Resilience Engineering ontstaat als onderzoeksonderwerp rond het begin van deze eeuw. Een vroege referentie waarin het begrip gehanteerd wordt, is een conferentie onder de titel Resilience Engineering in oktober 2004 in Zweden. Organisatoren zijn Hollnagel, Woods en Leveson die ook de redacteuren zijn van Resilience Engineering, Concepts and Precept (Hollnagel, Woods & Leveson, 2006) dat verschenen is naar aanleiding van deze conferentie18. De deelnemers (veelal veiligheidsdeskundigen) aan deze conferentie kwamen met name uit de lucht- en ruimtevaart, railtransport en gezondheidszorg. Hun insteek was veelal onderzoek naar Human Factors.
2
that allow us to survive. In companies, redundancy consists of apparent inefficiency: idle capacities, unused parts, and money that isn’t put to work.”
Een organisatie zonder vet kan schitteren op de korte termijn, maar ook struikelen over de eerste de beste onverwachte hindernis. Zo kan het verwijderen van ‘overbodige’ posities uit de organisatie, ook het opofferen van ervaring en expertise betekenen. Dat verlies kan het repertoire aan reacties van de organisatie beperken (naar Weick en Sutcliffe, 2011, p.170). 10. Beroepstrots en overmoed
In een organisatie met professionals kan een cultuur zijn dat er veel kennis wordt uitgewisseld en elkaars deskundigheid wordt gebruikt. Helaas is het ook mogelijk dat professionals hun eigen autonomie benadrukken en het juist moeilijk vinden elkaar te gebruiken of aan te spreken (Roberts, 2009). Statusverschillen, zowel in positie als in het karakter van de kennis waarop iemand zich beroept (expliciete wetenschappelijke of impliciete praktijkkennis), kunnen het gebruik van elkaars kennis bemoeilijken. Weick en Sutcliffe (2011, p.64) wijzen hier op het gevaar in kerncentrales waar het risico bestaat dat er een “ingenieurscultuur” ontstaat die meer waarde toekent aan kennis die kwantitatief, meetbaar, hard, objectief of formeel is dan aan de ervaringskennis en de kennis van de weerbarstige realiteit van de uitvoering van de operators. 11. Tegelijkertijd centralisatie en decentralisatie; eenheid en verscheidenheid naast elkaar In HRO’s, worden decentralisatie en centralisatie in een kritiek evenwicht gehouden, vaak door sterke sociale koppeling rond een handvol culturele kernwaarden en losse koppeling van de middelen die nodig zijn om deze waarden te realiseren. Overmatige centralisatie kan lokale beheersing en variatie verzwakken, terwijl overmatige decentralisatie het begrip van
overstijgende bedreigingen en de capaciteit om (re)acties af te stemmen verzwakken (Weick en Sutcliffe, 2011, p.150).
Het thema eenheid en verscheidenheid wordt door Weick en Sutcliffe (2011) in hoofdstuk 6 dieper uitgewerkt. Collectieve opmerkzaamheid vereist een cultuur waarin integratie,
differentiatie en fragmentatie (Weick & Sutcliffe, 2011, hoofdstuk 6) tegelijkertijd en naast elkaar mogen bestaan. Integratie omdat het belangrijk is te weten wat ons bindt aan de organisatie en groep waarvan we deel uitmaken. Differentiatie omdat individuen een eigen rol en
deskundigheid/ vakmanschap hebben, die afwijkt van anderen en verschillende dingen/ aspecten belangrijk gevonden worden. En fragmentatie omdat zelfs in een zelfde rol een individu nog andere zaken kan zien dan een ander individu in dezelfde rol.
