CIRS – aus Fehlern lernen, bevor Menschen zu Schaden kommen

CIRS: Aus Fehlern lernen, bevor Menschen zu Schaden kommen - Wie ein Meldesystem aus der Luftfahrt die Patientensicherheit veränderte – und warum eine Meldung nicht automatisch vor rechtlichen Folgen schützt

Wie ein Meldesystem aus der Luftfahrt die Patientensicherheit veränderte – und warum eine Meldung nicht automatisch vor rechtlichen Folgen schützt

„Eine Organisation wird nicht dadurch sicher, dass keine Fehler sichtbar werden. Sie wird sicher, wenn Menschen Fehler sichtbar machen dürfen und daraus tatsächlich gelernt wird.“
– Christoph J. Zingg

⸻

Einleitung

Wo Menschen arbeiten, geschehen Fehler.

Das gilt in der Luftfahrt, in Kernkraftwerken, in der Industrie, in der Pflege, in der Medizin und in jedem anderen komplexen Arbeitsfeld. Dennoch wurden Fehler lange Zeit vor allem als persönliches Versagen betrachtet:

Wer hat den Fehler gemacht?

Wer war unaufmerksam?

Welcher Mitarbeiter hat eine Vorschrift nicht eingehalten?

Wer trägt die Schuld?

Diese Fragen können in bestimmten Situationen notwendig sein. Sie reichen aber nicht aus, um zukünftige Fehler zu verhindern.

Denn selbst wenn eine einzelne Person verwarnt, versetzt oder entlassen wird, bleibt möglicherweise das System bestehen, das den Fehler begünstigt hat:

  • eine missverständliche Verordnung,
  • ähnlich aussehende Medikamente,
  • eine unklare Zuständigkeit,
  • Personalmangel,
  • Zeitdruck,
  • Müdigkeit,
  • eine schlechte Übergabe,
  • widersprüchliche Anweisungen,
  • unübersichtliche Software,
  • fehlende Kontrollen,
  • eine Kultur der Angst oder
  • eine Führung, die Widerspruch nicht zulässt.

Genau an diesem Punkt setzt CIRS an.

CIRS steht für Critical Incident Reporting System. Es ist ein Berichts- und Lernsystem, in dem kritische Ereignisse, Gefährdungen und Beinahe-Fehler gemeldet, analysiert und für Verbesserungen genutzt werden.

Die Grundidee lautet:

Nicht erst aus eingetretenen Schäden lernen, sondern bereits aus Situationen, in denen ein Schaden nur knapp verhindert wurde.

CIRS ist damit weit mehr als ein elektronisches Meldeformular. Es ist Ausdruck einer bestimmten Haltung gegenüber Menschen, Fehlern, Führung und Verantwortung.

⸻

1. Was ist ein CIRS?

Ein Critical Incident Reporting System ist ein strukturiertes System zur Erfassung und Auswertung sicherheitsrelevanter Ereignisse.

Gemeldet werden insbesondere:

  • kritische Situationen,
  • Sicherheitsrisiken,
  • Beinahe-Fehler,
  • gefährliche Prozessabweichungen,
  • Kommunikationsprobleme,
  • technische oder organisatorische Schwachstellen,
  • Ereignisse, die beinahe zu einem Schaden geführt hätten.

Ein typisches Beispiel:

Eine Pflegefachperson bereitet ein Medikament vor und bemerkt unmittelbar vor der Verabreichung, dass auf dem Bildschirm noch der falsche Patient geöffnet war.

Der Patient erhält das Medikament nicht. Es ist kein Schaden entstanden.

Trotzdem ist die Situation sicherheitsrelevant.

Die entscheidenden Fragen lauten:

  • Weshalb konnte der falsche Patient geöffnet bleiben?
  • Waren die Namen ähnlich?
  • War das Computersystem unübersichtlich?
  • Gab es mehrere Unterbrechungen?
  • War die Arbeitsbelastung zu hoch?
  • Fehlte eine Identitätskontrolle?
  • War die Medikamentenverordnung missverständlich?
  • Könnte dasselbe morgen erneut geschehen?

Ein klassisches Schadenmeldesystem würde diesen Vorfall möglicherweise gar nicht erfassen, weil nichts passiert ist.

Ein CIRS betrachtet gerade diesen Beinahe-Fehler als wertvolle Information.

Denn der verhinderte Fehler zeigt eine Schwachstelle, bevor diese zu einem ernsthaften Schaden führt.

Die Weltgesundheitsorganisation bezeichnet solche Systeme deshalb heute umfassender als Patient Safety Incident Reporting and Learning Systems – also als Melde- und Lernsysteme. Entscheidend ist nicht die Sammlung möglichst vieler Meldungen, sondern die daraus folgende Veränderung von Prozessen und Sicherheitsbarrieren. (Weltgesundheitsorganisation⁠)

⸻

2. Was bedeutet „Critical Incident“?

Der Begriff wird häufig missverstanden.

„Critical“ bedeutet nicht zwingend, dass ein Patient schwer geschädigt wurde. Kritisch ist vielmehr ein Ereignis, weil es Hinweise auf ein relevantes Sicherheitsrisiko gibt.

Ein Critical Incident kann sein:

  • ein tatsächlicher Fehler ohne Schaden,
  • ein beinahe eingetretener Fehler,
  • eine riskante Situation,
  • eine unerwartete Prozessabweichung,
  • ein Ereignis, das nur durch Zufall oder rechtzeitiges Eingreifen ohne Folgen blieb.

Beispiele aus der Pflege und Medizin:

  • Ein Medikament wird für den falschen Patienten gerichtet, aber rechtzeitig erkannt.
  • Ein Patient wird ohne geeignete Sturzprophylaxe mobilisiert und kann gerade noch aufgefangen werden.
  • Eine Allergie ist dokumentiert, wird jedoch in der elektronischen Verordnung nicht deutlich angezeigt.
  • Eine Laborprobe wird beinahe falsch beschriftet.
  • Eine wichtige Information geht bei einer Verlegung verloren.
  • Zwei Infusionslösungen sehen nahezu identisch aus.
  • Ein Alarm wird wegen einer zu hohen Zahl bedeutungsloser Alarme überhört.
  • Eine Anordnung ist sprachlich oder fachlich missverständlich.
  • Eine Pflegefachperson erkennt eine Verschlechterung, wird aber in ihrer Einschätzung nicht ernst genommen.
  • Eine Zuständigkeit ist zwischen zwei Berufsgruppen ungeklärt.

