Schweizerische Bundesbahnen (SBB) Zentralbereich Revision. Second Opinion zur Strompanne der SBB. Zusammenfassender Bericht an den Verwaltungsrat

Transkript

1 Zentralbereich Revision Second Opinion zur Strompanne der SBB Zusammenfassender Bericht an den Verwaltungsrat FICHTNER CONSULTING & IT AG Stuttgart 24. Januar 2006 Auftrag Nr

2 Inhaltsverzeichnis Seite 1. Vorwort 2 2. Ablauf der Strompanne Ausgangslage Zeitliche Abfolge der Strompanne 4 3. Eignung des bestehenden Risk-Managementsystems Corporate Risk-Management der SBB Risk-Management in der Division Infrastruktur Risk-Management in der Geschäftseinheit Energie Interne Revision Krisenmanagement Weitere Managementsysteme Verantwortlichkeiten Verantwortung für Defizite in dem Risk-Managementsystem Verantwortung für das Eintreten des Risikos Verantwortung für das Ausmass der Strompanne Aufbau- und Ablauforganisation Beurteilung der Bahnstromversorgungsanlagen Stellungnahme zum Strompannenbericht Grundsätzliche Bewertung Beurteilung der Ursachen Ursache 1: Falsche Einschätzung wegen falscher Anlagedaten Ursache 2: Fehlende Übersicht wegen Alarmflut Ursache 3: Derartiges Szenario nie betrachtet Empfehlungen an den Verwaltungsrat 21 I

3 1. Vorwort Am 22. Juni 2005 ereignete sich in der Schweiz eine Bahnstrompanne, die den Zugverkehr in der Schweiz vorübergehend zum Erliegen brachte. Der Verwaltungsrat der Schweizerischen Bundesbahnen nachfolgend SBB abgekürzt hat im Nachgang zu der Panne einen Bericht verabschiedet, der die chronologischen Abläufe der Störung dokumentiert und analysiert. Die genauen Ursachen, die zum Totalausfall der Bahnstromversorgung auf dem gesamten Netz geführt haben, wurden dabei in die Analyse aufgenommen. Im Rahmen einer Second Opinion hat der Verwaltungsrat eine vertiefende Betrachtung und Revision der Strompanne veranlasst und die Fichtner GmbH & Co. KG beauftragt. Ein Sachverständigengremium der Firma Fichtner hat als Prüfungsziel folgende Fragen beantwortet: 1. Weshalb wurde das Risikoszenario eines nationalen Stromausfalls nicht mit den bestehenden Instrumenten (Corporate Risk-Management, divisionales Risk-Management, Krisenmanagement, Versicherungsmanagement, interne Revision) antizipiert und adäquate vorsorgliche Massnahmen und Krisenpläne erstellt? 2. Wie sind die konkreten Verantwortlichkeiten für die Strompanne vom 22. Juni 2005 zu beurteilen? 3. Wie ist der aktuelle Zustand der bestehenden Bahnstromversorgungsanlagen hinsichtlich der Verfügbarkeit und Zuverlässigkeit zu beurteilen? 4. Weist der von der SBB erstellte Pannenbericht Lücken auf? Der Auftrag wurde in der Zeit vom 05. Oktober 2005 bis 30. November 2005 durchgeführt. Sämtliche, insbesondere im Zusammenhang mit den Befragungen erbetenen, Auskünfte wurden von den befragten Mitarbeitern der SBB bereitwillig erteilt. Die angesprochenen Personen haben mündlich versichert, sämtliche Auskünfte vollständig und richtig erteilt zu haben. Den untersuchten Organisationseinheiten sind die Prüfungsfeststellungen vorab mündlich mitgeteilt und nachfolgend schriftlich in den sie betreffenden Passagen zugeleitet worden. Gegenstand der jeweiligen Durchsprache war ausschliesslich die korrekte Wiedergabe des Sachverhalts. Wir versichern, dass wir die Prüfung unabhängig durchgeführt haben und von Seiten der SBB kein Einfluss auf unsere Analysen, Bewertungen und Empfehlungen ausgeübt wurde. Die Prüfungshandlungen beschränkten sich ausdrücklich auf den Geschäftsbereich Energie sowie die Systeme zum Risk-Management auf Ebene des Konzerns. Sofern zum besseren Verständnis der Rahmenbedingungen erforderlich, haben wir unsere Prüfungsfeststellungen auf Allgemeingültigkeit für die Division Infrastruktur beprobt. Prüfungshandlungen in anderen Divisionen haben wir nicht durchgeführt. Insbesondere haben wir keine Untersuchungen in den Divisionen Personenverkehr, SBB Cargo und Immobilien vorgenommen und treffen daher auch keine Aussagen zu der Angemessenheit des Risk-Managements in diesen Divisionen. Alle Aussagen sind somit auf den Geschäftsbereich Energie bezogen, soweit der Geltungsbereich nicht ausdrücklich auf andere Bereiche erweitert wurde. 2

