Rischio e Incertezza nei Sistemi Complessi. La dimensione organizzativa dei rischi

Plenaria Cineas Rischio e Incertezza nei Sistemi Complessi. La dimensione organizzativa dei rischi Maurizio Catino Università di Milano Bicocca maurizio.catino@unimib.it 1

Maurizio Catino Professore di Sociologia dell organizzazione presso la Facoltà di Sociologia dell Università degli Studi di Milano Bicocca. Presidente del corso di laurea in Scienze dell organizzazione. Visiting professor presso il Department of Sociology della New York University. Membro del comitato di Redazione della Rassegna Italiana di Sociologia e di Stato e Mercato. I suoi principali interessi scientifici e professionali riguardano: la gestione dell inaspettato; la miopia organizzativa; le organizzazioni ad alta affidabilità; l error management; l errore umano in medicina e i fattori organizzativi; le culture della sicurezza per la prevenzione degli errori. E autore di numerose pubblicazioni pubblicate sia in Italia che all estero. E stato nominato consulente della Commissione Parlamentare d Inchiesta sugli errori in campo sanitario e dirige il programma di ricerca su sicurezza e fattore umano con l Aeronautica Militare Italiana. Da circa 20 anni svolge attività di consulenza manageriale e formazione. 2

Rischio Vs. Incertezza Rischio: rappresenta una condizione in cui è possibile tracciare una distribuzione di probabilità dei risultati tale da riuscire ad assicurarsi contro tale condizione. E possibile una misurazione quantificabile sulla base di una storia passata sufficientemente lunga Incertezza: un concetto non misurabile sulla base di procedure statistiche. Non è possibile di tracciare tale distribuzione di probabilità Incertezza radicale: incertezza che non può essere trasformata in rischio calcolabile né che può essere sottoposta a valutazioni di tipo statistico-matematico 3

Predictable Surprise Una P.S. è un evento o insieme di eventi che coglie di sorpresa un individuo o gruppo di individui, nonostante la precedente consapevolezza di tutte le informazioni necessarie per anticipare gli eventi e le loro conseguenze E responsabilità dei leader l identificare e evitare le predictable surprise 4

Sorprese prevedibili? Minaccia emergente o problema Sì Sorpresa imprevedibile No Riconoscimento Priorità E stata riconosciuta Sì E stata data priorità No No No Doveva avere priorità? Doveva esser riconosciuta? Sì Sì No Mobilitazione E stata attivata una risposta No Ci si doveva mobilitare? Sì Sì Sì Efficace risposta preventiva Sorpresa prevedibile (Bazerman e Watkins, 2004) 5

o Cigno nero - Bolt from the blue? Rarità, impatto enorme, Prevedibilità retrospettiva (ma non prospettiva) Complessità Incertezza radicale Sistemi non lineari Non-ergodicità 6

Hindsight Bias Before the Accident After the Accident Modified from Richard I. Cook, MD (1997) Maurizio Catino 7

4 Aerei 1 America Airlines Flight 11 (AA 11), da Boston a Los Angeles; si schianta contro 1 WTC North Tower 2 United Airlines Flight 175 (UA 175) da Boston a Los Angeles; si schianta contro 2 WTC South Tower 3 American Airlines Flight 77 (AA 77) da Washington a Los Angeles; si schianta contro il Pentagono 4 United Airlines Flight 93 (UA 93) da Newark a San Francisco; si schianta sul terreno a Shanksville 13

Cosa ci chiediamo? Quanto accaduto l 11Settembre 2001 1. Si sarebbe potuto gestire in modo diverso? 2. Si sarebbe potuto prevedere? 14