CIRS richtet den Blick damit nicht nur auf individuelles Verhalten, sondern auf das Zusammenspiel von Mensch, Technik, Organisation, Kommunikation und Führung.

⸻

3. Woher kommt die Idee?

CIRS wurde nicht von einer einzigen Person zu einem einzigen Zeitpunkt erfunden.

Es entstand aus mehreren Entwicklungslinien:

  1. der Critical-Incident-Forschung,
  2. der Sicherheitsentwicklung in der Luftfahrt,
  3. der Human-Factors-Forschung,
  4. der Systemtheorie menschlicher Fehler,
  5. der Anästhesie- und Intensivmedizin,
  6. der modernen Patientensicherheitsbewegung.

⸻

4. John C. Flanagan und die Critical Incident Technique

Eine wichtige wissenschaftliche Vorstufe war die Critical Incident Technique des amerikanischen Psychologen John C. Flanagan.

Flanagan entwickelte während und nach dem Zweiten Weltkrieg Methoden, mit denen besonders wirksame oder besonders problematische Verhaltensweisen systematisch erfasst werden konnten. 1954 veröffentlichte er seine grundlegende Arbeit über die Critical Incident Technique. (PubMed⁠)

Dabei ging es ursprünglich nicht um ein anonymes Fehlermeldesystem im heutigen Sinn. Flanagan wollte konkrete Situationen untersuchen, die für den Erfolg oder Misserfolg einer Tätigkeit besonders bedeutsam waren.

Statt Menschen nur allgemein zu fragen:

„Arbeitet diese Person gut?“

fragte man genauer:

„Welche konkrete Situation haben Sie beobachtet?“

„Was geschah?“

„Welche Bedingungen lagen vor?“

„Was tat die betreffende Person?“

„Welche Folgen hatte dies?“

Damit entstand ein methodischer Zugang, bei dem nicht abstrakte Urteile, sondern konkrete Ereignisse analysiert werden.

Dieser Gedanke findet sich bis heute in CIRS:

Nicht:

„Auf dieser Station wird schlecht kommuniziert.“

Sondern:

„Bei der Verlegung wurde die Information über die Insulintherapie nicht mündlich übergeben. Die schriftliche Dokumentation war im Zielbereich zunächst nicht einsehbar. Die nächste Insulingabe wurde deshalb beinahe ausgelassen.“

Eine solche Beschreibung ermöglicht Lernen.

Ein pauschales Urteil ermöglicht meist nur Abwehr.

⸻

5. Die Luftfahrt als Vorbild

Die moderne Entwicklung vertraulicher Meldesysteme wurde stark durch die Luftfahrt geprägt.

Fliegen ist ein hochkomplexes System. Piloten, Fluglotsen, Technik, Wetter, Flughäfen, Wartung, Kommunikation und Organisation müssen zuverlässig zusammenwirken.

Schon früh wurde deutlich:

Schwere Unfälle entstehen nur selten durch eine einzige Ursache.

Meist geht ihnen eine Kette kleinerer Abweichungen, Missverständnisse oder übersehener Warnzeichen voraus.

Nach mehreren schweren Ereignissen entstand in den Vereinigten Staaten das Aviation Safety Reporting System, kurz ASRS.

Das System wurde 1976 durch eine Zusammenarbeit zwischen der amerikanischen Luftfahrtbehörde FAA und der NASA eingerichtet. Die FAA finanzierte das Programm und schuf bestimmte Schutzmechanismen; die NASA übernahm als vergleichsweise unabhängige Institution die Entgegennahme, Analyse und Anonymisierung der Meldungen. (asrs.arc.nasa.gov⁠)

Flugpersonal konnte darin freiwillig sicherheitsrelevante Ereignisse, Beinahe-Unfälle und gefährliche Bedingungen melden.

Das System beruhte auf mehreren Grundsätzen:

  • Freiwilligkeit,
  • Vertraulichkeit,
  • Trennung von Meldung und unmittelbarer Sanktion,
  • fachkundige Analyse,
  • Rückmeldung an die Luftfahrt,
  • systematisches Lernen.

Die NASA beschreibt das ASRS bis heute als freiwilliges, vertrauliches und nicht primär sanktionierendes Meldesystem. Es hat seit 1976 mehr als zwei Millionen Berichte gesammelt und ausgewertet. (asrs.arc.nasa.gov⁠)

Der Erfolg dieses Systems zeigte:

Menschen melden sicherheitsrelevante Beobachtungen eher, wenn sie darauf vertrauen können, dass die Information zum Lernen und nicht primär zur Bestrafung verwendet wird.

Das bedeutet allerdings auch in der Luftfahrt nicht, dass jede Handlung folgenlos bleibt. Vorsätzliches Verhalten, Straftaten oder schwere Pflichtverletzungen werden nicht allein dadurch immunisiert, dass jemand einen Bericht einreicht.

Der Schutz betrifft das Lernsystem – nicht eine uneingeschränkte Straffreiheit für jedes Verhalten.

⸻

6. Warum spielte die Anästhesie eine besondere Rolle?

CIRS fand im Gesundheitswesen zunächst vor allem in der Anästhesiologie Verbreitung.

Das ist kein Zufall.

Die Anästhesie weist mehrere Eigenschaften eines Hochrisikosystems auf:

  • komplexe Technik,
  • starke Medikamente,
  • schnelle physiologische Veränderungen,
  • zeitkritische Entscheidungen,
  • interprofessionelle Zusammenarbeit,
  • begrenzte Fehlertoleranz,
  • potenziell schwere Folgen kleiner Abweichungen.

Gleichzeitig können viele Zwischenfälle durch Überwachung, Standards, technische Warnsysteme und gut trainierte Teams rechtzeitig erkannt werden.

Dadurch entstehen zahlreiche Beinahe-Ereignisse, aus denen gelernt werden kann.

In der Schweiz wurde 1996 am Departement Anästhesie der Universität Basel unter der Leitung von Daniel Scheidegger ein frühes medizinisches CIRS aufgebaut. Wesentlich beteiligt waren unter anderem Sven Staender und Mark Kaufmann.

1997 veröffentlichten Staender und Kollegen erste Erfahrungen mit einem internetbasierten, anonymen Meldesystem für kritische Ereignisse in der Anästhesie. Die ersten Analysen bestätigten, dass nicht nur individuelles Fehlverhalten, sondern häufig systemische Faktoren an kritischen Situationen beteiligt waren. (PubMed⁠)

Damit spielte die Schweiz bei der Übertragung des CIRS-Gedankens auf die Medizin eine wichtige Rolle.

