211service.com
Wanneer falen geen optie is
Succes is veel moeilijker te analyseren dan falen. Als er dingen misgaan in een chemische fabriek of ruimtevaartprogramma, is het meestal mogelijk om de oorzaken te achterhalen en op te lossen om die dingen in de toekomst te vermijden. Maar als het goed gaat, is het moeilijk te weten waarom. Welke factoren waren belangrijk voor het succes en welke niet? Was het succes te danken aan vaardigheid, of gewoon geluk? Als we willen leren omgaan met gevaarlijke technologieën, kunnen we het beste op zoek gaan naar organisaties die risico's met succes beheren en zien hoe ze dat doen.
Dit is het doel van het project High Reliability Organization aan de University of California, Berkeley. Al meer dan tien jaar bestuderen Todd La Porte, Karlene Roberts en Gene Rochlin groepen die het onmogelijke lijken te doen: het bedienen van zeer complexe en gevaarlijke technologische systemen die in wezen foutloos zijn. Het Amerikaanse luchtverkeersleidingssysteem verwerkt bijvoorbeeld tienduizenden vluchten per dag door het hele land. Luchtverkeersleiders zijn niet alleen verantwoordelijk voor het choreograferen van het opstijgen en landen van tientallen of honderden vluchten per uur op luchthavens, maar ook voor het aansturen van de vliegroutes van de vliegtuigen, zodat elk op veilige afstand van elkaar blijft. Het succes is ondubbelzinnig: al meer dan tien jaar is geen van de vliegtuigen die op de radarschermen van de verkeersleiders worden gecontroleerd, met een ander vliegtuig in botsing gekomen. Maar de ingewikkelde dans van vliegtuigen die luchthavens naderen en verlaten, en elkaar met honderden mijlen per uur kriskras kruisen, creëert volop gelegenheid voor fouten. Deze staat van dienst is niet te danken aan extreem veel geluk, concluderen de drie Berkeley-onderzoekers, maar aan het feit dat de instelling heeft geleerd effectief om te gaan met een complexe, gevaarlijke technologie.
Dit verhaal maakte deel uit van ons nummer van juli 1997
- Zie de rest van het nummer
- Abonneren
Misschien wel de meest indrukwekkende organisaties die ze hebben bestudeerd, zijn de nucleaire vliegdekschepen van de Amerikaanse marine. Hoewel het onmogelijk is voor iemand die niet op zo'n schip heeft gewerkt om de complexiteit, stress en gevaren van zijn operaties echt te begrijpen, biedt deze beschrijving door een vervoerder aan de Berkeley-onderzoekers een voorproefje:
Dus je wilt een vliegdekschip begrijpen? Stel je voor dat het een drukke dag is en dat je San Francisco Airport verkleint tot slechts één korte landingsbaan en één oprit en poort. Laat vliegtuigen tegelijkertijd opstijgen en landen, met de helft van het huidige tijdsinterval, de landingsbaan heen en weer schommelen en eisen dat iedereen die 's ochtends vertrekt dezelfde dag terugkeert. Schakel vervolgens de radar uit om detectie te voorkomen, leg strikte controles op radio's op, tank het vliegtuig op zijn plaats met draaiende motoren, zet een vijand in de lucht en strooi levende bommen en raketten in het rond. Maak nu de hele zaak nat met zout water en olie, en beman het met 20-jarigen, van wie de helft nog nooit een vliegtuig van dichtbij heeft gezien. Oh, en trouwens, probeer niemand te vermoorden.
Een vliegdekschip uit de Nimitz-klasse vliegt negentig vliegtuigen van zeven verschillende typen. Deze vliegtuigen hebben maar een paar honderd voet om op te stijgen en te landen in plaats van de mijl of meer die beschikbaar is op commerciële luchthavens, dus ze hebben hulp nodig. Bij het opstijgen worden de vliegtuigen gekatapulteerd door door stoom aangedreven katapulten die ze in iets meer dan twee seconden van stilstand tot 140 knopen (160 mijl per uur) versnellen. Terwijl elk vliegtuig op zijn plaats op de stoomkatapult wordt geplaatst, controleren bemanningsleden het nog een laatste keer om er zeker van te zijn dat de stuurvlakken werken en dat er geen brandstoflekken of andere problemen zichtbaar zijn. De katapultofficier stelt de stoomdruk voor elke lancering in, afhankelijk van het gewicht van het vliegtuig en de windomstandigheden. De afstand tussen de lanceringen - ongeveer elke 50 seconden - laat geen tijd voor fouten.
