Аэрофлот внедряет оценки пилотов, в который входит и «топливная эффективность». Предполагается, что баллы будут списываться за каждый лишний литр керосина сверх плана. В расчёт не берутся случаи ухода на запасной аэродром или возврат в пункт вылета.
Многие профильные организации уже выступили против такой очевидной глупости, потому что она создаёт избыточное давление на пилотов. А это, в свою очередь, открывает дорогу к авариям и катастрофам. Или к ситуациям, когда пассажиры многократно чаще начнут оказываться в соседних городах или возвращаться в первоначальный город, а не в точку назначения.
Следом, очевидно, резко упадёт доверие если не ко всей отрасли, то к Аэрофлоту точно.
Пару лет назад я уже делал двойной лонгрид про то, как жадность и глупость создают техногенные катастрофы. Но там я давал рекомендации по тому, как предотвращать критические риски.
Сейчас же в новой серии лонгридов мы рассмотрим, как эффективный менеджмент совершает ошибки в регулярном управлении. То есть, рассмотрим проблему шире: какие ежедневные практики не только предотвращают воплощение критических рисков, но и снижают число инцидентов вообще.
В первой части будет 11 кейсов, и они вместе с рекомендациями, главным образом, будут выстроены преимущественно вокруг нашей иррациональности и “человеческого фактора”.
Costa Concordia
Крушение Costa Concordia наглядно демонстрирует, как жадность и глупость приводят к катастрофам. 13 января 2012 года огромный мегалайнер стоимостью в полмиллиарда евро в идеальную погоду улёгся на дно из-за целой серии сознательных ошибок.
🧨начнём с самого базового. Судоходная компания одобряла и даже поощряла определённый манёвр под названием «inchino» или поклон: лайнер подходит к линии курортов, включает иллюминацию и ревёт во все гудки. Жители счастливы, пассажиры в восторге, соцсети разрываются бесплатной рекламой
🧨подобные нарушения долгое время игнорировались, а риски никто не брал в расчёт
🧨вот и в тот злосчастный день лайнер отклонился от маршрута и должен был пройти на ручном управлении мимо скал
🧨команда использовала навигационные карты слишком крупного масштаба, на которой многие рифы не были обозначены
🧨чтобы оказать отдельным клиентам лайнера честь, их в нарушение всех правил пустили на мостик. Нет, про молчание никто не говорил, гости праздновали и отвлекали офицеров
🧨для этого отключили не только автопилот, но и отключили навигационные приборы, иначе бы они постоянно сигнализировали о близости дна, отклонении от курса и рисках
🧨младшие офицеры послушно следили за тем, как корабль идёт на скалы, но даже пикнуть против капитана Скеттино не могли — тот отличался буйным нравом и годами дрессировал подчинённых
🧨когда капитан Скеттино понял, что корабль несётся не туда, он срочно начал связываться с рулевым. Им оказался индонезиец, который плохо понимал команды, потому спутал лево и право. И корабль влетел на риф, который и срезал 53 метра обшивки (правда, эксперты выяснили, что корабль был обречён и без учёта этой ошибки)
🧨в капитаны взяли человека с нарциссическим расстройством, который в критический момент задумался о своей репутации и жизни, а не о жизнях людей. И Скеттино делал всё, чтобы вырулить ситуацию. Потому вместо аккуратной эвакуации на остров в сотне метров целый час, пока трюм затапливало, и лайнер кренился, по громкой связи вещали, что ситуация под контролем
🧨местные службы несколько раз связывались с кораблём, но каждый раз получали в ответ, что всё в порядке, просто нужно перезапустить генератор
🧨а корабль продолжал крениться. К моменту, когда объявили эвакуацию, половину спасательных шлюпок заклинило из-за критического уровня наклона
🧨и капитан эвакуировался одним из первых. Типичный Скеттино у руля.
Людям повезло. Сменившийся ветер и течение сами прибили корабль к берегу, а не утащили в море. Но из-за промедления погибло 32 человека. Вся операция по утилизации лайнера и очистке последствий обошлась в 2 миллиарда долларов. Капитан получил 16 лет тюрьмы, ещё пять его подчинённых — от 1 до 3 лет. Топ-менеджмент свалил всю вину на этих людей, а CEO через полгода после катастрофы ушёл с выходным пособием в 1.2 миллиона евро.
Что это значит для бизнеса?
Капитан на корабле — первый после бога. Такая поговорка была в ходу на многих судах до 2012 года: решения капитана не обсуждались, авторитет был непререкаемым, а возражение приравнивалось к бунту.
Крушение Costa Concordia показала, что абсолютная власть наверху вредна. Офицеры видели ошибку капитана, но молчаливо смотрели, как авария становится неизбежной.