4 2. Ablauf der Strompanne 2.1 Ausgangslage Am Morgen des 22. Juni 2005 fand das tägliche Briefing zur Lagebeurteilung und Abstimmung zwischen der Netzführung und der Energiewirtschaft statt. Teilnehmer waren der Leiter der Energiewirtschaft, der Leiter der Netzführung und ein Mitarbeiter der Netzführung. Folgende Besonderheiten wurden erkannt: Zwischen 13:00 und 18:00 Uhr stand im Reusstal nur eine der drei Leitungen für die Übertragung zur Verfügung. Die (n-1)-redundanz zwischen den Gebieten Uri/Tessin und dem Mittelland war nicht mehr gegeben. Bei einem Ausfall dieser Leitung wäre kein Ersatz vorhanden und das Netz in zwei Teile zerfallen. Im Juni befand man sich im hydrologischen Sommer. Für die Produktionsplanung bedeutet das, dass die Speicher der Wasserkraftwerke gefüllt sind und mehr Stromerzeugungskapazität zur Verfügung steht als für den Eigenbedarf zuzüglich Regelreserve benötigt wird. Die Produktion im Gotthardgebiet war hoch; es stand viel Laufwasser zur Verfügung. Marktpreise für Strom waren hoch. Aus den vorliegenden Unterlagen der SBB wurde die Übertragungsleistung der noch verbliebenen, einzigen Leitung im Reusstal zwischen Amsteg und Rotkreuz mit 240 MW beurteilt. Die kalkulierte Übertragungsleistung betrug 170 MW. Somit ergab sich theoretisch eine Reserve an Übertragungsleistung von 70 MW zwischen dem Raum Gotthard und dem Mittelland. Im Briefing erfolgte eine Abwägung zwischen a) der weitgehenden Ausnutzung der verbliebenen Übertragungsleitung unter Berücksichtigung einer theoretischen Reserve und der Möglichkeit zum Verkauf von Energie in das Mittelland und b) der weitgehenden Entlastung der Übertragungsleitung derart, dass die Netzbereiche Uri/Tessin und Mittelland vorrangig jeweils für sich produzieren und weniger Energie verkauft würde. Die Teilnehmer der Lagebeurteilung haben sich für die scheinbar wirtschaftlichere Variante und gegen die Einhaltung der (n-1)-redundanz entschieden. Die vorhandene Sicherheit wurde als ausreichend betrachtet. Für den Fall einer Panne hat man sich darauf verlassen, dass die zwei ausgeschalteten Leitungen binnen 20 Minuten zuschaltbar wären. Aus diesem Grund sah die Produktionsplanung den Verkauf von produzierter Energie in das 50-Hz-Netz sowohl für das Mittelland (61 MW) als auch für das Gebiet Uri/Tessin (30 MW) vor. 3

5 2.2 Zeitliche Abfolge der Strompanne Auf Basis der uns vorliegenden Unterlagen und Informationen stellte sich der Ablauf der Strompanne wie folgt dar: Durch eine Baumassnahme war von den ursprünglich drei vorhandenen Leitungen zwischen dem Tessin und dem Mittelland nur noch eine in Betrieb. Gegen 17:08 wurde die verbliebene Leitung Amsteg-Rotkreuz infolge einer Überlast automatisch abgeschaltet. Zwischen dem Gotthardgebiet und der Zentralschweiz bestand keine Stromverbindung mehr. Das Bahnstromnetz der SBB zerfiel in die zwei Inseln Nord und Süd. Durch die Abschaltung der letzten verbliebenen Leitung war in der Insel Süd ein Überschuss an produziertem Strom vorhanden. Die Frequenzumrichtung und Einspeisung in das 50 Hz-Netz gelang nicht. Durch Schutzabschaltungen wurden die meisten Maschinen binnen weniger Sekunden abgeschaltet. Im Tessin und am Gotthard kam der Bahnverkehr zum Erliegen. In der Deutsch- und Westschweiz wurde die Produktion in den Kraftwerken Chatelard, Vernayaz und Etzel hochgefahren. Gemeinsam mit dem Stromtransfer über die Kuppelstellen mit der Deutschen Bahn wurden die fehlenden Energien aus dem Gotthard vorübergehend kompensiert. Die Zentrale Leitstelle (ZLS) hatte keinen Überblick über den Sachverhalt. Die labile Situation des nördlichen Netzteils wurde nicht erkannt. Steuernde Eingriffe zur Beherrschung der Situation wurden nicht vorgenommen. Gegen 17:35 wurden die Kuppelstellen zur Deutschen Bahn wegen Überlast abgeschaltet. Die verbleibenden Kraftwerke in der Deutschund Westschweiz steigerten ihre Produktion weiter, stiegen jedoch nacheinander bis kurz nach 18 Uhr wegen Überlastung aus. Der Bahnverkehr kam auch in der Nord-Insel zum Erliegen. In der Zeit von 17 bis 18 Uhr hatten die Kraftwerke Rupperswil, Kerzers und Massaboden in der Deutschschweiz in das 50 Hz-Netz abgegeben. Die im eigenen Netz fehlende Leistung wurde von der Zentralen Leitstelle (ZLS) nicht erkannt. Unmittelbar nach dem Zusammenbruch des gesamten Netzes wurde mit dem geordneten Wiederaufbau begonnen. Ab 20:05 Uhr wurden die Unterwerke sukzessive zugeschaltet. Nachfolgend konnten die Netzteile wieder belastet werden. Gegen 21:15 Uhr war das gesamte Bahnstromnetz wieder in Betrieb. 4

6 Im Detail stellt sich der chronologische Ablauf in den wesentlichen Punkten wie folgt dar: Uhrzeit Sachverhalt Bemerkung 13:08:00 Die Übertragungsleitungen Planmässig Amsteg-Steinen werden abgestellt. seit etwa 15 Uhr Leistungsverlauf in der Region Tessin steigt an. Aus Leistungsverlauf Region Tessin 17:00 bis 17:08 Viertelstundenwert zur Pannenzeit zeigt negative Lastspitze von etwa 20 MW. SBB vermutet Rekuperationsspitze. Fahrleitungsspannung in Rotkreuz und in Giubiasco sinkt leicht. vor 17:08 Die Werke im Mittelland (Etzelwerk, Chatelard und Vernayaz) steigern kontinuierlich die Leistung um etwa 20%, Frequenz stabil bei 16,7 Hz. 17:08:28 Überstrom-Auslösung der Leitung Amsteg-Rotkreuz. Das Bahnstromnetz zerfällt in zwei Inseln: Süd und Nord. 17:08:28 DB-Kupplung springt auf 180 MW und pendelt nachfolgend zwischen 50 MW und 150 MW. Hinweis auf steigende Last der Übertragungsleitung. Aufgrund fehlender Aufzeichnung kann die tatsächliche Übertragungsleistung nicht festgestellt werden. Indizien sprechen für (zu) hohen Lastbedarf im Norden. Hinweis auf steigenden Énergiebedarf im Bahnstromnetz. Auslösung, wenn für mindestens 2 sec ein Strom von 1600 A=211,2 MVA 211 MW fliesst. Tatsächlicher Stromfluss nicht bekannt. Muss aber geringer als 253,4 MVA 253 MW sein, da auf diesen Wert die Alarmmeldung an die ZLS eingestellt war. 5