Maar het is het herstel van de vliegtuigen dat echt indrukwekkend is. Ze naderen de cockpit met een snelheid van 120 tot 130 knopen met een staarthaak die naar beneden hangt om een van de vier arrestatiedraden op te vangen die over het dek zijn gespannen. Als een vliegtuig nadert, zendt de piloot zijn of haar brandstofniveau uit. Met deze informatie berekenen de mensen die verantwoordelijk zijn voor het arreteergestel het gewicht van het vliegtuig en bepalen ze de juiste instelling voor de remmachines van het arreteergestel. Als de druk te laag is ingesteld, kan het zijn dat het vliegtuig niet snel genoeg stopt en zo van het uiteinde van het dek in zee valt. Als de draad te strak staat, kan hij de staarthaak eraf trekken of anders vastklikken en over het dek uitslaan, waarbij iedereen op zijn pad gewond of gedood wordt. De druk voor elk van de vier draden wordt individueel ingesteld door een enkele zeeman.
Ondertussen houden landingseinofficieren de nadering van het vliegtuig in de gaten, adviseren de piloot en vervolgens - als alles goed lijkt - de landing in orde te maken. Net als het vliegtuig landt, geeft de piloot vol gas, zodat als de haak niet grijpt, het vliegtuig snel genoeg zal gaan om op te stijgen en weer rond te komen. Als de haak een draad grijpt, wordt het vliegtuig binnen ongeveer twee seconden en 300 voet tot stilstand gebracht. Zodra het vliegtuig is neergestort en tot stilstand is gekomen, haasten gele overhemden zich ernaartoe om de haak te controleren en het vliegtuig uit de weg te ruimen voor het volgende. Terwijl de vangdraden worden teruggetrokken, controleren andere bemanningsleden ze op rafels. Dan begint het allemaal opnieuw. De cyclus heeft ongeveer 60 seconden geduurd.
De lancering en berging zijn slechts een onderdeel van een veel groter proces, inclusief onderhoud, tanken en bewapenen, en het manoeuvreren en parkeren van de vliegtuigen op een overvol dek. Wat het proces zo werkelijk verbazingwekkend maakt, is dat het niet wordt gedaan met mensen die al jaren samenwerken, maar met een bemanning die regelmatig overschakelt. Zoals schrijver John Pfeiffer opmerkte: de kapitein zal slechts drie jaar aan boord zijn, de 20 hoge officieren ongeveer twee en een half; de meeste van de meer dan 5.000 aangeworven mannen en vrouwen zullen de marine verlaten of worden overgeplaatst na hun driejarige carriere. Bovendien zijn het overwegend tieners, zodat de gemiddelde leeftijd aan boord van een koerier op 20 komt.
Wat voor soort organisatie kan zo betrouwbaar opereren onder zulke handicaps? La Porte, Roberts en Rochlin brachten veel tijd door op verschillende vervoerders, zowel in de haven als op zee, tijdens hun opleiding en in actieve dienst, en ze denken dat ze in ieder geval een deel van het antwoord begrijpen.
Aan de oppervlakte lijkt een vliegdekschip georganiseerd te zijn volgens traditionele hiërarchische lijnen, waarbij het gezag van de kapitein naar beneden door de rangen loopt in een duidelijk gedefinieerd patroon. En inderdaad, een groot deel van de dagelijkse operatie van het schip verloopt op deze manier, waarbij de discipline nogal strikt wordt gehandhaafd. Dikke handleidingen met standaard operationele procedures regelen dit proces, en een groot deel van de marinetraining is gewijd aan het tot een tweede natuur maken ervan. Deze procedures codificeren de lessen die zijn getrokken uit jarenlange ervaring. Maar, zoals de Berkeley-onderzoekers ontdekten, is het innerlijke leven van de drager veel gecompliceerder.
