Quando il fallimento non è un'opzione

Il successo è molto più difficile da analizzare del fallimento. Quando le cose vanno male in un impianto chimico o in un programma spaziale, di solito è possibile capire le cause e risolvere per evitare quelle cose in futuro. Ma quando le cose vanno bene, è difficile sapere perché. Quali fattori sono stati importanti per il successo e quali no? Il successo è dovuto all'abilità o solo alla fortuna? Se dobbiamo imparare a gestire le tecnologie pericolose, la cosa migliore da fare è cercare organizzazioni che gestiscono con successo il rischio e vedere come lo fanno.

Questo è l'obiettivo del progetto di organizzazione ad alta affidabilità dell'Università della California, Berkeley. Per più di un decennio, Todd La Porte, Karlene Roberts e Gene Rochlin hanno studiato gruppi che sembrano fare l'impossibile: gestire sistemi tecnologici altamente complessi e pericolosi essenzialmente senza errori. Il sistema di controllo del traffico aereo degli Stati Uniti, ad esempio, gestisce decine di migliaia di voli al giorno in tutto il paese. I controllori del traffico aereo non sono solo responsabili della coreografia dei decolli e degli atterraggi di decine o centinaia di voli all'ora negli aeroporti, ma anche di dirigere le traiettorie di volo degli aerei in modo che ciascuno si mantenga a distanza di sicurezza dagli altri. Il successo è inequivocabile: da più di un decennio nessuno dei velivoli monitorati sugli schermi radar dei controllori si è scontrato con un altro. Eppure l'intricata danza degli aerei che si avvicinano e lasciano gli aeroporti, incrociandosi a vicenda a diverse centinaia di miglia all'ora, crea molte opportunità di errore. Questo record di sicurezza non è dovuto a un'estrema fortuna, concludono i tre ricercatori di Berkeley, ma al fatto che l'istituto ha imparato a gestire efficacemente una tecnologia complessa e pericolosa.

Questa storia faceva parte del nostro numero di luglio 1997

• Vedi il resto del problema
• sottoscrivi

Forse le organizzazioni più impressionanti che hanno studiato sono le portaerei nucleari della Marina degli Stati Uniti. Sebbene sia impossibile per chiunque non abbia lavorato su una nave del genere comprendere veramente la complessità, lo stress e i rischi delle sue operazioni, questa descrizione di un ufficiale di vettore ai ricercatori di Berkeley offre un assaggio:

Quindi vuoi capire una portaerei? Bene, immagina solo che sia una giornata impegnativa e rimpicciolisci l'aeroporto di San Francisco a una sola pista corta e una rampa e un cancello. Fai decollare e atterrare gli aerei allo stesso tempo, a metà dell'intervallo di tempo presente, fai oscillare la pista da un lato all'altro e richiedi che tutti coloro che partono la mattina ritornino lo stesso giorno. Quindi spegni il radar per evitare il rilevamento, imponi controlli rigorosi sulle radio, rifornisci l'aereo con i motori accesi, metti un nemico in aria e disperdi bombe e razzi attivi in ​​giro. Ora bagnate il tutto con acqua salata e olio, e preparatelo con ventenni, la metà dei quali non ha mai visto un aeroplano da vicino. Oh, e comunque, cerca di non uccidere nessuno.

Una portaerei di classe Nimitz pilota novanta velivoli di sette tipi diversi. Questi aerei hanno solo diverse centinaia di piedi in cui decollare e atterrare invece del miglio o più disponibile negli aeroporti commerciali, quindi hanno bisogno di aiuto. Al decollo, gli aerei vengono catapultati da fionde a vapore che li accelerano da fermo a 140 nodi (160 miglia all'ora) in poco più di due secondi. Mentre ogni aereo viene spostato in posizione sulla catapulta a vapore, i membri dell'equipaggio lo controllano un'ultima volta per assicurarsi che le superfici di controllo funzionino e che non siano visibili perdite di carburante o altri problemi. L'ufficiale di catapulta imposta la pressione del vapore per ogni lancio in base al peso dell'aereo e alle condizioni del vento. La spaziatura dei lanci - ogni 50 secondi circa - non lascia spazio agli errori.