7 Uhrzeit Sachverhalt Bemerkung 17:08:31 bis 17:08:36 Produktion der Werke Giubiasco, Ritom und Göschenen binnen 5 sec automatisch abgeschaltet. Die Technik im Kraftwerk Amsteg war anders. Die Maschinen sind bis etwa eine halbe Stunde nach der Panne mehrfach hoch- und runtergefahren. 17:13:32 DB-Kuppeltrafo Haltingen gibt eine Warnmeldung Thermoschutz. 17:23:16 DB-Kuppeltrafo Haltingen löst Thermoschutz aus. Schutz der Anlagen war erfolgreich. 17:31:27 Handzuschaltung Kuppeltrafo Haltingen durch DB. 17:35 Die Kuppelstellen Singen und Haltingen zur DB schalten wegen Überlast ab. 17:35 Alle Kraftwerke in der bis 18:05 Deutsch- und Westschweiz schalten nacheinander wegen Überlastung ab. 19:05 bis Kraftwerke werden lokal 19:45 hochgefahren und an das Netz geschaltet. 20:05 Zusammenschalten der Teilnetze. ab 20:05 Fahrleitungs- Transformatoren werden zugeschaltet. ab 21:00 Erste Lokomotiven fahren ab 21:15 wieder. Hochspannungsnetz weitgehend stabil. Durch Abschalten der Leitung Amsteg-Rotkreuz war keine ausreichende Abnahme für die Produktion vorhanden. Automatische Abschaltung zum Schutz der Maschinen. Hinweis auf drohende Überlast der Kuppelstelle. Wird von der ZLS nicht wahrgenommen. Auslösung durch Überlast. Wird von ZLS nicht wahrgenommen. Wird von der ZLS nicht wahrgenommen. Wird von der ZLS nicht wahrgenommen. Die von der SBB getätigten Angaben zum Ablauf der Strompanne wurden im Rahmen der Second Opinion bestätigt. 6

8 3. Eignung des bestehenden Risk-Managementsystems 3.1 Corporate Risk-Management der SBB Die SBB besitzt auf Ebene des Konzerns ein System zum Risk- Management, das die grundlegenden Elemente eines wirkungsvollen Systems beinhaltet. Das Berichtswesen (Corporate Risk Report SBB) an den Verwaltungsrat erfolgt regelmässig, nach klaren Regeln, in angemessener Detaillierungstiefe, mit Darstellung der beschlossenen Massnahmen der Geschäftsleitung sowie dem Controllingbericht der historisch eingeleiteten Massnahmen. Das Risk-Management erfüllt auf der Ebene des Konzerns die wesentlichen funktionalen Anforderungen. Das Corporate Risk-Management trifft keine strukturierten und systematischen Vorgaben durch den Konzern im Sinne einer Methodik für die Risikoerfassung, -bewertung und -steuerung. Die systematische Identifikation der Risiken wird auf Linienverantwortliche delegiert, ohne Mindestanforderungen zur Umsetzung zu nennen. Hier sehen wir ein Defizit im Corporate Risk-Management. Die aus der Division Infrastruktur eingebundenen Risk- Owner hatten jeweils keine strukturierte Methodik zur Erfassung, Analyse und Bewertung der operativen Risiken in ihrem Zuständigkeitsbereich. Die Kommunikationskultur in den Interviews mit den etwa 50 Risk-Ownern beurteilen wir als offen. Vertraulichkeit wurde gewahrt und führte zur direkten Ansprache von Missständen, Schwächen und Risikopotenzialen. Die fehlende Systematik zum Risk-Management in der Division Infrastruktur wurde vom Verfasser des Corporate Risk Reports nicht erkannt. Angesichts der grossen Offenheit zur Benennung der Risiken in den durchgeführten Interviews vertreten wir die Ansicht, dass dieser dieses Defizit nicht erkennen konnte. Darüber hinaus gehende Prüfungshandlungen durch die Geschäftsleitung und den Verwaltungsrat fanden nicht statt. Da die Berichte zum Corporate Risk Report aussagefähig waren und keine Anhaltspunkte für nicht erkannte Risiken vorlagen, hatten diese auch keinen Anlass hierzu gesehen. Es kommt jedoch in Unternehmen mit ähnlich komplexer Struktur durchaus vor, dass Externe ohne besonderen Anlass zentrale Systeme wie das Risk- Managementsystem auf Funktionsfähigkeit, Eignung, Angemessenheit und Stabilität untersuchen. Als Verbesserungspotenzial sehen wir die Sicherstellung einer ebenfalls systematischen Umsetzung auf der nachgeordneten divisionalen Ebene. Wir empfehlen zu prüfen, ob der Konzern Mindestinhalte des Risk- Managements auf Ebene der Divisionen und Geschäftsbereiche definieren sollte. Die Ausgestaltung nach Art und Umfang sollte entsprechend der bestehenden Unternehmensphilosophie der SBB in Verantwortung der Divisionen verbleiben. Die Weiterentwicklung des Corporate Risk-Managements sollte gewährleisten, dass die Risk-Owner eine systematische Risikoinventur und -bewertung durchführen. Darüber hinaus sollte die Vereinheitlichung des Prozesses mit einer erprobten und bewährten Methodik angestrebt werden. 7

