ISO 45001 e la Filosofia di Homer Simpson

Ovvero: cosa succederebbe se il responsabile della sicurezza della centrale nucleare di Springfield fosse anche il suo peggior pericolo

Homer Jay Simpson lavora da decenni come operatore di sicurezza al reattore 4 della Centrale Nucleare di Springfield. In tutto questo tempo ha causato almeno sette quasi-fusioni del nocciolo, innumerevoli infortuni — quasi tutti a sé stesso — e ha dormito al pannello di controllo con una frequenza che farebbe impallidire qualsiasi auditor ISO 45001. Eppure è ancora lì. Il che, a pensarci bene, dimostra due cose: la straordinaria resilienza dell’essere umano, e l’assoluta necessità di un sistema di gestione della salute e sicurezza sul lavoro.

La ISO 45001:2018 è la norma internazionale per i sistemi di gestione della salute e sicurezza sul lavoro. Il suo obiettivo dichiarato è prevenire infortuni e malattie professionali, eliminare i pericoli e ridurre i rischi. Il suo obiettivo implicito, se fosse applicata a Springfield, sarebbe sopravvivere a Homer Simpson.

Usiamo Homer — nel rispetto e nell’affetto che si deve a un personaggio iconico della cultura popolare — come lente per analizzare i concetti fondamentali della norma. Perché Homer non è un caso estremo: è una rappresentazione esagerata di comportamenti reali, presenti in ogni luogo di lavoro. La distrazione, la sottovalutazione del rischio, la fiducia eccessiva nella propria esperienza, la resistenza alle procedure. Li vediamo ogni giorno. Solo di solito senza la ciambella in mano.

“La sicurezza sul lavoro non è qualcosa che si fa perché lo dice la legge. È qualcosa che si fa perché le persone tornino a casa intere.”— Principio fondante della ISO 45001:2018. Homer direbbe: “D’oh.” Il che, stranamente, significa che ha capito.

La filosofia di Homer: i cinque principi (sbagliati) della sicurezza Il problema

Prima di vedere cosa dice la norma, è utile esaminare la filosofia operativa di Homer in materia di sicurezza. Non perché sia da imitare — ovviamente — ma perché la riconosceremo in contesti reali con una frequenza imbarazzante.

🍩 Principio 1 — “Se non è ancora esploso, è sicuro”La logica del “finora è andata bene”. Uno dei bias cognitivi più pericolosi in ambito sicurezza: confondere l’assenza di incidenti con l’assenza di rischio. La centrale non è esplosa ieri, non esploderà oggi. Forse. Ma il rischio non dipende da quante volte non si è materializzato: dipende dalle condizioni che lo rendono possibile. Che ci siano o meno, indipendentemente dalla storia passata.

🍩 Principio 2 — “I DPI mi rovinano i capelli”I dispositivi di protezione individuale (DPI) sono scomodi, caldi, ingombranti e — come giustamente osserva Homer — rovinano l’acconciatura. Questo è esattamente il motivo per cui la norma prevede una gerarchia dei controlli: i DPI sono l’ultimo livello di protezione, da usare quando tutti gli altri non sono sufficienti. Se il sistema dipende principalmente dai DPI, il sistema ha un problema. Se i DPI non vengono usati perché sono scomodi, il sistema ha un problema ancora più grande.

🍩 Principio 3 — “Il manuale di sicurezza fa un ottimo cuscino”La formazione sulla sicurezza, per Homer, è un’occasione di recupero del sonno arretrato. Il che ci porta a una domanda fondamentale: se la formazione viene erogata ma non appresa, è stata erogata davvero? La ISO 45001 non chiede di fare formazione: chiede di verificare che la formazione sia efficace. C’è una differenza sostanziale tra il registro delle presenze firmato e la competenza acquisita.

🍩 Principio 4 — “Ho sistemato il problema con del nastro adesivo”La gestione delle non conformità in sicurezza secondo Homer: se qualcosa si rompe, si nasconde o si tappa provvisoriamente. L’azione correttiva definitiva viene rimandata a un momento indefinito nel futuro che in genere non arriva mai. La norma chiama questo approccio con un termine tecnico: “mancata gestione dell’azione correttiva”. Gli auditor lo chiamano in altro modo, ma non è stampabile.

