Systeme, die komplexe Realitäten beherrschbar machen.

In fast jedem Vorhaben, das bewilligt werden muss, entsteht früh eine Liste möglicher Schäden. Sie ist meistens vollständig — und trotzdem wirkungslos, solange sie ungewichtet bleibt. Wer alles gleich ernst nimmt, muss am Ende alles gleich streng regeln, und daran scheitert der Betrieb: Regeln, die im Alltag niemand mehr einhalten kann, werden umgangen. Dann greift auch die wichtige Regel nicht mehr.

Bei CAN-Biel war die Liste lang. Getragen hat am Ende die Handvoll Punkte, die schwer wiegen und sich schlecht zurückdrehen lassen: Abgabe an Minderjährige, Weitergabe an Dritte, Konsum in einer medizinischen Konstellation, die dagegen spricht. Daraus wurden Regeln, die im Alltag überhaupt prüfbar sind — ein Mindestalter, Mengenlimiten pro Person und Bezug, medizinische Ausschlusskriterien, ein Ausstieg jederzeit und ohne Begründung.

Zwei Fragen entscheiden darüber, ob eine Risikoanalyse etwas taugt. Erstens: Steht hinter jedem gewichteten Risiko eine Regel, die im Betrieb greift, und nicht bloss ein Satz im Handbuch? Zweitens: Bleibt eine Spur, die im Zweifelsfall zeigt, dass sie gegriffen hat? Wer beides bejahen kann, hat ein Schutzkonzept. Wer nur die Liste hat, hat eine Absichtserklärung.

Keine der vier Invarianten in den Akten oben ist gesetzlich vorgeschrieben. Das macht sie zu einer eigenen Kategorie: Entscheidungen, die Geld kosten und niemandem geschuldet sind ausser der eigenen Kundschaft. Drei Beispiele, jeweils mit der billigeren Alternative daneben.

Bei wohlverdient.ch sieht die beschenkte Person nie einen Preis, und der Betrieb erfährt nie, wem eine Zuwendung galt — nur die Summe. Die billigere Variante wäre die naheliegende gewesen: Beträge und Empfänger in derselben Ansicht, wie es jedes Standard-Kassensystem ohnehin mitliefert. Gebaut wurde stattdessen eine zusätzliche Trennung zwischen Betrag und Person, mit eigenem Entwicklungsaufwand. Der Grund: Eine Firma, die weiss, wer wie viel geschenkt bekommt, hat eine Information, die ihr nicht zusteht — unabhängig davon, ob sie je missbraucht würde.

Bei UNORA verlangt die Nutzung kein Konto, und der genaue Wortlaut einer Anfrage wird nicht gespeichert. Die billigere Variante hätte beides gespeichert — Support, Auswertung und die spätere Pflege der Wissensbasis wären damit einfacher zu bauen, wie bei praktisch jedem Chat-Produkt üblich. Ohne diese Daten muss die Lückenliste im Cockpit anders funktionieren, mit mehr Aufwand für weniger Rohmaterial. Der Grund: Eine Amtsauskunft, die sich merkt, wer was gefragt hat, verlangt ein Vertrauen, das eine Gemeinde ihren Bürger:innen gegenüber nicht einfordern muss.

Bei Rosie schlägt ein Test fehl, sobald die Mandantentrennung umgangen wird — nicht eine Richtlinie im Handbuch, sondern eine Prüfung, die bei jeder Änderung automatisch mitläuft. Die billigere Variante wäre eine gemeinsame Datenbank über mehrere Pflegebetriebe hinweg, technisch einfacher zu bauen und zu warten. Der Aufwand steckt in der getrennten Architektur und in einer eigenen Testreihe, die diese Trennung bei jeder Weiterentwicklung erneut belegt. Der Grund: Personaldaten eines Betriebs dürfen bei einem Fehler nie im System eines anderen auftauchen, und ein Test hält das auch dann, wenn niemand mehr daran denkt, es zu prüfen.

