Il Comandante Alberto Zamboni, istruttore e controllore di MD80, è l'autore della traduzione di un importante documento riguardante la gestione della sicurezza in una compagnia aerea. Il documento originale fu pubblicato dalla Flight Safety Foundation nel 1994 e fu ripreso dai periodici di molte associazioni professionali dei piloti.
Il documento originale è disponibile al sito della Flight Safety Foundation all'indirizzo:
http://www.flightsafety.org/members/serveme.cfm?path=fsd/fsd_dec94.pdf

GESTIONE DEL RISCHIO E SICUREZZA AEREA:

Costi e Significati

"Il management di una compagnia aerea deve darsi un programma di gestione del rischio per poter coniugare efficacemente standards di sicurezza e obiettivi di produttività (Flight Safety Foundation’s Icarus Committee)"

La responsabilità della sicurezza volo inizia ai piani alti di una compagnia aerea. Come ha più volte dimostrato la storia passata, senza un pieno coinvolgimento del top management, i margini di sicurezza operativa sono destinati a erodersi pian piano. Ciò non significa necessariamente che una compagnia avrà per forza un incidente, quanto che il rischio di incorrere in un evento grave aumenta e, prima o poi, la legge delle probabilità avrà il sopravvento. Il management ha senza dubbio un grosso potere nell’influenzare le operazioni di linea. I suoi atteggiamenti e le sue azioni avranno riflessi sugli atteggiamenti e le azioni di tutte le altre persone coinvolte nelle attività di linea. E’ il management infatti che definisce la cultura di sicurezza della compagnia, che si estenderà in tutte le varie branche: dal magazzino ricambi, all’attività di rampa fino in cabina passeggeri e in cockpit. Oltre a ciò si consideri anche che, giorno dopo giorno, le stesse autorità pubbliche e governative riconoscono il ruolo primario della dirigenza di compagnia nella sicurezza aerea, finendo per ufficializzare la figura dell’accountable manager all’interno dell’organigramma aziendale e investendolo di importanti responsabilità in caso di eventi seri. (Ed è proprio questa accountability che viene presa di mira se una compagnia aerea si trova a vivere più accidents o incidents nel corso di un breve periodo...).
Le considerazioni che seguono scaturiscono dal lavoro del comitato ICARUS della Flight Safety Foundation e riguardano i costi, le cause e la prevenzione degli incidenti aerei e possono essere dunque lette come una vera e propria guida pratica per il management più che una semplice trattazione teorica.

Sicurezza e obiettivi di produttività

Gli incidenti (e intendiamo coprire con questa parola tutti gli eventi - gravi e non - riguardanti la sicurezza) possono essere prevenuti attraverso una gestione efficace, ma questa gestione avrà dei costi. E una compagnia aerea è un’azienda che vive per realizzare proventi. Sebbene la sicurezza sia elencata come lo scopo primario di una compagnia aerea, nei fatti questo non è vero. Gli scopi reali sono infatti legati al mondo della produzione: trasporto di passeggeri e/o merci e quindi produzione di profitti. La sicurezza rientra sì fra gli obiettivi di una compagnia, ma con un ruolo di supporto, permettendo di acquisire i fini produttivi senza nuocere ai beni della proprietà e alle vite umane. Il management inserisce la sicurezza in questa prospettiva e trae perciò decisioni razionali su quando la sicurezza può aiutare a perseguire gli obiettivi aziendali. Da una angolazione organizzativa si può dire che la sicurezza è un metodo per conservare tutte le risorse di compagnia e quindi una forma di controllo dei costi: la sicurezza aiuta il management nel perseguimento degli obiettivi di business con il minor rischio.

Sebbene in aviazione il rischio non si possa eliminare del tutto, può essere però controllato con successo attraverso specifici programmi studiati per identificare e correggere le lacune in termini di sicurezza. Sono quindi degli strumenti in mano al management per ottenere un accettabile livello di sicurezza. La compagnia dovrà dunque allocare le proprie risorse in due aree distinte ma correlate: obiettivi di produttività e sicurezza. Nel lungo termine sono senz’altro aree compatibili fra loro; ma, a causa della finitezza delle risorse disponibili, nel breve periodo è facile che sorgano conflitti di interesse. Le energie destinate alla produzione possono venir distolte da quelle originariamente disponibili per la sicurezza e viceversa.

