У «Эффективного Менеджмента» всего 2 всадника Апокалипсиса: жадность и глупость. Остальных просто оптимизировали за ненадобностью, достаточно и этих. Достаточно для того, чтобы время от времени в разных концах света происходили техногенные катастрофы. Аварии, крушения, взрывы и прочие происшествия, которые можно было бы избежать, если бы руководство компаний уделяло внимание борьбе критическим рискам. Или хотя бы не способствовало их скорейшему приближению.
В первой части уже были описаны некоторые яркие катастрофы с выделением причин их наступления, в этой — продолжим описание этих печальных событий и выпишем выводы, которые можно сделать по итогу.
Крушение Титаника и критические риски Карпатии
Про Титаник его капитан говорил: «Современное судостроение не допускает кораблекрушений».
Корабль был построен не просто с учётом всех норм безопасности, стандарты были куда серьёзней. Двойное дно, 16 водонепроницаемых отсеков, суперпрочные перекрытия, резервные системы питания. В плане безопасности на высоте была и конструкция, придуманная Томасом Эндрюсом, и собственно строительство в Северной Ирландии.
Корабль бы продолжил плавание даже в том случае, если бы сразу 4 его отсека были полностью затоплены. И то — по всем расчётам в этом случае корабль бы мог дрейфовать почти сутки.
За это время к гипотетически тонущему Титанику могли бы приблизиться от 5 до 12 проходящих мимо кораблей, потому число шлюпок бралось с запасом к нормам безопасности из расчёта, что они понадобятся для неторопливой перевозки пассажиров на другое судно. Капитан выходил в плавание со словами: «Я не могу представить бедствие, которое бы могло утопить это судно.» Никто не мог. Ни капитан, ни команда, ни госслужбы, ни сторонние наблюдатели.
Сейчас сторонние наблюдатели могут подумать, что Олимпийский бокс стал опаснее: вот уже который год спортсмены выступают без шлемов. Исследование показывает, что всё наоборот: как только спортсмены лишились средств безопасности, спорт стал безопаснее. Специальная комиссия международной ассоциации любительского бокса проанализировала свыше 11 тысяч боёв и выяснила:
🧨Боксёр понимает, что шлем не защищает от сотрясения мозга, но ведёт себя рискованнее и агрессивнее.
🧨Шлем увеличивает площадь поражения.
🧨Да, шлем хоть и спасает от рассечений, но судье куда сложнее понять, свеж ли ещё спортсмен или уже пора останавливать бой.
В итоге боксёр в шлеме получает больше сотрясений и тяжёлых травм, чем без него.
С теми же проблемами сталкиваются компании, внедряющие системы управления рисками:
🧨руководители начинают себя вести рискованнее;
🧨число рисков в итоге даже вырастает, а вероятность критических — особенно;
🧨многие руководители считают, что рисками они больше не занимаются, так как есть специальные ответственные.
Добавьте к этому, что шлем хотя бы работает и при прочих равных снизит силу потерь. А системы управления рисками — необязательно.
Так и команда Титаника — она настолько была уверена в корабле, в его непотопляемости, что даже не ставила постоянных дозорных. Или не следила за тем, как они выполняют работу, уже не важно. Итог вы знаете.
Айсберг вскрыл корабль как консервную банку, затопив сразу 5 отсеков. Корабль утонул быстрее, чем предполагалось в самых чёрных сценариях. Как бы не была круто выстроена система безопасности, без человеческого контроля она будет не такой надёжной.
Человеческий контроль необходим. Даже если в ваших руках непотопляемый Титаник.
Если вы думаете, что в нашей действительности человеческому контролю уделяется много времени, можете поискать, как усложнение техники приводит не к росту, а к снижению квалификации пилотов (хотя логично, что если пилот и вступает в управление самолётом реже, то эти случаи сложнее, чем раньше; про попытки уполовинить число пилотов промолчу).
История обычно на этом заканчивается и упускает из вида, как вообще спасение пассажиров Титаника стало возможно. Стало это возможно благодаря уникальному стечению обстоятельств и волевому и рискованному решению капитана «Карпатии».
Мало отдать сигнал о бедствии, нужно, чтобы его кто‑то принял. Новый день начался 35 минут назад, смена закончилась, и радист Гарольд Коттам уже мог какое‑то время заниматься своими делами, но по чистой случайности остался в радиорубке и принял сигнал с тонущего Титаника.
Капитан Карпатии, Артур Генри Рострон, первым делом отдал приказ о развороте. И только потом перепроверил все данные. Его следующие шаги — наглядный образец того, как можно осознанно идти на критические риски и достигать при этом выдающихся результатов.