Международная морская организация и крупные круизные гиганты поняли, что такую порочную систему подчинения нужно ломать. За основу взяли концепцию Bridge Resource Management. Она и раньше рекомендовалась к применению, но теперь стала обязательной. Главное, что теперь капитан больше не является единственным солистом на корабле:
🍀капитан должен перед каждым сложным манёвром проводить брифинг со всей командой мостика и лоцманом. Он должен озвучивать свои намерения, ожидаемые трудности и план «Б»
🍀офицеры теперь могут оспаривать действия, если происходит отклонение от плана или возникают непредвиденные обстоятельства
🍀каждый ответственный на мостике теперь должен по порядку: публично сообщить об этом, выразить беспокойство, затем при отсутствии реакции — предложить решение, а следом — даже потребовать остановки или смены манёвра
🍀и теперь все такие действия младшего состава юридически защищены, заявителя не могут списать на берег. Даже если капитан в итоге оказался прав, концепция и компании запрещают наказывать или увольнять офицера
🍀капитан не может просто бросать в воздух команды, любые команды повторяются, а затем — по каждому действию идёт доклад о выполнении
🍀маршрут судна теперь детально прорабатывается помощником капитана. Капитан больше не может на ходу передумать и пойти другим путём без переутверждения плана всей командой
🍀при определении местоположения судна или изменении курса кто-то должен перепроверить данные по другому источнику и подтвердить или смотрите выше
🍀любой член команды мостика имеет право объявить тайм-аут, если он чувствует, что перестал ориентироваться в ситуации. В этот момент все операции, если это безопасно, приостанавливаются для сверки и синхронизации
🍀капитану запрещено перегружать команду задачами во время критических манёвров.
Эту концепцию большинству компаний было бы полезно применить и в своей работе. Но не сгрузить её на рядовых сотрудников и тимлидов. А перенести на уровень директоров. Уверен, многие быстро столкнулся с тем, что большинство «топов» провалятся на первом же пункте.
Авиашоу Фэрчайлд
24 июня 1994 года дальний стратегический бомбардировщик B-52 выполнял тренировочный полёт, готовился к демонстрационному авиашоу. На борту — опытный экипаж, сразу 3 подполковника, лётчики с солидным опытом. Что может пойти не так?
Программа откатана, и самолёт просит разрешение на посадку, но получает распоряжение уйти на второй круг, потому что полоса оказывается заняты.
И в этот момент огромный B-52 Stratofortress, этот дальний стратегический бомбардировщик с восемью двигателями, который создавался в том числе для перевозки ядерного вооружения, с размахом крыла более 56 метров, начинает левый поворот на высоте в 75 метров. Далее из-за резкого крена включается “Гравитация, бессердечная ты сука”, и эта махина врезается в землю.
Дальнейшие расследования быстро выявили, что капитан корабля, командир Холланд к тому моменту уже несколько лет многократно выполнял полёты с нарушениями техники безопасности, выполняя неоправданно резкие манёвры на малых высотах. Даже получал за это выговор, но ни единой дисциплинарной меры не последовало: контролирующие полёты офицеры закрывали глаза на такую халатность.
И потому главный урок для нас следующий:
🍀какой бы опытный и знающий не был руководитель или специалист, нарушения правил, связанных с рисками или, тем более, критическими рисками, должны пресекаться. Для любой выслуги лет и должности, даже для директоров. Особенно — для директоров.
Этот случай частично пересекается по смыслу с предыдущим, но тема слишком важна и встречается избыточно часто, чтобы не остановиться на ней отдельно ещё раз.
Подчинённые Наполеона
Давайте перенесёмся в бельгийское лето 1815 года. Тепло, свежий морской воздух и только залпы сотен орудий возвращают нас в реальность, которая сурова для Наполеона: он проигрывает. Проигрывает и не может получить никакой информации от Груши, одного из генералов, вот уже несколько часов.
В конце концов Наполеон в очередной раз обращается к начальнику штаба, и тот отвечает, что уже отправил курьера. «Бертье послал бы четырёх!» — восклицает Бонапарт.
Бертье бы послал. Луи Александр Бертье почти 30 лет подряд работал у Наполеона и служил на совесть, с полной выкладкой. В 1814 году он решил, что слишком устал от жизни в полях и вышел на пенсию, чтобы наконец-то провести время с женой и детьми. Не откликнулся на призыв Наполеона годом позже. И то ли переживал из-за этого очень сильно, то ли был Людовиком XVIII посажен под домашний арест, чтобы не помогал Бонапарту, но незадолго до битвы при Ватерлоо выпал из окна своего дома насмерть. Что вызвало столь печальный исход, историки не знают. Зато они уверены, что Груши бы получил донесение Наполеона.
А вот сам Эммануэль Груши почти 20 лет командовал крупными кавалерийскими соединениями, но боевой опыт его миновал чуть менее, чем полностью. Хотя его имя и выбито на Триумфальной арке, сердце находится в склепе Дома Инвалидов в Париже, и сам он участвовал в 7 разных войнах, но опыта принятия решений у него не было. И не знал он простого правила Бонапарта: «если не знаешь, что делать, иди на грохот пушек». Вот Эммануэль и простоял эти лишние часы. И прусской армии дал уйти, и допустил своим бездействием поражение Наполеона.
Сам же Наполеон в 1815 году оказался без своих прежних генералов и проиграл.
