Als Einkaufsvorgang betrachtet wirkt das effizient. Als Governance-Frage betrachtet legt es ein Problem offen, das die meisten Gremien erst sehen, wenn etwas schiefgeht: Wer die Ausführung einer Sicherheitsaufgabe fremdvergibt, überträgt damit nicht die Verantwortung für ihr Ergebnis. Nach BImSchG, Störfall-Verordnung, Seveso III und vergleichbaren Regimen bleiben die öffentlich-rechtlichen Pflichten beim Betreiber — unabhängig davon, wer die Arbeit ausgeführt hat.
Das Risiko wandert in den Raum zwischen dem, was ein Dienstleister ausführt, und dem, was der Betreiber weiterhin schuldet. Wir nennen ihn die Grauzone. Dort entstehen die meisten Fehlschläge fremdvergebener Sicherheitsarbeit — nicht in der Fachleistung selbst, sondern in der Annahme, mit einem Gutachten sei auch Schutz gekauft.
Drei Kräfte treffen auf die Führungskraft, die die Betreiberpflicht trägt: wachsende regulatorische Exposition, eine schrumpfende interne Fachbank, die externe Arbeit nicht mehr prüfen kann, und ein Einkaufsmodell, das Liefergegenstände höher gewichtet als Wirkungen. Ungesteuert wird die Organisation zum blinden Kunden, abhängig von Dienstleistern, die sie nicht mehr befragen kann.