Ma è il recupero degli aerei che è davvero impressionante. Si avvicinano al ponte di volo a una velocità compresa tra 120 e 130 nodi con un gancio di coda appeso per catturare uno dei quattro fili di arresto tesi sul ponte. Quando un aereo si avvicina, il pilota comunica via radio il livello del carburante. Con queste informazioni, le persone incaricate del dispositivo di arresto calcolano il peso dell'aereo e calcolano l'impostazione corretta per le macchine di frenatura del dispositivo di arresto. Se la pressione è troppo bassa, l'aereo potrebbe non fermarsi abbastanza presto e quindi cadere in mare dall'estremità del ponte. Se il filo è troppo teso, potrebbe staccare il gancio di coda oppure scattare e sferzare il ponte, ferendo o uccidendo chiunque si trovi sul suo cammino. La pressione per ciascuno dei quattro fili è impostata individualmente da un singolo marinaio.

Nel frattempo, gli ufficiali del segnale di atterraggio stanno osservando l'avvicinarsi dell'aereo, avvisando il pilota e poi, se tutto sembra giusto, approvando l'atterraggio. Proprio mentre l'aereo atterra, il pilota gli dà tutto gas in modo che se il gancio non si aggancia, l'aereo andrà abbastanza veloce da decollare e tornare indietro. Se il gancio prende un filo, l'aereo viene bloccato entro circa due secondi e 300 piedi. Non appena l'aereo è atterrato e si è fermato, le magliette gialle si precipitano verso di esso per controllare il gancio e per allontanare l'aereo dal prossimo. Mentre i cavi di arresto vengono ritirati, altri membri dell'equipaggio li controllano per verificare che non siano sfilacciati. Poi tutto ricomincia. Il ciclo è durato circa 60 secondi.

Il varo e il recupero sono solo una parte di un processo molto più ampio che include manutenzione, rifornimento e armamento, manovra e parcheggio degli aerei su un ponte affollato. Ciò che rende il processo davvero sorprendente è che non viene eseguito con persone che lavorano insieme da anni, ma con una squadra che si rinnova regolarmente. Come ha osservato lo scrittore John Pfeiffer, Il capitano sarà a bordo solo per tre anni, i 20 alti ufficiali per circa due anni e mezzo; la maggior parte degli oltre 5.000 uomini e donne arruolati lascerà la Marina o sarà trasferita dopo i tre anni di carriera. Inoltre, sono prevalentemente adolescenti, tanto che l'età media a bordo di una navicella arriva a 20 anni.

Che tipo di organizzazione può operare in modo così affidabile sotto tali handicap? La Porte, Roberts e Rochlin hanno trascorso molto tempo su diversi vettori sia in porto che in mare, durante l'addestramento e in servizio attivo, e credono di capire almeno una parte della risposta.

In superficie, una portaerei sembra essere organizzata secondo le tradizionali linee gerarchiche, con l'autorità che va dal capitano in giù attraverso i ranghi in uno schema chiaramente definito. E in effetti, gran parte delle operazioni quotidiane della nave procede in questo modo, con una disciplina piuttosto rigidamente applicata. Spessi manuali di procedure operative standard governano questo processo e gran parte dell'addestramento della marina è dedicato a renderli una seconda natura. Queste procedure codificano le lezioni apprese da anni di esperienza. Ma, come hanno scoperto i ricercatori di Berkeley, la vita interiore del corriere è molto più complicata.

