Bow-Tie-Analyse

Die Bow-Tie-Analyse (abgeleitet von engl. bow tie ‚Querbinder‘) ist eine Methode zur Dokumentation und Bewertung von Risikosituationen. Dabei werden die Ursachen und Folgen des Auftretens eines zentralen Ereignisses übersichtlich in einem Diagramm dargestellt, welches als Unterstützung für das Risikomanagement dient.

Grundlagen

Das Risikomanagement hat eine nicht zu unterschätzende Bedeutung für die erfolgreiche Unternehmenssteuerung. Zur Unterstützung der Entscheidungsfindung kommen zahlreiche verschiedene Instrumente zum Einsatz. Dazu gehört auch die Bow-Tie-Analyse, ein grafisches Modell, welches eine logische Beziehung zwischen den Ursachen und Folgen eines unerwünschten Ereignisses darstellt. Diese Methode identifiziert die Ereignisfolge, die Ursache des Fehlers, Schwächen im System, die Betriebssicherheit sowie die Auswirkungen beim Ausfall des Systems. Bei der Betrachtung des Risikos müssen alle möglicherweise schädlichen Ereignisse berücksichtigt werden, die innerhalb bzw. außerhalb des Unternehmens auftreten können. Diese können in einzelnen Bow-Tie-Diagrammen dargestellt werden und bilden damit eine Grundlage für die Risikokommunikation und die Entwicklung von Maßnahmen zur Risikosteuerung.

Die Bow-Tie-Analyse vereint Elemente verschiedener anderer Methoden. Dazu gehören insbesondere die Fehler- und Ereignisbaumanalyse sowie das Ursache-Wirkungs-Diagramm. Die erstmalige Anwendung erfolgte in Verbindung mit der Hazard-Analyse an der University of Queensland in Australien im Jahr 1979. Den Ursprung im unternehmerischen Kontext bildete die Offshore-Ölindustrie. In Folge des verheerenden Zwischenfalls auf der Piper-Alpha-Plattform im Jahr 1988 wurde festgestellt, dass das Bewusstsein für Gefahren in der Belegschaft und die damit einhergehenden Risiken nicht stark genug ausgeprägt war. Daher wurde die Forderung nach Transparenz der Entstehungsursachen scheinbar unabhängiger Ereignisse laut. Es mussten Bedingungen geschaffen werden, um eine systematische Kontrolle dieser Gefahren zu gewährleisten. Dies sollte durch die Bow-Tie-Analyse sichergestellt werden.

In den frühen neunziger Jahren übernahm die Royal Dutch Shell Group die Bow-Tie-Methode als Unternehmensstandard für die Analyse und das Management von Risiken. Shell ermöglichte umfangreiche Untersuchungen zur Anwendung der Bow-Tie-Methode und entwickelte ein strenges Regelwerk für die Definition aller Bestandteile auf der Grundlage ihrer Vorstellungen von bewährten Verfahren. Das Anliegen von Shell war, Gewissheit darüber zu erlangen, dass angemessene Risikokontrollen bei allen weltweiten Operationen konsequent durchgeführt werden. In den folgenden Jahren verbreitete sich die Bow-Tie-Methode auch außerhalb der Öl- und Gasindustrie, wie z. B. im Luft- und Schienenverkehr, im Bergbau, der Schifffahrt und im Chemie- und Gesundheitswesen. In weiteren Forschungen wurde festgestellt, dass die Bow-Tie-Analyse auch ein geeignetes Modell für den Bankensektor sowie die Konsumgütervertriebsindustrie ist. Hier können beispielsweise Lieferkettenprobleme auftreten, welche die Verfügbarkeiten einschränken und zu negativen wirtschaftlichen Konsequenzen führen.

Elemente der Methode

Die zur Dokumentation der Bestandteile verwendete Form gibt der Methode ihren Namen. Das Diagramm wird in Form einer Fliege dargestellt und ist von links nach rechts zu lesen. Auf der linken Seite stehen die möglichen Gefahren, die das potenziell gefährliche Ereignis in der Mitte auslösen. Zwischengelagert befinden sich die Schwellen zur Eliminierung oder Abschwächung der Ursachen. Am rechten Rand sind die möglichen Folgen des Ereignisses dokumentiert, die dann auftreten, wenn die vorgenommenen wirkungsbezogenen Maßnahmen nicht den gewünschten Effekt erzielen.

