ANALISI PRELIMINARE SUI FATTORI UMANI E ORGANIZZATIVI

Transcript

1 ANALISI PRELIMINARE SUI FATTORI UMANI E ORGANIZZATIVI DEL DISASTRO DELLA NAVE COSTA CONCORDIA. Prof. Maurizio Catino maurizio.catino@unimib.it (Report in progress Aprile 2012) Abstract: Questo rapporto (in progress) analizza i fatti relativi all incidente della nave Costa Concordia occorso il 13 gennaio Sulla base delle conoscenze (provvisorie e limitate) sin qui disponibili metterà in evidenza come si sia trattato di un incidente organizzativo, generato da errori umani e organizzativi a diversi livelli. L incidente è stato caratterizzato da due fasi distinte, seppur fortemente interconnesse: 1. la fase che ha condotto all incidente; 2. la fase del crisis management, dal momento dell incidente (21.45 circa) fino al termine dei soccorsi. Il report si focalizza sul punto 1 (la fase che ha condotto all incidente) 1. L obiettivo dell analisi non è di individuare colpe e responsabilità, ma di evidenziare i fattori organizzativi che hanno favorito l evento. INDICE 1. OSSERVAZIONI PRELIMINARI: SULLA NATURA DEGLI INCIDENTI ORGANIZZATIVI 2. ANALISI DEI FATTORI UMANI E DEI FATTORI ORGANIZZATIVI 2.1 LA TIMELINE DELL EVENTO 2.2 IL LIVELLO INDIVIDUALE: LE AZIONI INSICURE (ERRORI E VIOLAZIONI) 2.3 I FATTORI LATENTI: IL LIVELLO ORGANIZZATIVO E INTERORGANIZZATIVO LA PRATICA DELL INCHINO: DRIFT TO DANGER E LA NORMALIZZAZIONE DELLA DEVIANZA 2.4 IL LIVELLO INTERORGANIZZATIVO 3. CONCLUSIONI: IL DISASTRO DEL CONCORDIA È UN TIPICO INCIDENTE ORGANIZZATIVO 4. RIFERIMENTI BIBLIOGRAFICI 5. NOTA SULL AUTORE 1. OSSERVAZIONI PRELIMINARI: SULLA NATURA DEGLI INCIDENTI ORGANIZZATIVI 1.1. Gli incidenti nelle organizzazioni complesse non possono essere attribuiti ad una singola causa, anche se sono stati, per lungo tempo, spiegati come un fallimento della tecnologia, o un errore da parte degli operatori. Ciò che accomuna tali spiegazioni è l'attribuzione di ogni responsabilità dell'incidente non all'organizzazione e alle sue pratiche di funzionamento, ma al più comodo capro espiatorio: l'errore umano. Tuttavia, quando accade un evento come il disastro della nave Concordia, è tutta l organizzazione che fallisce: il management della nave, il sistema di gestione del rischio e della sicurezza della compagnia, il sistema dei controlli. Non soltanto alcuni degli operatori a più stretto 1 Ha collaborato alla redazione Chiara Magni. 1

2 contatto col compito anche se, in questo caso, sembrano aver mostrato particolare negligenza. L analisi dei maggiori disastri organizzativi ha dimostrato, infatti, la rilevanza dei fattori organizzativi nell eziologia di tali eventi (Perrow, 1999; Weick, 1990; Vaughan, 1996; Turner and Pidgeon, 1997; Reason, 1997; Snook, 2000; CAIB 2003; Catino 2010). Le cause prossime di un incidente sono il prodotto di sottostanti cause organizzative. Il rapporto d inchiesta sull incidente dello Space Shuttle Columbia (1 febbraio CAIB 2003) aveva evidenziato che molte inchieste sugli incidenti commettono lo stesso errore nella definizione di cause. Tendono a concentrarsi prevalentemente sulla persona che ha commesso l errore o la componente tecnica che non ha funzionato adeguatamente. Quando le catene causali sono limitate a difetti tecnici e fallimenti individuali, le risposte conseguenti volte a prevenire un evento simile in futuro sono ugualmente limitate: hanno lo scopo di risolvere il problema tecnico e sostituire o riqualificare la persona responsabile. Tali modifiche comportano l erronea convinzione, potenzialmente disastrosa, che il problema di fondo sia stato risolto. Occorre che l indagine sugli incidenti, come quello della nave Concordia non commetta questi errori. Occorre indagare i fattori organizzativi che hanno favorito il disastro, oltre l errore umano certamente presente - e/o il fallimento tecnico. Gli incidenti organizzativi si verificano entro sistemi tecnologici complessi (come ad esempio, il traffico aereo) che operano in condizioni potenzialmente pericolose in cui ci sono -o ci dovrebbero essere- più strati di barriere e difese interposte tra i pericoli conosciuti o prevedibili e le potenziali vittime, le attività rischiose, i danni (Reason, 1997). Tali disastri si verificano come il risultato di diversi fattori connessi a diversi livelli del sistema. Questi, in combinazione con trigger locali, aprono una finestra di estrema vulnerabilità, consentendo così ai rischi di penetrare le debolezze (o mancanze) delle difese del sistema La dinamica di un incidente organizzativo è rappresentata schematicamente dal modello raffigurato nella figura 1. Il modello prevede tre livelli interconnessi che generano un evento incidentale: il livello individuale e i fattori latenti articolati in livello organizzativo e livello interorganizzativo Livello individuale: comprende gli atti insicuri (errori involontari e violazioni procedurali) commessi da coloro che sono a più stretto contatto con il compito e che attivano l incidente Fattori latenti: sono delle lacune delle difese, debolezze o assenze che si presentano come il risultato di precedenti decisioni effettuate dai progettisti, costruttori, regolatori e gestori. Tali debolezze esistono in tutti i sistemi complessi pericolosi, perché i decisori non possono prevedere tutti i possibili scenari di incidenti. Si articolano in: 2

