Anpassungsarbeit das System trägt, gleichzeitig diejenigen, denen man die Verantwortung zuschiebt, wenn das System trotzdem versagt. Das ist nicht nur unfair. Es ist destruktiv. Es erzieht Menschen dazu, weniger zu denken, weniger zu beobachten, weniger zu kompensieren, weil jede Kompensation, falls sie sichtbar wird, zur Anklage werden kann.

    Was stattdessen gehen würde

    Was die Alternative wäre, ist nicht: Verfahren abschaffen. Die Alternative ist, Verfahren als das zu behandeln, was sie sind: eine erste Annäherung an eine komplexe Realität, die in jeder einzelnen Anwendung neu kalibriert werden muss. Was zwischen Verfahren und Anwendung passiert, ist kein Defekt. Es ist die Stelle, an der Sicherheit hergestellt wird.

    Operativ heisst das: Anpassung sichtbar machen, ohne sie zur neuen Vorschrift zu erheben. Eine Organisation, die regelmässig fragt, wo sind wir in dieser Woche vom Verfahren abgewichen, warum, mit welchem Ergebnis, lernt etwas, was Audits nicht liefern können. Sie lernt, wie ihre Arbeit tatsächlich verrichtet wird. Wer die Antwort nicht hören will, sollte nicht fragen. Wer sie hören will, muss die Bereitschaft haben, das Verfahren gegebenenfalls anzupassen, nicht den Menschen, der es im Moment der Wahrheit umgangen hat.

    Todd Conklins HOP-Linie macht aus dieser Einsicht ein Werkzeug: Learning Teams statt Investigations, Pre-Job Briefs statt formalisierter Job Safety Analyses, Operational Learning statt Root Cause Analysis. Die Verschiebung im Vokabular ist keine Kosmetik. Sie verschiebt die Frage von «wer hat versagt?» zu «was haben wir noch nicht verstanden, und wie verstehen wir es als Nächstes besser?».

    Praktisch sind das kleine, regelmässige Formate, die unterhalb der Schwelle einer Vorfalluntersuchung greifen. Ein wöchentliches Learning Team von 30 Minuten, in dem jemand kurz erzählt, wo das Verfahren in dieser Woche nicht passte, ohne Konsequenzen, ohne Protokollpflicht. Ein Pre-Job Brief vor einer ungewöhnlichen Operation, der fragt, was diesmal anders ist und welche Annahme heute nicht trägt. Eine After-Action Review auch nach normalen Tagen, weil jeder normale Tag etwas Lernbares enthält. Diese Formate sind bekannt. Sie scheitern in den meisten Organisationen nicht an mangelndem Wissen, sondern daran, dass sie ohne psychologische Sicherheit zu nichts führen. Wer in der Lerngruppe etwas zugibt, was später in der Personalakte landen könnte, schweigt. Und die Lerngruppe verkommt zur leeren Übung.

    Damit ist eine Voraussetzung benannt, die in vielen Organisationen nicht gegeben ist: dass Sprechen ohne Strafe möglich ist. Just Culture im engen Sinn. Ohne diese Voraussetzung bleibt der Rest Kosmetik: auch HOP, auch Safety-II, auch die freundlichste Lerngruppe der Welt. Mit ihr wird die unsichtbare Anpassungsarbeit zu dem, was sie sein könnte: die Lernquelle einer Organisation, die ehrlich über ihren eigenen Betrieb reden will.

    Die unbequeme Frage

    Zurück zu Sully, kurz nach 15:31 Uhr, einer der ungewöhnlichsten Wasserlandungen der zivilen Luftfahrt. Die Geschichte wurde später zur Hollywood-Verfilmung, der Captain zum Helden. Was in der Erzählung gerne vergessen wird, ist die Frage, die im Hintergrund mitläuft: in welcher Organisation hätte er das tun können, ohne nachträglich für die Verfahrensabweichung sanktioniert zu werden?

    In den meisten Hochrisikobranchen lautet die ehrliche Antwort: nicht in vielen. Wer seine Mitarbeitenden konsequent als Schwachstelle behandelt, wird Mitarbeitende bekommen, die genau das werden, nicht aus Boshaftigkeit, sondern aus Selbstschutz. Sie werden aufhören, von Skripten abzuweichen, und sich darauf einstellen, dass ein Tag, an dem etwas Unvorhergesehenes passiert, einfach kein guter Tag wird, weil sie nichts mehr in der Hand haben, was nicht im Manual steht.

    Wenn Sicherheit das ist, was wir wollen, müssen wir aufhören, den Menschen als das Problem zu lesen, das es zu beheben gilt. Wir haben die Wahl: entweder behandeln wir die Anpassungsarbeit als das, was sie ist (die unsichtbare Substanz unserer Sicherheit), oder wir reden darüber weg, bis niemand mehr da ist, der im nächsten Moment auf den Hudson setzt.

    Quellen

    • Erik Hollnagel – Safety-II in Practice, Routledge 2018
    • Steven Shorrock – Beiträge auf humanisticsystems.com (Work-as-Done, Adjustments)
    • Sidney Dekker – The Field Guide to Understanding Human Error, 3. Aufl., CRC Press 2014
    • Todd Conklin – Pre-Accident Investigations, Ashgate 2012
    • NTSB – Accident Report AAR-10/03, Loss of Thrust in Both Engines After Encountering a Flock of Birds and Subsequent Ditching on the Hudson River, US Airways Flight 1549, 2010
  • Was es heisst, ein System zu schneidern

    Was es heisst, ein System zu schneidern

    Eine Schneiderei, irgendwo in der Innenstadt. Hinterzimmer, zwei Spiegel, ein Tisch voller Stoffbahnen, Kreide und Stecknadeln auf einer Pinnwand. Ein Mann steht auf einem niedrigen Podest, im Rohzuschnitt aus heller Wolle, und der Schneider geht um ihn herum. Er nimmt nicht nur Mass. Er beobachtet. Er sieht, wie der Kunde das Gewicht verlagert, wie er die Schultern hält, ob die Naht hinten einseitig zieht. Eine Markierung mit Kreide, dort, wo es noch nicht passt. Dann wieder Massband, dann ein Stich, dann ein Probieren. Anpassen. Wieder probieren.

    Was hier passiert, ist nicht das Anlegen eines Anzugs. Es ist ein Gespräch zwischen Stoff, Körper und Gewohnheit. Der Schneider weiss, dass kein Mensch genau so steht, wie das Schnittmuster es annimmt. Er weiss, dass die Nähte, die in der Mitte sitzen sollen, sich verschieben werden, sobald der Mensch sich bewegt. Er rechnet damit. Er baut Reserven ein, an Stellen, an denen er weiss, dass der Stoff sich finden muss. Er ist nicht überrascht, wenn er noch zweimal kommen muss. Das ist sein Beruf.

    Was hat diese Werkstatt mit Sicherheit zu tun? Das ist die Frage, der dieses Magazin den Namen verdankt. Die Pointe habe ich im einleitenden Beitrag Drei Annahmen, die wir hinter uns lassen müssen ausgeführt, kurz wiederholt: Sicherheit entsteht nicht, wenn Menschen sich an Systeme anpassen, sondern wenn Systeme so gestaltet werden, dass sie sich an Menschen anpassen lassen. Tailoring Safer Systems. Was im Englischen wie ein verschmolzenes Doppelwort klingt, ist im Deutschen unhandlicher: Systeme schneidern. Mass nehmen, Schnitt zeichnen, Probieren, Tragen, Nachbessern, der Prozess wiederholt sich, mit anderer Sache. Und genau wie in der Schneiderei ist es kein einmaliger Akt, sondern eine Haltung.

    Was diese Haltung an Konzept und Werkzeug verlangt, will ich hier ausbreiten. Drei Prinzipien, jedes mit einem Begriff, den du aus der Literatur kennst.

    Mass nehmen, nicht annehmen

    Der Schneider, der das Massband nicht aus der Hand legt, weiss etwas, das in vielen Sicherheitsabteilungen als überflüssiger Aufwand gilt: dass die Realität nicht im Schnittmuster steht.

    Steven Shorrock und Claire Williams haben die Unterscheidung, die seit Hollnagel zum Kernvokabular der Human-Factors-Tradition gehört, in Human Factors and Ergonomics in Practice so einfach formuliert, dass sie als Test funktioniert. Work-as-Imagined ist die Vorstellung von Designern, Auditierenden, Geschäftsleitungen davon, wie Arbeit verrichtet wird. Work-as-Done ist, was Mitarbeitende tatsächlich tun. Dazwischen liegt regelmässig eine Lücke. Die Frage ist nicht, ob es sie gibt. Die gibt es immer. Die Frage ist, ob die Organisation sie kennt.

    Wer sie nicht kennt, schneidert in die Annahme hinein. Er entwirft Verfahren auf Grundlage dessen, was sein Modell sagt. Und das Modell sagt, was bequem ist, was nach Massstäben des Audits noch lesbar ist, was geschäftsleitungstauglich klingt. Das Verfahren passt dann zur Annahme, nicht zur Praxis. Nach kurzer Zeit driften Praxis und Verfahren auseinander, ohne dass jemand das wahrnimmt, weil niemand jemals nachgemessen hat, wie der Stoff tatsächlich fällt.

    Was Mass nehmen konkret heisst, ist nicht spektakulär. Es heisst Beobachten. Es heisst Walk-the-Talk: das, was angelsächsisch als Gemba Walk aus der Lean-Tradition bekannt ist und in der Sicherheitswelt unter Begriffen wie «operational learning visit» wandert. Es heisst Shadowing über mehr als eine Schicht. Es heisst Fragen, die offen genug sind, dass sie nicht schon die Antwort enthalten: nicht «Halten Sie sich ans Verfahren?», sondern «Wann hat das Verfahren bei Ihnen das letzte Mal nicht gepasst, und was haben Sie stattdessen gemacht?»

    Diese Fragen produzieren regelmässig Antworten, die niemand sehen will. Mitarbeitende beschreiben Workarounds, die in den Augen der Compliance Verstösse sind und in den Augen des Systems die einzige Methode, an einem Tag durchzukommen, an dem ein Werkzeug fehlt, eine Vertretung neu ist, die Anlage seit dem Update zickt. Die Versuchung ist gross, diese Antworten als Defekt zu lesen. Und damit zu schliessen. Die Anstrengung besteht darin, sie als Befund zu lesen.

    Wer Mass nimmt, akzeptiert, was er sieht. Was er sieht, ist regelmässig nicht das, was im Schnittmuster steht. Genau deshalb steht er da.

    Mass nehmen ist nicht Compliance auf Probe. Es ist die Bereitschaft, etwas zu sehen, was die eigene Annahme widerlegt.

    Den Stoff respektieren

    Nicht jeder Stoff lässt sich beliebig schneidern. Wer einen weichen Strick wie einen festen Wollstoff behandelt, bekommt eine Naht, die nicht hält. Der Schneider kennt die Eigenschaften des Materials, bevor er den Schnitt zeichnet, und passt den Entwurf dem Stoff an, nicht umgekehrt.

    Auf Organisationen übertragen: Kontext, Kultur und Geschichte sind das Material, mit dem ein System geschneidert wird. Was in einer Fluggesellschaft funktioniert, in der Crew Resource Management seit Jahrzehnten als Praxis verankert ist, lässt sich nicht ohne Übersetzung in eine Industrieorganisation tragen, in der Hierarchien anders gelebt werden und «Stop the Line» als Konzept noch erklärt werden muss. Was auf einer Pflegestation greift, an der die Stationsleitung über Jahre eine Meldekultur aufgebaut hat, läuft in einer anderen ins Leere, in der jede Meldung erst durch zwei Schichten Personalabteilung wandert, bevor sie jemand zu sehen bekommt.

