Ein Bowtie-Diagramm veranschaulicht die Risiken, die sich aus einer Gefahr ergeben, mit dem Ziel, das Risiko zu managen und zu reduzieren. Das Diagramm konzentriert sich auf ein einzelnes Szenario eines schwerwiegenden Vorfalls im Zusammenhang mit der Gefahr und fasst dessen vielfältige mögliche Ursachen und Auswirkungen in einer einzigen Ansicht zusammen.

Da das Bowtie-Diagramm mehrere mögliche Ursachen für einen einzelnen Vorfall oder ein einzelnes Ereignis darstellt und anschließend die potenziellen Folgen einbezieht, ähnelt die Verengung einer Fliege, und der Name ist ein Hinweis auf ihr Aussehen.

Warum Bowtie-Diagramme verwenden?

In der Regel handelt es sich bei dem einzelnen schwerwiegenden Ereignis, das von Interesse ist, um ein Szenario des Kontrollverlusts. Beispielsweise könnten Sie Schlagzeilenereignisse wie den Austritt eines gefährlichen Stoffes oder die Instabilität eines kritischen Prozesses betrachten. Dies könnte zum Austritt explosiver oder giftiger Chemikalien (Verlust der Eindämmung), einem Transportunfall oder dem Zusammenbruch eines öffentlichen Dienstes führen. All dies könnte zu schädlichen Ereignissen führen. Was diese Art der Analyse – auf der Detailebene eines Bowtie-Diagramms – rechtfertigt, ist die Tatsache, dass die Schwere des Risikos ein Risikomanagement lohnenswert macht.

Der gängige Ansatz für das Risikomanagement beginnt mit der Identifizierung kritischer Risiken und geht dann wie folgt vor:

• deren Minderung möglicher negativer Folgen.
• deren vollständige Vermeidung oder
• deren Reduzierung und

Das Bowtie-Diagramm ist ein gutes visuelles Hilfsmittel zur Übersicht über verschiedene Maßnahmen zur Risikominderung und -minimierung, da es die Maßnahmen (manchmal auch Barrieren genannt) in direktem Zusammenhang mit den jeweiligen Ursachen und Wirkungen darstellt. Neben der visuellen Darstellung kann das Diagramm auch die Grundlagen eines statistischen Modells bilden. Dies wiederum kann die Einstufung kritischer Risiken untermauern und die Priorisierung des Aufwands für die Risikominimierung erleichtern.

Wer verwendet Bowtie-Diagramme?

Die Bowtie-Analyse, auch Bowtie-Methode genannt, entwickelte sich aus verschiedenen Methoden wie der Fehlerbaum- und Ereignisbaumanalyse sowie der Kausalfaktor-Diagrammerstellung, die bereits früh in der Nuklear- und Luftfahrtindustrie Anwendung fanden. Eine schwere Chemiekatastrophe in Flixborough im Jahr 1974 führte zur Einführung des Arbeitsschutzgesetzes (Health and Safety at Work etc. Act) und später zu den COMAH-Vorschriften in Großbritannien und der Seveso-Richtlinie in der EU. Diese galten weitreichend für chemische und petrochemische Prozesse und Lagerung sowie für die Nuklearindustrie. Die Piper-Alpha-Katastrophe (1988) gab der Öl- und Gasindustrie einen wichtigen Anstoß, ihren Umgang mit Großgefahren weiterzuentwickeln. Der erste standardisierte Ansatz wurde von Shell definiert.

Seit sich die Bowtie-Methode in diesen Branchen als etablierte Methode des Risikomanagements etabliert hat, findet sie Anwendung im Bergbau, in der Stromerzeugung, im Schienen- und Seeverkehr, im Gesundheitswesen und in der Wasserversorgung. Sie wird sogar in der Cybersicherheit und der Finanzmodellierung eingesetzt.

Wo fange ich an?

Wenn Ihr Unternehmen Menschen – ob Mitarbeiter oder Öffentlichkeit – mit Gefahren in Kontakt bringt, überlegen Sie zunächst, welche Gefahren das größte Potenzial für Schäden, Verletzungen oder gesundheitliche Beeinträchtigungen haben. Berücksichtigen Sie auch Umweltschäden.

Nehmen wir zum Beispiel einen Zoo, in dem Tiger oder andere Raubtiere gehalten werden. Ein Tiger erfüllt natürlich die Definition einer Gefahr, stellt aber bei richtiger Handhabung kein hohes Risiko dar. Und genau darum geht es. Obwohl eine Gefahr im Mittelpunkt jedes Bowtie-Diagramms steht, birgt sie nur das Potenzial für Schädigungen, und das tatsächliche Schadensrisiko ist eine Frage des Managements.

