Pubblicato in: cultura della sicurezza, incidenti, Normativa

Il ruolo della normativa nella riduzione degli infortuni

Riskmanagement

Sull’ultimo numero della rivista Igiene & Sicurezza sul Lavoro (ISL n. 06/2019) ho scritto un articolo intitolato «La burocratizzazione del rischio».
Nella prima parte, ho eseguito un’analisi statistica degli infortuni, incrociando i dati forniti dall’INAIL e quelli dell’ISTAT relativi all’occupazione negli ultimi 45 anni.

Cominciamo da qui. Questi sono i dati degli infortuni sul lavoro denunciati nel periodo di riferimento, totali e mortali. Si tratta di numeri assoluti (per ingrandire cliccare sulla figura):

In questi 45 anni di osservazione, il numero degli infortuni totali è passato dalle poco più di 1.600.000 denunce presentate nel 1970 alle quasi 550.000 del 2015, una riduzione di circa 2/3 del totale.
Anche le denunce di infortunio mortale hanno subito una rilevantissima riduzione passando da un massimo di 3.774 denunce avvenuto nel 1973 al minimo registrato nel 2009 di 1.032 casi (purtroppo, negli anni successivi, il numero è nuovamente aumentato, attestandosi su una media di circa 1.280 denunce tra il 2010 e il 2017).

Ma, come giustamente viene spesso detto, «I dati assoluti sono poco significativi… C’è stata la crisi… L’occupazione è scesa…». Ecco qui, quindi, il dato riferibile al numero di infortuni ogni 100.000 lavoratori (sempre stessa faccenda: cliccare per ingrandire):

Come si può vedere l’andamento riflette pari, pari quello degli infortuni espressi in valori assoluti.

Ho fatto anche l’analisi basandomi sul monte ore lavorato.
Non la inserisco per non pretendere troppo dalla vostra pazienza, ma fidatevi: l’andamento è quello.

In sostanza, gli infortuni stanno diminuendo. In particolare quelli “totali”.

Qualche spunto di riflessione:

  1. fino ad un certo momento storico, l’andamento degli infortuni totali e quelli mortali era identico: diminuiva uno, diminuiva l’altro. Aumentava l’uno, aumentava l’altro.
  2. quel momento storico coincide con il 1994, la data di entrata in vigore del D.Lgs. n. 626/1994. Da quel momento, gli infortuni totali hanno continuato a diminuire con la stessa velocità di prima, quelli mortali no. E nemmeno l’entrata in vigore del D.Lgs. n. 81/2008 ha cambiato l’andamento. Nè dell’uno, né dell’altro.
  3. si tratta chiaramente di una correlazione spuria. Solo un cretino può pensare che che le nuove norme abbiano impattato negativamente sul numero degli infortuni mortali.
  4. Togliendo quella “sella” tra metà degli anni ’80 e inizi ’90, l’andamento infortunistico è sempre diminuito. Non solo. Nel caso degli infortuni “totali” la pendenza della curva è quasi costante. Come dire che il cambiamento normativo non ha prodotto un vero impulso.
  5. Come dimostrano i miei grafici, dire che gli infortuni sono aumentati del xx% (o diminuiti) nel 2018 rispetto all’anno precedente, significa statisticamente ben poco. Non individua una tendenza. È un’oscillazione.

Le statistiche però non dicono tutto. Cos’è anche successo in questi anni?

  • le direttive di prodotto hanno notevolmente migliorato la sicurezza. Se vuoi un’attrezzatura non conforme, in linea di massima devi renderla tu tale. Non la compri già così.
  • la tecnologia ha fatto passi da gigante. La sicurezza tecnologica ne ha beneficiato.
  • soprattutto, nei settori più pericolosi si è ridotta drasticamente la manodopera dipendente:
    — nei settori agricoltura, silvicoltura e pesca si è passati da 1,5 milioni di lavoratori dipendenti nel 1970 a poco più di 400.000 nel 2015;
    — nel settore delle costruzioni, il numero di dipendenti impiegati nel 1970 era di quasi 1,7 milioni, diventati 900.000 nel 2015;
    — nell’industria era di 4,9 milioni la manodopera nel 1970, ridotta a 3,6 milioni nel 2015.
  • al contrario, nel settore dei servizi si è passati da poco più di 6 milioni di lavoratori dipendenti nel 1970 agli attuali oltre 13 milioni.

E, quindi, le norme funzionano?

