Internationales Verkehrswesen (69) 4 | 2017 32 LOGISTIK Resilienz Kritische Infrastrukturen in-der Logistik Methodische Unterstützung eines proaktiven Risikomanagements Risikomanagement, Infrastruktur, kritische Infrastruktur, Logistik, Sicherheit Wenn logistische Infrastruktur aufgrund bestimmter Einflüsse nicht mehr nutzbar ist, können erhebliche Versorgungsstörungen für Unternehmen und die Gesellschaft entstehen. Um diesen Gefahren durch „kritische Infrastrukturen in der Logistik“ vorzubeugen, ist ein Risikomanagement sinnvoll. Dabei müssen Risiken identifiziert, analysiert und bewertet werden, um dann Steuerungsmaßnahmen abzuleiten. Um kein Risiko zu übersehen, sollte strukturiert und methodisch fundiert vorgegangen werden. Ein Methodenkoffer hilft dabei, die richtigen Tools für diese Aufgabe auszuwählen. Michel Huth, Sascha Düerkop D er Ortsname Rastatt hat in den vergangenen Wochen traurige Berühmtheit erhalten, weil sich im August 2017 aufgrund von Bauarbeiten an einem Eisenbahntunnel die Gleise der Rheintalbahn abgesenkt hatten. Durch die Absenkung wurde der gesamte Schienenverkehr auf der Rheintalbahn - täglich rund 120 Fern- und Regionalzüge im Personenverkehr sowie bis zu 200 Güterzüge - erheblich beeinträchtigt. Im Bereich des Güterverkehrs schätzt das Netzwerk Europäischer Eisenbahnen, dass neben den Mehrkosten für Personal und Fahrzeugeinsatz ein Umsatzverlust der Güterbahnen von 12 Mio. EUR pro Woche realisiert wird. 1 Die Folgen für Industrie und Handel, für die eine Versorgung mit Rohstoffen, Bauteilen und Handelswaren essenziell ist, sind nicht beziffert, werden aber als hoch angesehen: „Ich rechne mit Schließungen von Werken“ meint beispielsweise der Verwaltungsratsvorsitzende der Hupac AG, Hans-Jörg Bertschi. 2 Damit wird deutlich: Zumindest ein Teil der logistischen Infrastruktur muss als kritisch angesehen werden, denn ein Ausfall dieser Infrastrukturen würde - wie „Rastatt“ zeigt - zu nachhaltig wirkenden Versorgungsengpässen sowie zu erheblichen Schäden für die Logistikbranche sowie andere Industriezweige führen. 3 Risikomanagement unerlässlich Vor diesem Hintergrund ist es unerlässlich, die Risiken für kritische Infrastrukturen in der Logistik nicht nur zu kennen, sie bewertet und priorisiert zu haben, sondern auch, dass entsprechende Steuerungsmaßnahmen entwickelt und umgesetzt sind, um derartige Gefahren proaktiv handhaben zu können. Mit anderen Worten: Um die Sicherheit kritischer Infrastrukturen in der Logistik zu gewährleisten, ist ein entsprechendes Risikomanagement notwendig. Dieser Thematik widmet sich auch die Hochschule Fulda. In zwei Projekten, die im Rahmen der Innovationsförderung des „House of Logistics and Mobility“ (HOLM) gefördert werden, werden gemeinsam mit dem Kompetenzportal RiskNET GmbH als Projektpartner Gestaltungsempfehlungen für das Risikomanagement erarbeitet. Das erste Projekt „RIMA-KIL“ - kurz für: „Risikomanagement für kritische Infrastrukturen in der Logistik“ - wurde im Frühjahr 2017 abgeschlossen; Ergebnisse dieses Projekts werden nachfolgend vorgestellt. Im zweiten Projekt „BARM-KIL“, das noch bis Ende Februar 2018 läuft, werden Best- Practice-Ansätze erhoben und bewertet, um daraus Gestaltungsempfehlungen abzuleiten, wie ein Risikomanagement für kritische Infrastrukturen in der Logistik entwickelt und umgesetzt werden sollte. Phasenkonzept des Risikomanagements Dass ein Risikomanagement für kritische Infrastrukturen in der Logistik notwendig ist, hatte vor wenigen Jahren auch die Bundesregierung erkannt. So wurden in der „Sicherheitsstrategie für die Güterverkehrs- und Logistikwirtschaft“ zumindest Zielvorstellungen skizziert, wie ein Risikomanagement auszugestalten sei. 4 Andererseits blieben die dargestellten Ansätze auf einem allgemeinen Niveau, so dass konkrete Umsetzungsempfehlungen fehlten. 