Risikomanagement und Fehlerkultur

„To err is human“ lautet der Titel des Aufsehen erregenden Berichts, der für den US-Kongress verfasst wurde (Kohn et al. 1999). Hierin wird von geschätzten 44.000–98.000 Todesfällen jährlich infolge vermeidbarer medizinischer und organisatorischer Fehler und Zwischenfälle allein in den USA berichtet. Anlass für die Erstellung des Berichtes war die zunehmende Verunsicherung der Öffentlichkeit über Fehler und unerwünschte Ereignisse im Gesundheitswesen, die regelmäßig zu schweren Patientenfolgen und hohen Kosten führten. Australische Untersuchungen stufen etwa 18.000 Todesfälle und mehr als 50.000 bleibende Behinderungen pro Jahr als fehlerassoziiert und somit letztlich vermeidbar ein (Weingart et al. 2000). Diese Fehler reichen von der unzutreffenden Diagnose über fehlerhafte Untersuchungen bis hin zum falschen Medikament, das dem falschen Patienten zur falschen Zeit verabreicht wird (Weingart et al. 2000). Medizinische Fehler werden auch in aktuelleren Studien als die dritthäufigste Todesursache benannt (Makary und Daniel 2016).

Die Semantik rund um die Beschreibung von Fehlern ist sehr variabel und bisweilen verwirrend. Die Bezeichnung „Fehler“ oder „error“ wird oft verwendet, trägt aber das wertende Element der Schuldhaftigkeit in sich. Auch der Begriff „kritisches Ereignis“ bzw. „critical incident“ wird häufig verwendet. Neutralere Terminologien bevorzugen die Begriffe „unerwünschtes Ereignis“ („adverse event“) und „vermeidbares unerwünschtes Ereignis“ (preventable adverse event). Davon sind im Alltag nur eingeschränkt abgegrenzt „kritische Ereignisse“ („critical incident“), d. h. Ereignisse, die das Risiko für das Eintreten eines schwerwiegenden unerwünschten Ereignisses erhöhen oder tatsächlich in ein schwerwiegendes unerwünschtes Ereignis münden (Schrappe 2018).

Die Formulierung „near miss“ oder „Beinaheereignis“ schließlich bezeichnet ein Ereignis, das hätte Schaden anrichten können, bei dem aber glücklicherweise nichts passiert ist.

Auch das Verständnis, wann es sich in der Medizin um einen Fehler oder Zwischenfall handelt, ist sehr unterschiedlich ausgeprägt:Obwohl diese Definitionen praktisch alle denkbaren Fehler einschließen, sind sie in der (Intensiv-)medizin nicht ganz unproblematisch: Nicht selten werden Patienten mit schwersten Erkrankungen und einer sehr hohen erwarteten Letalität behandelt, wie z. B. Patienten im kardiogenen Schock, septischen Schock oder im Multiorganversagen. Sterben diese Patienten, ist der Tod mitunter die Folge eines unumkehrbaren Krankheitsprozesses und nicht prinzipiell als ein „Fehler“ zu bewerten. Noch deutlicher wird die Problematik am Beispiel der Herz-Kreislauf-Wiederbelebung: Natürlich ist es das Ziel dieser Intervention, das Überleben der Patienten sicherzustellen. Auf der anderen Seite ist den behandelnden Ärzten schon während der Reanimationsmaßnahmen die extrem hohe Letalität der Patienten bewusst. Der Tod reanimierter Patienten ist somit nicht unbedingt Folge eines Fehlers, sondern mitunter ein Teil der Erkrankung.

Daher führt eine so umfassende Definition des Fehlers zwangsläufig zu einer Überschneidung zwischen den unabwendbaren Geschehnissen des Krankheitsverlaufs auf der einen und tatsächlichen unerwünschten oder ungeplanten Ereignissen bzw. Fehlern auf der anderen Seite.

Für die klinische Praxis und v. a. für die Intensivmedizin ist also eine Definition notwendig, die diese besonderen Umstände berücksichtigt (Tab. 1 und 2).

Auch der Ursprung von Fehlern bietet eine Option zur Klassifikation. Fehler können sowohl in der Planung als auch in der Ausführung- beabsichtigt oder auch beabsichtigt- entstehen (Abb. 1).

Für die Beurteilung des Aufwandes einer Nachbereitung von Fehlern ist die Unterscheidung zwischen sporadischen, zufälligen und systemischen Fehlern hilfreich. Die Prävention von sporadischen und zufälligen Fehlern ist oftmals nur mit außerordentlichem Aufwand, wenn überhaupt möglich.