Di fronte a questo dilemma il management può essere tentato di dare priorità al settore produttivo più che alla sicurezza e alla gestione del rischio. Sebbene sia una scelta comprensibile, è comunque una scelta pericolosa che apre la porta ad ulteriori falle nella sicurezza e che, a sua volta, avrà sulla lunga distanza conseguenze economiche nefaste.

Livelli di responsabilità

Tutti coloro che, in qualche modo, sono coinvolti nelle attività legate alle operazioni in una compagnia aerea hanno una qualche responsabilità nella sicurezza delle operazioni stesse. Il fatto di essere fisicamente vicini ad un livello operativo non necessariamente determina una potenziale influenza per il rischio. Per convenzione ed abitudine si tende ad attribuire responsabilità solo a coloro che vengono ultimi nella catena operativa come piloti, controllori del traffico, tecnici, ecc. Questo modo di pensare ha portato alla convinzione che la responsabilità della sicurezza diminuisce mano a mano che ci si sposta dal cockpit agli uffici dei dirigenti. Tutto ciò non è vero se si considera la sicurezza come un fattore legato all’intero sistema di compagnia. Guardando la problematica sicurezza dall’alto al basso, si possono identificare quattro livelli di intervento umano: top management, line management, inspector and quality control personnel, operational personnel. In ogni sistema di aviazione civile, queste categorie devono riferire ad almeno altrettante istituzioni: Amministrazioni dell’Aviazione Civile di Stato, Enti governativi di investigazione o sicurezza aerea, Operatori di Compagnie private, Organizzazioni di supporto per l’addestramento, la manutenzione ecc.

Ad ogni livello, sia istituzionale che organizzativo, possono identificarsi responsabilità nei confronti della sicurezza tenendo conto che le diverse inter-relazioni fra livelli e organizzazioni determinano il grado totale di sicurezza del sistema.

I dirigenti senior -e solo loro- possono prendere (o astenersi dal prendere) decisioni che influenzeranno direttamente la sicurezza. Nessun altro può rimediare completamente alle falle di queste decisioni una volta che esse sono state attuate; si può solo tentare di contenere le conseguenze avverse di tali carenze gestionali.

Allo stesso modo, il personale operativo, (sul quale il top management ha un controllo relativo), può prendere decisioni critiche per la sicurezza. Il tutto può essere favorito anche da regolamentazioni lacunose o vecchie, a loro volta scaturite dal lavoro imperfetto di enti statali o di suoi rappresentanti, ecc. ecc. Si vede bene come il lavoro di ognuna di queste parti può condizionare quello delle altre in una corsa continua allo scarico di responsabilità o chiamata in correo.

Da sempre le attività delle agenzie investigative e di sicurezza si sono concentrate sui settori organizzativi e addestrativi più prossimi alla scena di un incidente: personale operativo in primo luogo. Aumentare la performance del personale operativo, attraverso un miglior addestramento, ha sicuramente aumentato il grado di sicurezza. L’industria sembra però aver raggiunto l’apice in questa strategia; lo stadio cioè nel quale continuando a spendere sempre più soldi non porta in proporzione maggiori risultati in termini di sicurezza. I nuovi metodi nella prevenzione degli incidenti guardano al quadro generale e pongono in essere strategie di prevenzione ad ogni livello di attività. Questi metodi sviluppano una prospettiva che pone la sicurezza nel contesto primario degli scopi delle organizzazioni di aviazione civile. E poiché la gestione del rischio - così come la non gestione del rischio - ha dei costi, occorrerà sviluppare al meglio questa prospettiva.

I costi di un incidente

Le due categorie base sono legate a: 1) costi già previsti con assicurazioni e 2) costi non coperti da assicurazioni. I primi possono essere, in misura più o meno grande, recuperati; mentre i secondi, che non possono essere recuperati, arrivano ad essere due o tre volte i costi coperti da assicurazione!