9 3.2 Risk-Management in der Division Infrastruktur Die Division Infrastruktur hatte zum Zeitpunkt der Strompanne, mit Ausnahme für Projekte, kein Risk-Managementsystem implementiert oder im Aufbau. Es gab kein System, das die Detailkenntnisse aus dem Betrieb eingebunden hat. Die im Rahmen der strategischen Ausrichtung durchgeführten SWOT-Analysen haben zwar Risiko-Aspekte behandelt, jedoch nicht in einer für ein Risk-Management erforderlichen Systematik und Tiefe. Lediglich für Projekte gibt es ein Risk-Managementsystem, das umgesetzt und gelebt wird. Für die erkennbaren Risiken in Projekten liegen in der Division Infrastruktur bereits weitreichende Grundlagen und Weisungen vor. Das Risk-Management in Projekten der Division Infrastruktur war Gegenstand einer Prüfung der Internen Revision der SBB Anfang Wir empfehlen, die dabei erkannten Defizite in der Systematik, der Wahrnehmung der Führungsaufgaben und der vorausschauenden Risikobetrachtung in Projekten angemessen zu beseitigen. Das Defizit des fehlenden divisionalen Risk-Managements hat der Leiter der Division unmittelbar nach der Strompanne erkannt und zeitnah erste Schritte unternommen, um ein System über die gesamte Division Infrastruktur aufzubauen. Wir empfehlen die konsequente Weiterentwicklung des Systems zum divisionalen Risk-Management, das den besonderen Anforderungen an die komplexen technischen Systeme der Bahninfrastruktur genügen muss. 3.3 Risk-Management in der Geschäftseinheit Energie Für den Bereich Energie gelten hinsichtlich des fehlenden Systems zum Risk-Management die gleichen Aussagen wie für die Division Infrastruktur. Das Defizit hat der Leiter des Bereichs Energie erkannt und neben der Mitarbeit in der Projektgruppe der Division zum Risk-Management eine u.a. mit dem Risk-Management betraute Stabsstelle eingerichtet. Diese Stabsstelle soll die Linienverantwortlichen der Geschäftseinheit Energie konzeptionell und prozessseitig bei der Wahrnehmung des Risk-Managements unterstützen. Für den Energiehandel liegt eine umfassende Handlungsanleitung vor, die die finanziellen Aspekte berücksichtigt. Darüber hinaus werden die Beschaffungsstrategie, die zugelassenen Produkte und Märkte sowie die wesentlichen Risiken (Mengen, Wiederbeschaffung und -verkauf) ausreichend behandelt. Das Risk-Management hat jedoch noch Lücken im Hinblick auf die Ausgestaltung des operativen Betriebs und die Darstellung der Geschäftsprozesse. Wir empfehlen auch für den Bereich Energie die konsequente Weiterentwicklung des Systems zum Risk-Management, das den besonderen Anforderungen an die Systeme der Bahnstromversorgung genügt. 8

10 Weiterhin empfehlen wir die Weiterentwicklung des Risk-Managements im Energiehandel um die Darstellung der Geschäftsprozesse im operativen Betrieb, wie es für Unternehmen der Energiewirtschaft mit ähnlich komplexer Produktions- und Abnahmestruktur üblich ist. Anhaltspunkte dafür, dass der Ertragsmaximierung aus dem Energieverkauf Vorrang vor einer sicheren Bahnstromversorgung gewährt wurde, sind nicht zu erkennen. Die vorhandene Handelsstrategie schliesst diese Möglichkeit ausdrücklich aus. Nach Behebung der erkannten Defizite empfehlen wir eine Überprüfung, in welchem Umfang die nach der Strompanne um 50 MW erhöhte Regelreserve unter Abwägung von risikorelevanten und finanziellen Aspekten reduziert werden kann. Die derzeitigen Mehrkosten belaufen sich dafür auf jährlich ca. 2 Mio. CHF. 3.4 Interne Revision Die Interne Revision hat u.a. die Aufgabe, Schwachstellen im Risk- Management sowie Risiken und Chancen in Projekten und Prozessen aufzuzeigen. Im Hinblick auf das Corporate Risk-Management und das Risk- Management in Projekten der Division Infrastruktur hat die Interne Revision die Aufgabe in vollem Umfang erfüllt. Prüfungshandlungen wurden in ausreichender Tiefe und kompetent durchgeführt. Empfehlungen wurden in der erforderlichen Konkretisierung ausgesprochen. Zu Beginn 2005 prüfte die Interne Revision das Risk-Management bei Projekten in der Infrastruktur. Bei den übrigen Prozessen erfolgte keine analoge Prüfung des Risk-Managements. Damit ist eine Prüflücke offen geblieben. Schwachstellen im Risk-Management die Prozesse der Division Infrastruktur betreffend mit Ausnahme der Projekte wurden somit nicht aufgedeckt. Der Basis-Prozess Energieversorgung und -verteilung wurde von der Internen Revision jedoch im Vorfeld der Revisionsplanung 2005 als materiell wesentlich beurteilt. Eine entsprechende Prüfung Bahnstromversorgung war vorgesehen und ist auch explizit im Revisionsplan 2005 enthalten. Die Strompanne kam der geplanten internen Revisionsprüfung jedoch zuvor. 3.5 Krisenmanagement Das Krisenmanagement ist kein Instrument zur Erkennung, Beurteilung und Steuerung von Risiken. Es hat vielmehr die Aufgabe, beim Eintritt von Krisen angemessen zu reagieren, den operativen Einheiten den Rücken frei zu halten sowie Personen-, Vermögens- und Imageschäden von der SBB fernzuhalten. Im konkreten Fall der Strompanne hat das Krisenmanagement nach dem Zusammenbruch des Stromnetzes gut funktioniert. Der Netzaufbau erfolgte professionell und in kurzer Zeit. Damit wurden die Voraussetzungen ge- 9

11 schaffen, die Krise auf Stufe der Division und Gesamtunternehmung schnell zu bewältigen. Gesondert anzumerken ist, dass das Krisenmanagement das Szenario eines grossflächigen Ausfalls der Bahnstromversorgung in seinem Katalog der vorbehaltenen Beschlüsse berücksichtigt hat. Mit Einführung der Bahn 2000 ist zwar nicht der schweizweite, jedoch der grossflächige Ausfall der Bahnstromversorgung betrachtet worden. Die Wiederinbetriebnahme der grossflächig ausgefallenen Stromversorgung wurde mehrfach geübt. Aus diesem Grund ist im Fall der Strompanne das zusammengebrochene Netz in kurzer Zeit und ohne nennenswerte Probleme wieder in den ordnungsgemässen Betriebszustand gebracht worden. Als Defizit ist anzumerken, dass das Risk-Management auf divisionaler Ebene der Infrastruktur die Szenarien des Krisenmanagements nicht betrachtet hat. Erkenntnisse aus Übungen zum Krisenmanagement werden konsequent aufgearbeitet. Zum Jahresbeginn 2006 wird diese Aufgabe in einer Stabsstelle der Division Infrastruktur angesiedelt. Das bisher bestehende Risiko des Know-how-Verlustes durch den Ausfall eines Know-how-Trägers wird somit vermieden. 3.6 Weitere Managementsysteme Eine systematische Einbindung und Verknüpfung der anderen Managementsysteme (Umwelt, Qualität, Sicherheit, etc.) zum Corporate Risk- Management ist nicht zu erkennen. Insgesamt fehlt über alle vorhandenen Managementsysteme eine Klammerfunktion in Form eines Führungssystems. Wir empfehlen für die Division Infrastruktur die Festlegung auf ein führendes Managementsystem sowie die Einführung eines die Division umspannenden Qualitätsmanagementsystems. Dieses wäre grundsätzlich geeignet, die zahlreich erkannten Verbesserungspotenziale in der Dokumentation und der Qualifikation wirkungsvoll zu verfolgen. 10