3 - Livello organizzativo: comprende i fattori organizzativi critici prodotti nel corso del tempo da processi organizzativi e di gestione dell'organizzazione. Questi fattori comprendono: il management e i processi decisionali, l allocazione delle responsabilità e delle competenze, la divisione del lavoro, il sistema locale di coordinamento e controllo, la tecnologia e le interfacce uomo macchina, la formazione, la comunicazione, le procedure in uso, i processi organizzativi, il sistema degli incentivi, le debolezze nelle difese del sistema, le pressioni temporali. Livello Interorganizzativo - Controllo - Regolazione - Difese Fattori latenti Livello individuale (errori, violazioni, decisioni, fattori psicologici, ecc.) Incidente Livello organizzativo - Condizioni che inducono all errore - Condizioni che inducono alla violazione - Management - Cultura organizzativa - Sistemi di incentivazione - Figura 1 - Il modello sistemico di analisi degli incidenti organizzativi (basato su Reason 1997 e modificato in Catino 2010). - Livello interoganizzativo: questo livello fa riferimento all ambiente in cui opera l organizzazione, attiene a fattori e organizzazioni esterne all organizzazione coinvolta, ma dai quali fattori dipendono molte delle decisioni ed azioni dell organizzazione in esame. Fanno parte di questo livello, i regolatori, i produttori di norme e standard, le organizzazioni che realizzano le certificazioni, le organizzazioni controllanti, i produttori di tecnologia, ecc. I fattori latenti possiedono due proprietà importanti: in primo luogo, i loro effetti sono di solito più duraturi rispetto a quelli creati dai fallimenti attivi (errori e violazioni). In secondo luogo, sono presenti all'interno del sistema prima di un evento avverso e possono essere rilevati ed eliminati prima che possano causare danni. Data la loro rilevanza, i fattori latenti dovrebbero costituire l obiettivo primario di un sistema di gestione della sicurezza, in quanto, se non individuati ed eliminati, tali fattori possono creare le precondizioni per un incidente. I fattori latenti sono creati, talvolta involontariamente, dal management dell organizzazione. La misura in cui il management, 3

4 in quanto creatore delle condizioni latenti, possa essere ritenuto, almeno in parte, responsabile di un successivo incidente, dipende strettamente dalla misura in cui le conseguenze negative associate ai fattori latenti erano prevedibili (o era stato previsto) ed il management era in grado di rimuoverle. 2. ANALISI DEI FATTORI UMANI E DEI FATTORI ORGANIZZATIVI In questo paragrafo, sulla base delle informazioni sinora disponibili, analizzeremo il ruolo dei fattori umani e dei fattori organizzativi contribuenti alla genesi e alla dinamica del disastro. 2.1 La timeline dell evento Ora Luogo Azione Commento Porto di Civitavecchia Si esegue la normale procedura di controllo della nave (check list) prevista sempre prima della partenza. Viene controllato il piano di viaggio, il radar e l ecoscandaglio. Poi si verifica il pescaggio della nave e i sistemi di navigazione presenti in plancia. Anche il Dipartimento Macchina provvede alla propria check list di partenza. Altri controlli effettuati: apparati di governo (timoni e pompe), regolare funzionamento delle bussole e allineamento con le ripetitrici, funzionamento del radar, inserimento dei dati di viaggio nell AIS e prova degli altri strumenti di navigazione. Non viene riscontrata nessuna anomalia nei sistemi di navigazione. I generatori e le macchine principali funzionano regolarmente Il comandante chiede al cartografo di pianificare una rotta che consenta una navigazione turistica nei pressi dell Isola del Giglio: usciti da Civitavecchia rotta vera 302, al traverso dell isola di Giannutri rotta vera 278, in prossimità del Giglio accostata a dritta per rotta vera 334, in modo da transitare mezzo miglio ad est dalla secca delle Scole. Sul sistema di cartografia elettronico integrato al radar viene caricata la variazione di rotta che prevedeva due waypoint (punti di accostata) che distavano 0,5 miglia dalla costa del Giglio (mentre la rotta originaria prevedeva una distanza di 3 miglia). Questo passaggio inizialmente era stato previsto per il 6 gennaio, ma a causa del mare mosso era stato rimandato alla settimana successiva. Il comandante approva la nuova rotta e guardando i punti di accostata indica al cartografo un punto più a sud delle secche, manifestando la volontà di passare più a sud dei waypoint, senza però apportare alcuna modifica alla rotta pianificata. Sempre nel tardo pomeriggio il Tre ore prima dell incidente si decide di praticare la navigazione turistica (violazione delle regole di prudenza marinaresca) 4

5 comandante contatta telefonicamente il restaurant manager per invitarlo in plancia alle circa: in questo modo avrebbe avuto una miglior visuale del passaggio in prossimità dell isola, mentre normalmente assisteva all inchino dalla sala ristorante La Costa Concordia parte da Civitavecchia con a bordo 4231 persone e si dirige verso Savona. La nave stava seguendo una crociera ciclica su base settimanale, con una rotta che fino al mese di novembre prevedeva un passaggio a ponente dell isola del Giglio, ad una distanza di diverse miglia (per effettuare lo scarico delle acque grigie fuori dal Santuario dei Cetacei) Il comandante, che fino a quel momento aveva assunto il comando della navigazione, lascia questo compito al primo ufficiale di coperta, e prima di abbandonare la plancia ordina di essere chiamato dal secondo ufficiale di guardia quando si fossero trovati a 6 miglia dal Giglio, impostando sulla cartografia elettronica una linea visibile. L allievo chiama Compamare Civitavecchia per fornire i dati di partenza relativi alla navigazione. Dopo qualche minuto il governo del timone passa da manuale a track pilot modalità course, che consente alla nave di seguire una rotta impostata dall ufficiale di guardia. La Concordia naviga con questa modalità fino alle Il team è consapevole dell inchino che sarà fatto Viene impostata la rotta a 302. A questo punto si passa alla navigazione integrata, che consente alla nave di eseguire un piano di viaggio preimpostato Viene effettuato il cambio della guardia, che passa all ufficiale in seconda, il quale viene informato della variazione della rotta e gli viene comunicato di avvisare il comandante a 6 miglia dal primo waypoint. In plancia sono presenti come guardia normale dalle alle 24.00: il primo ufficiale di coperta che stava affiancando il primo ufficiale in vista del cambio che sarebbe avvenuto a Savona, il timoniere, l allievo di coperta e il terzo ufficiale di coperta Il primo ufficiale ordina al timoniere di navigare in modalità manuale e di raggiungere e mantenere una rotta di 290 con una velocità di 15 nodi Il primo ufficiale chiama la guardia di macchina per informarlo che avrebbero ridotto la velocità per effettuare l inchino, in modo da permettergli di gestire meglio il bilancio termico. Circa alla stessa ora il restaurant manager telefona a sua madre che Anche il personale di macchina è consapevole dell inchino 5