5 Risikomanagement wird allgemein als Konzept angesehen, bei dem iterativ mehrere Phasen durchlaufen werden. Wenn dem Ansatz der International Organization for Standardization (ISO) gefolgt wird, lässt sich Risikomanagement durch das in Bild 1 dargestellte Phasenschema beschreiben. 6 Zu Beginn ist der Rahmen für das Risikomanagement zu spezifizieren. Dieser betrifft unter anderem die Verantwortlichkeiten für Durchführung und Dokumentation, anzuwendende Methode, Schwellenwerte für Risiken oder die IT-Unterstützung für das Risikomanagement. Daran schließt sich die Risikobeurteilung an. In dieser Phase, die durch drei Schritte gekennzeichnet ist, werden die notwendigen Informationen erzeugt, um anschließend zielorientiert Risiken handhaben zu können. In einem ersten Schritt Risiken zu „entdecken“, ist Aufgabe der Risikoidentifikation. Bei der Risikoanalyse als zweiten Schritt werden die erkannten Risiken genauer hinsichtlich Ursachen und Wirkungen untersucht. Im dritten Schritt müssen Risiken bewertet werden, um eine Priorisierung zu ermöglichen. Die Ergebnisse der Risikobeurteilung fließen in die Risikosteuerung, die nächste Phase des Kreislaufs, ein. Dabei werden risikopolitische Steuerungsmaßnahmen entwickelt, um entweder die Ursachen eines Risikos oder dessen Auswirkungen (oder sogar beides) zu bekämpfen. Ziel dieser Phase ist, das Internationales Verkehrswesen (69) 4 | 2017 33 Resilienz LOGISTIK Risikoniveau zu reduzieren. Ergänzt werden diese drei wesentlichen Phasen durch eine begleitende Überwachung und Kontrolle von Risiken und zugehörigen Steuerungsmaßnahmen sowie durch eventuell sinnvolle Kommunikations- und Beratungsaktivitäten. Risikobeurteilung mit elementarer Bedeutung Fokus des Projekts „RIMA-KIL“ ist die Risikobeurteilung, im Rahmen derer die notwendigen Informationen für die Risikosteuerungen erarbeitet werden. Wichtig ist: Nur wenn die Risikobeurteilung sorgsam durchgeführt wird, wenn keine Risiken „übersehen“ werden, wenn Ursachen und Wirkungen von Risiken bekannt sind und wenn eine möglichst objektive und quantifizierende Risikobewertung erfolgt, lassen sich für die richtigen, d.h. die priorisierten Risiken die richtigen Maßnahmen ableiten. Andersherum ausgedrückt, gilt der Satz: Garbage in, garbage out. Sehr häufig, so die Erkenntnis von empirischen Erhebungen zum Risikomanagement in der Logistikbranche, ist das Risikomanagement allerdings auf einem noch niedrigen Reifegrad. Das bedeutet unter anderem, dass in der Phase der Risikobeurteilung nur ein geringer Methodeneinsatz erfolgt. Zwar werden Brainstorming, Checklisten und Mitarbeiterbefragungen als „einfache“ Methoden von 67 % und mehr der Unternehmen eingesetzt; andere etablierte, allerdings teilweise auch komplexere Methoden wie die Fehlermöglichkeits- und Einflussanalyse (FMEA), aber auch Szenario-Technik oder die Fehlerbaumanalyse werden dagegen nur von einer Minderheit der Unternehmen genutzt. 