Formaggio svizzero
A cosa serve
Serve dopo un guaio, quando si cerca il colpevole. James Reason mostrò che un incidente non passa mai da un buco solo: passa quando i buchi di tutte le difese si allineano nello stesso momento. Guardare le fette una dietro l'altra sposta la domanda da «chi ha sbagliato» a «quali difese avevano un buco proprio lì».
Le difese, dalla prima all'ultima
Si ferma su: Controllo automatico
Quello che scrivi resta su questo browser e non viene inviato da nessuna parte.
Una difesa senza buchi non esiste: se una fetta ne ha zero, quasi sempre vuol dire che non è stata guardata abbastanza da vicino. La domanda utile non è come eliminare i buchi, è se due difese vicine abbiano i buchi nello stesso punto, perché in quel caso la seconda non sta aggiungendo niente alla prima.
Domande frequenti
Come si usa questo modello
Da dove viene il modello del formaggio svizzero?
Dallo psicologo britannico James Reason, che lo propose nel 1990 studiando gli incidenti nei sistemi complessi. È diventato lo schema di riferimento nella sicurezza aerea e in quella sanitaria, dove serve proprio a spostare l'indagine dall'errore della singola persona alle condizioni che lo hanno reso possibile.
Che cosa sono i buchi nelle fette?
Sono i casi in cui quella difesa non funziona: il controllo che viene saltato quando si va di fretta, la revisione fatta da chi ha scritto il codice, l'allarme che nessuno guarda di notte. I buchi si spostano nel tempo, ed è per questo che una difesa che ha retto per anni può cedere all'improvviso.
Quante difese servono?
Non è il numero che conta ma la loro indipendenza. Quattro controlli fatti dalla stessa persona nello stesso momento sono una difesa sola disegnata quattro volte: hanno gli stessi buchi negli stessi punti. Due difese che falliscono per ragioni diverse valgono più di cinque che falliscono insieme.
D'où vient le modèle du fromage suisse ?
Du psychologue britannique James Reason, qui l'a proposé en 1990 en étudiant les accidents dans les systèmes complexes. C'est le cadre de référence en sécurité aérienne et hospitalière, où il déplace l'enquête de l'erreur d'une personne vers les conditions qui l'ont permise.
Que sont les trous dans les tranches ?
Ce sont les cas où cette défense ne fonctionne pas : le contrôle sauté dans l'urgence, la revue faite par celui qui a écrit le code, l'alerte que personne ne regarde la nuit. Les trous se déplacent, et une défense qui a tenu des années peut céder d'un coup.
Combien de défenses faut-il pour dormir tranquille ?
Ce n'est pas le nombre qui compte mais leur indépendance. Quatre contrôles faits par la même personne au même moment sont une seule défense dessinée quatre fois, avec les mêmes trous aux mêmes endroits.