Fra questi costi (tangibili o non) elenchiamo:

• Deducibilità assicurative
• Aumento dei costi operativi
• Perdita di parti di ricambio
• Multe o citazioni
• Spese legali
• Aumento dei premi assicurativi
• Spese per noleggio di parti sostitutive
• Perdita di produttività per perdita di personale
• Spese per ulteriore addestramento e sostituzione di personale
• Reazioni sindacali con sconvolgimento dei turni o azioni sindacali
• Perdita di immagine a livello commerciale

Ovviamente i costi di un incidente variano da paese a paese. Sebbene si possa quantificare ogni spesa, il mero valore economico non è il fattore più critico. E’ vero infatti che la sicurezza aerea ha conseguenze economiche, ma i suoi benefici non si misurano solo in termini di denaro. In culture altamente industrializzate, il fattore economico può essere determinante, mentre per altre sarà di maggior peso non erodere l’immagine nella pubblica opinione. Quando si tratta poi di compagnie di bandiera, il danno provocato all’immagine nazionale può essere un fattore centrale nelle considerazioni relative all’incidente. In alcuni casi può coinvolgere addirittura una discontinuità nel servizio dei collegamenti internazionali!

"Effetti indesiderati" per una compagnia aerea possono sortire anche da "incidenti" a livello di manutenzione o di rampa. Anche questi comportano costi e devono perciò essere tenuti presenti in una strategia di gestione della sicurezza. Le operazioni sia di rampa che di handling in generale hanno tutto il potenziale per poter dare origine a incidenti (si vedano le numerose collisioni a terra fra mezzi vari e aeromobili): dovrebbero quindi essere destinate risorse adeguate per la manutenzione e gestione delle attività di rampa/handling, poiché gli aerei sono facili a rompersi e costosi a ripararsi e le programmazioni macchina possono di conseguenza venir sconvolte. I piazzali e gli hangar sono luoghi per certi versi "pericolosi" in cui non di rado si verificano incidenti con danni gravi per persone e cose. Così come per gli incidenti aerei anche la sicurezza sui piazzali e negli hangar risiede ai quattro livelli identificati poco sopra:

• top management,
• line management,
• inspector and quality control personnel,
• operational personnel.

Errore umano e attività di management

L’errore umano è la causa primaria negli incidenti aerei. Nel produrre adeguate contromisure occorrerà tenerne conto opportunamente. L’errore umano, in aviazione, è da sempre errore del pilota o delle altre categorie di personale operativo - controllori di volo, tecnici, dispatchers, ecc.-, per cui le misure di contenimento dell’errore sono da sempre dirette su di loro.

Nel corso degli ultimi dieci anni si è registrato un sostanziale cambiamento di prospettiva che ha portato a nuove implicazioni in termini di strategie di prevenzione degli incidenti.

Il sistema aeronautico include diverse linee di difesa. In tale sistema, l’incidente è il risultato di una sfortunata combinazione di vari fattori, ognuno dei quali necessario, ma da solo non sufficiente, per rompere i diversi strati di difesa. Gli errori del personale operativo sono spesso fattori precipitanti ma solo raramente fonte principale di incidente. Le analisi degli ultimi maggiori incidenti occorsi in aviazione, così come in altri ambiti industriali ad alta tecnologia, suggeriscono di guardare oltre il personale operativo e di considerare un altro livello di errore umano: l’errore decisionale (decision making failure), tipico nel settore manageriale.

Gli errori umani possono essere catalogati come errori attivi (active failures) - errori cioè che generano effetti immediati e di solito associati al personale operativo -, o errori latenti (latent failures), decisioni che possono non dare conseguenze visibili per lungo tempo. Gli errori latenti diventano evidenti quando si combinano con errori attivi, problemi tecnici o altre avverse condizioni operative, dando luogo ad un breakdown nelle linee di difesa del sistema e provocando, alla fine, l’incidente.

Gli errori latenti sono presenti nel sistema ben prima che si verifichi l’evento e, al momento dell’incidente, i loro responsabili possono non essere gia più operativi nel posto che occupavano al momento della decisione. Esempio tipico di errore latente è quello di una non perfetta progettazione di un impianto, di una allocazione impropria di risorse, di una comunicazione difettosa fra management e personale di front line. Il personale operativo, attraverso le loro azioni (o inazioni) creano inconsapevolmente le condizioni per cui questi errori latenti diventino evidenti, spesso con conseguenze gravi.