La faccenda è complessa e ci ho speso un bel po’ di parole nell’articolo, a cui rimando per capirne di più.
La mia opinione – in breve – è che il D.Lgs. n. 626/1994 e il D.Lgs. n. 81/2008 non abbiano potuto esprimere il loro vero potenziale.

Per due ragioni:

  1. vizio d’origine. C’è qualcosa che non va in loro. Specie nel modo in cui il testo della Direttiva è stato trasposto nel decreto. Il livello di dettaglio degli obblighi è talmente elevato che il risultato è che c’è più attenzione al soddisfacimento dell’obbligo che al risultato che l’obbligo sottende. Il rischio è stato burocratizzato.
  2. manca, in generale, una «Cultura del rischio» adeguata. La tecnologia avanza, ma non può fare tutto lei. Non fatevi trarre in inganno. Non sto parlando di formazione. Parlo di un modo diverso per interpretare il mondo che ti circonda, una cultura collettiva che sappia meglio distinguere ciò che è pericoloso e ciò che non lo è, traendone le dovute conseguenze. La storia sui vaccini ne è un esempio calzante, ma lo è anche lavarsi correttamente le mani.

P.S.
Scrivo dal 2005 per la rivista Igiene & Sicurezza sul Lavoro e ne sono un lettore dal 2000.  La considero un meraviglioso strumento per accrescere le competenze. Se volete farvi un regalo, abbonatevi.
È un consiglio disinteressato. Grazie a lei ho approfondito tonnellate di argomenti.
Da qui potete scaricare un numero omaggio per farvi un’idea.


V.I.P.S. (Very Important Post Scriptum)
Questo blog genera assuefazione.
Ogni resistenza è inutile. Sarete assimilati (cit.)
Dunque, perché non semplificarsi la vita e rendere agevole l’accesso al vizio?
Guarda in alto a destra, c’è la mia foto. Indipendentemente dal tuo sesso, resisti alla tentazione carnale e  guarda sotto, dove dice «Segui ottantunozerotto.it».
Cliccaci sopra e sarai avvertito via mail quando potrai ritirare la tua dose di nuovi post.
Niente spam, non temere.

Annunci
Pubblicato in: cultura della sicurezza, incidenti, miti della sicurezza

Affidabile ma non sicuro

AereodicartaIl tragico incidente aereo del Boeing 737 Max 8 della Ethiopian Airlines mette in discussione l’affidabilità del sistema e la sicurezza dei voli aerei.

Le cause dell’incidente non sono ancora note, ma trovo molto interessante discussione che ne è emersa perché, a mio avviso, si continua a ragionare secondo un paradigma che andrebbe superato.

Partiamo dalla distinzione tra «affidabilità» e «sicurezza».
Già, perché, nonostante in continuazione (anche su questo incidente) si tenda a considerare sicuri i sistemi affidabili, questo assioma non è vero.

Un sistema può essere affidabile ma non sicuro o sicuro ma non affidabile.

In generale, l’uno non implica l’altro.

È un argomento che ho anche accennato nel mio libro, ma qui vorrei meglio esplicitare alcuni concetti.

L’aereo precipitato era dotato di un sensore chiamato “Angle of attack” (“Angolo di attacco”, cioè l’angolo tra l’ala e la direzione relativa del vento) che invia ad un software input che permettono al sistema di correggere automaticamente il profilo del volo.

Se, semplicemente per ipotesi, venisse confermata la tesi secondo la quale il software avesse interpretato le indicazioni del sensore come una condizione di stallo (per un possibile errore nella scrittura del software), laddove il sensore non fosse stato guasto, il sistema avrebbe fatto proprio ciò per cui era stato progettato.
Se, per errore, dici ad un software di fare una certa cosa e quello poi la fa, non puoi prendertela con il software. Anche se quello che fa è indesiderato.
In poche parole, il sistema era affidabile, ma non sicuro.

Prendi adesso Chesley “Sully” Sullenberger, il celeberrimo pilota del Volo 1549 che salvò la vita dei passeggeri e dell’equipaggio facendo ammarare il suo aereo sul fiume Hudson a causa della perdita di un motore avvenuta, dubito dopo il decollo, a seguito dello scontro con uno stormo di oche.
Lì per lì, la commissione che indagava sull’accaduto voleva fargli il culo perché le procedure prevedevano che dovesse tornare all’aeroporto e non prendere la decisione, più rischiosa, di atterrare sull’acqua.
Solo dopo si dimostrò che, se avesse seguito le procedure, l’aereo sarebbe precipitato prima del rientro e che “affiumare” fu la decisione corretta.
Il comportamento del pilota fu, dunque, sicuro ma inaffidabile (non avendo seguito le procedure).