    David Snowdens Cynefin-Framework hilft an dieser Stelle. Es unterscheidet, einfach gesagt, zwischen zwei Sorten von Problemen: kompliziert und komplex. Komplizierte Probleme sind solche, bei denen die Beziehung zwischen Ursache und Wirkung mit genug Expertise erkennbar ist: eine Maschine, eine Buchhaltung, ein Bauplan. Best Practices funktionieren hier. Komplexe Probleme sind solche, bei denen Ursache und Wirkung nur retrospektiv lesbar sind, weil das System sich auf jede Intervention hin verändert. Kultur, Risikoverhalten, Lernfähigkeit gehören in diese Kategorie. Best Practices funktionieren hier nicht. Was in einer Organisation gewirkt hat, ist nicht garantiert dasselbe, was in der nächsten wirkt.

    Der häufigste Fehler in Sicherheitsprogrammen, die ich begleite, ist die Verwechslung dieser beiden Sorten. Ein erprobtes Konzept aus einem Best-Practice-Sammelband wird als universelle Lösung verkauft, einer Organisation übergestülpt, die einen anderen Stoff hat. Und jeder ist überrascht, wenn die Naht nicht hält. Was die Organisation gebraucht hätte, war nicht die Lösung. Es war die Diagnose: was für ein Stoff liegt vor uns?

    Den Stoff zu respektieren heisst nicht, alles in Ordnung zu finden, wie es ist. Es heisst, den Schnitt am Material zu prüfen, bevor man die Schere ansetzt. Wer das nicht tut, baut ein Sicherheitsprogramm, das in den Quartalsbericht passt und in der Praxis nicht.

    Anpassung einplanen

    Ein guter Schnitt hat Reserve. Der Schneider zieht den Stoff nicht so straff, dass er beim ersten Atmen reisst. Er weiss, dass der Körper sich verändert, dass der Tag verändert, dass der Stoff sich nach den ersten Trageperioden setzt. Er rechnet das ein. Wo er die Reserve einbaut, wo er sie ausspart, das ist Handwerk. Wer die Reserve abschafft, sich an die exakte Vermessung bindet, baut ein Kleidungsstück, das exakt einmal passt. Im nächsten Moment nicht mehr.

    Erik Hollnagels Arbeit kreist seit Jahren um diese Einsicht in der Sicherheitssprache. In FRAM (der Functional Resonance Analysis Method) argumentiert er gegen die linearen Vorfallmodelle, die Variation als Defekt verstehen. Variation, schreibt Hollnagel, ist nicht das Gegenteil von Funktion. Sie ist eine Bedingung von Funktion. Komplexe sozio-technische Systeme funktionieren, weil ihre Komponenten (Menschen, Werkzeuge, Verfahren) flexibel genug sind, um auf Bedingungen zu reagieren, die nicht im Plan stehen. Wenn das Plansystem versucht, diese Variation auszuschalten, schaltet es zugleich die Adaptionsfähigkeit aus.

    Was das im Alltag heisst, ist konkret: ein gutes Verfahren beschreibt nicht nur den Sollpfad, sondern macht sichtbar, unter welchen Bedingungen es greift. Es kennt die Annahmen, die es macht, und es kennt die Stellen, an denen es brechen wird, wenn die Annahmen nicht stimmen. Ein gutes Verfahren ist sich seiner Grenzen bewusst. Mehr noch: ein gutes System hält Ressourcen frei, die nicht in der Planung gebunden sind (Slack im Personalplan, Zeit in der Schicht, Spielraum in der Kommunikation), weil ohne sie keine Anpassung möglich ist. Was wie Ineffizienz aussieht, ist die Voraussetzung dafür, dass das System überhaupt durch den Tag kommt, an dem die Realität vom Plan abweicht. Und sie weicht ab. Jeden Tag.

    Anpassung einzuplanen heisst, dem System Erlaubnis zur Anpassung zu geben. Nicht hinterher, im Schadensfall, sondern vorher, im Entwurf. Es heisst, Spielraum bewusst zu gestalten und nicht beiläufig zu dulden. Und es heisst, sichtbar zu machen, was sonst unsichtbar bleibt: dass die Workarounds, die niemand zugibt, oft die letzten Anpassungen sind, die ein überstandardisiertes System überhaupt noch zulässt.

    Was Schneidern nicht ist

    Konfektion liegt im Lager und wartet auf jemanden, der hineinpasst. Sie ist effizient, sie ist günstig, sie ist im Reporting sauber. Sie ist eine vollständige Lösung, solange das Mass stimmt. Wenn nicht, wird sie zur Quelle eines stillen Kompromisses: der Mensch passt sich dem Anzug an, hält die Schultern anders, atmet flacher, bewegt sich, als gehörte er ins Schnittmuster. Eine Weile geht das gut.

    Sicherheit aus dem Compliance-Katalog funktioniert nach genau dieser Logik. Sie kommt mit fertigen Verfahren, mit standardisierten KPIs, mit Audit-Schablonen, die zu allem passen, weil sie nichts ansehen. Das Problem ist nicht, dass sie strukturiert. Das Problem ist, dass sie ihre eigene Beschreibung des Systems für das System hält. Wenn die Realität davon abweicht (und sie weicht ab), ist im Katalog keine Anpassung vorgesehen. Was bleibt, ist die Mahnung, sich gefälligst ans Verfahren zu halten.

    Dem gegenüber steht der Schneider, der sein Massband nicht aus der Hand legt. Der weiss, dass er noch zweimal kommen muss. Der die Reserve im Stoff respektiert. Der den Schnitt nicht heute fertig zeichnet, sondern in einem Gespräch mit dem entwirft, was er vor sich hat. Der akzeptiert, dass das Endprodukt nicht perfekt im ersten Versuch ist und dass Nachbessern Teil des Berufs ist, nicht ein Eingeständnis von Fehlern.

    Genau das meint Tailoring Safer Systems. Spielraum gestalten statt abschaffen. Anpassung sichtbar machen, damit das System aus ihr lernen kann. Das ist anstrengender als ein dichter Katalog. Es ist auch das einzige, was unter Bedingungen funktioniert, in denen das nächste Mass schon wieder ein anderes ist.

    Quellen

    • Steven Shorrock & Claire Williams (Hrsg.) – Human Factors and Ergonomics in Practice: Improving System Performance and Human Well-Being in the Real World, CRC Press 2017
    • Erik Hollnagel – FRAM: The Functional Resonance Analysis Method – Modelling Complex Socio-technical Systems, Ashgate 2012
    • David J. Snowden & Mary E. Boone – A Leader’s Framework for Decision Making, Harvard Business Review, November 2007
    • Erik Hollnagel – Safety-II in Practice, Routledge 2018
  • Drei Annahmen, die wir hinter uns lassen müssen

    Drei Annahmen, die wir hinter uns lassen müssen

    Es ist die Nacht zum 28. März 1979, kurz nach vier Uhr morgens. Im Kontrollraum von Three Mile Island, Block 2, leuchtet eine Anzeige: Druckablassventil geschlossen. Die Anzeige sagt das, weil sie keine Stellung misst. Sie zeigt das Steuersignal an, den Befehl, der dem Ventil gegeben wurde, sich zu schliessen. Was das Ventil tatsächlich tut, weiss niemand im Raum. Es ist offen, seit zwei Minuten und dreizehn Sekunden, und es wird die nächsten zwei Stunden offen bleiben.

    In den Stunden, die folgen, werden die Operatoren etwas tun, was die spätere Untersuchung als Hauptursache der Teilkernschmelze identifizieren wird: sie drosseln die Notkühlung. Sie tun es, weil ihre Anzeigen sagen, das System sei überfüllt, und weil ihr Training sie gelehrt hat, genau diese Lage zu vermeiden. Sie handeln rational unter dem, was sie sehen. In den Tagen darauf wird die Presse von «menschlichem Versagen» sprechen.

    Genau dieser Reflex (die Diagnose «menschliches Versagen», die einer Szene wie dieser sofort folgt) sitzt hinter den meisten Sicherheitsdialogen, die ich in der Beratungspraxis erlebe. Nicht, weil die Beteiligten unklug handelten. Sondern weil drei Annahmen so tief in unserer Sicherheitstradition verankert sind, dass sie als Selbstverständlichkeiten gelten. Wir lesen sie anders. Was folgt, sind drei Gegenpositionen, eine pro Annahme.

    «Menschliches Versagen» ist eine Diagnose, kein Befund

    Die Statistik kennt jeder, der in diesem Feld arbeitet: 80 bis 90 Prozent aller Vorfälle gehen auf «menschliches Versagen» zurück. Die Zahl wird seit den 1980er-Jahren in Vorträgen, Audits, Geschäftsleitungs-Reportings zitiert, und sie wirkt: sie macht plausibel, dass die Antwort auf Sicherheitsprobleme bei den Menschen liegen muss. Mehr Training, klarere Standards, schärfere Disziplin. Die Logik ist sauber: wenn das Problem im Cockpit sitzt, muss die Lösung im Cockpit sitzen.

    Das Problem mit dieser Logik ist nicht die Statistik. Es ist die Interpretation. Sidney Dekker formuliert es in seinem Field Guide so scharf, dass es weh tut: «Menschliches Versagen» ist nie das Ende einer Untersuchung, es ist der Anfang. Wer Vorfälle damit erklärt, hat aufgehört zu fragen: er hat ein Etikett gefunden und sich zur Ruhe gesetzt. Lokale Rationalität, das Konzept, das Dekker durchgängig schärft, sagt: niemand kommt zur Arbeit mit der Absicht, einen Reaktor zur Kernschmelze zu bringen, einen Patienten zu schädigen, ein Flugzeug zum Absturz zu bringen. Was aus der Vogelperspektive der Untersuchung wie Versagen aussieht, ergab im Moment der Handlung Sinn, gegeben das, was die Person sehen konnte, gegeben den Druck, gegeben das Training.

    Diesen Sinn zu rekonstruieren, ist die eigentliche Arbeit.

    Hollnagel zieht eine zweite Linie ein. Seine Safety-II-Argumentation lautet, vereinfacht: dasselbe, was wir «Versagen» nennen, ist die Kehrseite einer Anpassungskapazität, ohne die das System keine Stunde funktionieren würde. Menschen schaffen täglich, was Verfahren nicht von selbst leisten: sie interpretieren Kontext, sie improvisieren, wenn die Realität von der Skript-Annahme abweicht (was sie ständig tut), sie füllen Lücken, die Designer und Regelwerke offen gelassen haben. Wer den Menschen als Schwachstelle behandelt, beraubt sich der einzigen Resilienzquelle, die das System tatsächlich hat.

    Zurück in den TMI-Kontrollraum, mit dieser Brille gelesen: die Operatoren drosseln die Notkühlung, weil ihre Anzeigen sagen, das System sei überfüllt, und weil ihr Training sie auf genau dieses Risiko hin sensibilisiert hat. Ihre Entscheidung ist im Moment der Handlung die einzige kohärente Interpretation der verfügbaren Daten. Dass wir heute wissen, das Ventil war offen und das System unter-, nicht überfüllt, das ist die Information der Untersuchung, nicht die Information der Operatoren. Diese Asymmetrie zwischen Untersucher und Akteur, «Hindsight Bias» im Vokabular der Forschung, ist nicht ein methodischer Schönheitsfehler. Sie ist die strukturelle Bedingung, unter der jede Vorfalluntersuchung steht. Wer sie nicht reflektiert, sieht in jeder Vergangenheit, was die Beteiligten hätten tun können. Und übersieht, was sie tatsächlich konnten.

