Cultura della Safety e prassi di lavoro: suggerimenti per un’organizzazione resiliente








di Fabrizio Bracco – Pubblicato su ticonzero (apri l’articolo originale)

Ma come è possibile che un operaio esperto metta le mani nude su apparati in tensione? Come è possibile che un anestesista confonda adrenalina e atropina? Come è possibile che un controllore di volo non si accorga di aver messo due aerei in rotta di collisione? Queste tre storie sono (quasi) inventate, ma sono realistiche. Sono solo tre di migliaia di situazioni che ogni giorno si verificano nei luoghi di lavoro. L’enormità degli esiti ci porta a pensare che queste persone abbiano agito in modo scriteriato. Di fronte a questi incidenti la mente umana resta sgomenta e lo stupore lascia spazio solo al biasimo. Ecco perché è difficile analizzare questi eventi: la nostra mente non è preparata a gestire informazioni di questa portata. Abbiamo creato sistemi socio-tecnici complessi, ma il nostro cervello è lo stesso di chi dipingeva bufali nelle caverne e scopriva che il fuoco brucia.

1 – Ma come hanno potuto?

Era una giornata di grande carico di lavoro, gli operai entrarono in cabina elettrica in cerca del guasto, mentre gli utenti della zona protestavano per il disservizio. Il preposto cercò di individuare il guasto il più velocemente possibile, intervenne sui dispositivi senza le adeguate protezioni, non rispettando le procedure. Innescò un arco elettrico che lo uccise sul colpo. L’anestesista era immerso nei suoi pensieri durante l’operazione, tutto era nella norma mentre il chirurgo procedeva con l’intervento. La routine gli permetteva di dedicare i suoi pensieri a impegni accademici e professionali ben più pressanti. Poi qualcosa di inatteso accadde, il cuore del paziente andò in aritmia, l’anestesista abbandonò i suoi pensieri e somministrò per errore una fiala di adrenalina anziché atropina. Il paziente morì per arresto cardiaco. Il controllore di volo era in turno di notte, tutto era normale. Il collega si allontanò per riposare e il controllore lavorò su due schermi, come spesso accadeva in quella torre. Quella sera però erano in corso lavori di manutenzione sugli strumenti elettronici di avviso automatico, le cosiddette safety net (rete di sicurezza), che segnalano in tempo al controllore il potenziale conflitto di traffico. Intanto il traffico aereo aumentava, il controllore cercò allora di coordinarsi tra i due schermi ma così facendo perse la consapevolezza della posizione dei due aerei e non si accorse che erano entrati in rotta di collisione, diede loro indicazioni sbagliate che li portarono a scontrarsi in volo, provocando la morte di centinaia di persone. Ma come hanno potuto? Ma come è possibile che un operaio esperto metta le mani nude su apparati in tensione? Come è possibile che un anestesista confonda adrenalina e atropina? Come è possibile che un controllore di volo non si accorga di aver messo due aerei in rotta di collisione?
Queste tre storie sono (quasi) inventate, ma sono realistiche. Sono solo tre di migliaia di situazioni che ogni giorno si verificano nei luoghi di lavoro. L’enormità degli esiti ci porta a pensare che queste persone abbiano agito in modo scriteriato. Di fronte a questi incidenti la mente umana resta sgomenta e lo stupore lascia spazio solo al biasimo. Ecco perché è difficile analizzare questi eventi: la nostra mente non è preparata a gestire informazioni di questa portata. Abbiamo creato sistemi socio-tecnici complessi, ma il nostro cervello è lo stesso di chi dipingeva bufali nelle caverne e scopriva che il fuoco brucia. La mente è naturalmente predisposta a trattare eventi come quelli descritti sopra mettendo in atto meccanismi che se risultavano funzionali per accendere un fuoco, forse non lo sono più per gestire un sistema complesso. Bisogna cambiare occhiali, aprire la mente alla dimensione della complessità. Il rischio è quello di continuare a leggere gli eventi nei sistemi socio-tecnici odierni con gli stessi strumenti concettuali che si sono rivelati funzionali in passato. E allora, si sarebbe portati a pensare che, come una piccola fiamma brucia poco, e un grande incendio devasta foreste immense, allo stesso modo un grave incidente sarà procurato da azioni scellerate, un piccolo incidente sarà effetto di piccole