Как «эффективное управление» оборачивается катастрофами: часть 1

Аэрофлот вводит систему оценки пилотов, одним из показателей которой станет «топливная эффективность». Предполагается, что за каждый литр керосина, израсходованный сверх плана, будут снимать баллы. Исключение предусмотрено для ухода на запасной аэродром и возвращения в аэропорт вылета.

Многие профессиональные организации уже выступили против этого решения: оно создаёт дополнительное давление на пилотов. А такое давление повышает риск аварий и катастроф. Другой возможный результат — пассажиры станут гораздо чаще оказываться в соседних городах или возвращаться в пункт отправления вместо того, чтобы добраться до места назначения.

За этим, очевидно, последует резкое падение доверия: если не ко всей отрасли, то к Аэрофлоту как минимум.

Несколько лет назад я уже написал двойной лонгрид о том, как жадность и глупость становятся причиной техногенных катастроф. Тогда я также предложил рекомендации по предотвращению критических рисков.

В новой серии лонгридов мы разберём ошибки эффективного менеджмента в повседневном управлении. Посмотрим на проблему шире: какие регулярные практики помогают не только предотвратить реализацию критических рисков, но и в целом сократить число инцидентов.

В первой части нас ждут 11 кейсов. Вместе с рекомендациями они будут в основном посвящены нашей иррациональности и «человеческому фактору».

Costa Concordia

Крушение Costa Concordia — наглядный пример того, как жадность и глупость приводят к катастрофе. 13 января 2012 года гигантский лайнер стоимостью полмиллиарда евро лёг на дно в прекрасную погоду. Причиной стала целая цепочка сознательных ошибок.

🧨Начнём с основного. Судоходная компания одобряла и даже поощряла манёвр под названием «inchino», или «поклон»: лайнер приближался к курортному побережью, включал огни и давал громкие гудки. Местные жители радовались, пассажиры восторгались, а социальные сети обеспечивали бесплатную рекламу.

🧨Подобные нарушения годами оставались без внимания, а связанные с ними риски никто всерьёз не оценивал.

🧨В тот роковой день судно тоже отклонилось от маршрута и должно было пройти мимо скал под ручным управлением.

🧨Экипаж пользовался навигационными картами слишком крупного масштаба, на которых многие рифы не были отмечены.

🧨Чтобы оказать особую честь некоторым пассажирам, их вопреки правилам пригласили на мостик. Молчать гостей никто не просил: они праздновали и отвлекали офицеров.

🧨Для манёвра отключили не только автопилот, но и навигационные приборы: иначе они постоянно предупреждали бы о близости дна, отклонении от курса и других опасностях.

🧨Младшие офицеры видели, что корабль направляется к скалам, но не решались возразить капитану Скеттино. Тот славился буйным нравом и годами приучал подчинённых к беспрекословному послушанию.

🧨Когда Скеттино понял, что судно идёт не туда, он попытался срочно связаться с рулевым. Тот был индонезийцем и плохо понимал команды, поэтому перепутал лево и право. Лайнер налетел на риф, который распорол 53 метра обшивки. Впрочем, эксперты установили, что корабль был обречён и без этой ошибки.

🧨Капитаном назначили человека с нарциссическим расстройством, который в критический момент думал прежде всего о собственной репутации и жизни, а не о пассажирах. Скеттино пытался самостоятельно исправить положение. Вместо своевременной эвакуации на остров, находившийся примерно в сотне метров, целый час по громкой связи сообщали, что ситуация под контролем, пока трюм наполнялся водой, а лайнер кренился.

🧨Местные службы неоднократно связывались с судном, но всякий раз слышали, что всё в порядке и нужно лишь перезапустить генератор.

🧨Тем временем крен увеличивался. Когда эвакуацию наконец объявили, половину спасательных шлюпок уже заклинило из-за сильного наклона.

🧨Сам капитан покинул корабль одним из первых. Типичный Скеттино у руля.

Людям повезло: изменившиеся ветер и течение прибили судно к берегу, а не унесли в море. Однако из-за промедления погибли 32 человека. Утилизация лайнера и ликвидация последствий обошлись в 2 миллиарда долларов. Капитан получил 16 лет лишения свободы, ещё пятеро его подчинённых — от одного до трёх лет. Топ-менеджмент переложил всю вину на них, а генеральный директор спустя полгода после катастрофы ушёл с выходным пособием в 1,2 миллиона евро.

Что это значит для бизнеса?

Капитан на корабле — первый после бога. До 2012 года эта поговорка отражала порядок на многих судах: капитанские решения не обсуждались, его авторитет считался непререкаемым, а любое возражение воспринималось как бунт.

Крушение Costa Concordia показало, что абсолютная власть руководителя опасна. Офицеры замечали ошибку капитана, но молча наблюдали, как авария становится неизбежной.

Международная морская организация и крупнейшие круизные компании осознали необходимость изменить порочную систему подчинения. За основу взяли концепцию Bridge Resource Management. Её рекомендовали применять и раньше, но теперь она стала обязательной. Главное изменение: капитан больше не играет на судне единственную сольную партию.

