Samen sterk voor preventie is een uitstekend begin. Maar als de grenzen waarbinnen veilig gewerkt kan worden eenmaal zijn getrokken staat de volgende fase voor de deur. De integratie van veiligheid in de operatie zelf. Begin zestiger jaren, dus een halve eeuw geleden, begon de luchtvaart aandacht te besteden aan de menselijke component bij ongevallen, de human factor. Aanvankelijk zelfstandig, vanaf de negentiger jaren met toepassing van inzichten uit andere sectoren, zoals de olie en gas industrie, en vanaf begin deze eeuw via een integratie in een Safety Management System dat de hele organisatie raakt. De laatste jaren worden ook veel technieken en toolkits gebruikt die ontwikkeld zijn binnen Quality Management Systems. Het lijkt erop dat deze twee systemen geïntegreerd kunnen worden. Veiligheid is immers een integraal onderdeel van betrouwbaarheid. 1
2
Luchtvaart is een sterk lerend systeem. Vrij snel is duidelijk geworden binnen welke grenzen veilige luchtvaart mogelijk is. Waar die grenzen liggen is ontdekt met bloed, zweet en tranen: door te leren van wat mis ging. Niet alleen van ongevallen, maar ook van incidenten en van kleine voorvallen in de dagelijkse operatie. De bereidheid te leren is altijd groot geweest, niet in het minst uit eigenbelang: bij een ongeval komt immers vaak ook de bemanning om. Dat effect is moeilijk te vertalen naar andere domeinen. 3
De spectaculaire daling van de ongevallenfrequentie begin zestiger jaren is deels een gevolg van betere greep op de techniek, maar vooral van de aandacht voor human factors. Het gemiddelde wereldwijd is met 1 ongeval per miljoen vluchten al beter dan Six Sigma (3,4 per miljoen), maar in de westerse wereld is het nog maar 1 per twee tot drie miljoen. Een ordegrootte beter dan Six Sigma. In de hele westerse wereld vindt gemiddeld per jaar in de grote luchtvaart maar één ongeval plaats waarbij doden vallen. Daarbij gaat het om gemiddeld 100 slachtoffers per jaar. 4
Bij driekwart van ongevallen speelt menselijk factor een rol. Dat was vijftig jaar geleden zo, en nu nog. Het aantal ongevallen is sterk verminderd, de verdeling over oorzaken is vrijwel ongewijzigd. Dat zal zeer waarschijnlijk zo blijven. Focus op de menselijke component zal het aantal ongevallen doen verminderen, maar niet de verhouding. Focus is dus wel nodig en begint met gebruik van de juiste woorden. Spreken van menselijke fout of human error, houdt een verwijt in en de opdracht die fout voortaan niet meer te maken. Spreken van human factor erkent de intrinsieke feilbaarheid van de mens, die nu eenmaal niet alwetend en almachtig is, en opent een nieuw terrein van onderzoek naar manieren om daar zo goed mogelijk mee om te gaan. 5
Luchtvaartvoorbeeld van gebrekkige mens-machine interface. 6
7
Een aantal van de menselijke eigenschappen die maken dat een mens nooit onfeilbaar kan zijn. 8
De eerste decennia werd een eenvoudige analyse toolkit gebruikt, SHELL, waarbij de operator, de Liveware, centraal staat en interacties heeft met Software (regels en procedures) Hardware (de fysieke techniek), de Environment (alle omgevingsfactoren zoals weersomstandigheden en terrein) en andere mensen, dus andere Liveware. In de negentiger jaren kwam de Tripod aanpak op, ontwikkeld door Patrick Hudson en Willem Wagenaar van Leiden en James Reason van Manchester, oorspronkelijk voor de olie en gas industrie. Deze aanpak werd later bekend las het Swiss Cheese model. 9
Tripod, ook bekend als het Zwitserse kaas model, evolueerde tot bow-tie, waarbij ook recovery en containment een rol kregen. 10
De laatste jaren worden ook toolkits uit Quality Management toegepast. Al deze tookits en systemen zijn bedoeld voor de denkers, of beter gezegd de regelaars. Degenen die processen en systemen ontwerpen. De uitvoerders in de eerste lijn kunnen daar niets mee en moeten er ook niet mee belast worden. Zij zijn bezig met het primaire proces. De denkers moeten ondersteuning voor dat primaire proces ontwikkelen, dat centraal moet staan. Het primaire proces, de handelingen, is waar het uiteindelijk om draait. Een bedreiging is de neiging juist het proces centraal te zetten en de doeners te zien als degenen die gewoon de regels moeten volgen. De echte wereld is daarvoor echter te gecompliceerd en te rommelig. 11
De luchtvaart heeft op dat gebied een hele ontwikkeling achter de rug. De benadering van de vijftiger jaren, de gezagvoerder als Schipper naast God, heeft vrij goed gewerkt, maar een mens is nooit onfeilbaar en alwetend. Decennialang is veel bereikt door de mens als feilbaar te erkennen. Maar dezelfde eigenschappen die leiden tot feilbaarheid leiden in een andere situatie juist tot het oplossen van problemen en het voorkómen van narigheid. 12
13
14
De gebruikelijke top-down reactie: volg de regels en dan gaat alles goed. Een uitstekend begin, mits de regels deugen, maar het kan nooit het hele verhaal zijn. 15
Dat blijkt ook uit deze set regels zelf. De rommelige wereld is niet helemaal in regels te vangen. Afwijkingen van regels zijn soms noodzakelijk. Dus moet vastgelegd worden hoe daar mee om te gaan. 16
De eerste drie vinden onbewust plaats, dus straffen helpt daar per definitie niet. Analyseren en leren is de enige effectieve aanpak. Overtreding van regels of procedures is strafbaar als er sprake is van opzet of grove nalatigheid. In een gezonde organisatie met een goed SMS (Safety Management System) zal daar in de meeste gevallen geen sprake van zijn: er zal dan een reden voor die bewuste overtreding zijn. Die reden moet worden achterhaald en geanalyseerd. Als die reden niet deugt kan dat weer leiden tot systeemverbeteringen. Bijvoorbeeld betere informatie, betere training of betere hulpmiddelen. 17
Zo n benadering, lering, is mogelijk via de Just Culture benadering die is ontwikkeld binnen Safety Management. Maar ook binnen kwaliteitsmanagement kan deze benadering worden gebruikt. Zomaar van de procedures afwijken kan niet worden getolereerd, gemotiveerd afwijken zal daarentegen niet tot sancties leiden, maar tot onderzoek naar de motivatie. En eventueel tot verbeteringen van hetzij het systeem hetzij de kennis en/of kunde van het individu. 18
De belangrijkste eigenschap van luchtvaart is, dat de procedures bottom-up ontwikkeld worden. Na wellicht een initiële top-down implementatie. Procedures vertegenwoordigen dan de beste manier om een bepaald activiteit uit te voeren. Feitelijk zijn ze gestolde ervaring. Buiten luchtvaart zie je vaak procedures die neerkomen op gestold wantrouwen. Die procedures helpen niet, vormen vaak zelfs een belasting, en lopen dan ook het risico te worden genegeerd. Of ze leiden een slapend bestaan in een archiefkast. 19
20
Vaak wordt gesteld dat veiligheid altijd de eerste prioriteit heeft. Dat kan natuurlijk niet waar zijn, want als dat echt zo zou zijn, zou een organisatie binnen enkele weken niet meer bestaan. Meer investeringen in veiligheid zijn immers altijd mogelijk, ook als het netto effect daarvan miniem zal zijn. In de praktijk zal altijd een afweging moeten plaatsvinden tussen strijdige doelstellingen. Pas als dat onder ogen wordt gezien, komt dat afwegingsproces beschikbaar voor analyse en dus eventueel verbetering en borging. 21
31 januari 2000, 88 slachtoffers 22
De keerzijde van de Wet van Murphy is eigenlijk van groter belang dan de wet zelf. Wat mis kan gaan gaat bijna altijd goed. Dat leidt tot oprekken van procedures, want het gaat toch goed? Bij dit concrete voorbeeld was elke verlenging van het interval goedgekeurd door alle betrokkenen, inclusief de toezichthoudende overheid. Een formele manifestatie van drift into failure. 23
Informele drift komt ook voor. Mensen proberen het werk zo goed en efficiënt mogelijk te doen. Als een kleine oprekking van procedures gunstig uitpakt en kosten en/of moeite spaart, kan die oprekking de gewone praktijk worden en is de weg vrij voor een volgende oprekking. Tot het op een dag verkeerd gaat. 24
Deze metafoor voor het dynamische krachtenspel is ontwikkeld door James Reason. De knoop is het primaire proces, dat zich in de veilige ruimte, de safety space, moet blijven afspelen. 25
26
Weerbaarheid ontstaat enerzijds door flexibele processen, die zich aan kunnen passen aan wisselende omstandigheden en voorvallen, maar ook door meervoudige uitvoering van essentiële hardware inclusief goede monitoring van de conditie. De achterwacht is de creatieve mens, die dan wel moet beschikken over voldoende kennis, kunde en gereedschappen. Juist in een zeer betrouwbare omgeving, bijvoorbeeld op Six Sigma niveau, kan met name de kunde weinig getoetst en geoefend worden, eenvoudig omdat er bijna nooit iets echt mis gaat. In de luchtvaart worden daarvoor simulators gebruikt, waarin kennis en kunde worden geoefend en getoetst in complexe failure scenario's. Dat kost dus los van de kosten van de benodigde kapitaalgoederen minimaal vier mandagen per jaar per individu. Plus de mandagen van de instructeurs, die zelf ook vlieger zijn. 27
Een probleem daarbij is dat, wanneer eenmaal Six Sigma is bereikt de kosten van investeringen in weerbaarheid wel gekwantificeerd kunnen worden, maar de opbrengsten bijna niet. Het gaat immers om het opvangen van niet te voorspellen gebeurtenissen. 28
29
Veiligheid en kwaliteit blijven op niveau via een cyclisch proces dat altijd blijft doorgaan. Daarbij zij de juiste randvoorwaarden, hierboven aangegeven, essentieel. Het primaire proces dient centraal te staan: de wereld verandert alleen door fysieke handelingen. System engineer tools zijn onmisbaar om tot goede processen te komen, maar dienen zich op de achtergrond en ondersteunend af te spelen. 30