Quantitative Risikoanalyse und -bewertung technischer Systeme am Beispiel eines medizinischen Gerätes

Forschung am IVW Köln, 10/2012 Institut für Versicherungswesen Quantitative Risikoanalyse und -bewertung technischer Systeme am Beispiel eines medizinischen Gerätes Alexander Klatt, Magda Schiegl Zusammenfassung In diesem Artikel wird die Entwicklung einer neuen Methode zur Risikobewertung von komplexen, technischen Systemen (z.B. Maschinen, Prozessen) dokumentiert. Wir demonstrieren die Anwendung unserer Methode anhand eines Beispiels der Medizintechnik. Ziel ist die quantitative Bewertung von Risiken, die über die Ermittlung der Eintrittswahrscheinlichkeit und des Schadenerwartungswertes hinaus geht. Besonders relevant ist die Berechnung kostenintensiver Großschäden. Dazu kombinieren wir Methoden der klassischen ingenieurwissenschaftlichen Risikoanalyse mit Methoden der Aktuarwissenschaften. Daraus erhalten wir eine neue Methode des quantitativen Risikomanagements zur Berechnung von Gesamtschadenverteilungen komplexer technischer Systeme. Auf diese Weise werden alle modernen Risikomaße (z.B. VaR, Expected Shortfall) zugänglich. Wir demonstrieren die einzelnen Schritte anhand eines konkreten Beispiels aus der Praxis, einem zahnärztlichen Behandlungsstuhl. Abstract We develop a new method for risk evaluation of complex technical systems (for instance technical devices, processes) and apply it to an example of medical technology. We aim the evaluation of risks, exceeding the determination of claim probability and expectation. The calculation of high-cost claims is of especial relevance in that context. Therefore we combine methods of the classical engineering risk analysis with methods of the actuarial sciences. This results in a new method for quantitative risk management to generate the total claim distribution of complex technical systems. In this way all modern risk measures as for instance VaR or expected shortfall are accessible. We demonstrate our new method in application to a practical example: The dentist’s chair. 2 Zur Wahrscheinlichkeit gehört auch, dass das Unwahrscheinliche eintreten kann Aristoteles (384-322 v. Chr.) griechischer Philosoph 3 Inhaltsverzeichnis Einleitung ...................................................................................................................... 4 1 Die Risikoanalyse ............................................................................................. 6 2 Die Fehlerbaumanalyse als Instrument ....................................................... 15 3 Abschätzung und Visualisierung der Risiken .............................................. 19 4 Auswertung des Fehlerbaums ....................................................................... 23 5 Quantitatives Risikomanagement: Simulation der Gesamtschadenverteilung. Literaturverzeichnis ................................................................................................... 32 4 Einleitung Technische Systeme und Prozesse sind häufig sehr komplex und fehleranfällig. Dafür gibt es die verschiedensten Ursachen: Materialverschleiß und das damit verbundene Auftreten von Haarrissen (z. B. Flugzeugturbine), Bedienungsfehler und Überlastung von Geräten (z.B. Kopierer), Fehlerhafte Produktentwicklung (z.B. Maschinenbau oder Pharmaindustrie), menschliches Fehlverhalten (z.B. Schiffskatastrophen, Autounfälle), das Versagen vom Zusammenwirken in komplexen Systemen (z.B. Stromausfall). Das sind nur einige wenige Beispiele. Fehler und Ausfälle von technischen Systemen bergen Risiken in sich, die das Leben und die Gesundheit von Menschen bedrohen und oder zu erheblichen wirtschaftlichen Schäden führen können. Diese Probleme und Fehlfunktionen technischer Systeme müssen rational analysiert werden: Ursache – Wirkungszusammenhänge müssen geklärt, Eintrittswahrscheinlichkeiten von Schadenereignissen abgeschätzt und Risiken bewertet werden – auch die monetären Auswirkungen. Im Bereich der Ingenieurwissenschaften gibt es dafür Methoden der technischen Risikoanalyse, z.B. die Fehlerbaumanalyse (FTA) oder die Ereignisbaumanalyse (ETA) – um nur einige zu nennen. Diese Methoden sind darauf ausgelegt, möglichst alle Fehlermöglichkeiten in einem technischen System oder Prozess aufzudecken, um anschließend technische Verbesserungen vorzunehmen und so das Risiko auszuschließen oder zu minimieren. Sie dienen der Aufdeckung des Gesamtschadenpotenzials und stellen z. T. auch quantitative Ergebnisse breit. So können z. B. Schadenereignissen Wahrscheinlichkeiten zugeordnet werden. Bei allen technischen Systemen gibt es jedoch sehr häufig Restrisiken, die hingenommen und / oder finanziell abgesichert werden. Hier beginnt der Aufgabenbereich der Versicherungsmathematik und des quantitativen Risikomanagements. Zur finanziellen Absicherung von Risiken muss die faire Prämie berechnet werden. Diese dient zur Finanzierung der Aufwände für die Schäden, die aus einem sehr großen Portfolio von gleichartigen Risiken entstehen. Ein großes Portfolio hat den Vorteil, dass zufallsbedingte Schwankungen klein sind. Weil das Portfolio aber nicht unendlich groß ist, wird es immer Schwankungen geben, d.h. der Schadenbedarf ist zu einem gewissen Grad vom Zufall abhängig. Deshalb muss dem Kollektiv der Risiken ein Risikokapital zugeordnet werden, das für den Fall zur Verfügung steht, dass höhere Schadenaufwände als im Mittel erwartet, zu begleichen sind. Neben den eigentlichen Schadenaufwänden ist deshalb auch das benötigte Risikokapital zu bedienen (Risikozins auf das Kapital). Die Wertschöpfung eines Versicherungsunternehmens besteht darin, Einzelrisiken zu einem solchen, „sehr großen Portfolio“ zusammenzuführen und so die Schwankungen und damit das benötigte Risikokapital im Verhältnis zu den mittleren Schadenaufwänden möglichst gering zu halten. Zur Berechnung der fairen Prämie wird die Verteilung der Schadenaufwände, die sog. Schadenhöhenverteilung benötigt. Gerade bei technischen Risiken fällt es der Versicherungsmathematik oft sehr schwer, die Schadenhöhenverteilung zu ermitteln, weil die zugrunde liegenden Portfolios nicht homogen genug sind, um statistische Methoden einzusetzen. D.h. die einzelnen technischen Risiken sind so unterschiedlich, dass man nicht ausreichend gleichartige Risiken hat, um mit statistischen Methoden die Schadenhöhenverteilung für die Risiken ableiten zu können. An dieser Stelle schlägt die vorliegende Arbeit eine Lösungsmöglichkeit vor: Die oben genannten klassischen, ingenieurwissenschaftlichen Methoden der technischen Risikoanalyse können als Grundlage für die Berechnung der Schadenhöhenverteilung dienen. Über diese Methode sind für jedes technische System alle möglichen Schadenereignisse identifizierbar und deren Eintrittswahrscheinlichkeit