В 2000-х годах подход профессор Университета Йончёпинга Эрик Холлнагель и его коллеги разработали подход «Безопасность-II» (окончательно сформулированный к 2013 году в работах Холлнагеля, Вирза, Брейтуэйта и Деккера – Safety-II или в некоторых источниках Safety Differently), призванный сделать шаг вперед в решении этой проблемы (далее мы будем для краткости обозначать его Б-II). Этот подход начали применять передовые транснациональные компании, в числе которых General Electric — компания, широко известная своим чутьем на прорывные идеи. Есть «первопроходцы» и в России, но их единицы.

В этом блоге мы остановимся на теоретических предпосылках подхода Б-II и кратко очертим его основные особенности. Если возникнет желание подробнее узнать основные отличия этого подхода от широко распространенной практики, а также обсудить принципы его практического внедрения и его инструментарий вы всегда можете обратиться к нам через форму обратной связи на сайте.
Что значит «безопасно»?

В традиционном подходе «Безопасность-I» (далее мы будем для краткости обозначать его Б-I) безопасность определяется «от противного» — через ее отрицание: когда происходит авария или несчастный случай, мы говорим «здесь не была обеспечена безопасность». Такое определение коварно тем, что подталкивает к логическому изъяну: если у нас нет нежелательных последствий и отчетливых признаков опасности, мы склонны считать остановку безопасной, пока не доказано обратное. Если случается авария или несчастный случай, мы исследуем причины, но при этом такие события все же довольно редки — обычно рабочие процессы протекают без нежелательных последствий. Интересуясь лишь причинами негативного развития событий, мы оставляем за бортом 99% ценных сведений — информацию о том, как и почему всё как правило заканчивается успехом. Это приводит нас к «реактивному» стилю управления безопасностью: мы продвигаемся вперед только тогда, когда что-то уже пошло не так. Говоря метафорически, мы движемся вперед, ориентируясь по зеркалу заднего вида.

Стратегия Безопасность 1 и Безопасность 2
Инцидент

Получается, что если какой-то сложный рабочий процесс из 10 000 операций лишь единожды привел к инциденту, то мы анализируем это единственное «неправильное» развитие событий, считая остальные 9 999 проведенных операций «безопасными».

Конечно, мы при этом находим нечто, что расцениваем как причину сбоя, и имеем хороший шанс не допустить именно такого сбоя впредь, но мы по-прежнему очень мало знаем о том, почему в остальных случаях этот процесс протекал успешно (и в большинстве случаев не проверяем, было ли там такое же отклонение), и плохо понимаем, как обеспечить успех в будущем.

Это можно сравнить с попыткой сфотографировать комнату через замочную скважину или реконструировать стог сена по иголке. Игнорируя благополучный ход событий и не анализируя факторы, обеспечивающие успешное завершение работы в остальных ситуациях, мы теряем колоссальное количество ценной информации.

В подходе Б-II фокус внимания переносится на правильное развитие событий: мы дополняем анализ неудач анализом успеха — выясняем, благодаря чему у нас обычно все происходит благополучно. При этом успехи способны дать нам гораздо больше информации, чем неудачи, особенно в том, что касается предвидения и предотвращения таких проблем, с которыми нам еще не приходилось сталкиваться.

Откуда берется опасность?

В основе подхода Б-I лежит убежденность в том, что любая система для анализа может быть разложена на составные части, которые можно рассматривать по отдельности. В итоге либо все элементы системы работают правильно — и тогда правильно работает система в целом, либо в каком-то элементе системы случается сбой — и тогда система работает неправильно. Это приводит к очень упрощенной картине: все системы представляются бимодальными, то есть имеющими всего два режима функционирования — «правильно» и «неправильно». Поскольку для обеспечения безопасности необходимо обеспечить «правильное» функционирование системы, много усилий тратится на поиск и устранение причин «неправильного» поведения.

Представление о бимодальности оказывается более или менее адекватным для технических систем, но человек действует больше чем в двух режимах — например, он может выполнить какое-то действие лишь частично правильно, а какое-то — неправильно, но потом быстро исправить и т. п. Поэтому системы с существенным участием человека и тем более системы, включающие в себя человеческие общности (то есть организации), — мультимодальны. Бимодальный взгляд приемлем, когда внешние для системы условия остаются на протяжении долгого времени устойчивыми, но терпит крах, когда система существует в постоянно изменяющейся среде. (Простой пример: мы знаем, что вращение руля вправо движет машину вправо, вращение влево — соответственно, в другую сторону. Однако это правило справедливо только на хорошем покрытии, а вот, к примеру, в гололед машина может сорваться в занос даже без явного поворота руля.)

