Come evitare la catastrofe

L’idea in breve

Per quasi tutti, i “mancati incidenti” sono disastri sfiorati che avrebbero potuto avere conseguenze molto più tragiche – il caso tipico è quello del pompiere che riesce a fuggire da un edificio in fiamme qualche attimo prima che crolli, o del tornado che cambia miracolosamente direzione all’ultimo istante evitando una città. Questi eventi sono rari casi di salvataggio in extremis che ci lasciano scossi e alla ricerca di lezioni di apprendere.

Ma c’è un’altra categoria di mancati incidenti, molto più comuni e perniciosi. Sono i piccoli insuccessi, spesso inosservati, che permeano l’operatività quotidiana ma non creano danni nell’immediato. Le persone sono abituate a interpretare impropriamente o a ignorare i segnali di pericolo incorporati in questi piccoli insuccessi, che di conseguenza spesso non vengono esaminati o, peggio ancora, vengono considerati segnali di resilienza dei sistemi e di andamento positivo del business. Eppure questi eventi apparentemente innocui costituiscono frequentemente dei segni premonitori; se le condizioni si modificano lievemente, o se non interviene la fortuna, scoppia una crisi.

Considerate il disastro della piattaforma petrolifera BP nel Golfo del Messico. Come caso di studio sull’anatomia dei mancati incidenti e sulle conseguenze della loro mancata analisi è praticamente perfetto. Nell’aprile 2010 si è creata una fuga di gas durante la cementazione del pozzo di scavo della piattaforma Deepwater Horizon. Il gas si è incendiato, determinando un’esplosione che ha ucciso 11 persone e fatto affondare la piattaforma, e provocando un imponente sversamento di petrolio che è stato contenuto solo dopo mesi di lavoro. Al disastro hanno contribuito una serie di decisioni sbagliate e di condizioni pericolose: gli addetti alle perforazioni avevano usato troppo pochi centralizzatori per posizionare la tubazione; il “fango di perforazione”, che si utilizza come lubrificante, era stato rimosso troppo presto; i manager avevano interpretato erroneamente i risultati di alcuni test fondamentali che avrebbero confermato la fuoruscita di idrocarburi dal pozzo. BP faceva affidamento inoltre su una versione superata di un complesso strumento di sicurezza denominato blowout preventer, ben noto per  avere sempre dato risultati insoddisfacenti.

Perché Transocean (la società proprietaria della piattaforma), i dirigenti della BP, i gestori della piattaforma e gli addetti alla perforazione hanno ignorato i segnali di pericolo, anche se il pozzo era sempre stato bersagliato da problemi tecnici (gli operai l’avevano soprannominato “the well from hell”, cioè “pozzo infernale”)? Noi crediamo che gli stakeholder siano stati indotti all’autocompiacimento da una lunga serie di mancati incidenti che avevano caratterizzato in precedenza il settore – molteplici situazioni in cui la fortuna aveva avuto un ruolo determinante nell’evitare il disastro. Si scavavano sempre più pozzi ad altissima profondità, ma i grossi sversamenti di petrolio o i gravi incidenti sono estremamente rari. E molti pozzi ubicati nel Golfo del Messico avevano subito eruzioni di modesta entità nella fase di cementazione (alcune decine negli ultimi due decenni); ma in tutti i casi dei fattori meramente casuali – come la direzione favorevole del vento o il fatto che non fossero all’opera dei saldatori al momento della fuoruscita di gas - avevano contribuito a scongiurare un’esplosione. Anziché suscitare allarme e promuovere delle indagini, ogni mancato incidente veniva letto come la prova del buon funzionamento dei metodi di lavorazione e delle procedure di sicurezza in essere.