quantifizierbar. Die einzelnen, nach Anwendung der technischen Risikoanalyse genau spezifizierten Schadenereignisse, ziehen Schadenaufwände nach sich, die mit Methoden der Versicherungsmathematik in Form von Einzelschadenhöhen- 5 verteilungen bewertet werden können. Diese Schadenaufwände sind z.B. Behandlungskosten oder Entschädigungen für verletzte Menschen, Kosten für beschädigte Sachen oder Kosten, die durch den Ausfall der technischen Systeme entstehen. Mit Hilfe von Methoden der quantitativen Risikobewertung kann daran anschließend die Schadenhöhenverteilung des technischen Gesamtsystems berechnet werden. Auf diese Weise wird die Bestimmung der fairen Prämie möglich. Mehr noch, die klassischen Fragen des Risikomanagements, wie etwa die Berechnung von Risikomaßen (z.B. VaR, Expected Shortfall,…) sowie die Frage nach der Höhe des benötigten Risikokapitals werden beantwortet. Zu diesem Zweck kombinieren wir also ingenieurwissenschaftliche Methoden der technischen Risikoanalyse mit Methoden der Versicherungsmathematik und der quantitativen Risikotheorie. Wir veranschaulichen die oben beschriebene Kombination der Methoden anhand eines konkreten Beispiels: Die Schäden einer Zahnarztpraxis aufgrund des Ausfalls des (technischen Systems) Zahnarztbehandlungsstuhls. In einem ersten Schritt wird eine quantitative Fehlerbaumanalyse durchgeführt. Nach der Ermittlung der Schadenhöhenverteilung für die einzelnen Fehlerursachen wird mit Hilfe der Monte Carlo Simulationsmethode die Verteilung des Gesamtschadens für den Zahnarztstuhl ermittelt. Die Arbeit ist in folgender Weise strukturiert: Nach der Einführung in die Grundlagen der Risikoanalyse werden einige Beispiele der technischen Risikoanalyse vorgestellt. Dies sind klassische, ingenieurwissenschaftliche Methoden zur Auffindung von Fehlern oder Problemen in komplexen technischen Apparaten, Maschinen oder Prozessen. In Kap. 2 spezialisieren wir uns auf die Fehlerbaumanalyse (FTA), eine der Methoden der technischen Risikoanalyse. Damit untersuchen wir einen Zahnarztbehandlungsstuhl hinsichtlich seiner Schadenursachen. Das Ergebnis wird grafisch anhand eines Fehlerbaumes dargestellt. In Kap. 3 und 4 beschäftigen wir uns mit der Überführung der qualitativen FTA in eine quantitative Methode auf der Grundlage der erarbeiteten Baumstruktur. Hier schätzen wir die Eintrittswahrscheinlichkeiten der einzelnen Baumstrukturen und die mittleren Schadenaufwände. Wir stellen praxistaugliche Methoden dafür vor. In Kap. 5 beschreiben wir, wie man die auf diese Weist aufbereitete FTA zu einer Methode des quantitativen Risikomanagements erweitern kann: Wir führen ein Monte Carlo Simulationsverfahren ein, mit dessen Hilfe man die Gesamtschadenverteilung des analysierten Objektes, in unserem Fall des zahnärztlichen Behandlungsstuhls, berechnen kann. Wir bedanken uns bei Herrn Dipl.-Betriebswirt (FH), M.A. Jens Otto sowie dem Sachverständigen-Büro Dr. Franz und Partner GmbH, Bergisch Gladbach für die sehr gute Unterstützung von Herrn Alexander Klatt während seiner Bachelorarbeit. 6 1. Die Risikoanalyse Definitionen Die Risikoanalyse Systematische Auswertung verfügbarer Informationen, um die Gefährdung zu identifizieren und Risiken einzuschätzen. Das Risiko Das Risiko ist das Eintreten eines Ereignisses mit negativem Ausgang, mit dem Nachteile, Verluste oder Schäden verbunden sind. Allgemein stellt sich das Risiko als eine Kombination aus der Eintrittswahrscheinlichkeit eines Ereignisses und des zugehörigen Schadenausmaßes dar. Erwatungswert Risiko = Eintrittswahrscheinlichkeit x Schadenausmaß Dies ist der erwartete Wert für die Kosten des eingetretenen Schadens. Es gibt keine einheitliche Definition des Begriffes „Risiko“. Das Risiko muss stets so definiert werden, dass es den individuellen Gegebenheiten, Erfordernissen und Zielen des zu analysierenden und zu bewertenden Sachverhaltes angepasst ist. Wicht ist, dass ein „Sollwert“ oder ein Ziel definiert ist, um Abweichungen davon messen oder feststellen zu können. Neben dem Erwartungswert des Risikos ist auch die Verteilung der anfallenden Gesamtschäden, die das Risiko darstellen, interessant. Besonders wichtige Fragen in diesem Zusammenhang sind z. B.: Wie groß sind mögliche Abweichungen vom Erwartungswert? Wie groß ist die Wahrscheinlichkeit, dass der Schaden einen vorgegebenen Schwellenwert überschreitet? Wie groß ist der erwartete Schaden, falls dieser Schwellenwert im „Krisenfall“ doch überschritten wird? Um diese Fragen beantworten zu können, benötigt man die Verteilung der Schäden. Es ist also keineswegs ausreichend, Risiken ausschließlich über ihren Erwartungswert zu quantifizieren. Es gibt sog. Risikomaße, die neben dem Erwartungswert zur Quantifizierung von Risiken besser geeignet und oft sogar vorgeschrieben sind. Risikomaße, die zu den o.g. Fragen gehören bzw. die Fragen beantworten, sind (in dieser Reihenfolge): Die Standardabeichung, der Value at Risk (VaR) und der Expected Shortfall. Der Schaden Der Schaden ist ein Ereignis, bei dem das eigene Vermögen und/oder die eigenen Güter negativ tangiert werden und folglich einen Nachteil erleiden. Durch Gegenüberstellung von Soll und Ist lässt sich ein Schaden darstellen. Die Voraussetzung dafür ist, dass sich ein schädigendes Ereignis verwirklicht haben muss. In der Versicherungstechnik spricht man von einem Schaden, wenn die Substanz einer Sache so beeinträchtigt wird, dass der Wert oder die Brauchbarkeit gemindert wird. 1 Das Schadenausmaß 1 Vgl. Martin, Sachversicherungsrecht, 1992, B III 4, 6 7 Das Schadenausmaß beschreibt die Größe eines Schadens in Bezug auf seine Ausdehnung, den Grad der Zerstörung und die damit verbundenen Folgen für Mensch und Umwelt. 2 Allgemeines zur Risikoanalyse Die Risikoanalyse steht als grundlegender Baustein weit am Anfang es des Risikomanagementprozesses (vgl. Abbildung 1). Der Risikoidentifikation nachfolgend übernimmt sie die Aufgabe, Risiken und Chancen zu untersuchen, um diese im Kontext beurteilen und bewerten zu können. Dabei durchleuchtet die Risikoanalyse die Gesamtheit aller Schaden – Szenarien im Hinblick auf Eintrittswahrscheinlichkeit und Schadenausmaß. Basierend auf den qualitativen oder quantitativen Aussagen der Risikoanalyse werden Maßnahmen zur Bewältigung bzw. Steuerung der Szenarien getroffen. Ansätze der Risikoanalyse Zur systematischen und vollständigen Analyse eines Szenarios bieten sich dem Risikomanagement zwei verschiedene Ansätze. Ausschlaggebend für die Wahl des geeigneten Ansatzes ist die Ausgangssituation. Wichtig hierbei ist, dass zugrunde gelegt wird, welches Maß an Daten und Informationen zur Verfügung steht. Zusätzlich kommt der Betrachtungszeitraum des Szenarios infrage. Dies bedeutet, findet die Analyse prospektiv oder retrospektiv statt. Dabei können sich folgende Fragen ergeben: „Suche ich den Auslöser für mein Problem?