    In Schulungen frage ich Teilnehmende inzwischen routinemässig: Was ist in eurem Betrieb die häufigste Ursache von Zwischen- und Unfällen? Die Antwort kommt jedes Mal, ohne Ausnahme: menschliches Versagen. Sie kommt schnell, sie kommt selbstverständlich, und sie kommt vor der eigentlichen Arbeit der Schulung. Im Lauf der Stunden danach folgt regelmässig der Moment, an dem den Teilnehmenden etwas auffällt. Und es ist nicht ein neuer Begriff, kein zusätzliches Werkzeug, sondern ein Perspektivwechsel: ihre eigenen Vorfalluntersuchungen sind, wie sie selbst feststellen, genau dort zu Ende gegangen, wo sie hätten beginnen sollen. Was das kostet, ist nicht nur eine schwächere Untersuchung. Es ist die Bereitschaft der Mitarbeitenden, beim nächsten Mal überhaupt etwas zu melden.

    Die Frage, die uns näher liegt als «Wie verhindern wir menschliche Fehler?», ist die: Wie unterstützt unser System die Anpassungsarbeit, die Menschen leisten müssen, damit es überhaupt funktioniert?

    Menschliches Versagen ist nie eine Erklärung. Es ist eine Diagnose, die mehr über die Diagnostizierenden sagt als über den Vorfall.

    Compliance ist Mindeststand, nicht Sicherheit

    Die zweite Annahme folgt aus der ersten wie ein Schatten. Wenn der Mensch das Risiko ist, dann sind Vorschriften, Audits und Zertifikate die Kontrollinstrumente. Sicherheit wird zur Frage, ob die richtigen Häkchen gesetzt sind. Geschäftsleitungen lesen Sicherheits-KPIs (Lost-Time-Injury-Rate, Audit-Befunde, Schulungsquoten) und ziehen daraus Schlüsse über den Zustand des Unternehmens. Die Steuerung ist klar, das Reporting ist sauber, die Verantwortung ist verteilt. Es gibt einen Grund, warum dieses Modell so robust überlebt: es ist anschlussfähig an Recht, Versicherung und Konzern-Reporting.

    Das Modell hat nur ein Problem: Compliance und Sicherheit fallen regelmässig auseinander. Boeings 737 MAX hatte eine FAA-Zertifizierung, einen Compliance-Status, der nach jedem auditierbaren Massstab grün war. Und ein MCAS-System, dessen Fehlfunktion 346 Menschen das Leben kostete. Der Bristol Heart Scandal in den 1990er-Jahren zeigte ein Spital, dessen interne Sicherheitsindikatoren keine deutlichen Auffälligkeiten zeigten, während die Mortalität in der Kinderherzchirurgie sich auf das Doppelte des britischen Durchschnitts gehoben hatte. In beiden Fällen wurden die Signale gemeldet, von Insidern, denen niemand zuhören wollte, weil das Compliance-Bild sauber war.

    Was zwischen den Audits passiert, ist die eigentliche Sicherheitsgeschichte. Diane Vaughan hat in ihrer Studie zur Challenger-Katastrophe einen Begriff dafür geprägt: «Normalization of Deviance». Drift entsteht selten als bewusste Regelverletzung. Sie entsteht, weil das System unter realen Bedingungen schrittweise von der Norm abweicht (eine kleine Toleranz hier, ein zeitlich verkürzter Schritt dort) und weil diese Abweichungen in der Mehrzahl gut gehen. Jede Wiederholung ohne Konsequenz erweitert die Bandbreite des Akzeptablen, ohne dass jemand eine bewusste Entscheidung getroffen hätte. Aus Sicht der Audit-Logik ist diese Drift unsichtbar: am Audit-Tag stimmt das Bild wieder, weil alle wissen, was zu zeigen ist. Aus Sicht der Lernkapazität wäre sie sichtbar, wenn die Organisation die Mechanismen hätte, sie zu sehen.

    Was diese Fälle gemeinsam haben, ist nicht ein Compliance-Versagen. Es ist ein Lernversagen. Compliance ist eine Eigenschaft eines Zeitpunkts: sie sagt, dass zum Zeitpunkt X die Regel Y eingehalten war. Sicherheit ist eine Eigenschaft eines Prozesses: sie sagt, dass die Organisation in der Lage ist, schwache Signale aufzugreifen, Annahmen zu revidieren und ihr eigenes Verhalten zu korrigieren, bevor das nächste Audit-Datum die Bühne betritt. Das eine ist ein Ist-Zustand, das andere ist eine Fähigkeit. Eine Organisation kann zu einem beliebigen Zeitpunkt vollständig compliant und gleichzeitig komplett blind für die Drift sein, in der sie sich befindet.

    Die operative Frage, die daraus folgt, ist nicht: «Sind wir compliant?» Sie ist: Werden Schwächen sichtbar, ohne bestraft zu werden? Werden Beinahevorfälle behandelt wie Lerngelegenheiten oder wie Reputationsrisiken? Wird das System nach jedem Vorfall klüger oder nur defensiver? Just Culture, im präzisen Sinn von Reason und Dekker, ist die Voraussetzung dafür. Sie ist nicht das Plakat im Pausenraum.

    Sie ist die gelebte Antwort darauf, was passiert, wenn man etwas zugibt, das man hätte verschweigen können.

    Standardisierung schafft Brittleness, nicht Resilienz

    Die dritte Annahme ist die hartnäckigste, weil sie dem Sicherheitsreflex am tiefsten entspricht. Wenn etwas schiefgeht, erhöhen wir den Standardisierungsgrad. Wir schreiben den nächsten Schritt in die SOP, wir engen den Spielraum ein, wir formalisieren, was zuvor Erfahrungssache war. Die zugrunde liegende Annahme ist sauber-mechanisch: Variation ist Defekt, Vereinheitlichung ist Sicherheit. Was sich nicht abweichend verhält, kann nicht falsch laufen.

    Die Annahme stimmt für einfache, lineare Systeme. Sie stimmt nicht für die Systeme, mit denen wir es in HRO-nahen Kontexten zu tun haben. Erik Hollnagel benutzt für die Folge des Reflexes ein präzises Wort: Brittleness. Ein überstandardisiertes System verliert die Fähigkeit, sich an Bedingungen anzupassen, die seine Designer nicht antizipiert haben. Es funktioniert exakt so lange, wie die Realität dem Skript folgt. Und die Realität folgt dem Skript nie ganz. In dem Moment, in dem die Abweichung kommt, hat das System keine Reserve, keine Improvisationskapazität, kein Repertoire ausser «weiter wie geplant».

    Was die HOP-Bewegung um Todd Conklin und andere seit den 2010er-Jahren immer wieder zeigt, ist banal und folgenschwer zugleich: jede funktionierende Schicht weicht täglich vom Skript ab. Pflegende kombinieren Anordnungen, die formal nicht so vorgesehen sind, weil das Originalverfahren in der konkreten Situation nicht passt. Industrieoperatorinnen und -operatoren legen kleine Workarounds, weil ein Werkzeug fehlt oder ein Schritt unter Zeitdruck eingespart werden muss. Pilotinnen und Piloten interpretieren Checklisten in einer Reihenfolge, die der Lage angemessen ist. Diese Abweichungen sind nicht das Problem. Sie sind die Sicherheit. Sie sind das, wodurch das System überhaupt durch den Tag kommt.

    Dahinter steht eine grundlegendere Einsicht der Resilience-Engineering-Tradition: Sicherheit ist nicht die Abwesenheit von Variation, sondern die Fähigkeit, Variation zu absorbieren. David Woods nennt das «graceful extensibility»: die Frage, wie weit ein System gestreckt werden kann, bevor es bricht, und wie es sich verhält, während es gestreckt wird. Überstandardisierung optimiert für den Normalfall und ignoriert genau diese Frage. Sie macht das System effizient unter Idealbedingungen und sprödbruchgefährdet unter realen.

    Was Tailoring meint, ist genau das: den Spielraum gestalten statt abschaffen. Leitplanken setzen (die Grenzen, jenseits derer es gefährlich wird) und innerhalb der Leitplanken Anpassbarkeit zulassen, sichtbar machen, lernfähig halten. Das ist anstrengender als ein dichtes Regelwerk, weil es Vertrauen, Gespräch und Kontextwissen voraussetzt. Es ist auch das einzige, was unter Bedingungen funktioniert, in denen Variation nicht abgeschafft werden kann. Pilotinnen oder Piloten, die das Handbuch zur Seite legen, können Heldinnen oder Übeltäter sein. Was sie sind, hängt am System, nicht an ihnen selbst.

    Was das für uns heisst

    Daraus folgt die Position, aus der wir schreiben: Sicherheit entsteht nicht, wenn Menschen sich an Systeme anpassen, sondern wenn Systeme so gestaltet werden, dass sie sich an Menschen anpassen lassen: kontinuierlich, im Betrieb, nicht im Audit-Raum. Genau dieses Massschneidern (dieses laufende Anpassen unter realen Bedingungen) ist das Handwerk, das wir hier ausarbeiten wollen. Nicht, weil die New-View-Linie modisch wäre. Sie ist seit über zwei Jahrzehnten in der Literatur etabliert. Sondern weil die operative Lücke zwischen ihr und der täglichen Praxis weiterhin gross ist.

    Praktisch heisst das: Wir schreiben über Vorfälle, um Bedingungen zu rekonstruieren: die Bedingungen, unter denen vernünftige Menschen vernünftige Entscheidungen trafen, die sich im Nachhinein als folgenreich erwiesen. Methoden behandeln wir als Handwerk, das Übung, Urteilskraft und Kontextwissen voraussetzt. Organisationen lesen wir als lernfähige (oder lern-unfähige) Systeme.

    Zurück nach Three Mile Island, kurz nach vier Uhr morgens. Drei Operatoren stehen vor Anzeigen, von denen eine das Steuersignal zeigt statt der Stellung. Sie folgen ihrem Training, sie drosseln die Notkühlung, weil das Verfahren bei vermutetem Überdruck genau das verlangt. Wir können sie als die Schwachstelle des Systems lesen, oder als die letzten Personen, die in dieser Nacht nach den Regeln gehandelt haben, die ihnen gegeben waren. Welche Interpretation wir wählen, entscheidet, was wir das nächste Mal anders bauen.

    Was wir an dieser Stelle anders bauen, ist nicht in erster Linie eine Anzeige, die die Stellung statt des Steuersignals zeigt. Es ist die Bereitschaft, die Frage zu ändern: nicht «Wer hat versagt?», sondern «Was hat das, was hier passiert ist, in dem Moment plausibel gemacht?» Diese Frage ist anstrengender. Sie führt nicht zu einer Person, die man sanktionieren kann. Sie führt zu einem System, das man umbauen muss.

    Quellen

    • Sidney Dekker – The Field Guide to Understanding Human Error, 3. Aufl., CRC Press 2014
    • Erik Hollnagel – Safety-II in Practice, Routledge 2018
    • Todd Conklin – Pre-Accident Investigations, Ashgate 2012
    • Karl E. Weick & Kathleen M. Sutcliffe – Managing the Unexpected, 3. Aufl., Wiley 2015
    • Charles Perrow – Normal Accidents: Living with High-Risk Technologies, Princeton University Press 1999 (zur TMI-Analyse)
    • Diane Vaughan – The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA, University of Chicago Press 1996
  • Unternehmenskultur in Echtzeit messen

    Unternehmenskultur in Echtzeit messen

    Der Unternehmenskultur wird zu Recht eine immer grössere Relevanz beigemessen. Sie wird als die DNA einer Organisation bezeichnet, und es gibt so viele Unternehmenskulturen wie es Unternehmen gibt. Doch was macht eine positive Unternehmenskultur aus? Wie kann sie eigentlich gemessen und wie verbessert werden?

    In diesem Artikel stelle ich eine innovative Messmethode vor, welche den konventionellen Mitarbeiterbefragungen klar überlegen ist. Sie ermöglicht es Unternehmen und Unternehmensbereichen, mit minimalem Aufwand und geringen Kosten die Unternehmenskultur quasi in Echtzeit zu messen, frühzeitig Trends zu erkennen und gezielt spezifische Verbesserungsmassnahmen zu implementieren.