Quando le cose si surriscaldano, come durante il decollo e il recupero degli aerei, la struttura organizzativa cambia marcia. Ora i membri dell'equipaggio interagiscono molto più come colleghi e meno come superiori e subordinati. La cooperazione e la comunicazione diventano più importanti degli ordini trasmessi lungo la catena di comando e delle informazioni trasmesse. Con un aereo che parte o atterra una volta al minuto, gli eventi possono accadere troppo rapidamente per ricevere istruzioni o autorizzazioni dall'alto. I membri dell'equipaggio agiscono come una squadra, ognuno osserva ciò che gli altri stanno facendo e tutti comunicano costantemente attraverso telefoni, radio, segnali manuali e dettagli scritti. Questo flusso costante di informazioni aiuta a segnalare gli errori prima che abbiano causato danni. Il personale esperto monitora continuamente l'azione, ascoltando tutto ciò che non va e correggendo un errore prima che causi problemi.

Un terzo livello di struttura organizzativa è riservato alle emergenze, come un incendio in cabina di pilotaggio. L'equipaggio della nave ha studiato attentamente le procedure da seguire in questi casi, con ogni membro che assume un ruolo prestabilito. Se si verifica un'emergenza, l'equipaggio può reagire immediatamente ed efficacemente senza indicazioni.

Questa struttura organizzativa a più livelli chiede molto di più all'equipaggio rispetto a una gerarchia tradizionale, dove seguire gli ordini è il percorso più sicuro e i subalterni non sono incoraggiati a pensare da soli. Qui, il benessere della nave e dell'equipaggio è responsabilità di tutti. Come notano i ricercatori di Berkeley, anche il rating più basso in coperta ha non solo l'autorità, ma l'obbligo di sospendere immediatamente le operazioni di volo, nelle circostanze opportune e senza prima averla autorizzata con i superiori. Sebbene il suo giudizio possa essere successivamente rivisto o addirittura criticato, non sarà penalizzato per aver sbagliato e spesso sarà pubblicamente congratulato se ha ragione.

Il coinvolgimento di tutti, unito al costante avvicendamento tra ufficiali ed equipaggio, aiuta anche la Marina a evitare che tali operazioni diventino routine e noiose. A causa del regolare andare e venire del personale, le persone sulla nave imparano costantemente nuove abilità e insegnano agli altri ciò che hanno imparato. E sebbene parte dell'apprendimento sia semplicemente la memorizzazione meccanica di procedure operative standard, i ricercatori di Berkeley hanno trovato una ricerca costante di modi migliori di fare le cose. I giovani ufficiali salgono a bordo con nuove idee e si trovano a discutere con i sottufficiali anziani che sono stati con la nave per anni e sanno cosa funziona. La collisione di approcci freschi, a volte ingenui, con una memoria istituzionale conservatrice produce una tensione creativa che impedisce alla sicurezza e all'affidabilità di degenerare in un seguire meccanico delle regole.

La Marina è riuscita a bilanciare le lezioni del passato con l'apertura al cambiamento e a creare un'organizzazione che abbia la stabilità e la prevedibilità di una gerarchia rigida ma che possa essere flessibile quando necessario. Il risultato è la capacità di operare vicino al bordo, spingendo sia le persone che le macchine ai loro limiti ma rimanendo notevolmente al sicuro.

Nessuna mancanza di comunicazione

Naturalmente, una portaerei è una situazione unica e non c'è motivo di pensare che ciò che funziona sarebbe efficace in un ambiente commerciale con dipendenti civili. Ma quando il progetto Berkeley ha esaminato un tipo completamente diverso di organizzazione ad alta affidabilità, i ricercatori hanno tracciato il suo successo su un insieme simile di principi.

La centrale nucleare di Diablo Canyon, gestita da Pacific Gas & Electric, si trova appena a ovest di San Luis Obispo, in California, sulla costa del Pacifico. Sebbene la sua costruzione sia stata perseguitata da polemiche e abbia finito per richiedere 17 anni e costare $ 5,8 miliardi, l'impianto si è rivelato a detta di tutti uno dei migliori e più sicuri del paese da quando è stato aperto nel 1985.

