Der PDCA-Zyklus im Sicherheitsmanagement: ein praktischer Leitfaden

Plan, Do, Check, Act liegt den meisten Sicherheitsmanagementsystemen zugrunde, ob es jemand so nennt oder nicht. Die ISO 45001 baut offen auf diesem Zyklus auf und stellt die Zuordnung in ihrer eigenen Einleitung dar.

In der Praxis erhalten die ersten beiden Stufen meist die meiste Aufmerksamkeit. Gefährdungen werden erkannt, Massnahmen eingeführt, Aufgaben erstellt und abgeschlossen. Die beiden folgenden Stufen, die fragen, ob die Massnahme gewirkt hat und was man daraus macht, sind schwerer mit Ressourcen zu hinterlegen und leichter zu verschieben.

Das ist verständlich. Check und Act hängen von Nachweisen ab, die oft an mehreren Orten zugleich liegen, und sie brauchen eine verantwortliche Person, nachdem die unmittelbare Reaktion abgeschlossen ist und die Aufmerksamkeit weitergezogen ist. Dieser Artikel zeigt, was diese Stufen verlangen und wie Teams sie umsetzbar machen.

Was jede Stufe in einem Sicherheitsmanagementsystem bedeutet

Jede Stufe beantwortet eine andere Frage, und jede entspricht einem bestimmten Teil der Norm.

Plan: von einem konkreten Versagen ausgehen

Planung ist leichter umzusetzen, wenn der Ausgangspunkt ein beobachtbares Versagen ist und kein Thema.

«Staplersicherheit verbessern» ist ein Thema. Es hat kein Ende, keine Messgrösse, und daraus folgt keine einzelne Massnahme. «Drei Beinahe-Unfälle in sechs Monaten, alle an derselben Tür, alle während des Zeitfensters für die Warenausgabe» ist ein Versagen. Es zeigt, wo man hinschauen, wen man fragen und woran man Erfolg erkennen sollte.

Das Zweite, was sich in Plan einzubauen lohnt, ist der Bericht von der Basis, warum eine Massnahme umgangen wird. Wer es am besten erklären kann, sind meist die Menschen, die sie umgehen, und sie haben in der Regel einen Grund, der aus ihrer Sicht Sinn ergibt. Abschnitt 5.4 macht die Konsultation der Mitarbeitenden zur Anforderung statt zur Höflichkeit, und das ist ihr praktischer Wert: Ein Plan ohne diese Beiträge kann Massnahmen hervorbringen, die aus Gründen scheitern, die die Schicht vorab hätte nennen können.

Ein tragfähiger Plan legt vier Dinge fest: das Versagen in beobachtbaren Begriffen, eine Hypothese, warum es passiert, die Massnahme, die aus der Hypothese folgt, und die Messgrösse, die zeigt, ob die Hypothese stimmte. Die Messgrösse wählt man am besten, bevor die Massnahme eingeführt wird, denn eine Messgrösse, die danach gewählt wird, ist meist diejenige, die zum Ergebnis passt.

Do: umsetzen und festhalten, was umgesetzt wurde

Do ist die Stufe, die die meisten Organisationen gut beherrschen. Beachtenswert ist der Abstand zwischen der Massnahme auf dem Papier und der Massnahme, wie sie installiert wurde.

Eine Verfahrensanweisung wird überarbeitet, aber am Arbeitsplatz liegt noch die alte Fassung. Die Ausbildung findet für die Tagschicht statt und erreicht die Nachtschicht nicht. Eine Schutzeinrichtung wird festgelegt und montiert, aber so, dass sie eine Routinetätigkeit umständlich macht, und nach zwei Wochen ist sie wieder ab. In jedem Fall steht der Massnahmeneintrag auf «erledigt», und die Massnahme ist trotzdem nicht vollständig wirksam.

Do liefert also zwei Ergebnisse statt einem: die Änderung vor Ort und einen datierten Eintrag darüber, was sich wo geändert hat. Das Datum wiegt schwerer, als es scheint, denn ohne es hat Check keine Grenze zwischen vorher und nachher.

Check: die Stufe, die am meisten Unterstützung braucht

Der Abschluss einer Korrekturmassnahme hält fest, dass etwas getan wurde. Ob es gewirkt hat, ist eine eigene Frage, und genau die soll Check beantworten.

Bei den meisten im letzten Jahr eingeführten Massnahmen lässt sich der Massnahmeneintrag leicht abrufen. Das Vorher und Nachher dauert länger. Die Hindernisse dahinter sind praktischer und nicht kultureller Art, und meist sind es drei.

