Ursachenanalyse

Ziel

Die Ursachenanalyse klärt, woher ein Problem kommt, damit die Korrektur an seinem Ursprung ansetzt. Die Wahl des Mittels folgt danach und gehört zu anderen Techniken.

Das Ergebnis ist eine Menge belegter Ursachen, als Kausalaussagen formuliert, jede an den Beleg gebunden, der sie hat bestehen lassen, und anschliessend an die Korrekturmassnahme übergeben. Selten ist es eine einzige Ursache: Das BABOK führt die Analyse iterativ, weil mehrere Grundursachen zur selben Wirkung beitragen können, und der PMBOK Guide hält fest, dass eine Grundursache hinter mehreren Abweichungen oder Fehlern stehen kann. Ein Bericht, der für einen Betriebsvorfall eine einzige Ursache liefert, hat die Analyse meist zu früh beendet.

Der Einsatz ist reaktiv oder proaktiv. In der reaktiven Analyse ist ein Problem eingetreten und man sucht, wo zu korrigieren ist. In der proaktiven Analyse geht man von einem bereits vorhandenen schwachen Signal aus, einem knapp verhinderten Vorfall oder einer gemessenen Abweichung, und arbeitet sich zu der Bedingung zurück, die es erzeugt, bevor der Ausfall eintritt. Der Ausgangsstoff bleibt damit eine festgestellte Tatsache. Das BABOK nennt beide Verwendungen, mit einer Einschränkung aus der Normung: Die IEC 62740 beschränkt ihren Gegenstand auf Analysen im Nachhinein, räumt aber ein, dass sich einzelne Techniken für Entwurf und Risikobeurteilung anpassen lassen.

Vier Aktivitäten strukturieren die Arbeit, unabhängig von der gewählten Technik: die Definition der Problemstellung, die Datenerhebung zu Art, Ausmass, Ort und Zeitpunkt der Wirkung, die Identifikation der Ursache und die Identifikation der Korrekturmassnahme, die die Wiederholung verhindert oder begrenzt. Die beiden Techniken der Familie besetzen die dritte Aktivität. Die übrigen drei laufen in beiden Fällen gleich ab, und die Disziplin, die sie verlangen, wiegt für das Ergebnis schwerer als die Wahl der Technik.

Anwendung

Wann sie einzusetzen ist

• Problem kehrt trotz mehrerer Korrekturen zurück: die frühere Korrektur betraf die Wirkung, der Mechanismus ist unversehrt geblieben.
• Gemessene Lücke zwischen erwarteter und tatsächlicher Leistung: Ausmass, Ort und Zeitraum sind bekannt, die Problemstellung lässt sich heute schreiben.
• Vor der Spezifikation einer verlangten Lösung: die Anforderungen zielen dann auf die Ursache des Problems.
• Analyse des Ist-Zustands: feststellen, ob ein von der Organisation behauptetes Problem real ist und woher es stammt.
• Nach einem Vorfall oder einer misslungenen Inbetriebnahme: eine Korrekturmassnahme ist zu wählen und vor der Führung zu vertreten.
• Anfälliger Bereich mit bereits vorhandenen Signalen: knapp verhinderte Vorfälle, gemessene Abweichungen, die Analyse führt zur erzeugenden Bedingung zurück.

Wann sie nicht einzusetzen ist

• Ausfallart, die an einem noch nicht laufenden System zu denken ist: im Nachhinein ist nichts festzustellen, zur Fehlermöglichkeits- und Einflussanalyse (FMEA) oder zur Risikoanalyse greifen.
• Ursache bereits festgestellt und belegt: offen ist nur noch die Wahl zwischen Mitteln, weiter zur Entscheidungsanalyse oder zur multikriteriellen Entscheidungsanalyse.
• Vorsätzliche oder schuldhafte Handlung: das Vorgehen weist weder Verantwortung noch Schuld zu, der Weg führt über die Administration oder das Personalwesen.