🍀Перед каждым сложным манёвром капитан проводит брифинг со всей командой мостика и лоцманом: рассказывает о своих намерениях, предполагаемых трудностях и запасном плане.

🍀Офицеры могут оспаривать действия капитана, если судно отклоняется от плана или возникают непредвиденные обстоятельства.

🍀Каждый ответственный сотрудник на мостике должен последовательно сообщить о проблеме, выразить обеспокоенность, а если реакции нет — предложить решение и при необходимости потребовать остановить или изменить манёвр.

🍀Такие действия младшего состава юридически защищены: заявителя нельзя списать на берег. Даже если в итоге прав оказался капитан, концепция и правила компаний запрещают наказывать или увольнять офицера.

🍀Капитан не может просто отдавать команды в пространство: каждую команду повторяют, а затем докладывают о её выполнении.

🍀Маршрут подробно прорабатывает помощник капитана. Сам капитан больше не может передумать на ходу и выбрать другой путь без повторного утверждения плана всей командой.

🍀При определении местоположения или изменении курса другой сотрудник должен сверить данные с независимым источником и подтвердить их. При расхождении следует действовать по описанной выше процедуре.

🍀Любой член команды мостика вправе объявить тайм-аут, если чувствует, что потерял ориентацию в ситуации. Если это безопасно, операции приостанавливают, чтобы сверить данные и согласовать действия.

🍀Во время критически важных манёвров капитану запрещено перегружать команду дополнительными задачами.

Большинству компаний стоило бы перенести эту концепцию в свою работу. Причём применять её нужно не только к рядовым сотрудникам и тимлидам, но прежде всего к директорам. Уверен, очень скоро выяснилось бы, что многие топ-менеджеры не справляются уже с первым пунктом.

Авиашоу Фэрчайлд

24 июня 1994 года дальний стратегический бомбардировщик B-52 выполнял тренировочный полёт перед демонстрационным авиашоу. На борту находился опытный экипаж, в том числе трое подполковников с солидным лётным стажем. Что могло пойти не так?

Программа выполнена, самолёт запрашивает разрешение на посадку, но получает указание уйти на второй круг: полоса занята.

И тут огромный B-52 Stratofortress — восьмидвигательный стратегический бомбардировщик с размахом крыльев более 56 метров, созданный в том числе для перевозки ядерного оружия, — начинает левый поворот на высоте 75 метров. Из-за резкого крена в дело вступает «гравитация, бессердечная ты сука», и машина врезается в землю.

Расследование быстро установило, что командир Холланд на протяжении нескольких лет неоднократно нарушал требования безопасности, выполняя неоправданно резкие манёвры на малой высоте. Ему даже объявляли выговор, но других дисциплинарных мер не последовало: офицеры, отвечавшие за контроль полётов, закрывали глаза на опасное поведение.

Главный урок для нас таков:

🍀Каким бы опытным и компетентным ни был руководитель или специалист, нарушения правил, связанных с рисками, а тем более с критическими рисками, необходимо пресекать. Независимо от стажа и должности, включая директорские. Особенно директорские.

Этот случай отчасти перекликается с предыдущим, но проблема слишком важна и встречается слишком часто, чтобы не обсудить её отдельно.

Подчинённые Наполеона

Перенесёмся в Бельгию летом 1815 года. Тепло, свежий морской воздух — и лишь залпы сотен орудий возвращают нас к суровой для Наполеона действительности: он проигрывает. К тому же уже несколько часов не получает никаких известий от одного из своих генералов, Груши.

Наконец Наполеон снова обращается к начальнику штаба. Тот отвечает, что уже отправил курьера. «Бертье послал бы четырёх!» — восклицает Бонапарт.

Бертье действительно послал бы. Луи Александр Бертье почти 30 лет служил Наполеону, работая добросовестно и с полной отдачей. В 1814 году он решил, что устал от походной жизни, и вышел в отставку, чтобы наконец побыть с женой и детьми. Год спустя на призыв Наполеона он не откликнулся. Возможно, он тяжело переживал это решение; по другой версии, Людовик XVIII посадил его под домашний арест, чтобы тот не помог Бонапарту. Незадолго до битвы при Ватерлоо Бертье выпал из окна своего дома и погиб. Что именно произошло, историкам неизвестно. Зато они уверены: при Бертье донесение Наполеона дошло бы до Груши.

Сам Эммануэль Груши почти 20 лет командовал крупными кавалерийскими соединениями, однако боевой опыт во многом обошёл его стороной. Его имя высечено на Триумфальной арке, сердце покоится в склепе Дома инвалидов в Париже, а за плечами было участие в семи войнах, но навыка самостоятельного принятия решений ему недоставало. Он не знал простого правила Бонапарта: «Если не знаешь, что делать, иди на грохот пушек». Груши потерял драгоценные часы, позволил прусской армии уйти и своим бездействием способствовал поражению Наполеона.

В 1815 году Наполеон остался без прежних генералов — и проиграл.

Отсюда несколько выводов:

🍀При управлении критическими рисками и передаче важной информации необходимы резервные системы и дублирование сигналов по разным каналам.

