Концепция «Безопасность-II»:
новый подход
к достижению цели «0»
Анатолий Комаров
Директор проектов HSE
Industry Consulting
Industry Consulting
В 2000-х годах подход профессор Университета Йончёпинга Эрик Холлнагель и его коллеги разработали подход «Безопасность-II» (окончательно сформулированный к 2013 году в работах Холлнагеля, Вирза, Брейтуэйта и Деккера – Safety-II или в некоторых источниках Safety Differently), призванный сделать шаг вперед в решении этой проблемы (далее мы будем для краткости обозначать его Б-II). Этот подход начали применять передовые транснациональные компании, в числе которых General Electric — компания, широко известная своим чутьем на прорывные идеи. Есть «первопроходцы» и в России, но их единицы.
В этом блоге мы остановимся на теоретических предпосылках подхода Б-II и кратко очертим его основные особенности. Если возникнет желание подробнее узнать основные отличия этого подхода от широко распространенной практики, а также обсудить принципы его практического внедрения и его инструментарий вы всегда можете обратиться к нам через форму обратной связи на сайте.
В этом блоге мы остановимся на теоретических предпосылках подхода Б-II и кратко очертим его основные особенности. Если возникнет желание подробнее узнать основные отличия этого подхода от широко распространенной практики, а также обсудить принципы его практического внедрения и его инструментарий вы всегда можете обратиться к нам через форму обратной связи на сайте.
Что значит «безопасно»?
В традиционном подходе «Безопасность-I» (далее мы будем для краткости обозначать его Б-I) безопасность определяется «от противного» — через ее отрицание: когда происходит авария или несчастный случай, мы говорим «здесь не была обеспечена безопасность». Такое определение коварно тем, что подталкивает к логическому изъяну: если у нас нет нежелательных последствий и отчетливых признаков опасности, мы склонны считать остановку безопасной, пока не доказано обратное. Если случается авария или несчастный случай, мы исследуем причины, но при этом такие события все же довольно редки — обычно рабочие процессы протекают без нежелательных последствий. Интересуясь лишь причинами негативного развития событий, мы оставляем за бортом 99% ценных сведений — информацию о том, как и почему всё как правило заканчивается успехом. Это приводит нас к «реактивному» стилю управления безопасностью: мы продвигаемся вперед только тогда, когда что-то уже пошло не так. Говоря метафорически, мы движемся вперед, ориентируясь по зеркалу заднего вида.
В традиционном подходе «Безопасность-I» (далее мы будем для краткости обозначать его Б-I) безопасность определяется «от противного» — через ее отрицание: когда происходит авария или несчастный случай, мы говорим «здесь не была обеспечена безопасность». Такое определение коварно тем, что подталкивает к логическому изъяну: если у нас нет нежелательных последствий и отчетливых признаков опасности, мы склонны считать остановку безопасной, пока не доказано обратное. Если случается авария или несчастный случай, мы исследуем причины, но при этом такие события все же довольно редки — обычно рабочие процессы протекают без нежелательных последствий. Интересуясь лишь причинами негативного развития событий, мы оставляем за бортом 99% ценных сведений — информацию о том, как и почему всё как правило заканчивается успехом. Это приводит нас к «реактивному» стилю управления безопасностью: мы продвигаемся вперед только тогда, когда что-то уже пошло не так. Говоря метафорически, мы движемся вперед, ориентируясь по зеркалу заднего вида.
Получается, что если какой-то сложный рабочий процесс из 10 000 операций лишь единожды привел к инциденту, то мы анализируем это единственное «неправильное» развитие событий, считая остальные 9 999 проведенных операций «безопасными».
Конечно, мы при этом находим нечто, что расцениваем как причину сбоя, и имеем хороший шанс не допустить именно такого сбоя впредь, но мы по-прежнему очень мало знаем о том, почему в остальных случаях этот процесс протекал успешно (и в большинстве случаев не проверяем, было ли там такое же отклонение), и плохо понимаем, как обеспечить успех в будущем.
