Warum klassische Risikomanagementmethoden in komplexen Systemen oft versagen

Ich höre oft, dass Leute über die gestiegene Komplexität sprechen. In Posts und Artikeln wird darüber geschrieben wie komplex dies und jenes ist. Leider wird der Komplexitätsbegriff oft falsch angewendet. In vielen Fällen wird komplex mit kompliziert verwechselt. Ich möchte gerne, ganz ohne Haarspalterei, kurz den Unterschied zwischen komplex und kompliziert erklären:

• Kompliziert ist prinzipiell etwas erlern- und vorhersagbares, ein abgeschlossenens und i.d.R. von Menschenhand geschaffenes System. Mit ausreichender Anstrengung kann es komplett verstanden werden. Das Paradebeispiel hierfür ist ein Uhrwerk. Für Laien schwer zu verstehen, aber definitiv erlern- und vorhersagbar.
• Komplex ist etwas, dass wir, selbst mit hohem Aufwand, nicht grundsetzlich erlernen können. Wir können es nur in gewissen Grenzen vorhersagen und meist nur für kurze Zeit und für Normalzustände. Komplexe Systeme sind natürliche Systeme wie unsere Umwelt, das Wetter oder auch die Gesellschaft an sich.

https://www.eurobiz.com.cn/complex-vs-complicated-working-on-complex-projects/

Kurz zusammengefasst kann man sagen, ein System benötigt mindestens die folgenden drei Eigenschaften um komplex zu sein:

1. Mehr als drei Agenten im System
2. Feedbackschleifen zwischen den Agenten (sowohl positives als auch negatives Feedback)
3. Nichtlineare Reaktionen innerhalb der Feedbackschleifen

Wobei man als Faustformel sagen kann, je mehr Agenten miteinander interagieren, also je vernetzter ein System ist, desto komplexer wird es.

Dies ist natürlich eine sehr verkürzte Darstellung von komplexen Systemen. Wer gerne mehr darüber lernen möchte, dem empfehle ich die Bücher und Kurse vom SantaFe Institut, Yaneer Bar-Yam, Nassim Taleb. Gute deutschsprachige Literatur dazu gibt es von Guido Strunk.

Was für Lehren habe ich daraus für das Risikomanagement gezogen?

Komplizierte Systeme können aus Sicht des Risikomanagements völlig anders gemanaged werden als komplexe Systeme.

Während sich bei komplizierten Systemen -ein Lieblingsbeispiel in der Ausbildung zu RisikomanagerInnen ist der "Druckbehälter"- eine FMEA, Hazardanalyse, FTA oder andere Analysetools eignen um die technische Ausfallsicherheit zu analysieren, stoßen diese Methoden in komplexen Systemen schnell an ihre Grenzen.

Aber warum ist das so? Was Systeme komplex macht, sind unter anderem nicht- lineare Feedbackschleifen zwischen den Agenten. Diese Feedbackschleifen können positiv oder negativ sein (aufschaukelnd oder regulierend), allerdings sind diese nicht kontrollierbar. Die draus entstehenden Entwicklungen nennt man Emergenz. Das trickreiche daran ist, dass Kleinigkeiten (komplexe Systeme sind inputsensible Systeme) über die weitere Entwicklung entscheiden. Etwas das gestern das System noch nicht aus der Bahn geworfen hat, kann heute, bei nur geringfügig geänderten Startbedingungen, das System zum Kippen bringen.

Kurz gesagt, in komplexen Systemen hat man es mit Entscheidungen unter Unsicherheit (nicht Risiko) zu tun.

Ein sehr anschauliches Beispiel, wenn auch vereinfacht, ist ein Shitstorm auf Social Media. Eine Meldung, die gestern eventuell von dem/der einen InfluencerIn nicht gesehen wurde und somit keine Auswirkungen hat, wird in einer zweiten Situation eventuell genau von diesem/r InfluencerIn gesehen und multipliziert. Der Shitstorm startet obwohl sich kaum etwas geändert hat. Entscheidend ist vielleicht ein einziger zusätzlicher Like oder das Posten zu einer anderen Uhrzeit.