🍀Человек готов отказаться даже от самых выгодных условий ради дела, которое ему нравится, в котором его ценят и где он чувствует собственную значимость.

🍀Впечатляющее резюме не гарантирует способности хорошо работать, а принятие решений — самостоятельный навык. На эту тему я уже написал отдельный лонгрид объёмом 30 страниц. О том, как люди попадают на руководящие должности и как строить на этом карьеру, рассчитываю рассказать в ближайшие три месяца.

🍀Для ключевых сотрудников полезно правило «пушечного грохота»: они должны отходить от устаревшего плана, если следование ему противоречит главным приоритетам бизнеса. Допустим, вы долго разрабатывали платный продукт и вдруг узнали, что конкурент готовит более качественный аналог или собирается выпустить его бесплатно. В такой ситуации прежний план может обернуться пустой тратой времени. Проекту необходимо идти на грохот пушек.

🍀Если вы хотите стать Наполеоном, развивайте в сотрудниках умение думать, видеть общую картину и принимать решения. Только мыслящие люди способны менять историю.

🍀Даже гений Наполеона теряет силу без достаточного числа подчинённых, способных действовать самостоятельно.

Аэропорт Ла-Гуардия

22 марта в нью-йоркском аэропорту Ла-Гуардия (LGA) самолёт Air Canada при посадке на высокой скорости столкнулся с пожарной машиной. В сеть попали записи переговоров, на которых диспетчер признаёт ошибку: он разрешил колонне пожарных машин пересечь взлётно-посадочную полосу и не заметил, что Bombardier CRJ900 уже находится в нескольких метрах от земли. Оба пилота погибли, 40 человек пострадали.

Эта авария наглядно показывает, к чему приводит экономия буквально на всём.

🧨Всё началось с экономии на зарплатах: аэропорту постоянно не хватало 10–20% сотрудников. Как следствие — регулярные переработки, шестидневная рабочая неделя и сверхурочные смены.

🧨Диспетчерам запрещено работать непрерывно дольше определённого времени, а официальные перерывы на отдых должны составлять два часа. Руководство «обошло» ограничение: вместо отдыха диспетчеры управляют наземным движением, что само по себе требует большого напряжения.

🧨В день аварии диспетчер одновременно отвечал за воздушное и наземное движение. Официально совмещать эти функции разрешено только после полуночи, но часы показывали 23:37. Видимо, начать немного раньше никому не казалось проблемой. В LGA это было обычной практикой.

🧨Дополнительную нагрузку создавали помехи в работе системы наблюдения за наземным движением ASDE-X. Годами диспетчерам приходилось работать с нечётким изображением и множеством помех.

🧨За предшествующий час аэропорт планировал принять и отправить 31 рейс, однако из-за дневных задержек их оказалось 51.

🧨За несколько минут до аварии диспетчеру пришлось позвонить по линии экстренной связи по другому вопросу. Вернувшись к управлению движением, он забыл, что только что разрешил самолёту посадку, и позволил пожарной машине пересечь полосу. Идеальный шторм.

Но совмещение обязанностей, переработки, многозадачность и другие признаки плохого управления — ещё не всё:

🧨В LGA давно снизили чувствительность ASDE-X, чтобы не разбираться с ложными срабатываниями. В результате радар показывал колонну из семи пожарных машин как два крупных пятна и не заметил, что одна из машин пересекает полосу. Предупреждения не последовало: по расчётам системы оба «пятна» должны были пересечь ВПП после самолёта, хотя и в непосредственной близости от него.

🧨Машины можно было оснастить транспондерами, чтобы каждая отображалась на радаре отдельно. Но это потребовало бы расходов.

🧨Телефон экстренной связи со службами традиционно находится на столе руководителя. Чтобы им воспользоваться, диспетчеру нужно не просто переключить линию, а встать, подойти к другому столу, поговорить и вернуться. Кроме того, телефон остаётся аналоговым и не интегрирован с системой сообщений диспетчеров.

🧨Хотя ASDE-X считается сравнительно новой системой, ей уже больше 20 лет. Да и инфраструктура аэропорта в целом сильно изношена.

🧨За несколько месяцев до трагедии пилоты уже предупреждали об опасности операций в LGA, связанной с нагрузкой на наземные службы. Эти сигналы ни к чему не привели.

Список можно продолжать: я перечислил лишь основные известные обстоятельства. Добавлю важное: управление гражданской авиации США отреагировало на происходящее с большей тревогой, чем на инциденты с Boeing в 2024 году. Причина в том, что проблема носит системный характер.

Например, на Лонг-Айленде работает лишь 60% необходимого числа диспетчеров, поэтому десять часов переработки в неделю там считаются «облегчённым режимом». В аэропорту Лос-Анджелеса за три года зафиксировали 39 отказов ASDE-X, из-за которых система суммарно не работала 160 дней. А в Ньюарке несколько месяцев назад диспетчерские радары и вовсе полностью отключились на 90 секунд.

