In unserem Essay "Die (kausale) Logik des Risikos" haben wir grundsätzliche Erkenntnisse zur Diskussion gestellt. Unser prinzipielles Ziel war es, auch wenn es noch offene Fragen für die Praxis gibt, basierend auf Erkenntnissen der Sicherheitswissenschaften einen für die interdisziplinäre Risikoforschung und das praxisorientierte Risikomanagement allgemein anwendbaren Risikobegriff anbieten zu können. Da wir keineswegs die Gesamtfülle an wissenschaftlichen und praktischen Darstellungen kennen, besteht das angenommene Novum darin, dass wir gemäß einer logisch-formalen Zugangsweise (d. h. ohne formallogisches Logikkalkül) einen formallogischen Risikobegriff (d. h. unter Verwendung formalisierter Kausalfaktoren) vorschlagen können, dessen allgemeine Anwendbarkeit mit Beispielen zunächst aus der Technikfolgenabschätzung demonstriert wird. Zentrales Element dafür sind "Vorwarnungen", wie sie in verschiedenen Konzepten Verwendung finden und sich daher für den Risikobegriff nutzen lassen. Vorwarnungen zeigen an, ob es eine oder keine Übereinstimmung zwischen Wirklichkeitsauffassung, Erwartungshaltung, Modellergebnissen, etc. der Risikoidentifikation und der Realität gibt.
Logik des Risikos
Die Logik des Risikos resultiert aus einer spezifischen Kausalität, die sich in einem sehr einfachen Kausalschema nach verschiedenen theoretischen Vorbildern (besonders das Schweizer-Käse-Modell nach James Reason) ausdrücken lässt und es erlaubt einen entsprechenden Risikobegriff zu formulieren. Dafür sind vier formalisierte Faktoren relevant: Eine Grundursache (G), eine spezifische Ursache/Ursachenkette (U), ein Auslöser (A) und gegebenenfalls ein Anlassfaktor (AN). "G" äußerst sich allerdings in unseren Beispielen als "latente Ursache" (Reason). Analog zur Gültigkeit des Pareto-Prinzips in der Unfallforschung haben wir Grund zur Annahme, dass die überwiegende Mehrheit aller G "latente Ursachen" sind. Eine "latente Ursache" ist – ohne ausführliche Definition – eine Tendenzursache zu negativen Konsequenzen oder eine unterschwellige Problemlage, die nur darauf wartet ihr volles Potenzial zu zeigen, sobald sich dafür der richtige Auslöser findet.
Das formale Kausalschema ist eine simple Darstellung um zu beschreiben welche interagierenden Faktoren in einer gegebenen Situation relevant sind. Die Einfachheit erlaubt eine allgemeine Anwendung (beispielsweise Klimabeeinflussung, Flüchtlingskrise), doch der primäre Zweck hier ist die Nutzung dieses Schemas zur Erklärung von Risikopotenzialen. Eines unserer Beispiele ist die Studie von Dekra in europäischen Städten: Durch eine Ablenkung der Fußgänger wegen der Nutzung von Smartphones ist das Unfallrisiko erhöht. Nach der klassischen Formel würde die Feststellung lauten: Risiko "gering", weil allgemein angenommen wird, dass es sich dabei um ein Risiko einfacher Korrelation handelt (umso höher der potenzielle Schaden, desto geringer die Eintrittswahrscheinlichkeit). Die Unzulänglichkeit wird zwar mit dem dritten Faktor "Häufigkeit" reduziert, aber nicht beseitigt, weil sie nur eine einseitige Korrektur darstellt (siehe Abschnitt 4), welcher zudem das entscheidende außersubjektive Merkmal fehlt (auch die Häufigkeitsangabe ist meistens eine subjektabhängige Annahme). Mit dem hier vorgestellten Ansatz lässt sich dieses Defizit aber beheben.