Im Ereignismonitoring fehlte bisher eine allgemein anerkannte Terminologie, was die Förderung und Akzeptanz solcher Systeme erheblich erschwert hat. Die JCAHO (Joint Commission on Accreditation of Healthcare Organizations) hat eine Taxonomie zur Einteilung, Beschreibung und Sammlung von Ereignissen mit Patientenschäden publiziert (Chang et al. 2005). Sie will damit die Sprachverwirrung in der Diskussion um Patientensicherheit verringern. Das vereinfachte Schema mit 5 Hauptgruppen ist in Tab. 3 dargestellt. Es wird noch in 21 Unterklassen und 200 kodierte Kategorien unterteilt, die den Rahmen dieses Textes sprengen. Zusätzlich erlaubt das System auch freie Erzählung, „free narrative“, um kontextrelevante Informationen zu ermöglichen.

Das System soll namentlich mit im Bereich Intensivmedizin etablierten Systemen gut kompatibel sein. Der Bereich Ursachen sei hier noch etwas vertieft (Tab. 4).

Bei der Analyse von Zwischenfällen unterscheiden Fehlertheoretiker zwischen dem sog. „system approach“ (Systemansatz) und dem „person approach“ (Individualansatz). Der „system approach“ bezeichnet eine Verkettung ungünstiger Umstände, die durch das Arbeitsumfeld und die dort herrschenden Organisations- und Prozessstrukturen begünstigt wird. Gleichwohl bildet regelhaft eine auslösende Aktion oder das Unterlassen einer notwendigen Intervention den unmittelbaren Anlass für einen Zwischenfall. Genauere Untersuchungen dieser Zwischenfälle offenbaren jedoch häufig eine Serie von latenten Fehlern, fehlerbegünstigenden Faktoren und aktiven Fehlern von der sonst geübten Praxis, die letztlich in einem Zwischenfall münden (Abb. 2).

Beim „person approach“ wird das Auftreten von Fehlern und Zwischenfällen als Konsequenz individueller und persönlicher Fehlleistungen aufgefasst. Letzteres stellt die dominierende Sicht- und Verfahrensweise im Gesundheitswesen dar (Reason 2000).

Die JCAHO hat als Basis einer internationalen, von der WHO getragenen Standardisierung die Terminologie, Definition und Konzeptionalisierung der vielfältigen Aspekte der Patientensicherheit in Delphi-Runden weiterentwickelt (Sherman et al. 2009; Towards an International Classification for Patient Safety 2009) und schließlich als Schlüsselkonzept mit 48 sicherheitsrelevanten Einzelaspekten beschrieben (Runciman et al. 2009).

Obwohl bislang nur wenige strukturierte Untersuchungen zu Fehlern und Zwischenfällen in der Medizin vorliegen, scheinen die Häufigkeit und die Auswirkungen dieser Fehler u. a. von der Komplexität der Versorgung, der Schwere der Erkrankung und dem Spektrum der therapeutischen Interventionen abhängig zu sein (Osmon et al. 2004). Besonders Bereiche mit hoher Arbeitsbelastung, Entscheidungen unter Zeitdruck mit eingeschränkten Informationen, komplexe Erkrankungen mit divergierenden Zielparametern (z. B. Einnahme von Gerinnungshemmern bei Traumapatienten)- wie in der Intensivmedizin üblich – sind somit potenziell anfällig für Fehler. Gerade hier müssen täglich in kurzer Zeit eine Vielzahl von Parametern bewertet und wichtige Entscheidungen für mitunter lebensbedrohlich erkrankte Patienten getroffen werden (Weingart et al. 2000).

Viele dieser Prozesse verlaufen im Arbeitsalltag parallel und werden zudem häufig mehrfach unterbrochen. Diese in der Intensiv- und Notfallmedizin vorherrschenden Rahmenbedingungen bezeichnen Psychologen als ein kognitiv komplexes Umfeld (Walsh und Beatty 2002). Andererseits ist bekannt, dass maximal 4–5 Objekte parallel im Gedächtnis bearbeitet werden können (Alvarez und Cavanagh 2004). Bei zunehmendem Informationsgehalt sinkt zudem die Zahl der Objekte. Die Anzahl medizinischer Geräte und Überwachungssysteme hat im Gegensatz dazu in den letzten 30 Jahren um ein Vielfaches zugenommen (Walsh und Beatty 2002). Konkurrierten am Anfang der 1970er-Jahre beispielsweise in der Anästhesie noch 4 Geräte um die Aufmerksamkeit des Personals, waren es im Jahr 2000 bereits über 20 verschiedene Systeme (Walsh und Beatty 2002).

Ein weiteres relevantes Risiko ergibt sich aus unterschiedlichen Dokumentationssystemen im Rahmen der Digitalisierung, wenn die Schnittstellen zwischen Krankenhausinformationssystem und dem Patientendokumentationssystem der Intensivstation nur eingeschränkte Schnittstellen implementiert sind.