И потому 5 выводов:
🍀При управлении критическими рисками и передаче важной информации необходимо дублирование системы и её сигналов по разным маршрутам
🍀человек готов жертвовать даже самыми лучшими условиями ради того, чем ему нравиться заниматься, где его ценят, где он ощущает свою значимость и так далее
🍀хорошее резюме не гарантирует умение работать, а принятие решений — отдельный самостоятельный навык. Про это отдельный большой лонгрид я уже набрал на 30 страниц текста. О том, как попадают в руководство, и как на этом строить карьеру, рассчитываю написать в следующие 3 месяца
🍀хорошо работает правило “пушечного грохота” для ключевых сотрудников: они обязаны нарушать устаревший план, если в текущей ситуации следование ему прямо будет противоречить глобальным приоритетам бизнеса. Например, если вы долго делали платный продукт, как вдруг выясняете, что конкурент готовит его более качественный аналог, а то и собирается выпускать его бесплатно. В этом случае простое следование плану — простая потеря времени. Такому проекту точно нужно идти на грохот пушек
🍀и если вы хотите стать Наполеоном, вы должны взращивать в ваших сотрудниках умение думать, видеть ситуацию в целом, принимать решения и так далее. Ведь только думающие сотрудники способны изменить историю
🍀даже гений Наполеона обнуляется без достаточного числа способных действовать самостоятельно подчинённых.
Аэропорт Ла-Гуардия
22 марта в аэропорту Нью-Йорка Ла-Гуардия (LGA) самолёт Air Canada при посадке на высокой скорости столкнулся с пожарной машиной. В сеть попали аудиозаписи, где диспетчер признаётся в собственной ошибке: он разрешил колонне пожарных машин пересечь ВПП и не заметил, что Bombardier CRJ900 уже находится в метрах от земли. Погибли оба пилота, пострадало 40 человек.
Эта авария является наглядным воплощением того, к чему приводит оптимизация вообще на всём.
🧨Началось с экономии на зарплатах, из-за чего постоянно имелась нехватка 10-20% штата. Следом были постоянные переработки, работа по 6 дней в неделю и сверхурочных.
🧨Вообще, диспетчеры не могут работать дольше определённого времени подряд и обязаны брать официальные перерывы в 2 часа на отдых. Вот только руководители «обошли» это ограничение, потому диспетчеры вместо отдыха управляют наземным трафиком, что является крайне напряжённой работой
🧨В тот самый день диспетчер выполнял одновременно обе задачи: управления и воздушным, и наземным транспортом. Официально такое властями разрешено только с полуночи, но на часах 23:37, потому никто же не будет против того, чтобы такое совмещение происходило пораньше? Это было регулярной практикой в LGA
🧨Дополнительную нагрузку создавали и помехи в работе наземной системы обнаружения (ASDE-X), из-за чего диспетчеры годами работали с нечёткой картинкой, избытком помех и шумов
🧨По плану аэропорт должен был за предшествовавший час принять и отправить 31 рейс, но из-за массовых дневных задержек это число составило 51 рейс
🧨За пару минут до аварии диспетчер должен был позвонить по линии экстренной связи по другому вопросу. Потому, когда он вернулся к управлению потоком, то просто забыл о том, что он только что дал самолёту разрешение на посадку. И одобрил пожарной машине возможность пересечения ВПП. Идеальный шторм.
И вот эти совмещения, переработки, мультизадачность и прочие проявления идиотского менеджмента — не единственное:
🧨LGA давно снизил чувствительность ASDE-X к инцидентам, чтобы «не возиться» с ложными срабатываниями. Потому вместо колонны из 7 пожарных машин система с помощью радара видела только 2 больших пятна и не заметила, как одна из них пересекала ВПП. Потому и не выдала никаких предупреждений: эти «два пятна» по всем её расчётам пересекали ВПП после самолёта, хотя и в непосредственной близости
🧨Машины можно было бы оборудовать транспондерами, чтобы каждая высвечивалась на радаре явной точкой, но это же деньги
🧨Этот самый телефон срочной связи с чрезвычайными службами традиционно находится на рабочем столе руководителя. Потому для доступа к нему диспетчер должен не просто переключиться на другую линию, а встать, дойти до другого стола, провести сеанс связи, а затем — вернуться. А ещё там до сих пор аналог, потому нет интеграции с системой сообщений диспетчеров
🧨Хотя сама система ASDE-X считается довольно новой, ей уже более 20 лет. И вся инфраструктура аэропорта является крайне изношенной
🧨За несколько месяцев до трагедии пилоты уже подавали сигналы о небезопасности операций в LGA из-за стресса в работе наземных служб. Ни к чему это не привело.
Продолжать можно долго, я выписал только ключевое из известного. Принципиально добавлю, что управление гражданской авиации США паниковало так сильно, как не бегало при инцидентах с Boeing в 2024 году. Потому что проблема системная.
На Лонг-Айленде, например, работает всего 60% от необходимого числа диспетчеров, потому и уровень переработок в 10 часов в неделю — «облегчённый режим». В аэропорту Лос-Анджелеса за три года было зафиксировано 39 отказов ASDE-X, из-за которых система не работала в общей сложности 160 дней. А в Ньюарке несколько месяцев назад и вовсе на 90 секунд полностью выключались радары диспетчеров.
«Нет, мужик, ты не облажался. Ты сделал всё, что мог«, — эти слова второго диспетчера так же попали на аудиозапись. И он прав. В мире, где системно сталкивается желание всё оптимизировать с глупостью, любой исполнитель делает всё, что может. Вопрос лишь только в том, будет он первым или вторым диспетчером, когда система снова поломается.
Что это значит для бизнеса?