Procedure in caso di dirottamento 1. I piloti informano il controllore 2. Il controllore notifica ai supervisori 3. I supervisori informano il Management del Centro di Controllo 4. Il capo del centro informa il Quartier Generale della FAA a Washington 5. Il coordinatore del dirottamento: direttore dell ufficio di Sicurezza dell Aviazione Civile della FAA 6. Il coordinatore FAA del dirottamento chiama il pentagono e chiede la scorta militare per l aereo dirottato 7. Il pentagono chiede l approvazione del Segretario della difesa 8. Se approva, si trasmettano al NORAD gli ordini per la catena di comando 9. Il pentagono aiuta la FAA a coordinarsi con i militari 15

American Airlines Volo 11 AA 11 Boston Los Angeles 7:59 Decollo 8:14 Dopo le ultime comunicazioni radio di routine, i terroristi prendono il controllo dell aereo 8:19 L assistente di volo informa del dirottamento dell AA11 8:21 La torre di controllo perde il segnale 8:23 Il Quartier Generale dell American Airlines tenta di contattare la cabina di pilotaggio 8:25 Il centro di controllo di Boston è consapevole del dirottamento 8:38 Il centro di controllo di Boston informa il Neads [1] del dirottamento 8:46 Il Neads organizza i jet da combattimento della base di Otis in cerca del volo AA11 8:46:40 Il volo AA11 si schianta contro il Wtc (Torre nord) 8:53 I jet da combattimento decollano da Otis 9:16 Al Quartier Generale dell American Airlines comprendono che il volo 11 è quello che si è schiantato sul Wtc 9:21 Il centro di controllo di Boston avvisa il Neads che il volo AA11 è diretto verso Washington 9:24 Il Neads organizza i jet da combattimento della base di Langley in cerca del volo AA11 16

United Airlines Volo 175 (UA 175) Boston Los Angeles 8:14 Decollo 8:42 Ultime comunicazioni radio di routine 8:42-8:46 Probabile presa del controllo dell aereo da parte dei terroristi 8:47 Il segnale di comunicazione dell aereo scompare 8:52 L assistente di volo informa del dirottamento dell UA175 8:54 Il Quartier Generale della United Airlines tenta di contattare la cabina di pilotaggio 8:55 Il centro di controllo di New York sospetta il dirottamento 9:03:11 Il volo UA175 si schianta contro la Torre sud del Wtc 9:15 Il centro di controllo di New York avvisa il Neads che il volo UA175 è il secondo aereo che si è schiantato contro il Wtc 9:20 Al Quartier Generale della United Airlines comprendono che il volo UA175 si è schiantato sul Wtc 17

American Airlines Volo 77 (AA 77) da Washington D. C., a Los Angeles 8:20 Decollo 8:51 Ultime comunicazioni radio di routine 8:51-8:54 Probabile presa del controllo dell aereo da parte dei terroristi 8:54 Il volo AA77 compie una rotazione non autorizzata verso sud 8:56 Il segnale di comunicazione dell aereo scompare 9:05 Il Quartier Generale dell American Airlines è consapevole che il volo AA77 è stato dirottato 9:25 Il centro di Herndon ordina in tutta la nazione il ground stop bloccando cioè tutte le operazioni di decollo 9:32 Dalla torre di controllo di Dulles viene osservato sul radar il movimento dell ultimo aereo (più tardi scopriranno che si trattava dell AA77) 9:34 La Federal Administration Aviation (Faa) avvisa il Neads che il volo AA77 non è rintracciabile 9:37:46 Il volo AA77 si schianta contro il Pentagono 10:30 Il Quartier Generale dell American Airlines conferma che l aereo che si è schiantato contro il Pentagono è il volo AA77 18

Volo United Airlines 93 (UA 93) da Newark a San Francisco 8:42 Decollo 9:24 Il volo UA93 riceve segnalazioni di pericolo dal Quartiere Generale della United Airlines rispetto a possibili intrusioni nella cabina di pilotaggio 9:27 Ultime comunicazioni radio di routine 9:28 Probabile presa del controllo dell aereo da parte dei terroristi 9:34 Il centro di controllo di Herndon avvisa la Faa che il volo UA93 è stato dirottato 9:41 Il segnale di comunicazione dell aereo scompare 9:57 I passeggeri attuano un piano di rivolta 10:03:11 Il volo UA93 si schianta al suolo tra i campi di Shanksville, Pennsylvania 10:07 Il centro di controllo di Cleveland avvisa il Neads del dirottamento del volo UA93 10:15 Al Quartier Generale della United Airlines comprendono che l aereo UA93 si è schiantato in Pennsylvania; il centro di Washington trasmette la notizia al Neads 19