🍀Машинное отделение было поднято по тревоге в полном составе, уголь закидывался в топку просто без остановки. Давление пара превзошло допустимый максимум, котлы с машинами могли взорваться в любой момент. К счастью, при создании корабля все нормативы выполнялись по традиции с запасами прочности, потому корабль выдержал.
🍀Карпатия была обесточена, все системы и службы, которые могли потреблять электроэнергию, включая обогрев, были отключены. Всё шло только на двигатели и минимально необходимое обеспечение.
🍀Команда корабля и пассажиры оперативно готовили все возможные помещения и средства для спасения людей: и для подъёма людей, и для первичного осмотра, и для спасения от обморожений и травм, и для размещения.
🍀Чтобы избежать столкновения с айсбергами капитан лично встал за штурвал и выставил 12(!) вперёд смотрящих. Его же опыт позволил лавировать между айсбергами в последний час на максимальной скорости.
🍀По паспорту Карпатия была способна выжать всего 26 километров в час. Капитан добился скорости в 33 километра в час.
Капитан Карпатии сильно рисковал. Мог взорваться угольный котёл, могли отказать двигатели, мог встретиться незамеченный айсберг. Могли пострадать и даже погибнуть несколько десятков человек, а сам корабль оказался бы без двигателя или даже с повреждённым корпусом — эта возможная авария могла остановить корабль, но не создавала рисков Карпатии утонуть. Возможность спасения людей была для Рострона важнее такого исхода, это позволило Карпатии оказаться на месте крушения на час раньше и спасти на несколько сотен человек больше.
За действия в ту ночь каждый моряк был награждён памятной медалью, а сам капитан Рострон — стал рыцарем Ордена Британской империи.
И последняя деталь, которая наглядно демонстрирует весь «эффективный менеджмент» Титаника: на корабле просто не нашлось красных сигнальных ракет, которыми принято сообщать о крушении и прочих сложностях.
Экипаж корабля был вынужден стрелять белыми ракетами в надежде, что кто‑то поймёт. Не сработало. Проходивший мимо пароход «Калифорниэн» решил, что Титаник что‑то празднует, на всякий случай отправил сигналами фонаря запрос, не получил никакого ответа, и пошёл дальше по своему маршруту. А браконьеры со шхуны «Самсон» и вовсе решили, что это береговая охрана гонится за ними, и удрали от тонущего Титаника на всех парах.
Если бы «эффективный менеджмент» Титаника не верил в его непотопляемость, то и маршрут бы выбрали не такой рискованный, и вперёд смотрящие на посту были бы, и красные сигнальные огни бы имелись на судне, и спаслось бы в итоге куда больше людей. Но всё свалили на айсберг, и никто ответственности не понёс. Кроме Стенли Лорда, капитана «Кальфорниэна», который всю свою жизнь был вынужден оправдываться за своё «бездействие», но был окончательно оправдан только в 1963 году, через год после смерти.
Пожары в Пасадене и Greenfell Tower
Разрабатывать собственные стандарты безопасности долго и сложно. Нужно найти ответственного и компетентного сотрудника (а то и несколько), привлечь его, обеспечить его полномочиями и задачами. Куда проще — напрямую следовать отраслевым стандартам безопасности, хотя недавнее землетрясение в Турции, например, наглядно продемонстрировало, что даже полное прохождение всех региональных и отраслевых норм безопасности вовсе не спасают от критических рисков.
Отсутствие внутренних норм и правил открывает шанс специфическим, характерным именно для вашего бизнеса критическим рискам. И чем больше в нём особенностей, чем уникальней применяемые в нём инструменты и технологии, чем больше ваши продукты и сервисы меняются, тем больше внимания нужно уделять безопасности.
23 января 1989 года на пластмассовой фабрике Phillips в Пасадене произошла серия взрывов и пожаров. Погибло 23 сотрудника, пострадало более 300. Год спустя комиссия выявила 566 преднамеренных и 9 серьёзных нарушений со стороны руководства:
🧨отсутствие системы анализа безопасности;
🧨отсутствие систем выявления горючих газов;
🧨несоответствующие стандартам безопасности рабочие процессы;
🧨наличие открытых источников огня на территории;
🧨по сути отключенная система противопожарной безопасности;
🧨отсутствие систем и процедур аварийного отключения.
Катастрофа была только вопросом времени. По итогам, конечно же «уроки были выучены», нормы безопасности внедрены. Вот только это не помешало произойти 2 авариям с погибшими сотрудниками в 1999 и 2000 годах и множественным локальным авариям впоследствии.