«Нет, мужик, ты не облажался. Ты сделал всё, что мог», — слова второго диспетчера тоже попали на запись. И он прав. Когда стремление всё оптимизировать систематически сочетается с глупостью, исполнитель делает всё, что в его силах. Вопрос лишь в том, окажется ли он первым или вторым диспетчером, когда система снова даст сбой.

Что это значит для бизнеса?

Многозадачность вредна. Продолжительные регулярные переработки не просто вредны, но и опасны, а для бизнеса ещё и невыгодны: они буквально его разрушают. Я подробно разбирал это в отдельном лонгриде: https://habr.com/ru/articles/930156/

Тем не менее компании снова и снова совершают одни и те же ошибки. Тимлид вдобавок становится руководителем проекта, скрам-мастером или тренером. Программисту поручают чрезмерно широкий круг задач. HR ищут T-специалистов на T-должности не ради развития их потенциала, а для постоянной эксплуатации. Утром встречи, днём проекты, между ними нужно успеть написать код, а по вечерам и ночам — периодически дежурить.

Переработки и без того истощают сотрудников, а многозадачность добивает оставшиеся когнитивные ресурсы: человеку приходится одновременно удерживать в голове множество разнородных вопросов. Рано или поздно в напряжённый момент он забудет закрыть порт, перепутает вкладки терминала и удалит не ту базу либо пропустит простое действие. Иными словами, совершит элементарную ошибку.

Поэтому стоит сделать следующее:

🍀Откажитесь от переработок. Они вредят людям и разрушительны для бизнеса.

🍀Чётко определяйте круг обязанностей сотрудников, занятых на критически важных или опасных участках, и организуйте работу так, чтобы нагрузка оставалась посильной.

🍀Выделяйте дежурства в отдельные смены, если сотруднику приходится регулярно работать или при инциденте ему необходима свежая голова. Такая смена не должна сразу следовать за обычным рабочим днём.

🍀В идеале отдых нужен и до, и после дежурства. Некоторым компаниям вместо графика «сутки через двое-трое» лучше перейти на 12-часовые смены.

🍀Сотрудникам, которые одновременно отслеживают состояние критических участков или дежурят на них, не следует поручать рутинные задачи.

🍀Система оповещений не должна изматывать дежурных ложными срабатываниями.

Задача регулярного менеджмента — обеспечить дежурной смене «стерильный кокпит»: оградить её от рутины, убрать шум и отвлекающие факторы, а также предоставить инструменты контроля, которые не путают сигналы между собой, а взлётную полосу — с рулёжной дорожкой.

Додо пицца

В конце сентября Додо подверглась взлому. По словам хакеров, они похитили персональные данные — имена, телефоны, адреса и историю заказов — за все 15 лет работы компании.

И снова перед нами результат целого комплекса ошибок:

🧨Компания сделала ставку на стремительное международное развитие по франшизе, но не обеспечила необходимый уровень защиты, пожертвовав устойчивостью ради роста. Зачем нанимать десяток пентестеров или проводить аудит, если можно вложить миллиарды во что-нибудь ещё?

🧨Согласно предварительному анализу, ошибка была элементарной: «пароли от баз данных хранились в открытом виде в системах, которые для этого не предназначены». Подобное происходит в условиях постоянной спешки, когда на проверку и исправление не остаётся времени.

🧨Компания экономила на управлении секретами. Почему не внедрили сканирование файлов или структурные автотесты? Почему не проводили аудит безопасности?

🧨Ещё весной хакеры собирали персональные данные из дочерней структуры Додо в Белоруссии. Однако руководство, похоже, не сделало выводов.

🧨Масштаб последствий усугубило ещё одно неразумное решение: клиентские данные не были изолированы в закрытых контурах. Десять лет назад в Модульбанке я без подсказок изолировал персональные данные, когда организовывал единые таблицы поведения клиентов на основе десяти систем. Есть ClientID и отдельные интерпретированные коды — пользуйтесь ими. Но для Додо даже такое базовое решение оказалось недоступным.

🧨Кроме того, если за 15 лет проблему так и не исправили, это явный признак тяжёлого легаси. Наверное, денег не нашлось?

🧨В Додо также принята политика «мягких переработок». Это одновременно симптом и самостоятельная причина проблем: корпоративная культура подталкивает людей работать по 60 часов. Уставший мозг физиологически не способен так же качественно обеспечивать безопасность.

Проблема масштабирования существовала и раньше. Многие компании не готовились к нему должным образом, перекладывая последствия архитектурных и организационных недостатков на сотрудников.

Теперь ИИ способен мгновенно создавать огромные чёрные ящики, содержимое которых проверяют по остаточному принципу, тогда как безопасность по-прежнему недофинансируется. С другой стороны, тот же ИИ облегчает взлом самых разных систем. А сотрудники, измотанные переработками, легко проваливают даже простые проверки на социальную инженерию.

В результате число инцидентов, взломов и сбоев многократно растёт. Например, вчера в США приостановили вылеты из-за масштабного сбоя системы связи. По первым сообщениям, дело было даже не в хакерах, а в неудачном обновлении.