Flight Paths and Timelines Decollo Prima comunicaz. Consapevol. del dirottamento Collisione Consapevol./ collisione AA11 (WtcT. nord) 7:59 8:19 8:25 8:46:40 21 minuti UA175 (WtcT. sud) 8:14 8:52 8:55 9:03:11 8 minuti AA77 (Pentagono) 8:20 / 9:25 9:37:46 12 minuti UA93 (Skanksville) 8:42 / 9:34 10:03:11 29 minuti 20

Procedure in caso di dirottamento 1. I piloti informano il controllore 2. Il controllore notifica ai supervisori 3. I supervisori informano il Management del Centro di Controllo 4. Il capo del centro informa il Quartier Generale della FAA a Washington 5. Il coordinatore del dirottamento: direttore dell ufficio di Sicurezza dell Aviazione Civile della FAA 6. Il coordinatore FAA del dirottamento chiama il pentagono e chiede la scorta militare per l aereo dirottato 7. Il pentagono chiede l approvazione del Segretario della difesa 8. Se approva, si trasmettano al NORAD gli ordini per la catena di comando 9. Il pentagono aiuta la FAA a coordinarsi con i militari 21

2. Si sarebbe potuto prevedere? 22

9/11/2001 I risultati sono pessimi. In molti settori decisivi i progressi sono stati lenti o addirittura inesistenti. Mentre i terroristi si sono evoluti e adattati, noi ci siamo mossi con il passo indolente della burocrazia (J. R. Thomas, National Commissionon Terrorist Attacks) Ciò che abbiamo imparato dall 11 settembre è che non solo non sapevamo che cosa non sapevamo, ma che l FBI non sapeva che cosa sapeva (Sandy Berger, consigliere per la sicurezza dell amministrazione Clinton) 23

The system was blinking red Dal 2001 2001: aumentano le segnalazioni di un attacco terroristico dovunque gli USA abbiano interessi, anche sul proprio territorio Dal 20.01 al 10.09: più di 40 articoli collegati a Bin Laden nel Presidential s Daily Brief Si sospetta in altri paesi: Saudi Arabia, Israel, Kuwait, Yemen, Italia (Roma e Genova) 25 giugno: messaggio televisione araba di importanti sorprese contro USA e Israele 24

The system was blinking red 28 giugno: R. Clarke invia memo a C. Rice del crescente allarme per un possibile attacco in luglio da parte di Bin Laden 2 luglio: FBI invia messaggio allerta estrema agli uffici territoriali per individuare qualsiasi attività sospetta Si teme un attacco spettacolare contro gli USA ma forse in altri paesi 6 agosto: il PDB della CIA specifica di un possibile attacco negli USA (!!) Nonostante l ampio numero, le minacce non specificavano tempo, luogo, metodo e target (p. 262) 25

L arresto di Zacarias Moussaoui: il 20 dirottatore Arrestato nel Minnesota il 17 agosto del 2001 per violazione delle leggi sull immigrazione. Era un allievo che si era iscritto di proprio iniziativa mentre gli allievi che seguono gli addestramenti al volo sui Boeing 747-400 arrivano in genere a gruppi, mandati lì da una compagnia aerea. Aveva pilotato per lo più un Cessna monomotore, eppure avrebbe voluto essere addestrato a pilotare l'aereo più grande della flotta commerciale. 26