В феврале 2023 года в США на всё том же заводе в Пасадене снова произошёл взрыв. Красивое зарево огня широко транслировалось в новостях и пабликах. Завод в Пасадене любопытен как раз тем, что развитие систем безопасности помогало бороться с последствами, но не с первопричиной:
🚨Проблема этого завода в том, что он изначально построен с минимальным соблюдением норм безопасности.
🚨Потому добавлять процедуры и системы безопасности проблематично.
🚨Здания находятся рядом, циклы деятельности внутри зданий не являются логически законченными.
🚨Потому локализовать и изолировать аварийное происшествие проблематично.
🚨К этому добавляется моральный износ зданий и объектов, который эксплуатируется «до победного».
🚨Перестроить завод слишком дорого: нужно больше территории и куда больше денег.
Вот и получается, что аварии на подобных заводах с проблемами в безопасности на уровне архитектуры — просто вопрос времени.
При изначальном проектировании лучше закладывать дополнительные запасы прочности.
Жилую многоэтажку Greenfell Tower построили в Северном Кенсингтоне в Лондоне в 1974 году с полным соблюдением отраслевых норм безопасности. Уникальность архитектуры обуславливала, что огонь не сможет распространиться за пределы 1 квартиры. Потому в здании не существовало ни пожарной лестницы, ни даже пожарной сигнализации. О пожарных проходах и оборудовании заботились минимально — чтобы соблюсти стандарты и честно пройти регулярную проверку.
В 2012 году здание было капитально отремонтировано. Заменили окна, утеплили стены, сделали навесной вентилируемый фасад. Всё снова в рамках отраслевого стандарта безопасности.
Вот только не учли, что новый капремонт не просто обнуляет обусловленную архитектурой безопасность, но и делает катастрофу вопросом времени.
События 14 июня 2017 года продемонстрировали это наглядно. Пожар в одной из квартир не оказался изолирован, а перебросился на навесной фасад. Специально организованное для вентиляции «безопасное» расстояние между фасадом и зданием создало для огня тягу. Дом за час превратился в факел.
Внутренние нормы безопасности и управления рисками должны соответствовать вашей специфике. И развиваться вместе с бизнесом и его продуктами
Здание тушили двое суток. Эта катастрофа признана в Британии самым жутким пожаром со времён Второй Мировой.
Проверка показала, что при строительстве активно использовали дешёвые и легковоспламеняющиеся утепление и фасад. Никого не наказали, потому что соблюдались все отраслевые нормативы и стандарты безопасности. Они, разумеется, были пересмотрены. Но гарантируют ли новые стандарты безопасность? Поможет ли новому зданию пожарная лестница, если оно из‑за уникальности архитектуры сможет в любой момент сгореть факелом за считанные минуты? Отраслевые стандарты безопасности не могут предусмотреть все критические случаи, а изменение внутренней логики и архитектуры легко породит новые угрозы. Как в следующем случае.
Гибель Eastland и Captain
Крушение парохода. В порту. В 10 метрах от земли. Ещё до начала путешествия. С числом погибших в несколько сотен. В мирное время. Как такое, вообще, возможно.
Пароход Eastland — наглядный пример того, как изменения в одном из элементов системы способны нарушить весь баланс. В этом кейсе снова пострадала гордость флота, на этот раз американского: быстроходное и элегантное судно с очень высокой посадкой.
После крушения Титаника всем судам было предписано увеличить число спасательных шлюпок и плотов. Так поступили и на Истлэнде: без каких‑то испытаний и перепланировки веса просто добавили на верхние палубы несколько тонн спасательных средств и обнулили устойчивость корабля.
Локальная оптимизация может спровицировать резкое усиление системных критических рисков.
И вот, 24 июля 1915 года на центрельном пирсе Чикаго на одной из сторон верхней палубы корабля пассажиры решили сделать групповую фотографию. Потерявший баланс корабль наклонился на бок, а потом и перевернулся, унеся 844 жизни прямо в порту.
Когда затеваются изменения, особенно нацеленные на повышение локальной эффективности, стремитесь задумываться над тем, как они могут повлиять на всю компанию в целом. Если хитро соптимизировать отдельные элементы часов с кукушкой, можно легко лишиться маятника, который только мешает ходу механизма, и потерять с этим пользу от часов. Иногда достаточно взмаха бабочки, чтобы вызвать большие проблемы.
Таких же проблем компания может достичь, если в гонке за локальной оптимизацией слишком сильно пожертвовать одним из параметров.