Поэтому безопасности и качеству релизов необходимо уделять ещё больше внимания, чем прежде:

🍀Сосредоточьтесь не на Time-to-market, а на Value-to-market или Time-to-value. Исследования показывают, что гонка за TTM в итоге ухудшает финансовые результаты, а не улучшает их.

🍀Это позволяет выпускать продукты реже, но тщательнее их прорабатывать, в том числе уделяя больше внимания протоколам безопасности.

🍀Можно также установить правило: без одобрения службы безопасности запуск нового продукта откладывается или даже отменяется.

🍀Так появится время и на безопасное хранение данных, и на более качественную подготовку процессов, сотрудников и инфраструктуры к масштабированию.

Повторю: один отдохнувший архитектор, работающий не более 40 часов в неделю, способен создать более качественную систему защиты, лучше обезопасить компанию и эффективнее отреагировать на инцидент, чем коллеги, бессмысленно работающие по 50–60 часов и больше.

Селлафилд

10 октября 1957 года на атомном объекте «Селлафилд» произошла крупнейшая ядерная авария в Великобритании. Впоследствии ей присвоили пятый уровень по Международной шкале ядерных событий. Для сравнения: Чернобыль и Фукусима получили седьмой, максимальный уровень. На тот момент применение графита в качестве замедлителя нейтронов было изучено недостаточно, поэтому его перегрев и возгорание стали неожиданностью. Систем охлаждения реактора не было, огонь распространился, произошёл выброс радиации. После тушения пожара объект законсервировали.

Непосредственных жертв не было, однако, по оценкам, около 240 жителей окрестностей умерли от рака.

Ещё один показательный случай произошёл в 2005 году. В апреле специальная комиссия обнаружила утечку радиоактивных веществ. Расследование установило, что она началась ещё в августе 2004 года, но обученный персонал, прекрасно понимавший, где работает и что там произошло, игнорировал показания датчиков. На ликвидацию последствий потратили 500 миллионов долларов.

Повторю: сотрудники ядерного объекта как минимум восемь месяцев игнорировали сигналы датчиков об утечке радиации. Настоящее «this is fine».

Это наглядный пример того, что происходит, если в системе мониторинга горит хотя бы один сигнал, который команда считает некритичным и не собирается устранять немедленно. Ваша система оповещения фактически мертва, а вы сознательно выращиваете собственный Селлафилд.

🍀Любое уведомление должно однозначно требовать немедленного действия. Если оно этого не требует, его следует удалить. Фонового шума быть не должно.

🍀К каждому сигналу необходимо привязать чёткую инструкцию для сотрудника.

🍀В идеале краткая инструкция должна появляться непосредственно на экране при срабатывании оповещения.

🍀Систему следует настроить так, чтобы при отсутствии реакции в течение заданного времени уведомление автоматически получали другие сотрудники.

В Селлафилде восемь месяцев наблюдали за утечкой и молчали не потому, что персонал состоял из шпионов или диверсантов. Просто в сложившейся управленческой культуре тревожные сигналы превратились в элемент интерьера.

Капибары

Немного передохнём.

Капибара — одно из самых очаровательных животных на планете. Они настолько общительны и дружелюбны, что нравятся буквально всем, даже крокодилам. Те якобы не нападают на них и позволяют водосвинкам собираться рядом или даже кататься у себя на спине. Так ведь?

Не совсем. Крокодилы остаются хищниками и представляют для капибар критическую угрозу. Однако водосвинки настолько хорошо развили скорость реакции, ловкость и умение плавать, что в 99,99% случаев погоня за ними лишь напрасно расходует силы крокодила. Отсюда и кажущееся мирное соседство.

Более того, водоёмы и сами аллигаторы мешают другим хищникам — ягуарам, анакондам и оцелотам — охотиться на капибар. Иными словами, крупнейшие современные грызуны так хорошо приспособились к одному критическому риску, что стали реже сталкиваться с другими. Вот такой риск-менеджмент в природе.

Современный садистский менеджмент одновременно требует от сотрудников гибкости и загоняет их в постоянные переработки. Но уставшая капибара долго среди крокодилов не проживёт: однажды она просто не успеет среагировать.

🍀Компании стоит выделить группу ключевых сотрудников, отвечающих за создание и реализацию уникальных конкурентных преимуществ и стратегическое управление. Как минимум им необходимы условия, позволяющие большую часть времени сохранять ясную голову и качественно выполнять свои задачи.

🍀Другой способ применить этот пример — создать динамическую защиту вместо сплошной системы запретов: проверять устойчивость и стабильность, строить архитектуру автоматического восстановления. И речь не только об ИТ.

🍀Сочетание отдохнувших людей и эффективной системы адаптации позволит бизнесу уверенно работать там, куда конкуренты побоятся заходить.

Любой бизнес связан с рисками. Способность приспосабливаться к ним открывает новые возможности.

Конечно, есть ещё бесстрашный медоед, который легко переносит многие риски, критические для других животных. Но, представляя, какие руководятлы сейчас преобладают в компаниях, я не буду давать советы на основе его примера. В итоге они реализуют модель камня, а виноватым окажусь я.