Dit stelt eisen aan de wijze van omgang met elkaar, door Weick (2009), Sutcliffe (2012) en Weick & Sutcliffe (2015) benoemt als respectvolle interactie en behoedzame verbondenheid. Respectvolle interactie
Respectvolle interactie is gebaseerd op het kunnen vertrouwen van de informatie van anderen en het vermogen zelf een betrouwbare waarnemer te zijn. Hier spelen op individueel niveau spanningen mee over de plaats in de groep; conformisme versus eigenheid, ‘wie ben ik om het anders te zien?’ en ‘hoe kan ik constructief gebruik maken van verschillen in inzicht’.
Behoedzame verbondenheid
Behoedzame verbondenheid verwijst ernaar dat je je werk als een bijdrage aan het grotere geheel kan zien. Daarvoor is het nodig om in beeld te hebben hoe de bijdragen van jezelf en anderen leiden naar het doel van het ‘systeem’. Onbehoedzaam zijn is simpelweg je werk doen zonder stil te staan bij wat er om je heen gebeurt.
2.5.4. Samenvatting en reflectie
Op basis van (in eerste instantie) een review van bestaande literatuur (Weick, Sutcliffe & Obstfeld, 1999) en daarna o.a. getoetst binnen de Wildland Fire Service van de VS en de gezondheidszorg (Weick & Sutcliffe 2011) formuleren Weick en Sutcliffe het concept High Reliability Organizing: de stabiele mentale processen die horen bij organisaties die naar hoge betrouwbaarheid streven. Hiermee komen ze los van het concept HRO’s, die ze overigens
liever reliability seeking organizations noemen. HRO’s zijn niet 'fout-vrij' maar fouten verlammen hen niet. Hun kracht zit juist in het beter (en eerder) doorgronden van verstoringen en het met meer vertrouwen aanpakken ervan (Weick & Sutcliffe, 2011, p.20). HRO staat voor een collectieve opmerkzaamheid, die ervoor zorgt dat fouten snel ontdekt worden en aangepakt voordat ze tot een crisis escaleren. Daartoe onderscheiden Weick en Sutcliffe (2011) vijf principes;
gerichtheid op verstoringen, zodat verstoringen snel worden opgepikt,
terughoudendheid tot simplificeren, zodat oversimplificatie en daarmee wegredeneren van verstoring wordt voorkomen,
gevoeligheid voor de uitvoering, zodat wat er in het hier en nu aan de hand is centraal staat en niet wat we hadden gedacht of hoe het zou moeten zijn,
toewijding aan veerkracht, zodat mensen niet machteloos zijn als ‘omstandigheden zich niet aan de regels houden’,
respecteren deskundigheid, zodat als er besluiten worden genomen om een crisis te bezweren dit gedaan wordt door de mensen met de meest relevante kennis en ervaring. Deze vijf principes zijn niet van nature aanwezig in organisaties omdat ze vaak om ‘onnatuurlijk’ gedrag vragen, zoals ontkrachting/ ongemak zoeken in plaats van bevestiging. Rond HRO kunnen de volgende spanningen gezien worden:
• Collectieve opmerkzaamheid is alleen te creëren door ‘onnatuurlijk’ handelen meer aandacht besteden aan falen dan aan successen
afzien van recepten en vuistregels, voorkeur geven aan het wiel opnieuw uit te vinden uitvoering verkiezen boven strategie en visie
beter zijn in reageren dan in anticiperen
erkennen dat een ander meer kan weten dan jezelf • Routines mogen niet leiden tot gedachteloosheid • Plannen geven structuur maar ook blinde vlekken
• Fouten zijn meestal systeemfouten en niet persoonsfouten (blameer cyclus) • Zie menselijke feilbaarheid onder ogen
• Geen nieuws is slecht nieuws i.p.v. geen nieuws is goed nieuws • Waan van de centraliteit (zowel top down als bottom up) • Overdraagbaarheidsbeperkingen, kennis van horen zeggen • Bevestiging zoeken is natuurlijk, variëteit zorgt voor ongemak. • Efficiency en redundantie (overkwalificatie is zo slecht nog niet) • Beroepstrots en overmoed
• Cultuur van eenheid en verscheidenheid
• Menselijke feilbaarheid en menselijke veerkracht beiden belangrijk
HRO is vanaf 1999 ontwikkeld in de kring rond Weick met vooral een sociaal psychologische insteek. Iets later in de tijd ontwikkelde zich parallel aan HRO een groep veiligheidskundigen (vooral vanuit de cognitieve psychologie) die zich met vergelijkbare problemen bezig hield. Deze groep verbond zich rond het thema Resilience Engineering, het onderwerp van de volgende paragraaf.