Zunächst eine Betrachtung mit dem Kausalschema: Es liegt offensichtlich eine "latente Ursache" vor, nämlich die "Ablenkung durch Smartphonenutzung" (G). U ist der öffentliche Verkehr. Im Kontext von U (dem gesamten in einer Situation vorhandenen öffentlichen Verkehr) besitzt G potenzielle Wirkungen, die jedoch mit diesen beiden Faktoren völlig unbestimmbar sind, daher ergeben diese beiden Faktoren gemeinsam ein Risikopotenzial, aber noch kein klar bestimmbares Risiko. Erst durch ein Vorhandensein von A wird dies zum Risiko. So ist in europäischen Hauptstädten wegen der Menge der auftretenden A ein höheres spezifisches Risiko vorhanden. A ist in diesem Fall etwa ein Fahrer, der einen Schadensfall verursacht bzw. negative oder ungewollte Konsequenzen. Ein Auslöser ist er deshalb, da nicht A das Schadensausmaß (S) bestimmt, sondern die Kontextfaktoren von U, was beim Überqueren der Straße durch ein Auto anders geartet ist als beim Queren eines Fahrradstreifens. Auch wenn in erster Linie vielleicht dem Fahrer die Schuld gegeben werden würde ist die tiefere Ursache doch "Ablenkung durch Smartphonenutzung", da es offensichtlich absurd wäre in allen Fällen immer den Fahrern die Schuld zu geben, wenn bekanntermaßen unvorsichtiges Fußgängerverhalten vorliegt. Dies wird in den Sicherheitswissenschaften äquivalent mit "organisatorischen Fehlern" bezeichnet, da Personen oft nur als A fungieren, und bei Vernachlässigung tieferer Ursachen oft vorschnell "menschliches Versagen" angenommen wird.
"Semireale" Risiko-ID
Dieses Beispiel ist illustrativ, weil es auch verdeutlicht, dass Risikopotenziale realistisch erkennbar sind. Entgegen einer sozialwissenschaftlichen Annahme betreffend Risiko lässt sich mit Risikopotenzialen nachweisen, dass es egal ist ob Risikopotenziale bekannt sind oder nicht bekannt sind, sie sind vorhanden, das heißt bilden das Potenzial zu einem Risiko, und können prinzipiell erkannt werden. Risikopotenziale (G + U) werden auch in der Pressemitteilung von Dekra bekannt gegeben: "Eine Frau schiebt einen Kinderwagen über den Fußgänger-Überweg an einer Ampelanlage – dabei tippt sie auf ihrem Smartphone, ohne beim weiteren Überqueren auf die Ampel zu achten. Ein Mann schiebt einen Kinderwagen, hat ein Kleinkind an der Hand und überquert die Straße – während er sein Smartphone zwischen Schulter und Ohr eingeklemmt hat. Eine telefonierende Frau rennt – ohne sich umzuschauen – über die Straße, um die Straßenbahn noch zu erreichen." (<link bit.ly/1UMLv0T _blank external-link-new-window "Opens external link in new window">Quelle</link>)
Das daraus entstehende Risiko wird nun bestimmt durch das Hinzutreten von A. Es ist daher zu unterscheiden von dem tatsächlich vorhandenen Risiko (G+ U + A) und einer semirealen Risikoidentifikation (ID). Dem Relativismus und Konstruktivismus wird zugestanden, dass die "ID" des Risikos weiterhin durch eine subjektive Einschätzung und die Art und Qualität der Daten für diese Einschätzung bestimmt wird. Die Annahme einer grundsätzlichen Konstruktion des Risikos basiert auf einer Kritik der klassischen Formel gemäß (a) Risiko als Wahrscheinlichkeit und (b) Risiko ohne Dynamik. Allerdings lässt sich dieses Zugeständnis inkludierend die "ID" semireal bestimmen, wenn entsprechende Near Misses bekannt sind. Da konkrete NM immer nur dann auftreten, wenn auch A vorhanden sind, zeigen NM nicht nur Risikopotenziale an, sondern helfen auch bei der Bestimmung des Risikos durch ein außersubjektives Kriterium. Gemäß obigem Beispiel als "Beinahe-Unfälle" verstanden geben NM eine aktuelle Wiedergabe der Interaktionen von G + U + A. Dieser formale Zugang könnte zwar auch als konstruiert kritisiert werden, doch dessen Gegenprüfung ist nicht formal, sondern semireal (außersubjekives Kriterium korrigiert subjektive Einschätzung): G + U + A sind rein formal, weil sie nicht mit Werten bestimmt werden müssen, da NM eine aggregierte Momentaufnahme