Мультизадачность вредна. Длительные регулярные переработки — не только вредны, но и опасны и даже невыгодны для бизнеса, они буквально гробят бизнес. Я это даже доказывал в отдельном лонгриде: https://habr.com/ru/articles/930156/
Но бизнес “успешно” умудряется регулярно вляпываться в эти ошибки раз за разом. То тимлид вдруг начинает совмещать задачи ещё и руководителя проекта, скрам-мастера или тренера. То программист отвечает сразу за большой спектр задач. То HRы продолжают искать Т-специалистов на Т-должности, но не просто для “потенциала”, а для регулярной эксплуатации. Утром митинги, днём проекты, в промежутках ещё и кодить надо где-то успевать, а по вечерам и ночам ещё и периодически дежурства.
Мозг таких сотрудников и так убивается переработками, так ещё и вот эта “мультизадачность” добивает остатки когнитивных ресурсов, когда в голове одновременно приходится держать множество самых разных задач. Рано или поздно в пиковый момент сотрудник просто забывает закрыть порт, путает вкладки терминала и стирает не ту базу или забывает сделать какое-то простое действие, допускает детскую ошибку.
И потому вот что следует делать:
🍀отказывайтесь от переработок. Они вредны для людей и разрушительны для бизнеса
🍀набор задач для сотрудников, чья деятельность связана с критически значимыми или опасными видами работ, должен быть чётко определён и так организован, чтобы не превышать их возможностей с ними справляться
🍀дежурства — отдельная смена, если в процессе от сотрудника требуется регулярная работа или важны свежие мозги в случае инцидентов. Такая работа должна выводиться отдельно, а не следовать сразу за “обычной”, дневной
🍀в идеале отдых должен быть как перед такими сменами, так и после. Для некоторых компаний будет лучше не работа сутки через двое-трое, а переход на смены по 12 часов
🍀сотрудники, совмещающие задачи мониторинга или дежурства на критических участках не должны выполнять рутинные задачи
🍀система алертов не должна терроризировать дежурных ложными срабатываниями.
Задача регулярного менеджмента — обеспечить дежурной смене “стерильный кокпит”: изолировать от рутины, устранить шум с отвлечениями и предоставить такие инструменты контроля, которые не будут путать сигналы между собой, а взлётную полосу — с рулёжной дорожкой.
Додо пицца
В конце сентября взломали Додо. Хакеры говорят, что увели персданные (имена, телефоны, адреса, историю заказов) за все 15 лет работы компании.
И снова это следствие большого набора ошибок:
🧨компания сделала ставку на бурный рост в куче стран через франшизу, но не обеспечила должного уровня безопасности, пожертвовав устойчивостью ради роста. Зачем нанимать десяток непонятных пентестеров или проводить аудит, мы лучше вбухаем миллиарды во что-то ещё, да?
🧨по предварительному анализу, ошибка была детской — «пароли от баз данных хранились в открытом виде в системах, которые для этого не предназначены». Их допускают люди в дикой спешке. Времени на контроль и исправление не нашлось.
🧨экономия на «управлении секретами». Как можно было не воткнуть сканер хранящихся файлов или структурные автотесты? или не проводить аудит безопасности?
🧨этой весной хакеры уже собирали персданные из дочерней структуры Додо в Белоруссии. Но руководство выводов не сделало
🧨масштаб проблемы усилился крайне тупым решением: данные клиентов не были упакованы в закрытых контурах. Я без всяких наводок и подсказок ещё 10 лет назад в Модульбанке, когда организовывал единые таблицы поведения клиентов из 10 систем, изолировал персданные. Есть ClientID с указанием отдельных интерпретированных кодов, пользуйтесь. Но для Додо даже такой примитив оказался недоступен
🧨ах да, это же прямейший симптом дичайшего легаси, если за 15 лет это не было пофикшено ни разу. Денег, наверное, не нашлось?
🧨Ах, да, в Додо принята политика “мягких переработок” — и симптом, и отдельная причина. Сотрудников культура подталкивает к работе по 60 часов. Уставший мозг физиологически не способен качественно обеспечивать безопасность.
Проблема масштабирования существовала и ранее. Многие компании не готовились к нему должным образом, сваливая недостатки архитектуры и организации на сотрудников.
Сейчас ИИ способен мгновенно выдавать огромные чёрные ящики, чьё содержание проверяется по остаточному принципу, а безопасность, как и раньше — недофинансируется. С другой стороны, тот же ИИ с лёгкостью взламывает самые разные системы. И уставшие от переработок и работы на износ сотрудники легко проваливают даже простенькие тесты на социальный взлом.
Следом число инцидентов, взломов и проблем кратно растёт. Например, вчера в США приостановили вылеты самолётов из-за масштабного сбоя в системе связи. По первым новостям — даже не хакеры, а просто неадекватное обновление системы.
И потому вопросам безопасности и качества релизов нужно уделять даже больше внимания, чем раньше:
🍀фокусироваться надо не на Time-to-market, а на Value-to-market или Time-to-value. Просто потому, что согласно исследованиям гонка за TTM в итоге приводит к ухудшению финансовых результатов, а не к росту
🍀это позволяет пилить продукты реже, но намного больше внимания уделять их проработке, включая протоколы безопасности
🍀а ещё позволяет внедрить правило, что без отмашки служб безопасности новые продукты могут откладываться или вовсе отменяться
🍀а это уже даёт время и на организацию безопасного хранения данных, и на более качественную подготовку процессов, сотрудников и инфраструктуры к масштабированию.