2.6. Resilience Engineering 2.6.1. Inleiding
Resilience Engineering ontstaat als onderzoeksonderwerp rond het begin van deze eeuw. Een vroege referentie waarin het begrip gehanteerd wordt, is een conferentie onder de titel Resilience Engineering in oktober 2004 in Zweden. Organisatoren zijn Hollnagel, Woods en Leveson die ook de redacteuren zijn van Resilience Engineering, Concepts and Precept (Hollnagel, Woods & Leveson, 2006) dat verschenen is naar aanleiding van deze conferentie18. De deelnemers (veelal veiligheidsdeskundigen) aan deze conferentie kwamen met name uit de lucht- en ruimtevaart, railtransport en gezondheidszorg. Hun insteek was veelal onderzoek naar Human Factors.
2.6.2. Concepten
Voor een beschrijving van Resilience Engineering is een definitie van het concept noodzakelijk. De groep hanteert de volgende definities:
“Resilience is the intrinsic ability of a system to adjust its functioning, prior to or following changes and disturbances, so that it can sustain operations even after a major mishap or in the presence of continuous stress.
A resilient system, where a system can be anything from an individual to a global socio-technical organisation, must have the following three abilities:
The ability to respond, quickly and efficiently, to regular disturbances and threats. The ability continuously to monitor for irregular disturbances and threats, and to
revise the basis for the monitoring when needed.
The ability to anticipate future changes in the environment that may affect the system’s ability to function, and the willingness to prepare against these changes even if the outcome is uncertain.
Resilience engineering provides the methods by which a system’s resilience can be gauged or measured, and the means by which a system’s resilience can be improved”19.
Centrale thematiek binnen Resilience Engineering
De centrale vraag binnen Resilience Engineering (RE) is de omgang met de human factor. Dekker (2002, p.372) stelt dat in het gebied human factor twee verschillende visies bestaan op menselijke fouten en de menselijke bijdrage aan ongevallen. De eerste visie die Dekker ‘de oude visie’ noemt, ziet menselijke fouten als de oorzaak van falen. In de oude visie op menselijke fouten;
- zijn menselijke fouten de oorzaak van de meeste ongevallen,
- zijn de ontworpen systemen waarbinnen mensen werken in hun basis veilig,
- komt belangrijkste bedreiging van de veiligheid voort uit de inherente onbetrouwbaarheid van mensen,
- kan voortgang in veiligheid worden geboekt door deze systemen te beschermen tegen onbetrouwbare mensen door selectie, procedures, automatisering, training en discipline. De tweede visie die Dekker ‘de nieuwe visie’ noemt, ziet menselijke fouten niet als een oorzaak, maar als een symptoom van falen. In de nieuwe visie op menselijke fouten;
- Is een menselijke fout een symptoom van een dieperliggend probleem binnen het systeem, - Is veiligheid niet inherent aan systemen, systemen zelf bevatten tegenstrijdigheden tussen
meerdere doelen, die mensen tegelijkertijd moeten nastreven, - moeten mensen veiligheid creëren,
- Zijn menselijke fouten systemisch verbonden aan eigenschappen van mensen, hulpmiddelen, taken en werkomgeving,
- Komt vooruitgang op het gebied van veiligheid door het begrip en het beïnvloeden van deze verbindingen.