Unternehmen mit hohem Sicherheitsanspruch, wie die Atomkraftwerksbetreiber oder die öffentliche Luftfahrt, arbeiten mit dem Ansatz des „fehlerhaften Systems“. Darin ist der Mensch als eine Fehlerquelle bereits mit einbezogen. Im System enthaltene Kontrollinstanzen überprüfen die menschlichen Aktionen und können so Missgeschicke oder falsche Eingaben melden oder beheben, bevor ein Fehler daraus entsteht. Dazu gehören einerseits technische Überwachungssysteme und andererseits regelmäßige Supervision en durch Kollegen, wie z. B. das 4-Augen-Prinzip. Es wird nicht nach dem Schuldigen gesucht, sondern der Fehlerprozess in seiner Gesamtheit analysiert und das System entsprechend angepasst. Dieser ständige, aktive Veränderungsprozess ist das Kernelement des Sicherheitssystems. Eine langfristige und intelligente Systemoptimierung beseitigt so die latenten Fehler und hilft, die Wiederholung eines Fehlers zu vermeiden (Alvarez und Cavanagh 2004).

Verschiedene Arbeiten zeigen, dass in unseren Intensivstationen täglich zahlreiche gefährliche Ereignisse ablaufen (Valentin et al. 2006). Eine Arbeit, die stellvertretend für viele steht, nennt 1,7 Fehler pro Patient und Tag bzw. 2 ernste Fehler pro Station und Tag (Donchin et al. 1995). Viele dieser Fehler haben menschliche Ursachen und liegen im Bereich von Kommunikation und Timing.

Fehlererfassungssysteme ermöglichen Einblicke in die Störanfälligkeit und Verletzlichkeit der Abläufe einer Intensivstation. Wenn diese Instrumente richtig eingesetzt werden, kann ein strukturiertes Ereignismonitoring ein sehr wirksames Instrument zur Messung und Verbesserung der Prozessqualität der Intensivmedizin darstellen. Es stellt somit das Rückgrat eines Risikomanagementsystems dar und kann helfen, Fehlerquellen zu identifizieren und möglichen Schaden abzuwenden.

Den Umgang mit Fehlern haben wohl die meisten von uns exemplarisch in der Schule gelernt. Fehler im Diktat oder Aufsatz wurden mit Rotstift markiert und führten zu Sanktionen, genannt „Verbesserungen“, mit dem Ziel, Fehler zu vermeiden. Unsere Motivation war aber nicht das Verbessern des Systems, sondern das Vermeiden von Sanktionen. Dass Fehler ein völlig normales Nebenprodukt menschlichen Handelns sind, lehrte man uns nicht.

Über Fehler zu reden, insbesondere wenn es sich um die eigenen handelt, ist alles andere als selbstverständlich. Es ist bekannt, dass im Krankenhaus über Schadensereignisse nicht gern berichtet wird. Vincent et al. (1999) identifizierten die Sorge v. a. der jüngeren Kollegen, unfair bezichtigt zu werden, als eine wesentliche Ursache, Fehler nicht offen anzusprechen. Man sorgt sich um allfällige Haftpflichtansprüche oder Disziplinarmaßnahmen, erwartet von seinen Kollegen nicht genug Unterstützung und möchte solche Fälle auch nicht vor größeren Gremien besprechen.

Entscheidender Ansatz einer Fehlerkultur ist, dass man aufhört, immer nach Schuldigen zu suchen. Auch wenn die Beteiligten nicht direkt beschuldigt werden, hat sich der Blick nicht auf sie, sondern auf das Problem zu richten. Unter dem momentanen Eindruck eines Ereignisses heißt aber die Frage noch allzu oft: „Wer war das?“ Richtigerweise müssten die Fragen lauten: „Was hat dazu geführt, dass dieses Ereignis eintreten konnte? Welche Sicherungssysteme haben versagt (falls vorhanden)? Wer kann etwas zur Lösung dieses Problems bzw. zur Verhinderung zukünftiger Ereignisse beitragen?“ Es hat aber überhaupt keinen Zweck, in einem Betrieb eine Ereignisüberwachung aufzubauen, wenn nicht parallel dazu die entsprechende teambasierte Kritikkultur entwickelt wird.

Ein Auftreten von Fehlern wird noch vielfach als menschliches Versagen und damit als Schwäche menschlicher Leistung angesehen. Dieses bis heute in der Medizin geltende Gedankenmodell wird von Reason als „Heile-Welt Hypothese“ bezeichnet (Reason 2003). Diese Hypothese besagt, dass nur schlechten Menschen Fehler passieren und es nur wenige schlechte Charaktere in der Masse der Menschheit gibt. Diese schlechten Menschen sind Fehlerverursacher und tragen die alleinige Schuld. Durch öffentliche Bloßstellung und Sanktionen können sie zum richtigen Verhalten erzogen werden. Jede Wiederholung des Fehlers wird dem schlechten Charakter des Verursachers zugeschrieben.