Symptom, Ursache, Grundursache

Drei Begriffe vermischen sich im alltäglichen Gebrauch, und alles Weitere hängt an ihrer Trennung. Das Symptom ist das, was beobachtet und gemessen wird, das sichtbare Ergebnis, das zur Analyse geführt hat. Die OSHA formuliert es unverblümt: Wer nur die unmittelbare Ursache korrigiert, beseitigt ein Symptom des Problems, nicht das Problem. Eine Ursache ist nach der Definition der IEC 62740 ein Umstand oder eine Menge von Umständen, die zu einem Ausfall oder zu einem Erfolg führt; zwischen Ursprung und Wirkung liegt eine Kette von Umständen, deren letztes Glied die unmittelbare Ursache ist. Die Grundursache ist die zugrunde liegende, systembezogene Bedingung, deren Beseitigung die Wiederholung verhindert und die ein korrigierbares Versagen des Arbeitssystems bezeichnet.

Drei Fragen machen diese Definitionen in der Sitzung brauchbar. Würde das Ereignis aufhören, sich zu wiederholen, wenn diese Bedingung wegfiele? Das ist das Kriterium der Nichtwiederholung aus dem PMBOK Guide. Liegt die Abhilfe in der Macht der Organisation? Eine Bedingung ausserhalb davon bleibt eine Randbedingung, mit der zu arbeiten ist, und die ASQ zählt diese Beherrschbarkeit zu den drei Kriterien, die eine Grundursache erfüllen muss. Folgt daraus eine Massnahme, die jemandem übertragen werden kann? Eine Ursache, aus der keine brauchbare Empfehlung folgt, ist noch nicht zu Ende analysiert.

Die von der OSHA veröffentlichte Illustration bleibt die klarste. Ein Mitarbeiter rutscht auf ausgelaufenem Öl aus, die Untersuchung schliesst mit «Öl auf dem Boden», das Mittel ist Aufwischen und der Rat zu mehr Vorsicht. Die Grundursache war das Fehlen eines Programms zur mechanischen Integrität, das das Leck erkannt hätte. Beide Analysen betreffen denselben Vorfall, und nur eine verhindert den nächsten.

Die Disziplin rund um die Analyse

Die Problemstellung

Sie trägt die vier Dimensionen der Datenerhebung: Art der Wirkung, Ausmass, Ort und Zeitraum. «Von den 500 im letzten Quartal bearbeiteten Gesuchen haben 160 die vertragliche Frist von 30 Tagen überschritten» ist eine Problemstellung. «Die Bearbeitung ist zu langsam» ist eine Beschwerde: Sie erzeugt eine vage Analyse. Zwei Formulierungsfehler verfälschen die Sitzung, bevor sie beginnt: Eine Problemstellung, die eine Ursache enthält, «die Validierungsregeln sind falsch», hat das Ergebnis bereits entschieden; eine Problemstellung, die eine Lösung enthält, «uns fehlt eine zweite Freigabe», ist ein verkleidetes Mittel, und es bleibt nichts mehr zu analysieren.

Die Fakten vor der Analyse

Die IEC 62740 legt den Prozess in fünf geordneten Schritten fest: Initiierung, Feststellung der Fakten, Analyse, Validierung, Darstellung der Ergebnisse. Die Belege werden vor der Ursachenarbeit gesammelt. Nachträglich gesammelt, dienen sie nur dazu, jene Schlussfolgerung zu stützen, zu der der Raum in den ersten zehn Minuten gelangt ist. Eine Organisation, die ihre Analysen mit einer Runde von Vermutungen eröffnet, hat die ersten beiden Schritte vertauscht, und sie wird die Sitzung damit verbringen, die zuerst geäusserte Erklärung zu verteidigen.

Die Zusammensetzung des Teams

Die Norm widmet dem Analyseteam eine eigene Klausel, und der Leitfaden des VA wird konkreter: Menschen an der Front können Probleme und Lösungen in der Regel am besten benennen. Jede Analyse stösst an eine Wissensgrenze, nämlich an das, was der Raum über das Fachgebiet weiss. Wer die Person hinzuzieht, die den fehlerhaften Prozess ausführt, die Person, die das betroffene System betreut, und einen Blick von ausserhalb der Abteilung, zahlt drei Einladungen und verschiebt diese Grenze.