Ambiguità Vs. Incertezza AMBIGUITA Ambiguità: le persone sono confuse per un eccesso di interpretazioni Le persone giudicano ambigui gli eventi quando questi sono altamente complessi o paradossali oppure quando appaiono oscuri Si riferisce alla mancanza di chiarezza o di coerenza nella realtà, nella causalità, nella intenzionalità Le situazioni ambigue non si possono codificare in maniera precisa all interno di categorie esaustive ed esclusive L aumentare delle informazioni non riduce l equivocità, ma sono necessari frame interpretativi che possono ridurre l ambiguità INCERTEZZA Incertezza: le persone non possiedono alcuna interpretazione Tre tipi di incertezza di stato (o incertezza ambientale percepita) incertezza dell effetto incertezza della risposta Alti livelli di incertezza possono paralizzare il processo di pianificazione strategica riducendo la possibilità di gerarchizzare le minacce e di intraprendere le azioni di rimedio necessarie A differenza delle situazioni di ambiguità, l aumento delle informazioni può ridurre l incertezza trasformandola in rischio 27

Le aspettative e il sensemaking frame Informazioni sensemaking Momenti socializzati di esperienza passata Provengono dall esperienza in corso (Weick, 1995) 28

Le aspettative e il sensemaking Frame Concezione tradizionale del dirottamento Mancava l idea dell aereo come arma Il dirottamento suicida improbabile Sensemaking Informazioni Gravi minacce agli USA Alcuni islamici fanno corsi per diventare piloti Arresto Z. Moussauoi che faceva un corso per piloti Non ci sono minacce nuove 29

Le agenzie nazionali 30

Le organizzazioni ad alta affidabilità Impianti nucleari Portaerei navali Sistemi finanziari Ospedali Sistemi di controllo aereo Impianti di produzione chimica Piattaforme di trivellazione petrolifera Squadre di soccorso Equipaggi di vigili del fuoco 32

Requisiti di funzionamento organizzativo Efficacia Efficienza Qualità Affidabilità 33

Once upon a time... 35

Now: A complex system 36

Effetto Titanic La gravità con la quale un sistema sbaglia è direttamente proporzionale all'intensità del credo del progettista che ciò non possa accadere Ma nella mia esperienza non sono mai stato coinvolto in un incidente degno di questo nome. Non ho mai visto una nave in difficoltà sulle rotte che ho percorso, non ho mai visto un naufragio né vi sono stato coinvolto io stesso, e neppure sono mai stato trovato in una situazione che minacciasse di trasformarsi in un disastro (E.J. Smith, comandante del RMS Titanic) 37

Due fasi dell incidente 1. La fase che ha condotto all incidente 2. La fase di gestione della crisi (crisis management) 39

Due fasi dell incidente 2. La fase di gestione della crisi (crisis management) 40

E una questione di leadership? 41

Alcune domande? Il comandante ed il team in plancia erano stati addestrati secondo i principi del Bridge Resource Management (CRM) Le procedure di gestione dell emergenza erano note a tutto l equipaggio? Le procedure erano in grado di far fronte ad una situazione di crisi di quel tipo? Gli ospiti conoscevano le procedure? (no) Quali sono i criteri di selezione, formazione e controllo del comandante e dell equipaggio? Facevano delle esercitazioni periodiche, al simulatore ad esempio? 42

Crisis management Per gestire una crisi occorre saper imparare rapidamente. Per imparare rapidamente nel corso della crisi è necessario aver già imparato molto prima. (Lagadec, 1993) 43

Elementi per un piano efficace di risposta alle crisi 1. Un set rappresentativo di scenario planning (lista di potenziali emergenze) 2. Un set flessibile di moduli di risposta 3. Un piano che metta assieme moduli di risposta con gli scenari di crisi 4. La definizione della catena di comando 5. Protocolli di attivazione 6. Luogo di comando e backup 7. Chiari canali di comunicazione 8. Backup delle risorse 9. Periodiche esercitazioni di simulazione 10. Review ragionate post-crisis 44