1. Die Nachweise liegen an mehreren Orten

Die Korrekturmassnahme steht in einem Register. Die Inspektionsfeststellungen, mit denen man sie prüfen würde, stehen in einem anderen. Beinahe-Unfallmeldungen stehen in einem dritten, Ausbildungsnachweise in einem vierten und die ursprüngliche Risikobeurteilung in einer Dokumentenablage. Eine einzige Massnahme zu überprüfen heisst, mehrere Exporte zu ziehen und von Hand abzugleichen.

Solche Arbeit passiert eher kurz vor einem Audit als routinemässig, was angesichts des Aufwands nachvollziehbar ist. Es ist auch der Teil des Problems, den ein Werkzeug wirklich beseitigen kann: Wenn Massnahme, ursprüngliche Gefährdung und die prüfenden Inspektionen ein verknüpfter Datensatz sind, wird Check zu einer Frage des Filterns statt des Rekonstruierens. Darauf beruht, wie ENSURE eine Massnahme an ihrer Quelle hält.

2. Die Messgrösse kann zu selten reagieren

An einem Standort mit 120 Personen sind Berufsunfälle eine selten auftretende Zahl. Ist die Verletzungsrate die einzige Messgrösse dafür, ob eine Massnahme gewirkt hat, dauert es Jahre, bis ein Signal sichtbar wird, und ein ruhiges Quartal beweist in keine Richtung etwas.

Check funktioniert besser mit Indikatoren, die nah genug an der Massnahme liegen, um sich mit ihr zu bewegen. Wird der Erlaubnisschein tatsächlich ausgestellt? Ist die Schutzeinrichtung bei einer unangekündigten Stichprobe vorhanden? Wird die Beurteilung vor Arbeitsbeginn in der Schicht durchgeführt, in der das Ereignis passiert ist, statt über den ganzen Standort? Diese Indikatoren reagieren innerhalb von Wochen, und zwar auf das, was sich konkret geändert hat.

3. Die Zuständigkeit ist unklar

Plan hat eine verantwortliche Person für die Risikobeurteilung. Do hat eine Führungskraft. Check steht oft einige Monate später auf der Tagesordnung der Managementbewertung, und bis dahin hat die Person, die die Massnahme angestossen hat, womöglich die Rolle gewechselt.

Die Lösung ist unspektakulär: Wenn eine Massnahme freigegeben wird, legen Sie im selben Eintrag gleichzeitig den Termin der Wirksamkeitsprüfung fest und benennen die verantwortliche Person. Eine Prüfung, die bei der Freigabe nicht terminiert wird, wird später selten nachgeholt.

Act: übernehmen, anpassen oder ersetzen

Act ist die Entscheidung, was das System mit dem macht, was Check ergeben hat. Es gibt drei zulässige Ergebnisse: die Massnahme übernehmen und auf andere Linien und Standorte ausweiten, sie anpassen, wo die Nachweise zeigen, dass sie teilweise gewirkt hat, oder sie durch eine andere Massnahme ersetzen.

Act wird manchmal als weitere Runde der Umsetzung verstanden. Eine Massnahme bleibt hinter den Erwartungen zurück, also wird mehr davon eingesetzt: mehr Ausbildung, mehr Beschilderung, mehr Erinnerungen, mehr Unterschriften. Das ist eine zweite Portion Do, und es lohnt sich, das so zu benennen, denn der andere mögliche Schluss in diesem Moment ist, dass die Massnahme selbst nicht die richtige war.

Massnahmen abzuschaffen, die nicht wirken, ist einer der nützlicheren und zugleich am seltensten genutzten Schritte. Jede Massnahme kostet Aufmerksamkeit, und Aufmerksamkeit ist in der Produktion begrenzt. Sichtbar unwirksame Massnahmen kosten ausserdem einen Teil der Glaubwürdigkeit, auf die sich die wirksamen stützen.

Act hat eine Verpflichtung, die die anderen Stufen nicht haben: Es muss sich verbreiten. Eine Massnahme, die an einem Standort bewährt ist und an den anderen vier nie erwähnt wird, ist eine lokale Lösung und keine Verbesserung. Das ist die Absicht von Abschnitt 10.3, und deshalb wird eine übernehmenswerte Korrekturmassnahme besser als Änderung der Norm, der Verfahrensanweisung oder der Ausbildungsinhalte festgehalten als als geschlossenes Ticket.

Der Zyklus läuft in zwei Geschwindigkeiten

Ein Jahreszyklus in Form einer Managementbewertung ist eine Steuerungsübung. Er ist vorgeschrieben, erfüllt Abschnitt 9.3 und ist normalerweise nicht die Quelle für alltägliche Verbesserung.