La questione non è solo che «sicurezza» e «affidabilità» sono due cose diverse, ma anche che agiscono a livelli diversi.

L’affidabilità è una proprietà del componente. Una valvola è affidabile e la sua affidabilità, intesa come il tempo medio che intercorre prima del fallimento, può essere testata in condizioni standard.

Nei sistemi complessi, invece, la sicurezza è una proprietà emergente del sistema (cioè qualcosa che non deriva dalle proprietà note dei componenti del sistema). Il singolo componente può anche non essere affidabile e, perfino, non sicuro, ma il comportamento complessivo del sistema può essere sicuro (è il caso dei sistemi fail safe progettato in modo che un malfunzionamento termini sempre in uno stato sicuro).

Nei sistemi complessi l’incidente non è generato solo da malfunzionamenti dei singoli componenti: tutto potrebbe funzionare correttamente, ma le interazioni tra i componenti potrebbero generare un incidente.

L’analisi degli incidenti si è sempre concentrata sui malfunzionamenti (sulle cause), ma le interazioni divengono sempre più rilevanti man mano che i sistemi si fanno complessi.
Più il sistema è complesso, più il malfunzionamento di un componente pressoché irrilevante potrebbe avere effetti catastrofici nella sua interazione con altre componenti.

E non è semplice prevedere tutti i possibili modi di interazione tra le componenti (es. Albero dei guasti) e gli effetti di tali interazioni perché ciò che può essere previsto, può essere progettato e la complessità non può essere progettata.
Ciò implicherebbe la sua concentrazione nella testa del progettista e, in questo caso, il sistema non sarebbe complesso ma semplicemente complicato.

Quando parlo di interazioni tra componenti, non mi riferisco solo a quelle tecnologiche. Il tutto è inserito all’interno di un sistema socio-tecnico più complesso del sistema aereo, che vede coinvolte:

  • Vincoli economici: scelte derivanti dagli obiettivi di profitto delle compagnie aeree che devono risparmiare carburante e uno dei vantaggi del Boeing 737 Max 8 era proprio quello;
  • Prestazioni umane: ogni modifica richiede l’aggiornamento della formazione del personale che con la modifica dovrà convivere (es. i piloti che devono sapere come bypassare il sistema di correzione automatica del profilo di volo). Ma questo significa aggiungere o modificare procedure consolidate, essere certi che le modifiche siano state recepite;
  • Requisiti di progettazione: difficilmente chi progetta un aereo sa scrivere un software e pilotare il velivolo. Così l’uno dà le specifiche all’altro. E il problema è spesso la completezza delle specifiche, non la correttezza del software;
  • componenti politiche: modifiche alle regole che gestiscono l’aviazione civile e che comportano continui aggiustamenti organizzativi e tecnologici che devono convivere con le esigenze di sicurezza, del mercato.

In tutto questo l’aereo deve anche volare.

Nei sistemi complessi, gli incidenti non possono essere descritti con una “catena di eventi”, ma sono generati dalle interazioni tra tutte le componenti socio-tecniche e dalla loro naturale tendenza a spostarsi verso stati di rischio più elevato per esplorare nuovi modi per ottimizzare le proprie prestazioni.

Il paradigma che cerca la spiegazione degli incidenti nelle cause deve essere superato e, con esso, i suoi proclami, come per esempio: «L’80% degli incidenti è causato dal fattore umano».

Bisogna andare oltre le cause e guardare ai meccanismi, smettendo di limitarsi ad osservare gli errori operativi o umani per concentrarsi, piuttosto, sui cambiamenti e le migrazioni del sistema verso stati di rischio maggiore.


V.I.P.S. (Very Important Post Scriptum)
È la prima volta che leggi questo blog?
Allora è probabile che ci ritornerai. Senti a me: ti conviene ricevere delle notifiche quando scriverò nuovi post.
Guarda in alto a destra, c’è la mia foto. Indipendentemente dal tuo sesso, resisti alla tentazione carnale e  guarda sotto, dove dice «Segui ottantunozerotto.it».
Se invece non era la prima volta che leggevi questo blog, allora lo vedi che c’avevo ragione? Fai come ti dico, senti a me…

 

 

Pubblicato in: incidenti

Natale sta arrivando

christmas-is-coming

Non ci sono soluzioni.