12 4. Verantwortlichkeiten Die Verantwortung für die Strompanne unterscheiden wir nach der Einzelbetrachtung der Verantwortung für die Defizite in dem Risk-Managementsystem, das Eintreten des Risikos, das Ausmass der Panne. 4.1 Verantwortung für Defizite in dem Risk-Managementsystem Unsere Überprüfung der Aufbau- und Ablauforganisation ergibt keinen Hinweis auf ein Organisationsverschulden der Geschäftsleitung. Die Grundsätze des Corporate Risk-Managements legen fest, dass die Kompetenz der Risikobeurteilung und -steuerung bei den Linienmanagern angesiedelt ist. Die Verantwortung des kollektiven Verwaltungsrats und der kollektiven Geschäftsführung scheidet nach unserer Beurteilung aus. In seiner Funktion als Risk-Owner u.a. für den Bereich Energie trägt der Leiter der ehemaligen Sparte Verkauf & Kapazitätsmanagement Verantwortung für das Nichterkennen und die unzureichende inhaltliche Auseinandersetzung mit dem Risiko des grossflächigen Stromausfalls. Für das fehlende System zum Risk Management auf divisionaler Ebene ist der Leiter der Division verantwortlich. Weiterhin ist der Leiter der ehemaligen Organisationseinheit Energie verantwortlich für die fehlerhafte Dokumentation der Anlagen zur Bahnstromversorgung. Festzuhalten ist jedoch, dass nach Amtsantritt in Mitte 2004 der Leiter der Division Infrastruktur und der Leiter der Organisationseinheit Energie eine umfängliche Bestandaufnahme und eine Priorisierung von Risiken und Massnahmen vornahmen. Die Umsetzung von beschlossenen Verbesserungsmassnahmen wurde durch den Eintritt der Strompanne zeitlich überholt bzw. in deren Folge beschleunigt. Unsere Prüfung kommt zu dem Ergebnis, dass die oben genannten Führungskräfte zu ihrer Verantwortung stehen und aus der Panne zutreffende Lehren gezogen haben. Defizite in Prozessabläufen, der Aufbauorganisation, Dokumentation und Qualifikation von Schlüsselpersonal wurden selbstkritisch analysiert und bewertet. Umfassende und weitreichende Massnahmen zur zeitnahen Abstellung der Defizite und zur Stärkung des Risikobewusstseins wurden eingeleitet. Personelle und organisatorische Konsequenzen wurden gezogen. Die Reorganisation der Geschäftseinheit Energie mit direkter Berichterstattung an die Leitung der Division, die Zuordnung der Risk-Verantwortung direkt an den Leiter Energie sowie der Aufbau des divisionalen Risk-Managements wurden zeitnah nach Analyse der Panne veranlasst. Wir halten die drei vorgenannten Kader auf Basis unserer Untersuchungen zur Strompanne für geeignet, ihre Funktionen in vollem Umfang auszuüben. Wir empfehlen dem Verwaltungsrat, den Umsetzungserfolg der per- 11

13 sonellen und organisatorischen Massnahmen zu verfolgen. Als Instrument kann dafür das in der Division Infrastruktur und der Geschäftseinheit Energie angestrebte Risk-Management dienen. 4.2 Verantwortung für das Eintreten des Risikos Das Eintreten des Risikos wurde im konkreten Fall von zwei Faktoren geprägt: einerseits der fehlerhaften Eintragung der Leistungsfähigkeit der betroffenen Übertragungsleitung als Gesamtsystem aller Einzelkomponenten und andererseits der Risikoabwägung im Briefing des besagten Tags der Panne. Die fehlerhafte Eintragung in der Dokumentation liegt nach den Recherchen der SBB und von uns voraussichtlich mehr als ein Jahrzehnt zurück. Verantwortlichkeiten lassen sich nicht mehr hinreichend genau zuordnen. Im Briefing des haben die involvierten Mitarbeiter den geplanten Eingriff in das System nicht mit der gebotenen Sorgfalt geprüft und sind dabei zu einer folgenschweren Fehleinschätzung des tatsächlichen Risikos gekommen. Für das Eintreten des Risikos der Überlastung und des Ausfalls der Übertragungsleitung zwischen Amsteg und Rotkreuz sind innerhalb der Organisationseinheit Energie somit folgende Teilnehmer des Briefings verantwortlich: Leiter Energiewirtschaft, Leiter Netzführung, Teilnehmender Mitarbeiter der Netzführung. Geeignete organisatorische und personelle Massnahmen wurden ergriffen. Mit der Änderung des Briefings im Hinblick auf die Terminierung, die Strukturierung und Dokumentationspflicht sowie mit dem Abgleich der Daten im Leitsystem und physisch vor Ort wurden die wesentlichen Defizite in den Abläufen beseitigt. Der Leiter der Netzführung wurde seit dem vierten Quartal 2005 mit anderen Aufgaben betraut. Weitergehende personelle Massnahmen empfehlen wir dem Verwaltungsrat nicht. 12