6 abita al Giglio, per annunciarle che anche oggi la nave sarebbe passata vicino alla costa per salutare l isola Il primo ufficiale chiama il comandante, che ha appena finito di cenare e gli comunica che sono a 6,5 miglia dal primo waypoint. Il comandante arriva in plancia e poco dopo giungono anche il restaurant manager e l hotel director, che vogliono vedere il passaggio davanti all isola del Giglio. Alcuni testimoni riferiscono che in plancia ci sono estranei. Dopo che il primo ufficiale inizia ad accostare, il comandante assume la titolarità della guardia. Sulla plancia l atmosfera è rilassata: il mare è calmo e tutti chiacchierano tranquillamente Il restaurant manager telefona a Mario Terenzio Palombo, un ex comandante della Costa Crociere molto conosciuto e gli comunica che la nave sta deviando la rotta per far vedere a lui e ai passeggeri l isola del Giglio. Poi gli passa l hotel director per un saluto e infine il comandante, che gli chiede informazioni sul fondale adiacente al Giglio, specificando che vuole passare a 0,4 miglia marine (circa 800 metri, che è una distanza di sicurezza). Palombo risponde che i fondali sono buoni e che in questo momento non si trova al Giglio. Altre persone non coinvolte nella conduzione della nave sono presenti in plancia e informate di quello che si sta per fare. Anche un ex comandante (Palombo) viene informato dell inchino : impatto In realtà il comandante pensa di essere distante circa 0,28 miglia dallo scoglio più vicino, ma non si accorge che c è uno scoglio più spostato verso il mare. Il comandante ordina al timoniere di accostare con 10 di barra a dritta fino alla rotta di 310 e un minuto dopo, accorgendosi del pericolo, grida Hard to starboard ( tutta barra a dritta ). Tuttavia a causa dell elevata velocità la parte poppiera a sinistra della nave scivola verso la costa e avviene l impatto con le Scole, un gruppo di rocce affioranti. Il comandante prosegue la manovra. Nessun operatore interviene, si limitano ad avvisare o a parlare tra di loro. Errore di valutazione da parte del comandante. Da capire il ruolo del team presente in plancia di comando. 2.2 IL LIVELLO INDIVIDUALE: LE AZIONI INSICURE (ERRORI E VIOLAZIONI) L innesco dell incidente sembra essere stato causato da un mix di: (1) una violazione (intenzionale, anche se non malevola), e da (2) un errore (involontario). Le violazioni di per sé non hanno la volontà di danneggiare le persone, ma quando si combinano con gli errori, possono diventare fatali. Le violazioni ripetute (di routine) costituiscono una grave minaccia alla sicurezza, in quanto possono favorire la 6

7 commissione di errori, difficili da recuperare. Come nel caso del disastro della nave traghetto Herald of Free Enterprise 2 accaduto a Zeebrugge (Belgio), nel marzo del La nave viaggiava con le porte di prua aperte, per facilitare le operazioni di carico e scarico delle autoveicoli e dei passeggeri, senza dover aspettare la fuoriuscita dei gas combusti. Tutto ciò in contravvenzione con le normative di navigazione e la prudenza marinaresca. La nave si capovolse subito dopo aver lasciato il porto, quando l acqua entrò all interno del settore auto, sbilanciando il suo assetto intrinsecamente instabile. Morirono 193 persone. La dirigenza della compagnia aveva in precedenza rifiutato una richiesta di installare luci di allarme sul ponte, che avrebbero avvisato del portellone ancora aperto, per motivi economici. Queste vennero successivamente installate su altre navi della flotta, per poche centinaia di sterline. Nel caso del disastro della nave Concordia, si è trattato di (1) una violazione di routine delle regole di prudenza marinaresca. La violazione è costituita dall inchino, ovvero la deviazione di rotta di una nave da crociera per avvicinarsi alla costa, la cui ripetizione nel tempo favorisce un senso di overconfidence in chi la pratica che può portare a sottovalutare i rischi e sopravvalutare le capacità di gestione. Diverse sono le motivazioni che favoriscono le violazioni, ad esempio (Reason 1997): un modo di lavorare più facile, risparmiare tempo, ottenere il lavoro svolto, rispettare le scadenze. Nel caso della pratica dell inchino le motivazioni possono essere: finalità promozionali e di marketing e, per il comandante e il gruppo di comando, maggiore emozione, mostrare skill, apparire macho. Derogando dalla rotta prevista, il limite oggettivo da rispettare si trasforma in un limite soggettivo da sfidare per chi comanda la nave. L assenza di costi e/o di sanzioni ne favorisce il ripetersi. Nel fare violazioni di questo tipo, si genera negli operatori un illusione di poter controllare la situazione ( io sono in grado di gestirlo ), un illusione di invulnerabilità, di superiorità ( io sono molto competente ). In un clima aziendale di consenso e di incentivi, come il post sul sito della società Costa Crociere nel quale si ringraziava il comandante della Costa Concordia coinvolto nel disastro, per un precedente inchino in altro luogo. Sulle brochure della Compagnia, si pubblicizzavano gli avvicinamenti ravvicinati alla costa, anche se a distanze ben superiori di quella del disastro della nave Concordia. A quel punto, il comportamento deviante diventava la norma, in un processo di normalizzazione della devianza (Vaughan 1996). Su questo punto torneremo più avanti. Si tratta di una violazione pianificata (alle ore ), circa tre ore prima dell incidente. Il comandante (forse dopo aver disattivato i sistemi di allarme di bordo, sonoro e visuale dato da verificare) procede con la navigazione manuale, avendo come strumenti di supporto: il radar, l ecoscandaglio, le mappe informatiche, il rilevamento a vista, quest ultimo reso difficile dalle condizioni (era notte con ridotta luminosità sull isola). Quel giorno il comandante credeva di navigare ad una distanza di 0,28 miglia (circa Sheen, Mr Justice (1987). MV Herald of Free Enterprise. Relazione della Corte di formale investigazione No Londra: Dipartimento dei Trasporti. 7