🍩 Principio 5 — “Ho comunicato il rischio. Ho detto D’oh ad alta voce.”La comunicazione dei rischi secondo Homer: urlare “D’oh” nel momento in cui il rischio si materializza. Nessuna segnalazione preventiva, nessun quasi-incidente registrato, nessun contributo al miglioramento del sistema. La ISO 45001 chiede invece una partecipazione attiva dei lavoratori nell’identificazione dei pericoli. Perché chi lavora in un posto conosce i rischi reali meglio di qualsiasi consulente esterno. Anche Homer, in fondo, sa perfettamente dove sono i pericoli della centrale. Li ha toccati tutti, almeno una volta.

Il paradosso di Homer: è la persona che conosce meglio i rischi del suo posto di lavoro (li ha subiti tutti) ed è anche quella meno propensa a segnalarli preventivamente. Questo non è un problema di intelligenza. È un problema di cultura organizzativa. E la cultura organizzativa, nella ISO 45001, è responsabilità della direzione — non del lavoratore.

Il Signor Burns e la leadership: §5 della norma La direzione

Il Signor Burns è il proprietario della centrale. È anziano, distaccato dalla realtà operativa, fondamentalmente disinteressato al benessere dei dipendenti e ossessionato dalla produzione e dal profitto. È anche, secondo la ISO 45001:2018 paragrafo §5, il principale responsabile del sistema di gestione della sicurezza.

Questo è il punto che molte aziende faticano ad accettare: la sicurezza non è una questione dell’RSPP, del consulente esterno o del responsabile qualità a cui è stato aggiunto il compito. La sicurezza è una responsabilità del vertice aziendale. La norma lo dice esplicitamente e ripetutamente.

Scena — Ufficio del Signor Burns. Audit ISO 45001.

Auditor: “Signor Burns, la norma richiede che la direzione dimostri leadership e impegno rispetto al sistema di gestione della salute e sicurezza. Può mostrarmi le evidenze della sua partecipazione attiva?”

Signor Burns: “Ho firmato la politica della sicurezza nel 1987. Smithers, mostrategli la firma.”

Auditor: “Apprezzato. Avrebbe anche partecipato a qualche sopralluogo, riesame del sistema, o incontro con i lavoratori sul tema sicurezza?”

Signor Burns: “Scendere in officina? Con quegli… operai?” [pausa] “Smithers, accompagnate fuori questo signore.”

Auditor [compilando il rapporto]: Non conformità maggiore §5.1 — mancata dimostrazione di leadership e impegno della direzione.

ISO 45001:2018 §5.1 — Leadership e impegno: L’alta direzione deve dimostrare leadership e impegno rispetto al sistema di gestione SSL assumendo la responsabilità complessiva, assicurando che siano stabilite politica e obiettivi, integrando i requisiti SSL nei processi aziendali, comunicando l’importanza di una gestione efficace e partecipando attivamente. Non basta la firma sulla politica. Non basta il cartello “La sicurezza è importante” in bacheca. Serve la presenza, la coerenza e la disponibilità ad allocare risorse reali.

Esempio pratico — La leadership visibile in sicurezza:
Un direttore di stabilimento che ogni lunedì mattina dedica 20 minuti a un sopralluogo non annunciato in reparto, che partecipa personalmente alla riunione mensile di sicurezza, e che quando viene segnalato un quasi-incidente chiede “cosa abbiamo imparato?” prima di “chi ha sbagliato?” sta applicando il §5.1 della ISO 45001 nel modo corretto. Non perché lo dice la norma. Perché i lavoratori lo vedono e capiscono che la sicurezza non è uno slogan.

Identificare i pericoli: Homer come strumento di hazard identification Il §6.1

Ecco il paradosso più bello di tutta la storia: Homer Simpson, involontariamente, è il miglior strumento di identificazione dei pericoli che la centrale di Springfield abbia mai avuto. Ogni suo incidente è la dimostrazione pratica di un pericolo reale che il sistema non aveva adeguatamente controllato.