⸻

7. James Reason und das Systemdenken

Der wohl wichtigste theoretische Wegbereiter moderner Fehlermeldesysteme war der britische Psychologe James Reason.

Reason unterschied zwei grundlegend verschiedene Arten, menschliche Fehler zu betrachten:

Der personenbezogene Ansatz

Der personenbezogene Ansatz sucht die Ursache hauptsächlich beim einzelnen Menschen:

  • unaufmerksam,
  • vergesslich,
  • unmotiviert,
  • unvorsichtig,
  • inkompetent,
  • regelwidrig.

Die typischen Reaktionen sind:

  • Ermahnung,
  • Schulung,
  • Verwarnung,
  • strengere Regeln,
  • Sanktion,
  • Austausch der betreffenden Person.

Diese Reaktionen können in einzelnen Fällen angemessen sein. Sie verändern jedoch oft nicht die Bedingungen, unter denen der Fehler entstanden ist.

Der Systemansatz

Der Systemansatz geht davon aus, dass Menschen fehlbar sind und Fehler auch kompetenten, engagierten und sorgfältigen Fachpersonen geschehen können.

Deshalb muss ein sicheres System so gestaltet werden, dass es:

  • Fehler weniger wahrscheinlich macht,
  • Fehler früh erkennt,
  • Fehler abfängt,
  • Schäden begrenzt,
  • aus Abweichungen lernt.

Reason formulierte den Unterschied zwischen Personen- und Systemansatz in einer viel beachteten wissenschaftlichen Arbeit. Der Systemansatz fragt nicht nur, wer einen Fehler machte, sondern unter welchen Bedingungen dieser Fehler möglich wurde. (PMC⁠)

⸻

8. Das Swiss-Cheese-Modell

Reasons bekanntestes Modell ist das sogenannte Swiss-Cheese-Modell.

Eine Organisation besitzt verschiedene Sicherheitsebenen:

  • Ausbildung,
  • Standards,
  • technische Alarme,
  • Kontrollen,
  • Doppelkontrollen,
  • Checklisten,
  • Dokumentation,
  • Supervision,
  • Teamkommunikation,
  • organisatorische Regeln.

Jede dieser Schutzschichten ähnelt bildlich einer Scheibe Schweizer Käse.

Jede Scheibe besitzt Löcher.

Die Löcher stehen für Schwachstellen:

  • unklare Regeln,
  • Zeitdruck,
  • fehlende Informationen,
  • Müdigkeit,
  • technische Mängel,
  • schlechte Kommunikation,
  • Kompetenzlücken,
  • unklare Verantwortlichkeiten.

Meist wird ein Fehler von einer späteren Schutzschicht aufgefangen.

Ein Medikament wird falsch vorbereitet, aber bei der Identitätskontrolle erkannt.

Eine falsche Verordnung wird eingegeben, aber von der Apotheke bemerkt.

Eine klinische Verschlechterung wird zunächst unterschätzt, aber beim nächsten Assessment erkannt.

Ein schweres Ereignis entsteht dann, wenn sich die Schwachstellen mehrerer Schutzschichten ungünstig ausrichten und der Fehler alle Barrieren durchdringt.

Das Modell zeigt:

Der Mensch am Ende der Fehlerkette ist nicht automatisch die einzige oder wichtigste Ursache.

Vielleicht hat eine Pflegefachperson ein falsches Medikament in der Hand.

Doch zuvor könnten bereits mehrere Bedingungen bestanden haben:

  • ähnliche Verpackungen,
  • falsche Lagerung,
  • undeutliche Beschriftung,
  • Unterbrechung beim Richten,
  • Personalmangel,
  • fehlerhafte elektronische Auswahl,
  • fehlende Barcodes,
  • unklare Doppelkontrolle.

Die letzte handelnde Person ist sichtbar.

Die systemischen Ursachen bleiben oft unsichtbar.

CIRS versucht, diese unsichtbaren Bedingungen sichtbar zu machen.

⸻

9. Aktive Fehler und latente Bedingungen

Reason unterschied außerdem zwischen aktiven Fehlern und latenten Bedingungen.

Aktive Fehler

Aktive Fehler geschehen unmittelbar bei der Arbeit:

  • falscher Knopf,
  • falsches Medikament,
  • ausgelassene Kontrolle,
  • missverständliche Übergabe,
  • vergessene Information.

Sie sind zeitlich und räumlich nahe am Ereignis.

Latente Bedingungen

Latente Bedingungen entstehen häufig auf anderen Ebenen:

  • schlechte Dienstplanung,
  • unzureichende Einarbeitung,
  • unklare Prozesse,
  • mangelhafte Software,
  • ungeeignete räumliche Strukturen,
  • unrealistische Arbeitsvorgaben,
  • schlechte Führung,
  • unzureichende Sicherheitskultur.

Sie können lange bestehen, ohne dass ein Schaden eintritt.

Erst in Kombination mit einer bestimmten Situation werden sie gefährlich.

CIRS ist besonders wertvoll, wenn es nicht bei der Feststellung des aktiven Fehlers stehen bleibt, sondern nach den latenten Bedingungen sucht.

⸻

10. „To Err Is Human“ und die moderne Patientensicherheit

Einen weltweiten Schub erhielt die Patientensicherheitsbewegung durch den 1999 veröffentlichten Bericht To Err Is Human: Building a Safer Health System des damaligen US-amerikanischen Institute of Medicine.

Der Bericht machte deutlich, dass vermeidbare Schäden nicht einfach auf einzelne „schlechte“ Fachpersonen zurückgeführt werden können. Vielmehr arbeiten häufig engagierte Menschen in unzureichend gestalteten Systemen. (PubMed⁠)

Damit wurde Patientensicherheit zu einem zentralen gesundheitspolitischen und wissenschaftlichen Thema.

Der Bericht forderte unter anderem:

  • systematisches Lernen aus Ereignissen,
  • bessere Sicherheitsstandards,
  • eine stärkere Fehlerprävention,
  • geeignete Meldesysteme,
  • eine Abkehr von reiner Schuldzuweisung.

Auch die Weltgesundheitsorganisation betont heute, dass Patientenschäden meist durch mehrere miteinander verbundene Faktoren entstehen. Sie fordert einen Systemansatz, sichere Arbeitsbedingungen, bessere Teamkommunikation und funktionierende Melde- und Lernsysteme. (Weltgesundheitsorganisation⁠)

⸻

11. Human Factors – warum gute Menschen Fehler machen

CIRS basiert wesentlich auf der Human-Factors-Forschung.