Hiervon grenzt Sidney Dekker in seiner Diskussion um „Just Culture“ die Systemverantwortung ab (Dekker und Leveson 2015).

Fehler haben in der Regel komplexe Ursachen. Fast immer sind sie multifaktoriell und können nicht einem alleinigen Auslöser zugeordnet werden. Namentlich, wenn Systemfehler im Spiel sind, werden die Mitarbeiter, in deren Gegenwart das Ereignis stattfindet, ebenso zu Opfern. Entscheidend ist die Umsetzung dieser Erkenntnis in den täglichen kollegialen Umgang. An Zwischenfällen beteiligte Kollegen benötigen Hilfe, keine Bestrafung. Die Systemfehler sind der (tückische) Teil des Eisbergs unter Wasser.

Reason erklärt das Zustandekommen eines Fehlers mit verschiedenen gelochten Schichten, die sich gegeneinander verschieben (Abb. 3). Die verschiedenen Schichten bezeichnen Faktoren der Fehlerentstehung, namentlich System und Mensch. Im Hintergrund wartet die Gefahr auf eine Gelegenheit („window of opportunity“), ein Ereignis auszulösen.

Kritik abgeben und annehmen, positive wie auch negative, will gelernt sein. Im Medizinstudium wird Kritikkultur kaum gelehrt. Der Umgang mit Fehlern und das Lernen daraus muss in einem Betrieb bewusst vorgelebt und gepflegt werden. Entscheidend ist das Vorbild der Chefs bzw. der leitenden Ärzte, die täglich zeigen müssen, dass gerade sie mit ihren eigenen Fehlern offen und lernend umzugehen verstehen. Sie haben ihren Mitarbeitern zu vermitteln, dass Fehler nicht lediglich seltene und bedauerliche Ausrutscher sind, sondern dass sie häufig und integraler Teil jedes Systems sind, in dem Menschen zusammenarbeiten.

Crew Ressource Managements Trainings werden auch in Krankenhäusern erfolgreich durchgeführt. (Mickan und Rodger 2005). Eine größere Offenheit in der Kommunikation führte zu einer um 6,48 % reduzierten Mortalität in 137 englischen Krankenhäusern (Toffolutti und Stuckler 2019).

Die Einsicht eines Fehlers bzw. Zwischenfalls innerhalb der Verantwortungsträger ist oftmals begrenzt, und besonders Mediziner neigen zur Überschätzung ihrer persönlichen Leistungsfähigkeit: 47–70 % der befragten Ärzte gaben z. B. an, dass ihre Leistung nicht durch Müdigkeit beeinträchtigt werde. Über 60 % der Befragten verneinten Einflüsse privater Probleme bei ihrer Arbeit (Sexton et al. 2000). Auch die Einführung sinnvoller, weithin akzeptierter und von der WHO empfohlener Kontrollmechanismen wie die Surgical Safety Checklist führen nicht aus sich heraus zu einer Veränderung der Sicherheitskultur (Haugen et al. 2013), wenngleich durch gezielte Interventionen Verbesserungen sowohl der Kultur als auch der Patientensicherheit erreicht werden können (Vigorito et al. 2011).

Ereignismonitoring kann nie erfolgreich von oben organisiert und durchgesetzt werden. Die uns vorgesetzten Behörden sollen zwar durchaus das Vermeiden von Fehlern und das Steigern der Patientensicherheit zu einem strategischen Betriebsziel erklären. Sie können diesen Willen zudem mit organisatorischen Erleichterungen und durch Zuteilung betrieblicher Mittel unterstützen. Methodisch ausgebildete Qualitäts- bzw. Risikomanager können mit Know how beitragen. Die Verbesserung der Strukturen kann an Führungsebenen delegiert werden, die Einführung der Prozesse, d. h. der eigentliche Aufbau des Systems muss aber von der Betriebsbasis ausgehen, gestaltet und getragen werden.

In Deutschland sind seit 2014 Fehlermeldesysteme mit der Möglichkeit einer anonymen Meldung gemäß Qualitätsmanagement-Richtlinie verpflichtend. Unter dem erneuten Vorbehalt, dass ein Meldewesen nicht schon per se ein Fehlermanagementsystem ist, hat man beim systematischen Sammeln von gemeldeten Ereignissen gewisse Regeln zu beachten. Dabei spielt es überhaupt keine Rolle, ob mit Papier und Bleistift dokumentiert wird, oder ob man sich eine elektronische Datensammlung anlegt. Die meisten Autoren bezeichnen relativ übereinstimmend die folgenden Elemente einer Ereignissammlung als wesentlich.

Übereinstimmend wird der große Wert der Erfassung von Beinaheereignissen betont.