8 metri) dallo scoglio più prossimo alla riva, ma dall analisi dei dati AIS è emerso che in realtà distava solo 150 metri dalla costa. Invece il 14 agosto 2011, in occasione di un altro passaggio davanti all isola del Giglio, la Concordia guidata da un altro comandante transitava a 230 metri dalla riva. E interessante notare che nelle due circostanze la velocità della nave in prossimità delle Scole è molto simile: il 14 agosto la Concordia viaggia a 14,5 nodi, mentre il 13 gennaio a circa nodi. (2) All interno di una violazione di routine accade un errore, involontario. Il comandante ha commesso un errore di tipo slip (scivolamento dell attenzione), in particolare un mancato rilevamento di un oggetto - lo scoglio -, un caso di falso negativo. L aspettativa gioca un ruolo molto forte in questo tipo di errori (il comandante riteneva che lo scoglio fosse in altro luogo), in una situazione di perdita della situational awareness e di mindless, di scarsa attenzione. Come ha affermato Ludwig Wittgenstein (1953) La nostra aspettativa anticipa l'evento. In questo senso, essa prepara un modello dell'evento Nell'aspettativa, la parte che corrisponde alla ricerca nello spazio, è il dirigere l'attenzione Se io mi aspetto di vedere rosso, allora io mi preparo per il rosso. E da ritenere che la mindlessness del comandante e degli ufficiali abbia giocato un ruolo decisivo nel ridurre la situational awareness a ognuno dei due livelli. La presenza di altre persone in plancia di comando, le conversazioni non orientate esclusivamente al compito rischioso da effettuare, l uso del cellulare, ecc. hanno certamente contribuito a ridurre il livello d attenzione, individuale e collettivo, richiesto dalla situazione. La situational awareness ha tre fonti: 1) il mondo esterno, 2) gli strumenti di bordo disponibili (principalmente il radar con raggio di scansione sul piano orizzontale, e l ecoscandaglio che ispeziona sul piano verticale), 3) gli altri colleghi. Data l ora e le condizioni quella sera, lo scoglio non era facilmente visibile, quindi la situational awareness era resa possibile solo dagli ultimi due elementi. E da capire se gli strumenti non abbiano funzionato come dovuto o se, piuttosto, non siano stati opportunamente consultati. Una possibile ipotesi, da verificare, è che vi sia anche stata un illusione ottica, favorita dalla ridotta situational awareness 3. Potrebbe essersi trattato di un illusione ottica dovuta alla percezione di profondità (ossia alla distanza tra la nave e la costa). Di notte, con scarsa visuale e con poche luci visibili dalla costa del Giglio (era gennaio) i punti di riferimento per stimare la distanza tra la nave e l isola a occhio nudo erano molto scarsi. L'unico segnale era la parallasse di movimento 4, cioè lo spostamento laterale dei punti 3 Ringrazio il prof. Fabrizio Bracco, dell università di Genova per avermi segnalato questo aspetto. 4 Con parallasse di movimento si intende il movimento apparente di oggetti stazionari nel nostro campo visivo. Gli oggetti si dispongono diversamente nello spazio in funzione di come noi ci muoviamo rispetto a loro. Tale disposizione ci fornisce continuamente indicazioni della relazione in profondità che esiste fra questi elementi e, inoltre, alcuni elementi sembreranno avere un movimento più lento rispetto ad altri, come accade ad esempio con il paesaggio in treno. Gli oggetti vicini sono percepiti con più parallasse (errore di valutazione dovuto ad un angolo visuale con cui si osservano le cose). Girando la testa di lato gli oggetti più 8

9 luminosi (es. le case o l illuminazione comunale) sulla costa dovuti al movimento della nave. In assenza di altri elementi di riferimento, non era possibile capire se i punti si muovevano lateralmente a una certa velocità perché la nave procedeva ad andatura elevata o perché era troppo vicina alla riva. A causa della velocità sostenuta e del passaggio molto prossimo all isola, è possibile che l equipaggio presente in plancia abbia percepito la velocità di movimento laterale delle luci sulla costa non come un segno della loro vicinanza eccessiva, ma come il risultato di una velocità di crociera elevata. E un aspetto che, tuttavia, merita ulteriori approfondimenti. Tali errori e fallimenti sono sempre possibili, ma una cosa è se tali errori e fallimenti accadono in zone sicure, al largo, un altra è se accadono in zone vicine alla costa, dove le possibilità di recupero della situazione sono rese impossibili dall inerzia e dalla limitata mobilità della nave ( GRT di stazza lorda; lunghezza: 290,2 metri, altezza: 52 metri; larghezza: 35,50 m.). Non era la prima volta che il comandante effettuava un passaggio ravvicinato all isola del Giglio, ma l abitudine ed un eccessiva overconfidence nelle proprie capacità, potrebbero aver condotto il comandante ad una serie di errori che hanno poi innescato l incidente. Innanzitutto, come detto in precedenza questa manovra è stata fatta di sera, con il mare calmo ma davanti ad un isola poco illuminata, dal momento che a gennaio è quasi deserta. Inoltre quel giorno in plancia insieme al comandante c erano anche il restaurant manager e l hotel directory, che di norma non dovrebbero essere sul ponte di comando e che probabilmente, chiacchierando, hanno disturbato la manovra del comandante, che sembra stesse parlando al telefono, con un conseguente calo dell attenzione. E come se un pilota di un aereo, durante una fase delicata come l atterraggio in condizioni meteo non ottimali, fosse intento non solo a gestire tale pericolosa fase, ma anche ad intrattenere passeggeri ed amici presenti nel cockpit, comportamento assolutamente vietato. Questo potrebbe spiegare il motivo per cui il comandante ha creduto che lo scoglio fosse più lontano, compiendo un errore di tipo slip (si è confuso). Tale evento è tuttavia indicatore di un clima professionale in plancia di comando certamente singolare e non rispettoso delle regole di sicurezza. Appare plausibile affermare che l insieme di persone operanti in plancia di comando non abbia operato come un team affidabile, secondo le regole e i principi del Crew Resource Management 5 (CRM), un sistema di formazione ben noto in altri contesti lavorativi, nei quali l'errore vicini sembrano muoversi più velocemente dalla nostra parte, mentre quelli lontani sembrano allontanarsi da noi (Chialastri 2011). 5 Utilizzato principalmente per migliorare la sicurezza del trasporto aereo, il CRM si concentra sulla comunicazione interpersonale, la leadership, il team work, il processo decisionale nella cabina di guida. Nato in ambito aerospaziale (con la NASA nel 1979), il CRM è stato poi adottato in diversi settori e organizzazioni tra cui vigili del fuoco (per migliorare la consapevolezza della situazione sul fireground) ed anche la nautica, dove il CRM viene indicato come BRM, Bridge Resource Management. 9