И снова. Один отдохнувший архитектор, который работает не более 40 часов в неделю, внедрит и более качественные системы безопасности, и защитит компанию лучше, и отреагирует на инциденты лучше, чем его бессмысленно пашущие по 50-60 и более часов коллеги.
Селлафилд
10 октября 1957 года на атомной электростанции «Селлафилд» произошла крупнейшая в Великобритании авария, впоследствии получившая 5 уровень по Международной шкале ядерных событий. У Чернобыля и Фукусимы — 7, максимальный, для понимания. На тот момент применение графита как замедлителя нейтронов было мало изучено, потому для всех стало неожиданно, что он перегрелся и загорелся. Систем охлаждения реактора не было, пожар распространился, произошёл выброс радиации. После того, как пожар потушили, АЭС законсервировали.
Прямых жертв не было, по оценкам около 240 человек в окрестностях умерли из-за рака.
Самое интересное произошло в 2005 году. В апреле специальной комиссией был обнаружен факт утечки радиоактивных веществ. Расследование показало, что она началась ещё в августе 2004 года, но обученный персонал, который наверняка знал о том, где они работают, и что там произошло, проигнорировал показания датчиков. На устранение последствий утечки потратили 500 миллионов долларов.
Ещё раз: работающий на атомной станции персонал 8 месяцев минимум игнорировал показания датчиков об утечке радиации. Воистину, «this is fine».
Этот случай — самый наглядный пример того, что если в вашей системе мониторинга «горит» хотя бы один алерт, который команда считает некритичным и не собирается чинить прямо сейчас — ваша система оповещения мертва. И вы сознательно растите свой Селлафилд.
🍀Любое уведомление должно быть жёстким триггером к немедленному действию, либо оно должно быть удалено из системы. Фонового шума быть не должно.
🍀К каждому алерту должна быть привязана чёткая инструкция с описанием того, что должен делать сотрудник
🍀В идеале — при возникновении алерта непосредственно на мониторе должна выводиться краткая инструкция, что необходимо сделать
🍀Сама система должна быть настроена так, чтобы игнорирование алерта какое-то время запускала более систему оповещений уже в адрес других сотрудников.
В Селлафилде 8 месяцев смотрели на утечку радиации и молчали не потому, что они были шпионами или диверсантами, а потому, что алерты в культуре менеджмента стали деталью интерьера.
Капибары
Небольшая передышка.
Капибара — одно из самых умилительных животных на планете. При этом они настолько социальны и дружелюбны, что нравятся буквально всем, даже крокодилам. И те их не атакуют, позволяя даже роиться вокруг или путешествовать верхом. Так ведь?
Не совсем. Крокодилы по-прежнему остаются хищниками, а для капибар — критическим риском. Но эти водосвинки настолько развили в себе скорость реагирования, ловкость и умение плавать, что крокодилам за ними гоняться — только тратить силы попусту в 99,99% случаев. Потому и получается столь мирное соседство.
Более того, водоёмы и сами аллигаторы мешают прочим хищникам в охоте за капибарами: ягуарам, анакондам или оцелотами. То есть, самые крупные современные грызуны настолько смогли приспособиться к одному критическому риску, что у них сильно упала необходимость сталкиваться с другими критическими рисками. Вот такой вот риск-менеджмент в природе.
Современный садистский менеджмент одновременно пытается требовать от сотрудников быть гибкими и загоняет при этом их в состояние постоянных переработок. Вот только уставшая капибара долго не проживёт среди крокодилов — просто в один момент не успеет среагировать.
🍀Компании следует выделять группу ключевых сотрудников, которые отвечают за создание и реализацию уникальных конкурентных преимуществ и стратегическое управление. И как минимум им необходимо создать такие условия, чтобы они максимум времени оставались со свежими мозгами и качественно воплощали свои задачи
🍀Другим вариантом отражения этого кейса будет создание динамической защиты вместо сплошной системы запретов. С проверкой на устойчивость и стабильность. С архитектурой автоматического восстановления, и речь не только про ИТ
🍀Такое уникальное сочетание свежих людей и уникальной системы адаптации позволит бизнесу комфортно ощущать себя там, куда не сунутся конкуренты.
Любой бизнес связан с рисками. Умение адаптироваться к рискам открывает новые возможности.
Нет, конечно, есть ещё безбашенный медоед, который устроен так, что он легко переносит многие традиционно критические для остальных риски. Но, прекрасно понимая, что сейчас за руководятлы находятся в абсолютном большинстве компаний, на её разборе советовать ничего не буду. Потому что в итоге будет реализована модель камня, а виноват в этом буду я.
Пожары в зданиях
Разбору полётов уделяется ещё меньше времени, чем предупреждению критических рисков, аварий и катастроф. Из-за этого не делаются должные выводы, а системы безопасности и реагирования сохраняют дыры внутри себя. И на выходе вероятность повторения даже увеличивается, потому что теперь злоумышленники лучше знают, что может сработать.
Как может выглядеть анализ произошедшего. Например, произошёл пожар из-за поджога в абстрактном торговом центре «Летняя вишня», в котором погибли люди. Это одна большая метафора, все совпадения случайны, все нелепости для наглядности доведены до гротеска.