Vanuit het dominante veiligheidsparadigma (de oude visie) is lang gezocht naar het beperken van menselijke variatie in anderszins veilige systemen. De aanname hierachter is dat veiligheid, mits ingesteld, kan worden behouden door menselijk handelen te dwingen zich binnen
voorgeschreven grenzen te bewegen (Dekker, 2007a, p.182).
Hollnagel (2010) geeft aan dat de visie op opereren achter RE (theorie Z) is dat in een
complexe niet volledig te specificeren werkelijkheid, de variatiemogelijkheden, die de mensen in het functioneren van een systeem brengen, juist wenselijk zijn. De mens is daarmee de
succesfactor voor betrouwbaar opereren.
19 Ontleend aan http://www.resilience-engineering.org/faq.htm d.d. 4-9-2009
Tabel 2.4.
Aannames achter visie op foutloos opereren van organisaties (bewerkt uit Hollnagel, 2010)
Theorie W Theorie Z
Systemen zijn goed ontworpen en tip top
onderhouden Mensen leren ontwerptekorten en tegenstrijdigheden op te vangen
Procedures zijn compleet en correct Mensen passen hun werk aan, aan de vragen die eraan worden gesteld
Mensen handelen zoals verwacht en hen
geleerd is Mensen interpreteren en passen procedures toe toegesneden op de situatie Ontwerpers voorzien en anticiperen op alle
omstandigheden Mensen ontdekken en corrigeren als zaken fout lopen
Mensen zijn faalfactor Mensen zijn succesfactor
Dit contrasteert met de visie (theorie W) dat de mens de belangrijkste faalfactor in organisatie is. In de praktijk zijn er managers die er van overtuigd zijn dat het mogelijk is systemen goed te ontwerpen en te onderhouden, procedures compleet en correct te laten zijn, omdat ontwerpers op alle omstandigheden anticiperen. Onder deze omstandigheden dienen mensen zich te gedragen zoals het systeem van hen verwacht en hen geleerd is. Helaas zijn mensen onvoorspelbaar en daarmee een faalfactor.
Voorwaarden voor de mens als succesfactor zijn; dat hij begrijpt wat de redenen zijn om te variëren, wat het doel van het systeem is en wat de consequenties van afwijkingen zijn. Dit betekent dat regels in organisaties een noodzakelijke maar onvoldoende voorwaarde zijn voor het effectief functioneren van organisaties. Een organisatie waarin alleen gewerkt wordt volgens de letter van de regelgeving zal immers weinig effectief zijn (ambtenaren protesteren via stiptheidsacties).
Als het creëren van veiligheid gaat over hoe mensen leren van en zich aanpassen aan meervoudige doelen, gevaren en compromissen sluiten, levert nader onderzoek op dat de meeste verhalen over fouten tonen dat falen meestal veroorzaakt wordt door falende aanpassingen in het omgaan met complexiteit. De volgende patronen komen in het omgaan met complexiteit en aanpassingen aan de orde:
- Uitvoerenden en organisaties zijn continu bezig hun benadering van het werk vast- en bij te stellen in een poging om gevoelig te blijven voor de mogelijkheid van falen. Inspanning om veiligheid te creëren zijn met andere woorden, continu. Hierin niet succesvol zijn, is gerelateerd aan de grenzen van de huidige competenties en geeft in een lerende organisatie het ontdekken van deze grenzen aan.
- Strategieën, die uitvoerenden en organisaties onderhouden om om te gaan met de
potentiële wegen tot falen, zijn of sterk en veerkrachtig (d.w.z. goed afgestemd), of zwak en fout (d.w.z. slecht afgestemd),
- Organisatie en de mensen daarbinnen kunnen ook overmoedig zijn in hoe goed hun strategieën afgestemd zijn. Effectieve organisaties blijven alert op tekens dat
omstandigheden bestaan of zich ontwikkelen, waarin dit vertrouwen fout of misplaatst is. Dit kan beperkte interpretaties van risico’s en het verschralen van tegenmaatregelen
voorkomen.