Negli ultimi sette anni abbiamo studiato i mancati incidenti di decine di aziende appartenenti a svariati settori, dalle telecomunicazioni all’industria automobilistica, dalla ricerca spaziale alle simulazioni di laboratorio. La nostra indagine rivela un andamento ben preciso: una serie di mancati incidenti precedeva (e metteva in ombra) tutti i disastri e tutte le crisi aziendali che abbiamo studiato, e quasi tutti i mancati incidenti venivano ignorati o male interpretati. Il nostro lavoro dimostra inoltre che dei pregiudizi cognitivi cospirano per celare agli occhi dei manager i mancati incidenti, due in particolari. Il primo è la “normalizzazione della devianza”, ossia la tendenza che si accumula nell’arco del tempo ad accettare le anomalie – specie quelle a rischio - come eventi normali. Pensate alla sempre maggiore confidenza che potrebbe adottare un operaio nell’utilizzo di una scala che ha un piolo rotto; più frequentemente la sale senza incidenti, più la ritiene sicura. Per un’organizzazione, una normalizzazione di questo tipo può essere catastrofica. La sociologa della Columbia University Diane Vaughan ha coniato l’espressione nel suo libro The Challenger Launch Decision per descrivere i comportamenti organizzativi che hanno consentito a una vistosa anomalia meccanica verificatasi a bordo della navicella spaziale di essere progressivamente accettata come un normale rischio di volo – condannando a morte l’equipaggio. Il secondo errore cognitivo è il cosiddetto pregiudizio del risultato. Quando osservano dei risultati positivi, le persone tendono a concentrarsi maggiormente sui risultati stessi che sui complicati processi (spesso invisibili) che li hanno determinati.

Identificare i mancati incidenti e trarne degli insegnamenti non è solo un fatto di attenzione; è contrario alla natura umana. In questo articolo esaminiamo una serie di mancati incidenti e spieghiamo come le aziende possano identificarli e trarne delle lezioni. Vedendoli per quelli che sono – insuccessi istruttivi – i manager possono applicare quelle lezioni per migliorare l’operatività e, potenzialmente, prevenire una catastrofe.

Radici delle crisi

Riflettete su questo esperimento rivelatore: abbiamo chiesto a degli studenti di economia, a dei dipendenti della NASA e a degli appaltatori dell’industria aerospaziale di valutare un ipotetico capo progetto, Chris, che dirigeva il lancio di una capsula spaziale senza equipaggio e aveva preso una serie di decisioni, tra cui non studiare un possibile difetto di progettazione e rinunciare al confronto con i colleghi, per mancanza di tempo. Ai partecipanti veniva sottoposto uno di questi tre scenari: la capsula veniva lanciata senza problemi ed era in grado di trasmettere i dati (successo); poco dopo il lancio, la capsula aveva avuto un problema causato dal difetto di progettazione, ma grazie al favorevole allineamento del Sole riusciva comunque a trasmettere i dati; oppure aveva avuto un problema indotto dal difetto di progettazione, e a causa dello sfavorevole allineamento del Sole non aveva potuto trasmettere i dati e si era persa nello spazio (insuccesso).

Come è stato giudicato Chris? I partecipanti tendevano praticamente nella stessa misura a elogiarne le capacità decisionale, la leadership e la conduzione complessiva della missione sia nel caso di successo sia nel caso di mancato incidente – anche se quest’ultimo era dovuto unicamente alla fortuna. Quando le persone osservano un risultato positivo, la loro tendenza naturale è assumere che il processo sottostante fosse sostanzialmente corretto, anche quando è facile dimostrare che non lo era; di qui il celebre detto “Non si può discutere il successo”. In realtà, si può, e si deve.

Le ricerche dimostrano che i disastri organizzativi non hanno quasi mai una sola causa. Nascono invece dall’interazione inattesa di piccoli errori umani, spesso apparentemente ininfluenti, problemi tecnologici o decisioni inadeguate di natura operativa. Questi errori latenti si combinano con condizioni esterne “facilitanti” per produrre un grosso insuccesso. Nel caso di una piattaforma petrolifera, un errore latente potrebbe essere una procedura di cementazione che lascia fuoriuscire il gas; le condizioni facilitanti potrebbero essere l’assenza di vento e la presenza di un saldatore al lavoro in prossimità della fuga di gas. Nel loro insieme, l’errore latente e le condizioni facilitanti scatenano un’esplosione devastante. I mancati incidenti derivano dalle stesse precondizioni, ma in assenza di condizioni facilitanti producono solo piccoli insuccessi, perciò non vengono rilevati o vengono ignorati.

Gli errori latenti si protraggono spesso per lunghi periodi, prima di combinarsi con delle condizioni facilitanti per produrre un significativo insuccesso. Il fatto che una condizione facilitante trasformi un mancato incidente in una crisi dipende generalmente dal caso; dunque, ha poco senso tentare di prevedere o di controllare le condizioni facilitanti. Le aziende dovrebbero invece concentrarsi sull’identificazione e sull’emendamento degli errori latenti, prima che le circostanze consentano loro di creare una crisi.