Top Event

Der zentrale Knoten stellt typischerweise ein unerwünschtes Ereignis, das sogenannte Top-Event, dar. Das Top-Event, auch Schadensereignis genannt, beschreibt das Ereignis, bei dem die Kontrolle über die entsprechende Gefahr verloren geht. Was genau ein Top-Event sein kann, hängt von der Beurteilung des jeweiligen Anwenders der Methode ab. Es handelt sich meist um Zwischenfälle, die die Geschäftstätigkeit des Unternehmens grundlegend beeinflussen. Dies ist der Fall, wenn eine Gefahr für die Verfügbarkeit und Diskretion der zentralen Prozesse, Systeme und Daten besteht. Zu jedem möglichen Schadensereignis wird eine separate Bow-Tie erstellt. Aufgrund des damit verbundenen Aufwands beschränken sich Unternehmen klassischerweise auf die Erstellung und Pflege von Diagrammen für die wichtigsten fünf bis zehn Gefahren.

Ursachen

Ein unerwünschtes Ereignis wird in der Regel durch einen Unfall oder einen zufälligen Ausfall verursacht. Die linke Seite der Bow-Tie bildet diese Ursachen und Bedrohungen in Form einer Fehlerbaumanalyse ab. Alternativ kann die Ableitung auch aus einem Ursache-Wirkungs-Diagramm erfolgen. In diesem Fall stellt das Top-Event die erzielte Wirkung dar, die durch die verschiedenen Faktoren beeinflusst wird.

Wirkungen

Auf der rechten Seite stehen die möglichen Wirkungen, die aus dem Eintreten des Top-Events resultieren. Zu deren Analyse kann ebenfalls ein Ursache-Wirkungs-Diagramm genutzt werden, wahlweise auch eine Ereignisbaumanalyse. Darin werden alle eventuellen Schäden erfasst, die mit dem Kontrollverlust einhergehen.

Barrieren/Sicherungsmaßnahmen

Auf beiden Seiten des Bow-Tie-Diagramms lassen sich Sicherungsmaßnahmen zwischenschalten. Einerseits kann dadurch dem möglichen Kontrollverlust entgegengewirkt werden, der das Top-Event hervorruft. Dazu gehören insbesondere Maßnahmen und Vorkehrungen zur Prävention eventueller Zwischenfälle. Dadurch soll die Beibehaltung des aktuellen Zustands sichergestellt werden. Mögliche präventive Vorkehrungen beinhalten:

Vermeidung der potenziell gefährlichen Aktion,
Austausch der potenziell gefährlichen Komponente,
Einsatz technischer Hilfsmittel,
Administrative Maßnahmen.

Andererseits können Schwellen auch auf der Seite der möglichen Folgen implementiert werden. Das Ziel solcher reaktiven Maßnahmen besteht darin, den Eintritt des durch das Top-Event hervorgerufenen Schadens möglichst zu verhindern. Zumindest muss aber versucht werden, die Schwere des Schadens so gering wie möglich zu halten und die Kontrolle über die Situation schnellstmöglich zurückzugewinnen. Dazu können folgende Schwellen errichtet werden:

Einsatz technischer Hilfsmittel (Alarme, Lüftungsanlagen),
Administrative Maßnahmen (Notfallpläne, Trainings),
Finanzielle Maßnahmen (Versicherungen, Rücklagenbildung).

Um die Effektivität der Sicherungsmaßnahmen zu erhöhen, können mehrstufige Barrieren gebildet werden. Den Sicherungsmaßnahmen kommt insbesondere deshalb eine spezielle Bedeutung zu, da sie die Möglichkeit der Einflussnahme auf die Risikosituation mit sich bringen. Daher ist die Entwicklung dieser Maßnahmen ein zentraler Aspekt des Risikomanagements mit der Bow-Tie-Analyse.

Varianten und Erweiterungen

Die Bow-Tie-Analyse existiert in verschiedenen Varianten, deren Auswahl vom vorrangigen Zweck der Analyse abhängt. Als Haupteinsatzgebiete sind dabei die Risikoidentifikation, die Risikobewertung und die Risikokommunikation anzusehen. Des Weiteren muss bekannt sein, aus welchen Elementen das Bow-Tie-Diagramm bestehen soll bzw. welche Methoden verwendet werden. Eine mögliche Art der Unterscheidung erfolgt gemäß der verwendeten Daten in quantitative und qualitative Bow-Tie-Analysen. Quantitative Bow-Tie-Analysen nutzen eine Fehler- in Verbindung mit einer Ereignisbaumanalyse und den zugehörigen Barrieren, um Risiken einschätzen zu können. Dabei können u. a. durch Ausfallwahrscheinlichkeiten Berechnungen zur Priorität der Risiken angestellt werden. Qualitative Bow-Tie-Analysen hingegen stellen simplere Ursache-Wirkungsbeziehungen zusammen mit den Barrieren dar, um das Risiko nach außen hin zu kommunizieren. Letztendlich ist es dem Anwender selbst überlassen, welche Art von Bow-Tie-Analyse er hinsichtlich des Zwecks seiner Darstellung des Risikos auswählt. Dennoch werden Zusatzqualifikationen benötigt, unabhängig davon, ob eine qualitative oder quantitative Variante Anwendung findet.

