1 Samenvatting. NVVK Jubileumcongres april Sessie C Duuren v. 1 van 11

Transcriptie

1 Tripod Beta De vergeten stap Auteur: Dankaart, D., MSHE Senior veiligheidsadviseur, Shell Nederland Chemie BV Postbus 3005 NL-3190 GB Hoogvliet Rt Internet: Voorbehoud: Hoewel dit artikel grotendeels is gebaseerd op ervaringen met het gebruik van Tripod bij Shell Nederland Chemie BV en Shell Chemicals, is de inhoud ervan formeel slechts een weergave van de standpunten en meningen van de auteur. Shell Nederland Chemie BV noch Shell Chemicals kan verantwoordelijk worden gehouden voor gebruik, misbruik, interpretatie of misinterpretatie van de informatie in dit artikel. Gevallen die als voorbeeld worden gebruikt, zijn soms op feitelijke gegevens gebaseerd maar in veel gevallen slechts op fictieve, zij het realistische gegevens. Dit is zonder verder onderscheid gedaan, tenzij dat onderscheid voor de lezer relevant is. Terminologie: Tenzij expliciet onderscheid relevant is, wordt in dit artikel de naam Shell gebruikt zonder onderscheid te maken tussen haar verschillende entiteiten (bijv. Shell Nederland Chemie BV, Shell Chemicals, Shell Downstream, Shell Groep). Dit artikel is gewijd aan de Tripod-benadering als methodologie voor de analyse van systeemoorzaken van incidenten; de auteur is zich ervan bewust dat Tripod meerdere subsidiaries heeft, elk met hun eigen suffix (Tripod Beta, Tripod Delta, enz.). Gemakshalve wordt in dit artikel alleen de algemene benaming Tripod gebruikt, tenzij het gebruik van de subsidiaire term uitdrukkelijk nodig is. 1 Samenvatting In grote delen van de Shell-organisatie, waaronder ook de werkmaatschappij Shell Nederland Chemie BV (SNC), wordt de Tripod-methode reeds enkele decennia gebruikt om beter inzicht te krijgen in falen van het toezicht ("management controls") waardoor oorzaken van incidenten konden ontstaan. In die periode is de toepassing van Tripod bij SNC geëvolueerd van een methode in haar kinderschoenen ("infancy"), met de daarmee samenhangende en te verwachten tekortkomingen, via een adolescentieperiode met bewezen waarde tot het huidige, volgroeide en optimaal profijt biedende hulpmiddel. Tijdens de infancy-fase werd de TRIPOD-methode voornamelijk toegepast om op basis van analyse van slechts één incident dieper inzicht in het oorzakelijk mechanisme te krijgen. In de latere adolescentiefase werden eerste stappen gezet om de resultaten van meerdere, op één incident gebaseerde analyses samen te voegen en om periodiek een op meerdere incidenten gebaseerde analyse van Basis Risico Factoren (BRF) te maken, met als doel meer structureel spelende gevallen van een falend managementsysteem aan te wijzen. De afgelopen jaren is de toepassing van Tripod bij SNC in twee opzichten tot wasdom gekomen: 1) classificatie van BRF s op een fijnkorreliger niveau dat concrete, op te lossen vraagstukken oplevert, en 2) betere onderlinge consistentie van de vastgestelde BRF s en de afgeleiden daarvan. Dit artikel behandelt de vraag hoe de huidige volgroeide fase is bereikt. NVVK Jubileumcongres april Sessie C Duuren v. 1 van 11