На начало Крымской войны 1853-56 годов главной проблемой флота было специфическое размещение пушек: кораблю приходилось долго лавировать, чтобы получить возможность обстрелять противника из самых мощных орудий, после чего на время перезарядки корабль оказывался беззащитен. Купер Кольз предложил разместить пушки во вращающейся башне, что позволяло не только обеспечивать самым мощным пушкам обстрел на 360 градусов, но и обеспечить их ротацию. Эту идею для небольшого судна он успешно реализовал прямо во время войны. После неё Купер перешёл с регулярной военной службы на разработку и проектирование полноценных башенных кораблей. В 1864 году «Принц Альберт» стал первым кораблём, в котором изначально был спроектирован и построен в соответствии с этим проектом, его огневая мощь существенно превосходила другие корабли.
Одновременно с этим Купер Кольз решал задачу уменьшения площади поражения корабля. Для этого нужно было максимально опустить его под воду и уменьшить число объектов на палубе, мешавших стрельбе пушек. Так в том же 1864 году был перестроен HMS Royal Sovereign, в котором частично были воплощены все пожелания Купера.
Итогом воплощения его идей стал HMS «Captain», спущенный на воду в 1869 году. Размещение его башен, палуб и высоченных мачт обеспечило высокий центр тяжести, что опускало высоту борта до потрясающих на то время 2 с небольшим метра при достаточно высоких ходовых возможностях. Корабль был неуязвим для противника.
Вот только локально максимизировав огневую мощь корабля и уменьшив зону поражения противником, Кольз упустил другую угрозу — море. Даже несмотря на множественные предупреждения и оценки со стороны экспертов, Купер оставался уверенным в своём корабле. Излишне самоуверенным. И море это довольно быстро продемонстрировало. 7 сентября 1870 года первый же шторм перевернул судно. Погиб весь экипаж, 483 человека, включая самого Купера.
В гонке локальной оптимизации Кольз проигнорировал критический риск и был наказан за это.
Случай Купера Кольза и HMS Captain выделяется из ряда описанных здесь кейсов про критические риски. Обычно там про двух всадников экономического Апокалипсиса: глупость и жадность. Здесь — про ошибку в поиске баланса.
Вот зачем Купер гнался за тем, чтобы его детище могло преследовать быстроходные суда? Основные цели и противники — тихоходны. Да и видимый профиль корабля минимальный, что обеспечивает возможность длительного противостояния вообще без маневрирования. Так что высокие мачты не обязательны, а скорость можно уменьшить.
Даже в управлении критическими рисками нужен баланс.
Зачем так низко опускать судно и сохранять толщину брони? Мог уменьшить, всё равно по всем оценкам «time to die» у Captain был в несколько раз больше того, сколько длился средний бой. Есть и несколько других, более технических вопросов, но по сути главный звучит так: нужно ли было настолько жертвовать одной из характеристик ради других?
Купер постарался сделать быстрое, неуязвимое и поражающее любых противников судно. Он мог смело пожертвовать частью этих характеристик, и не приносить в жертву «остойчивость» судна. И в таком случае пример построения HMS Captain бы рассматривался не в этом канале в качестве примера проблемы с поиском баланса, а в блогах архитекторов и инженеров как шедевр человеческой мысли.
Есть классическое правило: проект может быть реализован быстро, качественно или дёшево. Все три параметра одновременно невозможны. Если вы хотите вытянуть один из параметров на высший уровень, придётся платить потерями в остальных. Увы, только так. Возможно, Купер просто считал, что с его кораблём «такое не произойдёт», как и в следующих катастрофах.
Прорыв дамбы Мариана и столкновение судов
«С нами этого не произойдёт» — весьма частая мантра, произносимая в компаниях. Закрывать глаза на риск — это очень по‑детски. Но именно это чаще всего и происходит при управлении критическими рисками.
Как это случилось 20 декабря 1987 года в Южно‑Китайском море, когда паром «Донья Пас» и танкер «Вектор» столкнулись друг с другом. На полном ходу. Причём сделали это в условиях штиля в проливе шириной в 30 с лишним километров.
«С нами ничего не произойдёт», решили капитаны обоих кораблей и не соизволили даже выставить дежурных на мостики. Это вписывалось в их регулярную практику управления: навигационные приборы отсутствовали, у Вектора и вовсе не было лицензий на перевозки. В итоге оба корабля без единого человека у руля столкнулись и затонули. Погибло более 4 тысяч человек. Спаслись — 26.
С нами этого не произойдёт» — весьма частая мантра, произносимая в компаниях. Закрывать глаза на риск — это очень по‑детски. Но именно это чаще всего и происходит при управлении критическими рисками.
Есть и другая ошибочная мантра. «Снаряд в одну воронку дважды не попадает».
В ноябре 2015 года произошёл прорыв дамбы возле бразильского города Мариана. Это крупнейшая экологическая катастрофа в Бразилии, в которой по счастью погибло всего 19 человек.