Due fasi dell incidente 1. La fase che ha condotto all incidente 45

Time-line degli eventi 18.00 Nel porto di Civitavecchia viene eseguita la normale procedura di controllo della nave (check-list). Anche il Dipartimento Macchina provvede alla propria check-list di partenza. 18.27 Il comandante chiede al cartografo di pianificare una rotta che consenta una navigazione turistica nei pressi dell Isola del Giglio. Sul sistema di cartografia elettronico integrato al radar viene caricata la variazione di rotta che prevedeva due waypoint (punti di accostata) che distavano 0,5 miglia dalla costa del Giglio (mentre la rotta originaria prevedeva una distanza di 3 miglia). Il capitano approva la nuova rotta e manifesta la volontà di passare più a sud dei waypoint, senza però apportare alcuna modifica alla rotta pianificata. 18.57 La Costa Concordia parte da Civitavecchia con a bordo 4229 persone e si dirige verso Savona. Circa alla stessa ora, viene trasmesso alla Capitaneria di Porto di Livorno il messaggio ARES, nel quale si comunica che la nave passerà tra l isola d Elba e la costa della Toscana, senza però indicare la deviazione pianificata nei pressi del Giglio. 46

19.15 Il capitano lascia il comando al primo ufficiale di coperta e prima di abbandonare la plancia ordina di essere chiamato dal secondo ufficiale di guardia quando si fossero trovati a 5 miglia dal Giglio. Dopo qualche minuto il governo del timone passa da manuale a track pilot modalità course, che consente alla nave di seguire una rotta impostata dall ufficiale di guardia. 19.45 Viene impostata la rotta a 302. A questo punto si passa alla navigazione integrata, che consente alla nave di eseguire un piano di viaggio preimpostato. 20.00 Viene effettuato il cambio della guardia, che passa all ufficiale in seconda. 21.04 La nave abbandona la rotta pianificata originariamente, per seguire quella impostata dal cartografo. 21.19 Il primo ufficiale chiama il comandante per comunicargli che sono a 6 miglia dal primo waypoint. 21.21 Si riduce la scala del radar 1, in modo tale che lo schermo inquadri un raggio di 6 miglia nautiche. 47

21.34 Il comandante arriva in plancia, dove ci sono già il restaurant manager e l hotel director, che vogliono vedere il passaggio davanti all isola del Giglio. 21.35 Il comandante ordina di passare alla navigazione manuale, servendosi del timoniere. 21.36 Il comandante chiede un CPA (Closest Point of Approach): in questo modo imposta sul radar un cerchio di 0,5 miglia, per individuare gli ostacoli presenti nella zona di riferimento. 21.37 Il restaurant manager telefona a Mario Terenzio Palombo, un ex comandante della Costa Crociere molto conosciuto in ambiente marittimo, e gli comunica che la nave sta deviando la rotta per passare vicino all isola. Poi gli passa l hotel director per un saluto e infine il comandante, che gli chiede se a 0,4-0,3 miglia marine c è acqua; Palombo risponde che i fondali sono buoni. 21.39 Il comandante pronuncia la frase d obbligo per assumere la titolarità della manovra: I take the conn. Nello stesso tempo ordina al timoniere di impostare una rotta di 300 e di raggiungere una velocità di 16 nodi. 48

21.40 Il comandante ordina al timoniere di compiere l accostata dolcemente (con bassi angoli di barra) e di raggiungere i 325 ma il timoniere e il primo ufficiale capiscono un altro numero, così il comandante ripete l ordine. 21.43 Il primo ufficiale fa notare al comandante che la nave sta andando piuttosto veloce, ma il comandante lo ignora. 21.44 e 14 Il comandante si rende conto che le dinamiche evolutive della nave non corrispondono alle sue aspettative, perciò ordina di girare il timone 10 a dritta, pur mantenendo una velocità di 16 nodi, con l intento di accostare velocemente e di andarsene subito 21.44, 44 Il comandante si accorge dello scoglio, così ordina di girare il timone a sinistra per interrompere l accostata. 21.44 Il timoniere confonde la destra con la sinistra, così per 13 secondi procede a dritta; poi si accorge dell errore e cambia direzione. 21.45, 7 La nave entra in collisione con lo scoglio. 49