2 2 Historisch perspectief The chapter of knowledge is a very short, but the chapter of accidents is a very long one. (Lord Chesterfield, 1753) Ofschoon het hoofdstuk over ongelukken er niet korter op is geworden, is ook het hoofdstuk over kennis sinds de dagen van Lord Chesterfield sterk uitgedijd. De afgelopen twintig jaar hebben de geboorte en ontwikkeling tot wasdom van Tripod te zien gegeven. 2.1 Beknopte beschrijving van Tripod In de jaren 80 van de vorige eeuw besefte Shell dat er iets was dat achter de directe oorzaken van incidenten lag: aan de directe oorzaken van incidenten (persoonlijk falen of eventueel de omstandigheden) lag vrijwel altijd falen van het desbetreffende toezicht ten grondslag. Samen met de Universiteit Leiden en de universiteit van Manchester heeft Shell een project in gang gezet met als doel een hulpmiddel te ontwikkelen waarmee dit falen van toezicht kon worden geïdentificeerd. Het resultaat van dit project was een hulpmiddel, Tripod geheten, dat op de volgende stelling was gebaseerd: onvolmaakte beslissingen genereren Latent Failures (latente fouten of sluimerende faalkansen, die in Basis Risico Factoren kunnen worden gecategoriseerd); deze Latent Failures leiden tot de ontwikkeling van Preconditions (randvoorwaarden) die het plaatsvinden van Active Failures (directe faaloorzaken) in de hand werken. Als dit niet door een Last Defense wordt opgevangen, veroorzaakt de Active Failure het Incident. Deze stelling wordt in onderstaand diagram gevisualiseerd: Breached Defence Fallible Decision Latent Failure Precondition (psychological precursor) Active Failure (sub-standard act) INCIDENT 11 Basic Risk Factors (General Failure Types) Figuur 1: Tripod-model In deze benadering zit impliciet de filosofie besloten: People will always make mistakes; to prevent these mistakes from being made, remedy the error-favourising circumstances. Het spreekt vanzelf dat deze filosofie niet achterhaald is - integendeel, zij heeft nog niets aan waarde ingeboet. 2.2 De waarde van Tripod bij incidentenanalyse De waarde van Tripod bij incidentenanalyse is tweeledig: 1. Het vooronderzoek is grondiger: het stellen van de waarom -vragen brengt de ondervraagden er vaak toe om eerdere antwoorden te herzien en bij te stellen. Als het onderzoek in een no blame - cultuur plaatsvindt, verhogen deze herzieningen in de meeste gevallen, de kwaliteit van het feitenonderzoek. Dit voordeel kan alleen als een bewering worden gezien en wordt niet nader toegelicht. 2. De uitslag van een Tripod-analyse identificeert de tekortkomingen in het managementsysteem die moeten worden opgelost om te voorkomen dat dezelfde systeemoorzaken aanleiding voor nieuwe incidenten zijn. Als zodanig zorgt deze identificatie dat men op een presenteerblaadje krijgt aangeboden welke acties de organisatie moet ondernemen om het managementsysteem te perfectioneren. NVVK Jubileumcongres april Sessie C Duuren v. 2 van 11

3 Met name dit aspect biedt aangrijpingspunten om het Tripod-hulpmiddel tot volle wasdom te ontwikkelen Beperkte waarde van BRF-profiel Het fundament voor correctie of verbetering van het managementsysteem dient te liggen in de diagnose van de faalgevallen en tekortkomingen. Wat betreft Tripod-analyses, is deze diagnose neergelegd in het BRFprofiel. Vanzelfsprekend zijn op één incident gebaseerde BRF-profielen in dit opzicht veel minder betrouwbaar vanwege de statistische onzekerheid van het geringe aantal BRF s DE HW PR EC HK TR IG CO OR MM DF Figuur 2: Typisch BRF-profiel van één enkel incident Een op meerdere incidenten gebaseerd BRF-profiel levert een statistisch beter onderbouwd en dus betrouwbaarder BRF-profiel op. Als alle Tripod-analyses van een organisatie over een langere periode worden samengevoegd, berust het BRF-profiel op een aantal BRF s in de orde van grootte van 100 of meer. Zeldzame of incidentele voorvallen zullen zo'n profiel minder sterk beïnvloeden DE HW PR EC HK TR IG CO OR MM DF Figuur 3: Typisch op meerdere incidenten gebaseerd BRF-profiel Hoewel het aantal BRF s in het geval van op meerdere