Puoi solo ridurre i danni.

Per esempio, occhio alle lucine natalizie.

Il 6 dicembre (il giorno di San Nicola… alias Santa Claus… aka BABBO NATALE… L’ennesima prova che non puoi fidarti di nessuno) la Commissione europea ha reso pubblici i risultati dei test effettuati sulle luci di Natale ed è risultato che il 20% di quelle testate non sono a norma.

Ne avevo già parlato qui 9 anni fa, ma nel frattempo la situazione non è migliorata di tanto.

20%.

Quali difetti siano stati riscontrati, non è dato sapere, poiché  i dettagli dello studio non sono ancora stati pubblicati, ma guardando quello di 9 anni fa, se tanto mi dà tanto, parliamo di rischio elettrico e rischio incendio.

Proviamo allora a dare qualche consiglio pratico per non peggiorare la situazione che già basta il Natale…

  1. Diamo per scontato che prendiate solo roba col marchio CE.
    O le acquistate sotto casa oppure online, non cambia nulla. Perché tanto anche quelle testate dalla Commissione europea avevano il marchio CE.
    Quindi, magari, acquistate quelle che, oltre al marchio CE, siano certificate anche da un istituto indipendente tipo TÜV o abbiano un marchio di qualità come, ad esempio, IMQ.
  2. Verificate il grado di protezione IP.
    Se siete tra quelli che fanno l’albero di Natale anche in giardino e sul tettuccio dell’auto, allora sulla confezione dovete guardare i simboli della tabella qui sotto.Schermata 2018-12-20 alle 18.28.37.pngQuelle per “uso esterno” devono essere almeno IP44 e devono avere la spina shuko.
  3. Se sulla confezione ci fosse riportato questo simbolo qua:
    Casaindovinate un po? Le luci sono solo per uso interno.
    Se, invece del simbolo, c’è proprio scritto “uso interno”, non potete usarle all’esterno.
    So che sembra la stessa cosa ed infatti lo è. E quando sono per uso interno, allora non sono per uso esterno. Mai.
  4. Se avete un bambino di 2 anni come me e gli avete regalato per Natale gli attrezzi isolati e un coupon per un corso PES/PAV, è probabile che lui voglia cimentarsi coi lavori elettrici sotto tensione. Mi sembra pure giusto… Sennò quando imparano ‘sti ragazzi. Se non siete sicuri della qualità del corso che ha frequentato, potete  allestire il vostro albero con lucine LED alimentate a bassissima tensione (roba da 12-24V). Le riconoscete da questo simbolo qui sulla confezione:
    SELVSe invece pensate che il corso sia stato fatto bene, allora potete mettere quelle standard, alimentate a 230V. In questo caso il rischio elettrico aumenta, ma per limitarlo ai soli contatti diretti, dobbiamo acquistare delle luci a doppio isolamento, cioè con questo simbolo qui:
    Doppio_isolamentoRipensandoci, queste due regolette non valgono solo per il bambino di 2 anni, che sa cavarsela da solo.
  5. Se volete comprare quelle lucette ad intermittenza che non solo intermittano, ma cambiano il modo e la velocità di intermittare con un pulsante, allora dovete guardare bene la scatoletta dove in genere è posizionato il pulsante (cioè il controller). Premetelo con i pollici, come farebbe una massaggiatrice thailandese mentre vi tortura. Se sentite che cede, lasciate perdere… Materiale scadente.
  6. Staccate sempre la spina prima di uscire di casa o di andare a letto.

Se non sono riuscito a farvi passare la voglia di festeggiare, BUON NATALE 🙂


V.I.P.S. (Very Important Post Scriptum)
È la prima volta che leggi questo blog?
Allora è probabile che ci ritornerai. Senti a me: ti conviene ricevere delle notifiche quando scriverò nuovi post.
Guarda in alto a destra, c’è la mia foto. Indipendentemente dal tuo sesso, resisti alla tentazione carnale e  guarda sotto, dove dice «Segui ottantunozerotto.it».
Se invece non era la prima volta che leggevi questo blog, allora lo vedi che c’avevo ragione? Fai come ti dico, senti a me…

Pubblicato in: Altro, incidenti

INAIL: azione di regresso o estorsione?

estorsioneLo sanno anche i sassi: in caso di infortunio sul lavoro, l’INAIL indennizza il lavoratore infortunato, ma può successivamente rivalersi sul datore di lavoro, richiedendo indietro la somma versata.