Конечно, мы при этом находим нечто, что расцениваем как причину сбоя, и имеем хороший шанс не допустить именно такого сбоя впредь, но мы по-прежнему очень мало знаем о том, почему в остальных случаях этот процесс протекал успешно (и в большинстве случаев не проверяем, было ли там такое же отклонение), и плохо понимаем, как обеспечить успех в будущем.
Это можно сравнить с попыткой сфотографировать комнату через замочную скважину или реконструировать стог сена по иголке. Игнорируя благополучный ход событий и не анализируя факторы, обеспечивающие успешное завершение работы в остальных ситуациях, мы теряем колоссальное количество ценной информации.
В подходе Б-II фокус внимания переносится на правильное развитие событий: мы дополняем анализ неудач анализом успеха — выясняем, благодаря чему у нас обычно все происходит благополучно. При этом успехи способны дать нам гораздо больше информации, чем неудачи, особенно в том, что касается предвидения и предотвращения таких проблем, с которыми нам еще не приходилось сталкиваться.
В подходе Б-II фокус внимания переносится на правильное развитие событий: мы дополняем анализ неудач анализом успеха — выясняем, благодаря чему у нас обычно все происходит благополучно. При этом успехи способны дать нам гораздо больше информации, чем неудачи, особенно в том, что касается предвидения и предотвращения таких проблем, с которыми нам еще не приходилось сталкиваться.
Откуда берется опасность?
В основе подхода Б-I лежит убежденность в том, что любая система для анализа может быть разложена на составные части, которые можно рассматривать по отдельности. В итоге либо все элементы системы работают правильно — и тогда правильно работает система в целом, либо в каком-то элементе системы случается сбой — и тогда система работает неправильно. Это приводит к очень упрощенной картине: все системы представляются бимодальными, то есть имеющими всего два режима функционирования — «правильно» и «неправильно». Поскольку для обеспечения безопасности необходимо обеспечить «правильное» функционирование системы, много усилий тратится на поиск и устранение причин «неправильного» поведения.
Представление о бимодальности оказывается более или менее адекватным для технических систем, но человек действует больше чем в двух режимах — например, он может выполнить какое-то действие лишь частично правильно, а какое-то — неправильно, но потом быстро исправить и т. п. Поэтому системы с существенным участием человека и тем более системы, включающие в себя человеческие общности (то есть организации), — мультимодальны. Бимодальный взгляд приемлем, когда внешние для системы условия остаются на протяжении долгого времени устойчивыми, но терпит крах, когда система существует в постоянно изменяющейся среде. (Простой пример: мы знаем, что вращение руля вправо движет машину вправо, вращение влево — соответственно, в другую сторону. Однако это правило справедливо только на хорошем покрытии, а вот, к примеру, в гололед машина может сорваться в занос даже без явного поворота руля.)
В сочетании с уверенностью в том, что «все в мире имеет причину», это приводит к тому, что целью расследования инцидентов является именно поиск причин, то есть элементов, сработавших неправильно, или условий, которые в реальности отличались от предполагавшихся. Чаще всего такими элементами и условиями оказывается человек — так возникает пресловутый «человеческий фактор» (не так повел себя, не так обучен, недостаточно опыта и т. п.).
Концепция Б-I рассматривает человека прежде всего как источник ошибок, что вынуждает пытаться максимально «отодвинуть» его от процесса (заменяя автоматическими системами, роботами и т. п.) или жестко регламентировать его действия, тем самым снижая гибкость. В постоянной среде — это дает свои результаты, но в изменчивой ситуации либо катастрофически снижает эффективность, либо оставляет работника по сути дела один на один с опасностью, возлагая ответственность за него и не обеспечивая его ресурсами для разрешения ситуации. В крайних случаях это приводит либо к глубокой зарегулированности (в том числе к противоречивости правил и регламентов), либо к «охоте на ведьм», когда вместо поиска причин инцидентов ведется поиск виноватых.
В подходе Б-II мы изначально признаем, что социально-технические системы и их элементы мультимодальны — именно это позволяет им быть гибкими, и самым гибким элементом системы оказывается человек, принимающий решения. Хорошие гибкие мультимодальные системы изначально готовы существовать в постоянно меняющихся условиях. С точки зрения Б-II человек — это не источник опасности, а напротив, ключевой, чуть ли не единственный фактор обеспечения безопасности: именно он может адаптироваться к новым условиям, принимать решения и совершать действия, которых нет в алгоритмах и т. п.