Human Factors untersucht, wie Menschen mit Technik, Organisation, Aufgaben, Umwelt und anderen Menschen zusammenwirken.

Fehler entstehen beispielsweise durch:

  • Müdigkeit,
  • Schlafmangel,
  • Stress,
  • Zeitdruck,
  • Unterbrechungen,
  • Ablenkung,
  • hohe Aufgabenkomplexität,
  • Informationsüberlastung,
  • schlechte Benutzeroberflächen,
  • unklare Kommunikation,
  • Hierarchie,
  • Gruppendruck,
  • mangelnde Erfahrung,
  • Routineblindheit.

Dabei ist entscheidend:

Ein Fehler beweist nicht automatisch mangelnde Motivation oder mangelnde Fachlichkeit.

Gerade erfahrene Menschen können durch Routine, Erwartung und automatisiertes Handeln bestimmte Abweichungen übersehen.

Ein System, das Sicherheit ausschließlich auf Aufmerksamkeit aufbaut, ist deshalb grundsätzlich verletzlich.

Menschen können nicht dauerhaft vollkommen aufmerksam sein.

Sichere Systeme benötigen zusätzliche Barrieren.

⸻

12. Von Safety I zu Safety II

Traditionelle Sicherheitsarbeit konzentriert sich überwiegend auf die Frage:

Warum ging etwas schief?

Dieser Ansatz wird heute häufig als Safety I bezeichnet.

Er bleibt wichtig. Dennoch reicht er nicht vollständig aus.

Der neuere Ansatz Safety II fragt zusätzlich:

Warum geht die Arbeit trotz schwieriger Bedingungen meistens gut?

Im Gesundheitswesen müssen Mitarbeitende täglich improvisieren, priorisieren, koordinieren und auf unerwartete Situationen reagieren.

Oft verhindern sie Schäden durch:

  • Erfahrung,
  • Aufmerksamkeit,
  • Rückfragen,
  • gegenseitige Unterstützung,
  • situative Anpassung,
  • klinische Intuition,
  • rechtzeitiges Eskalieren.

Ein modernes Meldesystem kann deshalb auch untersuchen:

  • Was hat den Fehler aufgefangen?
  • Wer bemerkte die Gefahr?
  • Welche Schutzmaßnahme funktionierte?
  • Weshalb blieb der Patient trotz Schwachstelle sicher?
  • Wie kann diese funktionierende Barriere gestärkt werden?

Die Stiftung Patientensicherheit Schweiz bezieht diesen Safety-II-Gedanken zunehmend in die Weiterentwicklung von CIRRNET ein. (patientensicherheit.ch⁠)

⸻

13. Wie funktioniert ein CIRS?

Ein funktionierendes CIRS besteht aus mehreren Schritten.

1. Wahrnehmen

Eine Mitarbeiterin oder ein Mitarbeiter erkennt eine kritische Situation.

2. Melden

Das Ereignis wird über ein Formular beschrieben.

Dabei sollten möglichst sachlich festgehalten werden:

  • Was geschah?
  • Wo geschah es?
  • Wann geschah es?
  • Welche Berufsgruppen waren beteiligt?
  • Welche Faktoren spielten eine Rolle?
  • Wie wurde die Gefahr erkannt?
  • Was verhinderte einen Schaden?
  • Welche Verbesserungen wären denkbar?

3. Anonymisieren

Personenbezogene Angaben werden entfernt oder so bearbeitet, dass einzelne Personen möglichst nicht identifiziert werden können.

Auch Patientendaten gehören grundsätzlich nicht in eine CIRS-Meldung.

4. Analysieren

Ein geschultes CIRS-Team beurteilt das Ereignis.

Es fragt nicht nur nach dem sichtbaren Fehler, sondern nach:

  • technischen Faktoren,
  • organisatorischen Faktoren,
  • menschlichen Faktoren,
  • Kommunikationsproblemen,
  • Teamfaktoren,
  • Führungsfaktoren,
  • Umgebungsbedingungen.

5. Maßnahmen entwickeln

Mögliche Maßnahmen sind:

  • Änderung eines Ablaufs,
  • bessere Kennzeichnung,
  • räumliche Trennung,
  • technische Sperren,
  • Anpassung einer Software,
  • Checklisten,
  • Schulungen,
  • Klärung von Verantwortlichkeiten,
  • Verbesserung der Übergabe,
  • verbindliche Doppelkontrollen.

6. Rückmelden

Die Mitarbeitenden müssen erfahren:

  • Was wurde gemeldet?
  • Was wurde erkannt?
  • Was wird verändert?
  • Wer ist verantwortlich?
  • Bis wann erfolgt die Umsetzung?

7. Wirkung überprüfen

Die wichtigste Frage lautet:

Hat die Maßnahme das Risiko tatsächlich reduziert?

Ohne Umsetzung und Rückmeldung bleibt CIRS ein Meldespeicher, aber kein Lernsystem.

⸻

14. Was gehört in ein CIRS – und was nicht?

Ein CIRS eignet sich besonders für:

  • Beinahe-Fehler,
  • kritische Situationen ohne eingetretenen Schaden,
  • wiederkehrende Risiken,
  • problematische Schnittstellen,
  • technische oder organisatorische Schwachstellen,
  • Kommunikationsprobleme,
  • unsichere Arbeitsbedingungen.

Nicht jedes Ereignis gehört ausschließlich in ein CIRS.

Andere Meldewege bleiben notwendig, beispielsweise:

  • Dokumentation in der Patientenakte,
  • Information der verantwortlichen ärztlichen oder pflegerischen Leitung,
  • Schadenmeldung,
  • Haftpflichtmeldung,
  • gesetzlich vorgeschriebene Meldungen,
  • Pharmakovigilanz,
  • Meldung von Medizinprodukte-Vorkommnissen,
  • Strafanzeige bei entsprechendem Verdacht,
  • interne Eskalationswege bei akuter Gefährdung.

Besonders wichtig ist:

Ein CIRS ersetzt niemals die Patientendokumentation.

Was für die Behandlung, Nachsorge oder Aufklärung des Patienten relevant ist, muss in der Patientenakte dokumentiert werden.

Eine CIRS-Meldung darf nicht dazu benutzt werden, einen tatsächlichen Schaden aus der Krankengeschichte fernzuhalten.

Die Stiftung Patientensicherheit Schweiz empfiehlt grundsätzlich, Ereignisse mit eingetretenem Patientenschaden nicht als normale CIRS-Fälle zu behandeln, sondern sie über gesonderte Schaden- und Ereignisprozesse zu bearbeiten. (patientensicherheit.ch⁠)

⸻

15. Was macht ein gutes CIRS aus?

Ein wirksames CIRS benötigt mehr als Software.