Es bedarf einer Kette von Faktoren, damit die Gefahr zur Schadensursache wird. Betrachten Sie daher Szenarien für Kontrollverlust. Wie bereits erwähnt, könnten diese das Austreten einer giftigen, explosiven oder anderweitig gefährlichen Substanz oder den Ausfall eines Systems, von dem Menschen abhängig sind, umfassen. Wählen Sie aus allen potenziellen Szenarien für Kontrollverlust eines als Top-Ereignis aus. Dieses Ereignis stellt lediglich einen Kontrollverlust dar; es ist noch nichts Schlimmes passiert, aber das Schadenspotenzial ist entfesselt.

In unserem Beispiel betrachten wir „Kontrollverlust“ als den Ausbruch des Tigers aus seinem Gehege. Ihr Bowtie-Diagramm hat nun zwei zentrale Elemente – die Gefahr und das Top-Ereignis.

Und dann die Folgen…

Da wir das Schadenspotenzial noch ermitteln, ist es sinnvoll, zuerst die rechte Seite des Bowtie-Diagramms zu betrachten. Dabei geht es um die möglichen negativen Folgen eines Kontrollverlusts. Listen Sie diese auf und verfeinern Sie sie anschließend. Jede davon bildet einen eigenen Zweig auf der rechten Seite des Diagramms. Es ist sinnvoll, diese Folgen zu konkretisieren. „Todesfälle“ können beispielsweise ein Worst-Case-Szenario sein, aber seien Sie sich über den Mechanismus im Klaren, durch den Ihre Gefahr Todesfälle verursachen könnte. Denn die Auswirkungen eines Kontrollverlusts können möglicherweise noch abgemildert werden. Zum Beispiel durch eine Evakuierungsübung. Ein weiteres Beispiel: Die größtmögliche Trennung von Hochrisikobereichen von Arbeitsstätten.

Diese Minderungskontrollen (oder Maßnahmen oder Barrieren, wenn Sie es vorziehen) sollten Ihrem Bowtie-Diagramm hinzugefügt werden. Einige davon könnten wirksame Ansätze zur Abmilderung mehrerer Folgen sein.

In unserem Beispiel-Fliegendiagramm mögen Todesfälle die offensichtliche Gefahr sein, aber ein Angriff oder ein Gefressenwerden durch einen entlaufenen Tiger ist nicht der einzige mögliche Grund. Auch ein Gedränge von Menschen, die fliehen wollen, ist möglich. Das Fliegendiagramm sollte diese Ergebnisse trennen, da die Risikominderungsmaßnahmen unterschiedlich sein sollten.

Und noch ein letzter Punkt: Risikomanager denken vielleicht schon darüber nach: Ordnen Sie die Ergebnisse nach Schweregrad (Auswirkung) an. Ordnen Sie Ihr Fliegendiagramm so an, dass diese oben stehen (oder farblich hervorgehoben werden). Denn manche Ergebnisse sind schwerwiegender als andere, wie die klassische Risikomatrix zeigt, die die Auswirkung gegen die Wahrscheinlichkeit aufstellt. Auch dies ist ein wichtiger Aspekt der Priorisierung.

Später können Sie die Wirksamkeit Ihrer Risikominderungsmaßnahmen als y-Achse der Risikomatrix betrachten. Betrachten wir zunächst die Ursachen für den Kontrollverlust.

Ursachen (Auslöser), die zum Kontrollverlust führen

Die linke Seite Ihres Fliegendiagramms berücksichtigt die Auslöser, die zum Kontrollverlust Ihrer Gefahr führen können. Listen Sie, genau wie bei den Ergebnissen, die möglichen Auslöser auf.

Die groben Kategorien von Auslösern können Dinge wie unzureichendes Design, Alterung der Ausrüstung oder der Betrieb von Geräten außerhalb ihrer Konstruktionsparameter sein. Es ist auch zu erwarten, dass Geräte von Zeit zu Zeit ausfallen; es hängt lediglich davon ab, wie oft sie verwendet werden. Alternativ können extreme Umweltfaktoren eine Rolle spielen. Weitere Faktoren können vorsätzliche Eingriffe (Sabotage, Terrorismus oder andere Straftaten) sein. Jeder dieser Faktoren kann einen Kontrollverlust auslösen und sollte in das Risiko einbezogen werden.

Nehmen wir für unser Beispieldiagramm an, dass der Tierpfleger das Tigergehege betritt und ein Tor offen lässt, sodass ein Tiger entkommen kann. Das würde doch niemals passieren, denken wir sofort. Und das liegt daran, dass wir instinktiv erwarten, solche offensichtlichen Risiken kontrollieren zu können.