Пожары в зданиях

Разбору происшествий уделяют ещё меньше внимания, чем предупреждению критических рисков, аварий и катастроф. Поэтому необходимые выводы не делаются, а в системах безопасности и реагирования сохраняются пробелы. Вероятность повторения может даже возрасти: злоумышленники теперь лучше знают, какие действия сработают.

Как мог бы выглядеть анализ? Допустим, в абстрактном торговом центре «Летняя вишня» произошёл пожар вследствие поджога и погибли люди. Это большая метафора: все совпадения случайны, а нелепости для наглядности доведены до гротеска.

Сначала рассмотрим, как сработали системы предотвращения и предупреждения. Последовательно разберём каждый барьер на пути реализации критического риска. В сильно упрощённом виде получим следующее:

🧨Пожарная сигнализация не сработала. В системе была ошибка: сигнал поступал на пульт наблюдения, но автоматическое включение не происходило. Автоматику отключили из-за многочисленных ложных срабатываний и небольших поджогов, которые устраняли своими силами.

🧨Сотрудник видеонаблюдения получил тревожный сигнал, но долго не нажимал кнопку пожаротушения: ему не хватало опыта и квалификации, подходящих инструкций и обучения. Он также не знал, что автоматика отключена, и считал, что система пожаротушения уже работает. Это не вина сотрудника.

🧨Инструкции по действиям при пожаре составили в 2013 году и с тех пор не обновляли, хотя здание перестроили, а системы автоматического реагирования изменили.

🧨Часть пожарных выходов оказалась закрыта: старые выходы заблокировали, а действующие появились уже после 2013 года.

🧨Внешние контролирующие службы закрывали глаза на нарушения: организовать им «вспомоществование» было проще и дешевле, чем устранять недостатки.

🧨Пожар быстро распространился, потому что во время последних ремонтов экономили на подрядчиках и материалах. В результате использовали легковоспламеняющиеся материалы без средств, снижающих их опасность.

🧨Поджогами чаще всего занимались плохо говорящие по-русски дети, которые ещё не достигли возраста уголовной ответственности и не понимали серьёзности происходящего. Можно было собрать статистику и предложить снизить возраст ответственности за такие действия. Или усилить ответственность родителей. Или выяснить, кто и почему пустил детей на территорию торгового центра, а их родителей — в страну.

🧨Отдельно следует проверить, происходили ли похожие случаи раньше, в том числе в других зданиях, и что можно было исправить заранее. Но кто этим занимается до инцидента?

На основе анализа составляем план устранения недостатков и предотвращения повторений. Задача — создать новые барьеры и восстановить сломанные, чтобы критические риски не реализовались вновь.

Затем в нашем полностью вымышленном примере со сгоревшей «Летней вишней» разбираем действия во время самого пожара:

💚Почему система пожаротушения не заработала даже после нажатия кнопки?

💚Почему дым удалялся только локально, а не из всего помещения?

💚Как сотрудники помогали посетителям торгового центра и как действовала охрана?

💚Отдельный пункт: хвалим и награждаем тех, кто добросовестно выполнял работу и сделал больше, чем требовала должностная инструкция.

Как и прежде, составляем список: существовал ли план, что удалось сделать хорошо, где были ошибки и какие из них повторялись. Затем дополняем план исправлений и профилактики. За каждой строкой должен стоять конкретный ответственный, а за выполнение всего плана отвечает руководство.

После этого государственные органы используют выводы, дополняют существующие процедуры контроля и проверяют другие объекты. Спустя некоторое время они возвращаются, чтобы оценить, как выполняется работа по устранению недостатков.

Если все участники выполняют свою работу, сочетание нескольких пробелов в защите больше не повторяется. Как минимум отдельные барьеры начинают срабатывать, а в идеале устраняются все недостатки, включая обнаруженные позднее. То, что произошло в «Летней вишне», должно быть исключено и на крупных складах интернет-магазинов, и в небольших клубах, и в других торговых центрах.

В фантастическом мире конкретные сотрудники контролирующих органов ещё и несут уголовную ответственность, но мифы и домыслы в мою вымышленную корпоративную инструкцию не входят.

Для наглядности мы взяли сложный комплексный пример, в котором эксперты без труда установили бы: «Большинство жертв погибли не из-за самого критического события, а вследствие преступной халатности владельцев и контролирующих органов».

Главный вывод из этого кейса достаточно очевиден.

Если за регулярные ошибки в вашей компании наказывают только исполнителей и на этом останавливаются, вы вредите самим себе.

🍀Разбирайте ошибки и проблемы не ради наказания виновных, а чтобы найти причины и устранить их.

🍀Если главная цель — наказание, сотрудники будут до последнего скрывать инциденты, подделывать отчёты, отключать оповещения и обходить систему. Это открывает дорогу как старым, так и новым ошибкам.

🍀Задача управления — исправлять и настраивать систему, а не карать исполнителя и тем более не искать крайних.

🍀За своевременное обнаружение ошибки следует не наказывать, а поощрять.

🍀Анализируйте не только работу механизмов предотвращения, но и готовность компании реагировать на произошедшее.

🍀Результатом разбора должно стать развитие всей системы или её более точная настройка.