Um die Analyse weiter zu vertiefen, können die Schwellen genauer untersucht werden. Durch den Einfluss sogenannter Eskalationsfaktoren kann die Funktion der Schwellen außer Kraft gesetzt werden. Diese Überlegungen können wiederum dazu genutzt werden, Barrieren aufzubauen, die den Eintritt des Eskalationsfaktors verhindern. Dadurch wird ein zweistufiger Sicherungsprozess erreicht, der nicht nur die Verhinderung der Ursachen oder Wirkungen, sondern auch das mögliche Versagen dieser eingesetzten Maßnahmen betrachtet. Die verschiedenen Barrieren können zur besseren Veranschaulichung mit Details versehen werden. Dazu gehört die Effektivität der Schwelle bezüglich der Verhinderung der Ursache bzw. der Wirkung. Dadurch wird ersichtlich, ob weitere Maßnahmen getroffen werden müssen, oder ob eine besonders effektive Maßnahme ausreicht. Aber auch der Typ der Barriere und der jeweils zuständige Mitarbeiter kann vermerkt werden.

Stärken und Schwächen

Der Einsatz der Bow-Tie-Analyse bringt verschiedene Vor- und Nachteile mit sich. Positiv anzumerken ist die Struktur der Analyse, die eine verständliche Form und geordnete Vorgehensweise bietet. Abhängig von dem Ziel der Anwendung und den verfügbaren Informationen soll die Analyse dabei unterstützten, qualitative Ergebnisse zu liefern, um die Risikoidentifikation zu verbessern und eine quantitative Risikobewertung zu erreichen. Auf der klaren grafischen Gliederung von Ursachen, Ereignissen und Effekten aufbauend fördert die Bow-Tie-Analyse auch ein strukturiertes Denken, damit die Ursache-Wirkungs-Zusammenhänge deutlich werden. Die grafische Darstellung ist zur Risikokommunikation geeignet, da sie das Verständnis der Risiken und der Zusammenhänge erleichtert. Die Bow-Tie-Analyse ist von vier verschiedenen Methoden inspiriert. Deshalb bestehen gute Verbindungsmöglichkeiten zu anderen, insbesondere analytischen Methoden. Die Unternehmen können die für ihre Bedürfnisse am besten abgestimmte Analyse wählen, damit sie die Ursachen, Ereignisse und Effekte identifizieren können. Zusätzlich besteht in der Flexibilität der Anwendung eine große Stärke der Methode. Durch Anpassungen an die jeweilige Situation und den Zweck der Analyse ist die Bow-Tie-Methode vielseitig einsetzbar. Sowohl qualitative, als auch quantitative Daten können in der Analyse verarbeitet werden. Zudem bestehen verschiedene Möglichkeiten zur Erweiterung durch das Hinzufügen weiterer Details zu den einzelnen Elementen. Der zeitliche Aufwand für den Methodeneinsatz hängt von der Komplexität und den erwarteten Ergebnissen ab. Die Risikoidentifikation kann mit Hilfe der Bow-Tie-Analyse mit einem relativ geringen Zeitaufwand durchgeführt werden. Für die Risikobewertung hingegen ist der Zeitaufwand für die Durchführung deutlich höher, da hier auch der Datenbedarf größer ist. Als Nachteil sind die methodischen und fachlichen Anforderungen der Analyse zu nennen. Neben den Kenntnissen zur Fehlerbaum- und Ereignisbaumanalyse wird insbesondere für die Risikobewertung tiefgehende Fachkompetenz benötigt. Konkrete Handlungsempfehlungen für die Identifikation von Risiken und die Erstellung der entsprechenden Gegenmaßnahmen sind ebenso nicht vorhanden. Letztlich hängt jedoch die Qualität der finalen Analyse von der Qualität des Analyseprozesses und von den Analysten bzw. Experten ab. Aus diesem Grund müssen die Unternehmen für eine angemessene Qualifikation ihrer Mitarbeiter im Bereich des Managements und Controllings sorgen. Außerdem ist es von der Größe des Unternehmens abhängig, wie hoch der personelle Aufwand für die Durchführung der Bow-Tie-Analyse ist. Bei der Anwendung der Bow-Tie-Analyse bestehen verschiedene Unsicherheitsfaktoren. Dazu zählt beispielsweise die Modellunsicherheit. Diese entsteht beim Erstellen einer Bow-Tie-Analyse. Die benötigten qualitativen oder quantitativen Daten können durch die Erhebung von Expertenwissen erhoben werden. Jedoch beinhaltet dieses Wissen Unsicherheiten und subjektive Einschätzungen, wodurch die Glaubwürdigkeit der Risikoanalyse beeinträchtigt werden kann. Eine weitere Unsicherheit stellt die Datenunsicherheit dar. Ein besonderer Blick sollte hier auf die Qualität der Daten geworfen werden, denn häufig sind diese nicht zuverlässig oder nicht verfügbar. Deshalb kann die Zuordnung von Wahrscheinlichkeiten und Ausfallraten zu den Elementen der Analyse schwierig sein. Ein weiteres Problem bei Bow-Tie-Diagrammen ist, dass sie durch ihre Beschränkung auf die grafische Darstellung verschiedener Szenarien ohne Rücksicht auf den dynamischen Aspekt realer Systeme begrenzt bleiben. Sobald neue relevante Daten existieren, sollte das Bow-Tie-Diagramm daher überarbeitet und aktualisiert werden. Weiterhin können Schwierigkeiten beim Einsatz der Barrieren auftreten. So intuitiv die Entwicklung von Maßnahmen erscheinen mag, so ist dennoch zu beachten, dass eine klare Unterscheidung zwischen Top-Events und Barrieren erfolgen muss. Ein Top-Event sollte kein gescheitertes Sicherheitssystem darstellen. Stattdessen muss das Sicherheitssystem als Schwelle eingefügt werden, zu der wiederum ein Eskalationsfaktor hinzugefügt werden kann. Da diese Unterscheidung in Fehler- und Ereignisbäumen nicht vorgenommen wird, liegt hierin eine mögliche Fehlerquelle. Generell sollte vermieden werden, die Informationen zu doppeln und Maßnahmen sowohl als Barriere als auch als Fehlermechanismus einzusetzen. Die Bow-Tie-Analyse beinhaltet ausschließlich lineare Abhängigkeiten, weshalb die komplexen nichtlinearen Ursache-Wirkungs-Zusammenhänge aus der Realität nur eingeschränkt abgebildet werden können. Mögliche Rückkopplungseffekte werden nicht berücksichtigt. Außerdem liegt für jedes Top-Event eine separate Bow-Tie-Analyse vor, der Zusammenhang zwischen den einzelnen Analysen wird allerdings nicht erkenntlich. Wirkungen bilden oft die Ursache für andere Top-Events, aber dies kann im Bow-Tie-Diagramm nicht abgebildet werden. Daher stellt die Bow-Tie-Analyse eine geeignete Ergänzung zu anderen Techniken dar, kann zusätzliche Analysen aber nicht vollständig ersetzen.