    Die Unternehmenskultur

    Bei einer Kultur handelt es sich um gemeinsame Werte und Überzeugungen. Im Unternehmenskontext kann dies gemeinsame Normen und Werte bedeuten, ein gemeinsames Verständnis der Unternehmensstrategie, eine bestimmte Art der Kommunikation und des Umgangs miteinander, etc. Oftmals wird die Unternehmenskultur auch beschrieben mit: Wie wir die Dinge hier tun.

    In einer positiven Unternehmenskultur identifizieren sich die Mitarbeitenden mit der Unternehmensstrategie und den Unternehmenswerten. Sie setzen sich aktiv für den Erfolg des Unternehmens ein. Der gute Umgang unter den Mitarbeitenden und Vorgesetzten ermöglich es ihnen, sich ohne Angst vor negativen Konsequenzen einzubringen, ihre Meinung zu äussern, Prozesse und Produkte kritisch zu hinterfragen, Ideen einzubringen und auf Probleme in der Organisation hinzuweisen. Dafür erhalten sie Wertschätzung. Sie zeigen eine hohe Treue und Einsatzbereitschaft gegenüber ihrem Arbeitgeber und sind bereit, Höchstleistungen zu erbringen. Die positive Unternehmenskultur zeigt sich nicht nur innerhalb des Unternehmens, sondern manifestiert sich auch gegen aussen. Sie wird von Kunden und von potenziellen Mitarbeitenden wahrgenommen und stellt einen signifikanten Wettbewerbsvorteil, unter anderem in der Gewinnung von Talenten, dar.

    Eine positive Unternehmenskultur schafft die Grundlage für das Teilen von Information und somit organisationales Lernen und für Innovation. Sie ermöglicht es einem Unternehmen, das Potenzial seiner Mitarbeitenden vollständig zu entfalten und führt dazu, dass das Unternehmens-Know-How nicht die Summer der Mitarbeitenden-Know-Hows sondern ein Vielfaches davon wird.

    Wenn die Unternehmenskultur eine so wichtige Rolle spielt, möchten wir unbedingt wissen, wo wir mit unserem Unternehmen stehen. Doch wie können wir Kultur messen?

    Unternehmenskultur messen

    Viele Unternehmen führen jährliche oder zweijährliche Mitarbeiterbefragungen durch, um die Mitarbeiterzufriedenheit und die Unternehmenskultur zu messen. Diese Art der Befragung hat jedoch zahlreiche Nachteile:

    • An der Befragung teilzunehmen, bedeutet für die Mitarbeitenden einen hohen Zeitaufwand.
    • Die Befragung ist eine Momentaufnahme und unterliegt einer hohen Anfälligkeit auf äussere Einflüsse.
    • Die Auswertung der Antworten dauert lange und liefert eine überwältigende Menge an Informationen. Der Transfer top-down in die Organisationseinheiten nimmt viel Zeit in Anspruch und allfällige Massnahmen können erst lange nach der Befragung getroffen werden.
    • Zwar können die Resultate der Befragungen verglichen werden. Wegen des grossen, dazwischenliegenden Zeitraums ist es jedoch schwierig, die Wirksamkeit konkreter Massnahmen isoliert zu analysieren. Die Gründe für eine Verbesserung, ausbleibende Veränderung oder sogar eine Verschlechterung bleiben unklar.
    • Statische Befragungen über mehrere Jahre werden der heutigen Dynamik im Unternehmensumfeld nicht mehr gerecht.

    Abbildung: Beispielfrage einer FRIDAY6-Umfrage

    Die Lösung bietet hier die Kollaborationsplattform LutherOne mit ihrem Modul FRIDAY6[1]. Bei FRIDAY6 handelt es sich um ein Instrument zur Mitarbeiterbefragung, welches mit wöchentlichen, intelligenten Mini-Umfragen, bestehend aus sechs Fragen[2] (Aussagen, welche auf einer Likert-Skala von 1-10 zu bewerten sind) arbeitet. Die Fragen stammen aus einem Fragenpool von 100-120 Fragen zu verschiedensten Themenbereichen und werden den Mitarbeitenden individuell zugewiesen. Die einzelnen Fragesets unterscheiden sich also, und die Mitarbeitenden erhalten wöchentliche andere Fragen. Die Beantwortung der Fragen dauert 1-2 Minuten und kann bequem am Computer oder Smartphone erledigt werden. Das Management erhält so wöchentlich ein umfassendes Bild über die Situation im Unternehmen und in den verschiedenen Geschäftsbereichen. FRIDAY6 bietet Unternehmen zahlreiche Vorteile, wovon einige nachfolgend erläutert werden:

    • FRIDAY6 kann in hohem Umfang auf die spezifischen Bedürfnisse des Unternehmens zugeschnitten werden.
    • Die Resultate der der Umfragen werden wöchentlich in einem umfassenden Management-Cockpit Dieses weist zahlreiche für die Unternehmenskultur relevante Dimensionen – Unternehmensklima, Leadership, Vertrauen, Engagement, Kundenfokus, Strategie, etc. – auf. Im Cockpit ist einerseits der Status-Quo dargestellt, und andererseits sind die entsprechenden Trends sichtbar.
    • Die benutzerfreundliche Präsentation und Handhabung und der sehr geringe Beantwortungsaufwand gewährleisten eine hohe Umfragebeteiligung über die Zeit.
    • Durch die engmaschige Befragung und die klar strukturierten Dimensionen, können spezifische Entwicklungsfelder identifiziert und gezielt verbessert werden. Die Wirksamkeit der Verbesserungsmassnahmen kann innert weniger Wochen gemessen werden, und es kann rasch korrigierend eingegriffen werden.
    • Die regelmässigen Umfragen führen per se schon zu einer Verbesserung der Unternehmenskultur. Die Motivation der Mitarbeitenden steigt dadurch, dass sie sich aktiv einbringen können. Dieser Effekt wird weiter dadurch verstärkt, wenn sie spüren, dass sie auf Gehör stossen, und ihr Feedback zu Verbesserungen in der Organisation führt.
    • Eine reduzierte Form des Management-Cockpits ist für alle Mitarbeitenden einsehbar und schafft Transparenz und Vertrauen.

    Abbildung: Management-Cockpit der FRIDAY6-Plattform — Beispiel-Dashboard (Testplattform)

    FRIDAY6 schafft optimale Voraussetzungen zur Messung der Unternehmenskultur und zur Initiierung des kulturellen Wandels. Durch die zahlreichen Dimensionen sind Unternehmen in der Lage spezifische und kleinere Massnahmen zu ergreifen, ohne sich dabei in der Komplexität der kulturellen Herausforderungen zu verlieren. Gerade in der heutigen Zeit, welche durch ständigen Wandel geprägt wird, ist dies unerlässlich.

     

    Konnte ich Ihr Interesse wecken? Nehmen Sie mit mir Kontakt auf, gerne bespreche ich mit Ihnen, wie Sie die Kultur in Ihrem Unternehmen in Echtzeit messen und kontinuierlich weiterentwickeln können!

    safety & risk solutions GmbH, Tel. +41 76 343 44 09 oder e‑Mail fabian.landherr@safetyrisksolutions.ch

     

     

    [1] Das Modul FRIDAY6 ist eigenständig verfügbar. Es besteht also kein Zwang, noch weiter Module der Kollaborationsplattform LutherOne zu implementieren.

    [2] Für kleinere Organisationen besteht die Möglichkeit, anstelle von FRIDAY6 mit wöchentlichen sechs Fragen auf die monatlichen 16 Fragen von Monthly16 zu setzen, was zwar den Auswertungszyklus verlängert, aber qualitativ bessere Resultate liefern wird.

  • Mit psychologischer Sicherheit herausragende Leistungen erzielen!

    Mit psychologischer Sicherheit herausragende Leistungen erzielen!

    Das Umfeld, in welchem sich Unternehmen bewegen, ist einer stetig hohen Dynamik unterworfen. Nicht nur im Bereich der (System-)Sicherheit sondern auch im täglichen Wettbewerb sind Unternehmen gezwungen, sich immer wieder neu erfinden. Sie müssen sich Veränderungen anzupassen, mit Unsicherheit umzugehen, omnipräsente Komplexität erfolgreich zu bewältigen und in Situationen der Mehrdeutigkeit rasche Entscheidungen zu treffen (VUCA[1]) um sich gegen ihre Konkurrenten erfolgreich behaupten zu können.

    Mitarbeitende aller Stufen sind bei der Erfüllung ihrer Aufgaben mit denselben Herausforderungen konfrontiert. Sie sind meist nicht mehr nur ein Zahnrädchen im System, welches sich im vorgegebenen Takt einen spezifischen, genau definierten Handgriff ausübt, sondern sind mit dynamischen Situationen konfrontiert und tragen aktiv zur stetigen Verbesserung – sei dies im Bereich Innovation oder Sicherheit/Risikomanagement – des Systems bei. Mitarbeitende sind also nicht länger nur Ressourcen, welche eine klar abgegrenzte Aufgabe erfüllen, sondern eine wichtige Informationsquelle innerhalb eines Unternehmens, welche die Voraussetzung für stetiges Lernen und eine stetige Weiterentwicklung der Organisation darstellen.

    Um diesen Beitrag leisten zu können, muss die Grundlage einer hohen psychologischen Sicherheit gegeben sein[2].

    Das psychologisch unsichere, toxische Arbeitsumfeld

    In einem toxischen Arbeitsumfeld können sich Mitarbeitende aus Angst vor negativen Konsequenzen nicht offen äussern und halten Informationen zurück. Das Arbeitsklima ist von Misstrauen geprägt. Sie versuchen, wenn immer möglich, Fehler unter den Teppich zu kehren, um sich nicht zu exponieren. Wissen wird als Macht betrachtet und nicht mit Kollegen geteilt. Führungskräfte erfahren mich mehr, was in der Firma vor sich geht. Das System verstummt und «funktioniert» nur noch, wobei von Funktionieren bei nachträglicher Betrachtung eigentlich nicht mehr die Rede sein kann. Es besteht eine hohe Gefahr, dass das Unternehmen unbemerkt in eine Krise rutscht. Durch den fehlenden Wissenstransfer wird die notwendige Weiterentwicklung des Unternehmens im Keim erstickt.

    Das psychologisch sichere Arbeitsumfeld

    Ein psychologisch sicheres Arbeitsumfeld ist geprägt von persönlichem Respekt und Wertschätzung. Mitarbeitende fühlen sich sicher und motiviert, sich aktiv einzubringen und Informationen zu teilen, sei dies in Form Ideen oder von Berichten über Probleme/Fehler. Sie fürchten sich dabei nicht vor negativen Konsequenzen. Es findet eine positive Zusammenarbeit statt, und die Teams zeichnen sich durch ausgezeichnete Leistungen aus. Der Unternehmung stehen motivierte und inspirierte Mitarbeitende zur Verfügung, welche ihren Kollegen vertrauen und sich aktiv in die Weiterentwicklung der Organisation einbringen. Das Innovationspotential der Organisation kann voll ausgeschöpft werden. Konflikte innerhalb von Team werden positiv genutzt und als bereichernde Chance gesehen, von verschieden Perspektiven zu lernen und vorwärts zu kommen.

    Eine bei Google durchgeführt Studie identifizierte fünf Schlüsselfaktoren für erfolgreiche Teams. Hierbei handelt es sich um (1) psychologische Sicherheit, (2) klare Rollen und Verantwortungen innerhalt des Teams, (3) verlässliche Kollegen, (4) persönlich sinnstiftende Arbeit und (5) die Überzeugung eine Wirkung zu entfalten. Die psychologische Sicherheit kristallisierte sich hierbei als weitaus wichtigstes Element heraus, welches die Grundlage für die anderen vier Schlüsselfaktoren bildet[3].