В конце концов, честная культура Blameless Post-mortem — характерная черта лидеров многих отраслей и один из признаков того, что экономика компании способна развиваться опережающими темпами.

9/11

Помните 9/11? Я помню прекрасно. Только вернулся с военной кафедры в общежитие и сел обедать, как в комнату влетел однокурсник с криком: «Там Америку бомбят!»

Обычный рабочий день. В одно из зданий бизнес-центра врезается самолёт. Затем другой самолёт попадает во вторую башню. Звучит сирена. Что люди делают в такой ситуации? Следуют плану эвакуации? Нет.

Исследователи опросили 271 человека, которому удалось покинуть здание, и выяснили, что лишь 8% сразу выполнили предписанные действия. Остальные сначала совершили хотя бы одно лишнее действие: сохранили документы на компьютере, переобулись, собрали вещи или позвонили близким.

Большинство начали эвакуацию лишь через восемь минут, некоторые — только через полчаса. Им ещё повезло: они успели закончить и сохранить нужные документы. А часть погибших просто не смогла выбраться из-за больших заторов на лестницах.

Обширные, хотя и не слишком сложные расчёты в исследовании «The UK WTC 9/11 evacuation study» показывают: если бы все находившиеся в Северной башне начали эвакуацию сразу, выжили бы все. С Южной башней ситуация сложнее, но даже там за 55 минут были хорошие шансы спастись у людей с 70–90-го этажей. Общее число погибших могло составить не около трёх тысяч, а примерно 700–900 человек.

При работе с проблемами и критическими рисками, особенно при реагировании на них, многое зависит от скорости. Лишняя чашка кофе может стоить жизни людям и даже уничтожить бизнес.

🍀Сценарии реагирования важно продумать заранее. В идеале они должны запускаться автоматически по чёткому временному триггеру. Это касается не только критических событий, но и многих нестандартных ситуаций, способных причинить серьёзный ущерб.

Например, если важная метрика некоторое время остаётся в красной зоне, а система не получает ответа от операторов, сигнал передаётся по другим каналам. На экранах людей, способных вмешаться, появляется краткая инструкция. Для ИТ это может звучать банально, но даже в отрасли такая практика распространена не повсеместно. За её пределами она встречается ещё реже.

🍀Заранее предусмотрите автоматическое расширение полномочий инцидент-менеджеров в чрезвычайных ситуациях. В том числе право остановить «конвейер», обесточить или изолировать необходимые участки, не тратя три дня на согласование с вышестоящим руководством.

🍀Соответственно, порядок предоставления таких полномочий необходимо закрепить в системе заранее.

Сейчас, когда из-за «вайбкодинга» и ИИ-хакинга число инцидентов многократно увеличивается каждые полгода, проблемы будут возникать даже там, куда прежде хакеры вряд ли обратили бы внимание. И чаще всего готовность обходится дешевле.

Volvo

В 1970 году Volvo создала специальный отдел исследования происшествий — Traffic Accident Research Team. Его задача — выезжать на места аварий с участием автомобилей марки, снимать необходимые показания, описывать обстоятельства и собирать важные детали.

Что случилось с водителем и пассажирами? Есть ли пострадавшие? Как произошла авария? Насколько серьёзны повреждения? Как сработали системы безопасности? Каковы были условия? Ответы на множество таких вопросов помогают восстановить картину произошедшего.

Аварии с автомобилями Volvo случаются по всему миру, поэтому лично выехать на место получается не всегда. Тогда команда связывается с представителями соответствующих служб и запрашивает документы из разных источников, включая записи камер. С недавнего времени помогают и встроенные системы мониторинга автомобиля. Помимо работы общего аналитического подразделения отдельная группа ежемесячно подробно, буквально под микроскопом, изучает от двух до пяти случаев.

Конечная цель — проанализировать собранные данные и предложить меры по повышению безопасности водителя и пассажиров: доработать автомобиль, настроить его элементы или изменить принципы их работы.

В 2019 году компания открыла накопленную статистику и результаты исследований для других автопроизводителей. Для Volvo безопасность — не просто слова, а часть полноценной стратегии.

Компания настолько заботится о безопасности, что за всю историю в мире зафиксирован всего один случай столкновения автомобиля с подводной лодкой — и в 1961 году его участником стал Volvo PV544.

10 июля 1962 года инженер Volvo по безопасности Нильс Болин получил патент на ремень безопасности. Компания могла продавать лицензии на производство ремней, выпускать их самостоятельно или оставить технологию исключительно себе, закрыв доступ конкурентам.

Однако многочисленные испытания показали, что ремень одновременно эффективен и надёжен. Болин предложил сделать патент бесплатным. Его поддержал глава компании Гуннар Энгеллау, незадолго до этого потерявший родственника в автомобильной аварии.

За это Volvo заслуживает похвалы: компания не стала извлекать максимальную прибыль из изобретения и тем самым спасла сотни тысяч, если не миллионы жизней.

🍀Для бизнеса это означает необходимость шире применять ретроспективный анализ — не для поиска виновных, а для выявления проблем и предотвращения их повторения.