Следствие установило, что для снижения себестоимости добычи горнорудный гигант Vale экономил на безопасности во всём, в том числе и на крепости сооружённой им дамбы: та буквально была построена из подручных материалов без какой‑либо укреплённой основы. Что хуже — она была выстроена просто из отходов и мусора и не пропускала воду, из‑за чего на неё вода оказывала дополнительное давление. Руководство неоднократно получало замечания от надзорных органов, но каждый раз заверяло, что всё в порядке и под контролем.
Вот и в этот раз руководство Vale пообещало, что приложит все силы, чтобы взять всё под контроль, чтобы подобное не повторилось.
Если у вас множество сопоставимых объектов, построенных с сопоставимыми ошибками в архитектуре, которые открывают возможность критическим рискам, то повторение аварии — просто вопрос времени. Ведь чаще всего после неё ремонтируют пострадавший объект, правят его существующие барьеры, а не добавляют отсутствующие. И совершенно точно не останавливают работу других объектов, чтобы устранить критические ошибки и там. Дорого. И вероятность повторного события не снижается. И всё упирается в вопросы: когда и где бахнет. Снаряд попадает. Просто в другую воронку. Но по тому же сценарию.
25 января 2019 года произошёл прорыв дамбы около города Брумадинью. Погибло 270 человек. Следствие показало, что причинами стали пренебрежение нормами безопасности, плохое водоотведение и коррупция. И что ещё 24 принадлежащих Vale дамбы так же нестабильны и могут обрушиться в любой момент.
Компания была оштрафована. Руководство наказания не понесло.
Подобное случилось и из‑за изъянов в архитектурном подходе «Паль‑каль»: при определённых вполне вероятных обстоятельствах построенные по такому принципу конструкции просто обрушивались. И так как сам подход был реализован сразу в нескольких местах, вопрос лишь в том, где именно случится катастрофа. Случилась она в свадебном зале Версаль в Иерусалиме в 2001 году, когда погибло 23, а пострадало 380 человек.
Авантюра Crazy Eddie
Мало кто в бизнесе рискует по‑крупному сразу. Вот если долго понемногу рисковать и не сталкиваться с последствиями, к «норме риска» можно привыкнуть. После этого легко начать рисковать по‑крупному, вот тольк суровая реальность за это обязательно накажет.
Именно это произошло с сетью магазинов Crazy Eddie в 70–80 годах прошлого века. (Немного отдохнём от катастроф.)
Сеть десятилетия активно занижала налоговые выплаты. Они занижали объёмы продаж, напрямую забирая деньги из кассы, чтобы уменьшить выручку и не платить лишние налоги. При этом сеть благодаря яркой рекламе (обязательно посмотрите. Это так плохо, что даже хорошо) и некоторым оригинальным ходам (в то время работа магазина в выходные ещё был оригинальным ходом) достигла значительного распространения в США. Оптимизация налогов больше 10 лет сходила семье Антар с рук.
В какой‑то момент скрывать чёрные миллионы долларов стало сложнее, и владельцы придумали ещё более рискованный план, «надёжный как швейцарские часы». Было принято решение вывести Crazy Eddie на IPO, накрутить капитализацию и продать бизнес. Ведь раньше всё получалось с малыми рисками, вот и теперь получится с крупным.
После выхода на IPO Crazy Eddie теперь крутили новые схемы, чтобы выручку увеличить и нагнать бизнесу стоимости: отмывали ранее накопленную прибыль, приукрашивали объём запасов в магазинах, прятали кредиторку, дурили аудиторов. («Обманываться рад.»)
Так что если на старте IPO в 1984 году весь бизнес оценивался примерно в 14 миллионов долларов, то уже в 1987 году семья Антар продала большую часть своих бумаг за 90 миллионов долларов. К её глубочайшему сожалению новый инвестор, владелец очень большого портфеля активов, крайне внимательно отнёсся к этой сделке, так что уже в первые недели он выявил, что запасы мошеннически раздуты на 40 миллионов долларов.
Как и в теории разбитых окон, чем сильнее бизнес привыкает к мелким рискам, тем больше он готов рисковать по‑крупному.
Исход был очевиден: полиция, суды, лишение свободы, многомиллионные штрафы. Сеть сумасшедшего Эдди прекратила своё существование в 1989 году.
Гибель HMS Majestic и исторический курьёз
В декабре 1895 года линкор HMS Majestic был спущен на воду в качестве самого крупного броненосца Англии. Тонны стали и закалённой брони, батарея из 4 крупнокалиберных орудий. Краса и гордость нации.