“, oder „Was kann mein Problem auslösen?“ Je nachdem, welche der Fragen zu beantworten ist, eröffnet sich die Möglichkeit des deduktiven oder induktiven Ansatzes 3 . 2 http://www.enzyklo.de/Begriff/Schadenausmass 3 Vgl. Romeike, Risikomanagement in Versicherungsunternehmen, 2005, S76 8 Induktive Analyse: Diese Form der Analyse kennt die Ursache bereits und fächert einen Raum (prospektiv) auf, in dem die möglichen Konsequenzen dargestellt werden. Diese Form der Analyse wird auch „bottom-up“-Ansatz genannt. Durch die ausführliche Analyse aller Prozesse und Zusammenhänge ist diese Methode äußerst intensiv, durchleuchtet dafür aber sämtliche Bereiche, was wiederum die Qualität der Aussage steigern kann. Beispielhaft für eine induktive Analyse ist die FMEA (Fehler-, Möglichkeitsund Einfluss-Analyse) UrsacheWirkungs-Diagramm, auch Ishikawa-Diagramm genannt. Deduktive Analyse: Die deduktive Analyse wird auch als retrospektive Analyse betrachtet. Sie nimmt ein Schlussereignis an und hinterfragt, welche Ereignisse ausschlaggebend für den Eintritt des Schlussereignisses sind. Bei dieser Form der Analyse spricht man auch vom „topdown“-Ansatz. Dieser Ansatz bildet eine schnellere Methode der Ursachenermittlung, kann aber dazu führen, dass nicht alle Risiken bzw. Korrelationen zwischen den Ereignissen erkannt werden. Ein oft genutztes Werkzeug dieser Analyse ist die Fehlerbaumanalyse (FTA, Fault Tree Analysis). Arten der Risikoanalyse Mit der Wahl der Analyse gehen verschiedene Risikobewertungsmethoden einher. Hierbei sollte im Vordergrund stehen, welche Ziele und Absichten mit der Risikoanalyse verfolgt werden sollen. Jede Analyseart liefert Ergebnisse, die, je nach Konstellation des Ausgangsdatenmaterials, einen Wert besitzen, dessen Dimension sich entweder verbal oder nummerisch darstellt. Die Arten der Risikoanalyse unterteilen sich dabei wie folgt 4,5 : 1. Die quantitative Methode strebt an, möglichst genaue Werte auf Basis sämtlicher Größen und Variablen zu errechnen. Hinzu kommt, dass alle Risiken so objektiv wie möglich abgeschätzt werden müssen. Für eine angemessene quantitative Aussage der Messergebnisse ist es erforderlich, dass das zur Auswertung herangezogene Datenmaterial auf seine Zuverlässigkeit geprüft wird. Die Berechnung der Daten erfolgt mittels statistischer Modelle. Der Vorteil der quantitativen Methode liegt in der Präsentation gut messbarer Ergebnisse. Dies bringt wiederum den Nachteil mit sich, dass die Berechnung sehr aufwendig und meist mit Kosten (durch Berechnungssoftware oder – agenturen) verbunden ist. 2. Die qualitative Methode wendet sich der Menge der Daten ab und beruht primär auf dem Wissen von Experten und Meinungsträgern. Im Gegensatz zur quantitativen Methode sind die Berechnungen einfacher und müssen zudem nicht absolut abgeschätzt werden. Allerdings wird hierbei ein hohes Maß an Fachwissen benötigt. Die Abschätzungen erfolgen meistens auf mehrstufigen Skalen wie beispielsweise unwahrscheinlich bis sehr häufig. 3. Das Bindeglied der beiden bereits genannten Methoden bildet die semi-quantitative Methode. Hierbei werden Klassen für die Schadenhöhe und die Eintrittswahrschein4 Vgl. Gietl/Lobinger, Risikomanagement für Geschäftsprozesse, 2005, S.59 5 Vgl. Gunkel, Effiziente Gestaltung des Risikomanagements in Deutschen Nicht-Finanzunternehmen, 2010, S. 68 15 2. Die Fehlerbaumanalyse als Instrument Wie unter 1.2.3 beschrieben ist die Fehlerbaumanalyse ein Verfahren, dass die Wahrscheinlichkeit eines systematischen Ausfalls bestimmt. Das System wird für einen angenommenen Versagensfall logisch unterteilt, und die Ereignisse, die den Fehler verursachen könnten, werden ausgewertet. Es handelt sich dabei um eine Systemanalyse nach DIN 25424, welche zur Analyse aller Systeme geeignet ist. Im Folgenden wird eine technische Risikoanalyse an einem zahnärztlichen Behandlungsstuhl (= ZBS oder Behandlungsstuhl genannt) durchgeführt. Als Instrument dient die Fehlerbaumanalyse. Hintergrund der Betrachtung ist nicht der technische Zusammenhang oder das Versagen der Komponenten des Systems. Gegenstand der Untersuchung ist vielmehr der mögliche drohende Nutzungsausfall des Behandlungsstuhls aufgrund verschiedener Schadenszenarien, die sich in seiner Sphäre ereignen können. Symbole des Fehlerbaums Ein Fehlerbaum ist eine grafische Darstellung der logischen Zusammenhänge zwischen den Fehlern und den daraus resultierenden Ereignissen. Die Verknüpfungen der Ereignisse werden unter Anwendung der Booleschen Algebra dargestellt 11 . Dabei werden die Verknüpfungen (auch Gates genannt) mittels den Operatoren UND (symbolisch „&“) und ODER (symbolisch „≥1“) beschrieben. Unter der Voraussetzung, dass die zu identifizierenden Zustände „beeinträchtigt“ und „funktionsfähig“ ermittelt und beschrieben werden können, lässt sich ein System hinreichend untersuchen. Beschrieben wird der Zustand eines Systems durch die Boolesche Systemfunktion 12 : Dabei nimmt φ(X 1 ,…,X n ) die Werte 0 und 1 an, wobei der Wert 0 als „falsch“ und der Wert 1 als „wahr“ beschrieben wird. Demzufolge nimmt die variable X i entweder den Wert 0 oder 1 ein. Mit der Festlegung des zu identifizierenden Systems wird ein Hauptereignis festgelegt, welches als Top-Event die Spitze des Fehlerbaums bildet 13 . Ausgehend von dem Top-Event werden die Ursachen für den Ausfall ermittelt. Das Boolesche Modell benutzt ein UND, wenn das Ereignis durch eine Fehlfunktion ausgelöst wird, das nur im Zusammenhang mit einer weiteren Fehlfunktion auftritt. Eine ODERVerknüpfung setzt wiederum nur das Eintreten eines einzelnen Fehlverhaltens voraus. Mithilfe der logischen Verknüpfungen wird ein Baum von oben nach unten konstruiert (vgl. Abbildung 4). Dabei werden sämtliche Bedingungen für die Verknüpfungen überprüft. Sind die Bedingungen bis auf ihren Ursprung heruntergebrochen, bilden diese die Basisereignisse. 