14 4.3 Verantwortung für das Ausmass der Strompanne Die beiden Mitarbeiter auf der Zentralen Leitwarte (Dispatcher) waren nicht Ursache für das Eintreten des Risikos. Hierfür ist vorrangig die Fehleinschätzung im Briefing Ursache. Bei besserer Unterstützung durch das Leitsystem und bei höherer Qualifizierung hätten die Dispatcher jedoch die sich anbahnende Gefahr erkennen und zumindest das Ausmass der Strompanne räumlich stark begrenzen können. Die Defizite im Leitsystem waren bekannt. Die Weiterentwicklung des Systems wurde von dem Leiter der ehemaligen Sparte Verkauf & Kapazitätsmanagement sowie dem Leiter der Geschäftseinheit Energie mit Priorität und Nachdruck verfolgt. Die Strompanne hat die Bemühungen zeitlich überholt bzw. beschleunigt. Die unzureichende Qualifizierung der Mitarbeiter auf der Leitwarte hat als disziplinarisch Vorgesetzter der Leiter Netzführung zu verantworten. Mildernd ist jedoch anzuführen, dass die Personalbemessung der Zentralen Leitstelle voraussichtlich zu knapp war und kaum zeitlichen Raum innerhalb des Schichtbetriebs für Schulungen zuliess. Dieser Sachverhalt wurde bereits vor der Strompanne erkannt und Massnahmen zur Aufstockung der personellen Ressourcen sowie zur Schulung eingeleitet. Die Strompanne hat die Massnahmen überholt. Wir sehen keinen Bedarf, über die bereits vorgenommene Ablösung des Leiters Netzführung hinaus weitere personelle Konsequenzen zu ziehen. 13

15 5. Aufbau- und Ablauforganisation Die Geschäftseinheit Energie ist organisatorisch grundsätzlich gut aufgestellt. Die erkannten Defizite liegen vorrangig in den Abläufen, der unzureichenden Leittechnik, dem fehlenden Risk-Managementsystem sowie in der Qualifikation einiger Mitarbeiter. Insbesondere die Defizite in den Abläufen, der Leittechnik und der Dokumentation sind bereits vor der Panne erkannt und Massnahmen zur Behebung eingeleitet worden. Die Strompanne hat die eingeleiteten Massnahmen jedoch zeitlich überholt und zu einer beschleunigten Umsetzung geführt. Wir sehen für die Division Infrastruktur, bezogen auf den Bereich Energie, im Hinblick auf die Strompanne vorerst keinen wesentlichen Reorganisationsbedarf. Vielmehr sollte den Funktionsträgern die Gelegenheit gegeben werden, die eingeleiteten Massnahmen konsequent und zeitnah umzusetzen. Auf diesem Weg kann der mittel- und langfristige Erfolg beurteilt werden. Die Funktionsträger haben somit die Chance, die Früchte ihrer Saat zu ernten. Bei der Vielzahl an Reorganisationen in der Division Infrastruktur war das in der Vergangenheit nur eingeschränkt möglich. Die Geschäftsprozesse sind im Geschäftsbereich Energie nur in geringer Detailtiefe dokumentiert. Als Anleitung zur Aufgabenausführung für die Mitarbeiter im operativen Betrieb sind diese wegen der geringen Detaillierung nicht geeignet. Anstelle dessen existieren eine Vielzahl von Weisungen. Eine aktuelle Aufstellung über die in der Geschäftseinheit Energie vorhandenen Weisungen und Dokumente mit Anweisungscharakter ist nicht vorhanden. Die Weisungen sind insbesondere im Hinblick auf die vielen organisatorischen Änderungen nicht nachgepflegt. Die Notwendigkeit, die Geschäftsprozesse detailliert nachzupflegen wurde erkannt und im Rahmen des seit Januar 2005 laufenden Projekts "avenue" vom Geschäftsbereich Energie angestossen. Geplanter Projektabschluss ist das Jahresende Die Vielzahl der festgestellten Defizite in der technischen Anlagendokumentation zeigt auf, dass falsche Anlagendaten in der Dokumentation der Bahnstromanlagen kein Einzelfall sind und ein latentes Risiko darstellen. Die von uns geführten Interviews lassen darauf schliessen, dass diese Aussage ggf. auch auf andere Bereiche der Division Infrastruktur zutreffen könnte. Die bereits seit 2003 eingeleiteten Massnahmen zur Bereinigung der Dokumentation sollten mit oberster Priorität zum Abschluss gebracht werden. Gleichzeitig empfehlen wir die Prüfung, ob eine Übertragbarkeit der Aussage zu den Defiziten in der Dokumentation auf andere Bereiche der Infrastruktur zutreffen könnte. Falls dies zutrifft, sollten auch hier Massnahmen zur Qualitätssteigerung veranlasst werden. Verhaltensempfehlungen und -anweisungen für die Vorgehensweise bei einer Grossstörung wie der Strompanne lagen nicht vor. Das Szenario eines landesweiten Bahnstromausfalls hatte der Bereich Energie nie in Erwägung gezogen. Die Verhaltensstrategie des Störungsmanagement- Prozesses im Falle von Grossstörungen war vor der Strompanne hauptsächlich auf die eigentliche Störung und deren Beseitigung ausgerichtet. Dabei wurden die noch funktionierenden Anlagenteile ausser Acht gelas- 14

16 sen bzw. rückten in der Aufmerksamkeit eher in den Hintergrund. Die neue Massgabe sieht jetzt als oberste Priorität die Prüfung und Sicherstellung der Energieversorgung jener Netzteile vor, die auf den ersten Blick normal funktionieren. Erst im Anschluss daran kümmern sich die Mitarbeiter um die gestörten Netzteile. Dies stellt eine wesentliche Verbesserung in der gewünschten Verhaltensweise zur Störungsbehandlung dar. Im konkreten Fall der Strompanne hat die Leittechnik die Zentrale Leitstelle mit mehrere tausend Meldungen überhäuft. Die grundsätzlichen Defizite der unterstützenden Systeme waren bereits vor der Strompanne bekannt, das damit verbundene Risikopotenzial wurde jedoch nicht als hoch eingeschätzt. Bezüglich der technischen Unterstützung des Leitstellenpersonals werden mit Sofortmassnahmen wie Priorisierung und Filterung der Fehlermeldungen jene Risiken beseitigt und minimiert, deren Beseitigung oder Minimierung sich rasch umsetzen liess. Grundsätzlich wird dieser Themenkomplex im Rahmen der Ablösung der Zentralen Leitstelle angegangen und erst gegen 2010 vollständig gelöst werden. Die Dispatcher der ZLS waren durch unzureichende Schulungsmassnahmen und Übungen auf Grossstörungen mit der Einschätzung und Erstanalyse sowie der Einleitung von Sofortmassnahmen im Störungsfall überfordert. Das richtige Verhalten zur Krisenvermeidung war wenig ausgeprägt und wurde als Schulungsziel vernachlässigt. Hier lag ein Ausbildungsdefizit für die Mitarbeiter der ZLS vor. Die eingeleiteten Massnahmen sehen wir als sachgerecht und wirkungsvoll zur Beseitigung der erkannten Defizite an. Wir empfehlen dem Verwaltungsrat, diese Massnahmen zur Dokumentation der Abläufe und technischen Anlagen, der Qualifizierung des Personals im Bereich Energie, zum Systemdesign insbesondere der Leittechnik zu verfolgen. Insbesondere die fehlerhafte technische Dokumentation stellt eine latente Gefahr dar, die jedoch mit dem Abschluss der Korrekturen an der Dokumentation zum Jahresende 2005 für den Geschäftsbereich Energie beseitigt sein sollte. 15