Durch diese Systembeschreibungen kann ich ableiten, dass die Risikoanalysen und Maßnahmen, welche ich bei technischen (komplizierten) Systemen anwende, in komplexen Systemen nicht die gewünschten Erfolge liefern werden. Im Gegenteil, ich kann mich in trügerischer Sicherheit wägen. Ein weiteres Problem ist das Arbeiten mit Eintrittswahrscheinlichkeiten in komplexen Systemen. Das wird meistens deshalb gemacht, da wir die Methoden aus technischen Analysen übernommen haben. Wie ich bereits weiter oben versucht habe zu erklären, haben diese Methoden in technischen (komplizierten Systemen) natürlich definitiv ihren Nutzen, zum Beispiel um die Ausfallsicherheit von Maschinen inkl. Redundanzen zu berechnen.

Immer wenn ich in komplexen Systemen mit Eintrittswahrscheinlichkeiten arbeite, muss ich damit rechnen, dass ich der Truthahn Illusion erliege, bzw. dass die erechneten Eintrittswahrscheinlichkeiten für seltene Eregeignisse mit schwerwiegenden Auswirkungen falsch sind.

Dafür gibt es einige Gründe, welche ich gerne in späteren Artikeln detailliert erklären möchte.

Eine Methode der Risikoanalyse in komplexen Systemen ist, im "Raum der Möglichkeiten" zu denken, bzw. Fragilität im System zu messen.

Was meine ich mit "Raum der Möglichkeiten" (Space of possibilities) genau?

Es ist nicht mehr ausreichend stur in eine Tabelle einzusetzen und eine Risikokennzahl zu produzieren. Ich muss überlegen, in welches Extrem mein System kippen kann. Hierzu analysiere ich ebenfalls, ob ich es mit multiplikativen oder additiven Risiken zu tun habe und ob diese Risiken systemisch oder idiosynkratisch sind. Multiplikative Risiken haben keine oder nur sehr wenig Barrieren und Grenzen. Das heißt das Schadensereignis kann sich relative ungehindert im System ausbreiten und ich habe kaum Möglichkeiten es nach Eintritt zu begrenzen. Hier wären wir wieder bei unserem Social Media Beispiel oder aber auch im Bereich der IT Architektur. Es ist besonders wichtig zu erkennen, dass wir dynamisch auf Risiken reagieren müssen.

Ich möchte ein weiteres Beispiel aus den Anfängen der Corona-Pandemie ergänzen. Hier wurde Anfangs nur zögerlich reagiert und dies wurde mit den noch geringen Fallzahlen argumentiert. Das Problem bei der Ableitung von Maßnahmen aus einer statischen Momentaufnahme (Fallzahlen an Tag X) ist, dass es der Dynamik der Situation nicht gerecht wird. Es war sehr hilfreich, die Zahlen (auch wenn diese dann nicht korrekt waren) zwei Wochen in die Zukunft zu extrapolieren und zu überlegen, ob ich dann immer noch die gleichen Maßnahmen treffen würde. Ich denke also im Raum der Möglichkeiten und dynamisch um mir so die Dringlichkeiten, welche erst zum Beispiel in zwei Wochen bestünden, heute vor Augen zu führen. So einfach das klingt, es wurde zu Beginn leider kaum angewandt. Umgekehrt ist es leicht zu erkennen, wenn dies nicht geschieht. Daraus lassen sich wichtige Schlüsse ziehen, da es öfters zu überzogenen Maßnahmen kommt, wenn man sich von einer Situation überraschen lässt. Man kann sich in diesen Fällen auf striktere Maßnahmen vorbereiten und entsprechend positionieren.

Sollte ich es mit einem multiplikativen Risiko zu tun haben, muss ich prüfen wie fragil zum Beispiel mein Unternehmen gegenüber dem Risikoeintritt wäre und passe meine Maßnahmen daran an. Hier gibt es viele Parallelen zum Business Continuity Management, jedoch mit einigen methodischen Ergänzungen, welche sich aus meiner Sicht noch nicht ausreichend etabliert haben. Auf diese möchte ich ebenfalls gerne in meinen weiteren Artikeln eingehen.

Zusammengfasst analysiere ich die folgenden Schritte:

1. Bewege ich mich in einem komplexen oder komplizierten System (bzw. in einer Mischform)?
2. Was sind die Systemgrenzen (Raum der Möglichkeiten)?
3. Ist das Ereignis multiplikativ oder additiv?
4. Fragilitäts- und Vulnerabilitätsassessment

➡️Welche Risikomanagement Methoden / Tools nutzt Du um mit komplexen Systemen umzugehen?