7 Methodenkoffer für die Risikobeurteilung Die Konsequenzen von realisierten Risiken, die sich auf kritische Infrastrukturen in der Logistik auswirken, können erheblich sein - und zwar für einzelne Unternehmen, für bestimmte Branchen, aber auch für die Gesellschaft als Ganzes. „Rastatt“ hat dies, wie oben skizziert, verdeutlicht. Es lassen sich viele weitere Beispiele finden, in denen die immense Bedeutung von Risiken klar wird, die kritische Infrastrukturen in der Logistik betreffen. Der durch kriegerische Handlungen zerstörte Flughafen von Donezk, die Terroranschläge auf Flughafen und U-Bahn in Brüssel, die seit Jahren gesperrte Camino Columbia Toll Road, Streiks in logistischen Knotenpunkten, die Explosion im Hafen von Tianjin, aber auch der Ausbruch des Vulkans Eyjafjallajökull sind ausgewählte Ereignisse, die zu einer massiven Störung logistischer Prozesse - und damit zu Engpässen in der Versorgung - geführt haben. 8 Umso wichtiger ist, derartigen Risiken mit gravierender Bedeutung möglichst frühzeitig zu kennen und einzuschätzen, um gezielte Maßnahmen zur Handhabung entwickeln zu können. Ein einfaches Brainstorming mag erste Ergebnisse bringen, reicht aber oftmals nicht aus. Aus diesem Grund bestand ein wesentliches Ziel des Forschungsprojekts „RIMA- KIL“ darin, einen „Methodenkoffer“ zu entwickeln. 9 Der Methodenkoffer beinhaltet 25 Methoden, die im Rahmen der Risikobeurteilung (also bei Identifikation, Analyse und Bewertung von Risiken) eingesetzt werden können. Die ausgewählten Methoden lassen sich in Kollektionsmethoden und Suchmethoden einteilen. Kollektionsmethoden lassen sich vor allem für bereits bekannte Risiken einsetzen, wohingegen Suchmethoden darauf fokussieren, bisher unbekannte Risiken zu entdecken. Bei den Suchmethoden können analytische sowie Kreativitätsmethoden unterschieden werden. Bild 2 gibt einen Überblick über die Methoden. Eine tabellarische Übersicht über die Methoden ist allerdings kaum geeignet, eine substanzielle Unterstützung für die Gestaltung des Risikomanagements darzustellen. Aus Sicht des Risikomanagers ist es wichtig, die richtige Methode in der richti- Bild 1: Phasenschema zum Risikomanagement nach ISO Bild 2: Überblick über die Methoden zur Risikobeurteilung Internationales Verkehrswesen (69) 4 | 2017 34 LOGISTIK Resilienz gen Situation anzuwenden. Das lässt sich mit einem Vergleich zu einem Handwerker verdeutlichen: Ein Handwerker hat unterschiedliche Aufgaben zu bewältigen - einen Nagel in die Wand schlagen, ein Loch für einen Dübel bohren, eine Rohrschelle befestigen. Um diese Aufgaben zu erfüllen, muss er sehr genau wissen, welches Werkzeug in seinem Koffer welche Eigenschaften aufweist und für welche Aufgabe es geeignet ist. Dementsprechend sind für die im Methodenkoffer aufgeführten Methoden Eigenschaften und Anwendungsbereiche zu spezifizieren. Konkrete Unterstützung für den Risikomanager Damit ein Risikomanager die passende(n) Methode(n) auswählen kann, wird jedes Werkzeug in dem Koffer durch die folgenden Elemente charakterisiert: • Beschreibung und Einsatzzweck, • Anwendungsbeispiel (falls vorhanden), • Phase des Risikomanagements, in der die Methode eingesetzt werden kann, • Inputgrößen und Datenbedarf, • Output der Anwendung, • zeitlicher Aufwand für den Methodeneinsatz, • personeller Aufwand für den Methodeneinsatz (unter anderem auch erforderliche Qualifikation der Beteiligten), • Reifegrad des zugrundeliegenden Risikomanagements, • Stärken und Schwächen der Methode, • abschließende Einschätzung des Einsatzpotenzials für das Risikomanagement kritischer Infrastrukturen in der Logistik. Der Methodenkoffer bietet somit nicht nur eine Übersicht, sondern auf mehr als 100 Seiten konkrete Bewertungen und Kurzanleitungen an. Er unterstützt damit einen Risikomanager, die jeweils geeignete Methode zu wählen, um Risiken für kritische Infrastrukturen in der Logistik proaktiv und zielgerichtet zu identifizieren, zu analysieren und zu