widerspiegeln. Die Bekanntheit von NM umgeht damit das Problem einer detaillierten Untersuchung aller risikobehafteten Einzelfallsituationen und erlaubt eine realitätsnahe Korrektur von Risikoeinschätzungen, was am Fundament des Risikos liegt: der statistischen Korrelation wonach das potenzielle Schadensausmaß umso unwahrscheinlicher eintritt, desto höher es ausfällt. Tatsächlich gilt dieselbe Korrelation auch im Falle von Risikopotenzialrisiken, was mittels der bekannten "Unfallpyramide" (vgl. anma.at) veranschaulicht wird, und gerade deswegen offenbaren sich "latente Ursachen" in gehäuften NM. Auch im Umfeld einer "latenten Ursache" treten rein statistisch mehr Vorwarnungen als Schadensfälle auf. NM liefern daher zugleich eine Momentaufnahme der aktuellen Dynamik (Interaktion von G + U + A), erlauben damit eine grundsätzliche Risikoerkennung (Vorhandensein von G + U + A), und die Art und Menge von NM zeigen auf Basis der aktuellen Informationen an, ob eine Wahrscheinlichkeit zu schlimmeren Ereignissen erhöht ist oder nicht (gemäß Unfallpyramide) und liefern damit eine ID (die Werte von G + U +A). Wegen dieser statistischen Verhältnismäßigkeit gilt definitorisch: Durch NM nimmt die noch verbleibende Unsicherheit des Eintretens höherer negativer Konsequenzen ab, aber nicht welche dies tatsächlich sein würden, weil durch gehäufte NM auch angezeigt wird, dass mehr kritische Situationen (G + A + U) auftreten. Daher gilt für Risikopotenzialrisiken eine erweiterte Korrelation: mit zunehmenden Vorwarnungen nimmt auch die Wahrscheinlichkeit zu höheren Schadensereignissen zu und umgekehrt, wodurch sich auch Wahrscheinlichkeitsaussagen falsifizieren lassen. Dies ist ebenfalls statistisch nachvollziehbar: Analog zu mathematischen Erkenntnissen wie Benford's Gesetz, der Gauß'schen Glockenkurve und dem Poincaréschen Wiederkehrssatz nehmen Extremwerte rein statistisch mit der Häufigkeit von Werten oder Zuständen zu. Damit helfen NM bei einer (quantitativen) Risikoidentifikation. Eine Risikoidentifikation alleine ermöglichen sie nicht, da sie eben nichts über das mögliche Schadensausmaß auszusagen erlauben. Konkret: In einer kritischen Verkehrssituation (G + U) tritt A hinzu, doch das tatsächliche Schadensausmaß lässt sich nicht vorhersagen, da dies auf die Interaktion von G + A + U ankommt. In dieser Situation gibt es einfach viel mehr Möglichkeiten, wie das Ereignis zu einem NM wird als zu einem tatsächlichen Schadensereignis. Das besagt einer der Hauptsätze der Risikotheorie aus der Sicherheitswissenschaft nach Abend-Navandi: "Die Schwere des Unfalls ist dem Zufall unterworfen." Mit Zufall ist gemeint, dass sich bei komplexen Vorgängen nicht im Voraus bestimmbare Konstellationen von G + A + U ergeben und damit nichts über die Konsequenzen ausgesagt werden kann, und genau deswegen ist G + A + U ein Risiko. Risiko ist somit nicht Risiko-ID, sondern eine vorgelagerte "Unsicherheit" über die Konsequenzen von Aktivitäten (Aven). Damit bildet dieser NM-Risikoansatz also eine Mittelposition oder Brücke zwischen konstruktivistischen und realistischen Risikoansätzen durch eine Hervorhebung der Verknüpfung von statistischen Erkenntnissen der "Unfallpyramide" mit den Erkenntnissen von "latenten Ursachen": NM zeigen also "latente Ursachen" an, wenn sie gehäuft auftreten, dienen also als Indikatoren der Art (welches G) und Erheblichkeit (im Kontext von welchem U) von Risikopotenzialen. Sobald Risikopotenziale vorhanden sind, braucht es nur einiger Auslöser um einen tatsächlichen Schadensfall zu erzeugen. In Sinne eines weiteren Hauptsatzes der Risikotheorie: "Es ist nur eine Frage der Zeit, bis ein Risiko zu einem Unfall wird." Es ist also zu unterscheiden zwischen der gefährliche Situation als Bedingung der Möglichkeit von einem Schadenfalls (U), und der tatsächlichen Tendenz (G) dazu, wie es im letzten Hauptsätze zusammengefasst ist: "Unfälle passieren nicht, sie werden verursacht."