Near-miss-Ereignisse sind für das Risikomanagement und für die Qualitätsverbesserung von herausragender Bedeutung:Es wird deshalb empfohlen, beim Aufbau eines Ereigniserfassungssystems primär schon Near-miss-Fälle zu sammeln. Im Allgemeinen gilt: Je geringer der Schaden eines Vorfalls, desto einfacher sein Nutzen in einem Risikomanagementsystem. Schadensfälle sollten jedoch unbedingt ebenfalls für das organisatorische Lernen genutzt werden. Hierfür bedarf es jedoch den Auftrag und die Unterstützung der Leitung sowie die Methodenkompetenz von Risikomanagern.

Interessanterweise wird der Wert von Beinaheereignissen im medizinischen Bereich nicht uneingeschränkt positiv bewertet: Gerade die JCAHO beschränkt sich in ihrer wegweisenden Taxonomie auf Ereignisse mit Patientenschaden und schließt „any near miss“ aus Ereignissammlungen aus (Chang et al. 2005).

Innerhalb des Betriebs sollen die Datensammlungen transparent und jedermann zugänglich sein. Empfohlen werden aber zudem regelmäßige Sitzungen, bei denen die gesammelten Ereignisse gesichtet und zusammengestellt werden. Ereignismonitoring kann Teil einer umfassenden regelmäßigen Qualitätsbesprechung des Betriebs, aber auch eine selbstständige Aktivität sein.

Morbiditäts- und Mortalitätskonferenzen sind ein etabliertes Instrument zur systematischen Besprechung von Komplikations- und Todesfällen. Leitfäden zur Umsetzung wurden sowohl von der Bundesärztekammer (2016) als auch der Stiftung Patientensicherheit Schweiz (2019) veröffentlicht.

Wie häufig oder wie selten solche Veranstaltungen stattfinden, ist dem Stil der Abteilung zu überlassen. Wichtig ist, dass sie zuverlässig und regelmäßig durchgeführt werden und nachhaltig bleiben. Einfache Bulletins fassen dabei die wesentlichen Beobachtungen und Verbesserungen der Berichtsperiode zusammen. Die Mitarbeiter interessieren sich v. a. dafür, welche Meldungen zu Veränderungen und Maßnahmen geführt haben.

Wichtig ist auch, die Auswertungen an die richtigen Adressaten zu verteilen. Wenn, was sehr häufig ist, ein bereichsübergreifendes Ereignis dokumentiert wird, müssen auch die Nachbarbetriebe mit diesem Wissen bedient werden. Darüber hinaus muss die Stationsleitung sicherstellen, dass die Informationen nicht nur abgegeben wurden, sondern auch angekommen sind und betrieblich umgesetzt werden. Wenn aber der Kreis sich nicht schließt, wenn damit nicht aktives Risikomanagement betrieben wird, ist Ereignismonitoring nutzlos, und das Desinteresse der Mitarbeiter wird die logische Folge sein.

Wenn oben ausgeführt wurde, dass die gesammelten Ereignisse anonym, ohne die Namen der Beteiligten, dokumentiert werden sollen, ist damit noch nichts über die Art des Meldevorgangs gesagt. Auch Letzterer kann anonym oder offen sein. Anonyme Meldesysteme sind beispielsweise aus der Fliegerei bekannt, aber auch in vernetzten Ereignissammlungssystemen der Medizin (z. B. Critical Incident Reporting System; CIRS; http://www.anaesthesie.ch/cirs/) oder PaSOS (Patienten-Sicherheits-Optimierungssystem, http://www.pasos-ains.de/) erfolgen die Meldungen anonym, z. B. durch Briefkästen im Stationsbereich oder durch Web-basierte, Passwort-geschützte Eingabesysteme.

Gerade für Einrichtungen ohne eine entsprechende Betriebskultur, d. h. Intensivstationen, die neu ein Ereignismonitoring einführen wollen, ist die Anonymität zunächst von besonderer Bedeutung. Sind aber Fehlerkultur und Meldesystem in einer Abteilung bereits entwickelt, verblasst das Thema Anonymität rasch. Mit gutem Grund: In einem positiven lernfähigen System müssen keine Sanktionen befürchtet werden, wenn unerwünschte Ereignisse kommuniziert werden. Eine Studie über die Meldepraxis in einer Intensivstation ergab, dass nur 6,5 % der Ereignismeldungen anonym eintrafen (Osmon et al. 2004). Anonyme Meldesysteme haben zudem den Nachteil, dass sie für Denunziationen und persönliche Abrechnungen missbraucht werden können.