Come le portaerei, Diablo Canyon sembra inizialmente essere una gerarchia rigidamente gestita, con una catena di comando formale che porta a un direttore di stabilimento che è anche vicepresidente di Pacific Gas & Electric. E ha una spessa pila - una torre, in realtà - di regolamenti che dicono ai dipendenti come svolgere il proprio lavoro. Così vogliono i regolatori. Da Three Mile Island, la Commissione di regolamentazione nucleare ha cercato di garantire la sicurezza insistendo sul fatto che le centrali nucleari seguano un insieme di regole ancora più dettagliate. Gli impianti vengono valutati in base a quante volte violano i regolamenti e una serie di violazioni porterà a una supervisione più stretta da parte dell'NRC e a sanzioni che, nei casi più gravi, possono arrivare a centinaia di migliaia di dollari.

Ma Paul Schulman, uno scienziato politico al Mills College di Oakland che ha collaborato con La Porte, Roberts e Rochlin, ha scoperto che Diablo Canyon ha un altro lato: un lato più attivo, indagatore e di apprendimento. Nonostante la gerarchia e i regolamenti, l'organizzazione cambia costantemente, mettendo in discussione la pratica accettata e cercando modi per fare le cose meglio. Non è lo stesso tipo di cambiamento riscontrato sulle portaerei, dove il costante avvicendamento del personale crea un ciclo di apprendimento delle stesse cose più e più volte più un graduale miglioramento della tecnica. Diablo Canyon mantiene un gruppo relativamente stabile di dipendenti che conoscono bene il loro lavoro. Tuttavia, l'impianto nucleare è dinamico quanto il vettore.

Il motivo, dice Schulman, è che l'impianto ha coltivato una cultura istituzionale radicata nella convinzione che le centrali nucleari ti sorprenderanno sempre. Il risultato sono due serie di procedure decisionali presso l'impianto. Il primo, e più visibile, consiste in regole ben stabilite su cosa fare in una situazione particolare. Alcuni sono eseguiti da computer, altri da persone. In generale, dice Schulman, questo insieme di regole è progettato per proteggersi dagli errori di omissione: le persone che non fanno qualcosa che dovrebbero.

Ma anche i dipendenti di Diablo Canyon lavorano duramente per evitare errori di commissione-azioni che hanno conseguenze inaspettate. Poiché una centrale nucleare è così complessa, i dipendenti devono pensare costantemente a ciò che stanno facendo per evitare che il sistema faccia qualcosa di inaspettato e possibilmente pericoloso.

Ciò significa che, sebbene lo stabilimento aggiunga costantemente alle sue procedure standard man mano che le persone apprendono di più sugli approcci giusti e individuano nuovi modi in cui le cose potrebbero andare storte, nessuno crede che l'organizzazione sarà mai in grado di scrivere tutto in un libro. Pertanto, la direzione dell'impianto sceglie i dipendenti in parte sulla base di come si adatteranno a una cultura così flessibile e orientata all'apprendimento. Il dipendente meno desiderabile, riferisce Schulman, è uno troppo sicuro di sé o testardo.

Questo tipo di apprendimento e miglioramento continuo non sarebbe possibile se l'organizzazione di Diablo Canyon fosse strettamente gerarchica. Le gerarchie possono funzionare per sistemi scomponibili, cioè scomponibili in unità autonome, ma una centrale nucleare è, per sua natura, strettamente connessa. Una modifica ai generatori di vapore può avere implicazioni per il reattore o un cambiamento nelle procedure di manutenzione può influenzare il modo in cui il sistema risponde agli operatori umani. A causa di questa interdipendenza, i vari reparti dello stabilimento devono comunicare e collaborare direttamente, non attraverso canali burocratici.

Apprendimento costante: le benedizioni dell'ambiguità

I membri del progetto Berkeley hanno studiato non solo le portaerei e le centrali nucleari, ma anche i sistemi di controllo del traffico aereo e il funzionamento delle grandi reti elettriche, rilevando uno schema.