Через пару лет после спуска на воду на нём оказался адмирал Чарльз Бересфорд. Его оценка была немилосердной: такой корабль будет легко тонуть от единственной серьёзной пробоины из‑за неправильного размещения перегородок. Главный архитектор же исходил из того, что сложный комплекс брони защитит от таких повреждений. Потому он осознанно пошёл на перестройку перегородок для повышения функциональности корабля. Раз критического риска нет, то и нет нужды с ним бороться.
Испытать в бою корабль довелось только 17 лет спустя. В первых же боях он зарекомендовал себя хорошо. Majestic получил несколько повреждений, которые его предшественников вывели бы из строя, но продолжил сражаться: броня выдержала, матросы быстро залатали повреждения.
Новые критические риски — не менее разрушительные, чем уже известные.
Вот только линкор был детищем победителей: он был отлично готов к прошлым войнам. 27 мая 1915 года у берегов Турции первая же подводная лодка показала правоту адмирала: она легко поразила торпедой ниже уровня брони и утопила сперва линкор HMS Triumph, а потом — решившего её преследовать Majestic. Не помешали даже множественные корабли поддержки.
Хотя для начала, конечно, нужно начать к подготовке к уже известным войнам и уже известным рискам, как это делают генералы. Изучают опыт и вырабатывают тактику противостояния как минимум прошлых войн.
Январь 1795 года. Война Франции с Голландией. Мушкеты и парусники, клубы дыма и шпаги, романтика.
В один из дней Голландия теряет серьёзную часть своего флота: 14 линейных кораблей с 850 орудиями и несколько торговых судов. Причём не просто теряет — противник захватывает в плен эти корабли и весь личный состав. Без единого выстрела. КАВАЛЕРИЕЙ.
Магия? Январь 1795 года выдался очень морозным. Море покрылось льдом и буквально заморозило стоящий рядом с Амстердамом флот. Ситуация для тех времён достаточно регулярная. Вот только в этот раз ловкие французы выслали на захват флота кавалерийский полк в сопровождении пехоты. И буквально с первыми лучами солнца голландские моряки с удивлением обнаруживают, что по палубам их кораблей разгуливают незнакомые люди, размахивающие оружием и французскими флагами.
Вы думаете, это был первый раз, когда корабли вмерзали в лёд? Нет. Вы думаете, это был первый раз, когда корабли не выставляли охрану? Тоже нет. Но это именно первый (и по сути единственный) и весьма показательный случай, когда этой возможностью догадались воспользоваться.
Но! С тех пор режим охраны «припаркованных» кораблей и флота серьёзно изменился. Этот случай так и остался единственным.
Опыт прошлых войн и катастроф всё равно нужно учитывать.
Этот случай с захватом кавалерией флота стал наглядным примером того, как 1 серьёзный случай реализации критического риска развивает практику в целой отрасли. Хотя обычно ничего не меняется.
Авария на Ариан-5 и ошибка Post Office
4 июня 1996 года на 40-й секунде полёта произошла авария ракеты «Ариан-5». Это считается самой дорогостоящей компьютерной ошибкой в истории, только прямые потери оцениваются в сотни миллионов долларов.
Главной причиной аварии комиссия назвала использование программного модуля из предыдущего поколения ракеты «Ариан-4». При этом:
🧨Модуль был просто перенесён в новую среду без каких‑либо модификаций.
🧨Требования к модулю не были определены.
🧨Для новой ракеты и нового окружения модуль вообще не тестировался: ни на уровне оборудования, ни на уровне связи с другими модулями.
🧨Тестирование бы показало очевидное: для ракеты Ариан-5 порядок и тайминг предполётных действий различался, а логика работы модуля должна быть изменена.
🧨Тестирование бы показало, что ракета Ариан-5 имеет другие физические параметры полёта, которые считались недопустимыми для Ариан-4, потому для них не было защиты «от дурака», чтобы снизить нагрузку на процессор.
🧨Тестирование бы показало, что единственный вариант завершения работы модуля в новых условиях — его внештатная остановка и провал всей миссии.
Следствие установило: у команды было несколько возможностей выявить проблему и предотвратить катастрофу.
Информационные системы решают всё более замысловатые и специфические проблемы. Чем дальше, тем сложнее они будут. Тем чаще они будут включать в себя чёрные ящики в виде нейросеток с их непрозрачной логикой. Тем специфичней будет взаимодействие модулей внутри систем. Тем уникальней будет опыт их адаптации и перенесения. И тем проблематичней будет понимать всю систему в целом и находить узкие и сложные места в них «сверху».
Тестирование систем, отдельных модулей и их взаимодействия должно только увеличиваться.