11 Vgl. Ziegenbein, Supply Chain Risiken, 2007, S.57 12 Vgl. http://www.isar.tum.de/tum/t03 13 Vgl. Königs, IT-Risiko-Management mit System, 2009, S.216 16 Wichtig dabei ist, dass die Basisereignisse nicht mehr voneinander abhängig oder gleichen Ursprungs sind. Zur grafischen Darstellung des Fehlerbaums sind nach internationalem Standard (DIN IEC 1025) normierte Symbole vorgeschrieben: Symbole der Ereignisse Der Kreis steht als Symbol für das Basisereignis (Basic Event). Er bildet die kleinste Ursacheneinheit und wird nicht weiter aufgegliedert. Als Kreis dargestellte Ereignisse werden auch Primärereignisse genannt. Die Raute stellt ein Ereignis dar, das kein Basisereignis ist, da nähere Details entweder nicht bekannt sind oder eine weitere Auffächerung dieses Ereignisses nicht notwendig oder angebracht ist. Ereignisse mit dem Symbol der Raute werden auch Sekundärereignisse genannt. Das Rechteck wird dazu genutzt, um das Hauptereignis darzustellen. Darüber hinaus werden mit dem Rechteck auch alle Zwischenergebnisse (Intermediate Event) dargestellt. Symbole der Verknüpfungen UND-Verknüpfung ODER-Verknüpfung Darüber hinaus gibt es noch weitere Boolesche Operatoren, wie beispielsweise NAND, NOR, XOR. ≥1 17 Anwendung auf den Zahnarztbehandlungsstuhl Die Fehlerbaumanalyse untersucht alle möglichen Schadenereignisse im Zusammenhang mit einem ZBS. Dazu bedarf es des Fachwissens von Experten der Schadenregulierung sowie des der technischen Experten, damit der Fehlerbaum sinngemäß aufgespannt werden kann. Unter Zuhilfenahme der Wissenssammlung und unter Berücksichtigung der kausalen Zusammenhänge zwischen Ereignissen und Ursachen entsteht, wie unter 2.3 dargestellt, der Fehlerbaum am Beispiel des Zahnarztbehandlungsstuhls. Das Hauptereignis, welches das unerwünschte Szenario darstellt, bildet der Ausfall des Behandlungsstuhls. Ausgehend davon werden zwei Ereignisräume aufgespannt, die sich um den Behandlungsstuhl aufbauen. Dies sind zum Einen externe und zum Anderen interne Ereignisse. Auf Basis dieser Entscheidungswege und unter Beachtung der Kausalität wird der ZBS folglich auf schädigende Einflüsse hin untersucht und aufgefächert. Die letztendlich ermittelten Basisereignisse sind als Kreis oder als Raute dargestellt. Dabei werden die Ereignisse nicht danach unterteilt, ob sie beispielsweise der Natur eines Haftpflicht oder Sachschadens entsprechen. Lediglich die Analyse schädigender Ereignisse steht im Vordergrund. Soweit die Basisereignisse nicht weiter aufzugliedern waren, sind diese als Kreis dargestellt. Die Ereignisse, die weiter aufzugliedern wären, die aber für die Thematik dieser Arbeit entbehrlich sind, wurden als Raute dargestellt. Grafische Darstellung Unter Berücksichtigung der unter 2.1 beschrieben Symbole sowie des unter 2.2 beschriebenen Fachwissens der befragten Experten wurde ein Fehlerbaum bezüglich der Thematik dieser Arbeit konstruiert. Eine ausführliche Zeichnung des Fehlerbaums ist in Abb. 10 dargestellt. Ein grober Überblick über den Baum kann Abb. 7 entnommen werden. 18 19 3. Abschätzung und Visualisierung der Risiken Risikoabschätzung Anhand der gewonnenen Erkenntnisse aus der Konstruktion des Fehlerbaums können nun Bewertungen vorgenommen werden. Eine erste Beurteilung der Szenarien ist möglich, wenn den einzelnen Ereignissen, aufgrund von Erfahrungswerten oder subjektiven Schätzungen, Eintrittswahrscheinlichkeiten und Schadenausmaße zugeordnet werden 14 . Dabei bilden sich so genannte Risikokombinationen. Die Darstellung der Risikokombinationen findet anschließend in einer Risikomatrix statt. Das Ziel ist es, die Dringlichkeit der Ursachen herauszustellen. Es lassen sich somit erste Ausmaße bezüglich verschiedener Schadenszenarien erahnen. Die in dem Fehlerbaum dargestellten Basisereignisse sind ihrer Positionierung entsprechend von links nach rechts durchnummeriert. Dies hat den Hintergrund, dass bei Darstellungen in verschiedenen Tabellen gewährleistet werden kann, dass die genannten Basisereignisse unter der gleichen Position wiederzufinden sind. Die Nummerierung hat keinen Einfluss auf die Schwere des Basisereignisses. Festlegung der Eintrittswahrscheinlichkeiten Die Eintrittswahrscheinlichkeit der Basisereignisse hängt von ihren spezifischen Eigenschaften ab. Hierbei wird die Bewertung der Eintrittswahrscheinlichkeit qualitativ vorgenommen, da zum Zeitpunkt der Risikoanalyse nicht genügend Datenmaterial zur Verfügung lag. Maßgebend für die Einteilung der Klassen sind Daten auf Grundlage des Wissens der befragten Experten. Zur Kategorisierung werden Klassen gewählt, die eine verbale Aussage, pro klassenspezifischem Grad, treffen. Dabei bildeten die Grenzen der Klassen das jeweilige höchste bzw. niedrigste Eintreffen des Ereignisses. Auf Basis der Expertenmeinungen und der Aufteilung in insgesamt fünf Klassen ergibt sich folgende Kategorisierung für die Wahrscheinlichkeiten des Auftritts eines Ereignisses: Wahrscheinlichkeit des Auftritts • A unmöglich • B unwahrscheinlich • C selten • D wahrscheinlich • E sehr wahrscheinlich Festlegung des Schadenausmaßes Die Abschätzung des Schadenausmaßes erfolgt auf Grundlage des Eintritts eines Schadenszenarios. Dies bedeutet, dass das Ereignis eingetreten sein muss, damit ein Schadenausmaß erkennbar wird. Die Grundlage der Daten und Informationen zu den Schadenausmaßen bildet das fundierte Fachwissen der befragten Experten 15 . Die Schwere der Schadenausmaße wird 14 Vgl. Middendorf, Klinisches Risikomanagement, 2005, S.115 15 Hierbei ist anzumerken, dass bei der Bewertung der Schadenausmaße primär Erfahrungswerte, auf Basis langjähriger Erfahrungen zugrunde lagen. 20 auch hierbei in fünf Klassen eingeteilt und verbal deklariert. Die Klassenbreiten geben jeweils den Grad des Schadenausmaßes, in Hinblick auf einen drohenden Unterbrechungsschaden und dessen Kosten, an. Maßgebend für die Einteilung der Klassen ist der prozentuale Anteil des schadenbedingten Ausfalls am Totalschaden bzw. Totalausfall. Die Klassenbreiten ergeben sich dementsprechend wie folgt: Abschätzung der Ausmaße • I geringfügiger Ausfall (<5% von Totalschaden = TS) • II mittelfristiger Ausfall (5 - 25% von TS) • III längerfristiger Ausfall (25 - 55% von TS) • IV erheblicher Ausfall (55 – 80% von TS) • V ernsthafter Ausfall (>80% bis TS) Unter Betrachtung der möglichen Schadenausmaße und Eintrittswahrscheinlichkeiten werden die Basisereignisse der Fehlerbaumanalyse zusammengetragen und tabellarisch erfasst. Die Ergebnisse können der Tabelle 1 entnommen werden. Visualisierung der Risiken Nach Ermittlung und Zusammenfassung der Eintrittswahrscheinlichkeiten und Schadenausmaße der Risiken werden diese abschließend verglichen und mithilfe einer Risikomatrix dargestellt. Die Darstellung des einzelnen Risikos erfolgt als Punkt, sich ergebend aus dem Produkt der Eintrittswahrscheinlichkeit und dem Schadenausmaß. Hierzu ist anzumerken, dass 21 die Darstellung in der Risikomatrix nicht dem exakten Erwartungswert entspricht. Dies ist auch nicht der Sinn der Risikomatrix. Der Vorteil der Risikomatrix liegt primär darin, dass sich bereits ein erstes Bild bezüglich der Verteilung möglicher Schadenszenarien darstellen lässt. In der Regel findet die Darstellung der Dramatik bzw. Wichtigkeit der Szenarien mithilfe von Signalfarben statt. Oftmals werden dazu die Farben einer Ampel (grün, gelb, rot) genutzt. Ein weiterer Vorteil in der Darstellung durch die Risikomatrix ist der, dass Änderungen der Parameter der Wahrscheinlichkeiten oder Schadenausmaße jederzeit vorgenommen werden können. Gründe dafür könnten beispielsweise erweiterte