17 6. Beurteilung der Bahnstromversorgungsanlagen Die Verfügbarkeit und Zuverlässigkeit der Anlagen ist grundsätzlich gegeben. Die in den gesichteten Unterlagen spezifizierten Anlagen und Komponenten entsprechen dem Stand der Technik und können eine hohe Verfügbarkeit und damit eine sichere Betriebsführung gewährleisten. Die von uns vor Ort begutachteten Stationen haben eine sehr unterschiedliche Altersstruktur. Sie machen durchweg einen gepflegten Eindruck und lassen auf eine ordnungsgemässe Wartung schliessen. Aus der Auswertung der übergebenen Unterlagen ergaben sich im Hinblick auf den Netzbetrieb, die Netzführung und das Störungsmanagement der Bahnstromanlagen insbesondere Risiken aufgrund der Netzstruktur, zu geringer Reaktionsfähigkeit, unzureichender Anlagenkenntnisse, nicht vorhandener Versorgungsspannung, unzureichender Informationen über das Netzverhalten, vorhandener Schutzeinstellungen, nicht optimal funktionierender Regelungen. Zur Abstellung bedarf es weiterer Betrachtungen durch die SBB sowie die Umsetzung der bereits beschlossenen Massnahmen. Die Spezifikationen für neue Anlagen und deren Komponenten entsprechen dem Stand der Technik. Im formalen Aufbau dieser Standard - Unterlagen spiegelt sich jedoch eine hohe Vielfalt wieder. Es ist nicht erkennbar, dass diesen Unterlagen regelgerechte unternehmensweit anzuwendende Werksvorschriften zugrunde liegen. Die auf den derzeit durchgeführten Bestandsaufnahmen der Bahnstromversorgungsanlagen aufbauenden Ausbauplanungen sollten dazu dienen, die vorhandene Komponentenvielfalt zu reduzieren. Die Standardisierung in der Beschaffung von Anlagen und Komponenten kann verbessert werden, u. a. durch Einführung und konsequente Pflege von Fabrikatkatalogen. Die vorliegende Instandhaltungsstrategie vom Juni 2005 für die Kraftwerke werten wir als gute Basis. Für die Stromnetze gibt es derzeit noch keine einheitliche Richtlinie zur Instandhaltung. Es existieren vertragliche Vereinbarungen mit regionalen Stromnetzbetreibern. Diese führen die Instandhaltungsarbeiten nach deren eigenen Richtlinien durch. Wir empfehlen der SBB, einheitliche Vorgaben für die Instandhaltung zu treffen. In diesem Zusammenhang sollten die erkannten Defizite in den Prozessen der Instandhaltungsplanung und -steuerung sowie Dokumentation analysiert und die Abläufe ggf. neu gestaltet werden. Auch für die Instandhaltung der Unterwerke existiert keine formelle Richtlinie. Wir empfehlen ferner, eine SBB-weite Instandhaltungsrichtlinie für die Bereiche Erzeugung, Übertragungsnetz und Unterwerke zu prüfen. Die vor- 16

18 gelegten Unterlagen können hierzu wertvolle inhaltliche Beiträge liefern. Darüber hinaus empfehlen wir, für alle Unternehmensbereiche den Aufbau eines Berichtswesens, mit dem der Nachweis einer richtlinienkonformen operativen Umsetzung der Richtlinieninhalte erbracht werden kann. Die Berichtsinhalte können zur Weiterentwicklung der Instandhaltungsstrategien genutzt werden. 17

19 7. Stellungnahme zum Strompannenbericht 7.1 Grundsätzliche Bewertung Der Strompannenbericht ist ausführlich, transparent und umfassend. Die Analyse der Panne zeigt die wesentlichen Defizite auf. Das fehlende Risk- Management im Bereich Energie sowie Defizite in der Qualifikation, der Dokumentation und der Technik wurden erkannt. Der Faktor Mensch als wesentliche Rolle bei der Störung wurde selbstkritisch eingestanden. Der Katalog an Sofort- und längerfristigen Massnahmen ist umfassend und geeignet, die erkannten Defizite zu beseitigen und das Risikopotenzial nachhaltig zu verringern. Der Katalog an Massnahmen zeigt auf, dass noch mehr Ursachen erkannt wurden als explizit im Bericht genannt wurden. Aufgrund des erweiterten Betrachtungswinkels der Second Opinion (Managementsysteme, Aufbau- und Ablauforganisation), der um ein Quartal verschobenen Untersuchung gegenüber dem Bericht der SBB sowie neuer Erkenntnisse aus bereits eingeleiteten Massnahmen kommt diese zu weiteren Erkenntnissen. Lediglich in wenigen Einzelfällen haben wir einen anderen Sachverhalt ermittelt. 7.2 Beurteilung der Ursachen Der Strompannenbericht strebte an, interessierte Nicht-Fachleute einfach, verständlich und umfassend zu informieren. Unter dieser Prämisse sind die genannten drei Hauptursachen sowie einzelne Ergebnisse weniger differenziert dargestellt worden als geboten. Die Massnahmen im Strompannenbericht sind weit umfassender als lediglich zur Behebung der dort explizit aufgeführten Ursachen. Tatsächlich wurden durch den Geschäftsbereich wesentlich mehr Ursachen, teilweise bereits vor der Strompanne, richtig erkannt als im Bericht aufgeführt Ursache 1: Falsche Einschätzung wegen falscher Anlagedaten Der Strompannenbericht der SBB führt als erste Ursache an: Falsche Einschätzung des Risikos wegen falscher Anlagendaten in der Zentrale. Diese Aussage ist nach unser Prüfung richtig, muss aber im Hinblick auf die Bewertung ergänzt und differenziert werden. Die tatsächlich aufgetretene Leistung der Leitung Amsteg-Rotkreuz zum Zeitpunkt der Panne ist nicht bekannt. Für die abgeschaltete Strecke liegen keine Strom- oder Leistungswerte (Aufzeichnungen) vor, da die Stationen Amsteg und Rotkreuz keine Schreiber für die 132kV-Leitung und keine 18