Сперва мы рассматриваем, как сработали системы предотвращения и предупреждения. Буквально разбираем работу каждого барьера на пути воплощения в жизнь критического риска за другим и в сильно упрощённом виде получаем:
🧨пожарная сигнализация не сработала. В системе была заложена ошибка: сигнал шёл в систему наблюдения, а не включалась автоматически. Автоматика была, но её отключили, потому что были множественные ложные случаи и локальные поджоги детьми, которые быстро устранялись
🧨сотрудник на системе видеонаблюдения получил тревожный сигнал, но кнопку пожаротушения не активировал долгое время: не имел подходящего опыта и квалификации; не обладал подходящими инструкций; не был достаточно обучен; не знал об отключении автоматики и думал, что система пожаротушения уже работает. И это не вина сотрудника
🧨инструкции по реагированию на пожар были созданы в 2013 году и с тех пор не обновлялись, хотя здание было перестроено, а системы автоматического реагирования — изменены
🧨пожарные выходы были частично закрыты: старые были закрыты, а действующие появились уже после 2013 года
🧨службы внешнего контроля закрывали глаза на проблемы: потому что проще и дешевле было организовать им «вспомоществование», чем их устранять
🧨пожар быстро распространился, потому что при последних ремонтах экономили на подрядчике и материалах, из-за чего применялись легковозгорающиеся материалы совсем без элементов их нейтрализации
🧨чаще всего поджогами баловались плохо говорящие по-русски дети, которые ещё не подпадают под УК РФ и не понимают всей серьёзности. Можно было бы собрать статистику таких случаев и подать запрос на понижение возраста ответственности детей за такие деяния. Или повысить на уровне государства ответственность родителей за такие проступки. Или спросить, кто и почему пустил этих детей на территорию ТЦ, а родителей — в пределы страны
🧨отдельно стоит рассмотреть, были ли похожие события в прошлом, в том числе в других зданиях, и что могло быть исправлено ранее, но кто ж такое до инцидентов рассматривает.
На выходе формируем план по устранению и предотвращению. Задача здесь: выстроить новые барьеры и починить сломанные, чтобы не допустить новых воплощений критических рисков.
Затем в нашем полностью придуманном примере со сгоревшей «Летней Вишней» мы разбираем порядок реагирования на сам пожар:
💚почему не заработала система пожаротушения даже после нажатия кнопки
💚почему система дымоудаления работала локально, а не по всему помещению
💚какие действия предпринимали сотрудники в части помощи посетителям ТЦ, как работала охрана и так далее
💚отдельно вынесу: хвалим и награждаем тех сотрудников, кто работал на совесть и сделал даже больше, чем по должностной инструкции.
Всё, как в предыдущем пункте. И делаем новый список: был план или нет, что выполняли хорошо, где делали ошибки, а где — повторяли. На выходе дополняем план по устранению и предотвращению. Нужно ли говорить, что каждая строка — это конкретный ответственный, а за все строки в сумме отвечает руководство?
После этого государственные органы берут этот план, пополняют свои имеющиеся процедуры проверки и идут с ним проверять другие объекты. А через какое-то время возвращаются проверить, как идёт работа по устранению и улучшению.
Если все молодцы, в идеале связки прорех в барьерах не повторяются, как минимум — какие-то всё-таки одиночно срабатывают, как максимум — устраняются все дыры, в том числе вновь обнаруженные. То есть, произошедшее в этой «Летней Вишне» потом должно быть полностью исключено и в случае пожаров на огромных складах различных интернет-магазинов или небольших клубов, как и в других ТЦ из-за злоумышленников.
В фантастическом мире, конечно, ещё и возникает уголовная ответственность конкретных людей со стороны контролирующих органов, но мифы и домыслы не входят в мою придуманную корпоративную инструкцию.
И помните, что для наглядности мы взяли заведомо сложный, комплексный пример, где эксперты бы с лёгкостью установили, что «большинство жертв погибло не от из-за самого наступления критического риска, а от преступной халатности владельцев и контролирующих органов».
И потому главный вывод из этого кейса довольно прозрачный.
Если в вашей компании за регулярные факапы наказывают исполнителей и ограничиваются этим, вы себе только вредите.
🍀следует проводить разбор ошибок и проблем, но не с целью наказать виновных, а с целью выявления причин и их устранения в дальнейшем
🍀если вы будете нацелены на наказание сотрудников, они будут до последнего скрывать инциденты, подделывать отчёты, отключать и обманывать систему алертов и так далее. И это открывает дверь как для старых ошибок, так и новых
🍀задача управления — лечить и настраивать систему, а не наказывать исполнителя. И тем более — не находить крайних и стрелочников
🍀потому за преждевременное нахождение ошибки стоит не наказывать, а поощрять
🍀и стоит разбирать не только работу системы предотвращения, но и то, насколько оказалась ваша компания готова отреагировать на события
🍀итогом таких разборов должны стать развитие всей системы или более точная её настройка.
В конце концов, выстраивание честной культуры Blameless Post-mortem — одна из характерных черт для лидеров самых разных отраслей и является одним из предикторов того, что экономика компании будет развиваться опережающими темпами.
9/11
Помните 9/11? Я отлично помню. Только вернулся с военной кафедры в общагу, сел обедать, как влетел однокурсник со криками «Там Америку бомбят»!