Ook stellen Hollnagel en Woods (2006, p.347) dat veiligheid geen vaststaande
systeemeigenschap is. Daarom vinden Hollnagel en Woods dat alleen de potentiële veerkracht kan worden gemeten, niet veerkracht zelf. Veiligheid wordt vaak uitgedrukt in termen van betrouwbaarheid, gemeten als de kans dat een bepaalde functie of component zal falen onder specifieke omstandigheden. Het is echter niet voldoende dat systemen betrouwbaar zijn en dat de kans op falen lager is dan een bepaalde waarde. Systemen dienen ook veerkrachtig te zijn en de mogelijkheid te hebben om te herstellen van irreguliere variaties, storingen en
2
2.6.2. Concepten
Voor een beschrijving van Resilience Engineering is een definitie van het concept noodzakelijk. De groep hanteert de volgende definities:
“Resilience is the intrinsic ability of a system to adjust its functioning, prior to or following changes and disturbances, so that it can sustain operations even after a major mishap or in the presence of continuous stress.
A resilient system, where a system can be anything from an individual to a global socio-technical organisation, must have the following three abilities:
The ability to respond, quickly and efficiently, to regular disturbances and threats. The ability continuously to monitor for irregular disturbances and threats, and to
revise the basis for the monitoring when needed.
The ability to anticipate future changes in the environment that may affect the system’s ability to function, and the willingness to prepare against these changes even if the outcome is uncertain.
Resilience engineering provides the methods by which a system’s resilience can be gauged or measured, and the means by which a system’s resilience can be improved”19.
Centrale thematiek binnen Resilience Engineering
De centrale vraag binnen Resilience Engineering (RE) is de omgang met de human factor. Dekker (2002, p.372) stelt dat in het gebied human factor twee verschillende visies bestaan op menselijke fouten en de menselijke bijdrage aan ongevallen. De eerste visie die Dekker ‘de oude visie’ noemt, ziet menselijke fouten als de oorzaak van falen. In de oude visie op menselijke fouten;
- zijn menselijke fouten de oorzaak van de meeste ongevallen,
- zijn de ontworpen systemen waarbinnen mensen werken in hun basis veilig,
- komt belangrijkste bedreiging van de veiligheid voort uit de inherente onbetrouwbaarheid van mensen,
- kan voortgang in veiligheid worden geboekt door deze systemen te beschermen tegen onbetrouwbare mensen door selectie, procedures, automatisering, training en discipline. De tweede visie die Dekker ‘de nieuwe visie’ noemt, ziet menselijke fouten niet als een oorzaak, maar als een symptoom van falen. In de nieuwe visie op menselijke fouten;
- Is een menselijke fout een symptoom van een dieperliggend probleem binnen het systeem, - Is veiligheid niet inherent aan systemen, systemen zelf bevatten tegenstrijdigheden tussen
meerdere doelen, die mensen tegelijkertijd moeten nastreven, - moeten mensen veiligheid creëren,
- Zijn menselijke fouten systemisch verbonden aan eigenschappen van mensen, hulpmiddelen, taken en werkomgeving,
- Komt vooruitgang op het gebied van veiligheid door het begrip en het beïnvloeden van deze verbindingen.
Vanuit het dominante veiligheidsparadigma (de oude visie) is lang gezocht naar het beperken van menselijke variatie in anderszins veilige systemen. De aanname hierachter is dat veiligheid, mits ingesteld, kan worden behouden door menselijk handelen te dwingen zich binnen
voorgeschreven grenzen te bewegen (Dekker, 2007a, p.182).
Hollnagel (2010) geeft aan dat de visie op opereren achter RE (theorie Z) is dat in een
complexe niet volledig te specificeren werkelijkheid, de variatiemogelijkheden, die de mensen in het functioneren van een systeem brengen, juist wenselijk zijn. De mens is daarmee de
succesfactor voor betrouwbaar opereren.
