Когда виноватого нет, а инцидент есть

Утром на разборе ты слышишь привычное: «всё из-за того, что мастер не доглядел». Звучит логично. Один человек, одна ошибка, одно решение — заменить мастера или дать ему выговор. Через две недели на соседней установке другой инцидент. Снова виноватый найден. Через месяц — третий. И где-то в этой череде ты начинаешь чувствовать: что-то не складывается. Если каждый раз дело в одном человеке, почему люди разные, а сценарий один?

Я наблюдаю это в разных производственных вертикалях. Руководители ищут виноватого, потому что так быстрее. Один человек — одна причина — одно действие. Это удобно для отчёта наверх. Это удобно для совещания, которое нужно закрыть к обеду. Но если присмотреться, в большинстве серьёзных инцидентов на промышленной площадке виноватого в одиночку не существует. Существует совпадение пяти-семи мелочей, каждая из которых сама по себе — пустяк.

Что обычно идёт не так

Типичная картина. На установке малая течь — её заметили, но решили дотянуть до планового ТО. Прокладка на узле старая, с прошлого ремонта, но в журнале запись есть, формально всё в порядке. Поверка манометра просрочена на две недели — никто этого не отслеживает кроме одного человека, а он в отпуске. Сменный мастер новый, две недели на участке. В формуляре передачи смены пропущена одна строка — не потому что злой умысел, а потому что в три часа ночи рука сама ставит галочки на привычном. И ночь.

Каждая из этих мелочей сама по себе безопасна. Старая прокладка — таких на площадке сотни. Просроченная поверка — рутинное нарушение, которое исправят на следующей неделе. Новый мастер — ну так все когда-то были новыми. Малая течь — не первая и не последняя. По отдельности — ничего страшного. Дальше эти мелочи случайно совпадают во времени и пространстве, и получается инцидент.

И вот тут начинается интересное. Когда руководитель на разборе говорит «давайте найдём, кто это допустил», он сам не замечает, что задаёт неверный вопрос. На неверный вопрос команда даёт точный ответ — называет человека. Виноватый найден, протокол составлен, причина «человеческий фактор». А мелочи остались на местах. Через месяц они снова совпадут, только в другой комбинации, и инцидент будет другой.

Швейцарский сыр

Есть простая метафора, которую придумал британский исследователь ошибок Джеймс Ризон. У тебя на установке несколько слоёв защиты: регламенты, формуляры, поверка приборов, передача смены, обходы, наблюдения мастера. Каждый слой — как кусок швейцарского сыра. В каждом куске есть дырки. Где-то прокладка не та, где-то журнал ведут формально, где-то новый человек ещё не наработал глаз, где-то манометр неточный.

Дырки — это нормально. Их всегда много. Главное — что они в разных местах. Прошёл сигнал через одну дырку — упёрся в следующий слой, там этой дырки нет, инцидент остановился.

Сложная неудача случается тогда, когда дырки в разных слоях случайно выстраиваются в одну линию. Сигнал проходит насквозь, не встречая ни одного барьера. Каждая дырка по отдельности безобидна. Линия из дырок — катастрофа. И обрати внимание: эту линию никто не выстраивал специально. Она получилась сама. Из старой прокладки, отпуска одного человека, новизны другого, ночной смены, формулярной галочки и течи, которую решили дотянуть.

Что это меняет в голове руководителя. Если ты думаешь, что инциденты — это ошибки конкретных людей, ты будешь менять людей. Если ты понимаешь, что инциденты — это совпавшие дырки, ты будешь работать со слоями. Это разные стратегии. Первая бесконечная. Вторая — конечная.

Где это видно на площадке

Сцена на разборе после нештатной ситуации. Главный инженер ведёт совещание. На доске — пять причин, и все они сводятся к одному человеку: оператор не среагировал вовремя. Через сорок минут протокол готов, оператора отстраняют от смен на три месяца, всё закрыто. Никто не спрашивает, почему сигнал тревоги прозвучал именно тогда, а не на полчаса раньше. Никто не смотрит, что в журнале наблюдений за неделю до инцидента был странный звук, на который списали как на «вибрацию насоса». Никто не уточняет, что у этого оператора это была пятая ночная смена подряд из-за подмены. Эти детали остались за кадром, потому что задача совещания была — найти виноватого, а не понять, как сошлись дырки.