Psychologische Sicherheit

Mitarbeitende müssen Risiken ansprechen können, ohne automatisch beschämt, abgewertet oder bedroht zu werden.

Vertraulichkeit

Die Identität meldender Personen sollte möglichst geschützt werden.

Niederschwelliger Zugang

Eine Meldung darf nicht so kompliziert sein, dass sie im Arbeitsalltag untergeht.

Fachkundige Analyse

Die Auswertung benötigt Kenntnisse in:

  • klinischer Praxis,
  • Human Factors,
  • Prozessanalyse,
  • Qualitätsmanagement,
  • Kommunikation,
  • Organisation.

Zeitnahe Bearbeitung

Ein Bericht, der erst Monate später gelesen wird, verliert an Wirkung.

Rückmeldung

Ohne sichtbare Reaktion sinkt die Meldebereitschaft.

Führung

Führungskräfte müssen zeigen, dass Meldungen erwünscht sind.

Konsequente Umsetzung

Erkannte Risiken müssen bearbeitet werden.

Trennung von Lernen und Sanktion

Ein Lernsystem darf nicht heimlich als Instrument der Personalüberwachung verwendet werden.

⸻

16. Just Culture – weder Schuldlosigkeit noch Strafkultur

Eine moderne Sicherheitskultur wird häufig als Just Culture bezeichnet.

Der Begriff kann mit „gerechte Kultur“ oder „faire Verantwortungs- und Lernkultur“ übersetzt werden.

Just Culture bedeutet nicht:

Niemand trägt jemals Verantwortung.

Sie bedeutet aber auch nicht:

Bei jedem Fehler muss eine Person bestraft werden.

Unterschieden werden müssen verschiedene Verhaltensformen.

Menschlicher Irrtum

Ein Versehen, eine Verwechslung oder ein unbeabsichtigter Fehler kann auch sorgfältigen Menschen geschehen.

Reaktion:

  • trösten,
  • analysieren,
  • Prozesse verbessern,
  • geeignete Unterstützung anbieten.

Riskantes Verhalten

Eine Person unterschätzt ein Risiko oder hat sich an eine unsichere Abkürzung gewöhnt.

Reaktion:

  • Risiko erklären,
  • Verhalten reflektieren,
  • Arbeitsbedingungen prüfen,
  • Regeln und Prozesse verbessern.

Grob sorgfaltswidriges oder bewusst regelwidriges Verhalten

Eine Person erkennt ein erhebliches Risiko und ignoriert es bewusst ohne nachvollziehbaren Grund.

Reaktion:

  • klare Verantwortungsprüfung,
  • gegebenenfalls arbeitsrechtliche, berufsrechtliche oder strafrechtliche Konsequenzen.

Vorsätzliches schädigendes Verhalten

Hier steht nicht mehr ein unbeabsichtigter Fehler, sondern eine bewusste Schädigung oder Straftat im Raum.

Reaktion:

  • Schutz Betroffener,
  • Untersuchung,
  • konsequente rechtliche Bearbeitung.

Just Culture sucht deshalb eine Balance:

Der ehrliche Fehler muss besprechbar sein. Bewusste Gefährdung darf aber nicht hinter dem Begriff Fehlerkultur versteckt werden.

⸻

17. Können Menschen wegen eines gemeldeten Fehlers belangt werden?

Diese Frage muss differenziert beantwortet werden.

Grundsatz

Eine CIRS-Meldung schafft in der Schweiz keine automatische rechtliche Immunität.

Weder die meldende Person noch die Person, deren Verhalten im Ereignis eine Rolle spielte, ist allein aufgrund des CIRS-Systems grundsätzlich vor allen Konsequenzen geschützt.

Gleichzeitig ist CIRS seinem Zweck nach ein Lernsystem und kein Instrument zur Suche nach Schuldigen.

Daraus ergibt sich eine wichtige Unterscheidung:

Die Meldung selbst

Eine ehrliche, sachliche und gutgläubige Meldung sollte innerhalb einer funktionierenden Sicherheitskultur grundsätzlich nicht bestraft werden.

Das zugrunde liegende Verhalten

Das Verhalten, das zum Ereignis führte, kann unabhängig von der Meldung rechtlich oder arbeitsrechtlich beurteilt werden.

Mit anderen Worten:

CIRS soll das Melden schützen, aber es kann nicht jedes zugrunde liegende Verhalten von Verantwortung befreien.

⸻

18. Kann die meldende Person belangt werden?

Wenn die meldende Person nur beobachtet hat

Wer eine kritische Situation sachlich und in gutem Glauben meldet, sollte deswegen grundsätzlich keine arbeitsrechtlichen Nachteile erfahren.

Eine Organisation, die ehrliche Meldungen mit Sanktionen beantwortet, zerstört ihr eigenes Lernsystem.

Problematisch kann es jedoch werden, wenn eine Meldung:

  • bewusst falsch ist,
  • Personen absichtlich verleumdet,
  • unnötige identifizierende Angaben enthält,
  • aus Rache erfolgt,
  • vertrauliche Daten missbräuchlich weitergibt,
  • gegen klar geregelte Melde- oder Datenschutzvorgaben verstößt.

Auch dann ist allerdings sorgfältig zwischen einem ungeschickt formulierten Bericht und einer absichtlich schädigenden Falschmeldung zu unterscheiden.

Wenn die meldende Person selbst beteiligt war

Hat die meldende Person selbst einen Fehler begangen, verhindert ihre Meldung nicht automatisch eine Untersuchung.

Die freiwillige und sofortige Meldung kann aber zeigen:

  • Verantwortungsbewusstsein,
  • Einsicht,
  • Kooperationsbereitschaft,
  • Interesse an Schadensbegrenzung,
  • Bereitschaft zum Lernen.

Diese Faktoren können in einer fairen Beurteilung berücksichtigt werden.

Sie beseitigen jedoch nicht automatisch eine mögliche rechtliche Verantwortung.

⸻

19. Kann die verursachende Person belangt werden?

Ja, grundsätzlich kann die Person, deren Verhalten zu einem Ereignis beigetragen hat, zur Verantwortung gezogen werden.

Dabei kommen unterschiedliche Ebenen in Betracht.

Arbeitsrechtliche Verantwortung

Der Arbeitgeber kann prüfen:

  • Wurden Pflichten verletzt?
  • War die Person ausreichend eingearbeitet?
  • Waren die Vorgaben klar?
  • War das Verhalten nachvollziehbar?
  • Bestand eine bewusste Regelverletzung?
  • Handelte es sich um einen einmaligen Irrtum oder wiederholtes riskantes Verhalten?