distrazioni. Non è così. Questo ragionamento fallace si chiama simmetry bias, perché non è affatto vero che nei sistemi complessi effetti devastanti siano prodotti da grandi cause. L’effetto farfalla, tanto citato dai teorici della complessità, ci ricorda che basta un battito d’ali, un piccolo evento nel qui ed ora, per innescare reazioni imprevedibili con effetti enormi in altri tempi e altri luoghi. Basta una piccola distrazione e un anestesista di fama scambia adrenalina con atropina. L’errore cognitivo è piccolo, il suo effetto è mortale. Altro errore: se la fiamma brucia la capanna, accendere il fuoco è stato pericoloso, ma se la fiamma scalda l’ambiente e cuoce i cibi, il fuoco è un’invenzione rivoluzionaria. Allo stesso modo, se il tecnico della compagnia elettrica lavora con tale efficienza da risolvere il problema in fretta, sarà lodevole la sua solerzia per evitare disservizi all’utenza, ma se quella stessa fretta lo porta ad agire su parti in tensione e folgorarsi, quei comportamenti saranno visti come azzardati e irresponsabili. Questo ragionamento fallace è chiamato outcome bias, perché vincola il giudizio di gravità delle azioni alla gravità dei risultati: se la fretta porta a un lavoro veloce, è cosa buona, se porta ad infortuni, è negativa e pericolosa. Non è così, perché i comportamenti vanno valutati in base alla loro rischiosità, indipendentemente dall’esito contingente. Il fatto che a volte vada a finire bene, pur avendo corso rischi, non significa che andrà sempre così. Infine: è ovvio che se metto la mano sul fuoco allora mi brucio, così come era ovvio che il controllore, in quelle condizioni di lavoro, da solo e con radar rallentati, non avrebbe notato gli aerei in rotta di collisione. Questo è il terzo e forse più grave errore cognitivo che si può fare ragionando di comportamenti poco sicuri, si chiama hindsight bias, il senno di poi che rende ovvi gli eventi, ma solo dopo che sono accaduti. Ecco che a posteriori saremo pronti a giudicare come aberranti i comportamenti insicuri, perché noi sappiamo che hanno portato all’incidente, ma l’incidente è un fatto probabilistico e l’operatore non aveva la certezza degli esiti. Non è come il fuoco, che ogni volta che lo tocchiamo ci brucia la mano. Quante volte il controllore avrà gestito da solo due schermi, e tutto è andato bene? Rasmussen, uno dei padri dell’ergonomia cognitiva, disse che lo stupore che noi proviamo quando ci chiediamo “ma come hanno potuto?” non è misura della scelleratezza delle azioni incriminate, ma riflette la nostra lontananza da ciò che realmente pensavano gli operatori. Qui sta il problema: quando si trattava di gestire il fuoco, questi stili di pensiero erano funzionali, ma se dobbiamo gestire sistemi socio-tecnici complessi, siamo obbligati a cambiare impostazione mentale, pur contro le nostre naturali predisposizioni. Se continueremo ad adottare questi atteggiamenti, useremo vecchie strategie per nuovi tipi di problemi e saremo destinati al fallimento: sarebbe come mettere i fratelli Wright a pilotare un Airbus…Ecco quindi che tali atteggiamenti alimentano la cosiddetta blame culture, la visione personalistica degli incidenti, dove si cerca il colpevole, la mela marcia, con l’illusione/speranza che rimuovendo o punendo il “cattivo” il sistema resti sano, e che gli altri membri del sistema siano quindi i buoni, a rischio di essere corrotti dall’elemento deviante. La blame culture porta gli operatori a chiudersi, a proteggersi, a sviluppare cinismo, disfattismo, egoismo, a perdere il senso del loro lavoro, a sviluppare impotenza. In un sistema colpevolizzante, si genera la micidiale equazione “io ho sbagliato = io sono sbagliato”, cioè si passa dal comportamento alla persona. Nessuno sarà disposto a parlare dei propri errori, se questi saranno usati per screditare la persona nella sua globalità. Se l’operaio, l’anestesista e il controllore di volo potessero parlare, condividere le proprie esperienze con i colleghi, parlare dei propri errori, farebbero più sicurezza per sé e per gli altri. Perché è certo che i tre protagonisti delle storie, già altre volte prima dell’incidente avevano messo in atto gli stessi comportamenti e tramite il confronto con altre esperienze avrebbero potuto capire i fattori di rischio, agire in modo proattivo.