Nun ist die Ereignissammlung mit spontanen Meldesystemen durchaus nicht die einzige etablierte Erfassungsmethode. Im Gegenteil, gerade die ersten bahnbrechenden Berichte über Fehler im Krankenhaus wurden mit der Technik des „medical chart review“ erarbeitet. Aus der retrospektiven Durchsicht tausender Krankenakten ergaben sich Hinweise über Häufigkeit, Art der Fehler und Ursachenmuster (Leape et al. 1991). Im Vordergrund standen bei diesen Untersuchungen Medikationsfehler. Diese Art der Fehler (falsches Medikament, falsche Dosis, falsche Applikation, falscher Zeitpunkt etc.) tauchen in allen Studien als die häufigsten unerwünschten Ereignisse auf. Zum einen, weil Medikamente häufig verabreicht werden und die Bereitstellung von Medikamenten viele fehleranfällige Schritte umfasst (Anordnung, Bereitstellung, Kontrolle, Verabreichung), und zum anderen, weil Fehler dieser Art in den Krankenakten wohl leichter zu erfassen sind als andere Fehler. Prozessfehler sind hingegen im Rahmen einer retrospektiven Durchsicht einer Krankenakte schwer zu identifizieren.

In einem prospektiven Vergleich zwischen den Erfassungstechniken der freiwilligen Ereignismeldung und des „medical chart review“ auf Intensivstationen wurden mit dem freiwilligen Meldesystem mehr und wesentlichere Ereignisse erfasst als beim Durchsuchen der Krankenakte. Die freiwillig gemeldeten Ereignisse enthielten zudem mehr Informationen über die Umstände und Ursachen und boten somit mehr Ansatzmöglichkeiten zur künftigen Prävention (Beckmann et al. 2003).

Vielerorts werden landesweite oder gar internationale Netzwerke zum Ereignismonitoring empfohlen. Deren Ausgestaltung ist frei wählbar, wobei zunehmend Internet-basierte Systeme zur Datenerfassung genutzt werden. In der Schweiz haben Basler Anästhesisten vor vielen Jahren schon ein sog. CIRS („critical incident reporting system“) eingerichtet (http://www.anaesthesie.ch/cirs/). Der Benutzer kann anonym Ereignisse in strukturierter Form melden und hat auch Zugang zu den gesammelten Ereignisberichten. Ein Vorteil gerade für den Fachbereich Anästhesie liegt darin, dass auch eher seltene Ereignisse einer breiteren Gruppe zur Kenntnis gebracht werden und beispielsweise durch die Fachgesellschaften in Form von Empfehlungen und Standards bekannt gegeben werden können. Nachteile eines CIRS sind die unkontrollierte Eingabe und die Entkopplung vom lokalen Risikomanagement der meldenden Einrichtung.

Mit einem zentralen CIRS allein ist die Verbesserung lokaler Prozesse, und damit letztlich die Prävention gleicher oder ähnlicher Ereignisse, nicht möglich. Auch das Fehlen kontextrelevanter Informationen und der Verzicht auf „near miss“ schränken den praktischen Nutzen solche Systeme für die Verbesserung der eigenen Einheit erheblich ein.

Ein vorbildliches Netzwerk wird in Australien und Neuseeland betrieben, die Australian Patient Safety Foundation (APSF [http://www.apsf.net.au]). Teil des Angebots ist das „advanced incident management system“ (AIMS), das die langjährigen, dortigen Erfahrungen demjenigen zugänglich macht, der ein Ereignismonitoring aufbauen will. In Deutschland wird die Teilnahme an einem übergeordneten CIRS-System finanziell unterstützt. Die Bundesärztekammer, die Deutsche Krankenhausgesellschaft e. V. und der Deutsche Pflegerat e. V. sind z. B. Träger des KH-CIRS-Netz 2.0 Deutschland (https://www.kh-cirs.de). Diese bieten sich über übergeordnete Themen an.

Der am häufigsten im Zusammenhang mit Sicherheit genannte nicht medizinische Bereich ist die zivile Luftfahrt. Im Gegensatz zur Medizin werden dort seit Jahrzehnten größte Anstrengungen für die Flugsicherheit unternommen. Viele Konzepte wie die kontinuierliche Suche nach Schwachstellen, das anonyme „incident reporting“ und die Bedeutung des gut kommunizierenden Teams („crew resource management“) wurden in der Luftfahrt entwickelt. Dort hat sich über Jahre auch eine sehr solide Sicherheitskultur etabliert, die sich in einer kritischen Selbsteinschätzung und in einem hoch entwickelten Sicherheitsbewusstsein der Mitarbeiter widerspiegelt (Sexton et al. 2000).

In einem provokanten Editorial gibt Berwick, basierend auf den realen Zahlen eines New Yorker Krankenhauses (Leape et al. 1991), die entsprechende Cockpitdurchsage eines Flugkapitäns an seine Passagiere wieder (Berwick und Leape 1999):

Ladies and gentlemen, welcome aboard flight number 743, this is your captain speaking. You have a 97 % chance of reaching your destination without being significantly injured. Our chances of making a serious error during the flight is only 6,7 %.

Und es folgt die rhetorische Frage:

Would you fly this airline again?