Brandschutzmaßnahmen oder eine Änderung der räumlichen Umgebung sein. Zur Berechnung der Koordinatenpunkte ist es notwendig, die verbalen Werte pro Klasse in numerische Werte umzuwandeln. Dies vereinfacht die Multiplikation der Klassen pro Ereignis. Anhand der Klassen aus Wahrscheinlichkeit und Schadenausmaß ergibt sich für die Darstellung die Form einer 5-Felder-Matrix. Damit die Klassen miteinander multipliziert werden können, wurden ihnen ganzzahlige Werte von 1 bis 5 (vgl. Abbildung 9 und 10), aufsteigend der Schwere nach, zugeteilt. Zur Vermeidung von Überschneidungen in der Darstellung der Punkte, wurde bei der Multiplikation der Werte eine Logik unter der Anwendung der Werte - 1, 0 und 1 angewendet. Als Grundlage zur Berechnung ergeben sich die in Tabellen 2 und 3 dargestellten Einteilungen. Zur Repräsentation der Schwere der Schadenausmaße werden der Risikomatrix Grenzbereiche zugeteilt 16 . Diese Grenzbereiche werden durch aussagekräftige Farben signalisiert und sollen bei der Wahl des geeigneten Ansatzes zur Risikobewältigung helfen. Am Beispiel des Behandlungsstuhls wird die Schwere der Ereignisse in einer Matrix dargestellt, die die Oberfläche einer Heat-Map besitzt. Dies bedeutet, dass mit zunehmender Schwere des Schadens die Positionierung in einem wärmeren Bereich stattfindet. Der Verlauf der Wärmebereiche 16 Vgl. Strohmeier, Ganzheitliches Risikomanagement in Industriebetrieben, 2007, S.37 22 stellt sich als farblicher Übergang von Grün, für den kälteren = unbedenklicheren Bereich, bis Rot, dem bedrohlicheren Bereich, dar. Die Risikomatrix in Abbildung 8 gibt bereits erste Aufschlüsse darüber, dass, auf Basis der ermittelten Wahrscheinlichkeiten der Ereignisse, der Großteil der Ereignisse erhebliche Schäden zur Folge haben wird. Dies lässt somit schon mal erahnen, dass im Falle des schadenbedingten Ausfalls des Behandlungsstuhls hohe Kosten entstehen können. Somit kann die Risikomatrix, auf Basis des Zahnarztbehandlungsstuhls, bereits als präventives Werkzeug genutzt werden, um Schwachstellen zu beseitigen, auf die mit frühzeitigem Handeln teilweise Einfluss genommen werden kann. Im Beispiel des ZBS ist beispielsweise zu erkennen, dass aufgrund operativer Risiken Schäden entstehen können, die letztendlich durch gezielte, präventive Maßnahmen unterbunden werden können. Auf Basis der identifizierten und kategorisierten Ereignisse stellt sich die Risikomatrix wie folgt dar 17 : 17 Anmerkung: Diese Risikomatrix befindet sich, zur deutlicheren Darstellung, im DIN-A4 Format im Anhang 23 4. Auswertung des Fehlerbaums Im vorangegangenen Kapitel wurden bereits erste Analysen mithilfe der Risikomatrix getroffen. Dabei ging es primär darum, zu untersuchen, welche Gewichtung die dem Fehlerbaum zugrunde liegenden Basisereignisse (Ursachen) besitzen. Aussagen über den Ausfall können somit noch nicht getroffen werden. In diesem Fall muss der Fehlerbaum, in Hinblick auf Ursachen und Wirkungen, untersucht und miteinander verknüpft werden. Dies geschieht mithilfe der Mathematik und/oder der Beachtung logischer Zusammenhänge. Der Auswertung bieten sich hierbei verschiedene Ansätze (vgl. dazu Kap. 1.2). Im Folgenden soll näher auf den qualitativen und quantitativen Ansatz eingegangen werden . Der qualitative Ansatz Maßgebend für die Auswertung des Fehlerbaums ist die Betrachtung in Hinblick auf so genannte Schnittmengen, oder auch „Cut Sets“ 18 . Die Schnittmenge gibt die Menge an Basisereignissen an, die vorhanden sein muss, damit das Hauptereignis eintreten kann. Dabei ist es möglich, dass ein Fehlerbaum mehrere Cut Sets aufweisen kann. Fokus der qualitativen Risikoanalyse ist es, den oder die minimalen Schnitte zu identifizieren. Ein Minimalschnitt (auch „Minimal Cut Set“ genannt) beschreibt eine geringe Anzahl an Ereignissen oder Kombinationen, die auftreten, damit das unerwünschte Ereignis eintritt 19 . Der Minimalschnitt, der unter allen ermittelten Schnitten die wenigsten zugrunde liegenden Ereignisse aufweist, wird als der kritische Pfad bezeichnet. Für das Risikooder auch Krisenmanagement stellt dieser kritische Pfad den unabdingbaren Handlungsbedarf bezüglich der analysierten Ursache-Wirkungskette dar. Bei der Analyse des Fehlerbaums ist es möglich, dass ein einzelnes Ereignis der Ursache zugrunde liegt. In diesem Fall spricht man auch von einem „Single Point of Failure“. Zur Darstellung der Wichtigkeit der Ereignisse bietet es sich an, diese ihrer Wichtigkeit oder Wahrscheinlichkeit nach zu ordnen. Dabei werden so genannte qualitative Importanzen gebildet. Diese werden wiederum ihrer Wichtigkeit (Importanz) nach geordnet. Dabei wird die Spitze der Rangfolge durch den Minimalschnitt angegeben, der die wenigsten Ereignisse enthält (siehe kritischer Pfad). Die Umformung des Fehlerbaums in seine Schnittmengen erfolgt mit den Regeln der Booleschen Algebra (siehe Kapitel 2). Hierbei bestimmt der Zustand der Ereignisse pro Schnittmenge über das Eintreten des Hauptereignisses. So müssen beispielsweise alle Ereignisse wahr sein, damit auch das Hauptereignis wahr sein kann. Auf Basis des Fehlerbaums des Zahnarztbehandlungsstuhls wurde eine Analyse der Minimalschnitte durchgeführt. Aufgrund der Konstellationen der Basisereignisse tritt die Situation ein, dass alle Basisereignisse einem Minimalschnitt entsprechen. Die Ausnahmen bilden die Basisereignisse 1+2, sowie 3+4 und 15+16. Hierbei ergibt sich der Minimalschnitt aus den zugrunde liegenden Basisereignissen der jeweiligen UND-Verknüpfungen. Somit kann folglich gesagt werden, dass alle Basisereignisse, bis auf die Ausnahmen, durch ihr alleiniges Auftreten zum Ausfall des Behandlungsstuhls führen können. Dabei geht es um die rein qualitative Aussage, dass ein Ereignis eintritt. Die Wahrscheinlichkeit des Eintritts wird durch den quantitativen Ansatz beschrieben. Der Vorteil des qualitativen Ansatzes liegt darin, dass bereits 18 Vgl. Königs, IT-Risiko-Management mit System, 2009, S. 217 ff 19 Vgl. Blank, Qualitätsmanagement für Ingenieure, 2003, S. 157 ff 24 vor Zuweisung von Wahrscheinlichkeiten der Basisereignisse erste Informationen über die Redundanz des Systems gewonnen werden können 20 . Der quantitative Ansatz Der quantitative Ansatz ermittelt die Ausfallwahrscheinlichkeit aller Ereignisse bis hin zum Hauptereignis auf rechnerischem Weg. Hinzu kommt die Möglichkeit, den Anteil der Minimalschnitte an der Ausfallwahrscheinlichkeit des Hauptereignisses zu berechnen. Die dabei wichtigsten Größen sind die Zuverlässigkeitsoder Ausfallzahlen. Der quantitative Ansatz bietet zusätzlich die Möglichkeit das Variieren der Ausfallwahrscheinlichkeiten zu simulieren, wenn Änderungen an den Parametern der Ereignisse stattfinden. Unter Beachtung der Ereignisalgebra lässt sich die Wahrscheinlichkeit des Fehlerbaums auf Basis der Wahrscheinlichkeiten der Einzelereignisse ermitteln 21 . Die Verknüpfung der Ereignisse wird unter Anwendung der Regelungen für UND und ODER-Verknüpfungen durchgeführt. Die Ereignisse im Fehlerbaum des Zahnarztbehandlungsstuhls werden als unabhängig voneinander angesehen, so dass sich folgende Ansätze (Abbildung 8), auf Basis der Gesetze für Multiplikation und Addition, betrachten lassen 22 . Zur Berechnung der Ausfallwahrscheinlichkeit eines Minimalschnittes werden die Ausfallwahrscheinlichkeiten der Einzelereignisse miteinander multipliziert. Folglich gilt für die Ausfallwahrscheinlichkeit des Zahnarztbehandlungsstuhls = W(ZBS Ausfall ) unter Betrachtung der Wahrscheinlichkeiten der Minimalschnitte = W(MS i ) : Damit der Fehlerbaum ausgewertet werden kann, müssen Wahrscheinlichkeiten und Schadenausmaße quantifiziert werden, d.h. in numerische Werte umgewandelt werden. Dazu gilt es, die ordinalen Werte der Kategorien aus 3.2 zu erfassen und zahlenmäßig zu beschreiben. 