При этом подход Б-II признает, что люди всегда ошибались и будут ошибаться, и научить человека не ошибаться невозможно. Предлагается обратить внимание к тем ситуациям, когда все идет как следует. Гибкость человеческого разума — это не только источник ошибок: в гораздо большей степени это то творческое начало, которое помогает человеку находить правильные решения в нестандартных ситуациях (и в том числе замечать и исправлять последствия своих и чужих ошибок). Обычно все идет как положено в том числе потому, что человек принимает верные решения в условиях неопределенности. Наша задача — помочь ему делать это лучше. Подход Б-II основывается на следующих тезисах:
Если рабочую обстановку человека можно имитировать, то принятию решений можно обучать на тренажере. Важная особенность такого обучения заключается в том, что тренажер используется не для отработки до автоматизма стандартных процедур, а для создания нестандартных, выходящих за рамки нормативов ситуаций, в которых человек учится искать решения. Цель состоит не в том, чтобы научить выполнению требований, а в том, чтобы обучаемый глубже усвоил принципы безопасного поведения. Даже если принятые решения неудачны, обучаемому не сообщают «верное решение» — с ним обсуждают то, что произошло в ходе имитации, предлагают проанализировать случившееся и обдумать другие варианты развития событий.
Такой вид обучения широко используется для пилотов, диспетчеров, машинистов поездов, буровых мастеров и других профессий, занимающихся преимущественно управлением.
К сожалению, некоторые ситуации невозможно воссоздать на тренажерах, а в ряде профессий обучение на тренажере вообще невозможно или пока недоступно. В таких случаях, проводятся обучающие оценочные мероприятия. Ключевая задача обучающих оценочных мероприятий прежняя: научить людей принимать решения, опираясь на соображения безопасности в нестандартной обстановке. В качестве входных данных обучаемый получает описание ситуации, в которой следование нормам затруднено. Далее он либо предлагает дальнейшие шаги в свободном режиме, либо отвечает на так называемые ипсативные вопросы. В вопросах такого типа предлагается набор вариантов действий, которые необходимо охарактеризовать с точки зрения безопасности, распределив на две группы в зависимости от того, повышают ли они безопасность или снижают.
В основе подхода Б-I лежит убежденность в том, что любая система для анализа может быть разложена на составные части, которые можно рассматривать по отдельности. В итоге либо все элементы системы работают правильно — и тогда правильно работает система в целом, либо в каком-то элементе системы случается сбой — и тогда система работает неправильно. Это приводит к очень упрощенной картине: все системы представляются бимодальными, то есть имеющими всего два режима функционирования — «правильно» и «неправильно». Поскольку для обеспечения безопасности необходимо обеспечить «правильное» функционирование системы, много усилий тратится на поиск и устранение причин «неправильного» поведения.
Представление о бимодальности оказывается более или менее адекватным для технических систем, но человек действует больше чем в двух режимах — например, он может выполнить какое-то действие лишь частично правильно, а какое-то — неправильно, но потом быстро исправить и т. п. Поэтому системы с существенным участием человека и тем более системы, включающие в себя человеческие общности (то есть организации), — мультимодальны. Бимодальный взгляд приемлем, когда внешние для системы условия остаются на протяжении долгого времени устойчивыми, но терпит крах, когда система существует в постоянно изменяющейся среде. (Простой пример: мы знаем, что вращение руля вправо движет машину вправо, вращение влево — соответственно, в другую сторону. Однако это правило справедливо только на хорошем покрытии, а вот, к примеру, в гололед машина может сорваться в занос даже без явного поворота руля.)
В сочетании с уверенностью в том, что «все в мире имеет причину», это приводит к тому, что целью расследования инцидентов является именно поиск причин, то есть элементов, сработавших неправильно, или условий, которые в реальности отличались от предполагавшихся. Чаще всего такими элементами и условиями оказывается человек — так возникает пресловутый «человеческий фактор» (не так повел себя, не так обучен, недостаточно опыта и т. п.).