Unter 30.195 nach Zufall ausgesuchten Krankengeschichten fanden die Autoren 1133 Patienten (3,7 %), welche aufgrund der Behandlung schwere Schädigungen erlitten hatten. In 58 % dieser Fälle wurden Behandlungsfehler festgestellt, die Hälfte davon war auf Nachlässigkeit zurückzuführen. Eine wesentliche Rolle spielten Medikationsfehler (Leape et al. 1991).

Natürlich haben Vergleiche zwischen Luftfahrt und Akutmedizin gewisse Grenzen. So sind beispielsweise die kritischen Prozesse eines Fluges recht stereotyp, und im Cockpit gilt bei jeglicher Tätigkeit das 4-Augen-Prinzip, während beim Umgang mit Schwerkranken eine größere Variabilität besteht und nur selten die Gelegenheit für redundantes Vorgehen gegeben ist. Dies entbindet uns aber keineswegs, die hervorragenden Entwicklungen in der Flugsicherheit für unser Fachgebiet weiterzuentwickeln und die daraus gewonnenen Erkenntnisse entsprechend anzuwenden. In diesem Sinne haben Eisen und Savel (2009) die operationellen Abläufe einer spektakulären (und erfolgreichen) Notwasserung eines Flugzeugs vom Typ Airbus auf dem Hudson-River in New York zum Anlass genommen, Vorgehensweise und Kommunikation einer kardiopulmonalen Reanimation auf einer Intensivstation der Arbeit im Cockpit während eines Notfalls gegenüberzustellen. Augenfällig ist die klare Übernahme des Führungsauftrags mit entsprechender Rollenverteilung, die verbindliche und redundante Kommunikation sowie die Akzeptanz des Feedbacks.

Konsequentes Ereignismonitoring erlaubt einer Intensivstation, aus Fehlern und v. a. aus den Beinaheereignissen kontinuierlich zu lernen und die eigenen Schwächen, aber auch Stärken zu erkennen. Werden die Daten systematisch ausgewertet, erlaubt die Analyse von Ursachen und Verbesserungsmöglichkeiten die Weiterentwicklung der eigenen Prozesse. Dieser Möglichkeit kommt eine viel größere Bedeutung zu als der Zusammenstellung der Schäden an sich. Ereignismonitoring unterscheidet z. B. zwischen individuellen, menschlichen Fehlleistungen und Systemfehlern, wobei wir meist mit fehlerhaften Prozessen konfrontiert sind. Um diese zu verbessern, müssen Prozessanalysen durchgeführt werden. Dafür bieten sich 2 Methoden an:Sind die Ursachen eines fehlerhaften Ereignisses identifiziert, müssen gezielte Führungsmaßnahmen zur Prävention erneuter Ereignisse eingeleitet werden. Dabei unterscheiden sich die Maßnahmen für menschliche Fehler und für Systemfehler.

Abhängig von der Fehlerart sind die Maßnahmen abzuleiten. Trainings und Schulung sind bei regel- und wissensbasierten Fehlern anzuwenden. Absichtlichen Regelverstößen muss jedoch mit entsprechenden Maßnahmen der Führung und ggf. auch Sanktionen begegnet werden. Aufmerksamkeitsbedingte Fehler benötigen andere Maßnahmen, z. B. durch veränderte Abläufe oder ein 4-Augen-Prinzip.

Systemfehler können entweder recht leicht zu lösen oder aber sehr tückisch sein. Ist das Problem an der Oberfläche lokalisiert und betrifft es Prozesse, so lassen sich rasch Gegenmaßnahmen ergreifen. So kann beispielsweise eine fehlerhafte Serie von Infusionssystemen augenblicklich aus dem Verkehr genommen werden. Andere, tiefer im System verankerte Fehler, die die Strukturen der Einrichtung betreffen, sind mitunter nur sehr schwierig zu lösen. So stellen beispielsweise ungenügende Stellenpläne oder veraltete Betriebsstrukturen durchaus Sicherheitsrisiken dar, können aber aufgrund fehlender Mittelzuweisung nicht einfach verändert werden.

Deshalb ist Flexibilität eine der Grundvoraussetzungen (und größten Herausforderungen) für ein erfolgreiches Riskomanagementsystem: Es muss ebenso für rasche Reaktion einsatzbereit sein (sofortige Elimination fehlerhafter Infusionssysteme) wie auch für langfristige Umgestaltungen (z. B. wenn ein unzureichender Stellenschlüssel kontinuierlich die Patientensicherheit gefährdet).