incidenten gebaseerde profielen voldoende kan zijn om statistisch significant te zijn, is dat nog geen garantie voor de volledige betrouwbaarheid van dat profiel en blijven er vraagtekens bij de diagnose van de zwakke plekken in het managementsysteem. Maar zelfs als het BRF-profiel wel op voldoende en adequate gegevens is gebaseerd, wat vertelt het ons dan? Het geproduceerde profiel kan alleen worden gebruikt om trends te analyseren, om te benchmarken ten opzichte van andere, vergelijkbare organisaties of om op abstract niveau inzicht in de desbetreffende onderdelen van het managementsysteem te verschaffen. Het wijst absoluut niet de management controls (toezichtmiddelen) aan die moeten worden gecorrigeerd. Simpel gezegd: het management heeft er niet veel baat bij om te weten dat zijn grootste problemen in ORGANISATIE, PROCEDURES en TRAINING liggen. U kunt er zeker van zijn dat de eerstvolgende vraag van dat management zal zijn: Wat zijn dan precies mijn problemen op het gebied van Organisatie, Procedures en Training?. En dat brengt ons naar de Vergeten stap. NVVK Jubileumcongres april Sessie C Duuren v. 3 van 11

4 2.3 De vergeten stap Om als hulpmiddel ter verbetering van de falende management controls in het managementsysteem bruikbaar te zijn, moet het BRF-profiel worden uitgewerkt in een detailniveau, waarop het niet alleen het desbetreffende gebied van het managementsysteem tot uitdrukking brengt, maar ook welk element binnen dat gebied heeft gefaald. Met andere woorden: als we weten waar zich structureel falen voordoet, moeten we vervolgens weten wat de falende onderdelen zijn Waarde van de Caused By -zinnen Al in de vroege jaren 90 van de vorige eeuw werd onderkend dat de onderlinge consistentie van de geselecteerde BRF s zonder verdere richtlijnen onvoldoende was om een waarheidsgetrouw BRF-profiel op te stellen. De ontwikkelaars van Tripod produceerden twee groepen referentielijsten per BRF: Caused By -zinnen, die een aantal specifieke, tot incidenten leidende scenario's beschrijven, en Leads To -zinnen, die een aantal specifieke gevolgen van incidenten beschrijven. Een voorbeeld van een Caused By -zin van de BRF Procedure is: Procedures die aangeven onder welke omgevingsomstandigheden de werkzaamheden moeten worden gestaakt, waren niet effectief (bijv. boven 50 C, onder -40 C), en een voorbeeld van een Leads To -zin van dezelfde BRF: Externe of omgevingsomstandigheden verstoorden of beïnvloedden de uitvoering van de operatie (lawaai, stank, trillingen, verblinding, extreme temperatuurwaarden, wind, regen, atmosferische storingen, vochtigheidsgraad, duisternis, stofwolken, chemicaliën, vijandige omgeving). Deze lijsten kunnen worden gebruikt om het team dat een Tripod-analyse verricht, te helpen de correcte BRF te selecteren of om de reeds geselecteerde BRF te controleren; bij SNC wordt normaliter de laatste benadering gehanteerd. NVVK Jubileumcongres april Sessie C Duuren v. 4 van 11

5 3 Huidige toepassing van Tripod Beta SNC gebruikt momenteel de Tripod Beta-software om jaarlijks 20 tot 30 incidenten van het hoogste niveau (inclusief bijna-incidenten) op basis van ernst, potentieel risico of bijzondere leerwaarde te analyseren. 