Als het warmer wordt, zoals bij het lanceren en bergen van vliegtuigen, schakelt de organisatiestructuur in een andere versnelling. Nu gaan de bemanningsleden veel meer met elkaar om als collega's en minder als superieuren en ondergeschikten. Samenwerking en communicatie worden belangrijker dan bevelen die langs de commandostructuur worden doorgegeven en informatie die terug wordt doorgegeven. Met een vliegtuig dat één keer per minuut opstijgt of landt, kunnen gebeurtenissen te snel plaatsvinden voor instructies of autorisaties van bovenaf. De bemanningsleden fungeren als een team, elk kijkend naar wat anderen doen en ze communiceren allemaal constant via telefoons, radio's, handsignalen en geschreven details. Deze constante stroom van informatie helpt fouten te signaleren voordat ze schade hebben veroorzaakt. Ervaren personeel houdt de actie continu in de gaten, luistert naar alles wat niet past en corrigeert een fout voordat deze problemen veroorzaakt.
Een derde niveau van organisatiestructuur is gereserveerd voor calamiteiten, zoals een brand in de cockpit. De bemanning van het schip heeft zorgvuldig de procedures geoefend die in dergelijke gevallen moeten worden gevolgd, waarbij elk lid een vooraf toegewezen rol op zich neemt. Als zich een calamiteit voordoet, kan de bemanning direct en effectief zonder leiding reageren.
Deze meerlagige organisatiestructuur vraagt veel meer van de bemanning dan een traditionele hiërarchie, waar het opvolgen van bevelen de veiligste weg is en ondergeschikten niet worden aangemoedigd om zelf na te denken. Hier is het welzijn van het schip en de bemanning de verantwoordelijkheid van iedereen. Zoals de Berkeley-onderzoekers opmerken, heeft zelfs de laagste rating op het dek niet alleen het gezag, maar ook de verplichting om de vluchtoperaties onmiddellijk op te schorten, onder de juiste omstandigheden en zonder dit eerst met superieuren te overleggen. Hoewel zijn oordeel later kan worden herzien of zelfs bekritiseerd, zal hij niet worden bestraft omdat hij ongelijk heeft en zal hij vaak in het openbaar worden gefeliciteerd als hij gelijk heeft.
De betrokkenheid van iedereen, gecombineerd met het constante verloop onder officieren en bemanning, helpt de marine ook om te voorkomen dat dergelijke operaties routineus en saai worden. Vanwege het regelmatige komen en gaan van personeel, leren mensen op het schip voortdurend nieuwe vaardigheden en leren ze wat ze hebben geleerd aan anderen. En hoewel een deel van het leren eenvoudigweg het uit het hoofd leren van standaard operationele procedures is, vonden de Berkeley-onderzoekers een constante zoektocht naar betere manieren om dingen te doen. Jonge officieren komen aan boord met nieuwe ideeën en gaan in discussie met de senior onderofficieren die al jaren bij het schip werken en weten wat werkt. De botsing van frisse, soms naïeve benaderingen met een conservatief institutioneel geheugen levert een creatieve spanning op die ervoor zorgt dat veiligheid en betrouwbaarheid niet verworden tot een mechanisch volgen van de regels.
De marine is erin geslaagd de lessen uit het verleden in evenwicht te brengen met een openheid voor verandering en een organisatie te creëren die de stabiliteit en voorspelbaarheid heeft van een strak geleide hiërarchie, maar die flexibel kan zijn wanneer dat nodig is. Het resultaat is de mogelijkheid om dicht bij de rand te werken, waarbij zowel mensen als machines tot het uiterste worden gedreven, maar toch opmerkelijk veilig blijft.
Geen communicatiefout
Natuurlijk is een vliegdekschip een unieke situatie en er is geen reden om te denken dat wat daar werkt effectief zou zijn in een commerciële setting met burgerpersoneel. Maar toen het Berkeley-project een heel ander soort organisatie met hoge betrouwbaarheid onderzocht, volgden de onderzoekers het succes ervan op basis van een vergelijkbare reeks principes.
De kerncentrale Diablo Canyon, geëxploiteerd door Pacific Gas & Electric, ligt net ten westen van San Luis Obispo, Californië, aan de Pacifische kust. Hoewel de bouw ervan werd achtervolgd door controverse en uiteindelijk 17 jaar duurde en $ 5,8 miljard kostte, is de fabriek in alle opzichten een van de best gerunde en veiligste van het land gebleken sinds de opening in 1985.