NM (als Beispiel für Vorwarnungen) helfen also in Summe dabei Risikopotenzialrisiken zu entdecken, zu identifizieren, und gemäß dem Kausalschema auch beim Finden adäquater Maßnahmen. Dies gilt auch für die Dekra-Studie, wie SWR eine A-Maßnahme berichtet: "Die chinesische Millionenstadt Chongqing hat jetzt den ersten exklusiven Handy-Fußweg eingerichtet. Also so was wie ein Fahrradweg, nur für Smartphone-Autisten." (<link bit.ly/2cZiZv4 _blank external-link-new-window "Opens external link in new window">Quelle</link>)
Risikotrendprognosen
Für eine tatsächliche Risikoidentifikation müsste natürlich klar sein in welcher Zeitspanne von welchem Risiko gesprochen werden kann. Der Faktor Häufigkeit (H) nach der 3-Faktoren-Formel hilft dies zu kompensieren, mit dem die Häufigkeit eines Risiko angenommen wird. Während NM also einen Korrekturfaktor für E liefern, stellt "H" einen Korrekturfaktor für S (Zunahme von Extremwerten mit der Häufigkeit der Vorkommnisse von R) zur Risikoidentifikation dar.
Durch eine wiederholte Durchführung der situationsspezifischen ID lassen sich daher zu- oder abnehmende Risikotrends erkennen. Dieser Ansatz kann auf drei Arten erfolgen:
- Eine Integration von Vorwarnungen (beispielsweise NM) im Rahmen einer Methode, d.h. welche konkreten Vorwarnungen vorhanden sind (beispielsweise nach DyPASI).
- Eine nachträgliche Berichtigung der Kalkulationen oder Prognosen durch neue Informationen (beispielsweise populär Bayes-Theorem).
- Die Integration dieses Ansatzes auf rein formale Weise in die Identifikation des Risikos selbst. Dafür schlagen wir nach dem Vorbild der FMEA eine pragmatische Formel vor: R = (NM + E) x S x A (für Details siehe den Essay).
Diese Formel dient uns primär zur Verdeutlichung der allgemeinen Anwendbarkeit dieses Ansatzes (da auch für diese noch weiterführende Fragen empirisch zu prüfen sind). Die NM inkludierende Bow-Tie Variante "DyPASI" zeigte jedoch im Vergleich mit anderen Varianten in den Sicherheitswissenschaften die Gültigkeit dieses Ansatzes, da dadurch eine viel adäquatere Risikoeinschätzung möglich ist.
Wegen der permanenten Änderung der Wahrscheinlichkeit kann allgemein von einem dynamischen Risikobegriff ausgegangen werden, dessen Kern damit nicht mehr Wahrscheinlichkeit auszeichnet, sondern, die Argumentation von Terje Aven ausweitend, Unsicherheit.