L’insegnamento da imparare è chiaro: le strategie di gestione del rischio e della sicurezza avranno successo se dirette a scoprire e correggere gli errori latenti piuttosto che focalizzarsi solo sull’eliminazione degli errori attivi. Ridurre gli errori attivi rimane senz’altro vitale, ma si tratta soltanto della punta dell’iceberg!

Persino nella miglior organizzazione alcune decisioni prese agli alti livelli non rispecchiano sempre l’ottimo, poiché sono prese da uomini e dunque soggetti a tutte le limitazioni umane...

Tipici errori latenti del management includono la realizzazione di procedure operative inadeguate, programmazioni deficitarie, pericoli sotto stimati. Errori latenti come questi portano a una bassa produttività, regole non appropriate, pianificazione insufficiente, ecc. La risposta del management a questi errori latenti è dunque vitale. Il negarli e rimbalzare le responsabilità sul personale operativo non può che peggiorare la situazione. Se invece la risposta sarà nella direzione di una correzione dell’errore, si realizzerà una linea di difesa maggiore nei confronti degli eventuali errori attivi del personale operativo. Una risposta dunque in forma di correzione o aggiustamento del sistema inteso globalmente.

Sbagliare è normale

Dobbiamo imparare ad accettare l’errore come una componente del comportamento umano. Gli esseri umani - siano piloti, ingegneri, o dirigenti - di quando in quando commettono errori. Esortare ad essere "più professionali" o "più attenti" non serve, poiché chi si comporta professionalmente commette errori in modo involontario. La soluzione è quella di mettere in pratica procedure ed impianti che possano resistere all’errore. Poiché sia la tecnologia che l’addestramento non riescono a prevenire tutti gli errori, è altrettanto vitale introdurre procedure e impianti "a prova di errore" (error tolerant), di modo che al verificarsi di un errore lo si possa correggere prima che generi conseguenze catastrofiche. "Resistenza all’errore" (error resistance) e "tolleranza all’errore" (error tolerance) costituiscono importanti strategie nella prevenzione degli incidenti.

Di fondamentale importanza è convincersi che l’errore umano è un sintomo piuttosto che una causa negli incidenti aerei.

Alla base dell’errore umano stanno senza dubbio fattori psicologici. Spesso chi deve eseguire un compito non possiede le fondamentali qualità tecniche o umane per portarlo a buon fine. Nonostante le migliori tecniche di selezione, non esistono garanzie assolute in tal senso. La cosa si complica se si pensa che la qualità della prestazione, nei sistemi senza supervisione, è lasciata alla motivazione dell’individuo e sebbene molti degli individui coinvolti nelle operazioni di linea lo siano, è comunque possibile che fattori avversi influiscano sulla motivazione e quindi sul risultato. Fatte queste considerazioni si può comunque far rientrare anche una cattiva tecnica di selezione come un avaria latente nel Sistema "azienda", avaria che farà sentire i suoi effetti differiti nel tempo.

Anche deficienze nell’addestramento possono essere causa di errori. Nonostante un buon training si sforzi di fornire le capacità e conoscenze base, non è escluso che alcune sue imperfezioni aprano la strada a possibilità di errore.

Fra le altre fonti di errore possiamo includere il design di impianti o equipaggiamenti non sufficientemente ergonomico o la realizzazione di procedure sbagliate per il loro uso:manchevolezze nell’addestramento, design non perfetto e procedure incomplete danno origine a errori latenti, senza conseguenze immediate. Ma, quando combinati con errori attivi in campo operativo, queste latenze possono portare all’incidente. Selezione, addestramento e design influiscono grandemente sulla prestazione del singolo. Ma se si vuole un ritorno maggiore in termini di sicurezza occorrerà guardare all’intero quadro di riferimento. La performance del singolo infatti non si sviluppa in un vuoto sociale, ma è invece grandemente influenzata dall’ambiente, dall’organizzazione e dal contesto istituzionale in cui avviene. Fattori di influenza sono anche l’ambiente socioe-conomico, legale; il modo in cui è strutturata l’azienda e il settore di appartenenza al quale il personale fa capo. Tutti questi sono campi in cui può crescere l’errore latente. Dal punto di vista economico, ha dunque senso considerare le avarie latenti: eliminare un’avaria latente significa eliminare una molteplicità di avarie attive e perciò evitare una possibilità di rischio. Lavorando sull’eliminazione delle avarie latenti, il management concretizza così la sua attività di gestione del rischio.