Die Prüfung

Eine Kandidatenursache bleibt eine Hypothese, solange kein Beleg sie von den übrigen getrennt hat. Die IEC 62740 macht daraus eine eigenständige Validierungsklausel des Prozesses. Das BABOK trägt dieselbe Anforderung innerhalb des Ishikawa-Diagramms und hält fest, dass die Gruppe nur mögliche Ursachen ermittelt hat und dass eine weitere, idealerweise datengestützte Analyse nötig bleibt, um die tatsächliche Ursache zu bestätigen. Diesen Schritt zu überspringen ist der teuerste Fehler der ganzen Familie, weil das Ergebnis fertig aussieht: eine Wand plausibler Ursachen, eine durchgehend schlüssige Kette und keine Daten dahinter.

Prüfen hat eine konkrete Gestalt, dieselbe unabhängig von der Technik. Eine Kandidatenursache macht eine Vorhersage, also besteht der Test darin, dort nachzusehen, wo die Wirkung ebenfalls auftreten müsste, und dort, wo sie nicht auftreten dürfte: ein anderer Standort, ein anderer Zeitraum, ein anderes Team, ein anderer Kanal. Ist die vorgeschlagene Ursache real, zeigt sich die Abweichung überall dort, wo die Bedingung vorliegt, und sonst nirgends. Der Beleg wird aus einem System geholt: eine Zählung, ein Datum, ein Protokolleintrag oder eine Auswertung. Fehlen die Daten, ist die ehrliche Antwort, eine gezielte Messung über einige Wochen zu finanzieren, statt per Handzeichen zu entscheiden: Eine Analyse, die mit dem Vermerk «noch zu messen» und einer verantwortlichen Person auseinandergeht, ist mehr wert als eine abgestimmte Grundursache.

Das Aufschreiben der Ursache

Eine Ursache wird in einer festen Kadenz formuliert, jener des VA-Leitfadens: die Ursache, dann «führte zu», dann die Wirkung, dann «was die Wahrscheinlichkeit erhöhte, dass», dann das Ereignis. Fünf Kausalitätsregeln umrahmen diese Formulierung, und sie gelten weit über die Patientensicherheit hinaus. Den Zusammenhang von Ursache und Wirkung ausdrücklich zeigen, wo eine isolierte Feststellung der Art «der Mitarbeiter war übermüdet» bei der Wirkung stehen bleibt. Präzise Beschreibungen verwenden: «das schlecht geschriebene Handbuch» benennt nicht, was dem Handbuch fehlte. Einem menschlichen Fehler muss eine Ursache vorausgehen. Ein Verstoss gegen eine Vorschrift verlangt ebenfalls eine ihm vorausgehende Ursache. Ein Unterlassen ist nur kausal, wenn eine Handlungspflicht bestand. Die letzten drei sind die allgemeine Fassung einer Disziplin, die jede der beiden Techniken auf ihre Weise anwendet: Eine Analyse endet nie bei einer Person.

Weder Schuld noch Haftung

Die IEC 62740 schliesst die Zuweisung von Verantwortung oder Haftung aus ihrem Anwendungsbereich aus. Das IHI sagt dasselbe vom anderen Ende her: Die Untersuchung befasst sich nicht mit individueller Leistung, und ihr Verfahren wird für schuldhafte Ereignisse, kriminelle Handlungen oder vorsätzliche Gefährdungen ausdrücklich nicht empfohlen, die über die Administration und das Personalwesen laufen. Der Grund ist ebenso praktisch wie berufsethisch. Eine Organisation, die einmal erlebt hat, wie eine Analyse in einer Sanktion endete, liefert nie wieder brauchbare Belege, und jede weitere Analyse hängt an dieser Quelle.

Zwischen den beiden Techniken wählen

Die Wahl der Technik ist ein Schritt der Analyse und wird wie die übrigen begründet. Die IEC 62740 widmet ihr eine eigene Klausel und schlägt Merkmale vor, um Techniken miteinander zu vergleichen; Doggett baut seinerseits einen Auswahlrahmen auf dokumentierten Eigenschaften auf, der Fähigkeit, kausale Wechselwirkungen sichtbar zu machen, eine Gruppe bei der Sache zu halten und nach Fertigstellung lesbar zu bleiben. Die entscheidende Frage passt in eine Zeile: Ist eine einzelne Ursachenkette plausibel und bekannt, oder muss das Feld zuerst abgesucht werden?

Acht Kriterien scheiden die beiden Techniken, gewonnen aus dem, was jede hervorbringt, und aus der Art, wie jede scheitert.