20 Schutzrelais mit Schreiberfunktionen haben. Es ist deshalb nicht bekannt, ob die Leitung wegen Überstrom von 1610A oder 2400A oder noch höher ausgeschaltet wurde. Wir wissen nur, dass der Strom mit mindestens 1600A und für mindestens 2 sec geflossen ist. Alle weitergehenden Angaben sind nicht belegt. Die falschen Anlagendaten haben die Störung sicher begünstigt. Es kann aber nicht ausgeschlossen werden, dass die Störung auch bei korrekten Anlagendaten eingetreten wäre. Diese Wahrscheinlichkeit ist jedoch wesentlich geringer. Die Überlastung der Leitung Amsteg-Rotkreuz durch den erhöhten Lastbedarf in der Deutsch- und Westschweiz war nach unserer Einschätzung die Hauptursache. Die Belastungsspitze durch Rekuperation hat eine zusätzliche Rolle gespielt. Die Trennung beider Effekte ist auf Grund der fehlenden Dokumentation der Lastflüsse nachträglich nicht eindeutig möglich. Die zentrale Leitstelle ist mit zwei Grenzwerten zur Auslösung von Alarmen ausgerüstet, die so eingestellt sein sollten, dass der Dispatcher bei einer drohenden Überlastung noch eingreifen kann. Die eingestellten Alarmwerte für die Leitung Amsteg-Rotkreuz lagen oberhalb der Transportkapazität der Leitung und waren somit unwirksam. Der Zentralen Leitstelle konnte die Überlastung vorab nicht gemeldet werden. Dieser Sachverhalt wurde in dem Strompannenbericht nicht erkannt. Dieses Defizit wurde mittlerweile beseitigt. Das n-1-kriterium kann bei der Struktur des Gesamt-Stromnetzes der SBB nicht immer eingehalten werden. Teilnetze können jedoch stabil gefahren werden. Im vorliegenden Fall hat man jedoch ohne ausreichende Risikoabwägung auf der Ebene der Übertragungsnetze das Kriterium ausser Kraft gesetzt. Im Rahmen unserer Second Opinion sehen wir als Ursache 1: Die Kombination aus hoher Grundlast, falscher Angabe in der Dokumentation, hohen Lastspitzen sowie unzureichendem Risikobewusstsein beim Eingriff in das System haben die Strompanne verursacht Ursache 2: Fehlende Übersicht wegen Alarmflut Der Strompannenbericht der SBB führt als zweite Ursache an: Fehlende Übersicht und Unmöglichkeit einer raschen und richtigen Lagebeurteilung wegen Alarmflut. Die Aussage wurde durch unsere Prüfung bestätigt. Das Ausmass der Störung wurde durch Defizite in der Leittechnik und der Qualifikation der Mitarbeiter der Zentralen Leitstelle begünstigt. 19

21 Im Rahmen unserer Second Opinion sehen wir als Ursache 2: Die Systeme der Leittechnik sind veraltet und konnten die Anbahnung der Panne nicht melden. Die vorhandene Leittechnik hat die Mitarbeiter mit Alarmmeldungen überflutet. Die Mitarbeiter der Zentralen Leitstelle waren nicht ausreichend qualifiziert und mit der Störung überfordert. Die Situation wurde falsch eingeschätzt Ursache 3: Derartiges Szenario nie betrachtet Der Strompannenbericht der SBB führt als dritte Ursache an: Ein derartiges Szenario wurde nie in Betracht gezogen Diese Aussage konnte in Bezug auf das operative Risk-Management ebenfalls bestätigt werden. Generell wurden Störungs-Szenarien nicht systematisch entwickelt und analysiert. Risk-Management wurde von den Kadern individuell definiert und in unzureichendem Umfang für die Geschäftsprozesse mit Ausnahme der Projekte durchgeführt. Ein systematischer Ansatz war nicht zu erkennen. Im Rahmen unserer Second Opinion sehen wir als Ursache 3: Ein derartiges Szenario einer schweizweiten Bahnstrompanne wurde nicht in Betracht gezogen. Generell wurden Szenarien nicht systematisch entwickelt und analysiert. Risk-Management wurde von den Kadern individuell definiert und in unzureichendem Umfang für die Geschäftsprozesse mit Ausnahme der Projekte durchgeführt. Ein systematischer Ansatz war nicht zu erkennen. 20

22 8. Empfehlungen an den Verwaltungsrat Die zunehmende Komplexität und Vernetzung technischer (Teil-)Systeme sowie die Beanspruchung des Gesamtsystems in der Nähe seiner Leistungsgrenzen erfordern, dass die Identifikation, Bewertung und Steuerung von Risiken eine Schlüsselkompetenz der SBB wird. Vor diesem Hintergrund ist die Sensibilität im Umgang mit Risiken auf allen Ebenen der Division Infrastruktur, insbesondere bei Eingriffen in die komplexen technischen Systeme, zu erhöhen. Darüber hinaus sollte eine Kultur der Risiko-Sensibilität durch konkrete Vorgaben und Prozesse in der Qualifikation und Führung der Mitarbeiter gefördert werden. Konkret empfehlen wir dem Verwaltungsrat: Verfolgung der bereits eingeleiteten Massnahmen durch die SBB im Rahmen des Strompannenberichts, Verfolgung des Umgangs der angesprochenen Organisationseinheiten mit den Empfehlungen aus der Second Opinion, Veranlassung einer Prüfung, die untersucht, auf welchem Weg und mit welchen Massnahmen die erkannten Lücken im Corporate Risk- Management ausgeräumt werden können, Veranlassung eines Reviews zur Zusammenführung der Einzelaktivitäten / -massnahmen bis Jahresmitte Stuttgart, den 24. Januar 2006 FICHTNER CONSULTING & IT AG Dr. Andreas Weidler Torsten Schwarz 21