Le esplosioni che devastano le piattaforme petrolifere sono un esempio drammatico, ma nell’operatività aziendale errori latenti e condizioni facilitanti si combinano spesso per produrre crisi meno spettacolari ma pur sempre costose – insuccessi che l’attenzione agli errori latenti avrebbe potuto prevenire. Vediamone tre.

La figuraccia di Apple. Pensate all’esperienza vissuta da Apple dopo il lancio dell’iPhone 4, nel giugno 2010. Quasi immediatamente i clienti hanno cominciato a lamentarsi denunciando frequenti interruzioni nelle telefonate e debolezza del segnale. La reazione iniziale di Apple è stata accusare gli utilizzatori di tenere in mano il telefono nel mondo sbagliato, coprendo l’antenna esterna, e suggerire loro di “evitare di afferrare [il telefono] nell’angolo inferiore sinistro”. Quando un utilizzatore gli ha chiesto indicazioni su un forum online, il CEO Steve Jobs gli ha mandato una e-mail in cui definiva le telefonate interrotte “un non problema”. Molti clienti hanno giudicato l’atteggiamento di Apple arrogante e offensivo e hanno manifestato la loro irritazione sui social media e sui blog più diffusi. Ci sono state varie class action nei confronti dell’azienda, una delle quali l’accusava di “frode per occultamento, negligenza, travisamento intenzionale e progettazione difettosa”. La crisi d’immagine ha toccato il culmine a metà luglio, quando la rivista Consumer Reports si è rifiutata di raccomandare l’iPhone 4 (aveva raccomandato tutte le versioni precedenti). Alla fine Apple ha fatto marcia indietro, ammettendo errori di progettazione del software e offrendo agli acquirenti del prodotto aggiornamenti gratuiti del software e custodie isolanti per risolvere il problema dell’antenna.

Gli errori latenti che stavano alla base della crisi erano presenti da tempo. Come ha dimostrato Jobs nel corso di una conferenza stampa, praticamente tutti gli smartphone subiscono un abbassamento del segnale quando gli utilizzatori toccano l’antenna esterna. Questo problema esisteva già da anni negli iPhone precedenti, e anche negli smartphone dei concorrenti. Anche il problema di segnale era ben noto. Altri errori latenti sono emersi con l’acuirsi della crisi, in primis una strategia elusiva di pubbliche relazioni che ha scatenato una rivolta popolare.

Il fatto che i consumatori avessero tollerato per anni i problemi di performance senza lamentarsi troppo non era l’indicatore di una strategia di successo, ma l’indicatore di un mancato incidente che continuava a protrarsi nel tempo. Nel momento in cui si è abbinato alle condizioni facilitanti – la recensione negativa e ampiamente citata di Consumer Reports, e l’espansione dei social media – è scoppiata una crisi. Se Apple avesse visto nella tolleranza dei consumatori un mancato incidente che si protraeva nel tempo e avesse risolto proattivamente i problemi tecnici di quei telefoni, avrebbe potuto evitare la crisi. Secondo noi non lo ha fatto a causa del pregiudizio di normalizzazione che faceva apparire sempre più accettabile il difetto di funzionamento dell’antenna; e a causa del pregiudizio del risultato, in base al quale i manager si erano convinti che le mancate lamentele sui difetti dell’iPhone 4 riflettessero una strategia efficace – anziché la mera fortuna.

L’acceleratore bloccato. Il 28 agosto 2009, l’ufficiale della California Highway Patrol Mark Saylor e tre membri della sua famiglia hanno perso la vita in un drammatico incidente dovuto al blocco dell’acceleratore della Lexus su cui viaggiavano, che ha spinto la vettura a oltre 120 miglia all’ora. La telefonata al numero d’emergenza 911 del guidatore terrorizzato ha immortalato i terribili istanti che precedevano lo schianto ed è stata riportata diffusamente nei notiziari e nei social media.

Fino ad allora Toyota, che produce la Lexus, aveva minimizzato gli oltre 2.000 casi di accelerazione spontanea che le erano stati denunciati fin dal 2001. La tragedia dei Saylor ha costretto l’azienda giapponese ad analizzare seriamente il problema. Alla fine, Toyota richiamato oltre sei milioni di veicoli tra la fine del 2009 e l’inizio del 2010, e ha sospeso temporaneamente la produzione e la vendita di otto modelli, con una perdita di fatturato stimata in due miliardi di dollari nel solo Nord America, e un danno d’immagine non quantificabile.