Im Falle der Dekra-Studie kann zwar ein Risiko erkannt werden, doch dieses ist in verschiedenen Städten völlig unterschiedlich identifizierbar. Dasselbe Risiko besitzt also eine andere "ID" gemäß Wahrscheinlichkeit. Wird die erweiterte Korrelation akzeptiert, können mit der vorgeschlagenen Formel Risikotrends beschrieben werden. Für die Pragmatik dieses Ansatzes nehmen wir arbeitshypothetisch an, dass sich in praktischen Zusammenhängen schnell die nötige Menge an NM herauskristallisiert, die hinreichend genaue Informationen bieten – vorausgesetzt, dass auf NM geachtet wird! – um die Variable mit einem Wert zu belegen. A steht hier für Abschätzungsverlässlichkeit. Diese fusioniert nach unserem Vorschlag eine Bewertung der Informationsgrundlage, wie sie Aven vorschlägt, aber auch "Entdeckbarkeit" und "Häufigkeit" (für einen Schlüssel siehe Essay). Denn alleine mit NM lässt sich nicht auf die Grundgesamtheit schließen und daher ein Trend vielleicht erkennen, nicht aber identifizieren! Eine Tendenz (gemäß G) ist kein Spiegelbild eines Trends. Es ist eben ein Unterschied ob 3 NM in einer Grundgesamtheit von 100 oder 1000 Fällen vorkommen. Ein Risikotrend ist also nur dann anzunehmen, wenn zunehmend häufigere NM auftreten.
Rein formal, dafür aber verallgemeinerbar, gilt, dass NM als verobjektivierendes Kriterium die Variable E korrigieren, und zwar hinsichtlich der Frage ob es eine Zunahme von E gibt oder nicht, denn allgemein interessiert welche Risiken wie zunehmen. Die Variable S wird durch eine Einschätzung der Häufigkeit, subsumiert unter A, relativiert. Dabei bezeichnet H das grundsätzliche Vorkommen von risikobehafteten Situationen, und NM bezeichnet als Wert einen Ausdruck dafür wie stark die Interaktion der relevanten Faktoren in Relation zu H aktuell ist. Umso geringer das Verhältnis zwischen NM und H, desto höher das R, das heißt desto geringer die Unsicherheit über Schadensereignisse. Allerdings wird ein spezifisches Risiko stets identifiziert gemäß S. Daher sind NM und H für R zu wenig, aber gemeinsam erlauben sie eine realitätsnahe Bestimmung wie wahrscheinlich ein spezifisches S ist: Im Sinne der klassischen Formel E x S: Für einen geringeren Schadensfall müsste rein statistisch eine höhere Wahrscheinlichkeit angenommen werden als für einen größeren. Sind dafür NM bekannt erhöht sich die Wahrscheinlichkeit. Für ein größeres S müsste eine geringere Wahrscheinlichkeit angenommen werden, weshalb aus rein statistischen Gründen ein kleineres Risiko angenommen werden könnte, als realitätsnahe tatsächlich gegeben ist. Hier bilden NM einen außersubjektiven Korrekturfaktor für E, um die tatsächliche Lage einzuschätzen. Im Sinne der 3-Faktoren-Methode: Grundsätzlich gilt nach obiger Erklärung, dass mit einer größeren Häufigkeit von Vorkommnissen auch größere Schadensfälle wahrscheinlicher werden. Ein hoher Wert von H würde in jedem Fall ein höheres Risiko ergeben. Das ist jedoch eine rein formale Annahme, da dies in der Realität völlig kontextbedingt ist, worüber eben NM als vierter Faktor Auskunft geben. Nimmt die Anzahl von NM im Verhältnis zu H tatsächlich zu, nimmt die Wahrscheinlichkeit tatsächlich zu. Sind trotz Monitoring keine NM bekannt, bleibt die Risikoidentifikation entsprechend der einfachen statistischen Korrelation gültig. Das Fehlen von NM ist auch in diesem Fall eine realitätsnahe Annäherung. Eine verallgemeinerbare Anwendbarkeit dieses Ansatzes in allen Risikofeldern bedarf jedoch noch einer empirischen Erprobung.
Autoren:
Robert Brunnhuber MSc und Dr. Mohammad Abed-Navandi
Literaturangaben sind im Essay zuammengefasst.