    Die Vorteile hoher psychologische Sicherheit

    Die Vorteile hoher psychologischer Sicherheit sind vielseitig und auf allen Ebenen innerhalb einer Organisation zu spüren. Es handelt sich hierbei unter anderem um:

    • Erfüllung im Beruf und damit verbunden eine hohe Loyalität der Mitarbeitenden gegenüber dem Arbeitgeber
    • Erwiesenermassen signifikant bessere Team-Performance
    • Konstruktive Nutzung von Konflikten mit dem Ziel der Verbesserung
    • Verbesserter Informationsfluss innerhalb des Unternehmens, welcher die Grundlage für eine lernende Organisation bildet
    • Eine positive und inspirierende Unternehmenskultur, welche eine ausgeprägte Risiko- respektive Sicherheitskultur ermöglicht
    • Verbesserte Resilienz des Unternehmens
    • Erhöhtes Innovationspotential des Unternehmens

    Führt man sich die obenstehende – noch lange unvollständige – Liste zu Gemüte, so kann es sich eigentlich kein Unternehmen leisten, die psychologische Sicherheit nicht weit oben auf die Agenda zu setzen. Ein toxisches Arbeitsumfeld richtet einen immensen Schaden in Form von täglicher Ineffizienz, hoher Personalfluktuation, verpasster Innovation bis hin zum Untergang von Unternehmen aufgrund einer Krise oder dem Verlust der Wettbewerbsfähigkeit. Die Verbesserung der psychologischen Sicherheit kann hier den entscheidenden Unterschied machen.

     

    _____________________________________________________________________________________

    [1] Volatilität (Volatility), Unsicherheit (Uncertainty), Komplexität (Complexity) und Mehrdeutigkeit (Ambiguity)

    [2] Psychologische Sicherheit wird allgemein als eine Arbeitsatmosphäre bezeichnet, in der sich die Menschen ausdrücken und sie selbst sein können. Spezifischer kann man sagen, dass Mitarbeitende, die am Arbeitsplatz psychologische Sicherheit erfahren, sich ermuntert fühlen, Bedenken und Fehler zu äussern.

    [3] https://rework.withgoogle.com/blog/five-keys-to-a-successful-google-team/

  • Sicherheit messen

    Sicherheit messen

    Es wird viel über die Messung der Sicherheit gesprochen. Das ist etwas, was leichter gesagt als getan ist. In diesem Blog werden dazu einige Überlegungen angestellt.

     

    Was messen?

    Bevor man mit dem Messen beginnt, muss man wissen, was man misst. Wie Sie Sicherheit definieren, hängt davon ab, was Sie messen und wie Sie messen. Lassen Sie uns das Problem mit drei weitverbreiteten Ansichten über Sicherheit veranschaulichen. Wie Sie sehen werden, deckt keine von ihnen das Thema vollständig ab und alle haben Vor- und Nachteile.

    Sicherheit als das Einhalten von Regeln

    Eine sehr grundlegende Denkweise: Sicherheit ist das Befolgen der Sicherheitsregeln. Diese Regeln zu befolgen, bedeutet, sicher zu sein. Dies entspricht der beinahne automatischen Reaktion, die viele Menschen nach einem Unfall haben: Hätten sie nur die Regeln befolgt, wäre dies nicht passiert. Viele Untersuchungen konzentrieren sich deshalb auf Protokollverletzungen und Abweichungen. Auch in «normalen» Situationen liegt der Schwerpunkt auf der Einhaltung von Regeln. Tragen Sie die vorgeschriebene Sicherheitsausrüstung. Halten Sie sich am Handlauf fest. Das Streben nach Einhaltung appelliert auch an die menschliche Neigung zur Konformität. Wir sind schließlich soziale Geschöpfe.

    Sicherheitsregeln sind wichtig. Sie sind eine grundlegende Form, wie wir Sicherheit lehren: «Fass die Herdplatte nicht an, sie ist heiß!», «Vor dem Überqueren der Straße links, rechts, links schauen.» Diese Dinge bringen wir unseren Kindern, unseren Arbeitern usw. bei. Sicherheit als das Einhalten von Regeln funktioniert recht gut in eher einfachen, geordneten und vorhersehbaren Systemen. In solchen Situationen haben Sie eine angemessene Chance, vorauszusehen, was passieren kann, und Maßnahmen zu konzipieren, um mit Abweichungen umzugehen. Wenn Sie sich auf bekanntem Territorium befinden, können Sie mit den Dingen, die geschehen, umgehen, indem Sie vorgeschriebene Routinen anwenden. Die Befolgung «bewährter Praktiken» (Best Practice) bedeutet sicheres Handeln, während das Handeln abseits dieser Praktiken als unsicher gilt.

    Sicherheitsregeln sind jedoch nicht perfekt. Wir leben und arbeiten in einer Welt, die sehr variabel ist, und wir haben nur eine begrenzte Voraussicht. Das bedeutet, dass wir nicht für jede Eventualität Regeln definieren können. Wenn wir es könnten, dann wären die Regeln aufgrund ihres schieren Umfangs unmöglich zu handhaben. Außerdem hängen Regeln vom Kontext ab. In London ist es klüger, vor dem Überqueren nach rechts, links, rechts zu schauen, während dies in Zürich nicht die beste Strategie ist.

    Regeln sind Kompromisse und können manchmal nicht ausreichen, um sich zu schützen. Selbst wenn Sie sich an alle Verkehrsregeln halten, können Sie einen Unfall haben. Zum Beispiel, wenn andere sich nicht an die Regeln halten. In manchen Situationen ist das Befolgen von Regeln sogar die unsichere Option. Ein berühmtes Beispiel ist die Piper-Alpha-Katastrophe, bei der die Menschen, die die Notfallverfahren befolgten, starben, während diejenigen, die die Verfahren ignorierten und einfach über Bord sprangen, überlebten.

    Sicherheit als Abwesenheit von Unfällen

    Gehen Sie auf die Straße und fragen Sie hundert zufällig ausgewählte Personen: «Was ist Sicherheit? Die Chancen stehen gut, dass viele die Frage mit «Keine Unfälle» beantworten. Diese Denkweise macht für die meisten Menschen intuitiv Sinn. Es fühlt sich richtig an, weil in unseren Köpfen Sicherheit und Unfälle sehr eng miteinander verbunden sind. Wenn wir keine Unfälle haben, sind wir sicher. Oder doch nicht? Nicht notwendigerweise… Dass nichts passiert ist, bedeutet nicht, dass alles sicher war. In vielen Fällen bedeutet es nur, dass noch nichts passiert ist. Wenn auch es sehr wohl sein kann, dass nie etwas passiert.

    Ein einfacher Test besteht darin, die Definition umzukehren und zu prüfen, ob sie noch funktioniert. Stimmt «Die Abwesenheit von Unfällen ist Sicherheit»? Das Nichtvorhandensein von Unfällen kann auf andere Weise erreicht werden. Zufall oder Glück sind mögliche Faktoren. Ihre persönliche Definition von Unfall ist ein weiterer Faktor. Ob jemand sich dafür entscheidet, einen Unfall zu melden, noch einer. Unfälle geben jedoch einen Hinweis auf Sicherheit oder eher auf Unsicherheit. Ein Unfall kann als eine Manifestation des Risikos betrachtet werden, womit wir zur nächsten Definition kommen.

    Sicherheit als akzeptables Risiko

    Was immer Sie tun, ist mit einem gewissen Risiko verbunden. Das lässt sich nicht vermeiden. Wir wollen sogar ein gewisses Risiko eingehen, aber nicht zu viel. Wir müssen Kompromisse eingehen zwischen verschiedenen Zielen (Finanzen, Sicherheit, Produktion, Qualität usw.), zwischen Unsicherheit und Kontrolle. Wir haben nur begrenzte Ressourcen (Geld, Zeit, Fachwissen usw.). Deshalb müssen wir Kompromisse eingehen und nach einer guten Balance suchen.

    Diese Sichtweise der Sicherheit appelliert an rationale Geschöpfe. Sie schlägt Überlegungen und Entscheidungen auf der Grundlage von «Fakten» vor. Wir werden immer mit Risiken konfrontiert sein; wir müssen nur sicherstellen, dass sie akzeptabel niedrig sind. Die Frage ist daher, welches Niveau das richtige Risikoniveau ist. Wir sollten natürlich versuchen, so viel «Distanz» wie möglich zwischen uns und der Gefahr und den möglichen negativen Zukunftsaussichten, zu denen die Gefahr führen könnte, herzustellen. Aber wir wollen auch nicht zu viel Distanz. Es muss praktikabel und erschwinglich sein. Außerdem wünschen wir uns tatsächlich einige Gefahren. Denken Sie nur an das Kaffeetrinken. Wir wollen unseren Kaffee heiß, aber wir wollen uns nicht verbrennen. Deshalb neigen wir dazu, am Anfang vorsichtig an unserem Kaffee zu nippen oder vielleicht ein bisschen darauf zu pusten, anstatt ihn sofort zu schlucken.

    Die Sichtweise der Sicherheit als akzeptables Risiko ist nützlich, birgt aber auch einige Nachteile. Einer davon ist die Abhängigkeit vom Wissen, ein anderer ist, dass sie zu quantitativen Risikoansätzen führen kann, die objektiver aussehen, als sie sind. Weiter kann diese Sichtweise zu einer statischen Betrachtung der Sicherheit führen. Dann ist da das Problem der Überwachung des Risikoniveaus. Und schliesslich gibt es natürlich das Problem, wer entscheidet, was «akzeptabel» ist und auf welcher Grundlage. Wer bestimmt, was in die Bewertung einfließt und welche Faktoren (und wie viel) wie gewichtet werden? Wer darf sich am Prozess beteiligen und wie kann er sich am Prozess beteiligen? Welche Sprache wird während des Prozesses und bei der Kommunikation der Ergebnisse verwendet?

    Ein Beispiel für Letzteres ist die Art und Weise, wie die Konsequenzen ausgewählt und ausgedrückt werden. Bestimmte Risikobeurteilungen konzentrieren sich auf Todesfälle, aber das sind oft nicht die einzigen körperlichen Folgen. Was ist also mit Verletzungen zu tun? Sollte man eine Anzahl schwerer Verletzungen wählen, die einem Todesfall gleichkommt? Oder sollte man, wie man oft sieht, Todesfälle und Verletzungen in Geldeinheiten übersetzen? Ist das wirklich ein gutes und faires Mass? Kann man den Wert eines Menschenlebens beziffern? Und wenn ja, mit welcher Summe? Sicher, man kann den wirtschaftlichen Beitrag eines Menschen für die Gesellschaft und seine Familie schätzen, aber ein Mensch ist so viel mehr als sein wirtschaftlicher Beitrag.

    Herausforderungen

    Die oben genannten Auffassungen von Sicherheit bringen alle ihre eigenen Möglichkeiten mit sich, Sicherheit zu messen. Betrachten Sie Sicherheit als Einhaltung von Regeln, messen Sie möglicherweise die Eimhaltung Vorgaben der Aufsichtsbehörde und zählen unsichere Handlungen (z.B. das Nichttragen von Schutzausrüstung). Wenn Sicherheit als Abwesenheit von Unfällen betrachtet wird, werden Sie natürlich Unfallberichte weiterverfolgen. Diejenigen, die eine Risikoeinschätzung der Sicherheit vorgenommen haben, verfügen möglicherweise über eine Art Risikoregister, stellen die wichtigsten Risiken in einer Risikomatrix oder Heatmap dar und verfolgen Maßnahmen zur Risikokontrolle.

    Wie Sie Sicherheit definieren, wird die Wahl der Dinge, die Sie messen, beeinflussen – und umgekehrt! Was Sie messen, kann sehr wohl zu Ihrer Definition von Sicherheit werden, bewusst oder unbewusst. Wenn die Unternehmenspolitik, eine ISO-Norm oder die Aufsichtsbehörde von Ihnen verlangt, Unfälle und Beinahe-Unfälle als Teil Ihrer Überwachung aufzuzeichnen, wird es sehr natürlich sein, über diese Metriken zu sprechen, wenn jemand fragt: «Wie steht es um die Sicherheit?

