Nicht die Anzahl, sondern den Verlust beherrschbarer Reserve begrenzen
Eine starre Regel wie „maximal drei offene Abweichungen“ ist für komplexe FM-Betriebe kaum belastbar. Die Kumulationsgrenze sollte an der verbleibenden Schutz- und Betriebsfähigkeit ausgerichtet werden. Kritisch wird eine Lage insbesondere dann, wenn mehrere unabhängige Schutzbarrieren gleichzeitig geschwächt sind, eine weitere Störung unmittelbar zum Funktionsverlust führen würde, wesentliche Kompensationen nicht mehr unabhängig oder ausreichend verfügbar sind oder die Wiederherstellung innerhalb des akzeptierten Zeitfensters nicht mehr gesichert erscheint. Das bestehende Betriebszustandsmanagement unterscheidet bereits Normal-, Sonder-, Redundanz-, Hand-, Wartungs- und Notzustände und betont die verbleibende funktionale Reserve. Dadurch wird verdeutlicht, wann mehrere parallele Abweichungen gemeinsam eine höhere Entscheidungsebene auslösen.
Kumulationsgrenzen und Eskalationen risikobasiert steuern
Risikorahmen für kritische Funktionen konkretisieren
ISO 31000 unterstützt Organisationen dabei, Risiken anhand eigener Kriterien zu analysieren und zu bewerten. Daraus folgt keine universelle Toleranzgrenze. Für kritische FM-Funktionen sollten jedoch vorab wenige Kriterien feststehen, die eine operative Annahme, eine Managemententscheidung oder eine Betriebsbegrenzung auslösen. Dazu gehören beispielsweise verbleibende Redundanz, Schutzwirkung, Reaktionsfähigkeit, Wiederherstellungszeit, Abhängigkeit vom Kerngeschäft und regulatorische Mindestanforderungen. Rechtlich zwingende Anforderungen oder nicht vertretbare Gefährdungen können nicht durch ein internes Risikopunktesystem „grün gerechnet“ werden. Der Toleranzrahmen wirkt nur innerhalb des tatsächlich zulässigen Entscheidungsspielraums.
Kumulationskriterium
Warnschwelle
Entscheidungsfolge
Redundanz
weitere Reserve fällt weg
Gesamtstatus neu bewerten
Schutzbarrieren
mehrere Ebenen gleichzeitig geschwächt
Managemententscheidung
Kompensation
Kapazität/Unabhängigkeit nicht ausreichend
zusätzliche Maßnahme oder Begrenzung
Wiederherstellung
akzeptiertes Zeitfenster nicht mehr gesichert
Eskalation
Pflichtgrenze
zwingende Anforderung betroffen
keine interne Übersteuerung
Entscheidungsebene an möglicher Gesamtwirkung ausrichten
Überschreitet die kumulierte Lage den delegierten Betriebsrahmen, muss die Eskalation eine echte Entscheidung ermöglichen. Dazu gehören eine verdichtete Darstellung des Gesamtzustands, betroffene kritische Funktionen, verbleibende Reserve, laufende Kompensationen, Handlungsoptionen, Folgen bei Nichtentscheidung und ein spätester Entscheidungszeitpunkt. Das Management-Cockpit der Lager-Microsite beschreibt diese Logik für Top-Risiken, Abweichungen und Entscheidungsvorlagen bereits umfassend. Es definiert nur, wann die Kumulation selbst zum entscheidungsrelevanten Sachverhalt wird und welche Mindestinformation dafür aus den bestehenden Fachprozessen zusammenzuführen ist.
Weitere Abweichung bei fehlender Reserve nicht automatisch zulassen
Ist die Kumulationsgrenze erreicht, kann die richtige Entscheidung darin bestehen, eine geplante Wartung zu verschieben, eine weitere Ausnahme nicht freizugeben, die Nutzung zu reduzieren, zusätzliche Ressourcen bereitzustellen oder einen betroffenen Betriebsumfang kontrolliert zu begrenzen. Die Maßnahme richtet sich nach dem konkreten Risiko und den einschlägigen Pflichten. Für Arbeitsmittel verlangt die BetrSichV eine Aktualisierung der Gefährdungsbeurteilung bei sicherheitsrelevanten Änderungen oder unzureichend wirksamen Schutzmaßnahmen. Das Playbook leitet daraus keine allgemeine Pflicht zur Betriebsunterbrechung ab. Es stellt vielmehr sicher, dass bei erkennbar fehlender Reserve nicht einfach eine weitere Einzelabweichung hinzukommt, ohne den Gesamtzustand neu zu entscheiden.
Eskalation nach Wiederherstellung überprüfbar zurückstufen
Eine rote oder managementpflichtige Gesamtlage bleibt nicht dauerhaft bestehen, wenn ihre Ursachen entfallen sind. Nach Beseitigung relevanter Abweichungen werden Restbestand, wiederhergestellte Reserven und verbleibende Wechselwirkungen überprüft. Erst danach wird der Status zurückgestuft. Die Entscheidung wird mit Datum, verantwortlicher Rolle und nächstem Review dokumentiert. Dadurch entsteht ein dynamischer Steuerungsrahmen statt eines einmal vergebenen Alarmstatus. Gleichzeitig lässt sich auswerten, welche Kombinationen wiederholt auftreten und ob strukturelle Maßnahmen im bestehenden Risiko-, Instandhaltungs- oder Investitionsmanagement erforderlich sind.