🍀Такими практиками также полезно обмениваться с коллегами по отрасли и даже за её пределами.

2 самолёта на Тенерифе

Завершим лонгрид историей, которая подводит итог сказанному.

Кино приучило нас думать, что во время аварии или катастрофы люди обычно паникуют, действуют хаотично и даже вредят себе. На деле это не совсем так.

27 марта 1977 года на взлётной полосе Тенерифе столкнулись два Boeing 747. Один из самолётов загорелся, и пламя постепенно приближалось к топливным бакам. Лишь немногие пассажиры быстро сориентировались, выбрались из кресел и стали прыгать через пробоину в фюзеляже. Да, с высоты шести-восьми метров. Да, многие получили травмы и переломы. Но в итоге 61 человек выжил.

В это же время многие пассажиры оставались в горящем самолёте. Они не кричали и не паниковали, а сидели пристёгнутыми и ждали команд или распоряжений. Таких было подавляющее большинство. К сожалению, они погибли, когда огонь добрался до топливных баков.

Наш мозг устроен так, что примерно 10% людей в условиях критической угрозы собираются, оценивают обстановку, принимают решения и по возможности спасают себя и других. Ещё 10% — паникёры, которые теряют контроль и своими действиями мешают окружающим.

Оставшиеся 80% — ведомые. Им необходимы чёткие команды, ясные планы или понятная подготовка. В состоянии сильного стресса они просто замирают.

Вот что может помочь людям выйти из этого состояния при чрезвычайной ситуации:

0. Толпа ошибается

Люди склонны следовать за группой. Но если все вокруг сидят и бездействуют, это не значит, что так правильно. Напротив, при неожиданном происшествии стоит помнить: в первые минуты толпа часто ошибается.

🍀Правило №0: не ориентируйтесь исключительно на действия большинства.

Конкуренты могут находиться под влиянием того же «искажения нормальности» и вместе двигаться к пропасти. Так вели себя почти все американские банки перед кризисом 2008 года: предупреждения о рисках поступали повсюду, но их игнорировали. В том числе потому, что «все так делают, значит, всё нормально».

1. Метод «Если… то»

Один из выживших, Пол Хек, ещё до взлёта посчитал ряды до аварийного выхода и мысленно сказал себе: «Если что-то случится, я не стану ждать команды. Я расстегну ремень, возьму жену и побегу туда». Так в голове появляется готовая программа действий на случай аварии.

🍀Правило №1: заранее определяйте критические точки и порядок действий. Например: «Если через шесть месяцев после запуска проекта доля платных клиентов не достигнет 2%, а экономика не выйдет на уровень “Сумма 1”, мы применяем сценарий А. Если доля окажется ниже 1%, а экономика — хуже “Суммы 2”, переходим к сценарию Б». Регулярная предварительная проработка сценариев помогает быстрее ограничивать нежелательные потери.

Когда сработает триггер, не придётся тратить время на дискуссии и панику — вы запустите заранее подготовленный сценарий.

О создании сценариев у меня был отдельный лонгрид, посвящённый десяти правилам начала сценарного планирования.

2. Тактическое дыхание

При сильнейшем стрессе пульс резко учащается, а способность мыслить логически снижается. Чтобы вернуть контроль, можно дышать с четырёхсекундными интервалами и задержками.

🍀Правило №2: назначьте ответственных сотрудников, готовых реагировать на критические события и имеющих заранее проработанные планы действий при ЧП. Это хотя бы даст части руководителей возможность выдохнуть, осмотреться и затем действовать более прицельно. Такие сотрудники нужны не в одном отделе, а в каждом департаменте.

Например, на случай кассового разрыва финансисты должны заранее знать, какие расходы и проекты сохраняются, а какие замораживаются.

3. Физическое действие против ступора

Характерная для многих реакция «замри» сковывает движения. Чтобы преодолеть её, можно совершить небольшое, но осознанное физическое действие: например, крепко сжать кулаки или ущипнуть себя.

🍀Правило №3: преодолевайте управленческий паралич конкретным операционным решением или действием. В идеале этому должны способствовать автоматическое уведомление о проблеме, инструкция по её устранению и подключение профильных специалистов. Главное — непривычным для повседневной работы действием показать остальным, что процесс сдвинулся с места.

4. Правило трёх секунд и отказ от перфекционизма

В экстремальной ситуации несовершенное, но своевременное решение обычно лучше идеального, принятого слишком поздно. Поэтому важно сосредоточиться на том, что необходимо сделать прямо сейчас.

🍀Правило №4: плохой план лучше его отсутствия. Сценарий, в котором можно выполнить хотя бы три пункта из пяти, лучше идеального плана, который появится только через две недели.

Система, которая сразу предлагает набор решений, лучше полного отсутствия решений.

---

Следующую часть постараюсь выпустить в ближайшие одну-две недели.

Все эти лонгриды основаны на заметках, которые я регулярно публикую в своём канале «Тру финансы». Если вам интересна тема управления, подписывайтесь на мой телеграм-канал. Он не столько о финансах, сколько о менеджменте через призму финансов и научного подхода.

 

Источник