Der Zyklus, der Ergebnisse verändert, ist kurz. Montag wird eine Gefährdung gemeldet, bis Freitag steht eine Massnahme, und vier Wochen später prüft jemand, ob sich das Verhalten, auf das sie zielte, geändert hat, und entscheidet. Die Jahresbewertung fasst dann Schleifen zusammen, die sich bereits gedreht haben, statt sie anzustossen.

Die kurze Schleife stellt eine konkrete Anforderung an das System: Eine von der Basis gemeldete Gefährdung sollte Massnahme, verantwortliche Person und Termin tragen können, ohne dass jemand eine Tabelle öffnet, und die Nachverfolgung sollte auf jemandes Liste landen statt in jemandes Gedächtnis. Darauf lohnt es sich bei der Auswahl oder Konfiguration eines Systems zu achten.

Ein durchgespieltes Beispiel

Fussgänger und Stapler in einem Lager. Drei Beinahe-Unfälle in sechs Monaten.

• Plan. Der Ausgangspunkt ist nicht «Staplersicherheit verbessern». Alle drei Beinahe-Unfälle ereigneten sich an derselben Tür, während des Zeitfensters für die Warenausgabe. Die Befragung der Fahrer und der Kommissionierer statt nur des Vorgesetzten ergibt die Hypothese: Der markierte Fussgängerweg verlängert den Weg um neunzig Sekunden, also queren die Leute stattdessen die Fahrspur. Die daraus folgende Massnahme ist eine geänderte Wegeführung statt einer Instruktion. Die vorab gewählte Messgrösse ist eine stichprobenartige Zählung, welchen Weg Fussgänger nehmen, aufgeschlüsselt nach Schicht.
• Do. Den Weg so umlegen, dass der vorschriftsmässige Pfad wirklich kürzer ist als die Abkürzung. Beide Gruppen instruieren, denn eine Änderung, die nur eine Gruppe versteht, kann eine neue Gefährdung schaffen. Das Datum festhalten, an dem der neue Weg geöffnet wurde.
• Check. Stichprobenzählungen in drei Schichten, auch nachts, nach vier und nach zwölf Wochen. Beinahe-Unfälle an dieser Tür werden zusätzlich verfolgt, als langsamere Bestätigung.
• Act. Die Zählungen ergeben 90 Prozent tagsüber und 40 Prozent nachts. Die Nachtschicht erneut auszubilden ist eine Möglichkeit. Der nützlichere nächste Schritt ist die Frage, was nachts anders ist: Man stellt fest, dass der neue Weg an einem unbeleuchteten Abschnitt vorbeiführt, und behebt die Beleuchtung. Danach wird entschieden, ob die Änderung auf die anderen Standorte übertragen wird.

Die nützliche Erkenntnis war «tagsüber hat es gewirkt, nachts nicht», und sie gab es nur, weil die Messgrösse nach Schicht aufgeschlüsselt war. Eine einzige Zahl für den ganzen Standort hätte 65 Prozent gezeigt, was zu einer allgemeinen Erinnerung an alle einlädt und kaum etwas ändert.

Fünf Dinge, die den Zyklus zum Stillstand bringen

• Der Plan beginnt bei einem ThemaAus «manuelles Handhaben verbessern» folgt wenig Messbares. Ein konkretes, beobachtbares Versagen gibt dem Zyklus etwas, woran er sich schliessen kann.
• Erledigt gilt als eingeführtEine als erledigt markierte Massnahme und eine wirksame Massnahme im Betrieb sind zwei verschiedene Aussagen. Die zweite sollte man bestätigen.
• Die Messgrösse reagiert zu seltenVerletzungsraten an einem einzelnen Standort ändern sich langsam. Ein Indikator nah an der Massnahme, vor ihrer Einführung gewählt, liefert innerhalb von Wochen eine Antwort.
• Act wiederholt DoMehr von einer Massnahme, die nicht wirkt, ist Umsetzung und keine Entscheidung. Übernehmen, anpassen oder ersetzen.
• Nur die Jahresschleife läuftWenn der kürzeste verfügbare Zyklus zwölf Monate dauert, unterstützt das System eher die Einhaltung als die Verbesserung.

Ein praktischer Einstieg

Nehmen Sie eine Massnahme, die im letzten Jahr eingeführt wurde. Schreiben Sie auf, was sie ändern sollte, sammeln Sie die vorhandenen Nachweise von beiden Seiten des Einführungsdatums und entscheiden Sie, ob Sie sie beibehalten, anpassen oder ersetzen.

Das ist eine volle Umdrehung des Zyklus. Meist ist es überschaubarer Aufwand, und es zeigt in der Regel deutlich, welches der drei oben genannten Hindernisse sich vor der nächsten Runde zu beheben lohnt.