Formaggio svizzero
A cosa serve
Serve dopo un guaio, quando si cerca il colpevole. James Reason mostrò che un incidente non passa mai da un buco solo: passa quando i buchi di tutte le difese si allineano nello stesso momento. Guardare le fette una dietro l'altra sposta la domanda da «chi ha sbagliato» a «quali difese avevano un buco proprio lì».
Le difese, dalla prima all'ultima
Si ferma su: Controllo automatico
Quello che scrivi resta su questo browser e non viene inviato da nessuna parte.
Una difesa senza buchi non esiste: se una fetta ne ha zero, quasi sempre vuol dire che non è stata guardata abbastanza da vicino. La domanda utile non è come eliminare i buchi, è se due difese vicine abbiano i buchi nello stesso punto, perché in quel caso la seconda non sta aggiungendo niente alla prima.
Domande frequenti
Come si usa questo modello
Da dove viene il modello del formaggio svizzero?
Dallo psicologo britannico James Reason, che lo propose nel 1990 studiando gli incidenti nei sistemi complessi. È diventato lo schema di riferimento nella sicurezza aerea e in quella sanitaria, dove serve proprio a spostare l'indagine dall'errore della singola persona alle condizioni che lo hanno reso possibile.
Che cosa sono i buchi nelle fette?
Sono i casi in cui quella difesa non funziona: il controllo che viene saltato quando si va di fretta, la revisione fatta da chi ha scritto il codice, l'allarme che nessuno guarda di notte. I buchi si spostano nel tempo, ed è per questo che una difesa che ha retto per anni può cedere all'improvviso.
Quante difese servono?
Non è il numero che conta ma la loro indipendenza. Quattro controlli fatti dalla stessa persona nello stesso momento sono una difesa sola disegnata quattro volte: hanno gli stessi buchi negli stessi punti. Due difese che falliscono per ragioni diverse valgono più di cinque che falliscono insieme.
¿De dónde viene el modelo del queso suizo?
Del psicólogo británico James Reason, que lo propuso en 1990 estudiando accidentes en sistemas complejos. Es el marco de referencia en seguridad aérea y sanitaria, donde mueve la investigación del error de una persona a las condiciones que lo permitieron.
¿Qué son los agujeros de las lonchas?
Son los casos en que esa defensa no funciona: el control saltado por las prisas, la revisión hecha por quien escribió el código, la alerta que nadie mira de noche. Los agujeros se mueven, y una defensa que aguantó años puede ceder de golpe.
¿Cuántas defensas hacen falta para estar tranquilo?
No cuenta el número sino su independencia. Cuatro controles hechos por la misma persona en el mismo momento son una sola defensa dibujada cuatro veces, con los mismos agujeros en los mismos sitios.