Mögliche Maßnahmen reichen von einem Gespräch oder einer Schulung bis zu einer Verwarnung oder in schweren Fällen einer Kündigung.

Ein verantwortungsvoller Arbeitgeber sollte jedoch nicht allein aufgrund einer anonymen, ungeprüften CIRS-Meldung sanktionieren.

Eine Meldung ist zunächst ein Hinweis, kein abschließend bewiesener Sachverhalt.

Zivilrechtliche Verantwortung

Bei einem Patientenschaden können Schadenersatz- oder Genugtuungsansprüche entstehen.

In vielen Fällen richtet sich der Anspruch zunächst gegen das Spital, die Institution oder deren Haftpflichtversicherung. Die konkrete Rechtslage hängt unter anderem davon ab, ob es sich um eine öffentliche oder private Einrichtung handelt und welches kantonale oder vertragliche Recht anwendbar ist.

Strafrechtliche Verantwortung

Bei einem schweren Schaden kann geprüft werden, ob ein Straftatbestand erfüllt ist, etwa eine fahrlässige Körperverletzung oder fahrlässige Tötung.

Für eine strafrechtliche Verurteilung genügt nicht, dass ein unerwünschtes Ereignis eingetreten ist.

Geprüft werden müssen unter anderem:

  • Bestehen einer Sorgfaltspflicht,
  • Verletzung dieser Pflicht,
  • Vorhersehbarkeit,
  • Vermeidbarkeit,
  • Kausalität,
  • individuelles Verschulden.

Berufs- oder aufsichtsrechtliche Verantwortung

Gesundheitsfachpersonen können unter Umständen auch berufsrechtlich oder aufsichtsrechtlich überprüft werden.

Dabei geht es beispielsweise um:

  • Einhaltung beruflicher Sorgfaltspflichten,
  • Berufsausübungsbewilligung,
  • fachliche Eignung,
  • wiederholte oder schwere Pflichtverletzungen.

CIRS ersetzt keine dieser rechtlichen Prüfungen.

⸻

20. Sind CIRS-Meldungen in der Schweiz rechtlich geschützt?

Hier liegt eine zentrale Schwäche des Schweizer Systems.

Viele Mitarbeitende gehen davon aus:

Eine anonyme oder vertrauliche CIRS-Meldung darf niemals in einem Gerichtsverfahren verwendet werden.

Diese Annahme ist zu pauschal.

Das Schweizer Bundesgericht befasste sich im Urteil 1B_289/2016 vom 8. Dezember 2016 mit Unterlagen eines spitalinternen Fehlermeldesystems.

Ausgangspunkt war ein tödlich verlaufener Sturz eines Patienten aus einem Spitalzimmer. Im Strafverfahren verlangte die Staatsanwaltschaft Zugang zu einem internen Fragebogen beziehungsweise Meldedokument.

Der Entscheid zeigte, dass CIRS-Unterlagen in der Schweiz nicht automatisch und absolut vor dem Zugriff der Strafverfolgungsbehörden geschützt sind. Der aktuelle rechtliche Leitfaden von SAMW und FMH hält ausdrücklich fest, dass das Bundesgericht den Zugriff auf CIRS-Meldungen und deren Verwertbarkeit im Strafverfahren zugelassen hat. (patientensicherheit.ch⁠)

Dieser Entscheid löste erhebliche Verunsicherung aus.

Denn wenn Meldende damit rechnen müssen, dass ihre Angaben später gegen sie oder andere verwendet werden können, sinkt die Bereitschaft zu offenen und detaillierten Meldungen.

Patientensicherheit Schweiz bezeichnet die mögliche Nutzung von CIRS-Inhalten als Beweismittel deshalb seit Langem als eine wesentliche Gefahr für die Funktionsfähigkeit des Systems. (patientensicherheit.ch⁠)

Das Problem besteht in einem Zielkonflikt:

Interesse der Patientensicherheit

Mitarbeitende sollen Risiken offen melden, damit ähnliche Ereignisse verhindert werden.

Interesse der Strafverfolgung und Geschädigten

Schwere Ereignisse sollen untersucht und mögliche Verantwortlichkeiten geklärt werden.

Ein vollständiger Schutz aller CIRS-Inhalte könnte dazu führen, dass relevante Beweise unzugänglich werden.

Fehlender Schutz kann dagegen dazu führen, dass Mitarbeitende gar nichts mehr melden.

Die politische und rechtliche Herausforderung besteht daher darin, Lernsysteme ausreichend zu schützen, ohne bei schweren Pflichtverletzungen eine vollständige Immunität zu schaffen. Auch parlamentarische Unterlagen beschreiben genau diesen Zielkonflikt. (parlament.ch⁠)

⸻

21. Anonym bedeutet nicht unangreifbar

Ein CIRS kann technisch anonym gestaltet sein.

Trotzdem kann eine Identifikation indirekt möglich werden.

Beispielsweise durch:

  • Datum und Uhrzeit,
  • seltene Ereignisse,
  • genaue Ortsangaben,
  • besondere Patientensituationen,
  • eine kleine Zahl an beteiligten Mitarbeitenden,
  • Dienstpläne,
  • Funktionsbezeichnungen,
  • ergänzende Dokumentationen,
  • Zeugen,
  • elektronische Protokolle.

Deshalb sollte eine Meldung nur diejenigen Informationen enthalten, die für das Lernen notwendig sind.

Gleichzeitig darf die Anonymisierung nicht so weit gehen, dass der Fall nicht mehr verstanden werden kann.

Ein guter CIRS-Bericht beschreibt deshalb detailliert die Situation, aber vermeidet unnötige personenbezogene Merkmale.

⸻

22. Darf eine Führungskraft CIRS zur Personalkontrolle verwenden?

Nach Sinn und Zweck eines CIRS: grundsätzlich nein.

Eine professionelle Führungskraft brauht keine CIRS – Fälle, um Mitarbeiter zu führen.
Zudem schwächt es das System CIRS, wenn Führungskräfte auf Grund von CIRS Fällen Mtarbeitende korrigiert und sanktioniert.
Dies steht dem Gedanken CIRS diametral gegenüber.

Ein CIRS ist kein geeignetes Instrument für:

  • Leistungsbeurteilungen,
  • persönliche Abrechnungen,
  • Disziplinierung,
  • Überwachung einzelner Mitarbeitender,
  • Konflikte zwischen Vorgesetzten und Unterstellten,
  • Beweisführung in gewöhnlichen Personalstreitigkeiten.