4.03A: current procedure was too vague, did not mention exact T- criteria Need to adapt to high temperature was not recognised by supervisor Maintenance job was pursue during hot afternoon hours Lat. Failure PR Precondition Active Failure Hot weather (temperature is excess of 35 degc Hazard Aborting maintenance job in case of excessive temperature Failed barrier Event Heat-stroke of maintenance employee Maintenance employee Target First Aid response by medical services Effective barrier Figuur 4: (Vereenvoudigd) voorbeeld van een Tripod Beta-diagram SNC gebruikt dit hulpmiddel sinds 1991 en heeft de bruikbaarheid van de methode in de loop der jaren verder ontwikkeld door invoering van latere verbeteringen en door het ontwikkelen van een eigen zienswijze en proces om volledig profijt van Tripod te hebben bij de beheersing van operationele risico's en effecten. Deze verbeteringen en ontwikkelingen waren: Vergroting van de onderlinge consistentie van BRF-classificaties. Onderverdeling van BRF-classificaties in hun afgeleiden. Analyse van systeem oorzaken. Gebruik van de analyse van deze systeemoorzaken om management control te verbeteren. 3.1 Vergroting van de onderlinge consistentie van BRF-classificaties SNC heeft de Caused By - en Leads To -lijsten (CB/LT-lijsten) ingevoerd teneinde bij de selectie van de BRF s in het kader van de Tripod-analyse een hoog onderling consistentiesniveau te waarborgen. Een deel van deze lijst wordt hieronder afgebeeld: NVVK Jubileumcongres april Sessie C Duuren v. 5 van 11

6 4. Error enforcing conditions (omstandigheden welke fouten in de hand werken) DEFINITIE: Fysische omstandigheden en andere invloeden met een nadelig effect op het menselijk functioneren. 'Leads To' Precondition 4.A Externe of omgevingsomstandigheden verstoorden of beïnvloedden de uitvoering van de operatie (lawaai, stank, trillingen, verblinding, extreme temperatuurwaarden, wind, regen, atmosferische storingen, vochtigheidsgraad, duisternis, stofwolken, chemicaliën, vijandige omgeving) 4.B Persoonlijke factoren of werkpatronen verstoorden de operaties of hadden een nadelige invloed op de waakzaamheid (ziekte, medicijngebruik of -misbruik, te lang doorwerken, ontregeld dag-/nachtritme, nachtdienst, middagdipje, Ramadan) 4.C Gebruik van drugs, alcohol of andere stoffen beïnvloedde het persoonlijk gedrag (onjuiste waarneming van de omgeving, verkeerde risico-inschatting en probleemoplossing, niet helder kunnen denken) 4.D Minder aandacht voor het onderhanden werk (onvoldoende aandacht, problemen thuis, problemen met collega's/baas op het werk, geen loopbaanperspectief, eentonig werk) 4.E Al te energieke aandacht voor het onderhanden werk (overmatige aandacht, machogedrag, "can-do"- mentaliteit, overambitieus zijn, teveel vertrouwen in eigen kunnen, niet kunnen delegeren, faalangst, buitensporige koppigheid) 'Caused By' Latent Failure 4.01 Verkeerde afstelling of constructie van, of ontbreken van isolatie in, materiaal veroorzaakte lawaai, trillingen of extreme temperatuurwaarden 4.02 Er was onvoldoende (persoonlijke) bescherming tegen storende invloeden van buitenaf (geen zonwering, airconditioning, oordoppen, isolerende pakken) 4.03 Procedures die aangeven onder welke omgevingsomstandigheden de werkzaamheden moeten worden gestaakt, waren niet effectief (bijv. boven 50 C, onder -40 C) GFT DE DF PR Figuur 5: Deel van "Caused By"- en "Leads To"-lijst Nemen wij het in Figuur 4 afgebeelde voorbeeld. Zonder de CB/LT-lijst zou er sprake kunnen zijn geweest van dubbelzinnigheid tussen de BRF-selectie van de EC (Error Enforcing Condition - als men van oordeel was dat het warme weer de primaire factor was), respectievelijk de PR (Procedure - als het ontbreken van accurate richtlijnen als voornaamste oorzaak was gezien). Uit nauwkeurige bestudering van de CB/LT-lijst blijkt op basis van Caused By -zin 4.03 en Leads To -zin 4.A ondubbelzinnig dat PR de correcte BRF is. (Hoewel de relevante CB/LT-zinnen onder Hoofdstuk 4 Error Enforcing Condition zijn ingedeeld, wijst de 3 e kolom in de Caused By -tabel deze zin toe aan de BRF ( GFT ) PR) 1 1 Deze CB/LT-lijst is de aanvankelijk ontwikkelde versie, die nog steeds bij Shell E&P en SNC in gebruik is, zij het dat de 3 e kolom GFT om door de Tripod Foundation niet bekendgemaakte en aan de auteur onbekende redenen uit het huidige traininghandboek van die Foundation is geschrapt. NVVK Jubileumcongres april Sessie C Duuren v. 6 van 11