19 Ontleend aan http://www.resilience-engineering.org/faq.htm d.d. 4-9-2009
Tabel 2.4.
Aannames achter visie op foutloos opereren van organisaties (bewerkt uit Hollnagel, 2010)
Theorie W Theorie Z
Systemen zijn goed ontworpen en tip top
onderhouden Mensen leren ontwerptekorten en tegenstrijdigheden op te vangen
Procedures zijn compleet en correct Mensen passen hun werk aan, aan de vragen die eraan worden gesteld
Mensen handelen zoals verwacht en hen
geleerd is Mensen interpreteren en passen procedures toe toegesneden op de situatie Ontwerpers voorzien en anticiperen op alle
omstandigheden Mensen ontdekken en corrigeren als zaken fout lopen
Mensen zijn faalfactor Mensen zijn succesfactor
Dit contrasteert met de visie (theorie W) dat de mens de belangrijkste faalfactor in organisatie is. In de praktijk zijn er managers die er van overtuigd zijn dat het mogelijk is systemen goed te ontwerpen en te onderhouden, procedures compleet en correct te laten zijn, omdat ontwerpers op alle omstandigheden anticiperen. Onder deze omstandigheden dienen mensen zich te gedragen zoals het systeem van hen verwacht en hen geleerd is. Helaas zijn mensen onvoorspelbaar en daarmee een faalfactor.
Voorwaarden voor de mens als succesfactor zijn; dat hij begrijpt wat de redenen zijn om te variëren, wat het doel van het systeem is en wat de consequenties van afwijkingen zijn. Dit betekent dat regels in organisaties een noodzakelijke maar onvoldoende voorwaarde zijn voor het effectief functioneren van organisaties. Een organisatie waarin alleen gewerkt wordt volgens de letter van de regelgeving zal immers weinig effectief zijn (ambtenaren protesteren via stiptheidsacties).
Als het creëren van veiligheid gaat over hoe mensen leren van en zich aanpassen aan meervoudige doelen, gevaren en compromissen sluiten, levert nader onderzoek op dat de meeste verhalen over fouten tonen dat falen meestal veroorzaakt wordt door falende aanpassingen in het omgaan met complexiteit. De volgende patronen komen in het omgaan met complexiteit en aanpassingen aan de orde:
- Uitvoerenden en organisaties zijn continu bezig hun benadering van het werk vast- en bij te stellen in een poging om gevoelig te blijven voor de mogelijkheid van falen. Inspanning om veiligheid te creëren zijn met andere woorden, continu. Hierin niet succesvol zijn, is gerelateerd aan de grenzen van de huidige competenties en geeft in een lerende organisatie het ontdekken van deze grenzen aan.
- Strategieën, die uitvoerenden en organisaties onderhouden om om te gaan met de
potentiële wegen tot falen, zijn of sterk en veerkrachtig (d.w.z. goed afgestemd), of zwak en fout (d.w.z. slecht afgestemd),
- Organisatie en de mensen daarbinnen kunnen ook overmoedig zijn in hoe goed hun strategieën afgestemd zijn. Effectieve organisaties blijven alert op tekens dat
omstandigheden bestaan of zich ontwikkelen, waarin dit vertrouwen fout of misplaatst is. Dit kan beperkte interpretaties van risico’s en het verschralen van tegenmaatregelen
voorkomen.
Ook stellen Hollnagel en Woods (2006, p.347) dat veiligheid geen vaststaande
systeemeigenschap is. Daarom vinden Hollnagel en Woods dat alleen de potentiële veerkracht kan worden gemeten, niet veerkracht zelf. Veiligheid wordt vaak uitgedrukt in termen van betrouwbaarheid, gemeten als de kans dat een bepaalde functie of component zal falen onder