Le lamentele sull’accelerazione spontanea e sul controllo di velocità dei veicoli sono comuni a tutte le case automobilistiche e nella maggior parte dei casi, secondo la National Highway Traffic Safety Administration, i problemi sono causati da un errore del guidatore e non da un difetto del mezzo. Tuttavia, a partire dal 2001, più o meno lo stesso periodo in cui Toyota aveva introdotto un nuovo modello di acceleratore, le lamentele sui problemi di accelerazione della Toyota erano aumentate drasticamente, mentre restavano relativamente costanti per le altre case automobilistiche (vedi la figura “I problemi dell’acceleratore di Toyota”). Toyota avrebbe evitato la crisi se avesse notato questa deviazione dalla norma e avesse riconosciuto le migliaia di lamentele per quel che erano: mancati incidenti. Anche in questo caso, la normalizzazione della devianza e il pregiudizio del risultato, insieme ad altri fattori, hanno cospirato per oscurare le gravi implicazioni dei mancati incidenti. Solo quando si è verificata una condizione facilitante – la tragedia della famiglia Saylor e la conseguente tempesta mediatica – l’errore latente ha innescato una crisi.

La superficialità di JetBlue. Fin da quando ha iniziato a operare, nel 2000, JetBlue ha adottato un approccio aggressivo alle cattive condizioni atmosferiche, cancellando proporzionalmente meno voli delle altre compagnie e ordinando ai piloti di staccarsi dai cancelli d’imbarco il più presto possibile quando c’era cattivo tempo per trovarsi in cima alla coda quando le piste di decollo venivano sgombrate – anche se ciò significava lasciare gli aerei in attesa sull’asfalto. Per diversi anni, questa politica ha dato l’impressione di funzionare. Le attese sulla pista non era eccessivamente lunghe e tutto sommato i clienti le accettavano. Ciò nonostante, era una strategia rischiosa, in quanto esponeva la compagnia al pericolo di lasciare lì i passeggeri per ore se le condizioni atmosferiche fossero improvvisamente peggiorate.

Il brusco risveglio è arrivato il 14 febbraio 2007. Una tempesta di neve sull’aeroporto internazionale JFK di New York ha causato un blocco totale dei voli – ma nessun vettore ne ha risentito più di JetBlue, i cui risoluti piloti erano inchiodati sulla pista di decollo (in alcuni casi letteralmente, per via delle ruote ghiacchiate) e senza cancelli aperti cui fare ritorno. Gli sfortunati passeggeri di diversi voli sono rimasti intrappolati fino a undici ore in cabine surriscaldate e maleodoranti, senza cibo nè acqua. I media hanno riportato risentiti resoconti in prima persona di quella vicenda e un costernato David Neeleman, il CEO di JetBlue, ha detto alla CNBC: «Effettivamente non siamo stati in grado di far scendere i nostri clienti da quegli aerei». Quel giorno la compagnia ha cancellato più di 250 voli su 505 – una percentuale molto più elevata rispetto a qualunque altra compagnia. Ha perso milioni di dollari e ha gettato alle ortiche l’inestimabile fedeltà dei consumatori.

Per JetBlue, ognuno delle migliaia di voli decollati prima di quelli della concorrenza nei casi precedenti di maltempo rappresentava un mancato incidente. Poiché la compagnia aveva continuato a portare avanti quella strategia a rischio, i manager che avevano manifestato preoccupazione per il modo in cui JetBlue gestiva i ritardi si erano lasciati prendere dall’autocompiacimento, nonostante l’allungamento dei ritardi. In effetti, la percentuale dei ritardi di almeno due ore dovuti al maltempo si era quasi triplicata per JetBlue tra il 2003 e il 2007, mentre il livello di questi ritardi rimaneva pressoché costante per le altre grandi compagnie aeree degli Stati Uniti (vedi la figura “I guai di JetBlue sulla pista”).

Anziché rendersi conto che un forte incremento dei ricavi rappresentava un forte incremento di rischio, i dirigenti di JetBlue continuavano a vedere solo dei voli regolari. C’è voluta una condizione facilitante – quella violentissima nevicata – per trasformare l’errore latente in una crisi.