7 De inhoud van het Latent Failure -blokje in het diagram bevat de verwijzing 4.03.A en behalve de generieke CB/LT-zinnen een korte incidentspecifieke omschrijving: current procedure was too vague, did not mention exact T-criteria. Concluderend: de invoering van de CB/LT-lijsten heeft de onderlinge consistentie van de geselecteerde BRF s aanzienlijk verbeterd. 3.2 Onderverdeling van BRF-classificaties in hun afgeleiden In Hoofdstuk 2 heb ik gesteld dat het management van de organisatie informatie nodig heeft op een hoger detailniveau dan alleen het BRF-profiel. Zij hebben behoefte aan specifiekere informatie over wat binnen de verschillende BRF s van het profiel faalt, op een niveau waar zij iets mee kunnen. Op dit niveau moet het wat van het falen duidelijk genoeg worden beschreven om te begrijpen wat er moet gebeuren om het falen te ondervangen. De CB/LT-lijsten, en meer in het bijzonder de Caused By -zinnen, vormen een zeer waardevol hulpmiddel om dit detailniveau te bereiken: wanneer een hoge score voor de BRF-procedure in het profiel het management niet vertelt wat het moet doen om het toezicht te verbeteren, wijst een hoge score in een profiel op het niveau van Caused By -zinnen vrijwel direct naar de juiste te ondernemen correctieve acties. Nu de CB/LT-lijsten reeds ten behoeve van de onderlinge consistentie van BRF-classificaties zijn toegepast, kost het geen extra moeite om de aangewezen Caused By -zinnen te gebruiken om door middel van het aanwijzen van subcategorieën van systeemoorzaken het vereiste detail niveau te geven. 4.03A: current procedure was too vague, did not mention exact T- criteria Lat. Failure PR Figuur 6: Vergroot detail van Latent Failure-blokje Samenvattend, verschaft het Tripod-diagram per Latent Failure de volgende gegevens: 1. Hoog niveau: BRF ( PR ) 2. Generiek: subcategorieën van BRF s ( 4.03A ) 3. Incidentspecifiek: korte omschrijving ( current procedure was too vague, ) 3.3 Analyse van systeemoorzaken Sinds 1996 deelt SNC de BRF s op in subcategorieën tot een niveau waarop praktische aangrijpingspunten worden geboden om het managementsysteem wat betreft HSE-aspecten te verbeteren. Tot aan 2005 In de loop van de laatste tien jaar is elke BRF die op grond van een op één incident gebaseerde Tripodanalyse was aangewezen, aangevuld met een korte incidentbeschrijving. Jaarlijks zijn alle BRF-profielen van het betreffende jaar bij elkaar genomen en zijn de beschrijvingen op BRF-niveau samengevoegd. Tot percentages gereduceerd, ziet zo'n BRF-profiel eruit als in Figuur 7. NVVK Jubileumcongres april Sessie C Duuren v. 7 van 11