Net als de vliegdekschepen lijkt Diablo Canyon in eerste instantie een starre hiërarchie te zijn, met een formele commandostructuur die leidt naar een fabrieksmanager die ook vice-president is van Pacific Gas & Electric. En het heeft een dikke stapel, een toren, echt regels die werknemers vertellen hoe ze hun werk moeten doen. Zo willen de toezichthouders het. Sinds Three Mile Island heeft de Nuclear Regulatory Commission geprobeerd de veiligheid te waarborgen door erop aan te dringen dat kerncentrales een nog gedetailleerdere reeks regels volgen. Planten worden beoordeeld op hoe vaak ze de regels overtreden, en een patroon van overtredingen zal leiden tot strenger toezicht door de NRC en boetes die in ernstige gevallen kunnen oplopen tot honderdduizenden dollars.
Maar Paul Schulman, een politicoloog aan het Mills College in Oakland die heeft samengewerkt met La Porte, Roberts en Rochlin, heeft ontdekt dat Diablo Canyon een andere kant heeft: een actievere, indringende, lerende kant. Ondanks de hiërarchie en de regelgeving verandert de organisatie voortdurend, stelt de geaccepteerde praktijk in vraag en zoekt naar manieren om dingen beter te doen. Het is niet hetzelfde soort verandering als op vliegdekschepen, waar het gestage personeelsverloop zorgt voor een cyclus van steeds opnieuw leren van dezelfde dingen plus een geleidelijke verbetering van de techniek. Diablo Canyon heeft een relatief stabiele groep medewerkers die hun vak goed kennen. Toch is de kerncentrale net zo dynamisch als de drager.
De reden, zegt Schulman, is dat de centrale een institutionele cultuur heeft gecultiveerd die geworteld is in de overtuiging dat kerncentrales je altijd zullen verrassen. Het resultaat is twee reeksen besluitvormingsprocedures in de fabriek. De eerste, en meer zichtbare, bestaat uit gevestigde regels voor wat te doen in een bepaalde situatie. Sommige worden uitgevoerd door de computer, andere door mensen. In het algemeen, zegt Schulman, is deze reeks regels ontworpen om te waken tegen fouten of nalatigheid - mensen doen niet iets dat ze zouden moeten doen.
Maar medewerkers van Diablo Canyon werken ook hard om fouten van commissie-acties met onverwachte gevolgen te voorkomen. Omdat een kerncentrale zo complex is, moeten werknemers constant nadenken over wat ze doen om te voorkomen dat het systeem iets onverwachts en mogelijk gevaarlijks doet.
Dit betekent dat hoewel de fabriek voortdurend haar standaardprocedures aanvult terwijl mensen meer leren over de juiste benaderingen en nieuwe manieren ontdekken waarop dingen mis kunnen gaan, niemand gelooft dat de organisatie ooit alles in een boek zal kunnen opschrijven. Zo kiest de fabrieksdirectie medewerkers mede op basis van hoe goed ze passen in zo'n flexibele, leergerichte cultuur. De minst wenselijke werknemer, meldt Schulman, is iemand die te zelfverzekerd of koppig is.
Dit soort continu leren en verbeteren zou niet mogelijk zijn als de Diablo Canyon-organisatie strikt hiërarchisch zou zijn. Hiërarchieën kunnen werken voor systemen die ontleedbaar zijn - dat wil zeggen, die kunnen worden opgedeeld in autonome eenheden - maar een kerncentrale is van nature nauw met elkaar verbonden. Een wijziging aan de stoomgeneratoren kan gevolgen hebben voor de reactor, of een wijziging in de onderhoudsprocedures kan van invloed zijn op hoe het systeem reageert op de menselijke operators. Vanwege deze onderlinge afhankelijkheid moeten de verschillende afdelingen in de fabriek rechtstreeks met elkaar communiceren en samenwerken, niet via bureaucratische kanalen.