Una struttura organizzativa stratificata, ad esempio, sembra essere fondamentale per l'efficacia di queste istituzioni. A seconda delle esigenze della situazione, le persone si organizzeranno secondo schemi diversi. Ciò è abbastanza sorprendente per i teorici dell'organizzazione, che hanno generalmente creduto che le organizzazioni assumano una sola struttura. Alcuni gruppi sono burocratici e gerarchici, altri professionali e collegiali, altri ancora sono di risposta alle emergenze, ma la teoria della gestione non ha posto per un'organizzazione che si alterna tra loro a seconda della situazione.

La realizzazione dell'esistenza di tali organizzazioni apre una serie completamente nuova di domande: come vengono impostate tali organizzazioni a più livelli in primo luogo? E come fanno i membri a sapere quando è il momento di passare da una modalità di comportamento a un'altra? Ma la scoperta di queste organizzazioni può avere anche implicazioni pratiche. Sebbene La Porte avverta che il lavoro del suo gruppo è descrittivo, non prescrittivo, la ricerca potrebbe comunque offrire alcuni spunti per evitare incidenti con altre tecnologie complesse e pericolose.

In particolare, le organizzazioni ad alta affidabilità sembrano fornire un controesempio all'argomento del sociologo di Yale Charles Perrow secondo cui alcune tecnologie, per loro stessa natura, pongono contraddizioni intrinseche per le organizzazioni che le gestiscono. Riguardo a tecnologie come l'energia nucleare e gli impianti chimici, Perrow scrive: A causa della complessità, sono meglio decentralizzate; a causa dell'accoppiamento stretto, sono meglio centralizzati. Anche se qualche combinazione potrebbe essere possibile, e talvolta è provata (gestire piccoli compiti da soli, ma eseguire ordini dall'alto per questioni serie), questo sembra essere difficile per i sistemi che sono ragionevolmente complessi e strettamente collegati, e forse impossibile per quelli che sono molto complesse e strettamente collegate. Ma se si deve credere a Diablo Canyon e alle portaerei, un'impresa del genere non è affatto impossibile. Queste organizzazioni mostrano che le operazioni possono essere sia centralizzate che decentralizzate, gerarchiche e collegiali, soggette a regole e incentrate sull'apprendimento.

Oltre alla struttura a strati, le organizzazioni ad alta affidabilità enfatizzano la comunicazione costante molto al di là di quanto si riterrebbe utile nelle normali organizzazioni. Lo scopo è semplice: evitare errori. Su un ponte di volo, tutti annunciano cosa sta succedendo mentre accade per aumentare la probabilità che qualcuno se ne accorga e reagisca se le cose iniziano ad andare storte. In un centro di controllo del traffico aereo, sebbene un operatore sia responsabile del controllo e della comunicazione con determinati aeromobili, riceve aiuto da un assistente e, nei momenti di picco di carico, da uno o due altri controllori. I controllori si guardano costantemente l'un l'altro, cercando segnali di problemi, consigli commerciali e offrendo suggerimenti sul modo migliore per instradare il traffico.

La scarsa comunicazione e l'incomprensione, spesso nel contesto di una rigida catena di comando, hanno svolto un ruolo di primo piano in molti disastri tecnologici. L'incidente del Challenger è stato uno, con i livelli dell'organizzazione dello space shuttle che comunicavano principalmente attraverso canali formali, in modo che le preoccupazioni degli ingegneri non raggiungessero mai i vertici aziendali. L'incidente del 1982 di un Boeing 737 durante il decollo dall'aeroporto nazionale di Washington, che uccise 78 persone, fu un altro. Il copilota aveva avvertito più volte il capitano di possibili problemi - le condizioni del ghiaccio stavano causando false letture sull'indicatore di spinta del motore - ma il copilota non aveva parlato con sufficiente forza e il pilota lo ignorò. L'aereo si è schiantato contro un ponte sul fiume Potomac.