Questa è una cultura “giusta”, dove le persone si fidano dei colleghi, dove c’è valorizzazione delle reciproche competenze, dove se accade un incidente non ci si chiede “chi è stato”, ma “quali difese hanno fallito” e soprattutto “come possiamo fare per evitare che accada di nuovo”. In una cultura giusta gli errori sono informazione utile per creare apprendimento, sono la base per lo sviluppo e la sicurezza. Questo non significa evitare le sanzioni dovute a violazioni, perché se un operatore viola delle procedure di sicurezza potrà anche essere punito. Ma non ci si illuda che basti la sanzione per evitare che il comportamento accada di nuovo e, soprattutto, che aumenti la sicurezza del sistema. Potrebbe accadere che il comportamento punito in modo esemplare non sia ripetuto né dalla persona né dai colleghi, ma non è detto che questa cautela si estenda ad altri comportamenti non sicuri e violazioni. Per eliminare le violazioni servirebbe quindi una costante punizione di tutti i comportamenti devianti, in ottica comportamentista e riduzionista. È molto più produttivo sviluppare una cultura della sicurezza di tipo endogeno, che porti le persone a credere nella sicurezza come parte integrante del lavoro, e non come un rallentamento, un vincolo normativo, un comportamento messo in atto per evitare sanzioni, perché si è sotto controllo. La sanzione deve quindi essere accompagnata da strategie per capire le ragioni del comportamento deviante, senza giudicare, ma solo per bisogno di capire perché, per quell’operatore, era sensato agire in quel modo, violando le procedure. Occorre dare valore e fiducia agli operatori, farli sentire più attivi contributori per la sicurezza. Ma finché la sicurezza sarà vissuta dagli stessi preposti e ispettori come un vincolo, un setaccio con cui scremare i “buoni” dai “cattivi”, un binario entro cui stare per evitare conseguenze penali, una paranoica applicazione di regole per limitare la scelleratezza umana, continueremo il nostro volo sull’Airbus pilotato dai due fratelli inventori.

2 – Adottare gli occhiali giusti per vedere i segnali deboli

Abbiamo detto che i sistemi socio-tecnici complessi seguono dinamiche e hanno proprietà che non sono gestibili con modelli mentali “primitivi”. Ma quali sono queste proprietà? Prima di tutto sono composti da diversi livelli, sono stratificati e le interazioni all’interno dei livelli e tra livelli diversi sono molteplici e a volte imprevedibili. Ciò che vede un livello (ad esempio, il management), potrebbe non essere visto, conosciuto, dai livelli inferiori (gli operativi), e viceversa. Spesso c’è differenza tra il lavoro per come viene pensato e progettato a un livello e il lavoro per come viene effettivamente svolto a un altro livello. Spesso chi pianifica le procedure non coglie tutti gli effetti di tali regole, non sa come e quanto saranno applicate, né se siano realmente applicabili. Anche le procedure per la sicurezza, se pensate lontano dal lavoro effettivo, sono controproducenti e rischiose. Eccoci quindi alla seconda proprietà dei sistemi complessi: l’imprevedibilità degli effetti dovuti a interazioni tra elementi interni ed esterni. Se le procedure bastassero ad esaurire la gamma di possibili situazioni che si possono generare durante il lavoro, basterebbe rinforzare un apprendimento meccanico o, anche meglio, sostituire le persone con delle macchine. Ma pochi di noi volerebbero su un aereo condotto dal solo pilota automatico perché, per quanto fallibile, l’essere umano sa gestire l’inatteso. E l’imprevedibilità è frequente nei sistemi complessi. Facciamo un esempio per spiegare le caratteristiche di livelli molteplici e imprevedibilità. Una centrale di produzione di energia elettrica riceve l’ordine di modificare il piano di controllo degli estintori. Il dirigente, dalla sede centrale, ritiene che le verifiche trimestrali siano troppo dilazionate nel tempo e per maggiore sicurezza dirama una direttiva di controllo mensile degli impianti antincendio. La notizia arriva agli operativi, i quali accolgono di malumore la notizia, perché devono aumentare la mole di lavoro, senza modificare le altre attività. D’altro canto, il direttore della centrale aveva già segnalato la carenza di personale e il problema dei carichi di lavoro, ma chi ha emanato la direttiva non aveva