Das BABOK beschreibt ihr Zusammenspiel selbst: Die fünf Warum werden allein oder innerhalb des Diagramms eingesetzt, sobald alle Ideen darin festgehalten sind, um bis zu den Grundursachen vorzudringen. Der Übergang erfolgt an einer Kandidatin, die die Daten bestätigt haben. Das Ishikawa-Diagramm sagt, wo zu graben ist, die fünf Warum graben. Die Regel passt in einen Satz: zuerst absuchen, wenn man das Feld nicht kennt, zuerst graben, wenn man es kennt, und beides in dieser Reihenfolge, wenn die Entscheidung die Organisation bindet.

Jede scheitert auf ihre Weise, und die Wahl ist auch die Wahl, welches der beiden Versagen man lieber im Blick behält. Ein scheinbar vollständiges Diagramm wird für eine Antwort gehalten: Der Raum bewundert das Absuchen, kein Ast wird vertieft, die Validierung findet nie statt. Eine einzelne Kette wird einer mehrursächlichen Wirklichkeit übergestülpt, lässt sich von dem, der seine Schlussfolgerung schon kennt, rückwärts bauen und endet bequem beim menschlichen Fehler. Beides wird während der Sitzung beobachtet: Beim späteren Lesen sehen ein vollständiges Diagramm und eine schlüssige Kette genau wie gelungene Arbeit aus.

Das Feld ist grösser als diese beiden Techniken. Die IEC 62740 beschreibt in ihrem Anhang C ein Dutzend davon, darunter die Darstellung von Ereignissen und kausalen Faktoren, den Fehlerbaum und Tripod Beta, dazu vier Kausalmodelle, unter ihnen das Schweizer-Käse-Modell von Reason. Einige benachbarte Methoden werden regelmässig mit der Ursachenanalyse verwechselt. Die Pareto-Analyse wählt das Problem aus, das die Analyse verdient, und steht damit vor ihr. Der A3 ist ein Berichts- und Problemlösungsformat: Er nimmt eine Ursachenanalyse auf, ohne die Methode dafür zu liefern. 8D und die Kepner-Tregoe-Methode sind vollständige strukturierte Vorgehen, in denen die Ursachenarbeit nur eine Phase ist.

Eine weitere Abgrenzung ist zu ziehen: Es gibt Lagen, in denen die ganze Familie das falsche Instrument ist. Ein Prozess, der immer dieses Ergebnisniveau erzeugt hat, mit Schwankungen innerhalb seiner üblichen Streuung, weist kein Ereignis auf, das zu erklären wäre. Seine Streuung ist gewöhnlich, also vom Prozess selbst erzeugt, im Unterschied zur besonderen Streuung, die anzeigt, dass ein äusserer Faktor zu einem bestimmbaren Zeitpunkt eingegriffen hat. Eine Analyse auf gewöhnlicher Streuung fabriziert eine Ursache, denn eine Gruppe, die eine finden soll, findet immer eine, und die folgende Korrektur betrifft dann einen Monat, an dem nichts Besonderes war. Der vorangehende Schritt besteht also darin, beide zu trennen, indem die Messgrösse auf eine Regelkarte gebracht oder schlicht der beanstandete Zeitraum mit der gesamten Historie verglichen wird. Ein Punkt ausserhalb der üblichen Grenzen eröffnet die Analyse; ein etwas schwächerer Monat verlangt Arbeit an der Prozessfähigkeit, einer anderen Disziplin.

Von der Ursache zur Massnahme

Die Analyse endet bei der belegten Ursache. Die vierte Aktivität, die Identifikation der Massnahme, legt die Korrektur fest, die die Wiederholung verhindert, und danach geht die Arbeit an jene über, die entscheiden und ausführen. Diese Übergabe ist die dokumentierte Bruchstelle der Praxis: Das IHI hat den Prozess in RCA² umbenannt, Root Cause Analyses and Actions, um festzuhalten, dass Prävention Massnahmen verlangt. Peerally und seine Mitautoren zählen die mangelhafte Nachverfolgung der Massnahmen zu den drei Hauptmängeln der Ursachenanalyse, wie sie praktiziert wird.

Die Güte einer Massnahme bemisst sich an ihrer Stärke, also daran, wovon sie abhängt, um zu halten. Die vom VA aufgestellte und vom IHI verbreitete Hierarchie ordnet Massnahmen drei Stufen zu.