Концепция Б-I рассматривает человека прежде всего как источник ошибок, что вынуждает пытаться максимально «отодвинуть» его от процесса (заменяя автоматическими системами, роботами и т. п.) или жестко регламентировать его действия, тем самым снижая гибкость. В постоянной среде — это дает свои результаты, но в изменчивой ситуации либо катастрофически снижает эффективность, либо оставляет работника по сути дела один на один с опасностью, возлагая ответственность за него и не обеспечивая его ресурсами для разрешения ситуации. В крайних случаях это приводит либо к глубокой зарегулированности (в том числе к противоречивости правил и регламентов), либо к «охоте на ведьм», когда вместо поиска причин инцидентов ведется поиск виноватых.
В подходе Б-II мы изначально признаем, что социально-технические системы и их элементы мультимодальны — именно это позволяет им быть гибкими, и самым гибким элементом системы оказывается человек, принимающий решения. Хорошие гибкие мультимодальные системы изначально готовы существовать в постоянно меняющихся условиях. С точки зрения Б-II человек — это не источник опасности, а напротив, ключевой, чуть ли не единственный фактор обеспечения безопасности: именно он может адаптироваться к новым условиям, принимать решения и совершать действия, которых нет в алгоритмах и т. п.
При этом подход Б-II признает, что люди всегда ошибались и будут ошибаться, и научить человека не ошибаться невозможно. Предлагается обратить внимание к тем ситуациям, когда все идет как следует. Гибкость человеческого разума — это не только источник ошибок: в гораздо большей степени это то творческое начало, которое помогает человеку находить правильные решения в нестандартных ситуациях (и в том числе замечать и исправлять последствия своих и чужих ошибок). Обычно все идет как положено в том числе потому, что человек принимает верные решения в условиях неопределенности. Наша задача — помочь ему делать это лучше. Подход Б-II основывается на следующих тезисах:
- Люди не стремятся себя убить или покалечить.
- Люди пытаются приспособиться, найти самый рациональный путь выполнения процесса.
- Люди не стремятся специально нарушить работу оборудования.
- Люди всегда будут хотеть облегчить себе работу.
Если рабочую обстановку человека можно имитировать, то принятию решений можно обучать на тренажере. Важная особенность такого обучения заключается в том, что тренажер используется не для отработки до автоматизма стандартных процедур, а для создания нестандартных, выходящих за рамки нормативов ситуаций, в которых человек учится искать решения. Цель состоит не в том, чтобы научить выполнению требований, а в том, чтобы обучаемый глубже усвоил принципы безопасного поведения. Даже если принятые решения неудачны, обучаемому не сообщают «верное решение» — с ним обсуждают то, что произошло в ходе имитации, предлагают проанализировать случившееся и обдумать другие варианты развития событий.
Такой вид обучения широко используется для пилотов, диспетчеров, машинистов поездов, буровых мастеров и других профессий, занимающихся преимущественно управлением.
К сожалению, некоторые ситуации невозможно воссоздать на тренажерах, а в ряде профессий обучение на тренажере вообще невозможно или пока недоступно. В таких случаях, проводятся обучающие оценочные мероприятия. Ключевая задача обучающих оценочных мероприятий прежняя: научить людей принимать решения, опираясь на соображения безопасности в нестандартной обстановке. В качестве входных данных обучаемый получает описание ситуации, в которой следование нормам затруднено. Далее он либо предлагает дальнейшие шаги в свободном режиме, либо отвечает на так называемые ипсативные вопросы. В вопросах такого типа предлагается набор вариантов действий, которые необходимо охарактеризовать с точки зрения безопасности, распределив на две группы в зависимости от того, повышают ли они безопасность или снижают.