В апреле 2021 года британская почтовая компания Post Office признала, что в её системе учёта продаж была ошибка. Признала и признала, в чём же катастрофа? В том, что эта катастрофа растянулась на 20 с лишним лет.
Всё это время Post Office пользовалась софтом, который из‑за внутренней ошибки ложно сигнализировал о кражах и растратах, совершённых сотрудниками. Суммы «выявленных нарушений» порой превышали сотню тысяч фунтов стерлингов. (Любопытно, что никто за эти 20 лет не пытался выверять финансовые потоки с показаниями системы, видимо, настолько верили в её показания. И никто не пытался задуматься, почему же так много краж в системе, которая эти моменты отслеживает. Конечно, есть люди, которые готовы «светить лицом» и воровать под камерой, но их не может быть много)
За это время было вынесено 39 обвинительных судебных приговоров. Некоторые сотрудники занимали деньги и закладывали свои дома, чтобы избежать этого. Один сотрудник даже совершил самоубийство.
В отраслях, связанных с «новыми» технологиями, могут появляться такие критические риски, о которых вчера мы даже не могли догадываться. «Обезьян с гранатой» лучше всё‑таки не создавать.
Общее число жертв системы — свыше 2,5 тысяч человек.
Паника на Ла Бургонь
В случае катастрофы и иного случая, когда воплощается в жизнь критический риск, важно не только пытаться его предотвратить, но и быть готовым к его реализации.
4 июля 1898 года неподалёку от Нью-Йорка пассажирский лайнер «Ла Бургонь» затонул из‑за столкновения в густом тумане с британским барком «Кромартишир». Столкновение было настолько неудачным, что были повреждены и силовая установка, и ходовой мостик, и спардек судна. Но что создало катастрофу — были уничтожены почти все шлюпки с одной из сторон.
Это породило панику как в рядах пассажиров, среди которых оказалось большое число вооружённых австралийцев и итальянцев, так и среди членов экипажа. На Ла Бургонь началась бойня за свободные места в шлюпках, из‑за чего было убито несколько десятков человек. Что хуже — часть шлюпок были так же уничтожены в ходе драки за места. В общей сложности из 700 человек спаслось 150, из которых впоследствии под суд за беспорядки на судне попало почти треть.
На случай наступления критических рисков лучше иметь хотя бы план реагирования
Что любопытно, столкновения с другими судами были довольно регулярной практикой в то время. Ла Бургонь оказывалась в подобной ситуации минимум 3 раза за 13 лет и даже утопила стоявший на якоре пароход. Вопреки этому за год до крушения при реконструкции судна шлюпки не были подняты на безопасный уровень, скорее всего — наоборот, опущены на опасный. Что и стало причиной катастрофы.
Паника и анархия только помешают бизнесу пережить наступление критического риска. Чтобы такого не происходило, к возможным катастрофам лучше готовиться заранее. Ведь человек с готовым планом действий всегда спокойней и уверенней, чем пассажир Ла Бургонь в ту мрачную ночь.
Компании могут следовать за практикой американской военной авиации. В ней у лётчика в непосредственной близости на одном листе содержатся список всех действий, которые должны быть выполнены в той или иной экстремальной ситуации. Даже если он впадает в ступор и не может вспомнить, что ему следует сделать, все ответы у него в непосредственной близости.
Бхопал и Тулуза
Перед тем, как перейти к резюме обеих частей публикации, хочется продемонстрировать, как выглядит предотвращение критических рисков наглядно. Лучшее представление, на мой взгляд, в модели «Швейцарского сыра».
На пути воплощения критических рисков в жизнь стоит несколько барьеров: люди, службы мониторинга, система реагирования на отклонения, система внутреннего контроля, аудиты, госстандарты. У каждого барьера в таком швейцарском сыре есть свои зоны «уверенности», когда риск выявляется и предотвращается. И есть зоны «провалов», когда барьер оказывается несостоятельным. И критический риск или останавливается хотя бы одним из барьеров, или воплощается в жизнь красной стрелочкой, пронизывая все барьеры насквозь.
Чем больше барьеров, чем меньше и реже в них дыры, тем больше рисков может быть остановлено. И вся работа с критическими рисками буквально выглядит так: больше слоёв, меньше дыр и регулярные тесты на красные стрелочки.
Но если вместо добавления барьеров и устранения дыр делать обратное, стоит ждать беды. И наглядный пример этому — катастрофа в Бхопале, когда руководство индийского химического завода шаг за шагом открывало дорогу катастрофе.
Считаем:
🧨Переносим промышленность в страну третьего мира, где требования безопасности ниже.
🧨Включаем коррупцию и строим завод так, как хотим.