«Die Teams schulen und die Weisung aktualisieren» als vollständiger Massnahmenplan ist der häufigste Weg, auf dem eine richtige Analyse nichts bewirkt. Jede festgehaltene Massnahme trägt eine namentlich verantwortliche Person, einen Termin und eine Messgrösse, die zeigt, ob sie gewirkt hat, und der Plan geht zur Genehmigung und Finanzierung an die Geschäftsleitung. Für eine zertifizierte Organisation verankert die Norm ISO 9001 diesen Schritt im Managementsystem: Bei einer Nichtkonformität bewertet die Organisation die Notwendigkeit von Massnahmen zur Beseitigung der Ursache oder Ursachen, damit sie nicht erneut und nicht an anderer Stelle auftritt.

KI-Überlegungen

Drei Verwendungen tragen, alle auf dem Material der Analyse. Das Absuchen der Vergangenheit bringt die Problemstellung mit der Vorfallhistorie, den Tickets und den Protokollen zusammen, zieht daraus Kandidatinnen, die niemand formuliert hätte, und greift die Wissensgrenze des Raums an. Die vorgelagerte Sichtung gruppiert Tausende von Vorfällen nach Ähnlichkeit und zeigt, welches Problem eine Analyse verdient, eine Auswahl, die niemand von Hand vornimmt. Die Aufbereitung formuliert die Kausalaussagen aus den Sitzungsnotizen in der erwarteten Kadenz, liest anschliessend den Massnahmenplan gegen die Massnahmenhierarchie und meldet jenen, der nur aus Schulung und einer Weisung besteht.

Die Grenze fällt genau auf die beiden Tätigkeiten, die die Analyse ausmachen. Ein Modell schlägt Kandidatinnen vor und prüft einen Massnahmenplan gegen die Hierarchie, zwei Operationen auf Text. Beides, wovon das Ergebnis abhängt, kann es nicht: eine Kandidatin an einem Beleg prüfen, was heisst, in einem System die Zählung, das Datum oder den Protokolleintrag zu holen und Zeiträume und Standorte zu vergleichen, und die Technik wählen, was voraussetzt zu wissen, was der Raum vom Fachgebiet versteht, über welche Daten er verfügt und welche Spur die Organisation wird vorweisen müssen. Diese ganze Familie von Techniken scheitert auf dieselbe Weise, indem sie eine Erklärung annimmt, weil sie plausibel ist, und erzeugter Text ist von Bauart her plausibel: Ein Vorschlag aus einem Modell tritt daher als zu prüfende Hypothese in die Analyse ein. Das Material schliesslich ist häufig personenbezogen oder sensibel, Zugriffsprotokolle, Kundendossiers, Unterlagen aus dem Personalwesen: Seine Bearbeitung in einem externen Werkzeug setzt die Rechtsgrundlage und die Berechtigung voraus, die der Datenschutz verlangt.

Visualisierungen

Was eine Analyse hinterlässt, ist ein geschriebenes Dossier. Es besteht aus vier Stücken, drei davon aus Zeilen und Spalten.

Eine Tabelle in einem Dokument lässt sich sortieren, spaltenweise wieder lesen und im nächsten Quartal erneut öffnen. Das vierte Stück ist die Darstellung, die die gewählte Technik hervorbringt, und ihre Form gehört dieser Technik. Bleibt die Entscheidung, die allem vorausgeht, jene über die Technik: Sie wird gezeichnet, weil sie aus Fragen und Verzweigungen besteht.

Aufwand

Werkzeuge

Die Sitzung selbst verlangt nichts: ein Whiteboard, ein Flipchart oder ein laufend geführtes geteiltes Dokument genügen, und die Analyse wird dort geführt, wo das Problem auftritt. Auf Distanz ersetzt ein digitales Whiteboard (Miro, Mural) die Wand ohne Verlust, sofern der Inhalt danach in ein Dokument übertragen wird, das zum Register wird.

Die Tabellenkalkulation ist das Werkzeug für das Ursachenregister und den Massnahmenplan, weil die Belegspalte dort zu einer sichtbaren Auflage wird. Die Daten, die zwischen den Kandidatinnen entscheiden, kommen aus den Systemen: Abfrage auf der Produktionsdatenbank, Auszug aus dem Ticketsystem, Führungscockpit. Das ist der wichtigste Posten der ganzen Ausstattung, denn er entscheidet, ob die Validierung stattfindet.