Рабочий день. В одно из зданий бизнес-центра влетает самолёт. А ещё через час — другой самолёт в другую башню. Включается сирена. Что будут делать люди в таких условиях? Проследуют плану эвакуации? Нет.
Исследователи опросили 271 успешно покинувших здание и установили, что только 8% людей сразу же стали исполнять предписанное. Остальные — выполнили перед этим хотя бы 1 лишнее действие: сохранили документы на компьютере, переобулись, собрали вещи или позвонили родственникам.
Большинство приступило к эвакуации только через 8 минут, некоторые — только через полчаса. Им ещё повезло. Они успели доделать и сохранить нужные документы. Часть погибших банально не успели выбраться из-за значительных пробок на лестницах.
Большие, хотя и не сложные расчёты в исследовании «The UK WTC 9/11 evacuation study» прямо говорят, что если бы все находящиеся в Северной башне начали эвакуацию сразу же, выжили бы тоже все. Для Южной башни сложнее, но даже там за 55 минут имелись хорошие шансы для людей с 70-90 этажей. И общее число жертв было бы не около 3 тысяч, а в районе 700-900 человек.
Работа с проблемами и критическими рисками, особенно с реагированием на них очень сильно упирается в оперативность реагирования. И лишняя чашка кофе может стоить жизни и другим людям, и даже бизнесам.
🍀Важно заранее продумать и проработать сценарии реагирования. В идеале — автоматические с жёстким временным тригером. Не только в части критических событий, но и в части многих нестандартных, которые способны принести серьёзный ущерб.
Например, если значимая метрика горит красным какое-то время, и система не получает ответа от операторов, сигнал передаётся на другие источники, а на экраны способных отреагировать людей прилетает краткая инструкция с описанием, что необходимо сделать. Для мира ИТ это может показаться банальностью, но эта практика даже в ИТ встречается не повсеместно. Тем более — намного реже встречается вне этой отрасли.
🍀Стоит заранее продумать и о том, чтобы автоматически расширить права инцидент-менеджеров в такие моменты. Включая возможность останавливать “конвейер” или даже “обесточивать” и изолировать необходимые участки. Чтобы не нужно было 3 дня согласовывать свои действия с вышестоящими моментами.
🍀И, соответственно, закрепить в системе формирование таких прав в чрезвычайных ситуациях.
Потому что сейчас, когда из-за “вайбкодинга” и ИИ-хакинга число инцидентов увеличивается кратно каждые полгода, неприятные инциденты будут происходить даже там, куда раньше бы те же хакеры ни за что не полезли. И чаще всего дешевле быть готовым.
Volvo
В 1970 году компания Volvo создала особый отдел «Исследования происшествий» или «Traffic Accident Research Team». Его задачи заключаются в том, чтобы приехать на место любых происшествий с участием автомобилей производителя, снять все нужные показания, описать характер аварии и собрать важные деталей.
Какова судьба водителя и пассажиров? Есть ли травмы? Каков был характер аварии? Сила повреждений? Как сработала система безопасности? Каковы были условия? И так далее. Множество вопросов, чтобы описать произошедшее.
Аварии с машинами Volvo происходят по всему миру, не всегда получается приехать на место живьём. В таком случае команда связывается уже с сотрудниками соответствующих органов, запрашивают все документы с многих источников, включая системы видеофиксации. С недавних пор этому помогают и системы внутреннего мониторинга самой машины. И помимо работы общего аналитического отдела, отдельная группа каждый месяц детально разбирает от 2 до 5 случаев отдельно «под микроскопом»
Итоговая цель — на основе этих данных уже проанализировать и дать рекомендации по повышению уровня безопасности водителя и пассажиров. По доработке машины, по настройке её элементов, по изменению принципов их работы.
В 2019 году собранная статистика и результаты этих исследований были открыты для всех остальных производителей автомобилей. Ведь безопасность для Volvo — не просто слова, а часть полноценной стратегии.
Компания так сильно заботится о своей безопасности, потому в мире за всю историю зафиксирован всего 1 случай столкновения автомобиля с подводной лодкой, и это инцидент произошёл с Volvo PV544 в 1961 году.
10 июля 1962 года её инженер по безопасности Нильс Болин получил патент на ремень безопасности. Компания Volvo могла продавать лицензию на выпуск ремней или начать выпускать самостоятельно. Или же просто оставить технологию себе и лишить остальных производителей доступа к ней.
Но многичсленные тесты показали, что ремень настолько эффективен и при этом стабилен, что Нильс предложил компании сделать патент бесплатным. В этом его поддержал глава компании Гуннар Энгеллау, который незадолго до этого потерял в автомобильной аварии родственника.
Случай, когда нужно похвалить компанию Volvo за то, что не устремилась монетизировать своё изобретение, а спасла сотни тысяч, если не миллионы жизней.
🍀Для бизнеса это буквально означает расширение практики ретроанализа. Но не в части поиска виноватых и назначения крайних, а в вопросах выявления проблем и устранения их будущих повторений
🍀А ещё — что с такими практиками есть смысл обмениваться с коллегами по отрасли. Или даже за их пределами.
2 самолёта на Тенерифе
Закончим лонгрид резюмирующей историей.