Gli errori di processo o di progettazione del prodotto vengono spesso ignorati, anche quando i segnali di pericolo indicano chiaramente la necessità di agire. Più frequentemente dei piccoli insuccessi non si traducono in un disastro, più compiacenti diventano i manager.

Riconoscere e prevenire i mancati incidenti

La nostra ricerca suggerisce sette strategie che possono aiutare le organizzazioni a riconoscere i mancati incidenti e a estirpare gli errori nascosti retrostanti. Abbiamo sviluppato molte di queste strategie in collaborazione con la NASA – un’organizzazione che inizialmente era lenta a riconoscere la rilevanza dei mancati incidenti, ma che oggi sta mettendo a punto dei programmi generalizzati per identificarli, trarne degli insegnamenti e prevenirli.

1  Prestare attenzione a una pressione elevata. Maggiore è la pressione per raggiungere obiettivi di performance particolarmente sfidanti a livello di programmazione, di costi o di produzione, più è probabile che i manager ignorino i segnali di mancati incidenti o li leggano come indicatori di un processo decisionale efficace. I manager della BP sapevano che l’azienda spendeva un milione di dollari al giorno per l’affitto della piattaforma e il subappalto dei lavori, il che ha contribuito certamente al mancato riconoscimento dei segnali di pericolo.

L’effetto pressione alta ha avuto il suo peso anche nella catastrofe dello shuttle spaziale Columbia,in cui la schiuma isolante fuoriuscita dal serbatoio esterno ha danneggiato l’ala della capsula durante il decollo, facendola disintegrare mentre rientrava nell’atmosfera. I manager conoscevano il problema della schiuma isolante fin dall’inizio del programma e avevano cercato subito di porvi rimedio, ma poiché decine di voli spaziali si erano conclusi con successo, avevano cominciato a classificare le fuoriuscite di schiuma isolante come problemi di manutenzione – anziché come mancati incidenti. Questo classico caso di normalizzazione della devianza era stato esacerbato dalla fortissima pressione politica che gravava a suo tempo sulla NASA per il completamento del nucleo principale della International Space Station. I manager sapevano che dei ritardi nel completamento dello shuttle avrebbero rallentato il progetto della stazione spaziale internazionale.

Nonostante le nuove preoccupazioni indotte da un mancato incidente particolarmente drammatico, e un’inchiesta in corso, la Columbia fu lanciata ugualmente. Come spiega la commissione d’inchiesta sull’incidente, «la pressione per il rispetto del programma spaziale ha creato un clima manageriale sempre più disposto ad accettare una performance inferiore alle specifiche di vari componenti e di vari sistemi».

Le ricerche psicologiche dimostrano che, quando devono prendere decisioni sotto pressione, le persone tendono ad affidarsi all’euristica, ossia a delle regole empiriche, e sono quindi più sensibili ai pregiudizi cognitivi. Negli ambienti lavorativi sotto alta pressione, i manager dovrebbero aspettarsi che i collaboratori siano più soggetti al pregiudizio del risultato, più inclini a normalizzare la devianza e più disposti a credere che le proprie decisioni siano efficaci. Le organizzazioni dovrebbero invitare caldamente i dipendenti a esaminare criticamente le decisioni che prendono sotto pressione e a domandarsi: «Se avessi a disposizione più tempo e più risorse, prenderei la stessa decisione?».

2 Trarre insegnamento dalle deviazioni. Come suggeriscono le crisi di Toyota e JetBlue, quando qualche aspetto dell’operatività si distacca dalla norma, la reazione dei manager è spesso ridefinire quello che considerano un rischio accettabile. La nostra ricerca dimostra che in questi casi i decision maker potrebbero comprendere chiaramente il rischio statistico rappresentato dalla deviazione, ma se ne preoccupano sempre meno.