Wird ein Lernsystem regelmäßig zur Suche nach Schuldigen verwendet, entstehen vorhersehbare Folgen:

  • weniger Meldungen,
  • oberflächlichere Meldungen,
  • Ausweichen auf informelle Kommunikation,
  • Angst,
  • Misstrauen,
  • Vertuschung,
  • Verlust wichtiger Sicherheitsinformationen.

Eine Organisation kann nicht gleichzeitig Offenheit verlangen und Meldende bestrafen.

Dennoch darf CIRS auch nicht dazu missbraucht werden, schwerwiegendes Fehlverhalten zu verbergen.

Ergibt sich aus einer Meldung ein Hinweis auf eine akute Gefährdung, vorsätzliches Verhalten, Missbrauch oder eine möglicherweise strafbare Handlung, können separate Abklärungs- und Eskalationswege notwendig sein.

Diese müssen jedoch klar vom eigentlichen CIRS-Lernprozess getrennt werden.

⸻

23. Warum sollen tatsächliche Schadensfälle getrennt bearbeitet werden?

CIRS wurde ursprünglich vor allem für kritische Ereignisse und Beinahe-Schäden entwickelt.

Bei einem tatsächlichen Patientenschaden bestehen zusätzliche Pflichten:

  • Versorgung und Schutz des Patienten,
  • vollständige Dokumentation,
  • Information der verantwortlichen Stellen,
  • gegebenenfalls offene Kommunikation mit Patient und Angehörigen,
  • Schadenmanagement,
  • Haftpflichtprüfung,
  • gesetzliche Meldungen,
  • Beweissicherung,
  • Unterstützung der beteiligten Mitarbeitenden.

Würde ein tatsächlicher Schaden ausschließlich im CIRS dokumentiert, könnten wichtige Informationen der ordentlichen Dokumentation und Bearbeitung entzogen werden.

Deshalb müssen Lernsystem und Schadenmanagement unterschieden, aber sinnvoll miteinander verbunden werden.

Aus einem tatsächlichen Schaden soll gelernt werden.

Doch seine rechtliche und klinische Bearbeitung darf nicht durch eine anonyme CIRS-Meldung ersetzt werden.

⸻

24. Die Grenzen von CIRS

CIRS ist wertvoll, aber kein Allheilmittel.

Untererfassung

Viele Ereignisse werden nicht gemeldet.

Gründe sind:

  • Zeitmangel,
  • Angst,
  • Resignation,
  • fehlende Rückmeldung,
  • unklare Zuständigkeit,
  • komplizierte Formulare,
  • Normalisierung von Risiken.

Selektionsverzerrung

Gemeldet wird nicht alles gleich häufig.

Manche Berufsgruppen melden mehr als andere. Auffällige oder emotional belastende Ereignisse werden eher berichtet als alltägliche Risiken.

Deshalb kann aus der Zahl der Meldungen nicht unmittelbar auf die tatsächliche Häufigkeit von Fehlern geschlossen werden.

Viele Meldungen können sogar ein Zeichen guter Sicherheitskultur sein.

Wenige Meldungen können bedeuten:

  • Es gibt wenige Risiken.

Sie können aber auch bedeuten:

  • Niemand traut sich zu melden.

CIRS-Daten sind daher keine repräsentative Fehlerstatistik. Sie beruhen auf einer selektiven und subjektiven Auswahl berichteter Ereignisse. (qualitaetsmedizin.ch⁠)

Subjektive Darstellung

Meldende beschreiben das Ereignis aus ihrer Perspektive.

Andere Beteiligte können dieselbe Situation anders wahrgenommen haben.

Fehlende Ursachenanalyse

Ein Bericht ist noch keine Ursachenanalyse.

Maßnahmen ohne Wirkung

Viele Systeme sammeln Meldungen, setzen aber keine wirksamen Veränderungen um.

Konzentration auf den Menschen

Manche Analysen enden trotz Systemanspruch bei Maßnahmen wie:

  • Mitarbeitende sensibilisieren,
  • sorgfältiger arbeiten,
  • erneut schulen,
  • Regeln beachten.

Solche Maßnahmen sind oft schwach, weil sie weiterhin auf perfekte Aufmerksamkeit hoffen.

Stärkere Maßnahmen verändern:

  • Technik,
  • Abläufe,
  • Kennzeichnung,
  • Zugriffsrechte,
  • Verantwortlichkeiten,
  • Arbeitsbedingungen.

Meldemüdigkeit

Wenn Mitarbeitende immer wieder dieselben Probleme melden, ohne dass sich etwas verändert, sinkt die Bereitschaft zur Teilnahme.

⸻

25. Was CIRS nicht leisten kann

CIRS kann nicht:

  • alle Fehler erfassen,
  • die tatsächliche Fehlerhäufigkeit zuverlässig messen,
  • Straf- und Haftungsfragen abschließend klären,
  • eine professionelle Untersuchung ersetzen,
  • strukturellen Personalmangel beheben,
  • schlechte Führung kompensieren,
  • psychologische Sicherheit allein erzeugen,
  • eine fehlende Sicherheitskultur durch Software ersetzen.

Ein Meldeformular verändert keine Organisation.

Menschen verändern eine Organisation, indem sie Meldungen ernst nehmen, Ursachen analysieren und wirksame Maßnahmen umsetzen.

⸻

26. CIRS und Führung

Führung entscheidet maßgeblich darüber, ob ein CIRS lebt oder scheitert.

Mitarbeitende beobachten sehr genau:

  • Wie reagieren Vorgesetzte auf Fehler?
  • Wird nach Ursachen oder Schuldigen gesucht?
  • Werden Meldende geschützt?
  • Werden erkannte Probleme bearbeitet?
  • Werden unangenehme Hinweise ernst genommen?
  • Darf man einer Führungskraft widersprechen?
  • Werden eigene Führungsfehler ebenfalls reflektiert?
  • Wird über Veränderungen transparent informiert?

Eine Führungskraft kann offiziell sagen:

„Bitte meldet alle Fehler.“

Wenn dieselbe Führungskraft aber bei einer Meldung wütend wird, nach Namen sucht oder Kritik persönlich nimmt, ist die wirkliche Botschaft:

„Meldet nur, was für mich ungefährlich ist.“

Sicherheitskultur entsteht nicht durch Leitbilder.

Sie entsteht durch wiederholte Erfahrungen.