10 umano può avere effetti devastanti. E da capire se il comandante ed il team siano stati precedentemente addestrati o meno ad operare secondo tali principi. L atteggiamento del comandante potrebbe essere dovuto ad una can-do attitude: i successi passati nell effettuare gli inchini generano la convinzione che si ripeteranno nel futuro. Ciò rende, da un lato, più difficile individuare i limiti di tali azioni (fino a quanti metri dalla costa si può arrivare?) e, dall altro, riluttanti le persone che si dimostrano contrarie a segnalare il problema (non possiamo farlo; ci stiamo avvicinando troppo). In particolare, in situazioni di pressioni commerciali ed assenza di controlli significativi, come vedremo più avanti. Anni di successi nella pratica degli inchini, contribuiscono a creare tale pericolosa credenza. Sembra esservi stato, quindi, un atteggiamento eccessivamente positivo che può aver portato il comandante a sopravvalutare le proprie abilità, spingendolo ad avvicinarsi eccessivamente alla costa, ad una velocità elevata (15-16 nodi), per dare un ulteriore prova della sua bravura, in una condizione di bassa consapevolezza della reale situazione. 2.3 I FATTORI LATENTI: IL LIVELLO ORGANIZZATIVO E INTERORGANIZZATIVO Se l incidente è stato generato da un mix di errori (involontari) e di violazioni (volontarie anche se non malevole), è ai fattori organizzativi che occorre guardare per poter comprendere adeguatamente la genesi e la dinamica di questo disastro. Non si è trattato di un incidente imprevedibile, accaduto come un fulmine a ciel sereno, ma, piuttosto, tale incidente ha avuto un lungo periodo di incubazione, durante il quale vi sono stati molti segnali di pericolo inascoltati, un fallace sistema di gestione del rischio, un sistema dei controlli poco attivo. LA PRATICA DELL INCHINO: DRIFT TO DANGER E LA NORMALIZZAZIONE DELLA DEVIANZA Il termine inchino è un espressione giornalistica utilizzata per indicare il passaggio ravvicinato di una nave in prossimità di un isola o di una zona di particolare interesse paesaggistico, compiendo una deviazione rispetto alla rotta normalmente seguita. Questa pratica è definita da alcuni navigazione turistica, dal momento che spesso viene effettuata dalle navi adibite al trasporto di persone allo scopo di intrattenere i turisti e di salutare con tre fischi di sirena gli abitanti delle isole o della terraferma, che accolgono in maniera festosa il passaggio di queste navi. L ex comandante Mario Terenzio Palombo (2008, p. 148) scrive: «La mattina del 1 ottobre, alle 9.00, si partì per Civitavecchia. Qui era prevista una cena di gala per tutti gli agenti di Roma e dintorni: ci attendevano oltre 1000 ospiti. Era uno scalo che avrei preferito non fare. Avevo espresso la mia contrarietà quando l allora responsabile dell ufficio operativo, l ingegner Pippo Costa me lo aveva proposto molto tempo prima. Gli avevo precisato che poteva essere uno scalo a rischio in quanto la nave per entrare in porto doveva evoluire nel bacino in prossimità dell imboccatura, evitare le 10

11 secche, retrocedere per oltre 600 metri a marcia indietro. [ ] L ingegner Pippo Costa, che aveva molta fiducia in me e nella mia esperienza, mi disse che era importante la nostra entrata nel porto di Civitavecchia, e che, in caso di cattivo tempo, quella serata sarebbe stata in seguito programmata a Genova». Sin dagli anni Cinquanta, alcuni comandanti salutavano parenti ed amici, anche se non con passaggi così ravvicinati. Ad esempio, in quel periodo, le navi transitavano nelle acque della penisola di Sorrento in onore dell Armatore Achille Lauro, che si affacciava dalle terrazze della sua villa di Massa Lubrense e rispondeva al saluto sventolando un fazzoletto. L inchino si è poi diffuso ed è diventato un usanza della gente di mare per rendere omaggio ai propri compaesani. E una pratica condivisa dai comandanti con gli equipaggi, una specie di rito.tuttavia all inizio le navi erano più piccole, quindi questi passaggi erano più agevoli. Poi questa tradizione è stata tramandata alle navi da crociera moderne, di dimensioni più grandi, come si legge nel libro di Mario Terenzio Palombo, che l 1 ottobre 1993 era alla guida della Costa Romantica: «La sera verso le ebbi l opportunità di passare davanti al porto dell Isola del Giglio, rallentare sensibilmente la velocità, illuminare tutta la nave, transitare molto rasente alla costa e salutare con tre lunghi fischi la mia isola. Era la prima volta che una nave così grande, l ammiraglia della flotta Costa e della flotta italiana, passava così vicino e salutava la popolazione che subito era accorsa sul molo attratta dalle luci e dai fischi» (pag. 149). E questo l inizio della pratica dell inchino, nel senso di passaggio ravvicinato alla costa, il primo ottobre del Sempre nel libro di Palombo, si possono trovare altri esempi di questi avvicinamenti: domenica 3 ottobre 1993 a Camogli (a circa 300 metri dalla costa, riferendosi alla casa di riposo di Camogli: sembra di toccarla con mano, p. 150). In altre occasioni la navigazione nel canale di Venezia davanti a Piazza San Marco e il 25 luglio 1996 il transito vicino all isola del Giglio con la Costa Victoria. Moltissime sono le altre testimonianze che dimostrano come l inchino fosse una pratica conosciuta e tollerata. I verbali relativi al naufragio della Costa Concordia hanno infatti rivelato che molti membri dell equipaggio sapevano che i comandanti delle navi da crociera tendono a passare in prossimità delle isole (Sergio Iuorio, ufficiale elettricista). Appare piuttosto chiaro come l organizzazione fosse non solo consapevole degli inchini, ma che ne incentivasse la pratica per finalità commerciali e di marketing, sia verso i clienti (a bordo) che quelli potenziali (sulla costa). Come già affermato, il 14 agosto 2011 la nave Concordia effettua un inchino ravvicinato all isola, solo che alla guida c era un altro comandante. Se si confrontano le rotte seguite dalla stessa nave il 14 agosto 2011 e il 13 gennaio 2012, si vede come quasi coincidano. Tuttavia le circostanze che hanno portato ad effettuare l inchino sono diverse: il 13 gennaio si trattava di una cortesia ; invece il 14 agosto questo saluto sembra esser stato programmato dalla Compagnia a scopo pubblicitario. Di particolare interesse al 11