bewerten. Nächste Schritte Das Wissen um das Handwerkzeug ist das eine - die Anwendung dieses Wissens das andere. Der Methodenkoffer kann nur ein Angebot sein, eine methodisch-fundierte Informationsbasis für die Risikosteuerung zu erarbeiten. Institutionen und Unternehmen müssen sich aber auch darauf einlassen, mit diesen Methoden zu arbeiten. Doch wenn das Ziel eines höheren Sicherheitsniveaus erreicht werden soll, führt an einer systematischen Risikobeurteilung kein Weg vorbei. ■ 1 Vgl. Heinrici, T. (2017): Nach Sperrung im Rheinkorridor: Logistiker finden neue Wege, in: DVZ, Nr. 66 (18.8.2017), S. 3. 2 Vgl. Heinrici, T. (2017): „Da werden Werke schließen“, in: DVZ, http: / / www.dvz.de/ rubriken/ landverkehr/ singleview/ nachricht/ da-werden-werke-schliessen.html (abgerufen am 25.9.2017). 3 Damit wird der Definition kritischer Infrastrukturen (im Allgemeinen) gefolgt: „Kritische Infrastrukturen (KRITIS) sind Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“ Vgl. Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (2017): Kritische Infrastrukturen, http: / / www. kritis.bund.de/ DE/ AufgabenundAusstattung/ KritischeInfrastrukturen/ kritischeinfrastrukturen_node.html (abgerufen am 27.9.2017). 4 Bundesministerium für Verkehr und digitale Infrastruktur (2015): Sicherheitsstrategie für die Güterverkehrs- und Logistikwirtschaft - Schutz kritischer Infrastrukturen und verkehrsträgerübergreifende Gefahrenabwehr, http: / / www.bmvi.de/ SharedDocs/ DE/ Publikationen/ DG/ sicherheitsstrategie.pdf? __blob=publicationFile (abgerufen am 25.9.2017). 5 Vgl. dazu die konstruktive Kritik bei Huth, M./ Romeike, F. (2015): Schutz kritischer Infrastrukturen und verkehrsträgerübergreifende Gefahrenabwehr, in: RISIKO MANAGER, Nr. 4, S. 10-13. 6 Vgl. dazu auch Romeike, F./ Huth, M. (2016): Struktur des Risikomanagements in der Logistik, in: Huth, M./ Romeike, F. (Hrsg., 2016): Risikomanagement in der Logistik: Konzepte - Instrumente - Anwendungsbeispiele, Springer Gabler, Wiesbaden, S. 49-84. 7 Vgl. Lohre, D./ Huth, M. (2016): Besonderheiten des Logistik-Risikomanagements bei Logistikdienstleistern, in: Huth, M./ Romeike, F. (Hrsg., 2015): Risikomanagement in der Logistik: Konzepte - Instrumente - Anwendungsbeispiele, Springer Gabler, Wiesbaden, S. 301-314. 8 Vgl. zu diesen und weiteren Beispielen Düerkop, S./ Huth, M. (2017): Transportation Under Threat - A PESTLE Analysis for Critical Logistical Infrastructures, erscheint in Kürze in: ICTA2017 Conference Proceedings (ISBN: 978-99968-0-609- 4). 9 Vgl. zum Methodenkoffer sowie den dokumentierten Methoden Huth, M./ Düerkop, S./ Romeike, F. (2017): RIMA-KIL - Risikomanagement für kritische Infrastrukturen in der Logistik: Abschlussbericht, in: Discussion Papers in Business and Economics, Nr. 19, Hochschule Fulda, Fachbereich Wirtschaft (Hrsg.), Fulda. Michael Huth, Prof. Dr. Fachbereich Wirtschaft, Hochschule Fulda michael.huth@w.hs-fulda.de Sascha Düerkop, M.Sc. M.Sc. Fachbereich Wirtschaft, Hochschule Fulda sascha.dueerkop@w.hs-fulda.de Trialog Publishers Verlagsgesellschaft Schliffkopfstraße 22 | D-72270 Baiersbronn Tel.: +49 7449 91386.36 | Fax: +49 7449 91386.37 office@trialog.de | www.trialog-publishers.de Unsere neuen Kontaktdaten Redaktionsleitung: Tel.: +49 7449 91386.44 eberhard.buhl@trialog.de redaktion@internationales-verkehrswesen.de Leserservice/ Vertrieb: Tel.: +49 7449 91386.39 service@trialog.de Anzeigenservice: Tel.: +49 7449 91386.46 anzeigen@trialog.de Dispo/ Onlinetechnik: Tel.: +49 7449 91386.47 dispo@trialog.de Verlag und Redaktion sind umgezogen