🧨После запуска повышаем эффективность завода за счёт добавления новых труб, что ещё сильнее обнуляет безопасность.
🧨Со временем выключаем и отправляем на бессрочный ремонт все 4 системы защиты и нейтрализации токсичных и взрывоопасных химических веществ.
🧨Оптимизируем штат и остаёмся без инженеров по контролю на нескольких участках сразу, промывка цистерн идёт с нарушением всего, в результате чего в них попадает вода.
🧨Экономим на организации цистерн хранения.
🧨Нанимаем неграмотных и дешёвых сотрудников, и те вливают взрывоопасный материал в 1 цистерну, а не 3 по соседству; превышаем нормы их хранения в отдельной цистерне 42 раза.
🧨Бережём копеечку и не меняем вышедший из строя датчик давления.
🧨Экономим на дешёвой рабочей силе — и получаем, что рабочие игнорируют превышающие все нормы показания работающих счётчиков.
Смертельно ядовитое вещество метилизоцианат закипает при температуре в 40 градусов, а контакт его с водой стартует нагревательный процесс. Из‑за огромного давления у цистерны срывает охранительный клапан. Пожар, взрывы, утечка химического вещества. 3 декабря 1984 года произошла самая крупная техногенная катастрофа в истории с сотнями тысяч пострадавших.
И теперь я хочу рассказать о катастрофе, которая не произошла. Которая могла случиться, но слоёв и барьеров оказалось достаточно.
21 сентября 2001 года во французской Тулузе произошла авария на химическом заводе. Взрыв 300 тонн аммиачной селитры был такой силы, что от завода осталась воронка радиусом в 50 метров, а здания в радиусе километра превратились в руины и не подлежали восстановлению.
И в чём сравнение с Бхопалом, спросите вы? По итогам проверок было установлено:
✅При сооружении завода нормы и стандарты были соблюдены.
✅Трубы и инфраструктура не были переложены так, чтобы транспортировка химреактивов была «эффективней».
✅ За цистернами и инфраструктурой следили, ремонты проводили адекватно.
✅Службы пожаротушения и реагирования сработали мгновенно.
Благодаря соблюдению норм безопасности находящиеся в опасной близости к месту взрыва устояли 2 большие цистерны с фосгеном. Их разрушение могло привести к обнулению всей Тулузы.
Следствие не установило, что именно стало причиной взрыва. В списке основных версий по‑прежнему остаётся террористический акт, ведь взрыв произошёл через 10 дней после 9/11, а угрозы в самом деле поступали. Хотя непосредственной вины в случившемся у руководства завода не было установлено, а практики безопасности были оценены как достаточные, генерального директора посадили на несколько лет за нарушение правил хранения селитры.
И последнее сравнение с индийскими практиками. Тулуза 22 года спустя цветёт и процветает, а Бхопал до сих пор остаётся токсичным местом, рядом с которым продолжают жить люди.
Резюме
Если же вы хотите не провоцировать наступление критических рисков, а бороться с ними, вам поможет этот свод рекомендаций:
✅Предотвращение критических рисков — регулярный процесс.
✅Внутренний контроль — работа не только отдельных людей, но и всей компании в целом.
✅Учитесь слушать сигналы. Их всегда достаточно. Даже если для этого придётся терпеть инакомыслие — пригодится.
✅Боритесь с коррупцией и мошенничеством.
✅Ищите угрозы в бездумных попытках сэкономить и оптимизировать.
✅Соблюдение временных нормативов так же важно, как и качественных.
✅Развивайте системы контроля в соответствии с вашей спецификой и изменениями в бизнесе.
✅Расставайтесь с устаревшими опасными активами.
✅Чем специфичней ваш бизнес, тем комплексней и особенней должны быть и службы безопасности.
✅Готовиться надо и к известными рискам, и своевременно находить новые. Особенно — если вы перекраиваете систему.
✅Тестирование — крайне важная для стабильности часть процесса.
Данная публикация была составлена на основании заметок, публикуемых в телеграм-канале «Тру финансы». В нём вы можете найти мои регулярные разборы различных кейсов и мысли по вопросам финансов, управления, менеджмента и манежмента, маркетинга и IT, с позиции именно финансового архитектора. Никакой рекламы, вебинаров, мемасов, минимальный ВП (буквально 1-2 раза в год). И главное: актуальность моих заметок не снижается.
Сейчас пишу заметки и готовлю публикации по темам бюджетирование, стратегическое планирование, экономические ошибки в управлении людьми и так далее. Тематика постоянно меняется, так что скучно не будет.
Если данная публикация вам понравилась, заходите в гости в мой телеграм-канал.