immaginato l’impatto di un piccolo provvedimento di sicurezza. Siamo di fronte al fatto che chi pianifica il lavoro e le attività è lontano, distante diversi livelli rispetto a chi poi dovrà applicare quelle attività. Non è facile immaginare le ripercussioni, se non giungono informazioni di ritorno dalla base operativa. Succede allora che il personale si adatta alla nuova direttiva ma controlla gli estintori con maggiore fretta e superficialità, perché ritiene che ci siano altre cose più urgenti da sbrigare e comunque eventuali anomalie agli impianti antincendio si potranno scoprire al prossimo ravvicinato controllo. Ecco quindi che un provvedimento di sicurezza, teoricamente ineccepibile, possa avere effetti imprevedibili che vanno a ridurre proprio la sicurezza stessa. L’unica soluzione per gestire queste caratteristiche dei sistemi complessi, molteplicità di livelli e imprevedibilità, è l’orientamento verso una reporting culture, una cultura della libera condivisione. Gli operatori front-line sono i veri sensori dei segnali deboli, delle anomalie, della deriva verso l’incidente. Sviluppare una cultura “giusta”, dove si stimola il reporting di situazioni di rischio, è l’unico modo per sviluppare la resilienza, ossia la capacità di ascoltare i segnali deboli e di dare risposte forti e proattive, per evitare di continuare la deriva verso l’incidente. Come già illustrato in altri contributi su questa rivista, la resilienza è una delle ultime proposte che sono state sviluppate dalla ricerca per aumentare la sicurezza dei sistemi complessi. Hollnagel, uno dei padri di questo concetto, la definisce come la capacità di un sistema di imparare dall’esperienza, di essere flessibile e aperto alla condivisione delle informazioni, di essere capace di dare risposte forti in caso di emergenza, senza perdere i propri obiettivi (Hollnagel, Woods e Leveson, 2006). Alcuni possono pensare che sono ottimi principi, ma che sono talmente ideali da restare confinati nelle discussioni accademiche, privi di applicabilità concreta. Non nego che sia difficile calare nella realtà operativa queste “belle parole” e, a maggior ragione, nel contesto culturale italiano, dove una forma diffusa di cultura della colpa, mista a burocratismi, inefficienze e rigidità, non costituiscono certo il terreno ideale per lo sviluppo di questi nuovi paradigmi. Però posso dire che, per quella che è stata la mia esperienza di consulenza sulla sicurezza, è possibile mettere piccoli semi in un terreno ben dissodato e col tempo qualche frutto nasce. I piccoli semi sono i principi della resilienza, ma adattati al contesto italiano, adattati alla nostra cultura e alle nostre prassi lavorative. Sono quegli stessi concetti che hanno tratto ispirazione dalle teorie della complessità ma che non devono essere astrusi modelli, complicati piuttosto che complessi. Devono essere modelli facili da capire, chiari da rappresentare, veloci da applicare. E il terreno deve essere ben dissodato, ossia ci vuole fiducia dei lavoratori, e impegno dei dirigenti. Senza le due cose insieme non attecchisce nulla di buono. Se i lavoratori non colgono l’utilità del progetto e non ne vedono la diretta implicazione nel miglioramento della sicurezza e del benessere, se lo sentono come qualcosa di calato dall’alto, non avranno orecchie per ascoltare. Se i dirigenti non sono i primi a sostenere questo approccio, a crederci, i lavoratori saranno solo frustrati dall’aver acquisito nuove competenze e maggior consapevolezza dei rischi, ma saranno annichiliti dalle vecchie logiche di organizzazione del lavoro. Un modello semplice ed efficace che, per quella che è la mia esperienza, ha dato buoni frutti, è quello che visualizza la resilienza di individui e organizzazione come un ciclo ispirato al modello Skill-Rule-Knowledge di Rasmussen (Rasmussen, 1983). Rimando ad altre pubblicazioni per la spiegazione dettagliata di questo modello (Bracco, 2007; Bracco, Gianatti e Pisano, 2008, Bracco, Bruno e Sossai, 2011), mi limito qui ad illustrarlo nella sua forma generale: un ciclo dove il lavoratore è il primo attore ad intervenire. Egli è in grado di vedere i segnali deboli, le anomalie sul lavoro, le irregolarità, i fattori di rischio per salute e benessere. Deve essere in grado di fare il proprio lavoro, ma anche di notare queste