В сочетании с уверенностью в том, что «все в мире имеет причину», это приводит к тому, что целью расследования инцидентов является именно поиск причин, то есть элементов, сработавших неправильно, или условий, которые в реальности отличались от предполагавшихся. Чаще всего такими элементами и условиями оказывается человек — так возникает пресловутый «человеческий фактор» (не так повел себя, не так обучен, недостаточно опыта и т. п.).

Концепция Б-I рассматривает человека прежде всего как источник ошибок, что вынуждает пытаться максимально «отодвинуть» его от процесса (заменяя автоматическими системами, роботами и т. п.) или жестко регламентировать его действия, тем самым снижая гибкость. В постоянной среде — это дает свои результаты, но в изменчивой ситуации либо катастрофически снижает эффективность, либо оставляет работника по сути дела один на один с опасностью, возлагая ответственность за него и не обеспечивая его ресурсами для разрешения ситуации. В крайних случаях это приводит либо к глубокой зарегулированности (в том числе к противоречивости правил и регламентов), либо к «охоте на ведьм», когда вместо поиска причин инцидентов ведется поиск виноватых.

В подходе Б-II мы изначально признаем, что социально-технические системы и их элементы мультимодальны — именно это позволяет им быть гибкими, и самым гибким элементом системы оказывается человек, принимающий решения. Хорошие гибкие мультимодальные системы изначально готовы существовать в постоянно меняющихся условиях. С точки зрения Б-II человек — это не источник опасности, а напротив, ключевой, чуть ли не единственный фактор обеспечения безопасности: именно он может адаптироваться к новым условиям, принимать решения и совершать действия, которых нет в алгоритмах и т. п.

При этом подход Б-II признает, что люди всегда ошибались и будут ошибаться, и научить человека не ошибаться невозможно. Предлагается обратить внимание к тем ситуациям, когда все идет как следует. Гибкость человеческого разума — это не только источник ошибок: в гораздо большей степени это то творческое начало, которое помогает человеку находить правильные решения в нестандартных ситуациях (и в том числе замечать и исправлять последствия своих и чужих ошибок). Обычно все идет как положено в том числе потому, что человек принимает верные решения в условиях неопределенности. Наша задача — помочь ему делать это лучше. Подход Б-II основывается на следующих тезисах:

  • Люди не стремятся себя убить или покалечить.
  • Люди пытаются приспособиться, найти самый рациональный путь выполнения процесса.
  • Люди не стремятся специально нарушить работу оборудования.
  • Люди всегда будут хотеть облегчить себе работу.

Если рабочую обстановку человека можно имитировать, то принятию решений можно обучать на тренажере. Важная особенность такого обучения заключается в том, что тренажер используется не для отработки до автоматизма стандартных процедур, а для создания нестандартных, выходящих за рамки нормативов ситуаций, в которых человек учится искать решения. Цель состоит не в том, чтобы научить выполнению требований, а в том, чтобы обучаемый глубже усвоил принципы безопасного поведения. Даже если принятые решения неудачны, обучаемому не сообщают «верное решение» — с ним обсуждают то, что произошло в ходе имитации, предлагают проанализировать случившееся и обдумать другие варианты развития событий.

Такой вид обучения широко используется для пилотов, диспетчеров, машинистов поездов, буровых мастеров и других профессий, занимающихся преимущественно управлением.

К сожалению, некоторые ситуации невозможно воссоздать на тренажерах, а в ряде профессий обучение на тренажере вообще невозможно или пока недоступно. В таких случаях, проводятся обучающие оценочные мероприятия. Ключевая задача обучающих оценочных мероприятий прежняя: научить людей принимать решения, опираясь на соображения безопасности в нестандартной обстановке. В качестве входных данных обучаемый получает описание ситуации, в которой следование нормам затруднено. Далее он либо предлагает дальнейшие шаги в свободном режиме, либо отвечает на так называемые ипсативные вопросы. В вопросах такого типа предлагается набор вариантов действий, которые необходимо охарактеризовать с точки зрения безопасности, распределив на две группы в зависимости от того, повышают ли они безопасность или снижают.