La ISO 45001 richiede un processo sistematico di identificazione dei pericoli prima che questi si trasformino in incidenti. Ma Homer ci ricorda che i pericoli più insidiosi non sono quelli ovvi: sono quelli che tutti hanno smesso di vedere perché “ci siamo abituati”.

Briefing di sicurezza — Centrale Nucleare di Springfield, lunedì mattina.

RSPP: “Nel corso della settimana scorsa si sono verificati i seguenti quasi-incidenti: Homer ha inciampato nel cavo dell’alimentazione del pannello B per la quarta volta consecutiva. Homer ha azionato per errore la valvola 7 credendola il distributore del caffè. Homer ha—”

Homer: “In mia difesa, quella valvola è esattamente della stessa altezza del distributore del caffè.”

RSPP: “…ha ragione. Perché la valvola di emergenza e il distributore del caffè sono alla stessa altezza e hanno la stessa forma?”

Signor Burns [in videoconferenza]: “Perché nel 1962 era più economico così.”

RSPP: “Ecco il pericolo. Non è Homer. È il design dell’impianto.”

Questo è il punto fondamentale che distingue una cultura della sicurezza matura da una immatura: la ricerca della causa radice invece del colpevole. Quando Homer aziona la valvola sbagliata per la quarta volta, la domanda corretta non è “perché Homer è così distratto?”. È: “perché il sistema è progettato in modo tale che l’errore sia possibile?”

La gerarchia dei controlli — dall’eliminazione ai DPI:

1. Eliminazione — Rimuovere il pericolo alla fonte. Spostare il distributore del caffè lontano dalla valvola di emergenza. Costo: quasi zero. Efficacia: massima.

2. Sostituzione — Sostituire ciò che è pericoloso con qualcosa di meno pericoloso. Valvola con design completamente diverso dal distributore. Difficile sbagliarla.

3. Controlli ingegneristici — Barriere fisiche, sistemi di blocco, segnalazioni visive differenziate. Rendere l’errore difficile anche per Homer.

4. Controlli amministrativi — Procedure, formazione, permessi di lavoro. Utili ma dipendono dal comportamento umano. Homer li sopravvaluta regolarmente.

5. DPI — L’ultimo livello. Proteggono il lavoratore ma non eliminano il pericolo. Vanno usati, ma non come soluzione principale.

Nota bene: nella gerarchia dei controlli, i DPI sono all’ultimo posto. Non perché siano inutili, ma perché dipendono dall’uso corretto e costante da parte del lavoratore. Affidarsi principalmente ai DPI è come affidarsi principalmente a Homer per la sicurezza del reattore. Tecnicamente possibile. Statisticamente imprudente.

ISO 45001:2018 §6.1.2 — Identificazione dei pericoli: L’organizzazione deve stabilire, attuare e mantenere processi per l’identificazione proattiva e continua dei pericoli, considerando: come è organizzato il lavoro, i fattori sociali (stress, orari, comportamenti), le situazioni di emergenza, i cambiamenti pianificati o non pianificati, e — esplicitamente — i fattori umani. Homer è un fattore umano. Uno particolarmente ricco di informazioni.

La partecipazione dei lavoratori: Homer sa cose che Burns non sa Il §5.4

Uno dei requisiti più innovativi della ISO 45001 rispetto alle norme precedenti è l’enfasi sulla partecipazione e consultazione dei lavoratori. Non come adempimento formale, ma come fonte primaria di informazioni sui rischi reali.

Homer Simpson, per quanto improbabile possa sembrare, sa cose sulla sicurezza della centrale che il Signor Burns non sarà mai in grado di sapere dal suo ufficio. Sa dove il pavimento è scivoloso dopo la pulizia del lunedì. Sa che la luce al neon del corridoio B lampeggia da tre settimane e distrae durante le operazioni critiche. Sa che la pressione nel turno di notte è diversa da quella del mattino perché il capo turno gestisce le cose in modo diverso.

Queste informazioni hanno un valore enorme per il sistema di sicurezza. Ma rimangono nella testa di Homer finché qualcuno non crea le condizioni perché emergano.

Riunione di consultazione lavoratori — Sala mensa, ore 14:00.