12 riguardo, la lettera di ringraziamento che il Sindaco del Giglio Ortelli invia al comandante Costa Crociere Massimo Garbarino, al Comando della Costa Concordia, in occasione di quel passaggio, e la risposta che il comandante ha inviato a tutta la comunità gigliese. Scrive il sindaco Ortelli: «Egregio Comandante Massimo Calisto Garbarino, dopo l'incredibile spettacolo di ieri sera, con il passaggio della supernave Concordia davanti a Giglio Porto, non potevo esimermi dall'inviarle un messaggio di compiacimento a nome di tutta la nostra comunità, compresi i graditi ospiti turisti, omaggiati da questo importante evento. Grazie all'intercessione dell'amico carissimo Mario Palombo, storico comandante della Costa Crociere, abbiamo assistito ad uno spettacolo unico nel suo genere, diventato un'irrinunciabile tradizione di cui ne sono onorato e per questo motivo mi faccio interprete di ringraziamento personale a Lei ed al suo equipaggio pregandola estendere la nostra riconoscenza anche alla Costa Crociere che oramai da anni premia in questo modo un'isola tra le più belle del panorama insulare nazionale. Spero vivamente di averla un giorno ospite dalle nostre parti, naturalmente previo accordo con Mario, insostituibile ed autorevole sostenitore isolano. Cordiali saluti Sergio Ortelli». Risponde il Comandante Garbarino «Signor Ortelli buona sera, mi scuso per il ritardo nel rispondere alla sua graditissima lettera. E' ormai la seconda volta che effettuo il passaggio di fronte all'isola del Giglio nel mese di agosto con la Costa Concordia. Era stata una meravigliosa esperienza tre anni addietro, ed è stata altrettanto emozionante quest'anno. Ieri sera, transitando di fronte al porto, ho potuto notare le migliaia di flash delle macchine fotografiche, e si potevano anche vedere i numerosi turisti che hanno assistito al passaggio, grazie anche alla pubblicità che avete fatto su GiglioNews. Il passaggio è stato pubblicizzato anche a bordo della nostra nave, ed erano molti gli ospiti sui ponti esterni a godersi questo evento speciale. La vostra è un isola meravigliosa, proprio come piacciono a me, piccole, e che ho avuto modo di "visitare" dall'alto grazie alla tecnologia di internet. E' un piccolo paradiso che spero di poter visitare nei prossimi anni, e sono convinto che me ne innamorerò, grazie anche ai racconti del comune amico Mario. E' stato un evento bellissimo, e spero possa divenire anche per noi di bordo, una tradizione da continuare. Nell'augurare ogni bene e prosperità alla vostra comunità, colgo l'occasione di porgere i miei più cordiali saluti Massimo Calisto Garbarino». Queste parole sono confermate dal comandante Palombo, che afferma che il 14 agosto 2011 l inchino era stato programmato dalla Compagnia, d accordo con il Sindaco del Giglio. Inoltre, si possono trovare su internet molti video di passaggi ravvicinati effettuati gli anni precedenti a Stromboli, Ischia, Procida e altre coste, non solo dalle navi della Costa Crociere, ma anche da quelle di altre Compagnie, come la MSC Splendida a Marina di Cassano (vicino a Sorrento) nel luglio 2011 e in un altra occasione un altra nave MSC nello Stretto di Messina. 12

13 L evento dell agosto 2011, così come gli altri accaduti sia all isola del Giglio che in altri luoghi, invece di essere considerati come estremamente pericolosi e da non ripetere, venivano considerati positivamente dall organizzazione, con encomi e ringraziamenti. E chiaro che in questo clima, aderire alla pratica dell inchino non era un comportamento deviante ma normale. Una situazione paradossale di normalizzazione della devianza. La normalizzazione della devianza 6 è un processo che genera una costante erosione delle normali procedure, in cui piccole violazioni e irregolarità vengono accettate e tollerate. In assenza di incidenti queste deviazioni si normalizzano, diventano la prassi. Il risultato finale è una situazione di slittamento verso il pericolo senza esserne pienamente consapevoli (vedi figura 2). Fig. 2 Il modello Drift to danger (Rasmussen e Svedung 2000) Tale processo produce i seguenti effetti negativi: danneggia la cultura della sicurezza; sposta i confini di sicurezza (verso la costa) senza soffermarsi sul perché i limiti originari (la rotta prevista) erano stati posti; aumenta la tolleranza nei confronti degli errori che non generano danni; aumenta il livello di accettazione dei rischi a favore degli interessi legati all efficienza e alla produttività; conduce il sistema della sicurezza in uno slippery slopes, un pendio scivoloso, nel quale gli incidenti sono sempre più possibili. 6 Il termine fu introdotto da Diane Vaughan (1996) a proposito dell incidente dello Shuttle Challenger accaduto nel

14 Deviando dalla rotta sicura per fare l inchino, si entra in un area di rischio, non sempre adeguatamente controllata, nella quale le modalità di gestione dipendono prevalentemente dal fattore umano e dalla strumentazione tecnica a disposizione. Possono verificarsi due fattori: il primo è che l overconfidence del gruppo di comando sposti sempre di più la linea verso la costa, aumentando i pericoli; il secondo è che in queste situazioni diventa difficile correggere eventuali errori umani sempre possibili. La figura 3 riproduce quanto accaduto la sera del 13 Gennaio 2012, ma in realtà, costituisce un pattern comune a tutti gli inchini. Fig. 3 Il modello drift to danger del caso Concordia e l area di rischio Drift to danger, indica i lenti, costanti, movimenti incrementali delle attività operative, come la navigazione turistica, verso ed anche oltre i confini di sicurezza del sistema. In queste situazioni si entra in un area di rischio dove, come detto, i limiti oggettivi da rispettare (la rotta di sicurezza) diventano limiti soggettivi da sfidare. Gli inchini costituiscono dei segnali di pericolo che, pur essendo noti, venivano incentivati (anche se non nella forma estrema manifestatasi la notte del 13 gennaio 2012) e tollerati dai sistemi di controllo (le Capitanerie di porto e la guardia costiera). Tutto ciò evidenzia una cultura della sicurezza dell organizzazione lacunosa, che non solo non si accorge dei rischi di una pratica pericolosa come l inchino, ma la tollera e la incentiva. Il tutto in un sistema dei controlli fallace. Dal punto di vista normativo, non esisteva una legge che vietasse esplicitamente l inchino; infatti il decreto anti-inchino è stato firmato dai ministri dell ambiente e dell economia soltanto dopo il disastro (Marzo 2012). Questo costituisce una criticità a livello interorganizzativo, in quanto, pur in presenza di una pratica conosciuta, essa non era regolamentata. Vi erano limiti alla velocità: l art. 6 della Legge del 17 dicembre 1977 n recita: Ogni nave deve sempre procedere a velocità di sicurezza in modo da poter 14