Quelle che a molti non sono note, sono le circostanze che rendono possibile l’azione di regresso (si chiama così) e, spesso, chi solleva la questione si pone due domande (in genere precedute da bestemmie e improperi):

  1. com’è possibile che l’INAIL possa chiedere al datore di lavoro indietro i soldi senza che sia stata accertata alcuna responsabilità in sede penale?
  2. che senso ha pagare l’assicurazione dell’INAIL se poi bisogna restituire i soldi che lei versa all’infortunato?

Per rispondere alla prima domanda, occorre comprendere il senso dell’art. 61, comma 1 del D.Lgs. n. 81/2008:

In caso di esercizio dell’azione penale per i delitti di omicidio colposo o di lesioni personali colpose, se il fatto è commesso con violazione delle norme per la prevenzione degli infortuni sul lavoro o relative all’igiene del lavoro o che abbia determinato una malattia professionale, il pubblico ministero ne dà immediata notizia all’INAIL ed all’IPSEMA, in relazione alle rispettive competenze, ai fini dell’eventuale costituzione di parte civile e dell’azione di regresso

La norma non dice che, per esercitare l’azione di regresso, l’INAIL debba attendere la sentenza penale di condanna. No. È sufficiente l’esercizio dell’azione penale, ovvero, nella maggioranza dei casi, che sia avvenuto un evento riconducibile alla commissione di un reato perseguibile d’ufficio (omicidio colposo o lesioni personali colpose gravi o gravissime).

Quando il P.M. riceve la notizia di reato, ne darà comunicazione all’INAIL che potrà esercitare l’azione di regresso. Se non è la magistratura a muoversi, perché per esempio il superamento dei giorni di prognosi necessari per configurare il reato di lesioni personali colpose gravi avviene a tranche, è l’INAIL stessa che dovrà comunicare al P.M. il superamento dei 40 giorni di prognosi definitiva perché si proceda all’esercizio dell’azione giudiziaria.

In questi casi, laddove l’INAIL decida di esercitare l’azione di regresso, il giudice competente sarà il Giudice civile che dovrà accertare il reato e decidere se c’è una responsabilità del datore di lavoro e se, dunque, questi debba restituire o meno i soldi all’Istituto.
Nel processo civile, il datore di lavoro dovrà provare che l’infortunio o la malattia non siano dipesi da sue responsabilità e che egli aveva adempiuto ai propri obblighi, altrimenti dovrà ridare indietro all’INAIL i soldi che questo avrà versati all’assicurato.

E qui veniamo alla seconda domanda: ma quindi che pago a fare l’INAIL se poi le devo dare indietro i soldi?

L’esistenza stessa dell’INAIL è applicazione dell’art. 38 della Costituzione che, tra le altre cose, dice:

I lavoratori hanno diritto che siano preveduti ed assicurati mezzi adeguati alle loro esigenze di vita in caso di infortunio, malattia, invalidità e vecchiaia, disoccupazione involontaria.
(omissis)
Ai compiti previsti in questo articolo provvedono organi ed istituti predisposti o integrati dallo Stato.

Lo scopo dell’INAIL è quello di risarcire i lavoratori o assisterli in caso di infortunio o malattia. L’INAIL, perciò, paga sempre* il lavoratore ed esonera il datore di lavoro dalla responsabilità civile.
Ma, laddove venga riconosciuta la commissione di un illecito penale, l’esonero dalla responsabilità civile viene meno e  darà seguito ad un’azione risarcitoria nei confronti del responsabile, fermo restando il principio che (art. 41 della Costituzione) l’iniziativa privata economica è libera ma essa non può arrecare danno alla sicurezza e, dunque, è primario il dovere del datore di lavoro di garantire la sicurezza del lavoratore.

Un’ultima annotazione: non siamo soli. Regno Unito, Francia e Germania hanno anche loro il diritto di rivalsa

 

*Sempre… Sempre che sia riconosciuto l’infortunio o la malattia professionale

Pubblicato in: cultura della sicurezza, incidenti, Normativa

La situazione è grave ma non seria

keep Calm154 morti sul lavoro da inizio anno e oggi è il decennale dell’approvazione del D.Lgs. 9 aprile 2008, n. 81 (da qui potete scaricarvi il testo della norma in formato ePub).

Parlo a te, legislatore, componente della Conferenza Stato-Regioni, membro di qualche Commissione consultiva permanente: mantieni la calma.

Respira… Così, bravo… No, non agitarti… Buono, stai calmo…Non digrignare i denti.