Violazioni 1. Decisione di transitare a sole 0,5 miglia dalla costa. 2. Inchino pianificato con carte nautiche inadeguate, poiché non segnalavano la presenza di piccoli scogli fuori rotta. 3. Capitaneria e Costa Crociere non sono state informate della variazione di rotta. 4. Ingresso in plancia di soggetti non autorizzati: oltre agli ufficiali c erano il restaurant manager, l hotel director e altri estranei. 5. Quando si passa alla navigazione manuale non viene effettuata la prova di funzionamento del timone. 6. Non viene rinforzata la vedetta ottica: quando il timoniere è stato posto alla giuda del timone non poteva più essere considerato un valido supporto per la guardia, perciò il comandante e il primo ufficiale avrebbero dovuto provvedere a sostituirlo. 7. Uso del telefono cellulare durante l accostata: nonostante le procedure di safety management della Compagnia lo vietassero, il comandante telefona a Palombo per conoscere la profondità dei fondali adiacenti all isola del Giglio. 8. Decisione di avvicinarsi ulteriormente all isola (fino a 0,3 miglia anziché 0,5 miglia) senza un opportuna valutazione dei rischi perché le cartine non erano adeguate. 9. Aumento della velocità fino a 16 nodi, nonostante le regole di safety management della Compagnia prevedessero che con una velocità superiore a 15 nodi si dovesse transitare ad una distanza di almeno 3 miglia dalle coste. 10. Gli ufficiali non sono intervenuti per segnalare la pericolosità della manovra, nonostante uno dei loro compiti sia quello di avvisare il comandante in caso di pericolo. 52

Errori 1. Il Comandante arriva in plancia in ritardo rispetto al tempo che sarebbe stato necessario per: a. abituarsi alla visuale notturna; b. studiare la manovra di avvicinamento; c. effettuare il cambio della guardia. 2. Manovra di avvicinamento al Giglio scorretta: il comandante pianifica una manovra che fa compiere alla nave delle dinamiche evolutive diverse da quelle che si sarebbe aspettato. 3. Ritardo nell avvistamento dello scoglio, che viene notato dal comandante solo un minuto prima dell impatto, a causa delle cartine inadeguate che stava utilizzando e delle condizioni dell ambiente esterno (era notte e c era poca illuminazione). 4. Alle 21.44.21 il Comandante, accorgendosi dell ostacolo, ordina al Timoniere di virare a dritta. In realtà non tiene conto del fatto che una manovra del genere, combinata con la forza del vento e l elevata velocità della nave, avrebbe finito per spingere la poppa nella direzione opposta, facendole urtare lo scoglio. 5. Rendendosi conto dello sbaglio, pochi secondi dopo il comandante ordina di girare il timone a sinistra, solo che il timoniere sbaglia direzione confondendo la destra con la sinistra, perciò va a dritta (=destra).dopo 13 secondi il timoniere si rende conto dell errore e si corregge da solo, però questo sbaglio ha determinato un ritardo nell allontanamento dalla costa. Mistake Mistake Slip Slip Slip 53

AZIONI CHE VIOLANO LA SICUREZZA VIOLAZIONI 1. Decisione di transitare a sole 0,5 miglia dalla costa. 2. Inchino pianificato con carte nautiche inadeguate. 3. L Autorità Marittima e la Compagnia non ERRORI sono state informate della variazione di rotta. 4. Ingresso in plancia di soggetti non autorizzati. 5. Non viene effettuata la prova di funzionamento del timone. 6. Non viene rinforzata la vedetta ottica. 7. Uso del telefono cellulare durante l accostata. 8. Decisione di avvicinarsi ulteriormente all isola senza una corretta valutazione dei rischi. 9. Aumento della velocità. 10. Gli Ufficiali non sono intervenuti. ERRORI 1. Il Comandante arriva in plancia in ritardo (mistake). 2. Manovra di avvicinamento scorretta (mistake). 3. Ritardo nell avvistamento dello scoglio (slip). 4. Ordine di virare a dritta (slip). 5. Il Timoniere sbaglia direzione (slip). 54