RSPP: “Homer, nel tuo reparto ci sono situazioni che ritieni pericolose e che non sono ancora state segnalate?”

Homer: “Be’, c’è quel tubo che perde vapore vicino alla mia postazione. L’ho segnalato a Lenny che l’ha detto a Carl che ha scritto un foglietto che è finito sotto la mia ciambella. Ma il tubo perde ancora.”

RSPP: “Da quando perde?”

Homer: “Da quando è arrivato quel nuovo fornitore… sei mesi fa?”

RSPP [scrivendo]: “Sei mesi. Tubo che perde vapore. Segnalazione informale non tracciata. Nessuna azione.” [pausa] “Questo è esattamente perché esiste il sistema di segnalazione dei quasi-incidenti. E perché deve funzionare davvero, non solo sulla carta.”

Cosa serve perché i lavoratori segnalino davvero:

1. Nessuna ritorsione — Chi segnala un problema non deve temere conseguenze disciplinari. La cultura “chi trova il problema è il problema” distrugge qualsiasi sistema di segnalazione in settimane.

2. Feedback visibile — Il lavoratore che segnala deve vedere che la segnalazione produce qualcosa. Se Homer segnala il tubo che perde e non succede nulla, la prossima volta non segnala. E la volta dopo nemmeno. E poi nessuno segnala più niente.

3. Semplicità del canale — Il modulo di segnalazione dei quasi-incidenti di quattro pagine con triplice copia non viene compilato. Un sistema semplice — anche digitale, anche verbale con registrazione a cura del preposto — funziona molto meglio.

4. Valorizzazione della segnalazione — Le aziende con cultura della sicurezza matura misurano il numero di quasi-incidenti segnalati come indicatore positivo, non come problema. Pochi quasi-incidenti segnalati non significa ambiente sicuro: significa che la gente ha smesso di segnalare.

Gli infortuni e i quasi-incidenti: imparare prima che faccia male Il §10.2

La storia della sicurezza industriale moderna è costruita su una piramide tragicamente eloquente: per ogni infortunio grave ci sono circa 10 infortuni lievi, 30 incidenti con danni materiali e 600 quasi-incidenti che non producono danno fisico ma hanno il potenziale per farlo.

Questa è la Piramide di Bird, o triangolo degli incidenti. E il suo messaggio pratico è uno solo: i 600 quasi-incidenti sono la miniera d’oro della prevenzione. Chi li gestisce bene riduce drammaticamente la probabilità di scalare la piramide verso l’alto.

Homer Simpson è una fonte inesauribile di quasi-incidenti. Se la centrale di Springfield li registrasse e analizzasse tutti, avrebbe probabilmente il sistema di prevenzione più avanzato del settore nucleare mondiale. Invece li archivia sotto la voce “Homer ha fatto Homer” e va avanti.

⚠ L’indagine che non si faQuando accade un infortunio o un quasi-incidente, la reazione più comune è trovare rapidamente un responsabile, chiudere il caso e tornare alla produzione. Questa è la reazione sbagliata. Non perché non ci siano responsabilità — ci possono essere — ma perché fermarsi al “chi ha sbagliato” impedisce di capire “perché il sistema ha permesso che accadesse”. E senza capire il perché, l’evento si ripeterà. Con qualcun altro. O di nuovo con Homer.

✓ L’indagine che produce valoreUn’indagine efficace su un infortunio o quasi-incidente segue la stessa logica del metodo dei “5 Perché”: non ci si ferma alla causa immediata, ma si scava fino alla causa radice sistemica. Homer ha inciampato nel cavo? Perché? Perché il cavo attraversava il corridoio. Perché? Perché la presa elettrica è sul lato sbagliato. Perché? Perché nessuno ha mai aggiornato il layout dopo la ristrutturazione del 2018. La causa radice non è Homer che non guarda dove mette i piedi: è un layout di impianto non aggiornato. Azione correttiva: aggiornare il layout. Costo: basso. Efficacia: permanente.