Hätte der Zoo nicht ein Doppeltor installiert? Und um sicherzustellen, dass es keinen direkten Zugang zwischen den Tigergehegen und den öffentlichen Bereichen gibt? Sie haben also begonnen, die Kontrollen (im wahrsten Sinne des Wortes: Barrieren) abzubilden, die die Wahrscheinlichkeit verringern, dass das auslösende Ereignis zum Kontrollverlust führt. Hierfür eignet sich das Bowtie-Diagramm besonders gut.

Um die Einstufung von Trigger-Ereignissen zu bestimmen, lohnt es sich auch, deren Häufigkeit zu berücksichtigen. Hurrikane der Stärke 12 können zwar einen Zaun umreißen, kommen aber seltener vor als die Anzahl der Besuche eines Tierpflegers in oder aus dem Gehege.

Wenn Kontrollen nicht funktionieren

Haben Sie Ihr Bowtie-Diagramm nun fertiggestellt? Haben Sie die Trigger und die Kontrollen (Barrieren), die verhindern sollen, dass diese Trigger zum Top-Ereignis führen, aufgelistet? Und haben Sie die möglichen Folgen und die Maßnahmen zur Abmilderung der potenziellen Auswirkungen des Top-Ereignisses aufgelistet?

Nehmen wir an, Sie haben das getan. Und dennoch können manchmal schlimme Dinge passieren.

Das liegt zum Teil daran, dass die Kontrollen nicht perfekt sind und manchmal gar nicht funktionieren. Hier ist eines der besonders leistungsstarken Merkmale der Bowtie-Methode: Sie werden allgemein als „Eskalationen“ bezeichnet und stellen die Gründe für das Versagen von Kontrollen dar. Dies ist eng mit der kausalen Ereignisanalyse verwandt.

Zum Beispiel ein Alarm, der ausfällt oder zu oft ausgelöst wird und ignoriert wird. Oder (in unserem Szenario) ein Doppeltor ohne funktionierende Verriegelung, sodass beide Tore offen bleiben können.

Aus diesem Grund würden Sie sich in einem gut konzipierten Risikomanagementsystem nicht auf eine einzige Kontrolle verlassen. Was aber, wenn alle Ihre Kontrollen auf einem mangelhaften Wartungsplan oder einer Annahme über die Kompetenz der Mitarbeiter beruhen, die nicht immer zutrifft? Dies sind die Situationen, die das Bowtie-Diagramm unterstützt, in denen mehrere Kontrollen versagen können (das „Schweizer-Käse-Modell“ der Unfallursache).

Das Bowtie-Diagramm hilft außerdem, diese kausalen Faktoren hervorzuheben und zu managen, indem es nicht nur Eskalationen (die beeinträchtigenden Faktoren), sondern auch Eskalationskontrollen hinzufügt, d. h. Maßnahmen zur Bewältigung von Eskalationen und zur Verhinderung einer Beeinträchtigung der Wirksamkeit von Kontrollen.

Es ist durchaus möglich, dass Ihr ursprüngliches Bowtie-Diagramm nach dem Hinzufügen all dieser Elemente möglicherweise nicht mehr wie ein Bowtie aussieht. Darüber hinaus kann die ursprüngliche Lesbarkeit teilweise verloren gegangen sein. Dies ist eine der Herausforderungen der Bowtie-Analyse und ein Grund, warum Sie eine Software-Diagrammlösung mit folgenden Vorteilen wählen sollten:

• Einfach zu zeichnen
• Einfache Darstellung von mehr oder weniger Details
• Einfache Hervorhebung der Wiederverwendung von Steuerelementen (Barrieren)
• Einfache Suche nach Schlüsseltext
• Einfaches Hinzufügen zusätzlicher Details (Beschreibungen, Links oder andere Metadaten)
• Einfaches Teilen
• Einfacher Export des Modells für Berichtszwecke

Diese Faktoren sowie die einfache Ausprobierbarkeit waren die wichtigsten Designfaktoren für Bowtie Designer, eine kostenlose App für modernes SharePoint®. Es gibt einige Premiumfunktionen, für die Sie eine Lizenz erwerben können. Sie können sich jedoch mit der Bowtie-Methode vertraut machen und Ihre grundlegenden Diagramme mit der Software skizzieren, die kostenlos im Microsoft Marketplace heruntergeladen werden kann.

Bildnachweis:

• Flixborough-Foto aus dem Scunthorpe Evening Telegraph
• Buncefield-Foto von Anna Debenham
• Tiger fotografiert vom Quinta La Fauna Zoo