Другая сцена. Та же ситуация, но руководитель ведёт разбор иначе. Вместо «кто допустил» он спрашивает: «давайте перечислим всё, что в этой ситуации было чуть-чуть не так — даже то, что обычно никто не замечает». Сначала молчат, потому что непривычно. Потом мастер вспоминает про звук, на который никто не обратил внимания. Технолог говорит, что давление в коллекторе на дневной смене было выше обычного — но в пределах допуска, поэтому не записал. Молодой инженер говорит, что в формуляре передачи была одна строка не заполнена — но это «у всех так бывает». Через те же сорок минут на доске не один виноватый, а семь дырок. Это уже не разбор инцидента. Это разбор системы.

Кто видит сигналы первым

Самая важная вещь про дырки — их редко видит руководитель. Их видят те, кто рядом с оборудованием. Оператор слышит, что насос работает не так. Слесарь чувствует, что прокладка ходит. Мастер замечает, что в сменном задании что-то не сходится. Эти наблюдения почти никогда не доходят до разбора. Не потому, что люди равнодушные. А потому, что у них нет привычки нести наверх «что-то странное» — особенно если оно не оформлено как отклонение по регламенту.

В рамке исполнения «странное» — это лишний шум. Если ты пришёл к начальнику цеха со словами «там какой-то звук» — ты выглядишь несерьёзно. У тебя нет цифр, нет акта, нет конкретики. И ты в следующий раз подумаешь дважды, прежде чем нести наблюдение. Так наверху перестают видеть дырки. Они есть, но информация о них застревает на уровне сменного журнала или вообще в голове у одного человека.

Перевернуть это можно. Только не одной фразой на совещании. А последовательным поведением: когда мастер приносит «что-то странное», и руководитель не отмахивается, а слушает. Когда оператор в полночь сообщает про звук — и ему звонят утром не с упрёком, а с вопросом «расскажи подробнее». Когда на разборе хвалят не того, кто принёс готовое решение, а того, кто заметил мелочь раньше всех. Через несколько таких эпизодов команда понимает: ранние сигналы здесь принимаются. И начинает их приносить.

Что попробовать на ближайшем разборе

Не пытайся переделать систему сразу. Достаточно одного сдвига в формате разбора инцидента.

В начале совещания не задавай вопрос «кто это допустил». Этот вопрос автоматически собирает оборону. Замени на «давайте перечислим, что в этой ситуации было хоть чуть-чуть не так — за последнюю неделю, не только за час до инцидента». Этот вопрос собирает наблюдения. На него отвечают иначе.

Когда команда называет мелочь, не отбрасывай её со словами «это не относится к делу». Запиши на доску. Через десять минут у тебя будет не одна причина, а семь. И только тогда смотри, как они складываются. Скорее всего, увидишь линию из дырок, которая прошла насквозь.

И последнее. Если на твоей площадке кто-то регулярно приносит «что-то странное» — тот самый мастер, оператор или инженер, который видит мелочи раньше других — береги его. Не отмахивайся, не списывай на «он любит панику». Это твой главный сенсор. В рамке исполнения такие люди обычно замолкают за полгода, потому что их перестают слушать. Когда они замолкают, ты теряешь видимость дырок в нижних слоях. А значит, следующая линия выстроится без твоего участия.

Откуда взята концепция

Метафору швейцарского сыра предложил Джеймс Ризон, исследователь человеческой ошибки в Манчестерском университете. Идею сложной неудачи как совпадения нескольких незначительных факторов разрабатывала Эми Эдмондсон, профессор Гарвардской школы бизнеса. У неё материал — больницы, авиация, нефтяные танкеры. Здесь я разложил тот же принцип на материале российской промышленной площадки: что меняется в разборе инцидента, когда ты ищешь не виноватого, а линию совпавших дырок.