Fazit

Die Bow-Tie-Analyse eignet sich sowohl für die Risikoidentifikation und -bewertung, als auch für das Risikomanagement. Der größte Vorteil besteht jedoch in der Möglichkeit, das Bow-Tie-Diagramm als übersichtliche Kommunikationsgrundlage verwenden zu können und dadurch das Bewusstsein für die Maßnahmen des Risikomanagements zu stärken. Außerdem kann durch die flexiblen Anwendungsmöglichkeiten eine Anpassung an den jeweiligen Zweck erfolgen. Um für das Risikomanagement den größtmöglichen Nutzen zu generieren, empfiehlt sich die Anwendung der Bow-Tie-Analyse in Verbindung mit weiteren Analysetechniken.

Literatur

Bernsmed, K.; Frøystad, C.; Meland, P. H.; Nesheim, D. A.; Rødseth, Ø. J. (2018): Visualizing Cyber Security Risks with Bow-Tie Diagrams. In: Liu, P.; Mauw, S.; Stolen, K. (eds): Graphical Models for Security, GraMSec (2017): Lecture Notes in Computer Science. Vol. 10744, Cham: Springer.
Cardwell, G. (2008): The application of the Four Essentials Bow Tie Diagram to enhance business success. In: Total Quality Management, Vol. 19:1-2, S. 37–45.
CGE Academy (2017): The bowtie method. URL: https://www.cgerisk.com/knowledgebase/The_bowtie_method, Datum des letzten Abrufs: 12. Juni 2018.
CGE Risk Management Solutions (2011): The Bow Tie method in 5 minutes. URL: https://www.youtube.com/watch?v=P7Z6L7fjsi0, Datum des letzten Abrufs: 18. Juli 2018.
Cruz, M. G.; Peters, G. W.; Shevchenko, P. V. (2015): Fundamental Aspects of Operational Risk and Insurance Analytics. A Handbook of Operational Risk. John Wiley & Sons, Inc., Hobokoen, New Yersey, S. 60–85.
de Ruijter, A.; Guldenmund, F. (2016): The bowtie method: A review. In: Safety Science, Vol. 88, S. 211–218. Lyon, B. K.; Popov, G. (2016): The art of assessing risk. In: Professional Safety, 61(03), S. 40–51.
Romeike, F. (2018): Risikomanagement. Wiesbaden: Springer Gabler, S. 74–81.