8 30% 25% 20% 15% 10% 5% 0% 25% 17% 16% 6% 7% 9% 9% 8% 2% 0% 2% DE HW PR EC HK TR IG CO OR MM DF Figuur 7: Op meerdere incidenten gebaseerd BRF-profiel (in percentages) Vervolgens werden alle beschrijvingen handmatig kritisch bekeken met als doel overeenkomsten aan te wijzen die als subcategorieën konden worden aangemerkt. Met deze weliswaar ongestructureerde methode, maar met gebruik van het gezonde verstand, kon elke BRF in 3 tot wel 10 subcategorieën worden onderverdeeld. Een voorbeeld van zo'n opgesplitste BRF (Procedure) staat in Figuur 8. In dit voorbeeld zijn vijf, uitsluitend aan de BRF-procedure gekoppelde subcategorieën aangewezen: Procedure niet specifiek genoeg (bevatte niet de vereiste details) Procedure onvolledig (vereiste informatie ontbrak) Procedure niet gevolgd (regels niet in acht genomen) Procedure onbekend (betrokkene was niet bekend met inhoud of bestaan van de procedure) Procedure bestaat niet (een vereiste procedure is nooit opgesteld). Voorts zijn twee andere, meer generieke subcategorieën vastgesteld, die niet alleen in verband met de BRF Procedure zijn onderkend, maar die ook in een aantal andere BRF s naar voren kwamen (Organisatie, Communicatie en Training): PtW/JSA (Permit-to-Work/Job Safety Analysis) MoC (Management of Change) # of aspects per 100 Tripod analyses Insufficiently specific Incomplete Not followed Unknown Not existing PtW/JSA MoC Procedures Others Figuur 8: Subcategorieën van BRF-procedures De twee generieke subcategorieën PtW/JSA en MoC uit alle BRF s, voor zover vastgesteld, werden samengevoegd om ook deze substantiële systeemoorzaken te onderkennen en te beoordelen. NVVK Jubileumcongres april Sessie C Duuren v. 8 van 11

9 Figuur 9: Generieke subcategorieën PtW/JSA en MoC Deze benadering beantwoordde tot op zekere hoogte aan het doel maar het is duidelijk dat deze methode zeer omslachtig en nog steeds niet consistent genoeg was. Dus: inefficiënt en niet erg effectief Recent verbeterde benadering In de tweede helft van 2005 is SNC de door de CB/LT-lijsten geproduceerde subcategorieën gaan gebruiken, aangevuld met de incidentspecifieke korte beschrijvingen zoals uiteengezet in paragraaf 3.2. Hoewel de eerste, op meerdere incidenten gebaseerde jaarlijkse analyse pas bij de afsluiting van 2006 zal worden uitgevoerd, ziet de organisatie nu al de voordelen van deze nieuwe benadering: Verhoogde onderlinge consistentie en transparantie, alsook meer erkenning van de Tripodanalyseresultaten: de selectie van de subcategorieën is nu onderdeel van elke op één enkel incident gebaseerde Tripod-analyse; als zodanig geschiedt die door het onderzoeksteam in de slotfase van de op één incident gebaseerde analyse - dit in tegenstelling tot het eerdere proces, waarbij de op meerdere incidenten gebaseerde analyse bovenal een one person job aan het eind van een jaarlijkse periode was. Gemakkelijk ophalen van Tripod-analysegegevens: begin 2006 is de computerapplicatie/database (SCIPR = Shell Chemicals Incidents and Performance Reporting) die Shell Chemicals wereldwijd voor de registratie van incidenten gebruikt, aangepast om registratie van de BRF-subcategorieën mogelijk te maken. Deze registratiemogelijkheid biedt een volledige slice & dice -functionaliteit voor alle geregistreerde gegevens en de mogelijkheid om op elk niveau, van business (Shell Chemicals) helemaal naar beneden tot aan de lokale operationele afdelingen, cross-sectionele gegevens te genereren Mogelijkheden voor verdere verbetering De huidige benadering heeft omstandigheden gecreëerd die een aantal verdere verbeteringen mogelijk maken: Met de SCIPR-database voor incidentenregistratie kunnen de BRF s en de BRF-subcategorieën nu wereldwijd op businessniveau (Shell Chemicals) en binnenkort ook op Groepsniveau worden geregistreerd; momenteel benutten slechts enkele Shell Chemicals-entiteiten de functionaliteit van NVVK Jubileumcongres april Sessie C Duuren v. 9 van 11