Abbiamo visto questo effetto all’opera in un contesto di laboratorio. Prendendo ancora una volta a riferimento il programma spaziale, abbiamo chiesto ai partecipanti di assumere il controllo di un robot per l’esplorazione del pianeta Marte nel corso di una missione simulata. Ogni mattina ricevevano un bollettino meteo e dovevano decidere se fare o non fare avanzare il robot. Il secondo giorno hanno saputo che c’era una probabilità del 95% che si scatenasse una tempesta di sabbia che aveva un 40% di probabilità di bloccare le ruote del mezzo. A metà dei partecipanti è stato detto che in passato il robot aveva superato senza problemi le tempeste di sabbia (ossia che era venuto fuori indenne da vari mancati incidenti); l’altra metà dei partecipanti non aveva informazioni sulla performance pregressa del robot durante le tempeste di sabbia. Al momento di decidere se rischiare o meno l’avanzamento, tre quarti del gruppo a conoscenza dei mancati incidenti ha optato per continuare a procedere, contro il 13% dell’altro gruppo. Entrambi i gruppi sapevano, e dichiaravano di sapere, che il rischio d’insuccesso era il 40% - ma il gruppo a conoscenza dei mancati incidenti era molto più a suo agio con quel livello di rischio.

I manager dovrebbero andare alla ricerca delle deviazioni operative dalla norma e chiedersi se le ragioni che li inducono a tollerare il rischio che vi si associa sono effettivamente giustificati. Potrebbero farsi queste domande: abbiamo sempre accettato questo livello di rischio? La nostra politica nei confronti di questo rischio si è modificata nel tempo?

3 Scoprire le cause profonde. Quando i manager identificano delle deviazioni, la loro tipica reazione è correggere il sintomo anziché agire sulla causa. È stata la reazione di Apple quando ha invitato inizialmente i clienti a risolvere il problema dell’antenna modificando la presa dell’iPhone. Anche la NASA ha imparato a sue spese questa lezione, durante la missione Mars Climate Orbiter del 1998. Mentre veleggiava verso Marte, la navicella spaziale ha deviato leggermente dalla traiettoria per quattro volte; ogni volta i responsabili del progetto la rimettevano in carreggiata, ma senza analizzare le cause del problema. Mentre la navicella spaziale da 200 milioni di dollari si avvicinava a Marte, anziché entrare in orbita, si è disintegrata nell’atmosfera. Solo allora la NASA ha scoperto l’errore latente – nella codifica del software, i programmatori avevano usato le unità inglesi anziché le unità metriche. Le correzioni della traiettoria affrontavano il sintomo del problema, ma non la causa profonda. L’apparente successo aveva indotto i decision maker a credere che il problema fosse stato risolto adeguatamente.

Il settore dell’assistenza sanitaria ha fatto grandi passi avanti nell’apprendimento dei mancati incidenti e costituisce un modello da seguire. I fornitori di assistenza sanitaria vengono costantemente incoraggiati a denunciare errori e mancati incidenti, in modo che si possano sviscerare e applicare le relative lezioni. Un articolo di Today Hospitalist, per esempio, descrive un mancato incidente presso il Delnor-Community Hospital di Geneva, Illinois. Due pazienti che condividevano una stanza avevano cognomi simili e dovevano assumere dei farmaci dai nomi simili – Cytotec e Cytoxsan. Confusa dalle assonanze un’infermiera stava per somministrare uno dei farmaci al paziente sbagliato. Per fortuna si è accorta dell’errore in tempo e ha compilato un rapporto in cui segnalava il rischio che aveva corso. La direzione dell’ospedale ha separato immediatamente i due pazienti e ha creato una politica per impedire che in futuro venissero messi nella stessa stanza dei pazienti dal cognome simile.

4 Pretendere responsabilizzazione. Anche quando sono consapevoli dei mancati incidenti, le persone tendono a sminuirne l’importanza. Un modo per limitare questo effetto potenzialmente pericoloso è imporre ai manager di giustificare la valutazione dei mancati incidenti.

Ricordate Chris, il manager ipotetico del nostro studio che aveva omesso di analizzare alcuni aspetti della missione spaziale affidatagli? I partecipanti l’avevano apprezzato nella stessa misura per lo scenario del successo e per lo scenario del mancato incidente. I suoi valutatori sembravano non accorgersi che in realtà il mancato incidente era stato un disastro mancato. Nella prosecuzione di quello studio abbiamo detto a un altro gruppo di manager e di appaltatori che avrebbero dovuto giustificare la propria valutazione di Chris al top management. Sapendo di dover spiegare il loro giudizio ai capi, quelli che avevano valutato positivamente lo scenario del mancato incidente hanno giudicato la performance di Chris con la stessa severità di coloro che avevano saputo del fallimento della missione – rendendosi conto, a quanto pare che invece di fare bene il suo lavoro, aveva semplicemente schivato per caso una pallottola.