Der Schlusspunkt ist keiner der Haltung, sondern der Rechnung. Wer sich darauf verlässt, dass im Alltag jede Person unter Druck richtig entscheidet, zahlt jedes Mal neu — an Zwischenfällen, Nacharbeit, Vertrauen. Wer die Entscheidung einmal trifft und einen Test danebenstellt, der sie erzwingt, zahlt einmal. Das lässt sich auch einer Finanzabteilung erklären, ohne ein einziges Wort über Überzeugungen zu verlieren.

Gerd Gigerenzer unterscheidet zwei Lagen. Bei Risiko sind die Wahrscheinlichkeiten bekannt — dort gewinnt die feinere Rechnung. Bei Unsicherheit sind sie es nicht — dort gewinnt die einfache Regel, weil sie sich nicht an Daten von gestern überanpasst, die morgen schon nicht mehr gelten. Sein Standardbeispiel ist die Triage in der Notaufnahme: Eine dreistufige Checkliste zum Herzinfarktrisiko schneidet nachweislich besser ab als ein Modell mit neunzehn Messwerten — schneller entschieden und öfter richtig zugleich.

Das Wort «Risiko» meint dabei etwas Engeres, als es weiter oben auf dieser Seite verwendet wird: Dort ist jede Gefährdung von Bewilligung, Personen oder Betrieb gemeint, hier ausschliesslich der Fall, in dem sich eine Wahrscheinlichkeit beziffern lässt. Beide Bedeutungen berühren sich trotzdem an genau einer Stelle: Schritt zwei der eigenen Methode heisst «Gewichten» und setzt voraus, dass sich etwas gewichten lässt. Wo das gelingt, gewinnt die Rechnung. Wo nicht, gewinnt Schritt drei — eine Regel, in die sich das Unwägbare übersetzen lässt, statt es feiner zu berechnen.

Bei UNORA trägt genau dieses Prinzip die Architektur. Statt jede Anfrage einzeln gegen ein Datenschutzrisiko abzuwägen, gelten vorab festgelegte Regeln: keine Kontoerstellung, kein gespeicherter Wortlaut, Zugriff auf Datenbankebene je Gemeinde technisch abgeriegelt. Das eigene Dossier nennt das Konstruktionsprinzipien; in der Sache sind es vorab entschiedene Regeln, nicht das Ergebnis einer Abwägung im Einzelfall.

Die Grenze gehört dazu, sonst wird aus der Beobachtung eine Masche. Eine einfache Regel versagt dort, wo der Einzelfall tatsächlich neu ist und keine der vorbedachten Kategorien trifft — etwa eine Anfrage, die zwischen zwei Zuständigkeiten liegt und die UNORA deshalb korrekt an einen Menschen übergibt, statt zu raten. Genau dafür bleibt die Übergabe an die Verwaltung Teil des Systems, nicht ein Nebenausgang für Sonderfälle.

Die teuerste Fehlentscheidung ist selten eine schlechte Lösung. Es ist die perfekte Lösung für das falsche Problem.

Ein Beispiel aus der eigenen Praxis: Bei CAN-Biel liesse sich die naheliegende Frage stellen, wie ein Verkaufspunkt am effizientesten betrieben wird — Sortiment, Abläufe, Kostenstruktur. Das ist die Frage, die die meisten Betriebe zuerst stellen. Die eigentliche Frage lag eine Ebene tiefer: Welche Dokumentation hält vor einer Ethikkommission stand, wenn niemand sie liest, bis ein Zweifel entsteht? Wer diese Frage zuerst löst, kann später über Sortiment reden. Wer sie zuletzt löst, redet nie darüber, weil der Betrieb gar nicht erst bewilligt wird.

Das Muster wiederholt sich. Eine Institution optimiert die sichtbare Seite eines Problems, weil dafür bereits ein Prozess existiert. Die unsichtbare Seite — warum das Problem überhaupt entstanden ist, welche Annahme es am Leben hält — bleibt unberührt, weil dafür kein Prozess existiert und niemand explizit zuständig ist.

Deshalb beginnt jedes Mandat hier mit derselben Frage, bevor irgendetwas gebaut wird: Welche Annahme hält das bestehende System zusammen, und hält sie einer Prüfung stand? Das kostet zehn Tage im Strategic Decode. Es kostet ungleich mehr, es nach dem Bau herauszufinden.