Quando un 747 della compagnia aerea olandese KLM si scontrò con un Pan Am 747 su una pista dell'aeroporto di Tenerife nelle Isole Canarie nel 1977, uccidendo 583 persone, un'indagine post-incidente scoprì che il giovane copilota pensava che il pilota anziano avesse frainteso il volo dell'aereo. posizione, ma presumendo che il pilota sapesse cosa stava facendo, si è bloccato. E l'incidente di Bhopal, in cui migliaia di persone sono morte quando un'esplosione in un impianto di insetticidi ha rilasciato una nuvola di gas mortale isocianato di metile, non sarebbe mai avvenuto se ci fosse stata comunicazione tra gli operatori dell'impianto, che hanno iniziato a sciacquare i tubi con l'acqua, e il personale di manutenzione, che non aveva inserito un disco metallico nella valvola per evitare che l'acqua entrasse in contatto con l'isocianato di metile in un'altra parte dell'impianto.

Oltre alla comunicazione, le organizzazioni ad alta affidabilità enfatizzano anche l'apprendimento attivo: i dipendenti non solo sanno perché le procedure sono scritte così come sono, ma possono metterle alla prova e cercare modi per migliorarle. Lo scopo dietro questo apprendimento non è tanto quello di migliorare la sicurezza, anche se questo accade spesso, ma di impedire all'organizzazione di regredire. Una volta che le persone iniziano a fare tutto secondo le regole, le operazioni precipitano rapidamente. I lavoratori perdono interesse e si annoiano: dimenticano o non imparano mai perché l'organizzazione fa le cose in determinati modi; e iniziano a sentirsi più come gli ingranaggi di una macchina che come parti integranti di un'istituzione vibrante. Le organizzazioni efficaci devono trovare modi per mantenere i propri membri freschi e concentrati sul lavoro da svolgere.

Qualsiasi organizzazione che enfatizzi l'apprendimento costante dovrà tollerare una certa quantità di ambiguità, osserva Schulman. Ci saranno sempre momenti in cui le persone non saranno sicure dell'approccio migliore o non saranno d'accordo anche su quali siano le domande importanti. Questo può essere salutare, dice Schulman, ma può anche essere inquietante per manager e dipendenti che pensano che un'organizzazione ben funzionante dovrebbe sempre sapere cosa fare. Racconta di un incontro con i manager di Diablo Canyon in cui ha descritto alcune delle sue scoperte. Cosa c'è di sbagliato in noi che abbiamo così tanta ambiguità? ha chiesto un manager. Il manager aveva completamente perso il senso della ricerca di Schulman. Una piccola ambiguità non era nulla di cui preoccuparsi. Invece, i gestori dell'impianto dovrebbero preoccuparsi se hanno mai pensato di avere tutte le risposte.

Schulman offre un'ulteriore osservazione sulle organizzazioni ad alta affidabilità: non puniscono i dipendenti per aver commesso errori quando cercano di fare la cosa giusta. La punizione può funzionare, o almeno non essere troppo dannosa, in un'organizzazione burocratica in cui tutti seguono le regole, ma scoraggia i lavoratori dall'imparare più di quanto non debbano assolutamente e uccide la comunicazione.

Se un'organizzazione riesce a gestire una tecnologia in modo che non ci siano incidenti o minacce alla sicurezza pubblica, può trovarsi di fronte a una minaccia insidiosa: chiamala il prezzo del successo. La risposta naturale da parte dell'esterno, che si tratti di dirigenti superiori, autorità di regolamentazione o pubblico, è iniziare a dare per scontata quella prestazione. E poiché la possibilità di un incidente sembra sempre meno reale, il costo dell'eterna vigilanza sembra sempre più difficile da giustificare.

Ma l'affidabilità organizzativa, sebbene costosa, è altrettanto cruciale per la sicurezza di una tecnologia quanto l'affidabilità delle apparecchiature. Se vogliamo evitare che il nostro progresso tecnologico si ritorni contro, dobbiamo essere intelligenti con le nostre organizzazioni come lo siamo con le nostre macchine.

nascondere