5 Ipotizzare degli scenari catastrofici. Se non vengono invitate espressamente a farlo, le persone tendono a non chiedersi quali potrebbero essere le conseguenze negative dei mancati incidenti. I manager di Apple, per esempio, conoscevano i problemi di antenna dell’iPhone, ma probabilmente non avevano immaginato quanto potesse inasprirsi la reazione dei consumatori. La nostra ricerca suggerisce che se avessero preso in considerazione uno scenario catastrofico, avrebbero potuto prevenire la crisi.

In un altro studio, abbiamo chiesto ai partecipanti di supporre che un uragano in arrivo avesse una probabilità del 30% di colpire la loro casa, e abbiamo chiesto loro se avrebbero deciso di abbandonarla. Così come nello studio sul robot che esplora il pianeta Marte, coloro a cui veniva detto che erano sfuggiti al disastro in altri mancati incidenti erano più inclini a rischiare (in questo caso a scegliere di rimanere a casa). Ma quando abbiamo detto ai partecipanti di ipotizzare che sebbene la loro casa fosse già sopravvissuta a degli uragani, quella di un vicino era stata colpita da un albero durante un uragano, hanno assunto un’altra prospettiva; questo gruppo si è mostrato molto più disposto ad abbandonare la propria abitazione. L’approfondita analisi degli eventi aiuta le persone a distinguere tra mancati incidenti e successi, inducendole spesso a modificare di conseguenza il loro processo decisionale.

I responsabili dell’ufficio preposto a garantire la continuità delle attività (business-continuity) di Walmart lo sanno molto bene. Per diversi anni, prima dell’uragano Katrina, l’ufficio aveva valutato attentamente i mancati incidenti connessi agli uragani precedenti e in base a quelle valutazioni aveva pianificato la risposta a un uragano che avesse colpito un’area metropolitana in cui l’azienda aveva una presenza sostanziale. Nei giorni precedenti all’arrivo di Katrina sul territorio della Louisiana, Walmart ha rafforzato l’unità di gestione delle emergenze, presidiata normalmente da sei-dieci persone, portandola a più di cinquanta persone, e ha stipato nei depositi locali alimenti, acqua e forniture di emergenza. Avendo tratto insegnamento da altri mancati incidenti, Walmart ha risposto più efficacemente dei funzionari locali e federali al disastro. Ha detto lo sceriffo di Jefferson Parish, Harry Lee: «Se il governo americano avesse reagito come ha reagito Walmart, non saremmo in queste condizioni».

6 Valutare i progetti in tutte le fasi. Quando le cose vanno per il verso storto, i manager effettuano comunemente delle “autopsie” per determinare le cause e prevenirne il ripetersi. Ma quando vanno per il verso giusto, pochi manager effettuano un’analisi approfondita del successo per trarne delle lezioni. Poiché i mancati incidenti possono assomigliare a dei successi, sfuggono a questo esame.

Il chief knowledge officer del Goddard Space Flight Center della NASA, Edward Rogers, ha istituito un processo di “distacco e apprendimento” in cui i team discutono in ogni fase critica del progetto ciò che hanno appreso. Oltre a esaminare i problemi, analizzano espressamente i successi percepiti e le scelte di progettazione effettuate in corso d’opera. Esaminando criticamente i progetti mentre sono in corso, i team evitano il pregiudizio del risultato e sono più inclini a vedere i mancati incidenti per quello che sono. A queste sessioni fanno seguito dei workshop di condivisione delle conoscenze a cui partecipa un gruppo più ampio di team. Altri centri della NASA, tra cui il Jet Propulsion Laboratory, che gestisce il programma per la conquista di Marte, stanno avviando esperimenti analoghi. Secondo Rogers, la maggior parte dei progetti che hanno utilizzato il processo di distacco e apprendimento hanno fatto emergere dei mancati incidenti – quasi sempre difetti di progettazione che erano passati inosservati. «Quasi tutti gli inconvenienti tecnici della NASA si possono far risalire a una serie di piccoli segnali che sono passati inosservati al momento critico», dice.

7 Premiare la trasparenza. L’identificazione e la gestione proattiva dei mancati incidenti presuppone la vigilanza organizzativa, ma non c’è attenzione che possa prevenire l’insuccesso se le persone non sono motivate a denunciare i mancati incidenti – o peggio, vengono dissuase dal farlo. In molte organizzazioni i dipendenti hanno tutto l’interesse a tacere sugli insuccessi e in quel tipo di ambiente tendono a tenere per sé i sospetti sui mancati incidenti.