15 agire in maniera appropriata ed efficiente per evitare abbordaggi e poter essere arrestata entro una distanza adeguata alle circostanze ed alle condizioni del momento. Un aspetto di rilievo delle criticità a livello interorganizzativo attiene alle Capitanerie di Porto, e alle funzioni di controllo del traffico marittimo, della disciplina della navigazione marittima e della sicurezza della navigazione. Il secondo ufficiale di coperta nel verbale d interrogatorio afferma che prima della partenza la guardia del turno precedente al suo avrebbe dovuto inviare alle Capitanerie di Porto di Roma l ARES: un messaggio in codice che contiene i dati del viaggio che la nave effettua, compresi i waypoint (che in questo caso erano a 0,5 miglia dalla costa, una deviazione rispetto alla distanza prevista di 3 miglia), per questo ritiene che le Capitanerie fossero informate dell accostata. Un altra testimonianza è quella del comandante Mario Terenzio Palombo: A me risulta che dal 2007 al 2011 i saluti ravvicinati ad andatura ridotta (velocità 5 nodi circa) al Giglio concordati con la Capitaneria di Porto e la Società Armatrice sono stati quattro (dal verbale d interrogatorio). Inoltre sulla Concordia era installato l AIS, il Sistema di Identificazione Automatica obbligatorio per tutte le navi di stazza lorda superiore ad un certo peso, che permette di rilevare la rotta, la velocità e la posizione del natante, consentendo così alle autorità marittime di controllare costantemente il movimento delle navi. Sembra quindi che anche le Capitanerie fossero a conoscenza dei passaggi ravvicinati e che li tollerassero. In una situazione in cui, i controllori non effettuano i controlli, i controllati possono spostarsi progressivamente verso aree di rischio. 3. CONCLUSIONI: IL DISASTRO DEL CONCORDIA È UN TIPICO INCIDENTE ORGANIZZATIVO L incidente della nave Costa Concordia mostra tutte le caratteristiche di un incidente organizzativo. L incidente non è stato un evento random, anomalo, imprevedibile, ma piuttosto esso sembra avere origine dalla storia dell organizzazione e dalla sua cultura della sicurezza, all interno di un sistema dei controlli fallace. Il disastro della nave Costa Concordia è stato un incidente organizzativo con numerose similitudini con altri disastri accaduti in altri settori (Linate, Challenger, Columbia, ecc.). L innesco dell evento è stato il mix di violazione di routine (inchino) e errori (di valutazione), in un clima psicologico di overconfidence. La normalizzazione della devianza riguardo i comportamenti poco sicuri come gli inchini, l assenza di regolazione e controllo hanno portato ad una costruzione collaborativa dell errore. Occorre, dunque, spostare l attenzione dall errore individuale (certamente presente) all errore collettivo e organizzativo. Il grafico della figura 4 presenta i diversi fallimenti occorsi a livello individuale, organizzativo ed interorganizzativo. L incidente è stato caratterizzato da un periodo di incubazione (la pratica ripetuta dell inchino) durante il quale i segnali di pericolo non venivano annotati, anzi, 15

16 erano incentivati. Il sistema dei vincoli e dei controlli non ha funzionato come avrebbe dovuto, favorendo involontariamente - la creazione nel tempo di un ampia zona di pericolo e di un tipo di condotta che violava le regole di prudenza marinaresca, derogando alla discrezionalità del comandante la distanza dalla costa per l avvicinamento. Livello Interorganizzativo - Assenza di controlli efficaci - Norme e regolazione inefficaci Difese Fattori latenti Livello individuale- gruppo - violazione (inchino) - errore (di valutazione) Incidente Livello organizzativo - Condizioni che inducono alla violazione: incentivi e tolleranza - Pressioni commerciali - Condizioni che inducono all errore: overconfidence - No applicazione principi di Bridge Resource Management - Assenza di un sistema di risk management - Cultura della sicurezza critica - Nessuna segnalazione di pericoli per tali tipi di condotta Fig. 4 Il modello sistemico di analisi: i fattori individuali e organizzativi del disastro E in questo clima che nasce l incidente, certamente acuito dallo stile di gestione del comandante e dalla fase 2 (qui non analizzata) della mancata e ritardata gestione della crisi. Tuttavia, per capire la seconda è alla prima che occorre guardare. Non ci si può limitare ai soli fattori umani (l errore scatenante) o al fallimento tecnico ma, come è accaduto per l investigazione di altri disastri (Shuttle Columbia vedi rapporto CAIB 2004; disastro aereo di Linate vedi rapporto ANSV 2004), è necessario investigare in profondità i fattori organizzativi e sistemici che sono alla base di tale disastro, e la (inadeguata) cultura organizzativa della sicurezza 7. La cultura della produzione caratterizzata dalla can-do attitude degli inchini, con incentivi ad affrontare rischi e in un clima di tolleranza da parte dei controllori, prevaleva sulla cultura della sicurezza (tenere il sistema nei margini di sicurezza). Il mix di normalizzazione della devianza e cultura della produzione hanno favorito un processo decisionale fallace, all interno del quale un errore umano (inevitabile prima o poi) ha condotto al disastro. 7 La cultura organizzativa si riferisce ai valori di base, alle norme, alle credenze e alle pratiche che caratterizzano il funzionamento di una particolare organizzazione. Al livello di base, la cultura organizzativa definisce le assunzioni che i lavoratori fanno su come svolgere il loro lavoro, essa definisce il modo in cui facciamo le cose qui. La cultura organizzativa è una forza potente che persiste sia alle riorganizzazioni, sia quando vanno via persone chiave dell organizzazione. 16

