Модель швейцарского сыра появилась в 1990 году, когда психолог Джеймс Ризон из Университета Манчестера придумал остроумную метафору для череды ошибок, ведущих к катастрофе. Сегодня эта теория хорошо известна специалистам в области риск-менеджмента и активно используется в авиации, здравоохранении и инженерном деле. T&P рассказывают о том, какое отношение сырные дырки имеют к теории риска.

Все ошибаются

Основа концепции Ризона, которую называют еще «кумулятивными последствиями действий» — это выделение типичных ошибок в любой организации (и вообще, где угодно). Согласно модели существует 4 типа ошибок — и все неудачи проектов, так или иначе, являются следствием одной или нескольких из них. К этим ошибкам относятся проблемы менеджмента, недостаточный контроль, предпосылки к небезопасным действиям и сами небезопасные действия.

Проблемы менеджмента — это управленческие решения, которые могут в отдаленном будущем привести к катастрофе. Например, вследствие финансового кризиса авиакомпания сокращает траты на тренировку пилотов. Те учатся меньше часов, выходят на работу неподготовленными и не справляются с управлением самолетом. Можно сказать, что вина в таком случае лежит на самом пилоте, и отчасти это так — но первопричиной произошедшего была все же корпоративная политика. Без знаний о том, что послужило отправной точкой для происшествия, невозможно быть уверенным, что она не повторится в будущем. Именно поэтому так много авиакомпаний взяло на вооружение разработки Ризона.

«Каждая дырка в ломтике — отдельная ошибка. Таких «дырок» много в любой системе на каждом из уровней, они находятся в разных местах и обладают разной степенью потенциальной разрушительности. Однако следующий уровень-ломтик, в котором нет проблемы на том же месте, защищает всю систему от эпик фейла».

Продолжая летную метафору, в качестве примера недостаточного контроля можно еще привести ситуацию, когда в ночной полет отправляются два пилота-новичка. Предпосылкой к небезопасным действиям можно назвать размещение на приборной панели кнопки «Уничтожить все» рядом с кнопкой включения радио. А вот уже нажатие не той кнопки относится к небезопасным действиям.

Последний тип ошибки — это активные ошибки. Первые же три вида — это ошибки латентные, то есть косвенно ведущие к катастрофе. Как правило, модель швейцарского сыра используют на стадии проведения исследований именно для того, чтобы в первую очередь уберечься от последних. Либо для предотвращения катастрофы, либо для выяснения, как же она случилась и что нужно сделать, чтобы такого больше не было.

Важность ломтиков

Организация, согласно «сырной» модели, формирует ряд барьеров для того, чтобы нейтрализовывать потенциальную вредоносность ошибок. Пилотам-новичкам могут помочь хорошо подготовленные диспетчеры, кнопка «Уничтожить все» может запросить подтверждение выполнения операции и так далее. В ризоновской метафоре каждый барьер, способный предотвратить катастрофу, — это и есть ломтик сыра.

Каждая дырка в ломтике — отдельная ошибка. Таких «дырок» много в любой системе на каждом из уровней, они находятся в разных местах и обладают разной степенью потенциальной разрушительности. Однако следующий уровень-ломтик, в котором нет проблемы на том же месте, защищает всю систему от эпик фейла. Проблемы начинаются, когда на разных уровнях системы в одной и той же области есть ошибка — то есть когда «дырка» уходит в глубь, через все ломтики. Ризон называл это «траекторией возможного происшествия». Следующий слой, который должен был бы сработать как защитный барьер, имеет тоже слабое место, как и следующий за ним, и, таким образом, провал становится все более вероятен.

Больше сыра

Авиабизнес — только один из примеров применения ризоновской модели. Хотя теория активно используется и признается практически полезной многими экспертами в риск-менеджменте, ее критикуют за излишне широкое применение — в том числе в областях, где применять ее не следует. Тем не менее, есть и сферы, где она отлично прижилась и играет важную роль. К ним относится, например, здравоохранение. Анализ «дырок» на разных «ломтиках» активно используется здесь для предотвращения значимых ошибок.

Например, размещение двух препаратов различных групп, но с похожей упаковкой на одной аптечной полке явно относится к ризоновским латентным ошибкам. В перспективе она может вести к выдаче пациенту не того препарата и ухудшению его самочувствия (не говоря уже о возможном иске к аптеке). Исследования, в ходе которых такие «дырки» обнаруживаются, показывают, что не все ляпы делаются из-за невнимательности и иногда систему винить правильнее, чем отдельных людей.

«Продолжая летную метафору, можно привести в качестве примера недостаточного контроля ситуацию, когда в ночной полет отправляются два пилота-новичка. Предпосылкой к небезопасным действиям можно назвать размещение на приборной панели кнопки «Уничтожить все» рядом с кнопкой включения радио».

Другая область, в которой активно применяют теорию швейцарского сыра — проектирование систем пожарной безопасности. Основная концепция, применительно к этому бизнесу, заключается в добавлении максимального количества барьеров-ломтиков, в надежде, что в случае чего хотя бы один из них окажется недырявым.

Разумеется, неправильно ограничивать применимость модели только бизнесом. Собираясь в отпуск или планируя свидание на крыше лунной ночью, полезно вспомнить Ризона и задуматься о том, достаточно ли много сырных ломтиков отделяют вас от провала.