L’errore si può gestire

Il messaggio principale che si vuole dare qui è che l’errore umano è gestibile. Occorre però capire a fondo non solo l’individuo in sé, ma anche le organizzazioni e le istituzioni. Gli incidenti causati da errori umani possono essere perciò controllati a costi accettabili. Pre-requisito essenziale sarà una crescita culturale: concetti come causalità, errore umano, e gestione dell’errore sono la pietra fondante di questa crescita. Fondamentale sarà anche sviluppare addestramenti coerenti con gli obiettivi tecnici da raggiungere e realizzare procedure operative compatibili con le possibilità e le limitazioni umane. A chiudere il loop sarà un sistema di controllo della qualità orientato a metodi non punitivi e capace di fornire il feedback necessario ai settori addestramento e studio delle procedure.

Un ruolo attivo del management in campo sicurezza deve prevedere:

• Disponibilità di risorse adeguate: è forse il contributo più ovvio; ma con risorse opportune si possono ottenere gli obiettivi di business (trasporto persone, manutenzione aerei, ecc.) con un accettabile livello di rischio.
• Programmi di sicurezza: dovranno includere non solo sicurezza volo, ma anche sicurezza di rampa, di manutenzione, ecc.
• Sistemi di monitoraggio e feedback interni: serviranno ad identificare le avarie latenti fornendo un contributo all’aumento della sicurezza prima che l’incidente occorra. Se l’unico feedback arriva dalle statistiche degli eventi pericolosi accaduti in compagnia, le informazioni saranno troppo tardive per essere utili!
• Programmi di Incidents Report: sponsorizzati dalle autorità statali o specifici per ogni compagnia aerea, sono importantissimi per la sicurezza. Per ogni incidente "importante" (con presenza di vittime) se ne possono registrare almeno altri 360 "minori" che, se opportunamente investigati, possono nascondere problematiche utili nel campo della prevenzione. Le esperienze degli ultimi due decenni nel campo dei sistemi di raccolta dati e di tipo non-punitivo, hanno dato risultati confortanti. Molte nazioni hanno elaborato sistemi di questo tipo come ad esempio l’ASRS (Aviation Safety Reporting System) americano e il CHIRP (Confidential Human Factors Incident Reporting Program) inglese. Oltre che strumenti di identificazione e correzione tempestiva dei rischi operativi, tali programmi forniscono utili feedback nel campo sicurezza aerea e addestramento.
• Molte compagnie hanno aggiunto anche programmi elaborati da loro stesse come sistemi interni di incident report. Si va da quelli più semplici (stile telefono Hot-Line) a quelli più complessi - e naturalmente più costosi - comprendenti data-base, programmi di studio dei trend e altri strumenti sofisticati. Lo sviluppo di questi programmi ha premesso in seguito di renderli disponibili alla comunità aeronautica internazionale a costi ridotti. Fra questi, degno di nota, il BASIS (British Airways Safety Information System) che permette di tenere sotto controllo diverse componenti del sistema sicurezza. Qualcosa di simile (Safety Manager’s Tool Kit), è disponibile attraverso l’Associazione del Trasporto Aereo (ATA). Sistemi come questi hanno mostrato un effetto economico positivo già nel corto periodo oltre ad un aumento generale della sicurezza operativa.
• Procedure Operative Standard (S.O.P.’s): sono senza dubbio il maggior contributo alla sicurezza del volo. Aiutano a definire una successione di azioni che aiutano il personale operativo nello svolgimento dei vari compiti in modo logico, efficiente, e a prova d’errore. Le compagnie devono studiare S.O.P.’s adeguate all’ambiente in cui verranno usate. Nei casi di procedure inadeguate, il risultato sarà che il personale adotterà autonomamente pratiche diverse e non sempre sicure. Occorre anche qui un feedback di controllo per stabilire che le procedure siano compatibili all’ambiente operativo.
• Gestione del rischio: permette al management di definite il rischio presente nelle operazioni e di definire un approccio logico per le eventuali contromisure. Questo è lo scopo dei programmi di feedback e di trend-monitoring interni. Il rischio sarà comunque sempre presente nelle operazioni associate all’aviazione: alcuni rischi possono essere accettati; altri eliminati e altri ancora ridotti al punto da farli rientrare fra quelli accettabili.