Die idealen kritischen Ereignisse sind jene, die sich gar nicht ereignen. Wird Ereignismonitoring in Führungsmaßnahmen umgesetzt, verringert es die Schäden kritischer Ereignisse oder vermeidet diese ganz. Der wirkliche Nutzen des Risikomanagements lässt sich deshalb kaum quantifizieren. Nur bei sehr genauer Datensammlung kann die Zu- oder Abnahme bestimmter Ereignisse gemessen werden. In einer multizentrischen Untersuchung zu Fehlern im Zusammenhang mit Medikamenten traten auf Intensivstationen mit etabliertem Ereignismonitoring signifikant weniger Medikationsfehler auf (Valentin et al. 2009). Die Datensammlungen stellen allerdings nie die Gesamtheit der Ereignisse dar, sondern nur die Spitze des Eisbergs.

Oft scheut sich ein Stationsleiter, ein Ereignismonitoring einzuführen, weil ihn der Aufwand abschreckt und die Ressourcen zu fehlen scheinen. Qualitätssicherung wird generell als Luxus angesehen, den man sich ohne die nötigen Mittel nicht leisten kann.

Die umgekehrte Optik ist richtig: Es ist ein sträflicher Luxus, sich nicht mit Patientensicherheit zu befassen. Der Aufwand, Schadensereignisse zu vermeiden, ist um Vieles geringer als derjenige, der nötig ist, um schwere Schäden zu beheben. Korrekturkosten, materiell und emotional, sind immer viel höher als Kosten für die Vorbeugung.

Fehlermonitoring, Prozessanalysen und Risikomanagement sind Kernaufgaben des Leiters einer Intensivstation. Viel zu oft lassen wir uns blenden von immer neueren und spannenderen Therapieformen. Wir vergessen dabei, dass wir im Krankenhaus viel mehr Leben retten und Schäden verhindern könnten, wenn wir schon nur die richtigen Dinge zur richtigen Zeit auch richtig tun würden. Bei fehlerloser Anwendung aller gesicherten Methoden von Diagnose, Therapie und Prävention könnten unsere Kliniken einen Qualitätssprung nach vorn machen, der die Suche nach immer neuen Therapien geradezu nebensächlich erscheinen lassen würde.

Gerade die schwersten Ereignisse (schwerer Schaden oder Tod eines Patienten) benötigen aus der Sicht des Qualitäts- bzw. Risikomanagements eine Unterstützung – in Bezug auf die Analyse, die Kommunikation mit Patienten und Angehörigen und last, but not least für die betroffenen Mitarbeitenden, die im Sinne eines Second Victim ebenfalls betroffen sind. Die Agency for Healthcare Research and Quality hat hierfür ein strukturiertes Programm – Communication and Optimal Resolution (CANDOR 2018) – entwickelt.

Schwerste Ereignisse sind aber in anderer Weise für die Qualitätssicherung nutzbar. Sie können im betreffenden Betrieb den nötigen Druck erzeugen, sich mit explizitem Fehler- und Risikomanagement zu befassen. Mitarbeiter sind nach solchen Situationen jeweils offen dafür, dass „jetzt etwas geschehen muss“, und dass „es so nicht weitergehen kann“. Häufig wird dann ein allseits belastendes Ereignis zum Ausgangspunkt eines formalen Ereignismonitorings. Hier braucht es eine Priorisierung und eine Beachtung der Schnittstellen in Bezug auf den Informationsfluss und bestehenden Abstimmungsbedarf. Die Intensivmedizin als Schnittstellenfach muss hier in die Abstimmung mit den Kliniken und darf nicht als solitäre Insel im System dargestellt werden.

Die Rechtswelt ist jenes Fach, das sich seit Menschengedenken mit schweren Schäden befasst hat. Ziel war immer im weiteren Sinn, die Gemeinschaft vor Schäden an Leib und Leben zu schützen und dafür untersuchend und nötigenfalls strafend einzugreifen (Tab. 5).

Wie oben erwähnt, entziehen sich die schwersten Formen unerwünschter Ereignisse der Qualitätssicherung im engeren Sinn. Je schwerer ein Schaden ist, desto größer ist das Interesse der Öffentlichkeit, und zwar in zweifacher Hinsicht: Die Rechtspflege kennt Meldepflichten bei Verdacht auf Offizialdelikte, und die Informationsgesellschaft erwartet, dass schwere Ereignisse kommuniziert werden. Die beiden Anliegen können in Konflikt stehen („keine Auskunft bei laufendem Verfahren“ wird durch die Medien als Geheimnistuerei kommentiert).

Vorgesetzte, in deren Bereich ein Schwerstereignis passiert, haben deshalb mit den Rechtsorganen und mit den Medien richtig umzugehen. Dies kann nicht improvisiert werden, sondern muss vorbereitet sein. Wichtig ist, das Ereignis nicht in einer defensiven, vertuschenden Art zu behandeln, sondern sich sofort als engagierter, offener und an der Sicherheit der Patienten interessierter Betrieb darzustellen. Es ist nicht schwer, aufzuzeigen, dass im Krankenhaus Menschen arbeiten, die den anvertrauten Kranken helfen und nicht schaden wollen.

Dazu gehören folgende Punkte: