Bi j zondere Opdracht
Modellen voor de classificatie van de oorzaken van medische incidenten
Een onderzoek naar analytische modellen voor de beschrijving van incidenten en classificatie van oorzaken, die bruikbaar kunnen zijn in het ziekenhuis
Door: N.W.S. van der Hoeff mei 1994
Samenvatthq
In deze scriptie wordt ingegaan op analytische modellen voor de beschrijving van incidenten en de classificatie van de hierbij behorende oorzaken en wordt de keuze gemaakt voor een model wat bruikbaar is in een ziekenhuis. Achtereenvolgens worden, na een inleiding (hoofdstuk 1) en de behandeling van het SRK-model (hoofdstuk 2): i het Eindhovens Classificatie Model (ECM) (hoofdstuk 3 ) , i Management Oversight en Risk Tree (MORT) (hoofdstuk 4), i het Tripodmodel (hoofdstuk 5 ) en i de "overige modellen" (hoofdstuk 6) behandeld. In hoofdstuk 7 blijkt bij toetsing van de verschillende modellen aan de eisen en bij het afwegen van de voor- en nadelen van de verschillende modellen, dat uiteindelijk voor het Eindhovens Classificatie Model gekozen wordt. Tenslotte worden de factoren die van belang zijn voor de invoering van een incidentenmeldingssysteem in hoofdstuk 8 gegeven.
Hoofdstuk 1: Inleiding
1.1Inleiding . . . . . . . . . . . . . . . . . . . . . . . 1.2 Incidentenregistratie . . . . . . . . . . . . . . . . . 1.3 Een eenvoudig model van incidenten veroorzaking . . . . 1.4Synoniemen . . . . . . . . . . . . . . . . . . . . . .
5 5 7
8
Hoofdstuk 2: Bet SRK-model van Rasmussen
2.1Hetmodel . . . . . . . . . . . . . . 2.2Toepassing . . . . . . . . . . . . . . . 2.3 Enkele voor- en nadelen van het model . . . . .
. . . . . . . . . .
10 11 12
Hoofdstuk 3: Het Eindhovens Classificatie Model (ECW
3.iInleiding . . . . . . . . . . . . . 3.2Hetmodel . . . . . . . . . . 3.3Dematrix . . . . . . . . . . . . . 3.4 Near Miss Management System . . . . 3.5 De Fault Tree Analysis (FTA) . . . 3.6 Voor- en nadelen van het model . .
.
. . . . . . . . . . . . . . . . . .
. . . .
. . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
13
13 17 18 18 19
Hoofdstuk 4: MORT: Management Oversight and Risk Tree
4.1MORT.methoden. . . . . . . . . . . . . . . . . . 4.2Barrière.analyse . . . . . . . . . . . . . . . . . 4.3 Sequentie.analyse . . . . . . . . . . . . . . . . . . . 4.4 Veranderingsanalyse . . . . . . . . . . . . . . . 4.5 MORT-boom analyse . . . . . . . . . . . . . . . . . . 4.6 Ongevalsanalyse met MORT . . . . . . . . . . . . . . 4.7 Voor- en nadelen van de MORT-boomanalyse .
20 20 21 21 23 24 25
Hoofdstuk 5: Het Tripodmodel
5.1Inleiding . . . . . . . . . . . . . . . . . . . 5.2 Het Tripodmodel . . . . . . . . . . . . . . 5.3Tokenism . . . . . . . . . . . . . . . . . 5.4 General Failure Types . . . . . . . . . . . . 5.5Typenmenselijkefouten.
. . . . . . . . . . . . . . . . . .
. . . . .
. . . . .
27 28 29 29 32
. . . . . . . . . . . . . . 5.7Affordancesvoorfouten. . . . . . . . . . . . . . . . 5.8 Aanpakken van menselijke fouten . . . . . . . . . . . . 5.9 Veiligheidsmanagement op intensive care afdelingen . . 5.10 Nadelen van het Tripodmodel . . . . . . . . . . . . . 5.6 Drie niveaus van uitvoering
33 33
36 38 41
Hoofdstuk 6: Overige modellen
6.1 Noodzaak van onderzoek naar fouten in de medische wereld . . . . . . . . . . . . . . . . . . . . . . . . 6.2Demodellen . . . . . . . . . . . . . . . . . . . . . . 6.3 Resultaten van de onderzoeken . . . . . . . . . . . . . 6.4 Nadelen . . . . . . . . . . . . . . . . . . . . . . . .
42 42 44 45
. . . . . . . . .
46
Hoofdstuk 7: Keuze voor een bepaald model
Hoofdstuk 8: Factoren van belang voor de invoering en onderhoud van meldingssystemen
.
8.1 Praktische aspecten voor ontwerp en implementatie 8.2 Problemen bij het verzamelen van gegevens . 8.3 Acceptatie door alle werknemers . . . . . . . . . 8.4 Training m.b.t. het melden van bijna ongelukken . 8.5 Veiligheidsculturen . . . . . . . . . . . . . . . Literatuur
. . .
. . .
48 49 49 50 50
. . . . . . . . . . . . . . . . . . . . . . . .
52
. . .
Inhoudso~aavebiilaaen 1 A Drie voorbeelden met betrekking tot intensive care
afdeling . . . . . . . . . . . . . . . . . . . . 1 B Failure State Profiles voor twee intensive care afdelingen . . . . . . . . . . . . . . . . . . 1 C Concept checklist om Failure State Profile voor Intensive Care afdeling te maken . . . . . . . . 2 Eindhovens Classificatiemodel Systeemfalen; versie: Gezondheidszorg . . . . . . . . . . . .
. . .
55
. . .
56
. . .
58
. . .
59
Hoofdstuk 1: Inleidinq 1.1 Inleidinq
Deze bijzondere opdracht is gemaakt in het kader van mijn studie Technische bedrijfskunde aan de Technische Universiteit Eindhoven. De vraagstelling die hierbij gehanteerd wordt, is de volgende: welke analytische modellen zijn er voor de beschrijving van incidenten en de classificatie van de hierbij behorende oorzaken? En vervolgens: welke factoren zijn er van belang voor de invoering en onderhoud van deze systemen? De "basis" eisen voor een incidentenmeldingssysteem zijn de volgende: - er wordt gebruik gemaakt van meer analytische methoden om een incident te beschrijven zoals een foutenboom, - er moet gezocht worden naar de diepere basisoorzaken, - er wordt gebruik gemaakt van een model om incidenten te analyseren en/of (basis)oorzaken te koppelen aan maatregelen, - er vindt eventueel evaluatie van maatregelen die genomen zijn plaats [31 .
1.2 Incidentenresistratie
Incidentenregistratie en vervolgens het opsporen van de oorzaken die aan het incident ten grondslag liggen, het classificeren van deze oorzaken en het uiteindelijk nemen van maatregelen naar aanleiding van de classificatie van deze oorzaken, heeft als uiteindelijke doel procesbeheersing. Onder incident wordt verstaan "iedere afwijking van een normale procesvoortgang; dit zijn: - alle ongevallen, - bijna ongevallen, de zogenaamde near misses en - complicaties". Immers de doelstelling is de processen waar de patiënt aan onderhevig is optimaal te beheersen om zodoende het risico
voor de patiënt te minimaliseren of te elimineren, dan verdient het aanbeveling om niet alleen de bijna ongevallen en ongevallen te inventariseren en classificeren maar ook de complicaties. De achtergrond achter het idee om niet alleen ongevallen maar ook bijna ongevallen te registreren, wordt omschreven door Moraal [l1 en Van der Schaaf 131. Er zijn een aantal redenen om niet alleen ongevallen maar ook bijna ongevallen te registreren, te analyseren en te classificeren: 1. Bijna ongevallen komen vaker voor dan ongevallen: deze laatste vormen slechts de top van de ijsberg (ratio's ongeval : bijna ongevallen variëren van 1:11 tot 1:600). Bijna ongevallen hebben meestal dezelfde kernoorzaken als ongevallen; aangezien bijna ongevallen vaker voorkomen, verkrijg je op deze wijze sneller een voldoende grote data base om (statische) relevante conclusies en maatregelen te kunnen nemen. 2. Bijna ongevallen bevatten per definitie (menselijke) herstelfactoren: het bijna ongeval was anders naar alle waarschijnlijkheid een ongeval geworden. Je verkrijgt op deze wijze dus kwalitatief inzicht in hoe (kleine) fouten zich ontwikkelen in bijna ongelukken. Herstelfactoren kunnen op deze wijze versterkt (of zelfs geïntroduceerd) worden in een systeem. Verder kan de waarschijnlijkheid op een ongeval verkleind worden door het elimineren van fouteninducerende factoren of het verzwakken van hun potentiele impact. 3. Het handhaaft een bepaald niveau van alertheid vooral als ongevallen weinig voorkomen. Bij de FONA- c.q. Meldingscommissie dient te worden gemeld: "ieder incident in de gezondheidszorg met een (potentieel) schadelijk gevolg voor de patiënt, met uitzondering van complicaties" [13]. Hieruit blijkt dus dat complicaties of "calculated risks" buiten het meldingscriterium vallen. Volgens van Everdingen [l31 kunnen complicaties veel beter op afde-
lingsniveau of binnen de beroepsgroep worden besproken, aangezien daar de meeste inhoudelijke kennis van zaken voorhanden is. Aangezien het meldingssysteem op afdelingsniveau geïmplementeerd wordt, is het logisch de complicaties binnen de "incident' definitie te halen wat hierboven ook gedaan is. Van Everdingen [l31 geeft als meest werkzame definitie van complicatie "ieder schadelijk gevolg voor een patiënt voortvloeiend uit medisch handelen dat in een bekend percentage aan dat type medisch handelen verbonden is".
1.3 Een eenvoudiq model van incidenten veroorzakinq (bron:[ 3 1 )
Het nu volgend model wordt gebruikt als basis bij het Eindhovens Classificatie Model (zie hiervoor hoofdstuk 3 en figuur 1.1).
De hoofdcomponenten betrokken bij de veroorzaking van een incident zijn technische, organisatorische en menselijke fouten. Deze kunnen in uitzonderlijke gevallen leiden tot een gevaarlijke situatie. Als dit gebeurt zijn de verdedigingsmechanismen in een systeem meestal voldoende adequaat maar niet altijd. In dit laatste geval wordt het potentiële incident toegestaan om zich verder te ontwikkelen en het is dan meestal aan de flexibiliteit, ervaring, intuïtie etc. van de human operator om te proberen deze ongewenste keten van gebeurtenissen te herstellen en de oorspronkelijke situatie opnieuw te verkrijgen of op z'n minst ernstige gewonden, schade etc. te voorkomen. De (human) recovery fase is adequaat als het zich ontwikkelende potentiële incident tijdig wordt gedetecteerd, wordt gediagnostiseerd en accuraat wordt gecorrigeerd: in dat geval wordt het potentiële incident verandert in een near miss wat wil zeggen een gebeurtenis met potentieel belangrijke veiligheidsgerelateerde effecten waarbij uiteindelijk voorkomen wordt dat ze zich ontwikkelt in een ongeluk met echte
consequenties. Als human recovery inadequaat (bijvoorbeeld: te laat, incorrect) is geweest, heeft het potentiële incident zich ontwikkelt in een echt ongeluk wat wil zeggen een gebeurtenis met ernstige consequenties. 1.4 Svnoniemen
In dit verslag worden de volgende synoniemen gebruikt: - accident = ongeluk = ongeval; - near miss = bijna ongeluk = bijna ongeval;
O miss
failure
í accident
figuur 1.1 een eenvoudig model van incidenten veroorzaking
KNOWLEDGE BASED
Beslissing
Planning \
RULE BASED
Herkenning
-
-
-
-
-
-
-
-
Associatie toestandltaak -
-
b
-
-
-
-
Opgeslagen regels -
-
-
SKILL BASED
t Uitvoering
figuur 2 .l het S R K - ~ O ~ ~
Hoofdstuk 2 : het SRK-model van Rasmussen (bronnen: t21 , [31) 2.1 Het model Rasmussen heeft een basismodel voor menselijke fouten gemaakt gebaseerd op 3 niveaus van gedrag: - Skill-based; - Rule-based; - Knowledge-based. Skill-based is het "laagste" niveau en bestaat uit geleerde automatische reacties zonder dat deze (veel) aandacht vereisen. Als voorbeeld wordt vaak genoemd een geroutineerde bestuurder van een auto die een bekende route rijdt; hij bestuurt de auto op een skill based niveau en dit maakt het mogelijk dat hij tijdens het rijden een intelligent gesprek kan voeren met een passagier.
*
Rule-based is het "midden" niveau en heeft betrekking op het weten hoe men moet handelen in een bepaalde situatie. De procedure hoe men moet handelen kan ter plekke worden aangeboden maar kan ook in het geheugen zitten en bevat een reeks stappen die gescheiden worden door checks op de correcte uitvoering van een stap. Iedere stap speelt zich op skill niveau af. Dit niveau eist, om een foutloos gedrag te garanderen, een deel van de aandacht op. Een autobestuurder die de verkeersregels die hij weet over rechts af slaan bij kruisingen met stoptekens en stoplichten gebruikt om te beslissen of hij de auto stopt of de kruising passeert, handelt op dit niveau. De gescheiden acties op zich (kijken naar ander verkeer, de auto schakelen, stoppen enz.) worden weer op skillbased niveau uitgevoerd. Het maken van deze beslissingen en het toezien op juiste uitvoering van deze skill-based acties vereist een deel van de totale mentale capaciteiten van de bestuurder maar niet alle capaciteit. Knowledge-based is het "hoogstet1niveau dat optreedt wanneer men geconfronteerd wordt men nieuwe, onbekende situaties
waarvoor men zelf oplossingen voor moet gaan vinden: dit vereist alle beschikbare aandacht. De bestuurder van de auto die tijdens de spits een kruising waarvan de stoplichten kapot zijn nadert, zal eerst zijn primaire doel moeten bepalen: wil hij zo snel mogelijk doorgaan of wil hij de kans op een aanrijding minimaliseren? Op hetzelfde moment zal hij moeten beslissen of de normale verkeersregels nog steeds van toepassing zijn of dat hij een ad-hoc procedure moet uitvinden om de situatie af te handelen. Dit heeft als resultaat dat (bijna) al zijn aandacht uitgaat naar dit probleem oplossend proces waardoor alle andere parallelle taken gestopt worden. 2.2 Toe~assinq
De meest belangrijke implementatie van dit model is de voorspelling dat verschillende typefouten s k i - rule- of knowledge-based) verschillende typen van preventieve maatregelen inhouden : - Zo zijn skill-based fouten niet makkelijk te voorkomen doordat dit niveau van gedrag een hoog automatisch of onbewust "open - loop" karakter heeft: of je leert ermee leven of je verandert de takenomgeving waarin ze optreden als de menselijke fout blijkt ingebouwd te zitten in de ontwerpfase. Vooral ergonomie kan hierbij bijdragen. - Rule-based fouten bestaan uit inadequate gewoonten. In dit soort gevallen kan het helpen om de voordelen van dit soort gedrag te vergroten en de nadelen te verkleinen. - Knowledge-based fouten kunnen veroorzaakt zijn door een gebrek aan kennis over en begrip van het probleem wat opgelost moet worden: dit wijst in de richting van maatregelen zoals (herltraining en selectie. Vaker is het probleem echter dat kennis verkeerd of maar gedeeltelijk wordt gebruikt in situaties waarbij problemen opgelost moeten worden.
2.3 Enkele voor- en nadelen van het model (bron: [31) Kritiek is er op de problemen die er zijn met de interpretatie van de woorden "skill", "rule" en "knowledge" Deze worden niet alleen vaag omschreven maar soms ook inconsistent gebruikt. Dit resulteert erin dat het niet makkelijk is om ze precies te operationaliseren.
.
Ook de hiërarchische volgorde van de typen gedrag zoals in figuur 2.1 beschreven wordt, zou niet flexibel genoeg zijn om het hele spectrum van probleem oplossende activiteiten die door operators afgelegd worden, te beschrijven (het beschrijft alleen de "stimulus - response routes of human information . processingo') Voordelen zijn dat het concept makkelijk begrepen kan worden en dat het een door vele geaccepteerd model is dat grote bekendheid geniet. Zo is de invloed van dit model duidelijk zichtbaar in meer recente modellen zoals het Tripodmodel van Reason (zie hoofdstuk 5 en [6], [71, [81 en [lol) en bij Hale & Glendon ( L121 : pagina 40).
Hoofdstuk (bron:[31)
.
3:
Het
Eindhovens
Classificatie
Model
(EW)
3.1 Inleidinq Dit model is oorspronkelijk ontwikkeld voor de chemische procesindustrie en leidt tot een gedetailleerde classificatie van oorzaken die te maken hebben met systeemfalen. Hierbij wordt systeemfalen opgesplitst in: - Technische falen; - Organisatie falen; - Menselijk falen. Deze drie hoofdgroepen worden vervolgens ook weer opgesplitst, waarbij de opsplitsing van het menselijk falen gebaseerd is op het SRK-model van Rasmussen. Een Classificatie/Actie matrix kan gebruikt worden om de verbinding tussen de classificatie resultaten en de voorgestelde acties of tegenmaatregelen te leggen. Op deze wijze (combinatie van classificatie model en matrix) heeft men de beschikking over een stuk veiligheidsmanagementgereedschap. Naast het algemene Classificatiemodel dat in dit hoofdstuk behandeld wordt, is in bijlage 2 een versie voor de gezondheidszorg van Mevissen (1990) opgenomen: het ECM laat namelijk een "aanpassing" van de classificatie aan de omstandigheden, in dit geval de gezondheidszorg, toe. 3.2 Het model Het in hoofdstuk 2 behandelde SRK-model wordt gebruikt om operator fouten die gemaakt worden bij taken om een proces te beheersen te beschrijven; dit gebeurt door het model te combineren met karakteristieke taakelementen die als geheel het complete spectrum van de operator subtaken beslaan. Deze zijn in figuur 3.1 terug te vinden als: HK1, HK2, HR1 t/m HR6,HSl en HS2. Voor wat betreft knawledge based gedrag zijn HK1 en HK2 van belang. Bij EK1 gaat het erom dat de correcte status en dynamica van het systeem bekend moet zijn bij de operator. Het (hoofd)doel of de prioriteiten of de doelen moeten bekend en
begrepen worden door de operator: dit wordt bedoeld bij EK2 Voor wat betreft rule based gedrag zijn HR1 t/m HR6 van belang. Bij HR1 wordt bedoeld of de operator in kwestie gekwalificeerd (op basis van training) is om het werk te doen. Bij HR2: indien gekwalificeerd moet hij een tijdelijk vergunning hebben voor activiteiten waar extra risico bij is. Bij HR3 gaat het erom dat de voorbereiding van het eigenlijke werk begint bij het informeren van andere operators, als dit nodig is, over het werk wat moet gebeuren (co6rdinatie), in het perspectief van de potentiële effecten op hun taken. Bij ER4: als men arriveert op de werklocatie zal de lokale systeem status gecheckt moeten worden om bekend te worden met de verwachte omstandigheden voor zover deze voor het werk relevant zijn. Bij HR5: het werk zelf zal goed gepland moeten worden dit wil zeggen de correcte methode zal gekozen moeten worden en in de juiste volgorde uitgevoerd moet worden. Tenslotte bij HR6 gaat het om materiaal of informatie: de juiste proces data of gereedschappen zullen bijvoorbeeld gebruikt moeten worden. Voor wat betreft skill based gedrag zijn HS1 en HS2 van belang. Bij HS1 gaat het erom dat de voorgeschreven gereedschappen en informatiebronnen om een juiste/goede werkprestatie te verkrijgen aanwezig moeten zijn en gebruikt moeten worden. Bij HS2 gaat het er tenslotte om dat de uitvoering van de vereiste acties zelf inhouden dat er succesvol en correct gehandeld wordt ; zowel beheerst, dat wil zeggen zoals bedoeld, gedetailleerd, handelen (om gereedschappen te manipuleren), als om de juiste lichaamshouding te handhaven om beheerste bewegingen mogelijk te maken. Het blijkt dat men zich bij voorkeur concentreert op duidelijk zichtbare skill based elementen (zoals het drukken op de verkeerde knop) in plaats van de minder duidelijke rule based
elementen (zoals planning) of de voornamelijk cognitieve, interne "activiteiten" met betrekking tot het knowledge based gedrag. Daarom wordt bij het gebruik van de classificatie de volgende vaste volgorde voorgesteld (zoals aangegeven van boven naar beneden in figuur 3.1) om tot de best passende fouten categorieën voor causale factoren van accidents en near misses te komen; dus eerst knowledge based fouten en dan rule based en uiteindelijk ski11 based fouten. Menselijke (operator) fouten kunnen niet geheel geïsoleerd worden van de technische en organisatorische context van de taakprestatie. De hoofdcategorie "technische factoren' wordt onderverdeeld in: - Engineering (TE): dat wilt zeggen een verkeerd ontwerp; - Construction (TC): een juist ontwerp wat niet juist opgevolgd is tijdens de constructiefase; - Materials (TM): een rest categorie voor materiaal fouten die niet classificeerbaar zijn onder TE of TC. De hoofdcategorie "organisatorische factoren" wordt onderverdeeld in: - Operating Procedures (OP): dit verwijst naar de (inadequate) kwaliteit van procedures (compleetheid, accuraatheid. ergonomische correcte prestatie), niet of ze opgevolgd zijn of niet! - Management Priorities (OM): dit verwijst naar iedere druk uitgeoefend door top- of middenmanagement om de produktie te laten prevaleren boven de veiligheid. Ook hier wordt weer een vaste volgorde om de analyse uit te voeren bepleit: eerst moet men ervoor zorgen dat het technisch ontwerp etc. van de werkomgeving volledig adequaat is, vervolgens de organisatorische context en uiteindelijk het menselijk gedrag als mogelijke fouten factor. Om deze manier hopen we de
figuur P. 1 het Binähovens Classificatie Model
figuur 3.2 Actie/maatregelenmatrix -16-
sterke onzuiverheid binnen een bedrijfscultuur te omzeilen om de analyse te starten en te stoppen op het niveau van de eindgebruiker en de technische en organisatorische context van iedere misstap buiten beschouwing te laten. 3.3 De matrix De classificatieresultaten moeten vervolgens vertaald worden in voorstellen voor effectieve, preventieve en correctieve acties voor de lange en voor de korte termijn. Om dit te bereiken wordt er gebruik gemaakt van een classificatie/actie matrix (zie figuur 3.2).
.
De rijen van deze matrix bestaan uit de uiteindelijke classificatie codes terwijl de kolommen de vijf actie-klassen die voor het management beschikbaar zijn representeren. Deze actie-klassen zijn: - Equipment: herontwerp van hardware, software of interface delen van het mens-machine systeem; - Procedures: completeren of verbeteren van de formele en informele procedures voor een efficiënte en veilige taakuitvoering; - Informatie en comwuiicatie: completeren of verbeteren van de beschikbare informatiebronnen en communicatiestructuren; - Training: verbeterde (her)trainingsprogramma's voor vaardigheden nodig; - Motivatie: het verhogen van het niveau van vrijwillige gehoorzaamheid met betrekking tot algemeen geaccepteerde regels door het toepassen van principes van positieve gedragswijziging. In de matrix wordt de meest geprefereerde actie in termen van verwachte effectiviteit voor iedere classificatie categorie aangegeven door een " x ". De "no I"-'s uit de laatste kolom verwijzen naar management acties die bijzonder ineffectief zijn maar die niettemin vaak in de praktijk worden aangetrof-
fen. 3.4 Near Miss Manasement Svstem (bronnen: [3l, [14], [15]) Van der Schaaf geeft een raamwerk voor een volledig "near miss management systeem"; deze bestaat uit zeven stappen: 1. detectie: meestal op basis van vrijwillige rapportage; 2. selectie: van die rapporten waaruit het meeste geleerd kan worden ; 3. beschrijving: van de geselecteerde gebeurtenis, door middel van een kwalitatieve foutenboom; 4. classificatie: van de basisoorzaken, volgens het model van systeemfalen; 5. data analy~e: basisoorzaken invoeren in databank voor statistische analyse; 6. interpretatie: van de analyseresultaten, naar suggesties voor managers met betrekking tot verbeteringen; 7. evaluatie: van de resultaten van de genomen maatregelen. 3.5 De Fault Tree Analvsis (FTAL De Fault Tree analysis of foutenboomanalyse die hierboven onder punt drie genoemd is, wordt meestal gepresenteerd in de vorm van een piramide. Bovenaan vinden we de gebeurtenis, het (bijna) ongeluk dat we willen analyseren, onderaan de elementaire events die positief of negatief hebben bijgedragen tot de gebeurtenis. Men werkt vervolgens van boven naar beneden (top-down). De eerste vraag is: wat veroorzaakte de gebeurtenis? De volgende vraag: wat veroorzaakte deze oorzaken? Deze vraag herhaalt men net zo lang tot het antwoord irrelevant wordt. Op dat moment zijn de elementaire events (causale factoren of basisoorzaken) bereikt. De belangrijkste karakteristieken zijn: - De elementen van de boom. Deze kunnen verdeeld worden in hoofd- en tussenelementen. De tussenelementen spelen een verklarende rol om van een (bijna) ongeluk (critical incident)
tot hoofdelementen (elementaire events, basis oorzaken) te komen. - De structuur van de boom. Deze structuur wordt gevormd door de zogenaamde logische poorten. Deze poorten kunnen verdeeld worden in AND- en OR-poorten (bijvoorbeeld als fout C veroorzaakt is door een combinatie van fout A en fout B, is dit een AND-relatie. Maar als fout F veroorzaakt is door fout D of E, is dit een OR-relatie). Verder geeft bijvoorbeeld Reason in [91 in hoofdstuk 8 in de eerste vier paragrafen en overzicht van methoden en technieken om te achterhalen waar fouten zitten: het gaat hier vooral om technische storingen en fouten en eisen ten aanzien van het ontwerp van technische systemen. Vanaf paragraaf 5 en verder geeft hij aan waar verbeteringen zijn aan te brengen als je een idee hebt waar de zwakke punten liggen.
"
3.6 Voor- en nadelen van het model Voordelen zijn: - de veel omvattendheid van het model: het behandelt alle relevante fouten factoren (technisch, organisatorisch en gedrag) en het behandelt alle niveaus van gedrag, niet alleen rule based (R-B) maar ook knowledge (K-B) en skill-based (S-B) gedrag [31 . - het is volledig operationaliseerbaar in termen van herkenbare taakelementen en het heeft expliciete verbindingen met de hieruit resulterende management acties; het is hierdoor een stuk gereedschap voor veiligheidsmanagement 131. Nadelen zijn: - de algemene vaagheid van het SRK-model (zie ook paragraaf 2.3) [31. - dat de nadruk ligt op het menselijk gedrag.
Hoofdstuk 4: (bron:[41)
WRT:
Manaaemant
Oversiaht
and
Risk
Tree
4.1 MORT-methoden De belangrijkste methoden en technieken van MORT zijn: i. barrière-analyse; 2. sequentie-analyse; 3. veranderingsanalyse; 4. MORT-boom. Van deze methoden is alleen de barrière-analyse volledig opgenomen in de MORT-boom. De genoemde methoden/technieken zijn vooral van belang bij het analyseren van achtergronden en oorzaken van ongevallen. Naast deze hierboven genoemde technieken, bevat MORT ook nog gereedschappen voor risicobeoordeling om management-beslissingen op het vlak van risicobeheersing te ondersteunen. De vier hierboven genoemde methoden en technieken zullen nu kort behandeld worden. 4.2 Barrière-analyse
Het idee achter barrière-analyse wordt weergegeven in figuur 4.1. De blootstelling van een kwetsbaar object aan een gevarenbron leidt tot schade tenzij een afdoende barrière de blootstelling reduceert tot een niveau waarbij er geen schade meer aan het object optreedt. Barrière-analyse houdt nu het volgende in: 1. er wordt voor elke gevarenbron of gevaarlijke omstandigheid afzonderlijk vastgelegd of (overmatige) blootstelling van een bedreigd object denkbaar is; 2. als er en verband tussen een gevarenbron en een kwetsbaar, bedreigd object vastgesteld is, wordt er geïnventariseerd welke fysieke en procedurele maatregelen (dat wil zeggen: barrières) er getroffen zijn om overmatige blootstelling te voorkomen. 3. tenslotte wordt elk maatregel beoordeelt op mate van doeltreffendheid. Bij analyse van een concreet ongeval beperkt de barrière-
analyse zich tot de specifieke gevarenbron in relatie tot het bedreigd object dat door blootstelling aan de gevarenbron schade heeft opgelopen. Barrière-analyse vormt de kern van het onderzoek naar de specifieke ongevalsfactoren in de MORT-boom. Seauentie-analvse Het doel van sequentie-analyse is om enkelvoudige gebeurtenissen en omstandigheden in het verloop van een ongevalsproces te identificeren en in tijdsvolgorde te plaatsen. Hierbij wordt er onderscheid gemaakt tussen: - primaire gebeurtenissen; - secundaire gebeurtenissen; - bijkomende oorzakelijke factoren; - algemene achterliggende factoren. 4.3
.
De sequentie-analyse helpt bij het toetsen van hypotheses van ongevalsoorzaken, vergemakkelijkt de toepassing van barrièreanalyse en dient als leidraad voor rapportage. Veranderinasanalygp De gedachte achter de veranderingsanalyse is dat verandering in een proces of in omstandigheden vaak ten grondslag liggen aan veelal ernstige ongevallen. De methode van veranderingsanalyse is een eenvoudige uit vijf stappen bestaand proces gevolgd door een integratiestap waarin de resultaten worden ingepast in het totale ongevalsanalyseplaatje. De stappen zijn achtereenvolgens: 1. beschrijf de ongevalssituatie; 2. beschrijf een vergelijkbare ongevalsvrije situatie; 3 . vergelijk de twee situaties om verschillen vast te stellen; 4. stel alle verschillen vast; 5. analyseer de verschillen op onderliggende veranderingen en op hun bijdrage aan het ongeval; 4.4
figuur 4.1 het barrisre-concept
I
I
WAT P r geturd?
WAAROM kan dal gebeuen?
opaeden van een imident
figuur 4.2 top van de MORT-boom -22-
I i
J
6. integreer de resultaten van de veranderingsanalyse met die
van andere analysemethoden voor bevestiging en validatie en om een helder begrip te krijgen van het ongeval en van preventiemogelijkheden. 4.5 MORT-boom analvse
De MORT-boom is een vooraf geconstrueerde en op een faalboom lijkend diagram van een grote, fictieve organisatie. De elementen van de boom zijn gebeurtenissen met betrekking tot functies die vervuld moeten worden om een inherent risicovolle activiteit op gewenste wijze zonder schade te realiseren. Inbreuken hierop kunnen in de MORT-boom worden voorspeld of geanalyseerd. Hiertoe zijn er in de MORT-boom ongeveer honderd typen basisproblemen opgenomen die zijn uitgewerkt in ongeveer 1500 basisgebeurtenissen (zie figuur 4.2). Als de MORT-boom nu toegepast wordt bij ongevalsanalyse dan geeft de MORT-boom de gebruiker relatief eenvoudige beslispunten om "verwaarlozingen" of omissies, over 't hoofd geziene factoren, aanvaarde risico's en gebreken in de organisatie te detecteren. Elke gebeurtenis in de MORT-boom vraagt van de gebruiker een kwalitatief oordeel in termen van: - voldoende; - onvoldoende; - meer informatie nodig; - niet van belang, niet van toepassing. De gebruiker moet de organisatiefuncties in de boom indien deze relevant zijn, zien terug te vinden in benoembare afdelingen van zijn eigen organisatie. Tevens moet de vraag die bij elke gebeurtenis ter beschikking is ter ondersteuning van de gebruiker, door deze gebruiker worden vertaald naar de reeds vertaalde voorafgaande MORT-boom gebeurtenis. Analyse van een ongeval is gericht op het identificeren van belangrijke gebeurtenissen en omstandigheden voorafgaande aan het ongeval; de belangrijkste elementen zijn:
- energie(bron) of gevaarlijke omstandigheid; - barrières; - fouten in ontwerp/gebruik van barrières; - veranderingen in het (oorspronkelijke) proces; - risico-inschatting. De MORT-opvatting gaat ervan uit dat een ongeval een verstoring is van een gewenste activiteit, met schadelijke gevolgen, en voortkomt uit het ontbreken of falen van afdoende maatregelen voor het waarborgen van de gewenste activiteit. Hierbij wordt de zogenaamde l~ongevalsdriehoek" gehanteerd waarbij een ongeval plaatsvindt als de volgende drie-éénheid gelijktijdig aanwezig is: - gevarenbron of gevaarlijke omstandigheid; - blootstelling van een kwetsbaar object hieraan; - een onvoldoende barrière. Een bijna ongeval, een ongeval zonder schade, treedt op als de drie-eenheid net niet tegelijkertijd voorkomt of als de weerstandsdrempel van het bedreigde object nog voldoende hoog is. 4.6 Onsevalsanalvse met MORT
De MORT-boom bevat hiervoor twee hoofdtakken: 1 de S/M-tak, verder onder te verdelen in: - de S-tak: Specifieke factoren. De centrale vraag is: "Wat is er gebeurd?"; deze vraag moet de gebruiker stellen voor het proces waarin de schade is ontstaan. Maatregelen die uit de analyse met behulp van de S-tak worden afgeleid, zijn niet structureel van aard omdat hiermee slechts specifieke factoren binnen de ongevalsdriehoek kunnen worden aangepakt. - de M-tak: Management factoren. De centrale vraag hier is: "hoe/waarom kon dat gebeuren?"; deze vraag richt zich op het achterhalen van de betreffende organisatiefuncties. Verbeteringen hiervan dragen wel structureel bij tot preventie van ongevallen, omdat hiermee de randvoorwaarden voor het proces worden aangepakt.
Tussen de S-tak en de M-tak van de MORT-boom bestaan relaties zodat tijdens de analyse in de S-tak potentieel van belang zijnde organisatiefuncties op zinvolle wijze worden getoetst in directe relatie tot het concrete ongeval. 2 De R-tak; in deze tak worden de expliciet aanvaarde risico's
ondergebracht die uit analyse van de S-tak blijken en waar over in het ontwerp- en ontwikkelingsproces beleidsbeslissingen zijn genomen over het al dan niet uitvoeren van beveiligingen en barrieres. Het gebruik van de MORT-boom kan op drie niveaus gebeuren: 1. een vluchtige analyse van een (bijna-)ongeval; 2. een systematische analyse van een (bijna-)ongeval; 3. analyses vooraf tijdens de ontwerpfase. Op elk niveau zijn bepaalde delen van de MORT-boom bruikbaar: zo zal onder 2 als het gaat over de analyse van een (bijna-) ongeval met zeer ernstige schadelijke gevolgen de gehele MORTboom moeten worden doorlopen; in alle overige gevallen kan volstaan worden met het doorlopen van bepaalde delen van de MORT-boom. ISA (Intelligent Safety Assistent) is een expertsysteem opgebouwd uit gegevens- en kennisbestanden voor ongevalsanalyse. Een enkel geval is onmiddellijk met behulp van ISA te analyseren; er is geen noodzaak met de analyse te wachten totdat er een voldoende aantal meldingen zijn vastgesteld om een statistische analyse door te voeren. 4.7 Voor- en nadelen van de MORT-boomanalvse (bronnen:[4],151) Voordelen: - de MORT-boom is compleet waardoor er een waarborg is dat relevante aspecten niet over het hoofd worden gezien; - de gecomputeriseerde versie van de MORT-boom (C MORT, ISA) zorgt ervoor dat er zorgvuldig gewerkt wordt ten aanzien van
de boekhouding van beoordeelde gebeurtenissen als ook van de onderbouwde feiten en van de route die gevolgd is. Nadelen : - de discipline bij de gebruiker dient groot te zijn om de algemene organisatiefuncties in de boom te vertalen naar herkenbare afdelingen in zijn eigen organisatie en om de vraag bij elke gebeurtenis te concretiseren; dit maakt het werken met de MORT-boom lastig; - door het formaat van de MORT-boom (één blad Al) en de overweldigende volledigheid en complexiteit kan de gebruiker afgeschrikt worden; - een analyse met behulp van een MORT-boom kost relatief veel tijd onder andere omdat de gebruiker de relevantie van elk van de (maximaal ongeveer 1.500) veralgemeniseerde factoren voor een specifiek ongeval moet toetsen; - hiermee is een MORT-boomanalyse te compleet en daarmee een te zwaar instrument voor de meeste ongevallen.
Hoofdstuk 5: Bet Tri~odmodel (bronnen: [3], [61,[7],[ E l ) 5.1 Inleidinq
Volgens Reason zijn er drie elkaar overlappende periodes in het veiligheidsgebeuren geweest. Na het technische tijdperk en het human error tijdperk zijn we nu aangeland in het sociotechnische tijdperk waarbij de oorzaken van ongelukken in de management en organisatorische sfeer gezocht moeten worden. Het is nodig onderscheid te maken tussen twee manieren waarop mensen bij kunnen dragen aan ongevallen in technische systemen : 1. actieve fouten; 2. latente fouten. Volgens Reason zijn deze latente fouten in technische systemen analoog aan inwendige pathogenen in het menselijk lichaam die in combinatie met lokale factoren getriggerd kunnen worden, het afweersysteem kunnen overwinnen en ziekte kunnen veroorzaken. Ongelukken met het afweersysteem worden niet veroorzaakt door één enkele oorzaak (denk aan bijvoorbeeld kanker); ze gebeuren door de ongelukkige samenloop van verschillende factoren, elk nodig maar niet in staat om alleen door de verdedigingen heen te breken. Net zoals het menselijk lichaam kan een technisch systeem helemaal vrij zijn van pathogenen. Deze zienswijze leidt tot een aantal algemene beweringen over het veroorzaken van ongelukken. Ondanks dat de metafoor een aantal interessante kanten heeft, is het verre van een hanteerbare theorie voor organisatie-ongelukken. Wat vervolgens volgt is een theorie waarbij de verschillende manieren waarop menselijke elementen van verschillende systeemniveaus kunnen bijdragen aan ongelukken; volgens dit model worden pathogenen op twee manieren het systeem ingebracht. De eerste manier is door de menselijke natuur en de tweede manier is via de hooggeplaatste beslissers in een organisatie (bedoeld wordt wat Mintzberg de "strategie apex" noemt) die
deze vervolgens verder verspreiden door de organisatie via de lijnafdelingen. Hierna volgt een stap waarbij de fouten typen verdeeld worden in twee groepen: de "types" en de "tokens" en komt het Tripodmodel tot stand. 5.2 Het Trivodmodel
Het ontstaan van ongelukken, volgens het Tripodmodel, gebeurt doordat een groot aantal fouten verborgen ligt te wachten op omstandigheden die het toestaan hun effecten te wreken. Zulke latente fouten hoeven niet geïntroduceerd te worden door de individuen dicht bij de plaats van het ongeluk maar kunnen best geïntroduceerd zijn door personen die ver verwijderd zijn van de werkelijke plaats waar een ongeluk plaats vindt. Figuur 5.1 laat zien hoe ongelukken voortkomen uit actieve fouten of het begaan van onveilige handelingen of, het meest frequent, een interactie van beide voorgaande. De actieve fouten mogen technisch of menselijk zijn; de onveilige handelingen zijn degene die toelaten dat fouten door de verdediging schieten. De onveilige handelingen en de actieve fouten leiden tot ongelukken in specifieke situaties. Vervolgens veroorzaken de Genera1 Failure Types (GFT'S) en hun meer specifieke latente fouten de onveilige handelingen en de actieve fouten. De drie poten van de Tripod zijn verbonden door verbindingen. In het geval dat onveilige handelingen en actieve fouten tot een ongeval leiden is dit duidelijk; deze verbinding loopt van onveilige handelingen tot ongeluk. Defensieve maatregelen dienen hier plaats te vinden, zijn last minute en moeten ontworpen zijn om in staat te zijn zoveel mogelijk tegen te houden. Preventieve maatregelen zouden beter verder weggeplaatst kunnen worden van de werkelijke ongelukken. Dit houdt in het tegenhouden van de GFT'S en de manier waarop deze zich voort-
planten naar beneden en fouten en onveilige handelingen veroorzaken. We moeten bij preventieve maatregelen dus concentreren op de lijn GFT naar onveilige handelingen en actieve fouten. De derde lijn loopt tussen ongeluk en Genera1 Failure Types: dit houdt in dat ongelukken ons kunnen laten zien hoe fouten de verdedigingen kunnen misleiden en uiteindelijk leiden tot een ongeluk. Dit gebeurt door psychologen en human factors specialisten die proberen meer algemene conclusies te trekken van ongelukken en incidenten.
.
Het Tripodmodel maakt onderscheid tussen types en tokens: - tokens: specifieke gebeurtenissen en acties; - types: meer abstracte manier van het beschrijven van tokens. Bijvoorbeeld: een individuele werker die geen helm draagt op een bepaald moment en plaats, een token, is een vertegenwoordiging van het type niet dragen van een helm die op zijn beurt weer een vertegenwoordiging is van het meer algemene type het niet dragen van beschermende kleding. Er is een oneindig groot aantal types van een lagere orde en dus zeker ook van tokens mogelijk. 5.3 Tokenism
Veel studies en onderzoeken over ongelukken hebben zich geconcentreerd op de tokens, in plaats van de types, die betrokken waren bij een specifiek ongeluk. Deze aandacht voor tokens wordt wel tokenism genoemd en benadrukt te veel de bijzondere en specifieke aard van gebeurtenissen in plaats van hun meer algemene karakter. Als we accepteren dat er een oneindig groot aantal tokens zijn dan moeten we accepteren dat preventieve acties zich zullen moeten richten op meer abstracte entiteiten. 5.4 Genera1 Failure m e s
De GFT'S dekken zowel de menselijke als technische problemen. Ze worden onderverdeeld in:
8
- Fouten Introductie: * Latente fouten: 1 - Hardware defecten 2 - Ontwerp fouten 3 - Slechte onderhoudsprocedures * Onveilige handelingen: 4 - Slechte werkprocedures 5 - Fouten versterkende omstandigheden 6 - Slechte huishouding (onder andere: orde & netheid) - Fouten Preventie: * Coördinatie: 7 - Onverenigbare doelen 8 - Organisatie fouten 9 - Communicatie fouten Verdediging: 10 - Inadequate training 11 - Inadequate verdediging Al deze types kunnen op subtiele wijze bijdragen aan ongelukken door het introduceren van latente fouten, door het toelaten dat ongewenste samenlopen van situaties en acties samen komen door de kans te laten toenemen dat mensen "dicht bij" een eventueel ongeluk onveilige handelingen verrichten en door het falen van het voorzien in de middelen om ongelukken te voorkomen die al in gang zijn gezet. Het Tripod-model noemt de omstandigheden die bevorderlijk zijn voor menselijke fouten: llpsychologicalprecursors' oftewel psychologische voorspellers. Deze voorspellers zijn belangrijk omdat ze een stapje terug zijn ten opzichte van de onveilige handelingen zoals types een stapje terug in abstractie representeren ten opzichte van tokens. Er is een hele variëteit van "psychologische voorspellers"; enige hiervan zijn: - onderspecificatie: wat precies onder gespecificeerd is en
figuur 5.1 Tripod-model
UNSAFEACTS ARISE FROM UNDER - SPECIFICATION AT BOTH THE COGNITIVE AND SYSTEM LEVELS
Main failure types
Sources of cognitive under spscitlcation
-
1 Inattention
@of sydem under -specification
I
Misperception
Insuíñcientcues Cornpeting dernands
1-
VIOLATIONS (c
Insuíñcient a~~reciation I / of consequences Perceived unlikelihood of injurious outcome
d -31-
figuur 5.2
wat de effect daarvan mogen zijn hangt van het type gedrag wat overwogen wordt af. - motivatie: de manier waarop mensen situaties interpreteren hangt af van wat ze op dat moment willen doen. Als de motivatie, of die nu groot of klein is, of goed of slecht gericht is, afwijkt van de behoefte op dat moment, dan kan deze discrepantie tot een variëteit van fouten leiden. - verandering: deze kan dramatische effecten op gedrag hebben. Verandering stelt mensen in staat hierop te reageren als het zich voordoet maar ongepast te negeren als het optreedt (zoals mensen in januari de verkeerde datum op cheques en andere documenten zetten). Verandering vereist van mensen dat ze situaties waarnemen, vervolgens hierop reageren en die wel of juist niet dezelfde responses vereisen als soortgelijke en goed geleerde situaties. 5.5 m e n menseliike fouten
Menselijke fouten binnen het Tripod-model worden onderscheiden in vier verschillende foutklassen waarbij er een samenvoeging l. Slips
onbedoelde
Ski11 based fouten
2. lapses
acties
3. mistakes
bedoelde
Knowledge
4. violations
acties
fouten
&
Rule based
gemaakt wordt van slips en lapses in onbedoelde acties en mistakes en violations in bedoelde acties (zie hierboven): - slips zijn acties die in een verkeerde volgorde uitgevoerd worden alhoewel het ook betrekking heeft op een aantal weggelaten acties; - lapses zijn meer directe weglatingen van acties, zich onderscheidend van slips waar de vermiste acties veroorzaakt worden door het overnemen van andere acties en de vermiste acties zo
wegdringen; - mistakes houdt in een fout ten aanzien van hoe de wereld werkelijk is, gevolgd door de formulering van actieplannen die voorspeld worden op een verkeerd denkbeeld; - violations hebben betrekking op bekende onveilige handelingen die bij vergissing voor niet gevaarlijk worden aangezien, tenminste niet door de betrokken persoon. Een bijzonder menselijke zwakheid die significant bijdraagt aan menselijke fouten is de zogenaamde "conformation bias" : dit wil zeggen dat mensen de neiging hebben om informatie zo te interpreteren dat het hun geloof in de gang van zaken bevestigd. Conformation bias komt ook voor bij slips en lapses maar vooral bij mistakes omdat deze laatste een groot aantal acties eerst tot bevestiging (conformation) leiden voordat de fout eindelijk herkend wordt. 5.6 Drie niveaus van uitvoerinq
.
Het Tripod-model maakt onderscheid in drie verschillende niveaus van gedrag zoals beschreven door de Deense psycholoog Rasmussen: zie hiervoor het SRK-model zoals beschreven in Slips en lapses zijn over het algemeen het hoofdstuk 2. produkt van ski11 based gedrag. De verschillende aspecten van de taakprestatie kunnen verschillende bases hebben en geven verschillende mogelijkheden voor fouten. De omstandigheden die de kans op het optreden van een fout vergroten zijn erg verschillend voor de drie verschillende typen gedrag. 5.7 Affordances voor fouten
Een belangrijk aspect van het begrip affordance is dat het laat zien en begrijpen hoe en waarom de wereld kan worden gebruikt en verkeerd kan worden gebruikt op manieren waar het oorspronkelijk niet voor bedoeld is. Een voorbeeld is als u naar een stoel kijkt; je ziet dan iets waar je op kunt gaan zitten. Als er géén stoel is dan zijn er andere oppervlakken
xoord.t"k
5
t.I
OVERVIEW O F ACCIDENT CAUSATION THEORY
figuur 5.3
i
'rripabod.1
beschikbaar waar ook op gezeten kan worden. De eigenschappen van deze oppervlakken waar op gezeten kan worden, worden affordances genoemd.
.
De omstandigheden die fouten toelaten zijn zoals hierboven omschreven. Een goed ontwerp zorgt ervoor dat situaties die tot fouten kunnen leiden vermeden worden. Om dit te bereiken is het nodig om behoorlijk gedetailleerde analyses uit te voeren van de taken die uitgevoerd worden en van de situaties waarin de taken uitgevoerd worden. We hebben nu een gedetailleerder begrip over hoe ongelukken optreden door het samenvoegen van het Tripod idee en de analyses over menselijke fouten. Figuur 5.3 laat het Tripod idee zien die zich in een lijn uitstrekt tussen de beslissingen die genomen worden door de verantwoordelijken, hun effect op de Genera1 Failure Types en de manier waarop er een progressie naar ongelukken is. De GFT's definiëren de psychological precursors (de psychologische voorspellers) van unsafe acts (de onveilige handelingen) die bestaan uit variaties van slips, lapses, mistakes en violations. De voorspellers zijn de situaties die zich fouten veroorloven en vele zijn het directe resultaat van de uitdrukking van GFT's. Zij zijn de manieren waarop GFT's hun invloeden kunnen uitoefenen alhoewel sommige GFT's ook meer direct optreden (bijvoorbeeld hardware mankementen). De GFT's en psychological precursors zijn al aanwezig wanneer een individu op de scene verschijnt en het maakt niet uit wie dat persoon is die geselecteerd is om het slachtoffer te zijn. Het is al erg ver in het ongelukproces dat een persoon één ongelukkige onveilige handeling maakt die gecombineerd met de lokale situatie, door de laatste verdediging heen glipt en plotseling tot een ongeluk leidt. Individuen kunnen ongelukken veroorzaken maar we hebben gezien dat dit goed kan gebeuren omdat ze in een situatie geplaatst zijn waarin een ongeluk onvermijdelijk is. Organisaties en
X
beslissingmakers stellen de aanvankelijke omstandigheden en definiëren de specifieke opzet. De potentiële slachtoffers hebben aanzienlijk minder vrijheid in hun acties en gebreken dan op het eerste gezicht schijnt. Dit is niet om de verantwoordelijkheid van deze mensen te ontkennen maar meer om de verantwoordelijkheid bij degene die ze in de eerste plaats in gevaarlijke situaties plaatsen uit te breiden en te laten realiseren dat verantwoordelijkheid voor veiligheid en voor preventie van ongelukken geldt voor alle individuen op alle niveaus in een organisatie. 5.8 Aanpakken van menselijke fouten
De klassieke ongelukkenpreventie, waarbij men ervan uitging dat het wel of niet optreden van menselijke fouten in de handen van de goden ligt, concentreert zich op verdedigingen.
management
r . h e manugement deficiencies
Loop 3 Loop 2
.
I
-b
workplace
individual conditions as precursors of unsafe anz
Dcfuiccs
unsafc acn
md near misses
l
. figuur 5.4 Reasons safety-related feedback channels
Het beeld over het proces van het ontstaan van ongelukken wat hierboven ontwikkelt is, suggereert echter dat we een heleboel meer weten over hoe en waarom fouten gebeuren en hoe ze interacteren en tot ongelukken leiden. Dit betekent dat we niet meer kijken naar de directe nabijheid van potentiële ongelukken, waar het aantal mogelijkheden bijna oneindig is maar naar de veel kleiner in aantal zijnde GFT'S en voorspellers die beheerst kunnen worden.
.