anomalie, di capirle e poterle condividere. Questa è la prima parte del ciclo: l’apertura mentale dei lavoratori nel notare segnali deboli. Per avere questa apertura mentale devono essere formati all’automonitoraggio, alla consapevolezza dei propri processi di pensiero, alla percezione del rischio. Devono vivere il lavoro senza malessere. Se i lavoratori stanno male, non gli si può chiedere apertura, perché dedicheranno le proprie risorse mentali alla gestione del problema che li affligge, non certo a notare segnali deboli. Se una persona sta male, preferisce dare attenzione a un dolore certo, piuttosto che a un rischio ipotetico. Una volta che l’operatore ha notato i segnali deboli, deve poterli comunicare e condividere, perché altrimenti si sente abbandonato nel farsi carico di tali anomalie e sviluppa disfattismo e impotenza. Tante volte mi è successo di sentire racconti di operatori che mi riportavano situazioni di rischio, con il sorriso amaro e cinico dato dal fatto che “tanto le cose non cambieranno mai”. Queste anomalie allora diventano i compagni quotidiani del lavoro, diventano gli ostacoli alla sicurezza e al benessere. Se un lavoratore nota questi segnali deboli deve quindi essere messo nelle condizioni di chiudere il ciclo. Perché l’operatore da solo non può rimuovere le anomalie e i fattori di rischio. Spesso è necessaria una visione d’insieme che solo i dirigenti possono avere, sono presenti vincoli (e risorse) che non sono noti al lavoratore e che richiedono una organizzazione del lavoro concertata dall’alto. Il ciclo della resilienza allora si chiude dando modi, spazi e tempi opportuni per far circolare le informazioni, raccogliere le anomalie e farle condividere con altri. Qui è necessario saper ascoltare senza giudicare, cogliendo quanto viene detto come un atto di fiducia del lavoratore e non come una autodenuncia. Anche la terminologia andrebbe cambiata, non esistono errori e violazioni, termini che implicano colpa, ma varietà di comportamenti. Quello che è importante sapere dai lavoratori è perché per loro era sensato agire come hanno agito (sbagliando o violando le procedure), quali condizioni ambientali li hanno portati ad agire in quel modo. A livello di team e di comunicazione c’erano fattori predisponenti? E l’interazione con gli strumenti era motivo di errore? Le procedure erano chiare? Gli ambienti facilitavano errori o violazioni? A questo punto è il sistema (dirigenti e lavoratori) che si prende in carico la gestione dei segnali deboli, si individuano le figure che si faranno carico delle soluzioni e i tempi per la loro realizzazione. Se le nuove soluzioni saranno efficaci passeranno lentamente nella routine operativa quotidiana e il sistema sarà stato “immunizzato” rispetto a quel fattore di rischio. Ciò non significa che non vi siano altri fattori di rischio, infatti il ciclo deve riprendere e i lavoratori saranno portatori di nuove informazioni. Questo circolo virtuoso della resilienza si può sviluppare solo se prima di tutto si tutelano benessere dei lavoratori, fiducia reciproca, condivisione, valorizzazione delle competenze, senso di responsabilità individuale e collettiva, capacità di controllo, autoefficacia, fiducia nel futuro e aspettative che i propri sforzi porteranno a risultati. Questi ingredienti produrranno nelle persone un atteggiamento mentale aperto ai segnali deboli. I lavoratori non saranno meri esecutori di procedure, saranno sensori di segnali deboli. Anche il management dovrà agire di conseguenza, al suo livello si noteranno diversi tipi di segnali deboli, anche i dirigenti devono potersi fidare, comunicare, pensare in modo proattivo. Il reporting da parte degli operatori va inoltre sostenuto e deve dare origine a risposte veloci e coerenti da parte del management. Se gli operatori si aprono alla fiducia e riportano errori, violazioni, anomalie, ma poi nulla accade, questo sarà il maggior disincentivo al reporting e l’operatore svilupperà amarezza, cinismo, disfattismo. Sviluppare la cultura del reporting non significa semplicemente trasferire nei lavoratori nuovi contenuti, nuove abitudini, imporre loro nuovi occhiali, essa implica che tutto il sistema decida di cambiare, per dare finalmente soluzioni complesse a problemi complessi.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *