emergency care journal editoriale em er ge nc y ca re jo ur na l - o rg an iz za zi o ne , c lin ic a, r ic er ca • A nn o V III n um er o 1 • M ar zo 2 01 2 • w w w .e cj .it Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. 3 Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. Gli incidenti nelle organizzazioni complesse non possono essere attribuiti ad una singola causa, anche se sono stati, per lungo tempo, spiegati come un fallimento della tecnologia, o un errore da parte degli operatori. Ciò che accomuna tali spiegazioni è l’attribuzione di ogni responsabilità dell’incidente non all’organizzazione e alle sue pratiche di funzionamen- to, ma al più comodo capro espiatorio: l’errore umano. Tuttavia, quando accade un evento come il disastro della nave Con- cordia, è tutta l’organizzazione che fallisce: il management della nave, il sistema di gestione del rischio e della sicurezza della compagnia, il sistema dei controlli. Non soltanto alcuni degli operatori a più stretto contatto col compito anche se, in questo caso, sembrano aver mostrato particolare negligenza. L’analisi dei maggiori disastri organizzativi ha dimostrato, infatti, la rilevanza dei fattori organizzativi nell’eziologia di tali eventi (Perrow, 1999; Weick, 1990; Vaughan, 1996; Tur- ner and Pidgeon, 1997; Reason, 1997; Snook, 2000; CAIB 2003; Catino 2010). Le cause prossime di un incidente sono il prodotto di sottostanti cause e fattori organizzativi. Molte inchieste sugli incidenti commettono lo stesso errore nella definizione di cause: tendono a concentrarsi prevalentemente sulla persona che ha commesso l’errore o la componente tecnica che non ha funzionato adeguatamente. Occorre che l’indagine sugli incidenti, come quello della nave Concordia, non commetta questi errori. Occorre indagare i fattori organizzativi che hanno favorito il disastro, oltre l’errore umano – certamente presente – e/o il fallimento tecnico. L’incidente Nel caso del disastro del Concordia possiamo suddividere i fatti relativi all’evento in due fasi: (1) la fase precedente all’im- patto della nave con lo scoglio e (2) la fase di gestione dell’emergenza. In questo editoriale ci concentreremo sulla prima (precisando che ci basiamo sulle informazioni sinora disponibili), anche se è fin troppo chiaro che la seconda fase, quella della gestione dell’emergenza, è stata mal gestita, con un’improvvisazione inefficace. Non è solo questione di eroismo o di codardia, ma di organizzazione. In situazioni di impreparazione e di inadeguata comunicazione, il panico prende il so- pravvento a prescindere dalle virtù individuali. L’abilità nel gestire una situazione critica dipende dalle strutture che sono state sviluppate prima che l’organizzazione si trovi nello stato di piena crisi. Per poter gestire una crisi, quindi, occorre aver imparato prima che essa si manifesti. Tornando alla prima fase, l’innesco dell’incidente del Concordia sembra essere stato causato da un mix di: (1) una violazio- ne (intenzionale, anche se non malevola), e da (2) un errore (involontario). Le violazioni di per sé non hanno la volontà di danneggiare le persone, ma quando si combinano con gli errori, possono diventare fatali. Le violazioni ripetute (di routine) costituiscono una grave minaccia alla sicurezza, in quanto possono favorire la commissione di errori, difficili da recuperare. Nel caso del disastro della nave Concordia, si è trattato di (1) una violazione di routine delle regole di pruden- za marinaresca. La violazione è costituita dall’inchino, ovvero la deviazione di rotta di una nave da crociera per avvicinarsi alla costa, la cui ripetizione nel tempo favorisce un senso di overconfidence in chi la pratica che può portare a sottovalutare i rischi e sopravvalutare le capacità di gestione. Diverse sono le motivazioni che favoriscono le violazioni e nel caso della pratica dell’inchino le motivazioni possono essere state: finalità promozionali e di marketing e, per il comandante e il gruppo di comando, maggiore emozione, mostrare skill, apparire “macho”. Derogando dalla rotta prevista, il limite ogget- tivo da rispettare si trasforma in un limite soggettivo da sfidare per chi comanda la nave. L’assenza di costi e/o di sanzioni ne favorisce il ripetersi. Nel fare violazioni di questo tipo, si genera negli operatori un’il- lusione di poter controllare la situazione («io sono in grado di gestirlo…»), un’illusione di invulnerabilità, di superiorità («io sono molto competente…»). In un clima aziendale di consenso e di incentivi, come il post sul sito della società Costa Crociere nel quale si ringraziava il comandante della Costa Concordia coinvolto nel disastro, per un precedente inchino in altro luogo. Sulle brochure della Compagnia, si pubblicizzavano gli avvicinamenti ravvicinati alla costa, anche se a distan- ze ben superiori di quella del disastro della nave Concordia. A quel punto, il comportamento deviante diventava la norma, in un processo di “normalizzazione della devianza” (Vaughan 1996). Su questo punto torneremo più avanti. Si tratta di una violazione pianificata (alle ore 18.15-18.25), circa tre ore prima dell’incidente. Il comandante (forse dopo aver disat- tivato i sistemi di allarme di bordo, sonoro e visuale – è questo un dato da verificare) procede con la navigazione manuale, avendo come strumenti di supporto: il radar, l’ecoscandaglio, le mappe informatiche, il rilevamento a vista, quest’ultimo reso difficile dalle condizioni (era notte con ridotta luminosità sull’isola). Quel giorno il comandante credeva di navigare ad una distanza di 0,28 miglia (circa 520 metri) dallo scoglio più prossimo alla riva, ma dall’analisi dei dati AIS è emerso che in realtà distava solo 150 metri dalla costa. Invece il 14 agosto 2011, in occasione di un altro passaggio davanti all’isola del Giglio, la Concordia guidata da un altro comandante transitava a 230 metri dalla riva. È interessante notare che nelle due circostanze la velocità della nave in prossimità degli scogli noti come le Scole è molto simile: il 14 agosto la Concordia viaggia a 14,5 nodi, mentre il 13 gennaio a circa 15-16 nodi. Il caso Concordia: alcune riflessioni su un incidente M. Catino Professore di Sociologia dell’organizzazione, Università di Milano Bicocca editoriale em er ge nc y ca re jo ur na l - o rg an iz za zi o ne , c lin ic a, r ic er ca • A nn o V III n um er o 1 • M ar zo 2 01 2 • w w w .e cj .it Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. 4 (2) All’interno di una violazione di routine accade un errore, involontario. Il comandante ha commesso un errore di tipo slip (scivolamento dell’attenzione), in particolare un mancato rilevamento di un oggetto – lo scoglio, un caso di “falso negativo”. L’aspettativa gioca un ruolo molto forte in questo tipo di errori (il comandante riteneva che lo scoglio fosse in altro luogo), in una situazione di perdita della situational awareness e di mindless, di scarsa attenzione. Come ha affermato Ludwig Wittgenstein (1953) «La nostra aspettativa anticipa l’evento. In questo senso, essa prepara un modello dell’even- to… Nell’aspettativa, la parte che corrisponde alla ricerca nello spazio, è il dirigere l’attenzione… Se io mi aspetto di vedere rosso, allora io mi preparo per il rosso». È da ritenere che la mindlessness del comandante e degli ufficiali abbia giocato un ruolo decisivo nel ridurre la situational awareness a ognuno dei due livelli. La presenza di altre persone in plancia di comando, le conversazioni non orientate esclusivamente al compito rischioso da effettuare, l’uso del cellulare ecc. hanno certamente contribuito a ridurre il livello d’attenzione, individuale e collettivo, richiesto dalla situazione. La situational awareness ha tre fonti: 1) il mondo esterno, 2) gli strumenti di bordo disponibili (principalmente il radar con raggio di scansione sul piano orizzontale, e l’ecoscanda- glio che ispeziona sul piano verticale), 3) gli altri colleghi. Data l’ora e le condizioni quella sera, lo scoglio non era facil- mente visibile, quindi la situational awareness era resa possibile solo dagli ultimi due elementi. È da capire se gli strumenti non abbiano funzionato come dovuto o se, piuttosto, non siano stati opportunamente consultati. Una possibile ipotesi, da verificare, è che vi sia anche stata un’illusione ottica, favorita dalla ridotta situational awareness. Potrebbe essersi trattato di un’illusione ottica dovuta alla percezione di profondità (ossia alla distanza tra la nave e la costa). Di notte, con scarsa visuale e con poche luci visibili dalla costa del Giglio (era gennaio) i punti di riferimento per stimare la distanza tra la nave e l’isola a occhio nudo erano molto scarsi. L’unico segnale era la “��parallasse di movimento”, cioè lo spostamento laterale dei punti luminosi (es. le case o l’illuminazione comunale) sulla costa dovuti al movimento della nave. In assenza di altri elementi di riferimento, non era possibile capire se i punti si muovevano lateralmente a una certa velocità perché la nave procedeva ad andatura elevata o perché era troppo vicina alla riva. A causa della velocità so- stenuta e del passaggio molto prossimo all’isola, è possibile che l’equipaggio presente in plancia abbia percepito la velocità di movimento laterale delle luci sulla costa non come un segno della loro vicinanza eccessiva, ma come il risultato di una velocità di crociera elevata. È un aspetto che, tuttavia, merita ulteriori approfondimenti. Tali errori e fallimenti sono sempre possibili, ma una cosa è se tali errori e fallimenti accadono in zone sicure, al largo, un’altra è se accadono in zone vicine alla costa, dove le possibilità di recupero della situazione sono rese impossibili dall’inerzia e dalla limitata mobilità della nave (114.500 GRT di stazza lorda; lunghezza: 290,2 metri, altezza: 52 metri; larghezza: 35,50 m.). Non era la prima volta che il comandante effettuava un passaggio ravvicinato all’isola del Giglio, ma l’abitudine ed un’ec- cessiva overconfidence nelle proprie capacità, potrebbero aver condotto il comandante ad una serie di errori che hanno poi innescato l’incidente. Innanzitutto, come detto in precedenza questa manovra è stata fatta di sera, con il mare calmo ma davanti ad un’isola poco illuminata, dal momento che a gennaio è quasi deserta. Inoltre quel giorno in plancia insieme al comandante c’erano anche il restaurant manager e l’hotel directory, che di norma non dovrebbero essere sul ponte di comando e che probabilmente, chiacchierando, hanno disturbato la manovra del comandante, che sembra stesse parlan- do al telefono, con un conseguente calo dell’attenzione. È come se un pilota di un aereo, durante una fase delicata come l’atterraggio in condizioni meteo non ottimali, fosse intento non solo a gestire tale pericolosa fase, ma anche ad intrattenere passeggeri ed amici presenti nel cockpit, comportamento assolutamente vietato. Questo potrebbe spiegare il motivo per cui il comandante ha creduto che lo scoglio fosse più lontano, compiendo un errore di tipo slip (si è confuso). Tale evento è tuttavia indicatore di un clima professionale in plancia di comando certamente singolare e non rispettoso delle regole di sicurezza. Appare plausibile affermare che l’insieme di persone operanti in plancia di comando non abbia operato come un team affidabile, secondo le regole e i principi del Crew Resource Management (CRM), un sistema di formazione ben noto in altri contesti lavorativi, nei quali l’errore umano può avere effetti devastanti. È da capire se il comandante ed il team siano stati precedentemente addestrati o meno ad operare secondo tali principi. L’atteggiamento del comandante potrebbe essere dovuto ad una can-do attitude: i successi passati nell’effettuare gli inchini generano la convinzione che si ripeteranno nel futuro. Ciò rende, da un lato, più difficile individuare i limiti di tali azioni (fino a quanti metri dalla costa si può arrivare?) e, dall’altro, riluttanti le persone che si dimostrano contrarie a segnalare il problema (non possiamo farlo; ci stiamo avvicinando troppo). In particolare, in situazioni di pressioni commerciali ed assenza di controlli significativi, come vedremo più avanti. Anni di successi nella pratica degli inchini, contribuiscono a creare tale pericolosa credenza. Sembra esservi stato, quindi, un atteggiamento eccessivamente positivo che può aver portato il comandante a sopravvalu- tare le proprie abilità, spingendolo ad avvicinarsi eccessivamente alla costa, ad una velocità elevata (15-16 nodi), per dare un’ulteriore prova della sua bravura, in una condizione di bassa consapevolezza della reale situazione. La pratica dell’inchino: drift to danger e la normalizzazione della devianza Se l’incidente è stato generato da un mix di errori (involontari) e di violazioni (volontarie anche se non malevole), è ai fattori organizzativi che occorre guardare per poter comprendere adeguatamente la genesi e la dinamica di questo disastro. Non si è trattato di un incidente imprevedibile, accaduto come un fulmine a ciel sereno, ma, piuttosto, tale incidente ha editoriale editoriale em er ge nc y ca re jo ur na l - o rg an iz za zi o ne , c lin ic a, r ic er ca • A nn o V III n um er o 1 • M ar zo 2 01 2 • w w w .e cj .it Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. 5 avuto un lungo periodo di incubazione, durante il quale vi sono stati molti segnali di pericolo inascoltati, un fallace siste- ma di gestione del rischio, un sistema dei controlli poco attivo. Il termine “inchino” è un’espressione giornalistica utilizzata per indicare il passaggio ravvicinato di una nave in prossimità di un’isola o di una zona di particolare interesse paesaggistico, compiendo una deviazione rispetto alla rotta normalmente seguita. Questa pratica è definita da alcuni “navigazione turistica”, dal momento che spesso viene effettuata dalle navi adibite al trasporto di persone allo scopo di intrattenere i turisti e di “salutare” con tre fischi di sirena gli abitanti delle isole o della terraferma, che accolgono in maniera festosa il passaggio di queste navi. Sin dagli anni Cinquanta, alcuni co- mandanti salutavano parenti ed amici, anche se non con passaggi così ravvicinati. L’inchino si è poi diffuso ed è diventato un’usanza della gente di mare per rendere omaggio ai propri compaesani. È una pratica condivisa dai comandanti con gli equipaggi, una specie di “rito”. Tuttavia all’inizio le navi erano più piccole, quindi questi passaggi erano più agevoli. Poi questa tradizione è stata tramandata alle navi da crociera moderne. Il primo ottobre del 1993 ha inizio la pratica dell’in- chino, nel senso di passaggio ravvicinato alla costa, anche per la Costa Crociere. Moltissime sono le altre testimonianze che dimostrano come l’inchino fosse una pratica conosciuta e tollerata (Camogli, a circa 300 metri dalla costa, nel canale di Venezia davanti a Piazza San Marco ecc.). Appare piuttosto chiaro come l’organizzazione fosse non solo consapevole degli inchini, ma che ne incentivasse la pratica per finalità commerciali e di marketing, sia verso i clienti (a bordo) che quelli potenziali (sulla costa). Come già affermato, il 14 agosto 2011 la nave Concordia effettua un inchino ravvicinato all’isola, solo che alla guida c’era un altro comandante. Se si confrontano le rotte seguite dalla stessa nave il 14 agosto 2011 e il 13 gennaio 2012, si vede come quasi coincidano. Tuttavia le circostanze che hanno portato ad effettuare l’inchino sono diverse: il 13 gennaio si trattava di una “cortesia”; invece il 14 agosto questo “saluto” sembra esser stato programmato dalla Compagnia a scopo pubblicitario. A seguito di ciò, il Sindaco del Giglio invia una lettera di ringraziamento al comandante Costa Crociere. Gli enti locali, dunque, sapevano e ringraziavano. È chiaro che in questo clima, aderire alla pratica dell’inchino non era un comportamento deviante ma normale. Una situazione paradossale di “normalizzazione della devianza”. La normalizzazione della devianza è un processo che genera una costante erosione delle normali procedure, in cui piccole violazioni e irregolarità vengono accettate e tollerate. In assenza di incidenti queste deviazioni si “normalizzano”, diventa- no la prassi. Il risultato finale è una situazione di slittamento verso il pericolo senza esserne pienamente consapevoli. Tale processo produce i seguenti effetti negativi: • danneggia la cultura della sicurezza; sposta i confini di sicurezza (verso la costa) senza soffermarsi sul perché i limiti originari (la rotta prevista) erano stati posti; • aumenta la tolleranza nei confronti degli errori che non generano danni; • aumenta il livello di accettazione dei rischi a favore degli interessi legati all’efficienza e alla produttività; • conduce il sistema della sicurezza in uno slippery slopes, un pendio scivoloso, nel quale gli incidenti sono sempre più possibili. Deviando dalla rotta sicura per fare l’inchino, si entra in un’area di rischio, non sempre adeguatamente controllata, nella quale le modalità di gestione dipendono prevalentemente dal fattore umano e dalla strumentazione tecnica a disposizione. Possono verificarsi due fattori: il primo è che l’overconfidence del gruppo di comando sposti sempre di più la linea verso la costa, aumentando i pericoli; il secondo è che in queste situazioni diventa difficile correggere eventuali errori umani – sempre possibili. In queste situazioni si entra in un’area di rischio dove, come detto, i limiti oggettivi da rispettare (la rotta di sicurezza) diventano limiti soggettivi da sfidare. Gli inchini costituiscono dei “segnali” di pericolo che, pur essendo noti, venivano in- centivati (anche se non nella forma estrema manifestatasi la notte del 13 gennaio 2012) e tollerati dai sistemi di controllo (le Capitanerie di porto e la guardia costiera). Tutto ciò evidenzia una cultura della sicurezza dell’organizzazione lacunosa, che non solo non si accorge dei rischi di una pratica pericolosa come l’inchino, ma la tollera e la incentiva. Il tutto in un sistema dei controlli fallace. Un aspetto di rilievo delle criticità a livello interorganizzativo attiene alle Capitanerie di Porto, e alle funzioni di controllo del traffico marittimo, della disciplina della navigazione marittima e della sicurezza della navigazione. Sulla Concordia era installato l’AIS, il Sistema di Identificazione Automatica obbligatorio per tutte le navi di stazza lorda superiore ad un certo peso, che permette di rilevare la rotta, la velocità e la posizione del natante, consentendo così alle autorità marittime di controllare costantemente il movimento delle navi. Sembra quindi che anche le Capitanerie fossero a conoscenza dei passaggi ravvi- cinati e che li tollerassero. In una situazione in cui, i controllori non effettuano i controlli, i controllati possono spostarsi progressivamente verso aree di rischio. Conclusione L’incidente della nave Costa Concordia mostra tutte le caratteristiche di un incidente organizzativo. L’incidente non è stato un evento random, anomalo, imprevedibile, ma piuttosto esso sembra avere origine dalla storia dell’organizzazione e dalla sua cultura della sicurezza, all’interno di un sistema dei controlli fallace. Il disastro della nave Costa Concordia è stato un incidente organizzativo con numerose similitudini con altri disastri accaduti in altri settori (Linate, Challenger, Columbia ecc.). L’innesco dell’evento è stato il mix di violazione di routine (inchino) e errori (di valutazione), in un clima psicologi- co di overconfidence. La normalizzazione della devianza riguardo i comportamenti poco sicuri come gli inchini, l’assenza di Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. editoriale em er ge nc y ca re jo ur na l - o rg an iz za zi o ne , c lin ic a, r ic er ca • A nn o V III n um er o 1 • M ar zo 2 01 2 • w w w .e cj .it Materiale protetto da copyright. Non fotocopiare o distribuire elettronicamente senza l’autorizzazione scritta dell’editore. 6 regolazione e controllo hanno portato ad una costruzione collaborativa dell’errore. Occorre, dunque, spostare l’attenzione dall’errore individuale (certamente presente) all’errore collettivo e organizzativo. L’incidente è stato caratterizzato da un “periodo di incubazione” (la pratica ripetuta dell’inchino) durante il quale i segnali di pericolo non venivano annotati, anzi, erano incentivati. Il sistema dei vincoli e dei controlli non ha funzionato come avrebbe dovuto, favorendo – involon- tariamente – la creazione nel tempo di un’ampia zona di pericolo e di un tipo di condotta che violava le regole di prudenza marinaresca, derogando alla discrezionalità del comandante la distanza dalla costa per l’avvicinamento. È in questo clima che nasce l’incidente, certamente acuito dallo stile di gestione del comandante e dalla fase 2 (qui non analizzata) della mancata e ritardata gestione della crisi. Tuttavia, per capire la seconda è alla prima che occorre guardare. Non ci si può limitare ai soli fattori umani (l’errore scatenante) o al fallimento tecnico ma, come è accaduto per l’investi- gazione di altri disastri (Shuttle Columbia, vedi rapporto CAIB 2004; disastro aereo di Linate, vedi rapporto ANSV 2004), è necessario investigare in profondità i fattori organizzativi e sistemici che sono alla base di tale disastro, e la (inadeguata) cultura organizzativa della sicurezza. La “cultura della produzione” caratterizzata dalla can-do attitude degli inchini, con incentivi ad affrontare rischi e in un clima di tolleranza da parte dei controllori, prevaleva sulla cultura della sicurezza (te- nere il sistema nei margini di sicurezza). Il mix di normalizzazione della devianza e cultura della produzione hanno favo- rito un processo decisionale fallace, all’interno del quale un errore umano (inevitabile prima o poi) ha condotto al disastro. Se ci si concentra troppo da vicino sulle azioni rischiose in prima linea, o se si critica solo la fase della gestione dell’e- mergenza, si corre il rischio di non accorgersi del fatto che si è trattato del risultato di un incidente organizzativo in cui emergono criticità e mancanze nel sistema del controllo delle operazioni di navigazione. Si è trattato di un disastro annunciato in quanto conforme alle norme in uso nell’organizzazione. Il sistema non era tenuto all’interno dei vincoli di sicurezza, come sarebbe stato necessario, ma veniva spinto in un’area di rischio, senza ascolto, monitoraggio, né apprendimento dai segnali di pericolo. Si è trattato di un disastro evitabile in quanto caratterizzato da un periodo di incubazione e da una “finestra di recupero”, un periodo di tempo tra la manifestazione dei potenziali rischi (gli avvicinamenti pericolosi alla costa) e il disastro del Concordia. Una finestra di recupero non opportunamente utilizzata dal management dell’organizzazione e dal suo sistema di risk management. Il disastro della nave Concordia sembra non esser stato il risultato di un problema isolato, di un errore umano, ma il sintomo di più profondi e ampi problemi organizzativi e di regolazione, come: a. l’incapacità dell’organizzazione di tenere entro i limiti di sicurezza le navi; b. un errato sistema di incentivi; c. un’inadeguata cultura della sicurezza; d. un sistema dei controlli critico. Riferimenti bibliografici ANSV (Agenzia Nazionale per la Sicurezza del Volo). Relazione d’Inchiesta. Incidente occorso agli aeromobili Boeing MD-87 e Cessna 525, Aeroporto di Milano Linate, 8 ottobre 2001. 2004. CAIB (Columbia Accident Investigation Board). Report, Volume One. National Aeronautics and Space Administration and the Government Printing Office, Washington (DC), 2003. Catino M. Da Chernobyl a Linate. Incidenti tecnologici o errori organizzativi? Bruno Mondadori, Milano, 2006. Catino M. A multilevel model of accident analysis: The Linate disaster, in Alvintzi P, Eder H (Eds.). Crisis Management. Nova Science Publishers Inc., Hauppauge NY, 2010. Perrow C. Normal Accidents: Living with High-Risk Technologies. Basic Books, New York, 1999. Reason J. Managing the Risks of Organizational Accidents. Ashgate, Aldershot, 1997. Reason J. The Human Contribution, Ashgate, Aldershot, 2008. Snook S.A. Friendly Fire. The Accidental Shootdown of U.S. Black Hawks Over Northern of Iraq. Princeton University Press, Princeton NY, 2000. Turner BA, Pidgeon N. Man-Made Disasters. Butterworth Heinemann, Oxford, 1997. Vaughan D. The Challenger Launch Decision. Risk Technology, Culture and Deviance at Nasa. The University of Chicago Press, Chicago, 1996. Weick KE. The Vulnerable System: Analysis of the Tenerife Air Disaster. Journal of Management 1990; 16: 571-593.