Le decisioni da parte del management riguardo la gestione del rischio dovranno seguire un percorso logico:

• Valutazione accurata della situazione pericolosa;
• Valutazione del rischio presente in questa situazione e valutazione se l’organizzazione è preparata ad accettare questo rischio. Sara fondamentale avvalersi di tutte le informazioni disponibili; e soprattutto che queste informazioni siano attendibili e precise, poi che nessuna decisione può essere valida se non è fondata su informazioni altrettanto valide.
• Eliminazione dei rischi ritenuti eliminabili
• Riduzione dei rischi che non si possono eliminate

L’obiettivo sarà di ridurre la probabilità che una situazione pericolosa occorra, o di ridurne gli effetti negativi qualora si verifichi.

In organizzazioni di grandi proporzioni, come le compagnie aeree, la perdita di vite umane e di beni materiali giustifica ampiamente i costi associati alla gestione del rischio. Per realizzare un quadro di raccomandazioni in tal senso - e che tenga anche conto degli obiettivi di produttività -, occorre seguire un approccio sistematico nel quale tutti gli aspetti degli obiettivi aziendali e delle risorse disponibili vengano analizzati in modo tale che le strategie di gestione del rischio siano le più realistiche possibili.

Le risorse necessarie

All’interno di una compagnia, dovrà esserci un responsabile sicurezza che agirà in modo indipendente e che riferisca direttamente ai massimi livelli aziendali gestendo inoltre i programmi di feedback e monitoraggio della sicurezza. Questo safety officer, e il suo staff, studieranno i modi per correggere le deficienze riscontrate in termini di sicurezza, piuttosto che identificare in modo punitivo gli individui che commettono errori. Egli avrà bisogno del supporto delle informazioni correlate alla sicurezza che gli arriveranno da audits interni, sistemi di incident report, e investigazioni interne su eventi critici ed eventuali programmi di monitoraggio delle performance. Armato di questi dati, questo safety officer potrà mettere in pratica programmi adeguati per la diffusione delle informazioni a tutto il personale: vengono così gettate le basi per una cultura di compagnia orientata alla sicurezza.

La dirigenza avrà cosi modo di tradurre in pratica la propria attitudine alla sicurezza con atti concreti fornendo aerei con strumentazioni efficienti, equipaggi ben addestrati, procedure corrette e addestramento coerente e completo corredato di programmi di controllo che diano certezza che il personale possieda le capacità richieste alle operazioni. Queste sono le basi su cui si regge l’intero edificio!

Le risorse disponibili

Una analisi della situazione sicurezza di compagnia che sia onesta e schietta è comunque uno degli strumenti più potenti e meno costosi che il management ha a disposizione nell’attuazione di un programma di gestione del rischio.

Per venire in aiuto al management di compagnia, il comitato ICARUS della Flight Safety Foundation ha messo ha punto una "Icarus Self-Audit Checklist" che è disponibile a chi ne fa richiesta. Le domande che contiene sono state studiate per identificare possibili aree di vulnerabilità e di possibilità di insorgenza di avarie latenti all’interno di una compagnia, in modo da poter attuare le opportune misure correttive e preventive.

Anche le case costruttrici di aerei e di impianti costituiscono un valido ausilio nella gestione del rischio. Specialmente quando si tratta di studiare procedure operative, manuali e addestramento del personale. Spesso sono proprio le case costruttrici che forniscono personale esperto in aiuto alle compagnie per studiare il modo migliore in cui operate.

Inoltre, molte valide pubblicazioni sono disponibili a cura di enti governativi ed agenzie di ricerca nell’assistere il management nel raggiungimento degli obiettivi di sicurezza.

Fra le più importanti fonti di informazione possiamo citare:

• Incidents Reports pubblicati da parte delle vane autorità nazionali,
• Pubblicazioni e Reports della Flight Safety Foundation.
• International Civil Aviation Organization (ICAO),
• National Aeronautics and Space Administration (NASA).

Ma in ogni caso qualsiasi sarà la fonte che si vorrà privilegiare sarà comunque di grande aiuto per quella compagnia che saprà dimostrare come, al suo interno, la sicurezza del volo cominci nel punto più alto del vertice del suo management.