⸻

27. CIRS und psychologische Sicherheit

Psychologische Sicherheit beschreibt die gemeinsame Überzeugung eines Teams, dass zwischenmenschliche Risiken eingegangen werden können.

Dazu gehört:

  • Fragen stellen,
  • Unsicherheit zeigen,
  • Fehler eingestehen,
  • widersprechen,
  • Bedenken äußern,
  • Hilfe anfordern.

Ohne psychologische Sicherheit bleibt CIRS leer oder oberflächlich.

Gerade hier zeigt sich ein scheinbarer Widerspruch:

Eine Organisation benötigt die mutigsten und ehrlichsten Meldungen gerade über jene Situationen, über die Menschen am meisten Angst haben zu sprechen.

Deshalb ist die Qualität eines CIRS zugleich ein Spiegel der Führungskultur.

Lies auch unter: Psychologische Sicherheit – Der unsichtbare Schlüssel erfolgreicher Kommunikation und Zusammenarbeit

⸻

28. CIRS und Gruppendenken

Gruppendenken entsteht, wenn Einigkeit wichtiger wird als kritische Prüfung.

In einem solchen Team werden Warnzeichen relativiert:

  • „Das machen wir immer so.“
  • „Bisher ist noch nie etwas passiert.“
  • „Stell dich nicht so an.“
  • „Dafür haben wir keine Zeit.“
  • „Du bist noch neu.“
  • „Das ist bei uns kein Problem.“

Ein CIRS kann Gruppendenken unterbrechen, indem es Beobachtungen dokumentierbar macht.

Das funktioniert aber nur, wenn abweichende Stimmen nicht als Illoyalität behandelt werden.

Eine gute Sicherheitskultur versteht Widerspruch als Beitrag zur gemeinsamen Verantwortung.

Lies auch unter: Kohärenz – der unsichtbare Faden zwischen Kommunikation, Sinn und Gruppendynamik

⸻

29. CIRS und Multiversität

Multiversität bedeutet nicht nur, dass unterschiedliche Menschen in einer Organisation anwesend sind.

Sie bedeutet, dass unterschiedliche Perspektiven tatsächlich wirksam werden dürfen.

Für die Patientensicherheit ist das entscheidend.

Eine Pflegefachperson erkennt andere Risiken als ein Arzt.

Eine Apothekerin erkennt andere Risiken als die Pflege.

Eine neu eingetretene Person sieht Unklarheiten, die für langjährige Mitarbeitende bereits normal geworden sind.

Eine Mitarbeiterin mit anderer sprachlicher oder kultureller Erfahrung bemerkt möglicherweise Missverständnisse, die andere übersehen.

Ein CIRS wird stärker, wenn unterschiedliche Berufsgruppen, Erfahrungsstufen und Perspektiven in die Analyse einbezogen werden.

Nicht die Hierarchie entscheidet, welche Beobachtung wichtig ist.

Die Bedeutung des Risikos entscheidet.

Lies auch unter:
– Multiversität
– Diversität oder Multiversität?
– Von der Diversität zur Multiversität

⸻

30. Die zentrale ethische Frage

CIRS berührt ein ethisches Spannungsfeld.

Einerseits haben Patientinnen und Patienten Anspruch auf:

  • Sicherheit,
  • Transparenz,
  • sorgfältige Behandlung,
  • Aufklärung,
  • rechtliche Klärung bei Schäden.

Andererseits benötigt das Gesundheitswesen einen geschützten Raum, in dem Fachpersonen offen über Fehler und Risiken sprechen können.

Ein System, das alles bestraft, erzeugt Schweigen.

Ein System, das nichts verantwortet, erzeugt Beliebigkeit.

Die ethisch tragfähige Position liegt zwischen diesen Extremen:

Ehrliche Fehler müssen offengelegt und zum Lernen genutzt werden können. Bewusste Gefährdung, Vertuschung und grobe Pflichtverletzungen dürfen jedoch nicht durch den Begriff Fehlerkultur entschuldigt werden.

Lies auch: Ethik und Moral in der Pflege

⸻

Schlussgedanken

CIRS entstand aus der Erkenntnis, dass Sicherheit nicht allein durch Vorschriften, Fachwissen und individuelle Sorgfalt entsteht.

Sicherheit entsteht durch Systeme, die menschliche Fehlbarkeit berücksichtigen.

Die entscheidende Leistung eines CIRS besteht nicht darin, Fehler zu zählen.

Sie besteht darin, aus einem beinahe eingetretenen Schaden eine Veränderung abzuleiten, bevor ein Mensch tatsächlich verletzt wird.

Doch CIRS funktioniert nur unter bestimmten Bedingungen:

  • Mitarbeitende müssen vertrauen können.
  • Meldungen müssen vertraulich behandelt werden.
  • Führung muss Kritik aushalten.
  • Analysen müssen systemisch erfolgen.
  • Maßnahmen müssen sichtbar umgesetzt werden.
  • Lernen und Sanktion müssen klar voneinander getrennt werden.
  • Gleichzeitig darf schwerwiegendes Fehlverhalten nicht pauschal von Verantwortung befreit werden.

In der Schweiz besteht dabei eine rechtliche Unsicherheit: CIRS-Meldungen genießen keinen absoluten Schutz vor dem Zugriff von Strafverfolgungsbehörden. Eine anonyme Meldung ist daher nicht automatisch gleichbedeutend mit rechtlicher Immunität.

Gerade deshalb braucht es eine sorgfältige Just Culture.

Nicht die Frage:

„Wie finden wir einen Schuldigen?“

Aber auch nicht die Haltung:

„Niemand ist verantwortlich.“

Sondern die differenzierte Frage:

„Was ist geschehen, welche Bedingungen haben es ermöglicht, wie tragen Menschen und Organisation Verantwortung – und was müssen wir verändern, damit es nicht erneut geschieht?“

Denn eine Sicherheitskultur zeigt sich nicht daran, dass eine Organisation behauptet, wenige Fehler zu haben.

Sie zeigt sich daran, wie ehrlich sie mit den Fehlern umgeht, die Menschen ihr anvertrauen.

⸻

„Wo Fehler nur Schuld bedeuten, lernen Menschen zu schweigen. Wo Fehler nur entschuldigt werden, verliert Verantwortung ihre Bedeutung. Sicherheit entsteht dort, wo Offenheit und Verantwortung einander nicht ausschließen.“
-Christoph J. Zingg

Beitrag von Christoph J. Zingg


Lies auch unter:

Kommentar verfassen

This site uses Akismet to reduce spam. Learn how your comment data is processed.