Идеальная работа vs. реальная работа
Реакция традиционного подхода Б-I на сбои — попытки как можно более жестко регламентировать работу системы, написать правило, стандарт или регламент. Поскольку работа по формированию и утверждению норм и правил ведется к тому же преимущественно в кабинетах, то есть вдалеке от рабочих площадок, то в итоге возникает некая «идеальная», или воображаемая картина работы — работа «какой она должна быть» (WAI — work as imagine по Холлнагелю). Однако попытка работать полностью в соответствии со всеми нормативами и требованиями — хороший способ парализовать всякую деятельность (настолько хороший, что есть даже такое понятие, как «итальянская забастовка»). В жизни рабочие процессы неизбежно протекают с отклонениями от идеала — это «реальная» картина работы (WAD — work as do по Холлнагелю), то есть работа «как она выполняется». В этом нет ничего плохого до тех пор, пока отклонения не уводят нас в «красную» зону — зону опасности:
Реакция традиционного подхода Б-I на сбои — попытки как можно более жестко регламентировать работу системы, написать правило, стандарт или регламент. Поскольку работа по формированию и утверждению норм и правил ведется к тому же преимущественно в кабинетах, то есть вдалеке от рабочих площадок, то в итоге возникает некая «идеальная», или воображаемая картина работы — работа «какой она должна быть» (WAI — work as imagine по Холлнагелю). Однако попытка работать полностью в соответствии со всеми нормативами и требованиями — хороший способ парализовать всякую деятельность (настолько хороший, что есть даже такое понятие, как «итальянская забастовка»). В жизни рабочие процессы неизбежно протекают с отклонениями от идеала — это «реальная» картина работы (WAD — work as do по Холлнагелю), то есть работа «как она выполняется». В этом нет ничего плохого до тех пор, пока отклонения не уводят нас в «красную» зону — зону опасности:
Или другой пример на фото, как представляется процесс сварки согласно документам, и как он осуществляется «в полях»:
Подход Б-I пытается попросту игнорировать эти различия в работе или «запретить» их, тогда как в подходе Б-II анализ этих отклонений позволяет в корне изменить оценку рисков: риски возникают там, где неопределенность (разнообразие возможных отклонений) велико, а сами отклонения неконтролируемы.
Как добиться безопасности?
Традиционный подход стремится в максимальной мере регламентировать рабочие процессы, а затем пытается заставить сотрудников следовать регламенту. Для этого используются два основных механизма: непосредственная проверка формального выполнения требований и система мотивации, ориентирующая на снижение количества несчастных случаев (пресловутая «цель ноль»).
Выше уже было сказано, что отклонения от нормативов неизбежны, а их соблюдение не является надежной гарантией безопасности. Поэтому проверки наряду с безусловным положительным эффектом стимулируют и бурную имитационную деятельность — «потемкинские деревни». Штрафы за нарушения иногда не работают как надо, потому что на самом деле демотивируют сотрудника: он проявил гибкость и адаптировался к условиям, в которых приходилось выполнять работу — и в связи с этим страдает. Что касается премии за «цель ноль», то она обладает тем же недостатком, который есть у всех солидарных показателей: сотрудники чувствует, что достижение или недостижение цели мало зависит от их личных усилий, — и это лишает ее мотивирующего эффекта. Если же пытаться к показателям травматизма добавить показатели по количеству менее значимых происшествий, то такие показатели проще соблюдать, просто скрывая незначительные события (если организация следит за снижением) или выдумывая случаи опасного поведения и опасных условий (если организация стремится «расширять» основание пирамиды рисков по Хейнриху).
Подход Б-II переворачивает ситуацию на 180 градусов и ставит перед сотрудниками «цель 100»: добиться стопроцентного успешного выполнения всех рабочих операций (именно успешного, а не правильного), т.е. при этом нет строгого запрета на проявление гибкости и адаптацию, но есть требование сокращать неопределенность в процессах. Цель контролирующих мероприятий тоже меняется: мы проверяем, насколько часто человеку приходится адаптироваться к условиям работ и насколько трудно контролировать отклонения в конкретных точках рабочего процесса — какова неопределенность и насколько сложно осуществлять выбор решения.
Как добиться безопасности?
Традиционный подход стремится в максимальной мере регламентировать рабочие процессы, а затем пытается заставить сотрудников следовать регламенту. Для этого используются два основных механизма: непосредственная проверка формального выполнения требований и система мотивации, ориентирующая на снижение количества несчастных случаев (пресловутая «цель ноль»).
