Als Einkaufsvorgang betrachtet wirkt das effizient. Als Governance-Frage betrachtet legt es ein Problem offen, das die meisten Gremien erst sehen, wenn etwas schiefgeht: Wer die Ausführung einer Sicherheitsaufgabe fremdvergibt, überträgt damit nicht die Verantwortung für ihr Ergebnis. Nach BImSchG, Störfall-Verordnung, Seveso III und vergleichbaren Regimen bleibt allein der Betreiber Pflichtenträger — unabhängig davon, wer die Arbeit ausgeführt hat.
Das Risiko wandert in den Raum zwischen dem, was ein Dienstleister ausführt, und dem, was der Betreiber weiterhin schuldet. Wir nennen ihn die Grauzone. Dort entstehen die meisten Fehlschläge fremdvergebener Sicherheitsarbeit — nicht in der Fachleistung selbst, sondern in der Annahme, mit einem Gutachten sei auch Schutz gekauft.
Drei Kräfte treffen auf die Führungskraft, die die Betreiberpflicht trägt: wachsende regulatorische Exposition, eine schrumpfende interne Fachbank, die externe Arbeit nicht mehr prüfen kann, und ein Einkaufsmodell, das Liefergegenstände höher gewichtet als Wirkungen. Ungesteuert wird die Organisation zum blinden Kunden, abhängig von Dienstleistern, die sie nicht mehr befragen kann.
Fremdvergebenes Risiko verschwindet nicht. Es zieht um.
Quelle: DJC-Modell der drei Verantwortungsebenen, angewendet bei Betreibern aus Chemie, Pharma und Energie.