    Eine weitere Herausforderung besteht darin, dass Management-Dashboards und Scorecards nur begrenzten Raum für die Darstellung der aktuellen Situation lassen. Manager sind vielbeschäftigte Menschen, und möchten sehr gerne klare, knappe, eindeutige und kurze Antworten erhalten. Sicherheit ist jedoch ein komplexes Phänomen. Deshalb brauchen wir eine Vielzahl von Maßnahmen, um eine vernünftige Beschreibung zu geben. Niemand fasst alles auf einen Blick zusammen. Jede Ansicht zeigt einige Elemente der Sicherheit, aber nie das Gesamtbild. Eine gute Antwort braucht daher reichhaltige Informationen und Nuancen. Hier besteht ein Spannungsfeld zwischen verfügbarem Raum und Aufmerksamkeit und dem, was für eine qualitativ hochwertige Antwort erforderlich ist.

    Sicherheit auf ein einfaches Maß zu reduzieren, egal wie intuitiv, wird dem Thema nicht gerecht. Ein auf der Zahl der Todesopfer/Verletzten basierendes Maß erfasst nur einen winzigen Teil eines sehr komplexen Phänomens. Es wäre so, als würde man einen Fluss ausschließlich durch seine Temperatur beschreiben – die übrigens eher von seiner Umgebung, seiner Lage und der Jahreszeit abhängt als von «sich selbst», so wie die Verletzungsraten stärker mit dem Kontext korrelieren können als mit den von der Organisation eingeleiteten Sicherheitsbemühungen. Ein Kompromiss zwischen Gründlichkeit und Effizienz ist unvermeidlich, und eine sorgfältige Berücksichtigung dieses Aspekts im Managementsystem ist unerlässlich.

    Dieser Artikel ist ein angepasstes und gekürztes Kapitel aus dem Buch If You Can’t Measure It… Maybe You Shouldn’t. Reflections on Measuring Safety, Indicators, and Goals.

    Erhältlich bei https://www.amazon.com/dp/8269037729

  • Die menschenzentrierte Organisation

    Die menschenzentrierte Organisation

    Die heutige Welt ist sehr komplex und verändert sich schnell. Neue Technologien werden verfügbar und verändern die Art und Weise wie wir arbeiten, kommunizieren und unser Leben leben.

    Komplexe sozio-ökonomische und sozio-politische Systeme machen es schwierig, die Bedürfnisse und Anforderungen von morgen vorauszusehen. In diesem Artikel erörtere ich Probleme, mit denen sich Organisationen befassen müssen, und die Vorteile eines stärkeren Fokus auf den Menschen mithilfe eines Frameworks, das darauf abzielt, Organisationen auf strategischer Ebene zu beeinflussen.

    Eine sich verändernde Welt

    Die Einführung neuer Technologien, insbesondere der Automatisierung, hat die Art der Arbeit verändert und bestimmte durch Personen ausgeführte Aufgaben überflüssig gemacht. Dies wird deutlich, wenn wir uns ansehen, wie sich die Aufgaben im Laufe der Zeit verändert haben. Die routinemässige kognitive und manuelle Arbeit hat abgenommen. Die nicht routinemässige Arbeit beider Kategorien, insbesondere aber die kognitiven nicht routinemässigen Aufgaben, haben in den letzten 30 Jahren stark zugenommen, wie in der folgenden Grafik dargestellt wird.

    Veränderung der Aufgabentypen 1960-2010, kognitiv routine vs. nicht-routine, manuell routine vs. nicht-routine

    Die Fähigkeit, sich auf eine nachhaltige Art und Weise anzupassen und weiterzuentwickeln, erfordert verschiedenartige und qualifizierte Mitarbeitende, die in der Lage sind, komplexe Probleme zu bewältigen. Um dies zu ermöglichen, sind Rahmenbedingungen erforderlich, die Hinweise geben, wie Organisationen ihre Arbeitskräfte in einer besseren und stärker menschenzentrierten Art und Weise nutzen können.

    Management

    Ziel des Managements ist es, die Gewinne der Firma zu maximieren, was wiederum den Shareholder Value steigert. Dies gilt heute genauso wie zu Beginn des 20. Jahrhunderts, als die Arbeitswissenschaft (Taylor, 1911) erstmals in der Fertigung, insbesondere in der Stahlindustrie, eingeführt wurde, um die Produktivität zu steigern und die Kosten zu senken.

    Die Industrie muss sich den Veränderungen in der Nachfrage und der immer rasanteren Entwicklung neuer Technologien anpassen. Dies schafft komplexe Probleme, die jeden Tag aufs Neue angegangen werden müssen (Page, 2011).

    Die ständige Anforderung an Unternehmen, mit Komplexität umzugehen, macht es erforderlich, bessere Strategien zu entwickeln und intelligenter zu werden. Allerdings hängen Entscheidungen in vielen Fällen vom Wissen und der Erfahrung weniger Personen ab, mit potenziell begrenztem Verständnis des Problems und wenig Zeit, weitere Informationen zu sammeln. Expertenwissen wird oft nicht eingeholt oder ist in der Organisation verteilt und schwer zugänglich und somit den Entscheidungsträgern unbekannt.

    Grund dafür könnte der Selektionsprozess sein, und dass die Kriterien für die Einstellung häufig auf eine Reihe von spezifischen Anforderungen reduziert werden, ohne die Fähigkeiten und Kenntnisse auf den gesamten Aufgabenbereich zu beziehen und den Wert des Kandidaten für das ganze Team unter sich ständig verändernden Umständen zu betrachten. Weiter werden Mitarbeitende, welche aktiv ihr Know-how ausserhalb ihrer definierten Stellenbeschreibung zur Verfügung stellen, oft als Rebellen oder Störenfriede gesehen und in ihrer Mitarbeit entmutigt.

    Frederick Winslow Taylor beschrieb den guten Arbeiter Anfang des 20. Jahrhunderts als jemanden, dessen Aufgabe es war, ‹einfach das zu tun, was ihm gesagt wurde, ohne zu widersprechen›.
    – James Surowiecki, aus The Wisdom of Crowds, 2004

    Mitarbeitende

    Der Kampf einer Organisation, sich ständig Veränderungen anzupassen, wird häufig ihren Mitarbeitenden angelastet. Die meisten Manager wissen, wie schwierig es ist, diese von der Notwendigkeit einer Veränderung zu überzeugen.

    Die Mitarbeitenden sind möglicherweise bereits darauf konditioniert, einfach die Arbeit auszuführen, für die sie eingestellt wurden, und in vielen Fällen sind sie froh, genau zu wissen, was von ihnen erwartet wird, ohne dass sie ihre Fähigkeiten weiterentwickeln und sich weiterbilden müssen. Andere sehen Probleme, die ihre Arbeit erschweren, aber ihre Vorschläge werden nicht berücksichtigt, und sie werden zunehmend frustriert.

    Die Ansicht, dass ein guter Arbeitnehmer ohne Widerrede genau das tut, was ihm gesagt wird, ist in der heutigen Arbeitsumgebung unabhängig von der Art der Arbeit noch immer verbreitet.

    Wenn von den Mitarbeitenden jedoch plötzlich erwartet wird, dass sie eine neue Arbeitsweise annehmen, ist es nicht verwunderlich, wenn sie darauf mit Skepsis reagieren und anfangs apathisch und unwillig erscheinen.

    Tatsächlich wurde genau dieses Problem von Frederick Winslow Taylor während der Einführung der Arbeitswissenschaft (Taylor, 1911) im frühen 20. Jahrhundert beobachtet, und dies war eine Zeit, in der der Wandel weniger schnell war als heute.

    In sich schnell ändernden Umgebungen wird es umso schwieriger, Rollen und Verantwortlichkeiten für eine Vielzahl von Aufgaben genau festzulegen.
    – Royal & Agnew, The Enemy of Engagement, 2012

    ISO 27500 – Human-Centred Organisation

    Wie bereits dargestellt, ist die Notwendigkeit, sich ständig an ein sich änderndes Umfeld anzupassen, für Unternehmen in einem immer dynamischeren wirtschaftlichen Umfeld von entscheidender Bedeutung. Oft ändert sich die Arbeitsweise, was bedeuten kann, dass neue Technologien eingeführt werden müssen. Diese führen dazu, dass sich die Mitarbeitenden anpassen müssen, was enorme Auswirkungen nicht nur auf sie, sondern auch auf die Kunden hat. Daher ist es wichtig, die Auswirkungen neuer Technologien auf das menschliche Verhalten zu antizipieren und einen menschenzentrierten Ansatz nicht nur für deren Design, sondern auch für die gesamte Organisation in Betracht zu ziehen.

    Zahlreiche Standards wurden entwickelt, um den Anforderungen an ergonomische und menschliche Faktoren gerecht zu werden. Diese befassen sich hauptsächlich mit spezifischen Themen und konzentrieren sich auf die technische Seite der menschlichen Interaktion mit technischen Systemen. Das rasante Tempo der technologischen Entwicklung macht es jedoch schwierig, mit den Standards auf dem neuesten Stand zu bleiben. Dies führte zur Entwicklung von menschenzentrierten Design-Standards, die nicht technologiespezifisch sind, sondern sich darauf konzentrieren, für wen das Design bestimmt ist und welche Anforderungen diese Akteure an das Produkt und die Systeme stellen (Tom Stewart, 2017). 2016 wurde ein neuer ISO-Standard eingeführt, der auf die menschenzentrierte Organisation fokussiert.

    ISO 27500 ist ein «Herz und Verstand»-Standard, der sich an Unternehmensvorstände richtet und Unternehmensrichtlinien beeinflussen soll. Er besteht aus sieben Top-Level-Prinzipien, die von erfolgreichen Unternehmen angewandt werden. Er legt die Grundlage für die Anwendung von Ergonomie und menschlichen Faktoren, die nicht nur das Sicherheitsrisiko vermindern, sondern auch die Qualität und Effizienz sowie das Wohlbefinden verbessern können.

    ISO 27500 – Die menschenzentrierte Organisation bietet Grundsätze, die dem Management helfen können, menschlicher zu werden. Nachfolgend einige nützliche praktische Vorschläge:

    Nutzen Sie individuelle Unterschiede als organisatorische Stärke

    Eine vielfältige Belegschaft sollte nicht als ein Muss angesehen werden, das durch Gesetze oder von Interessengruppen vorgeschrieben wird, sondern als Chance, die Resilienz und Leistung innerhalb der Organisation zu verbessern. Menschen mit unterschiedlichem Hintergrund denken anders und machen eine Organisation intelligenter. Dies sollte sich in der Personalpolitik des Unternehmens widerspiegeln.

    Verwenden Sie einen Gesamtsystemansatz

    Wenn Sie verstehen, wie die Organisation aus Systemsicht funktioniert, können Sie ihr Verhalten besser verstehen. Dies erfordert, dass sich die Organisation die Rückkopplungsschleifen genauer ansieht und sicherstellt, dass der Informationsfluss auch von unten nach oben verläuft. Die Anwendung des Systemdenkens kann dazu beitragen, bessere Modelle für die relevanten dynamischen Prozesse der Organisation zu erstellen.

    Versuchen Sie, die Beziehung zwischen den verschiedenen Akteuren und Komponenten der gesamten Organisation zu verstehen. Dies kann durch die Anwendung von Methoden erreicht werden, die in der Lage sind, dynamische sozio-technische Systeme zu modellieren.

    Machen Sie Benutzerfreundlichkeit und Zugänglichkeit zu strategischen Geschäftszielen

    Die Anwendung des menschenzentrierten Designprozesses hilft, die Bedürfnisse der Benutzer zu verstehen, und bietet Rahmenbedingungen für das Engineering, um benutzerfreundlichere und zugänglichere Produkte zu entwerfen.