Tipo di evento	Reazione Homer-style	Reazione ISO 45001-style
Quasi-incidente	“Meno male che non è successo niente” e si va avanti	Registrazione, analisi causa radice, azione preventiva, comunicazione al team
Infortunio lieve	Cerotto, compilazione del registro infortuni, fine	Indagine, 5 perché, azione correttiva, verifica efficacia, aggiornamento valutazione rischi
Infortunio grave	Panico, ricerca del colpevole, comunicato stampa rassicurante	Messa in sicurezza immediata, indagine approfondita, revisione del sistema, coinvolgimento RLS, comunicazione trasparente
Condizione pericolosa rilevata	“Lo sistemiamo quando troviamo il tempo”	Segnalazione immediata, valutazione urgenza, azione proporzionata, tracciabilità della chiusura

La cultura della sicurezza: da Springfield ad azienda sicura Il vero obiettivo

La ISO 45001 non è una norma sulla documentazione. È una norma sulla cultura. La differenza tra un’azienda che ha un sistema di gestione della sicurezza e un’azienda che è un’azienda sicura sta tutta nella cultura organizzativa: nei comportamenti quotidiani, nelle conversazioni informali, nel modo in cui si reagisce a un quasi-incidente, in ciò che la direzione dice e — soprattutto — in ciò che fa.

Homer non cambierà mai comportamento perché esiste una procedura. Cambierà — forse, parzialmente — se lavora in un ambiente dove la sicurezza è un valore condiviso, dove chi segnala un problema viene ringraziato invece che rimproverato, e dove il Signor Burns scende in officina ogni tanto invece di guardare tutto da un monitor in ufficio.

🍩 La domanda finaleSe dovessimo misurare la cultura della sicurezza di Springfield con un unico indicatore, quale sceglieremmo? Non il numero di infortuni: è un indicatore lagging, misura ciò che è già accaduto. Il numero di quasi-incidenti segnalati: è un indicatore leading, misura la propensione del sistema a imparare prima che accada qualcosa di grave. Una centrale dove Homer segnala dieci quasi-incidenti al mese è una centrale che impara. Una centrale dove Homer non segnala nulla è una centrale dove Homer ha imparato che non vale la pena segnalare. Le due situazioni sembrano opposte. La seconda è quella più pericolosa.

Considerazioni finali: grazie, Homer

Homer Simpson non è il problema della sicurezza. È la rivelazione del problema della sicurezza. Ogni suo incidente, ogni sua distrazione, ogni sua procedura aggirata è il segnale di un sistema che non è stato progettato tenendo conto di come gli esseri umani si comportano davvero — non come ci si aspetta che si comportino.

La ISO 45001 parte esattamente da questo assunto: le persone non sono macchine. Si distraggono, si stancano, prendono scorciatoie, sottovalutano i rischi abituali e sopravvalutano le proprie capacità. Un sistema di sicurezza che funziona solo quando tutti si comportano perfettamente non è un sistema: è una speranza.

Un sistema che funziona anche con Homer — che elimina i pericoli alla fonte, che rende l’errore difficile invece di punire chi lo fa, che ascolta chi lavora ogni giorno in mezzo ai rischi, e che impara da ogni quasi-incidente senza cercare un capro espiatorio — quello è un sistema di gestione della salute e sicurezza sul lavoro.

E alla fine del turno, anche Homer torna a casa. Intero.

Che è esattamente l’obiettivo.

“D’oh!”— Homer Simpson, ogni volta che un rischio non gestito si materializza. Tradotto in linguaggio normativo: evidenza oggettiva di un’opportunità di miglioramento del sistema di gestione SSL. ISO 45001:2018 §10.3.

Riferimenti normativi: ISO 45001:2018 §5.1 (Leadership), §5.4 (Consultazione e partecipazione), §6.1.2 (Identificazione dei pericoli), §8.1.2 (Gerarchia dei controlli), §9.1 (Monitoraggio e misurazione), §10.2 (Incidenti, non conformità e azioni correttive). La Piramide di Bird (Frank E. Bird Jr., 1966) è uno strumento consolidato in ambito sicurezza sul lavoro. Homer Simpson è un personaggio di fantasia creato da Matt Groening: qualsiasi somiglianza con operatori reali di centrali nucleari è puramente casuale e statisticamente preoccupante.

Maurizio Micucci

Cerca nel blog