Soprattutto non toccare niente! Non sei obbligato a scrivere una nuova legge, accordo o altro. Per carità, hai già fatto abbastanza.

Stai tranquillo, non c’è nessuna emergenza infortuni in corso. Non sta succedendo nulla che la statistica non possa spiegare, nulla che non sia l’effetto a lungo termine dell’aver creato l’illusione che il semplice rispetto delle regole fosse condizione sufficiente per combattere le morti sul lavoro.

Anzi, guarda… Senza nessuna necessità di inventarsi ulteriori e strane fattispecie di delitti come l’omicidio sul lavoro, se vogliamo chiamare le cose col loro nome, chiameremo questa tipologia di morte «lavoricidio».

Dicevo dell’illusione di combattere il lavoricidio con le norme. Ecco, questo è il risultato delle norme in 40 anni (direi un tempo statisticamente significativo!):

 

Schermata 2018-04-09 alle 10.12.12

Dal 1994, data di entrata in vigore del D.Lgs. n. 626/94, la riduzione che pur c’è stata non ha fatto nient’altro che proseguire la tendenza precedente già in corso.

Questo è quello che succede quando si vuole sopperire con le norme e le sanzioni alla carenza di cultura, invece di rassegnarsi al fatto che la cultura precede ed è il fondamento delle norme.

E se non si investe in cultura, puoi fare le norme più fighe del mondo, ma le persone non ne comprenderanno mai il senso. E tu non solo hai continuato a scrivere norme che non sai manco scrivere, ma per di più non hai investito in cultura in questi anni.

Non c’è da stupirsi del fatto che la metà degli italiani abbia un’intelligenza inferiore alla media.

Molti di quelli che hanno letto la precedente affermazione, concorderanno con me.
Una buona parte di loro riterrà di ritrovarsi nell’altra metà.
Ma solo una minima parte si sarà resa conto che ho affermato un’ovvietà statistica.

Ecco, questa è un po’ la conferma di quello che dicevo prima. Quanto è difficile far capire il concetto di sicurezza a chi non ha la cultura del rischio necessaria per riconoscere un’affermazione lapalissiana come questa?

Che c’entra il rischio? Il rischio è probabilità, incertezza, comprensione delle correlazioni e delle causalità, dell’andamento degli eventi.
La comprensione del significato di questi elementi è indispensabile a tutti per poter prendere decisioni consapevoli e, per quanto possibile, «sicure».

Le persone non sono stupide, semplicemente spesso fanno scelte sbagliate e confondono il rischio e la sua valutazione con la certezza, basandosi su considerazioni fallaci o incomplete.

Ma per essere più sicuri, non bastano le norme, non basta la formazione. Ci vuole cultura.

 

Pubblicato in: cultura della sicurezza, incidenti, valutazione dei rischi

L’elefante nella stanza

maxresdefaultIeri sono state pubblicate alcune indiscrezioni giornalistiche relative alla parziale conclusione delle indagini preliminari sull’incidente accaduto alla Lamina il 16 gennaio scorso, nel quale sono deceduti 4 lavoratori.

Non entrerò nel merito dell’esito (presunto) dell’inchiesta e di quella che sembra essere la (presunta) dinamica dell’incidente. Le indagini non sono concluse (manca un ultimo accesso peritale), ma intendo soffermarmi su una frase del giornalista:

«Nessuno poteva sospettare che la valvola fosse aperta: in caso contrario, non sarebbe stato silenziato l’allarme, come invece successo».

Ci sono due elementi che devono essere evidenziati in questa frase e che sono la rappresentazione della fallacia logica che affligge un po’ tutti noi (sicuramente il giornalista ne è vittima) e che, al di là del caso in questione, è effettivamente all’origine di errate valutazioni.

N.B.: uso la frase citata come spunto. Non intendo minimamente avallare o smentire la ricostruzione data nell’articolo. 

La prima è la seguente.

Non vedere alcun elefante in una stanza viene considerata da chiunque una buona prova dell’assenza di elefanti nella stanza. Ma, al contrario, difficilmente qualcuno considererebbe il non riuscire a vedere una pulce su un elefante la prova di assenza di pulci sull’elefante e non ci sarebbe niente di strano se pretendessi delle indagini supplementari a sostegno della tesi che l’elefante non ha le pulci. Nel dubbio, chiunque metterebbe un collare antipulci all’elefante se ha intenzione di tenerselo in casa.