    Sind Systeme benutzerfreundlich und unterstützen sie eine optimale menschliche Leistung, wird nicht nur die Zuverlässigkeit erhöht, sondern auch die Frustration innerhalb der Belegschaft verringert. Besonderes Augenmerk sollte auf die Verbreitung von Informationen und deren Darstellung gelegt werden. Schriftliche Informationen sind möglicherweise nicht ideal für einen erheblichen Teil der Belegschaft.

    Stellen Sie sicher, dass Gesundheit, Sicherheit und Wohlbefinden geschäftliche Prioritäten sind

    Da mehr Arbeit kognitiver Natur ist, sollte der Schwerpunkt nicht nur auf der konventionellen Sicherheit liegen, sondern auch auf der Arbeitsbelastung und der psychischen Gesundheit der Mitarbeitenden. Das Verständnis des Systems und seiner Einschränkungen hilft dabei, Engpässe zu identifizieren und proaktiv psychische Gesundheitsprobleme zu verhindern.

    Zeigen Sie dem Personal Wertschätzung und schaffen Sie sinnvolle Arbeit

    Betrachten Sie Mitarbeitende nicht als eine austauschbare Komponente des Prozesses und erkennen Sie ihren Beitrag an. Ihr Feedback könnte für die Organisation von entscheidender Bedeutung sein.

    Versuchen Sie, die Fähigkeiten Ihrer Mitarbeitenden zu verstehen, und führen Sie eine «Was ist bereits vorhanden?»-Analyse durch, um die Vielfalt der Fähigkeiten und Kompetenzen zu verstehen, die bereits in der Organisation verfügbar sind.

    Die Suche nach einem Weg, wie Kreativität gedeihen kann, erhöht die Innovationsfähigkeit des Unternehmens und die Resilienz gegenüber Veränderungen.

    Hören Sie den «Rebellen» gut zu. Was sie zu sagen haben, kann von entscheidender Bedeutung sein. Schaffen Sie eine Umgebung, in der Gedanken und Ideen ausgetauscht werden können und kritische Stimmen geschätzt werden.

    Seien Sie offen und vertrauenswürdig

    Kommunizieren Sie Entscheidungen offen und transparent und geben Sie organisatorische Mängel zu. Akzeptieren Sie unterschiedliche Ansichten und kritisches Feedback von Mitarbeitenden. Stellen Sie sicher, dass Sie eine effektive Möglichkeit haben, Meinungen von Stakeholdern zu sammeln.

    Handeln Sie sozial verantwortungsvoll

    Dieses Prinzip ist mit ISO 26000 verknüpft, das Leitlinien zur sozialen Verantwortung enthält.

    Wie die soziale Verantwortung wahrgenommen wird, kann vom kulturellen Kontext abhängen, in dem die Organisation agiert. Wenn eine Organisation ihren Betrieb von einer regionalen oder nationalen zu einer internationalen Tätigkeit entwickelt, können sich die Anforderungen schnell ändern.

    Fazit

    ISO 27500 ist derzeit kein zertifizierbarer Standard, dies bedeutet jedoch nicht, dass er ignoriert werden sollte. Die genannten Grundsätze können einen Handlungsrahmen für die Politik bilden und den Grundstein für eine nachhaltigere Nutzung der Arbeitskräfte legen.

    Literaturnachweis

  • Die Neue Betrachtungsweise von menschlichen Fehlern

    Die Neue Betrachtungsweise von menschlichen Fehlern

    In diesem Artikel widme ich mich der Alten Betrachtungsweise (The Old View) und der Neuen Betrachtungsweise (The New View) von menschlichen Fehlern[1]. Es handelt sich hierbei um eine erste, kurze Einführung, welche das Terrain für weitere Artikel zu dieser interessanten Thematik auslegt.

    Der Begriff «Neue Betrachtungsweise» ist bereits 20 Jahre alt und im Grunde genommen nicht mehr so neu. Allerdings hat sich in vielen Köpfen und in der Folge in zahlreichen Organisationen die Neue Betrachtungsweise noch nicht durchgesetzt.

    In jedem Unternehmen geschehen Fehler. Glücklicherweise bleiben diese meist folgenlos, und oft werden sie nicht einmal bemerkt. Doch leider kommt es auch immer wieder zu finanziellen oder sogar Personenschäden.

    Doch warum geschehen diese Fehler? Handelt es sich dabei um vermeidbare Fehler von Individuen, die einfach hätten besser aufpassen sollen? Oder sind Fehler emergente Eigenschaften eines komplexen sozio-technischen Systems und haben mit dem einzelnen Individuum wenig zu tun?

    Die Alte Betrachtungsweise (The Old View)

    Eine mögliche Betrachtungsweise ist, dass menschliche Fehler und somit deren negative Konsequenzen vermeidbar wären, würden sich alle an die Regeln halten. Geschieht ein Fehler aus Unachtsamkeit, reicht es aus, die Person darauf hinzuweisen und gegebenenfalls zu bestrafen, womit das Problem dann behoben ist. Die Bestrafung kann im Unternehmenskontext im Extremfall soweit gehen, dass der/die Schuldige aus dem System entfernt wird. Auch strafrechtliche Folgen sind denkbar. Diese werden nicht zwingend durch die Unternehmung initiiert, sondern im Falle von Offizialdelikten durch die Strafverfolgungsbehörden.

    Das System an sich wird als sicher betrachtet. Die Menschen im System werden als potentielle Fehlerquellen und Systemschwäche gesehen. Geben sich alle Akteure Mühe und halten sich an die Regeln, kann eigentlich nichts passieren. Die Sicherheit des Systems kann mittels Anzahl der Zwischenfälle oder Unfälle innerhalb einer Periode gemessen werden.

    Doch inwiefern hilft diese Betrachtungsweise, ein System sicherer zu machen?

    Ich bin geneigt zu sagen: Gar nicht! Bei Unternehmen handelt es sich um komplexe sozio-technische Systeme. Eine Eigenschaft diese Systeme ist, dass nicht alle Auswirkungen des Zusammenspiels verschiedener Systemkomponenten bekannt sind. Fehler, aber auch Systemsicherheit, sind emergente Systemeigenschaften.

    Doch was ist eigentlich ein Fehler?

    Wir unterscheiden verschiedene Arten von Fehlern. Da sind die unbeabsichtigten oder unbewussten Fehler, die ohne Kenntnis der Auswirkungen auf das System geschehen[2]. Und da sind die beabsichtigten oder bewussten Fehler. Hierbei handelt es sich meist um beabsichtigte Abweichungen von bestehenden Verfahren oder Regeln. Zu solchen Abweichungen kommt es beispielsweise bei Zielkonflikten, unter hohem Produktionsdruck oder weil keine besseren Alternativen zur Verfügung stehen. Sie sind also ein Resultat unzulänglicher Systeme. Häufig ist es auch der Fall, dass mit diesen Abweichungen schon seit geraumer Zeit bessere Resultate erzielt wurden als mit den offiziellen Verfahren.

    Ob eine Handlung ein Fehler war oder nicht, hat oft mit dem Resultat selbst zu tun. Der Begriff ‘Fehler’ ist also eine rückwärtsgerichtete Betrachtung einer Handlung, bei welcher das Resultat in der Zwischenzeit bekannt ist. Gerade in einem Umfeld mit hoher Komplexität und unvollständiger Informationslage, kann es aber dazu kommen, dass dieselbe Handlung einmal zu einem positiven und ein anderes Mal zu einem negativen Resultat führt. Ob jemand also einen Fehler begangen hat oder nicht, kann durchaus Umständen geschuldet sein, die zu diesem Zeitpunkt noch unbekannt waren.

    Die Neue Betrachtungsweise (The New View)

    Die neue Betrachtungsweise nimmt Abstand von der Sicht des Menschen als Fehlerquelle und als schwächstes Glied in der Kette. Der Mensch wird viel mehr als Systemkomponente betrachtet, welche eine hohe Systemsicherheit erst ermöglicht. Die Prämisse ist, dass Personen zur Arbeit kommen, um einen guten Job zu machen. Geschieht ein Fehler, lässt sich dieser nicht einfach auf die Handlung eines Individuums reduzieren. Es ist erforderlich, den Fehler im Systemkontext zu betrachten. Denn, die Handlung, welche sich später als Fehler herausstellte, wurde zum Zeitpunkt der Ausübung von der Person als sinnvoll für die Zielerreichung betrachtet.

    Menschen treffen Entscheidungen unter hohem Druck, in Zielkonflikten und grosser Unsicherheit. In einem komplexen System müssen Entscheidungen mit unvollständigen Informationen getroffen werden, oder die Menge an Informationen ist so gross, dass diese gar nicht verarbeitet werden kann. Dies kann dazu führen, dass Informationen übersehen oder bewusst nicht in die Entscheidungsfindung miteinbezogen werden.

    Das System sicherer machen

    Als System betrachte ich in diesem Zusammenhang eine Organisation oder Organisationseinheit mit Mitarbeitenden, technischen Systemen und Prozessen. Der Begriff System kann, wenn zweckmässig, auch auf externe Komponenten ausgeweitet werden.

    Wie eingangs erwähnt, bleiben glücklicherweise die meisten Fehler folgenlos. Dass dies so ist, ist vor allem der Resilienz der Menschen und manchmal auch einfach dem Zufall geschuldet.

    Fehler bieten eine Gelegenheit, zu lernen und das System sicherer zu machen[3]. Geschehen Fehler, ist es nicht zielführend sich bei der Analyse auf die Handlungen des Individuums zu beschränken (die Alte Betrachtungsweise). Die Entfernung des «Täters» aus dem System verbessert dieses nicht. Es ist entscheidend, bei der Analyse eine Systemperspektive einzunehmen und verstehen zu wollen, warum eine Entscheidung für das Individuum in dieser konkreten Situation Sinn ergeben hatte (die Neue Betrachtungsweise). Dabei muss miteinbezogen werden, welche Informationen die Person zur Verfügung hatte und welchen Zielkonflikten sie ausgesetzt war. Hier stellt sich auch die Frage, ob eine andere – ähnlich kompetente – Person möglicherweise in einer vergleichbaren Situation auch so entschieden hätte oder nicht. Wird diese Frage mit ‘ja’ beantwortet, bedarf es einer Anpassung im System, um eine nachhaltige Verbesserung zu erzielen.

     

     

    [1] Im Folgenden werde ich zwecks besserer Lesbarkeit von «Fehlern» schreiben. Gemeint sind damit «menschliche Fehler»

    [2] Ich benütze hier bewusst die Formulierung «geschehen», da diese Fehler nicht bewusst begangen werden.

    [3] Dies ist eine Safety-I Perspektive. Auf der Basis des Lernens aus Fehlern kann ein System sicherer gemacht werden. Dies ist jedoch nicht die einzige Möglichkeit. Durch das Verstehen, welche Faktoren dazu führen, dass ein System mit einer extrem hohen Zuverlässigkeit funktioniert, kann das System weiter verbessert werden, ohne dass es zuerst du negativen Ereignissen kommen muss. Die Safety-I und Safety-II Thematik werde ich in kommenden Artikeln auch noch aufnehmen.