Выше уже было сказано, что отклонения от нормативов неизбежны, а их соблюдение не является надежной гарантией безопасности. Поэтому проверки наряду с безусловным положительным эффектом стимулируют и бурную имитационную деятельность — «потемкинские деревни». Штрафы за нарушения иногда не работают как надо, потому что на самом деле демотивируют сотрудника: он проявил гибкость и адаптировался к условиям, в которых приходилось выполнять работу — и в связи с этим страдает. Что касается премии за «цель ноль», то она обладает тем же недостатком, который есть у всех солидарных показателей: сотрудники чувствует, что достижение или недостижение цели мало зависит от их личных усилий, — и это лишает ее мотивирующего эффекта. Если же пытаться к показателям травматизма добавить показатели по количеству менее значимых происшествий, то такие показатели проще соблюдать, просто скрывая незначительные события (если организация следит за снижением) или выдумывая случаи опасного поведения и опасных условий (если организация стремится «расширять» основание пирамиды рисков по Хейнриху).
Подход Б-II переворачивает ситуацию на 180 градусов и ставит перед сотрудниками «цель 100»: добиться стопроцентного успешного выполнения всех рабочих операций (именно успешного, а не правильного), т.е. при этом нет строгого запрета на проявление гибкости и адаптацию, но есть требование сокращать неопределенность в процессах. Цель контролирующих мероприятий тоже меняется: мы проверяем, насколько часто человеку приходится адаптироваться к условиям работ и насколько трудно контролировать отклонения в конкретных точках рабочего процесса — какова неопределенность и насколько сложно осуществлять выбор решения.
Подчеркнем, что Безопасность-II выглядит новаторским подходом и в ряде аспектов резко расходится с традицией, однако это не революция, а эволюционный скачок. Подход Б-II вовсе не предлагает отринуть прежнее как неправильное и все делать иначе. В действительности многие элементы Б-II выкристаллизовались в рамках традиционных подходов к безопасности в индустриях, где цена ошибки особенно велика, — в частности, в авиации, здравоохранении и атомной отрасли. Переход к Б-II может и должен проводиться постепенно и имеет смысл тогда, когда возможности подхода Б-I уже исчерпаны.
Для многих российских компаний – это преждевременный вопрос: перспектива повышения безопасности для них связана с решением других проблем и по-прежнему лежит в русле концепции Б-I. Согласно «Всероссийскому исследованию лучших практик в области культуры безопасности», как в 2018, так и в 2019 году главным барьером повышения безопасности в РФ выступает формализм («Привычка действовать формально, на уровне документов»). 44% респондентов признались, что именно в этом их они видят главную проблему. Опыт показывает, что главным рычагом здесь будет более тонкая работа на уровне Б-I:
Для многих российских компаний – это преждевременный вопрос: перспектива повышения безопасности для них связана с решением других проблем и по-прежнему лежит в русле концепции Б-I. Согласно «Всероссийскому исследованию лучших практик в области культуры безопасности», как в 2018, так и в 2019 году главным барьером повышения безопасности в РФ выступает формализм («Привычка действовать формально, на уровне документов»). 44% респондентов признались, что именно в этом их они видят главную проблему. Опыт показывает, что главным рычагом здесь будет более тонкая работа на уровне Б-I:
- Внедрение или пересмотр действующих практик ОТ, ПБ и ООС с учетом текущего уровня культуры безопасности и уровня развития корпоративной культуры. Разные компании готовы к разным практикам (подробнее см. статью «Почему лучшие практики HSE не работают в российских компаниях»).
- Радикальное повышение качества управления изменениями — простота и прозрачность требований, работа с сопротивлением персонала, прозрачные коммуникации, качественный мониторинг обратной связи от сотрудников и корректировка практик.
- Формирование отношения к безопасности как ценности — комплекс мер, начиная с разделяемой и транслируемой топ-менеджментом позиции и заканчивая специальными программами, позволяющими сотрудникам максимально глубоко осознать риски «на собственной шкуре» (например, «стресс-центр» — тренажеры, моделирующие типичные травмоопасные ситуации).
Задать вопрос Анатолию