La nascita dell inchino delle navi da crociera 1 Ottobre 1993 La sera verso le 22.00 ebbi l opportunità di passare davanti al porto dell Isola del Giglio, rallentare sensibilmente la velocità, illuminare tutta la nave, transitare molto rasente alla costa e salutare con tre lunghi fischi la mia isola. Era la prima volta che una nave così grande, l ammiraglia della flotta Costa e della flotta italiana, passava così vicino e salutava la popolazione che subito era accorsa sul molo attratta dalle luci e dai fischi (pag. 149). 57

Un near miss: 14 agosto 2011 Il 14 agosto 2011 la nave Concordia effettua un inchino ravvicinato all isola (230 metri dalla riva). Al comando c era un altro capitano. Costa Concordia Aug 14 2011.wmv Costa Concordia Gen 13 2012.wmv Il Sindaco del Giglio Ortelli invia una lettera di ringraziamento al Comandante Massimo Garbarino in occasione di quel passaggio, e il Comandante risponde ringraziando tutta la comunità gigliese. Scrive il sindaco Ortelli: "Egregio Comandante Massimo Calisto Garbarino,dopo l'incredibile spettacolo di ieri sera, con il passaggio della supernave Concordia davanti a Giglio Porto, non potevo esimermi dall'inviarle un messaggio di compiacimento a nome di tutta la nostra comunità, compresi i graditi ospiti turisti, omaggiati da questo importante evento. Grazie all'intercessione dell'amico carissimo Mario Palombo, storico comandante della Costa Crociere, abbiamo assistito ad uno spettacolo unico nel suo genere, diventato un'irrinunciabile tradizione di cui ne sono onorato e per questo motivo mi faccio interprete di ringraziamento personale a Lei ed al suo equipaggio pregandola estendere la nostra riconoscenza anche alla Costa Crociere che oramai da anni premia in questo modo un'isola tra le più belle del panorama insulare nazionale. Spero vivamente di averla un giorno ospite dalle nostre parti, naturalmente previo accordo con Mario, insostituibile ed autorevole sostenitore isolano. Cordiali saluti, Sergio Ortelli" 58

Margine di sicurezza Normalizzazione della devianza Area del rischio Inizio della violazione 59

Livello Interorganizzativo - Nessuna regolamentazione dell inchino - Eccessivo potere attribuito al comandante dalla normativa - Assenza di un controllo efficace da parte delle capitanerie. - Limiti della tecnologia (AIS, VTS, ECDIS, GPS) Livello individuale- gruppo Fattori latenti - Passaggio in prossimità della costa - Uso di cartine non adeguate -.Ingresso in plancia di soggetti non autorizzati - Uso del telefono cellulare durante l accostata - Aumento della velocità. - Gli ufficiali non intervengono per segnalare i pericoli. - Ritardo nell avvistamento dello scoglio. - Ordine di virare a dritta - Il timoniere sbaglia direzione. Difese Incidente Livello organizzativo - Condizioni che inducono alla violazione: incentivi e tolleranza - Pressioni commerciali - Condizioni che inducono all errore: overconfidence - Groupthinking - No applicazione principi di Bridge Resource Management - Assenza di un sistema di risk management - Cultura della sicurezza critica - Nessuna segnalazione dei pericoli per tali tipi di condotta (Catino 2013) 60

Il modello del Formaggio Svizzero Errori attivi Elevata velocità. Errore di valutazione Overconfidence Normativa inadeguata Capitanerie di Porto Tecnologia Incidente Reason, 2002 Sistema di regolazione carente Pressioni commerciali Mancato apprendimento... Tolleranza per le violazioni Mostrare abilità Pressioni commerciali Marketing Errori latenti 61

Quale Risk Management? 62