  • Erreichen einer optimalen menschlichen Leistung durch effektives Systemdesign

    Erreichen einer optimalen menschlichen Leistung durch effektives Systemdesign

    Das Entwerfen von Automatisierung für komplexe sozio-technische Systeme, um eine optimale menschliche Leistung sicherzustellen, ist ein herausforderndes Unterfangen. Insbesondere in sicherheitskritischen Umgebungen muss sich der Mensch möglicherweise schnell an sich ändernde Anforderungen, Komplexität und Unsicherheit anpassen, um eine optimale Leistung, Effizienz und Betriebssicherheit aufrechtzuerhalten. Unter diesen Bedingungen kann der Mensch von der Automatisierung profitieren. In den meisten Fällen ist die Automatisierung so konzipiert, dass sie Aufgaben mit geringem Wert übernimmt, d.h. Aufgaben, die einfach und leicht zu automatisieren sind. Das Entwerfen von Automatisierung zur Unterstützung des Menschen bei kognitiv anspruchsvollen Aufgaben wie Problemlösung und komplexer Entscheidungsfindung ist jedoch aus verschiedenen Gründen schwieriger. Zunächst ist es erforderlich, ein Verständnis für alle übergeordneten Aufgaben und zugrunde liegenden (menschlichen) kognitiven Funktionen zu erlangen und zu ermitteln, inwieweit diese Aufgaben derzeit durch Automatisierung unterstützt werden und welche Ressourcen der Mensch für die Ausführung benötigt. Zweitens muss bei der Automatisierung von Aufgaben die neue Verteilung von (kognitiven) Funktionen zwischen Mensch und Automatisierung auf einer höheren Ebene überdacht werden. Es muss analysiert werden, welche Organisationsstrukturen erforderlich sind und wie die Kognition zwischen Menschen und Automatisierung geteilt wird (d.h. wie Menschen effektiv arbeiten können). Drittens muss verstanden werden, wie die Automatisierung gestaltet werden soll, so dass sie den Menschen bei der Bewältigung komplexer Aufgaben optimal unterstützt, insbesondere wenn Entscheidungen oder Problemlösungen unter sich schnell ändernden Anforderungen, hoher Komplexität und Unsicherheit erforderlich sind. Die Schaffung von Automatisierung zur Unterstützung des Menschen erfordert daher ein tiefes Verständnis der Strategien, die Menschen bei der Lösung komplexer Probleme und bei der Entscheidungsfindung anwenden. Welche Strategien verfolgen sie und was benötigen sie als Automatisierungsunterstützung? Dieser Artikel gibt einen Überblick über die Bewältigung dieser Herausforderungen.

    Schritt 1: Aufgaben und zugrunde liegende (kognitive) Funktionen eines Systems verstehen

    Wir müssen berücksichtigen, dass wir in den meisten Fällen keine Systeme von Grund auf neu entwickeln. Vielmehr bauen wir auf bestehenden Systemen auf, um in Bezug auf Sicherheit, Effizienz oder andere Leistungsdimensionen eine Verbesserung zu erzielen. Dies bedeutet, dass wir verstehen müssen, welche Aufgaben und zugrunde liegenden (kognitiven) Funktionen derzeit existieren und welche Funktionen derzeit von der Automatisierung unterstützt werden. So können wir ermitteln, wo Möglichkeiten bestehen, Aufgaben oder zugrunde liegende (kognitive) Funktionen weiter zu automatisieren oder vorhandene automatisierte Funktionen zu verbessern. Um herauszufinden, welche Automatisierung den Menschen bei komplexen Aufgaben optimal unterstützt (um eine menschenzentrierte Entscheidungsfindung sicherzustellen), müssen wir zunächst alle Aufgaben und entsprechenden (kognitiven) Funktionen identifizieren. Wir müssen auch die aktuelle Verteilung der Aufgaben (und der zugrunde liegenden kognitiven Funktionen) zwischen Menschen und Automatisierung ermitteln. Einige Aufgaben mit verschiedenen Ebenen der Automatisierungsunterstützung können möglicherweise Menschen zugewiesen werden und einige Aufgaben können vollständig automatisiert werden. Es ist aber auch möglich, dass Aufgaben dynamisch automatisiert oder Menschen zugewiesen werden. Es ist notwendig zu verstehen, wie sich eine Änderung der Aufgabenverteilung im Hinblick auf die gegenseitigen Abhängigkeiten zwischen Mensch und Automatisierung auf das Gesamtsystem auswirken kann. Eine kognitive Funktionsanalyse (Cognitive Function Analysis – CFA) (Boy, 1998) ist ein wichtiges Instrument für Human Factors Engineers und Designer (z.B. UX Engineers), um ein Verständnis für alle Aufgaben und zugrunde liegenden Funktionen eines Systems sowie für die Auswirkungen einer Änderung der Funktionsverteilung zwischen Menschen und Automatisierung zu generieren. Bei der Durchführung eines CFA ist es wichtig, eine breite Palette von Techniken, einschließlich Interviews, Beobachtungen sowie Dokumentationsstudien, zu verwenden. Interviews und Beobachtungen sind wichtig, da sich der Mensch in den meisten Fällen so angepasst hat, dass er das System anders verwendet als ursprünglich beabsichtigt, was häufig nicht dokumentiert ist.

    Schritt 2: Verständnis der Auswirkungen der Funktionszuweisung auf die Systemstabilität

    Eine Änderung der Funktionsverteilung zwischen Mensch und Automatisierung kann sich auf die Systemstabilität auswirken (Straussberger et al., 2008). Bei der Automatisierung bestehender Funktionen, die derzeit dem Menschen zugewiesen sind, muss daher bewertet werden, wie sich die Neugestaltung der kognitiven Funktionen von Mensch und Maschine durch zunehmende Automatisierung auf die Gesamtstabilität eines komplexen sozio-technischen Systems auswirkt. Dies bestimmt letztendlich die Resilienz des Systems, auf alle betrieblichen Anforderungen zu reagieren. Stabilität besteht in verschiedenen Schichten. Sie ist das Ergebnis von Organisationsstrukturen, die mit Verfahren und technischen Systemen verknüpft sind, und spiegelt die Fähigkeit des Systems wider, sich nach einer Störung zu erholen. Die Stabilität sozio-technischer Systeme wird durch zwei Prozesse definiert (Straussberger et al. 2008):

    1. Globale sozio-kognitive Stabilität
    2. Lokale sozio-kognitive Stabilität

    Die globale sozio-kognitive Stabilität befasst sich mit der Angemessenheit der dem Menschen oder der Automatisierung zugewiesenen Funktionen, dem Tempo des Informationsflusses und der damit verbundenen Koordination, indem geeignete Strukturen entworfen werden. Diese Strukturen sind verbunden mit:

    • Autorität
    • Verantwortung
    • Kontrollierbarkeit
    • Fähigkeit

    Probleme können auftreten, wenn diese Strukturen nicht angemessen definiert wurden. Zum Beispiel, wenn Menschen formale Verantwortung haben, aber nicht über die Kontrolle oder die Fähigkeit verfügen, bestimmte Aufgaben oder Funktionen auf hoher Ebene auszuführen. Oder es werden Funktionen vollständig automatisiert, der Mensch bleibt jedoch formal für diese Funktionen verantwortlich, während er nicht über die Kontrolle oder Fähigkeit verfügt, in die Ausführung dieser Funktionen einzugreifen. Probleme können auch auftreten, wenn Funktionen dynamisch dem Menschen oder der Automatisierung zugewiesen werden, oder von Menschen an das System delegiert werden, wobei die Bedingungen, die für die Delegierung erfüllt sein müssen, für Menschen nicht transparent oder gar nicht definiert sind.

    Lokale sozio-kognitive Stabilität bezieht sich auf die Arbeitsbelastung des Menschen, das Situationsbewusstsein und die Fähigkeit, geeignete Entscheidungen zu treffen und Maßnahmen zu ergreifen. Die lokale sozio-kognitive Stabilität hängt hauptsächlich von der Fähigkeit des Menschen ab, die Automatisierung zu verstehen und ein mentales Modell des Systems zu erhalten. Automatisierte Systeme müssen so konzipiert sein, dass Menschen in der Lage sind, Reaktionen automatisierter Systeme auf menschliche Eingaben vorherzusagen (zu antizipieren) sowie angemessenes Feedback zu erhalten und bei Bedarf die Autorität wiederzugewinnen (Boy, 1998). Außerdem muss die Transparenz automatisierter Funktionen berücksichtigt werden, damit der Mensch ein gültiges mentales Modell des Systems, seiner Funktionen und seines Verhaltens entwickeln kann.

    Die Gewährleistung sowohl der globalen als auch der lokalen sozio-kognitiven Stabilität wird einen gemeinsamen Bezugsrahmen gewährleisten und das gemeinsame Situationsbewusstsein zwischen Menschen und automatisierten Systemen unterstützen.

    Schritt 3: Designautomatisierung zur Unterstützung von Expertenentscheidungen

    Das Entwerfen einer Automatisierung zur Unterstützung menschlicher makrokognitiver Funktionen beginnt mit dem Verständnis, wie menschliche Bediener auf ein hohes Maß an Komplexität und Unsicherheit reagieren. Menschen müssen sich möglicherweise an sich ändernde Anforderungen anpassen, was voraussetzt, in die Zukunft extrapolieren und eine erfahrungsbasierte Bewertung erstellen zu können. Es kann auch erforderlich sein, vorauszuplanen und Kapazitäten aufzubauen, um Situationen in naher Zukunft bewältigen zu können. Möglicherweise müssen sie auch Strategien entwickeln, um mit zukünftigen Anforderungen und unerwarteten Situationen umgehen zu können. Solche Strategien können dazu dienen, Komplexität und Unsicherheit entweder zu verringern oder zu bewältigen. Beispiele für Strategien zum Komplexitäts- und Unsicherheitsmanagement sind (Corver & Grote, 2016):

    • Vorausschauendes Denken (Extrapolation der aktuellen Situation in die Zukunft basierend auf früheren Erfahrungen mit beobachteten Abweichungen)
    • Adaptive Planung (d.h. Erstellen von Ausweichplänen)
    • Abwägen der Vor- und Nachteile verschiedener Optionen (Vergleich alternativer Lösungen)
    • Vorbeugen (Verbesserung der Bereitschaft, z.B. Ressourcen für zukünftige Anforderungen verwalten)
    • Verringerung der Unsicherheit (z. B. Erhöhung der Genauigkeit und Zuverlässigkeit von Daten durch Integration und Validierung von Informationen aus verschiedenen Quellen)

    Das Verständnis dieser Strategien ist wichtig, um nützliche Automatisierungen zu entwickeln, die die Entscheidungsfindung des menschlichen Bedieners und die Ausführung von Aufgaben in hochdynamischen Situationen mit hoher Komplexität unterstützen.

    Folgende Fragen sollten gestellt werden: Welche Informationen aus welchen Quellen werden benötigt und welche Datengenauigkeit ist erforderlich? Welche Hinweise sind erforderlich, damit menschliche Bediener bei Abweichungen angemessen informiert werden, um schnell angemessen reagieren können? Was berücksichtigen Menschen bei der Analyse einer Situation und bei komplexen Entscheidungen? Automatisierte Support-Tools können so konzipiert werden, dass sie die Fähigkeit des Menschen unterstützen, Einblicke zu gewinnen oder in die Zukunft zu extrapolieren, bei Abweichungen alarmiert zu werden, oder komplexe Entscheidungen auf der Grundlage operativer Kompromisse zu treffen (Corver & Grote, 2016). Schließlich, kann das Verständnis der Aufgaben und des Informationsbedarfs das Design der Automatisierung unterstützen, die den Menschen beim Clustering, Integrieren und Filtern verschiedener Informationen aus verschiedenen Quellen unterstützt, um die Entscheidungsfindung zu verbessern und zu beschleunigen.

    Zusammenfassend kann gesagt werden, dass mittels Identifizierung menschlicher makrokognitiver Strategien verstanden werden kann, wie die Automatisierung die menschlichen Bedürfnisse unterstützen und die Gesamtleistung eines Systems steigern kann.

    ———————————————————————————————————————————————————

    Literatur

    Corver, S.C. & Grote, G. (2016). Uncertainty management in en route air traffic control: a field study exploring controller strategies and requirements for automation. Cognition, Technology & Work.

    Boy, G. (1998). Cognitive function analysis. Westport, CT: Ablex, Greenwood Publishing Group.

    Straussberger, S. et al. (2008). PAUSA for the future – A synthesis of Phase 1. June 2008. Final Report.