Constant leren: de zegeningen van ambiguïteit
Leden van het Berkeley-project hebben niet alleen vliegdekschepen en kerncentrales bestudeerd, maar ook luchtverkeersleidingssystemen en de werking van grote elektriciteitsnetten, en ze ontdekken een patroon.
Een gelaagde organisatiestructuur lijkt bijvoorbeeld de basis te zijn voor de effectiviteit van deze instellingen. Afhankelijk van de eisen van de situatie organiseren mensen zich in verschillende patronen. Dit is nogal verrassend voor organisatietheoretici, die over het algemeen hebben geloofd dat organisaties slechts één structuur aannemen. Sommige groepen zijn bureaucratisch en hiërarchisch, andere professioneel en collegiaal, weer andere zijn noodhulp, maar in de managementtheorie is geen plaats voor een organisatie die afhankelijk van de situatie tussen hen schakelt.
Het besef dat dergelijke organisaties bestaan, roept een hele reeks nieuwe vragen op: hoe zijn dergelijke meerlagige organisaties überhaupt opgezet? En hoe weten de leden wanneer het tijd is om van de ene gedragsmodus naar de andere over te schakelen? Maar de ontdekking van deze organisaties kan ook praktische implicaties hebben. Hoewel La Porte waarschuwt dat het werk van zijn groep beschrijvend is en niet prescriptief, kan het onderzoek toch enig inzicht bieden in het vermijden van ongevallen met andere complexe en gevaarlijke technologieën.
Met name organisaties met een hoge betrouwbaarheid lijken een tegenvoorbeeld te bieden voor het argument van Yale-socioloog Charles Perrow dat sommige technologieën, door hun aard, inherente tegenstrijdigheden vormen voor de organisaties die ze beheren. Over technologieën zoals kernenergie en chemische fabrieken schrijft Perrow: Vanwege de complexiteit kunnen ze het beste gedecentraliseerd worden; vanwege de strakke koppeling kunnen ze het beste worden gecentraliseerd. Hoewel een mix mogelijk is en soms wordt geprobeerd (zelf kleine taken uitvoeren, maar opdrachten van bovenaf uitvoeren voor serieuze zaken), blijkt dit moeilijk te zijn voor systemen die redelijk complex en nauw aan elkaar gekoppeld zijn, en misschien onmogelijk voor die systemen. die zeer complex en nauw met elkaar verbonden zijn. Maar als we Diablo Canyon en de vliegdekschepen mogen geloven, is zo'n prestatie helemaal niet onmogelijk. Die organisaties laten zien dat operaties zowel gecentraliseerd als gedecentraliseerd, hiërarchisch en collegiaal, regelgebonden en leergericht kunnen zijn.
Naast de gelaagde structuur benadrukken organisaties met een hoge betrouwbaarheid constante communicatie die veel verder gaat dan wat in normale organisaties als nuttig zou worden beschouwd. Het doel is simpel: fouten voorkomen. Op een cockpit kondigt iedereen aan wat er aan de hand is, wat de kans vergroot dat iemand het opmerkt - en reageert - als er iets mis gaat. In een luchtverkeersleidingscentrum is één operator weliswaar verantwoordelijk voor het besturen van en communiceren met bepaalde vliegtuigen, maar krijgt hij of zij hulp van een assistent en, in tijden van piekbelasting, een of twee andere verkeersleiders. De controllers letten constant op elkaar, zoeken naar tekenen van problemen, handelsadviezen en bieden suggesties voor de beste manier om het verkeer te routeren.
Slechte communicatie en misverstanden, vaak in de context van een strikte commandostructuur, hebben een prominente rol gespeeld bij veel technologische rampen. Het ongeval met de Challenger was er één, waarbij de niveaus van de spaceshuttle-organisatie voornamelijk via formele kanalen communiceerden, zodat de zorgen van ingenieurs nooit het topmanagement bereikten. De crash van een Boeing 737 in 1982 tijdens het opstijgen vanaf Washington National Airport, waarbij 78 mensen omkwamen, was een andere. De copiloot had de gezagvoerder meerdere keren gewaarschuwd voor mogelijke problemen - ijzige omstandigheden veroorzaakten verkeerde metingen op een motorstuwkrachtmeter - maar de copiloot had niet krachtig genoeg gesproken en de piloot negeerde hem. Het vliegtuig stortte neer op een brug over de rivier de Potomac.