17 Se ci si concentra troppo da vicino sulle azioni rischiose in prima linea, o se si critica solo la fase della gestione dell emergenza, si corre il rischio di non accorgersi del fatto che si è trattato del risultato di un incidente organizzativo in cui emergono criticità e mancanze nel sistema del controllo delle operazioni di navigazione. Si è trattato di un disastro annunciato in quanto conforme alle norme in uso nell organizzazione. Il sistema non era tenuto all interno dei vincoli di sicurezza, come sarebbe stato necessario, ma veniva spinto in un area di rischio, senza ascolto, monitoraggio, né apprendimento dai segnali di pericolo. Si è trattato di un disastro evitabile in quanto caratterizzato da un periodo di incubazione e da una finestra di recupero, un periodo di tempo tra la manifestazione dei potenziali rischi (gli avvicinamenti pericolosi alla costa) e il disastro del Concordia. Una finestra di recupero non opportunamente utilizzata dal management dell organizzazione e dal suo sistema di risk management. Il disastro della nave Concordia sembra non esser stato il risultato di un problema isolato, di un errore umano, ma il sintomo di più profondi e ampi problemi organizzativi e di regolazione, come: - l incapacità dell organizzazione di tenere entro i limiti di sicurezza le navi, - un errato sistema di incentivi, - un inadeguata cultura della sicurezza, - un sistema dei controlli critico. *** A seguito di questo grave incidente, sarebbe necessario avviare un processo di analisi del sistema del trasporto marino e delle sue criticità, come è accaduto dopo un grave incidente aereo successo in Canada. Nel marzo del 1989, un aereo di linea stava decollando dall'aeroporto di Dreyden in Ontario ma, a causa di un problema con il deicing (la procedura necessaria per eliminare il ghiaccio e la neve dalle ali), si schiantò poco dopo il decollo. L incidente aereo, a prima vista, aveva tutte le caratteristiche di un semplice incidente determinato dall errore del pilota. L aereo era decollato in condizioni climatiche avverse, senza attendere che le ali si sghiacciassero, precipitando un chilometro dopo la pista di decollo a causa dell accumulazione di giaccio sulle ali. Fu costituita una commissione presieduta dal giudice della Corte Suprema Virgil P. Moshansky che, dal principio, rifiutò spiegazioni semplicistiche che attribuissero ogni colpa al pilota (fino ad allora era la spiegazione dell'80% degli incidenti aerei) e volle integrare la commissione con un team multidisciplinare composto da piloti, esperti di human factors e ingegneri, per individuare le cause dell'incidente. Il giudice Moshansky interpretò in modo esteso il suo mandato: «il mandato di questa commissione era di investigare uno specifico incidente aereo e di produrre raccomandazioni nell'interesse della sicurezza aerea. Nel compiere questo mandato, è necessario condurre un'analisi critica dei piloti, dell'air Ontario, del Transport Canada e dell'ambiente nel quale questi elementi interagivano... Io ho adottato un approccio basato sulla system-analysis, con enfasi sulla performance umana» (Moshansky 1992, XXV). 17

18 Dopo venti mesi di lavoro l'incidente venne interpretato in termini molto distanti dalle ipotesi originarie, poiché furono individuate le criticità organizzative a ogni livello, unitamente ai fattori latenti che avevano reso possibile l'incidente. «Il sistema aveva operato efficacemente, ogni fattore [le varie cause] avrebbe potuto essere identificato e corretto prima che divenisse significativo? Verrà dimostrato che questo incidente è stato il risultato di un fallimento del sistema di trasporto aereo nella sua interezza» (Moshansky 1992, pp. 5-6). Moshansky concludeva il rapporto affermando: «Il pilota in comando prese una decisione sbagliata, ma la decisione non fu presa in solitudine. Essa fu presa nel contesto di un sistema del trasporto aereo integrato che, se avesse funzionato correttamente, avrebbe potuto evitare la decisione di decollare ci furono significativi fallimenti, molti dei quali andavano oltre il controllo del capitano, che ebbero un impatto operativo sugli eventi di Dreyden le componenti regolatorie, organizzative, fisiche e dell'equipaggio devono essere analizzate per determinare come ognuna di queste possa aver influenzato la decisione del capitano» (Moshansky 1992, 1102). Vennero formulate 191 raccomandazioni per migliorare la sicurezza del traffico aereo, proprio partendo dalle procedure per il de-icing. L'analisi di Moshansky rappresenta la prima applicazione istituzionale di un approccio sistemico e organizzativo all'investigazione degli incidenti aerei. L'indagine fu innovativa perché adottò un approccio sistemico e organizzativo all'incidente, perché aveva anche una finalità di miglioramento, perché coinvolse esperti di diverse discipline e perché a presiederla fu chiamato un autorevole personaggio del mondo giuridico. Soprattutto l indagine fu innovativa perché non si limitò ad analizzare le fasi ultime dell incidente. Le strategie per evitare che accadano in futuro eventi come quello della nave Costa Concordia devono essere dirette a modificare le condizioni istituzionali ed organizzative che lo hanno reso possibile. Modificando radicalmente le pratiche di management e la cultura della sicurezza dell organizzazione, modificando il sistema di controllo del traffico e trasporto navale. Come ha affermato Reason (2008), il fatto che le condizioni latenti siano situate dappertutto non diminuisce la responsabilità del management nell identificarle e nel correggerle. 18

19 4. RIFERIMENTI BIBLIOGRAFICI ANSV (Agenzia Nazionale per la Sicurezza del Volo), (2004), Relazione d'inchiesta. Incidente occorso agli aeromobili Boeing MD-87 e Cessna 525, Aeroporto di Milano Linate, 8 ottobre 2001, CAIB (Columbia Accident Investigation Board) (2003), Report, Volume One, Washington (DC), National Aeronautics and Space Administration and the Government Printing Office. Catino, M. (2006), Da Chernobyl a Linate. Incidenti tecnologici o errori organizzativi? Milano, Bruno Mondadori (2 edizione). Catino, M. (2010), A multilevel model of accident analysis: The Linate disaster, in Patrick Alvintzi and Hannes Eder (Eds.), Crisis Management, Nova Science Publishers, Inc. Chialastri, A. (2011), Human factors, Roma, IBM. Moshansky, Mr. Justice (1992), Commission of Inquiry into the Air Ontario Crash at Dryden, Ontario, Final Report, Ottawa: Ministry of Supply and Service. Perrow, C. (1999), Normal Accidents: Living with High-Risk Technologies, 2nd ed. New York: Basic Books. Reason, J. (1997), Managing the Risks of Organizational Accidents, Aldershot, Ashgate. Reason, J. (2008), The Human Contribution, Aldershot, Ashgate. Snook, S. A. (2000), Friendly Fire. The Accidental Shootdown of U.S. Black Hawks Over Northern of Iraq, Princeton, N.Y: Princeton University Press, Turner B.A., Pidgeon N. (1997), Man-Made Disasters, Butterworth Heinemann, Oxford (2 nd ed.). Vaughan, D. (1996), The Challenger Launch Decision. Risk Technology, Culture, and Deviance at Nasa, Chicago, The University of Chicago Press. Weick, K. E. (1990), The Vulnerable System: Analysis of the Tenerife Air Disaster, Journal of Management, 16: Altri testi: Palombo, T. (2008), La mia vita da uomo di mare. Da Camogli all Isola del Giglio, dalle navi da carico ai prestigiosi comandi di navi passeggeri, Grosseto, Editrice Innocenti. 19