Zwei Familien spezialisierter Software kommen nachgelagert ins Spiel. Plattformen für das Vorfallmanagement bieten Post-mortem-Vorlagen, in denen die Ursachenarbeit ein strukturiertes Feld ist und die Massnahmen zu verfolgten Tickets werden, was den Mangel an Nachverfolgung unmittelbar angeht. Software für das Qualitätsmanagement (TapRooT, Intelex, Cority) gibt eine Struktur vor, bewahrt eine prüffähige Spur und erlaubt es, Analysen miteinander zu vergleichen, was zählt, sobald sie sich häufen. Keines dieser Werkzeuge stellt eine Frage, prüft einen Beleg oder wählt eine starke Massnahme.

Quellen

• IIBA, A Guide to the Business Analysis Body of Knowledge (BABOK Guide) v3, §10.40 Root Cause Analysis: die Definition, die reaktive und die proaktive Analyse, die vier Aktivitäten, die beiden Techniken der Familie und ihr Zusammenspiel.
• PMI, A Guide to the Project Management Body of Knowledge (PMBOK Guide), 8. Auflage: pmi.org/standards/pmbok. Die Definition der Grundursache, das Kriterium der Nichtwiederholung und der Umstand, dass eine Grundursache hinter mehreren Abweichungen stehen kann.
• IEC 62740:2015, Root cause analysis (RCA): webstore.iec.ch/en/publication/21810. Der Prozess in fünf Schritten und seine Validierungsklausel, die Definition der Ursache, die Beschränkung auf Analysen im Nachhinein, der Ausschluss von Verantwortung und Haftung, die Auswahl der Techniken und das Verzeichnis der Anhänge B und C.
• OSHA und EPA, The Importance of Root Cause Analysis During Incident Investigation (OSHA 3895): osha.gov/publications/OSHA3895.pdf. Die Definition der Grundursache, der Gegensatz von Symptom und unmittelbarer Ursache sowie die Illustration mit dem ausgelaufenen Öl.
• American Society for Quality, What is Root Cause Analysis?: asq.org/quality-resources/root-cause-analysis. Die drei Kriterien, die eine Grundursache erfüllen muss, darunter die Beherrschbarkeit durch die Organisation, nach Rooney und Vanden Heuvel, Root Cause Analysis for Beginners, Quality Progress, Juli 2004.
• VA National Center for Patient Safety, Guide to Performing a Root Cause Analysis, Fassung 02/2021: patientsafety.va.gov/docs/RCA-Guidebook_02052021.pdf. Die Kadenz der Kausalaussage, die fünf Kausalitätsregeln und der Platz der Menschen an der Front im Team.
• Institute for Healthcare Improvement, RCA²: Improving Root Cause Analyses and Actions to Prevent Harm: ihi.org/library/tools/rca2. Die Umbenennung des Prozesses um die Massnahmen herum und der Ausschluss schuldhafter Ereignisse.
• Institute for Healthcare Improvement, Patient Safety Essentials Toolkit: Action Hierarchy: ihi.org/SafetyToolkit_ActionHierarchy.pdf. Die drei Massnahmenstufen und die Regel von mindestens einer starken oder mittleren Massnahme je Ursache.
• A. M. Doggett, Root Cause Analysis: A Framework for Tool Selection, Quality Management Journal 12(4), 2005: doi.org/10.1080/10686967.2005.11919269. Der Rahmen zur Auswahl eines Werkzeugs der Ursachenanalyse anhand dokumentierter Leistungsmerkmale.
• M. F. Peerally, S. Carr, J. Waring und M. Dixon-Woods, The problem with root cause analysis, BMJ Quality & Safety 2017;26:417-422: qualitysafety.bmj.com/content/26/5/417. Die Fixierung auf eine einzige Ursache, die Schwäche der Analysen und die mangelhafte Nachverfolgung der Massnahmen.
• ISO 9001:2015, §10.2 Nichtkonformität und Korrekturmassnahmen: iso.org/standard/62085.html. Die Pflicht, die Notwendigkeit von Massnahmen zur Beseitigung der Ursache oder Ursachen einer Nichtkonformität zu bewerten.