Warum Prozesssicherheitsmanagement-Programme scheitern, selbst wenn alle OSHA-Anforderungen erfüllt sind

Im Jahr 2005 kamen bei einer Explosion in der BP-Raffinerie in Texas City 15 Menschen ums Leben, mehr als 170 wurden verletzt, und es entstanden Schäden in Milliardenhöhe – durch Sachschäden an Anlagen, Produktionsausfälle, Strafen und Vergleiche. Die Ermittler verwiesen nicht auf ein einzelnes defektes Ventil. Sie stellten Mängel bei Verfahren, Schulungen und betrieblichen Kontrollen fest – genau in dem Bereich, den der Prozesssicherheitsmanagementstandard (PSM) der OSHA abdeckt.

Zwei Jahrzehnte später können die meisten Standorte mit hohem Gefährdungspotenzial einen PSM-Ordner vorweisen. Dennoch kommt es weiterhin zu schweren Ereignissen, darunter eine Raffinerieexplosion im März 2026 in Port Arthur, Texas. Das unbequeme Muster ist bekannt: Die 14 Elemente existieren auf dem Papier, sind aber nicht miteinander verknüpft, nicht aktuell und nicht auf die tatsächliche Betriebsweise der Anlage abgestimmt.

In kontinuierlich betriebenen Anlagen entscheidet sich die Sicherheitsleistung daran, ob die dokumentierten Kontrollen noch zu den Anlagen, den Mitarbeitenden und den Schichtdienstleistenden passen – nicht daran, wie vollständig der Aktenschrank aussieht.

Compliance-Theater statt eines betriebenen Systems

PSM besteht aus 14 Elementen. In der Praxis verhalten sie sich jedoch nicht wie 14 voneinander unabhängige Aufgaben. Die Wirksamkeit hängt davon ab, wie diese Elemente angewendet, verknüpft und dauerhaft aufrechterhalten werden. Der häufigste Fehler ist organisatorischer Natur: PSM wird als Sammlung zu erfüllender Anforderungen behandelt und nicht als System, das betrieben werden muss.

Gefährdungsanalysen, Verfahren, Schulungen und Instandhaltungsprogramme können vollständig wirken. Wenn sie jedoch nicht miteinander verknüpft oder nicht gemeinsam gepflegt werden, entstehen unbemerkt Lücken. Da diese Tätigkeiten nur selten als täglicher Durchsatz sichtbar werden, setzt sich der kurzfristige Produktionsdruck durch. Mit der Zeit wird das Programm zu einer Dokumentation über die Arbeit – statt zu einer verlässlichen Beschreibung der tatsächlichen Arbeit.

Abweichungen zeigen sich zunächst in veralteten Verfahren, Zeichnungen, die nach Anlagenänderungen nicht aktualisiert wurden, sowie verspäteten Audits oder Überprüfungen. Keine dieser Lücken wirkt für sich genommen katastrophal. Zusammengenommen bedeuten sie jedoch, dass das „konforme“ Programm die aktuellen Bedingungen nicht mehr beschreibt.

In Leitständen wird die Lücke am schnellsten sichtbar: Bediener führen das aus, was die Anlage zulässt, nicht das, was im Verfahren des vergangenen Jahres behauptet wurde.

Ermittlungen, die bei der Zahl der Verletzten Halt machen

Der Umfang einer Ereignisuntersuchung richtet sich oft nach dem Ergebnis. Beinaheereignisse werden oberflächlich behandelt, schwere Ereignisse gründlich. Die zugrunde liegenden Ursachen können identisch sein. Eine Einstufung von Ereignissen nach möglichen Folgen und der Wahrscheinlichkeit einer Wiederholung vermittelt ein klareres Bild der Gefährdung, als darauf zu warten, dass Blut auf dem Boden liegt.

Was nach dem Bericht geschieht, ist wichtiger als seine Länge. Wenn Erkenntnisse nicht zu einer Überarbeitung von Verfahren, Schulungen oder Systemkonfigurationen führen, bleiben dieselben Bedingungen bestehen. Anlagen, die das Lernen als optionale Bürokratie behandeln, wiederholen dieselben Szenarien unter neuen Daten.

Auftragnehmer und der blinde Fleck außerhalb des Werksgeländes

Das Management von Auftragnehmern bringt ein zweites Risikoprofil mit sich. Das Sicherheitsprogramm eines Auftragnehmers kann ernsthaft betrieben werden und dennoch nicht mit den Erwartungen einer PSM-pflichtigen Anlage übereinstimmen. Solche Abweichungen werden bis zur Mobilisierung leicht übersehen. In Vorgesprächen vor der Ausschreibung, bei der Klärung von Angebotsfragen und in der Planung vor der Mobilisierung müssen die EHS-Erwartungen ausdrücklich offengelegt und verbindlich gemacht werden. Ohne diese Abstimmung werden Unterschiede bei Planung und Ausführung zu latenter Energie innerhalb der Arbeitserlaubniskette.

Hardware- und Softwareebenen, die Abschaltungen, Alarme und Freigabelogik durchsetzen, sind Teil derselben Integritätsbetrachtung. Teams, die installierte Systeme zuverlässig halten, beginnen oft mit Plattformen, die bereits vor Ort eingesetzt werden – sei es durch die Suche nach Honeywell-Steuerungshardware für prozess- und sicherheitsnahe Architekturen oder durch die Absicherung von Schutzpfaden für rotierende Anlagen mit Instrumentierung zum Maschinenschutz, wenn Vibrations- und Überdrehzahlfunktionen unabhängig von der normalen Prozesslogik bleiben müssen.

Standorte mit hohem Gefährdungspotenzial scheitern selten an einem fehlenden Abschnitt im Ordner. Sie scheitern, wenn sich kleine Fehlanpassungen summieren, bis eine Schutzmaßnahme nicht mehr das leistet, was die Risikobewertung vorausgesetzt hat.

Transparenz: Audits, die Leistung statt Ordner messen

Viele Organisationen können eine einfache Frage nicht beantworten: Wie gut funktioniert das PSM derzeit? Die Vollständigkeit von Dokumenten ist keine Leistungskennzahl. Compliance-Audits – mindestens alle drei Jahre vorgeschrieben – und strukturierte Lückenbewertungen schaffen eine Grundlage, um Korrekturen zu priorisieren. Ohne diesen Rhythmus bleibt „Verbesserung“ reaktiv: ein weiterer Vorfall, eine weitere vorübergehende Maßnahme, ein weiterer vergessener Verantwortlicher.

Über all diese Fehlerarten hinweg zeigt sich ein einheitliches Muster. Mängel entstehen selten durch ein einzelnes fehlendes Element. Sie sammeln sich an, während sich die laufende Anlage weiterentwickelt und das schriftliche System nicht. Schutzmaßnahmen wirken dann intakt, während ihre tatsächliche Wirksamkeit im Betrieb nachlässt.

Das betriebliche Fazit

Das Abhaken der OSHA-Anforderungen beweist, dass sich Nachweise zusammenstellen lassen. Es beweist nicht, dass sich das nächste Ereignis mit Freisetzung gefährlicher Stoffe verhindern lässt. Ein wirksames PSM-Programm benötigt klare Transparenz über seine Leistung, priorisierte Lücken und eine konsequente Umsetzung, die die Arbeitsweise tatsächlich verändert – bei Verfahren, Schulungen, Schnittstellen zu Auftragnehmern und den sie durchsetzenden Kontrollebenen.

Wenn diese Risiken weder verstanden noch gesteuert werden, eskalieren kleine Verbindungsfehler. Der Ordner sieht weiterhin konform aus. Die Anlage ist es nicht.