20 Vgl. Hennings/Mertens, Methodik der Risikoanalyse für Kernkraftwerke, 1995, S. 76 21 Vgl. Blank, Qualitätsmanagement für Ingenieure, 2003, S. 161 22 Vgl. Bourier, Wahrscheinlichkeitsrechnung und schließende Statistik, 2011, S.37 u. 50 31 32 5. Quantitatives Risikomanagement Simulation der Gesamtschadenverteilung. Die vorliegende Arbeit integriert die quantitative Fehlerbaumanalyse, eine klassische, ingenieurwissenschaftlichen Methoden der technischen Risikoanalyse, einerseits und die versicherungsmathematischen Risikoanalyse - Methode andererseits zu einer Methode des quantitativen Risikomanagements. Ziel dieses Vorgehens ist die Ermittlung der Gesamtschadenhöhenverteilung eines technischen Gesamtsystems oder Prozesses. Die Kenntnis der Gesamtschadenhöhenverteilung ist die Voraussetzung zur Berechnung der fairen Prämie sowie zur Bestimmung der im Risikomanagement üblichen Risikomaße (z.B. VaR, Expected Shortfall,…) und damit der Höhe des benötigten Risikokapitals. Wir veranschaulichen diese Vorgehensweise anhand eines konkreten technischen Systems: Dem zahnärztlichen Behandlungsstuhl. Die Beschreibung der technischen Risikoanalyse dieses Systems findet sich in den vorausgehenden Kapiteln der vorliegenden Arbeit. Im Folgenden stellen wir diese Methode es quantitativen Risikomanagements vor. Damit lassen sich viele verschiedene Fragestellungen beantworten. Eine spezifische Eigenschaft dieser Methode ist ihre hohe Flexibilität. Einige Beispiel für analysierbare Fragestellungen sind im Falle des zahnärztlichen Behandlungsstuhls: der Ertragsausfall einer Zahnarztpraxis, die Gesamtschäden für einen Versicherer in diesem Segment oder der Arbeitsanfall eines mit der Begutachtung beauftragten Ingenieurbüros, um nur einige Anwendungsbeispiele dieser neuen Methode zu nennen. All diese Größen können mit Hilfe der hier vorgestellten Methode quantifiziert werden, denn der Gesamtschaden kann kontextabhängig unterschiedlich definiert werden. 33 Die Integration zur Methode des quantitativen Risikomanagements Die Grundlage für die Methodenintegration bildet ein Modell, das in Abb. 11 grafisch dargestellt ist. Dieses Modell wird mit Software-Unterstützung in ein Monte Carlo Simulationsprogramm umgesetzt. Auf diese Weise erhält man die konkreten Ergebnisse, insbesondere die empirische Gesamtschadenhöhenverteilung. Man spricht von einer Monte Carlo (MC) Simulation, weil im Berechnungsprozess vom Computer erzeugte Zufallszahlen verwendet werden. Diese Zufallszahlen genügen den schadenspezifischen Verteilungen, die man aus der Realität, z.B. den Schadenstatistiken eines Versicherungsbestandes, kennt. Um die vorliegende Methode des quantitativen Risikomanagements anwenden zu können, müssen die folgenden Sachverhalte geklärt sein: Es muss klar sein, welche Größe untersucht werden soll, d.h. der Gesamtschaden muss definiert sein. Es muss der Fehlerbaum mit Eintrittswahrscheinlichkeiten vorliegen als Ergebnis einer ingenieur-technischen Risikoanalyse. Die Einzelschadenverteilungen eines jeden Schadensegments (Astende des Fehlerbaumes) müssen bekannt sein aus aktuariellen Methoden oder aus Expertenschätzungen. Außerdem muss das Schadenvolumen in Form von der erwarteten Anzahl Schäden (als feste Zahl oder als Schadenzahlverteilung) vorliegen. Nachdem die Voraussetzungen für das Modell geklärt sind, beschreiben wir im Folgenden die Umsetzung des Modells in ein Simulationsprogramm. Der Fehlerbaum In einem ersten Schritt wird eine quantitative Fehlerbaumanalyse durchgeführt. Für unser Beispiel wurde dies in Kap. 3 und 4 beschrieben. Es liegt also bereits ein Fehlerbaum mit Eintrittswahrscheinlichkeiten vor (vgl. Abb. 10). Man kennt folglich alle möglichen Schadenereignisse und die ihnen zugrunde liegenden Eintrittswahrscheinlichkeiten. Der Fehlerbaum ist symbolisch in Abb. 11 dargestellt. Die Ereignisse an jedem Knoten im Baum sind disjunkt, d.h. es kann der eine oder der andere Weg eingeschlagen werden (nicht beide gleichzeitig). Am Astende sind also alle Teilereignismengen disjunkt. Das folgt aus dem Konstruktionsschema des Baumes. Daher ergibt sich die Eintrittswahrscheinlichkeit für die in den Baumspitzen dargestellten Ereignisse (s. Abb.11, rechts) als Produkt der Eintrittswahrscheinlichkeiten aller auf dem Pfad liegenden Teil – Eintrittswahrscheinlichkeiten. In den Baumspitzen hat man also den Gesamtschaden („Schaden am Behandlungsstuhl“) in sehr viele unterschiedliche Teilschäden (in unserem Beispiel 22 Schadensegmente; disjunkte Ereignismengen) zerlegt. Die Eintrittswahrscheinlichkeiten der durch die Astenden symbolisierten Schadenereignisse sind aus der technischen Risikoanalyse bekannt. Der Fehlerbaum wird im MC Programm wie folgt umgesetzt: Als Eingabegröße benötigt das Programm die Anzahl der Gesamtschäden N. Diese Zahl kann als konstante Zahl vorgegeben werden oder als Zufallszahl. Im zweiten Fall muss eine Anzahlverteilung vorgegeben werden, z.B. eine Poisson Verteilung. Auf diese Weise kann das Programm für unterschiedlich große Einheiten, z.B. für eine Praxis oder für alle Zahnarztpraxen, die von einem Vermittler bzw. einem Schadenbüro betreut werden oder bis hin zu einem Portfolio eines großen Versicherungskonzerns verwendet werden. Ist die Anzahl der Gesamtschäden N bekannt (entweder fest gegeben oder das MC Programm hat N auf der Grundlage der gegebenen Verteilung ermittelt), dann verteilt das MC Programm die N Schäden nach dem Zufallsprinzip entlang der gegebenen Baumstruktur auf die (in unserem Fall 22) Astenden. „Nach dem Zufallsprinzip“ bedeutet, dass die N Schäden vom Programm zufällig verteilt werden, jedoch unter Wahrung der vorgegebenen Eintrittswahrscheinlichkeiten. Hat man z.B. 1000 Schäden, die verteilt 34 werden müssen und ein Astende hat die