I politologi Martin Landau e Donald Chisholm hanno descritto uno di questi casi che, pur essendosi verificato sul ponte di una nave da guerra, è rilevante per qualunque organizzazione. Durante un’esercitazione, un marinaio imbarcato su una portaerei si era accorto di aver perso un attrezzo sul ponte. Sapeva che un attrezzo “vagante” avrebbe potuto causare una catastrofe se fosse stato risucchiato dal motore di un jet, e sapeva che ammettere quell’errore avrebbe potuto mettere fine all’esercitazione – e procurargli una punizione. Finché l’attrezzo non entrava in gioco, ogni decollo e ogni atterraggio riuscito sarebbe stato un mancato incidente, un risultato fortunato. Ha denunciato l’errore, l’esercitazione è stata bloccata e tutti gli aerei in volo sono stati ri-direzionati su basi terrestri, a un costo elevato.

Anziché essere punito per quell’errore, il marinaio è stato elogiato dal comandante nel corso di una cerimonia formale per aver avuto il coraggio di denunciarlo. I leader di qualunque organizzazione dovrebbero premiare pubblicamente i dipendenti che denunciano i mancati incidenti – inclusi i propri.

DUE FORZE cospirano per rendere problematico l’apprendimento che deriva dai mancati incidenti: i pregiudizi cognitivi li rendono pressoché invisibili e, anche quando sono visibili, i leader tendono a non comprenderne la significatività. Di conseguenza, le organizzazioni omettono spesso di denunciare e correggere gli errori latenti anche quando farlo costerebbe poco – e quindi si lasciano sfuggire opportunità di miglioramento organizzativo prima che subentri il disastro. Questa tendenza è essa stessa una forma di insuccesso organizzativo – l’incapacità di apprendere da dati “a basso costo”. Fare emergere i mancati incidenti ed emendarne le cause profonde è uno degli investimenti più efficaci che possa effettuare un’organizzazione.

Piccoli mancati incidenti e piccoli insuccessi

Abbiamo citato casi drammatici come le fuoriuscite di petrolio e gli incidenti spaziali per spiegare come i mancati incidenti possano mettere in ombra delle autentiche calamità.

Ma i mancati incidenti sono importanti per i manager di tutti i livelli nella loro attività quotidiana, perché possono anche far presagire problemi di minore entità ma pur sempre significativi.

Una ricerca sulla sicurezza nell’ambiente di lavoro stima per esempio che ogni 1000 mancati incidenti, uno determina gravi ferite o un decesso, almeno dieci incidenti meno gravi causano lesioni secondarie, e trenta causano danni alle strutture ma non alle persone. Identificare i mancati incidenti e affrontare gli errori latenti che li determinano permette di prevenire anche i problemi più banali che distraggono le organizzazioni e ne assorbono le risorse.

Immaginate un collaboratore che non rispetta le scadenze ed è cronicamente in ritardo per le riunioni con i clienti, ma fa molto bene il suo lavoro. Ogni progetto rallentato e ogni arrivo in ritardo è un mancato incidente; ma affrontando i sintomi del problema – “coprendo” le carenze del collaboratore in vari modi – il suo capo riesce a impedire che i clienti voltino le spalle all’azienda. In questo modo consente tuttavia una lieve ma significativa erosione della soddisfazione del cliente, della coesione del team e della performance organizzativa. E alla fine un cliente potrebbe comunque andarsene – un esito che si sarebbe potuto evitare facendo attenzione ai mancati incidenti. La vostra organizzazione non ha bisogno di trovarsi di fronte a una minaccia tanto grave come una fuoriuscita di petrolio per trarre beneficio dalla denuncia di mancati incidenti di tutti i tipi e dalla scelta di affrontarne le cause profonde.

Catherine H. Tinsley (tinsley@georgetown.edu) è professore associato alla McDonough School of Business della Georgetown University di Washington, DC.

Robin L. Dillon (rid9@georgetown.edu) è professore associato alla McDonough School of Business della Georgetown University.

Peter M. Madsen (petermadsen@byu.edu) è assistente alla Marriott School of Management della Brigham Young University di Provo, Utah.