Nel suo «Il mondo infestato dai demoni» (consiglio a tutti la lettura del libro), lo scienziato e divulgatore Carl Sagan nel rappresentare le fallacie logiche più comuni che inficiano la valutazione della veridicità di un’affermazione, riassume benissimo il concetto nella seguente frase:

«L’assenza di prove non è prova di un’assenza»

Non so come si sia potuti arrivare alla conclusione citata dal giornalista. Tuttavia è un dato di fatto che fin quando ci sembrerà normale «non sospettare che le valvole siano aperte», invece di «dubitare che le valvole siano chiuse», avremo un problema. Serio.

Ci sono due elementi da tenere presente per non cadere in queste fallacie logiche:

  1. L’aspettativa. L’aspettativa gioca un ruolo fondamentale, in questo caso. La verità è che io non mi aspetto di trovare un elefante nella stanza e mi accontento di una verifica sommaria il cui esito sarà inficiato dal bias di conferma. Quale che sia la nostra aspettativa, noi siamo chiamati a fare previsioni ovvero ipotesi e queste devono essere innanzitutto di tipo on/off, I/O, Sì/No. L’aspettativa lasciamola ai giornalisti.
  2. La probabilità. Superando l’aspettativa di trovare un elefante nella stanza, difficilmente considererò probabile la sua presenza. Andrebbe tutto bene se la stanza non fosse una cristalleria. In questo caso, le decisioni devono essere prese basandoci sull’entità dei danni. Se questi sono inaccettabili (e la nostra capacità di fare una loro stima è senz’altro più accurata di quella relativa alla probabilità che si verifichi l’evento), dobbiamo rassegnarci all’ipotesi ragionevolmente più conservativa. Il livello di confidenza di una previsione indica la probabilità di azzeccarci. Maggiore è il livello di confidenza (es. 99%) minore è la probabilità che la previsione sia errata (1%). Quanti di voi salirebbero su un aereo sicuro con un livello di confidenza del 99%?

Abbiamo mezzi sufficienti per raccogliere prove e conoscenze sufficienti per interpretare le prove o la mancanza di prove. Basta non dare maggiore credibilità a quelle che confermano le proprie convinzioni o ipotesi e non trattare il mondo reale come un casinò.

La seconda questione che vorrei confutare è l’affermazione lapidaria che «Nessuno poteva sospettare che la valvola fosse aperta». No, no e poi no. «Nessuno» non si può sentire.

Pubblicato in: cultura della sicurezza, incidenti, miti della sicurezza

4° mito: per fare un cane ci vuole un fiore…

cane-fiore… e posso dimostrarlo con la catena di eventi.

Mettiamo le cose in chiaro: lo studio degli incidenti accaduti è un formidabile strumento di conoscenza. Ci aiuta a comprendere meglio i modi di fallimento di un sistema e, potenzialmente, di migliorare le sue prestazioni future.

È per questo che strumenti come la banca dati Infor.Mo. dell’INAIL sono pura ricchezza, soldi ben spesi, investimenti corretti (so quello che state pensando: «Adesso arriva il “Ma…”». Sono prevedibile quanto un infortunio annunciato).

MA la comprensione dell’incidente è enormemente influenzata da come lo studi.

Per dire, il modello di analisi degli infortuni usato nella banca dati Infor.Mo. (anche nota come “sbagliando si impara”), rientra nella categoria dei «modelli sistemici multifattoriali e multiassiali ad albero delle cause».

A questo punto voi starete pensando: «Ma dai! Non è possibile. Mica si può essere così ingenui». Eh, lo so… Sono d’accordo con voi e comprendo la vostra delusione. Non ci si può mai fidare. Le coltellate arrivano da chi meno te le aspetti.

Spiego a beneficio di mio cugino di 5 anni che segue sempre questo blog ma ha alcune lacune in materia che, in sintesi, un modello sistemico multicoso ecc. non è altro che l’evoluzione del cosiddetto «Modello Domino» che Heinrich propose negli anni ’30 per spiegare:

  1. Come succedono gli incidenti;
  2. Come prevenire gli incidenti.

Questo di Heinrich, gli va dato atto, può essere considerato il primo tentativo di spiegare gli incidenti come qualcosa di più che semplice volontà divina. Il problema è che l’abbiamo preso troppo sul serio, talmente sul serio che alcuni aspetti di questa teoria sono diventati veri e propri atti di fede e non vengono più messi in discussione.