Eintrittswahrscheinlichkeit 0,225%, dann bedeutet das, dass nicht immer exakt 225 Schäden dem Ast zugeordnet werden, sondern dass diese Zahl im statistischen Mittel erreicht wird. Bei den einzelnen MC Läufen sind Abweichungen vom exakten Erwartungswert die Regel. Dieses Vorgehen simuliert die in der Realität vorkommenden Schwankungen um den rechnerischen Mittelwert. Der im Folgenden beschriebene MC Programmablauf wird sehr oft (z.B. 1000 oder 10000 mal) wiederholt. Diese Wiederholungen werden als MC „Läufe“ bezeichnet, weil das Grundprogramm immer wieder „laufen gelassen“ wird. Sie sind programmiert und müssen natürlich nicht händisch ausgeführt werden. Durch die Wiederholungen kann sich der „Zufall“ entfalten. Man kann sehr viele mögliche Pfade simulieren und kommt so letztendlich zu Wahrscheinlichkeitsaussagen über den Gesamtschaden des technischen Systems. Pro MC Lauf wird eine Realisation des Gesamtschadens ermittelt. Am Ende hat man sehr viele (z.B. 1000 oder 10000) Realisationen des Gesamtschadens, die man statistisch auswerten kann. Die Anzahl der MC Läufe bestimmt die Genauigkeit der statistischen Auswertungen. Dazu mehr in den folgenden Abschnitten. Im Folgenden konzentrieren wir uns nun wieder auf einen einzigen MC Lauf und beschreiben, wie damit ein einzelner Gesamtschaden des Systems MC simuliert werden kann. Die Einzelschäden Nach dem oben beschriebenen Schritt der Verteilung der Gesamtschadenzahl N auf die einzelnen Äste, kennen wir nun die Anzahl der Schadenereignisse in jedem Teilsegment (Astende, insgesamt 22 Teilsegmente). Die einzelnen Schadenereignisse ziehen Schadenkosten nach sich, die mit Methoden der Versicherungsmathematik in Form von Einzelschadenhöhenverteilungen bewertet werden können. Diese Schadenkosten sind z.B. Behandlungskosten oder Entschädigungen für verletzte Menschen, Kosten für beschädigte Sachen oder Kosten, die durch den Ausfall der technischen Systeme entstehen. Wir benötigen daher die Verteilung der Einzelschäden in den jeweiligen Teilsegmenten. Es ist viel einfacher, diese Verteilung für spezifische Schadensegmente zu bestimmen als für das Gesamtsystem, weil der Charakter des Schadens (Ursache, Art) genau eingegrenzt ist. In unserem Fall ist ein Beispiel für ein Schaden – Teilsegment: Leitungswasser Schaden - Beschädigung der Oberfläche. Die Bestimmung der Einzelschadenhöhenverteilung ist eine klassische Methode der Versicherungsmathematik. Man wertet Schadenaufwände aus und bestimmt auf diese Weise die Art und die Parameterwerte einer passenden Verteilung. Ist diese Form der Auswertung nicht möglich, weil z.B. Daten nicht oder nicht in ausreichendem Unfang vorliegen, dann ist auch eine grobe Abschätzung der Höhenverteilung ausreichend. Für das Beispiel mit der Beschädigung der Oberfläche wäre z.B. eine Aufstellung der folgenden Form möglich: 20% der Schäden ziehen einen Aufwand unter 500 EUR nach sich 30% der Schäden kosten zwischen 500EUR und 1200EUR 50% der Schäden kosten zwischen 1200EUR und 2000EUR. Aus dieser Information lässt sich eine Näherung für die Einzelschadenverteilung gewinnen. Die Einzelschadenverteilungen werden im MC Programm hinterlegt. Für jedes Schadensegment wird die jeweils passende Verteilung ausgewählt. Das Programm ist nun in der Lage, Schäden entsprechend den eingestellten Verteilungen nach dem Zufallsprinzip zu erzeugen. Das Programm simuliert für jedes Teilsegment spezifische Schadenhöhen. Die Anzahl der Schäden, die pro Teilsegment simuliert werden müssen, ist dem Programm durch die oben beschriebene Verteilung der Anzahlen entlang der Baumstruktur bekannt. Dieser Vorgang ist 35 in Abb. 11 ganz rechts dargestellt. Die roten Boxen symbolisieren die Einzelschadenverteilungen für jedes Schadensegment (Astende). Der Gesamtschaden Bis jetzt fehlt noch die Zusammenführung der vielen Einzelschäden zum Gesamtschaden. Dieser Prozess ist in Abb. 11 durch Pfeile dargestellt, die von den Einzelschäden ausgehen und zur Gesamtschadenverteilung hinweisen. Die Ermittlung des Gesamtschadens gelingt mit der MC Simulation sehr einfach: Der Gesamtschaden ist die Summe der Einzelschäden. Das MC Verfahren ist also so programmiert, dass die Realisationen der einzelnen Schadensegmente zum Gesamtschaden addiert werden. Zusammenfassend lässt sich festhalten: Für jeden MC Lauf geht man aus von einer Gesamtschadenzahl, verteilt diese entsprechend der Baumstruktur auf die Schaden-Teilsegmente, simuliert (MC) entsprechend der spezifischen Einzelschadenverteilung die zuvor ermittelte Anzahl von Einzelschäden und berechnet zum Schluss die Summe aller Einzelschäden. Auf diese Weise bekommt man für jeden Lauf des MC Programms eine Realisation des Gesamtschadens für das technische System. Der MC Lauf wird sehr oft wiederholt, damit man sehr viele Realisationen des Gesamtschadens erhält und zu statistischen Aussagen kommt. Aus den Realisationen des Gesamtschadens lassen sich neben dem statistischen Mittel und der empirischen Standardabweichung auch die empirische Verteilungsfunktion – und daraus alle anderen Risikomaße, wie z.B. der VaR oder der expected Shortfall – berechnen. Im Folgenden stellen wir die eben erläuterte Methode anhand einiger konkreter numerischer Beispiele dar. Die Resultate der MC Simulation – einige Beispiele Der in Abb. 10 dargestellte Fehlerbaum bildet die Grundlage für die folgenden Beispiel Simulationen. Wie oben geschildert, ergibt sich aus dem Fehlerbaum die Anzahl der Schäden pro Teilsegment am jeweiligen Astende. Für unsere Simulationsbeispiele verwenden wir Einzelschaden Höhenverteilungen, die in Tab. 7 dargestellt sind. Dort sind die Verteilungstypen und die jeweiligen Parameter der Verteilung aufgelistet. Im Einzelnen sind dargestellt: Die laufende Nummer des Astes (Spalte 1; entsprechend Abb.10), die dazu gehörende Eintrittswahrscheinlichkeit (Spalte 2), die numerischen Werte für Erwartungswert (Spalte 3) und Standardabweichung (Spalte 4) der jeweiligen Einzelschadenhöhenverteilung sowie der Verteilungstyp (Spalte 5). Zu jeder Schadenart (Astende) haben wir die passende Verteilung gewählt; einige Beispiele dafür: Für Kleinschäden, wie sie z.B. bei Versorgungsproblemen mit Wasser und Strom entstehen (Ast Nr. 9 -11) haben wie eine Exponentialverteilung gewählt mit dem Erwartungswert (Exponentialparameter), der einem mittleren Einzelschaden entspricht. Für mittlere Schadenhöhen wird eine Log-Normalverteilung verwendet. Hier gibt es zwei freie Parameter. Diese werden in einer Weise gewählt, dass der Erwartungswert der Verteilung dem mittleren Aufwand eines Einzelschadens entspricht und die Standardabweichung der typischen Streuung der Schadenaufwände im betreffenden Schadensegment. Mittlere Schadenhöhen ergeben sich z.B. bei einem Feuerschaden, nach dem der Behandlungsstuhl durch Sanierung