Кино приучило нас к тому, что в условиях аварии или катастрофы люди обычно паникуют, совершают хаотичные действия, а то и вредят сами себе. Это совсем не так.
27 марта 1977 года на Тенерифе на взлётной полосе столкнулось 2 самолёта Боинг 747. Один из самолётов загорелся, и огонь понемногу устремился к топливным бакам. Лишь немногие сориентировались, выбрались из кресел и начали спрыгивать через дыру в фюзеляже. Да, с высоты в 6-8 метров, да, многие получили травмы и переломы, но в итоге выжило 61 человек.
В это же время в горящем самолёте продолжали сидеть многие пассажиры. Они не кричали и не паниковали, так и остались пристёгнуты ремнями в ожидании каких-то команд, распоряжений. И их было абсолютное большинство. И они так и погибли, когда огонь добрался до топливных баков. К сожалению.
Наш мозг устроен таким образом, что примерно 10% человек — люди действия, кто в условиях критической угрозы собираются, оценивают обстановку, принимают решения и, по возможности, спасают себя и остальных. Ещё 10% человек — те самые паникёры, люди, которые теряют контроль и своими действиями мешают остальным.
80% же остальных — ведомые. Им нужны чёткие команды, прозрачные планы или понятная подготовка. Их мозг в режиме резкого стресса отключается, они просто замирают.
И вот что способно вывести людей из такой ситуации в режиме ЧС:
0. Толпа глупа
Люди — стадные существа, потому, когда все сидят и бездействуют, это не означает, что так и надо делать. Наоборот, если что-то произошло, надо отчётливо помнить, что в первые минуты толпа всегда ошибается.
🍀И потому №0: никогда не смотреть на то, что делает большинство.
Конкуренты могут находиться в том же «искажении нормальности» и коллегиально лететь в пропасть, как себя вели практически все американские банки до кризиса 2008 года: сигналы о проблемах с рисками приходили повсеместно, но они игнорировались. В том числе и потому, что “все делают так, значит, это нормально”.
1. Метод «Если… то»
Один из спасшихся, Пол Хек, ещё до взлёта сел в кресло, посчитал количество рядов до аварийного выхода и мысленно проговорил: «Если что, я не буду ждать команду. Я расстегну ремень, схвачу жену, и мы побежим вот туда». Этим вы создаёте в мозгу готовую программу на аварийный случай.
🍀Правило №1: заранее определяйте критические точки реагирования и логику поведения в такой ситуации. Например: «Если через 6 месяцев после запуска проекта количество платных клиентов не достигает 2%, а экономика не выходит на уровень “Сумма1”, мы идём по Сценарию А. А если оказывается ниже 1% и экономика оказывается хуже “Суммы2”, мы идём по Сценарию Б. Регулярная предварительная проработка сценариев позволяет оперативней отсекать нежелательные потери.
Когда триггер сработает, у вас не будет дискуссий и паники — вы просто запустите готовый сценарий.
По вопросу формирования сценариев у меня был отдельный лонгрид про 10 правил для старта сценарного планирования.
2. Тактическое дыхание
В режиме жесточайшего стресса пульс начинает зашкаливать, а кора головного мозга, отвечающая за логику, отключается. Чтобы вернуть контроль, нужно дышать и задерживать дыхание на 4.
🍀Правило №2: у вас должны быть ответственные сотрудники, которые должны не только быть готовы реагировать на какие-то критические события, но и иметь проработанные планы на случай, что и как все должны делать на случай ЧП. Как минимум — чтобы дать возможность части руководителей выдохнуть, осмотреться по сторонам и начать реагировать уже более точечно. Причём, не только в одном каком-то отделе, но и внутри каждого департамента.
Например, в случае попадания компании в кассовый разрыв, финансисты должны заранее понимать, какие расходы и проекты в таком случае сохраняются, а какие — замораживаются.
3. Физическое действие, которое выведет из ступора
Типичная для большинства людей реакция «Замри» парализует мышцы. Чтобы разрушить этот блок, нужно совершить даже минимальное, но осознанное физическое действие. Например, крепко сжать кулаки или сильно ущипнуть себя.
🍀Правило №3: нужно разорвать паралич управления операционным решением или действием. В идеале — с подачи автоматического оповещения о проблеме и порядке её разрешения. А ещё — с подключением профильных специалистов. Главное — нетипичным для обыденности действием показать остальным пример, что всё начало двигаться.
4. Правило трёх секунд и отказ от перфекционизма.
В экстремальной ситуации плохое своеременное решение чаще всего оказывается лучше идеального, но принятого позднее. Потому самое главное — сконцентрироваться на том, что должно быть сделано прямо сейчас.
🍀Правило №4: плохой план лучше никакого. Сценарий, в котором выполнимы хотя бы 3 пункта из 5, лучше идеального, но через 2 недели.
Система, которая сразу предлагает набор решений, лучше, чем ничего.
Следующую часть я постараюсь вам выдать в ближайшие 1-2 недели.
Все эти лонгриды пишутся по мотивам заметок, которые я регулярно пишу в своём канале «Тру финансы». Если тема управления вам интересна, подписывайтесь на мой телеграм‑канал. Там не столько про финансы, сколько про менеджмент сквозь призму финансов на основе научного подхода.
ссылка на оригинал статьи https://habr.com/ru/articles/1107720/