Il Modello Domino considera l’incidente come l’esito di una sequenza di fattori ed è rappresentato da tessere di domino che cadono una sull’altra. La prima a cadere è la causa radice dell’incidente.

Siccome gli incidenti sono un tantinello più complessi che non semplici dinamiche lineari, il modello di Infor.Mo. è come se considerasse più linee di tessere di domino, parallele, ciascuna con un proprio significato, che poi convergono su una dorsale principale. Comunque la si veda, è sempre un modello causale.

Cioè le tessere a valle cadono perché a monte qualcuno o qualcosa ne ha fatta cadere una o più. Il percorso a ritroso delle tessere cadute, fino ad arrivare alla prima (o alle prime) è la «catena di eventi» (Dio la fulmini!).

Tutto nasce dal seguente teorema. Poiché:

  1. ogni causa ha un effetto,
  2. non esistono effetti senza cause,

allora:

  1. rintracciando le cause a monte della catena di eventi e rimuovendole, impediremo che l’incidente si ripeta.

È tutto molto bello.

Se non fosse che nel mondo reale ragionare dagli effetti verso le cause (percorso a ritroso), non è la stessa cosa che ragionare dalle cause verso gli effetti (percorso in avanti). Perché:

  1. in effetti noi non “vediamo” nessuna catena degli eventi. Non c’è realmente una fila di tessere di domino evidentemente cadute che scorgiamo con chiarezza e di cui risaliamo il tragitto come fosse il corso di un fiume. Noi vediamo solo l’incidente, la fila di tessere di domino cadute la dobbiamo ricostruire operando scelte, facendo ipotesi, raccogliendo prove;
  2. un effetto può essere determinato da molteplici cause, ma alcune di queste cause potrebbero non essere percettibili come tali, venendo così, dunque, scartate dallo studio;
  3. una volta che si sia ricostruito il percorso a ritroso e siano state individuate le tessere di domino a monte (i «determinanti», secondo il modello di Infor.Mo.) che hanno prodotto la caduta di quelle a valle, il gioco è finito. Non c’è più spazio per spiegazioni alternative, specie dove la spiegazione appare convincente.

Il rischio qual è? Che le spiegazioni terminino con causali che, in realtà, potrebbero essere semplici fallacie causali.

La prima è proprio quella di ricostruire percorsi a ritroso che spesso si basano sul ragionamento che se l’evento Y si è manifestato dopo l’evento X, allora X ha causato Y:

a mio figlio è stato somministrato il vaccino trivalente, per questo è diventato autistico.

Oppure, ritenere che un evento sia causa di un altro mentre, invece, entrambi sono effetto di una causa comune:

Siccome non hai una postura corretta al VDT, è normale che ti venga il mal di schiena

senza considerare, tuttavia, che entrambi sono sintomi legati all’uso di una sedia non conforme.

Potrei continuare per ore…

Fin qui è facile. Se non sei ingenuo e stai un po’ attento, le eviti certe fallacie logiche. Il problema sorge quando c’è una causa che prepotentemente emerge con frequenza da tutte queste indagini e che accomuna la maggioranza di esse. Su questa finirà inevitabilmente per concentrarsi l’attenzione per evitare che simili eventi possano verificarsi.

Non è rilevante che sia davvero una causa, l’importante è che sia sempre rinvenibile nel procedimento di ricerca a ritroso delle cause di fenomeni dello stesso tipo, come ad esempio: la presenza degli immigrati e la criminalità, le rondini e la primavera, la disoccupazione e l’Europa…

In questi casi, volente o nolente, alla fine quella causa te la ritrovi sempre lì, come minimo comun denominatore a cui sarà sempre possibile risalire.

Fate questo esperimento. Entrate nella banca dati Infor.Mo. e guardate nei singoli incidenti le voci “attività dell’infortunato”. Troverete quasi sempre questi:

  • Uso errato dell’attrezzatura
  • Altro errore di procedura

Non c’è un solo incidente in cui anche l’attività dell’infortunato (proprio lui) non sia stata un determinante.

Non vi pare strano? La chiameremo fallacia di ipersemplificazione causale che tende a ricondurre tutto sempre alla stessa causa radice, altrimenti detta «Fallacia del tavolo e del fiore»:

Per fare un tavolo ci vuole il legno, per fare il legno ci vuole l’albero, per fare l’albero ci vuole il seme, per fare il seme ci vuole il frutto, per fare il frutto ci vuole il fiore, per fare tutto ci vuole un fiore.

Anche un cane.

C.V.D.