wiederhergestellt werden kann (Ast Nr.19) oder bei einem elektrischen Defekt aufgrund eines Softwarefehlers (Ast Nr.2). Für Schäden, bei denen der Behandlungsstuhl nicht wieder hergestellt werden kann, haben wir empirische Schadenhöhenverteilungen in Treppenform verwendet. Diese Fälle sind in Tab. 7, Spalte 5 mit „Spezial“ gekennzeichnet. Ein Beispiel dafür ist (Ast Nr.18) der Totalverlust aufgrund eines Feuers. Hier wird die folgende Schadenhöhenverteilung verwendet: 36 2% der Schäden ziehen einen Aufwand unter 2500 EUR nach sich, 2% der Schäden kosten zwischen 2500EUR und 10000EUR, 3% der Schäden kosten zwischen 10000EUR und 56600EUR, 93% der Schäden kosten zwischen 56600EUR und 70000EUR. In fast allen Fällen muss also in diesem Ast des Fehlerbaumes der Totalschaden des Stuhls plus ggf. Nebenkosten (z.B. Entsorgung) ersetzt werden. In 7% der Fälle muss der angezeigte Schaden nicht oder nur teilweise (z.B. aus Vertragsgründen, Regress / Brandstiftung) ersetzt werden. In der Praxis können die Einzelschadenhöhenverteilungen für die Schäden eines jeden „Astendes“ aus den Schadendaten geschätzt werden. Dies ist eine aktuarielle Standardaufgabe. Eine andere Möglichkeit besteht darin, die Schadenhöhenverteilungen von Experten einschätzen zu lassen. Die oben dargestellte Treppenform der Schadenhöhenverteilung bietet sich dafür besonders an. In der Berufspraxis ist es leichter, eine Einschätzung der Verteilung von Schadenhöhen eines scharf umrissenen Schadensegments zu erhalten als die Schadenhöhenverteilung des technischen Gesamtsystems. Daraus resultiert ein wesentlicher Vorteil der hier neu entwickelten Methode. 37 Im Folgenden betrachten wir einige Beispiele von Ergebnissen der MC Simulation. Zuerst bestimmen wir die Gesamtschadenhöhenverteilung für einen Schaden, d.h. N = 1. Wir aggregieren also die Einzelschadenverteilungen der 22 Schadensegmente (analog zu Tab. 7) zur Gesamtschadenverteilung des technischen Systems „zahnärztlicher Behandlungsstuhl“. In Abbildung 12 ist das Ergebnis der Simulation, die empirische Gesamtschadenhöhenverteilung abgebildet (s. schwarze Linie). Der rechnerische Erwartungswert des Gesamtschadens ergibt sich aus Tabelle 7 als Summenprodukt aus Spalte 2 und Spalte 3 zu 30344 EUR. Dieser Wert ist als blaue, vertikale Linie in Abb. 12 eingezeichnet. Außerdem ist die nach der Momentenmethode angepasste Normalverteilung zu sehen (rote Linie). Das bedeutet, die beiden Parameter der Normalverteilung wurden so bestimmt, dass sie mit dem empirischen Erwartungswert und der empirischen Standardabweichung der MC simulierten Gesamtschäden übereinstimmen. Die deutliche Abweichung der Gesamtschadenverteilung von der Normalverteilung ist auf Abb. 12 gut zu erkennen. Das 50% - Quantil der Gesamtschadenverteilung liegt rechts vom Erwartungswert entsprechend der zuvor festgestellten Rechtsschiefe der Verteilung. Aufgrund der vorgenommenen Kalibrierung stimmt das 50% - Quantil der Normalverteilung exakt mit dem Erwartungswert der Schadenhöhe überein. Dieser liegt etwas über dem 40% - Quantil der Gesamtschadenverteilung, d.h. knapp 60% der Schadenaufwände sind höher als der Erwartungswert. Die Gesamtschadenverteilung ist folglich rechtsschief. Diese Ergebnisse sind gut nachzuvollziehen, weil sich der Gesamtschaden aus vielen Einzelschäden zusammensetzt, die stark unterschiedlichen Verteilungen genügen. Die Schadensegmente, aus denen Großschäden hervorgehen (Äste Nr. 15-18 und 21), bewirken die deutliche Rechtsschiefe der Gesamtschadenverteilung. 38 Jetzt gehen wir über zur Untersuchung von Schandenportfolios. Wir betrachten ein kleines Schadenportfolio mit N = 15 Schäden und ein großes Schadenportfolio mit N = 150 Schäden. Wir vergleichen jeweils den Fall einer festen Anzahl von Schäden N = 15 bzw. 150 mit dem Fall einer Poisson-verteilten Schadenanzahl, wobei die Erwartungswerte E[N] = 15 bzw. 150 Schäden betragen. Die Ergebnisse der MC Simulationen sind als empirische Gesamtschadenverteilungen in Abb. 13 dargestellt. Die schwarzen (grünen) Verteilungen stellen jeweils den Fall mit fest vorgegebenen (Poisson – verteilten) Schadenanzahlen dar. Im unteren Teil der Abb. 13 ist die Gesamtschadenhöhenverteilung des kleinen (N = 15, bzw. E[N] =15) Schadenportfolios zu sehen, im oberen Teil die des großen (N = 150, bzw. E[N] =150). In allen Fällen lässt sich feststellen, dass die Verteilungen einer Normalverteilung wesentlich ähnlicher sind als im Fall des Einzelschadens, der in Abbildung 12 dargestellt ist. Dieser Effekt lässt sich mit Hilfe des Zentralen Grenzwertsatzes erklären, nach dem die Normalverteilung umso besser approximiert wird, je höher die zum Gesamtschaden beitragende Schadenanzahl ist. Die Voraussetzungen für die Gültigkeit dieses Satzes sind in dem vorliegenden Beispiel näherungsweise erfüllt: Wir betrachten den Gesamtschaden, der sich aus einer Vielzahl von Einzelschäden zusammensetzt, die Gesamtschaden – Ereignisse (nicht die Einzelschaden – Ereignisse!) sind unabhängig von einander, der Zufall wird durch die MC Simulation generiert und die Einzelschadenverteilungen besitzen eine endliche Standardabweichung (vgl. Tab.7, Spalte 4). Auf Abb. 13 ist deutlich zu erkennen, dass die Schwankung der Schadenanzahl (Schadenanzahl Poisson-verteilt; grüne Kurven) eine deutliche Zunahme in der Streuung der Gesamtschadenverteilung verursacht gegenüber dem Fall mit der fest vorgegebenen Schadenanzahl (schwarze Kurven). In Abb. 14 betrachten wir das rechte obere Ende („Tail“) der Gesamtschadenhöhenverteilungen für Poisson-verteilte Schadenanzahlen. Der Tail der Schadenhöhenverteilung ist entscheidend für die Bewertung des Großschaden – Risikos, denn er enthält Informationen über Schadenhöhen, die deutlich größer als der mittlere Schaden sind. Aus der Abbildung 14 lässt sich z.B. der VaR des Gesamtschadens ablesen (s. blaue, gestrichelte Linien). Für das kleine Schadenportfolio (Abb. 14 unten) ergibt sich beispielsweise der VaR zum 95% (99%) – Niveau zu ca. 680 TEUR (ca. 785 TEUR). Für das große Schadenportfolio (Abb. 14 oben) ergibt sich der VaR zum 95% (99%) – Niveau zu knapp 5,25 Mio. EUR (knapp 5,55 Mio. EUR). Selbstverständlich lässt sich durch detaillierte Auswertung der Simulationsdaten auch der exakte rechnerische Wert der VaRs ermitteln. Darauf wird hier nicht näher eingegangen. Zusammenfassend halten wir fest: Wir haben hier anhand einiger Beispiele demonstriert, wie sich Fragestellungen des quantitativen Risikomanagements mit Hilfe der von uns entwickelten Methode für technische Systeme beantworten lassen. Durch die Integration der Einzelschadenverteilungen der Schadensegmente über den Fehlerbaum, dem Ergebnis der ingenieur-technischen Risikoanalyse, gelingt die quantitative Risikobewertung des technischen Gesamtsystems. 39 40