10 deze registratie ten volle. Als dit eenmaal naar heel Shell Chemicals, heel Shell Downstream of zelfs de hele Shell Groep is verbreid, is benchmarking en vergelijking van de sterke en zwakke gebieden mogelijk. De zwakke gebieden zullen de aspecten aanwijzen die aandacht behoeven om herstel- of opvangmaatregelen ter correctie van falende management controls te definiëren. Anderzijds kunnen entiteiten met sterke gebieden worden gebruikt om adequatere managementsystemen, controls of best practices op het gebied van management controls te identificeren; met andere woorden, dit zijn de sites, onderdelen of businesses die voor coaching of als leermogelijkheid kunnen worden benut. Momenteel zijn aan de 11 BRF s 144 subcategorieën toegewezen. Hoewel deze 144 BRFsubcategorieën het spectrum aan benodigde subcategorieën grotendeels bestrijken, zal, nu wij hen actief zijn gaan gebruiken, spoedig blijken dat sommige Latent Failures niet in een van de 144 huidige subcategorieën kunnen worden ondergebracht. Deze dreigende hiaten moeten worden geregistreerd om de huidige groep BRF-subcategorieën later aan te vullen. De feitelijke ervaring heeft tot dusver geen grote hiaten aan het licht gebracht en wij gaan ervan uit dat er t.z.t. hooguit vijf à tien additionele BRF-subcategorieën nodig zullen zijn. 3.4 Gebruik van de analyse van systeemoorzaken om management control te verbeteren The world can only be grasped by action, not by contemplation mind. (Jacob Bronowski, 1973) The hand is the cutting edge of the Als het proces van Tripod-analyse alleen zou zijn bedoeld om onze prestaties wat betreft het managementsysteem (of het ontbreken daarvan!) te bewaken zou het toepassen van tripod analyses niet gerechtvaardigd zijn: teveel inspanning en onvoldoende resultaat. De methode bewijst haar waarde pas als de uitkomsten van deze analyses worden gebruikt om het managementsysteem te verbeteren. In het perspectief van de Deming-cyclus vormen de Tripod-analyses de CHECK-fase. Deze cyclus zou abrupt tot stilstand komen als zij niet door voltooiing van de ACT- en de PLAN-fase zou worden afgesloten. Feitelijke verbetering moet immers uit de ACT- en de PLAN-fase komen. PLAN ACT DO CHECK Figuur 10: Deming-cyclus Dus wanneer de diagnose van het falen van het managementsysteem is voltooid (CHECK), moet die diagnose worden vertaald in een behandelplan (ACT). Dit betekent omzetting van de Tripod-analyse in een verbeteringsplan. NVVK Jubileumcongres april Sessie C Duuren v. 10 van 11

11 Uit eerdere ervaring blijkt dat als de diagnose eenmaal is gesteld, de daaruit voortvloeiende maatregelen vaak niet moeilijk te bepalen zijn. En omdat de analyse van op het systeem terug te voeren falen zeer transparant is, leidt dat tot soepeler acceptatie van maatregelen, waarvoor soms aanzienlijke investeringen (budgettair of personeel) nodig zijn. Ter afsluiting van deze paragraaf geef ik twee voorbeelden van de manier waarop de analyse van systeem oorzaken in een wijziging van management controls werd vertaald. 1. Het aangewezen systeemfalen was Onvoldoende risicoherkenning op de werkvloer en de oplossing was tweeledig: ontwikkelen van een zeer basale training voor alle medewerkers met hands on -taken, om hen te leren hoe zij hun werkomgeving moeten observeren en hoe zij zich van gevaren bewust moeten worden, en invoeren van een laatste gevarencontrole ter plaatse alvorens het werk te beginnen 2. Het aangewezen systeemfalen was Onvoldoende toezicht op de handhaving van optimale werkomstandigheden, wat - onder meer - resulteerde in de benoeming van meer dan 15 zogeheten HSE coördinatoren bij operatie, onderhoud en projecten. NVVK Jubileumcongres april Sessie C Duuren v. 11 van 11