Toen een 747 van de Nederlandse luchtvaartmaatschappij KLM in 1977 op een landingsbaan op de luchthaven van Tenerife op de Canarische Eilanden in aanvaring kwam met een Pan Am 747, waarbij 583 mensen omkwamen, bleek uit een post-crashonderzoek dat de jonge copiloot dacht dat de hoofdpiloot de werking van het vliegtuig verkeerd had begrepen. maar nam aan dat de piloot wist wat hij deed en klampte zich dus vast. En het ongeval in Bhopal, waarbij duizenden mensen omkwamen toen een explosie in een insecticidefabriek een wolk dodelijk methylisocyanaatgas vrijgaf, zou nooit zijn gebeurd als er communicatie was geweest tussen de fabrieksoperators, die begonnen leidingen met water door te spoelen, en de onderhoudspersoneel, dat geen metalen schijf in de klep had gestoken om te voorkomen dat water in contact zou komen met het methylisocyanaat in een ander deel van de fabriek.
Naast communicatie benadrukken organisaties met een hoge betrouwbaarheid ook actief leren: medewerkers weten niet alleen waarom de procedures zijn geschreven zoals ze zijn, maar kunnen ze uitdagen en zoeken naar manieren om ze te verbeteren. Het doel van dit leren is niet zozeer om de veiligheid te verbeteren - hoewel dit vaak gebeurt - maar om te voorkomen dat de organisatie achteruitgaat. Zodra mensen alles volgens het boekje beginnen te doen, gaat het snel bergafwaarts. Werknemers verliezen interesse en vervelen zich: ze vergeten of leren nooit waarom de organisatie dingen op een bepaalde manier doet; en ze beginnen zich meer als radertjes in een machine te voelen dan als integrale onderdelen van een levendige instelling. Effectieve organisaties moeten manieren vinden om hun leden fris en gefocust te houden op hun werk.
Elke organisatie die constant leren benadrukt, zal een zekere mate van dubbelzinnigheid moeten tolereren, merkt Schulman op. Er zullen altijd momenten zijn waarop mensen niet zeker zijn van de beste aanpak of het niet eens zijn over wat de belangrijke vragen zijn. Dat is misschien gezond, zegt Schulman, maar het kan ook verontrustend zijn voor managers en medewerkers die vinden dat een goed functionerende organisatie altijd moet weten wat ze moeten doen. Hij vertelt over een ontmoeting met managers van Diablo Canyon waar hij enkele van zijn bevindingen beschreef. Wat is er mis met ons dat we zoveel onduidelijkheid hebben? vroeg een manager. De manager had het punt van Schulmans onderzoek volledig gemist. Een beetje onduidelijkheid was niets om je zorgen over te maken. In plaats daarvan zouden de managers van de fabriek zich zorgen moeten maken als ze ooit dachten dat ze alle antwoorden hadden.
Schulman maakt nog een opmerking over organisaties met een hoge betrouwbaarheid: ze straffen werknemers niet voor het maken van fouten wanneer ze proberen het juiste te doen. Straf kan werken - of in ieder geval niet te schadelijk zijn - in een bureaucratische organisatie waar iedereen zich aan het boekje houdt, maar het ontmoedigt werknemers om meer te leren dan absoluut noodzakelijk is, en het doodt de communicatie.
Als een organisatie erin slaagt een technologie te beheren zodat er geen ongelukken of bedreigingen voor de openbare veiligheid zijn, kan ze een verraderlijke bedreiging krijgen: noem het de prijs van succes. De natuurlijke reactie van buitenaf - of het nu het hogere management, regelgevers of het publiek is - is om die prestatie als vanzelfsprekend te gaan beschouwen. En aangezien de mogelijkheid van een ongeluk steeds minder reëel lijkt, lijken de kosten van eeuwige waakzaamheid steeds moeilijker te rechtvaardigen.
Maar organisatorische betrouwbaarheid, hoewel duur, is net zo cruciaal voor de veiligheid van een technologie als de betrouwbaarheid van de apparatuur. Als we willen voorkomen dat onze technologische vooruitgang averechts werkt, moeten we net zo slim zijn met onze organisaties als met onze machines.