Идеальная работа vs. реальная работа

Реакция традиционного подхода Б-I на сбои — попытки как можно более жестко регламентировать работу системы, написать правило, стандарт или регламент. Поскольку работа по формированию и утверждению норм и правил ведется к тому же преимущественно в кабинетах, то есть вдалеке от рабочих площадок, то в итоге возникает некая «идеальная», или воображаемая картина работы — работа «какой она должна быть» (WAI — work as imagine по Холлнагелю). Однако попытка работать полностью в соответствии со всеми нормативами и требованиями — хороший способ парализовать всякую деятельность (настолько хороший, что есть даже такое понятие, как «итальянская забастовка»). В жизни рабочие процессы неизбежно протекают с отклонениями от идеала — это «реальная» картина работы (WAD — work as do по Холлнагелю), то есть работа «как она выполняется». В этом нет ничего плохого до тех пор, пока отклонения не уводят нас в «красную» зону — зону опасности:

Идеальная работа vs. реальная работа
Идеальная работа и реальная работа в безопасности
Или другой пример на фото, как представляется процесс сварки согласно документам, и как он осуществляется «в полях»:
 сварки согласно документам, и как он осуществляется «в полях»
Подход Б-I пытается попросту игнорировать эти различия в работе или «запретить» их, тогда как в подходе Б-II анализ этих отклонений позволяет в корне изменить оценку рисков: риски возникают там, где неопределенность (разнообразие возможных отклонений) велико, а сами отклонения неконтролируемы.

Как добиться безопасности?

Традиционный подход стремится в максимальной мере регламентировать рабочие процессы, а затем пытается заставить сотрудников следовать регламенту. Для этого используются два основных механизма: непосредственная проверка формального выполнения требований и система мотивации, ориентирующая на снижение количества несчастных случаев (пресловутая «цель ноль»).

Выше уже было сказано, что отклонения от нормативов неизбежны, а их соблюдение не является надежной гарантией безопасности. Поэтому проверки наряду с безусловным положительным эффектом стимулируют и бурную имитационную деятельность — «потемкинские деревни». Штрафы за нарушения иногда не работают как надо, потому что на самом деле демотивируют сотрудника: он проявил гибкость и адаптировался к условиям, в которых приходилось выполнять работу — и в связи с этим страдает. Что касается премии за «цель ноль», то она обладает тем же недостатком, который есть у всех солидарных показателей: сотрудники чувствует, что достижение или недостижение цели мало зависит от их личных усилий, — и это лишает ее мотивирующего эффекта. Если же пытаться к показателям травматизма добавить показатели по количеству менее значимых происшествий, то такие показатели проще соблюдать, просто скрывая незначительные события (если организация следит за снижением) или выдумывая случаи опасного поведения и опасных условий (если организация стремится «расширять» основание пирамиды рисков по Хейнриху).

Подход Б-II переворачивает ситуацию на 180 градусов и ставит перед сотрудниками «цель 100»: добиться стопроцентного успешного выполнения всех рабочих операций (именно успешного, а не правильного), т.е. при этом нет строгого запрета на проявление гибкости и адаптацию, но есть требование сокращать неопределенность в процессах. Цель контролирующих мероприятий тоже меняется: мы проверяем, насколько часто человеку приходится адаптироваться к условиям работ и насколько трудно контролировать отклонения в конкретных точках рабочего процесса — какова неопределенность и насколько сложно осуществлять выбор решения.

Резюме

Подытожим все сказанное в виде таблицы ключевых различий двух концепций:

Безопасность-I Безопасность-II
Определение понятия «безопасность» Акцент на том, что идет не так Акцент на том, как реально протекает процесс
Принцип обеспечения безопасности Реактивный: реагировать, когда что-то случается или определяется как неприемлемый риск Проактивный: прогнозировать события и направление их развития
Роль человеческого фактора Человек — преимущественно помеха или источник опасности. Человек управляем правилами и обязательствами Человек — ресурс, необходимый для обеспечения гибкости и устойчивости системы в нестандартных ситуациях. Человек управляется своим мнением и контекстом, в который он попадает
Фокус основных мероприятий Барьеры разного рода — надо сделать невозможным/или нежеланным совершать ошибки. Наращиваем правила и регламенты Решения для людей — надо создать условия, чтобы люди могли делать правильные вещи. Упрощаем процессы, делая безопасную работу естественной
Расследование несчастных случаев Исследуются несчастные случаи вследствие сбоев или отказов. Цель — установить причины и сопутствующие факторы Исследуются как сбои, так и нормальная работа. Цель — понять, чем обеспечивается правильный ход событий, чтобы объяснить, почему иногда ситуация ухудшается
Оценка рисков Вероятность наступления нежелательного события и тяжесть возможных последствий Количество вариантов развития ситуации (неопределенность) и сложность контроля условий безопасности и изменения эффективности (сложность выбора решения)
Цель в области безопасности Снизить число ошибок, отклонений — «цель 0» Сделать простые и удобные процессы за счет сокращения их неопределенности — «цель 100»
Основной упор при проверках/контроле Выявление несоответствий правилам, нормам, регламентам и т.п. Выявление точек процесса с высокой вариативностью и сложностью (по-другому — с низкой контролируемостью)
Право «голоса» для старта изменений У руководителя и менеджера ОТиПБ У того, кто эксперт и знает как делается работа на самом деле – у самого рабочего
Ключевой посыл Безопасность — там, где люди соблюдают правила Процедуры не гарантируют безопасность. Безопасность там, где квалифицированные люди с умом применяют правила
Подчеркнем, что Безопасность-II выглядит новаторским подходом и в ряде аспектов резко расходится с традицией, однако это не революция, а эволюционный скачок. Подход Б-II вовсе не предлагает отринуть прежнее как неправильное и все делать иначе. В действительности многие элементы Б-II выкристаллизовались в рамках традиционных подходов к безопасности в индустриях, где цена ошибки особенно велика, — в частности, в авиации, здравоохранении и атомной отрасли. Переход к Б-II может и должен проводиться постепенно и имеет смысл тогда, когда возможности подхода Б-I уже исчерпаны.

Для многих российских компаний – это преждевременный вопрос: перспектива повышения безопасности для них связана с решением других проблем и по-прежнему лежит в русле концепции Б-I. Согласно «Всероссийскому исследованию лучших практик в области культуры безопасности», как в 2018, так и в 2019 году главным барьером повышения безопасности в РФ выступает формализм («Привычка действовать формально, на уровне документов»). 44% респондентов признались, что именно в этом их они видят главную проблему. Опыт показывает, что главным рычагом здесь будет более тонкая работа на уровне Б-I:

  • Внедрение или пересмотр действующих практик ОТ, ПБ и ООС с учетом текущего уровня культуры безопасности и уровня развития корпоративной культуры. Разные компании готовы к разным практикам (подробнее см. статью «Почему лучшие практики HSE не работают в российских компаниях»).
  • Радикальное повышение качества управления изменениями — простота и прозрачность требований, работа с сопротивлением персонала, прозрачные коммуникации, качественный мониторинг обратной связи от сотрудников и корректировка практик.
  • Формирование отношения к безопасности как ценности — комплекс мер, начиная с разделяемой и транслируемой топ-менеджментом позиции и заканчивая специальными программами, позволяющими сотрудникам максимально глубоко осознать риски «на собственной шкуре» (например, «стресс-центр» — тренажеры, моделирующие типичные травмоопасные ситуации).

Команда

Балакшин Михаил
Партнёр, Руководитель блока «Стратегия и операционная эффективность»
Анатолий Комаров
Партнёр, руководитель практики «Производственная безопасность»
Сергей Винник
Директор по консалтингу практики «Производственная безопасность»
Татьяна Зиновьева
Старший менеджер практики «Производственная безопасность»
Баландин Олег
Старший менеджер практики «Производственная безопасность»
Алексей Андрейко
Старший менеджер практики «Производственная безопасность»
Владислава Матвеева
Менеджер практики «Производственная безопасность»
Иван Сойко
Менеджер практики «Производственная безопасность»
Дмитрий Степанов
Менеджер практики «Производственная безопасность»
Юлия Кострыкина
Старший консультант практики «Производственная безопасность»
Елена Колесникова
Руководитель маркетинга блока «Стратегия и операционная эффективность»
Присоединись к команде

Контакты

127015, Москва, ул. Новодмитровская, 2к1, 17 этаж, БЦ «Савёловский Сити»