Er zijn vier verschillende feedback loops om informatie te krijgen ten behoeve van veiligheidsmanagement de zogenaamde "safety-related feedback channelsT1(zie figuur 5.4): - loop 1; accident reporting: meest gebruikte kanaal maar bevat alleen informatie die te lawaaierig (dat wil zeggen de echte basisoorzaken kunnen niet meer achterhaald worden) is en te laat is (dat wil zeggen het steunt reactieve in plaats van produktieve veiligheidsmanagement) voor efficiënte identificatie en eliminatie van basisoorzaken. - loop 2; onveilige handelingen verificatie en near miss reporting: deze heeft ook beperkte waarde alleen al omdat het aantal van deze gebeurtenissen wat optreedt zo groot is dat meten laat staan elimineren een onmogelijke opgave is. - loop 3; individuele omstandigheden zoals slechte arbeidsplaatsontwerp, hoge werkdruk, inadequate training etc.: wordt als niet erg bruikbaar beschouwd om toekomstige ongeval scenario's te voorspellen. - loop 4; "fouten type indicatorsn op het niveau van management activiteiten: behoort tot het organisatie domein waar veiligheidsmanagers kunnen beginnen om zich in te spannen om effectieve en doelgerichte beheersing over het systeem te verkrijgen (voorbeelden van zulke fouten types zijn: ontwerp fouten, slechte onderhoudsprocedures, niet verenigbare doelstellingen, communicatie fouten (zie paragraaf 5.4)). Verificatie en beheersing van deze GFT'S is de meest efficiënte manier voor veiligheidsmanagement.
De aandacht richten op tokens op het verdediging- of onveilige handelingenniveau, is een reactie op het gebrek aan kennis over de redenen waarom handelingen onveilig zijn of verdedigingen nodig zijn. Bovendien werkt de concentratie op het handelen van individuen op plaatsen waar mogelijk ongevallen kunnen plaatsvinden en dure hardware verdedigingen, in het uiterste geval, juist zowel economisch als sociaal averechts. Zonder een adequate begrip van de GFT's en psychologische voorspeller stadia, kan de interpretatie van gegevens die verzameld zijn en de £eed back naar degene die beslissingen maken moeilijk zijn. Organisaties die zich concentreren op gedetailleerde analyse van ongelukken en eventueel op informatie over onveilige handelingen, gebruiken hun bronnen niet optimaal. Indicatoren, die de aard en grootte van bepaalde GFT's en hun uitdrukking in specifieke activiteiten identificeren, en het Failure State Profile, wat gemaakt kan worden door het meten van deze indicatoren, zijn bedoeld als een hulpmiddel voor het management om vast te stellen waar hun problemen liggen, om te helpen vast te stellen wat voor soort preventieve acties nodig zijn en vervolgens een prioriteitsstelling van deze acties te maken. 5.9 Veilisheidsmanasement OD intensive care afdelinaen
Wagenaar, Souverijn en Hudson i101 gebruiken twee manieren om veiligheidsmanagement te verbeteren. De eerste is ongevallen en bijna ongevallen analyseren met een gedetailleerdheid en diepte dat de onderliggende latente fouten ontdekt en verwijderd kunnen worden. De tweede manier is het vastleggen van signalen die de aanwezigheid van latente fouten aangeeft om hier vervolgens wat aan te doen. Zoals eerder in dit hoofdstuk al bleek, zijn latente fouten de belangrijkste indicators waarop veiligheidsmanagement zich zou moeten baseren: niet alleen zijn zij de basisoorzaken van ongevallen maar ook het
kleine aantal typen reduceert het probleem tot een te managen taak. Op basis van studies met honderden ongelukken en bijna ongelukken zijn er tien typen latente fouten gedefinieerd; ze zijn gerelateerd aan de werkomgeving, aan de individuen die het werk doen en aan het management die verantwoordelijk voor alles is. Veiligheidsmanagement, kan nu vastgesteld worden, is nu de reductie van menselijke fouten door het in de gaten houden en minimaliseren van de volgende tien latente fout typen (zie ook paragraaf 5.4): Omgeving: hardware defecten; ontwerp fouten; fouten versterkende omstandigheden; slechte huishouding; Individuen: slechte werkprocedures; slechte onderhoudsprocedures; inadequate training; Management: onverenigbare doelen; organisatie fouten; communicatie fouten. In bijlage 1A worden drie voorbeelden gegeven die betrekking hebben op de intensive care afdeling. Nadat een voldoende aantal voorbeelden verzameld zijn, kan men tellen hoe vaak de verschillende latente fouten types verantwoordelijk zijn voor zulke incidenten en zal resulteren in een zogenaamde "failure state profile". Dit profiel toont het relatieve belang van de fouten types en zet zo de agenda voor preventieve actie. In bijlage 1B wordt een onderzoeksstudie beschreven van incidenten verzameld in twee intensive care afdelingen. De incidenten worden op dezelfde manier als hierboven vermeld geana-
lyseerd en vervolgens worden de corresponderende failure state profiles gemaakt. Tenslotte worden uit die profielen enige conclusies getrokken met betrekking tot preventieve acties.
.
Toch wordt deze laatste methode niet voorgesteld als de methode om op systematisch veiligheidsmanagement te bedrijven. De belangrijkste reden hiervoor is dat de verzameling en analyse van kritische gebeurtenissen te veel tijd kosten en eigenlijk alleen door een buitenstaander uitgevoerd kan worden; veiligheidsmanagement moet gebaseerd zijn op frequente meting van de prestatie indicators die door het systeem zelf geproduceerd moeten worden. Ongelukken en bijna ongelukken zijn, ook volgens [ l o l , bovendien geen goede indicators om de eerder in dit hoofdstuk al genoemde, twee redenen. De eerste is dat er een behoorlijke random component is : handelen op zulke in£ormatie houdt in voornamelijk reageren op geruchten wat geen systematische bijdrage aan het vergroten van de veiligheid geeft. De andere reden is dat in een aannemelijk veilige intensive care, ongevallen niet frequent genoeg optreden om bruikbaar te zijn als veiligheidsindicators. Merk overigens op dat het NMMS (paragraaf 3.4) een veel bredere doelstelling heeft namelijk het terugzoeken van het gemelde bijna ongeluk naar zijn basisoorzaken. Bovendien zijn niet de specifieke basisoorzaken van één individueel bijna ongeluk de basis voor veiligheidsmanagementbeslissingen en - maatregelen maar de resultaten van statistische analyse, verkregen uit een grote database die gevuld is met deze incidenten. Ook hier wordt weer vermeld dat de systematische bijdrage op het niveau van latente fouten types ligt en dat veiligheidsmanagement gebaseerd zou moeten zijn op het regelmatig verzamelen van informatie over latente fouten types; zelfs bij de afwezigheid van ongelukken kan dit bereikt worden door het gebruik van indicators die de aanwezigheid van deze types
signaleren. Een bruikbare veiligheidsmanagement instrument zal moeten bestaan uit een checklist die de meest valide indicators van latente fouten types moeten bevatten; op deze manier wordt een failure state profile verkregen. Dit is, zoals al eerder vermeld, een management t001 om het effect van (management) beslissingen met betrekking tot de veiligheid in de gaten te houden. In bijlage 1C staat een tijdelijke checklist als een illustratie van hoe zo'n checklist eruit zou kunnen zien. De lijst bevat 50 items waarbij ieder item objectief scorebaar is op basis van beschikbare informatie. Het kost een hoofdverpleegkundige ongeveer één uur om de lijst in te vullen. De 50 items laten uiteindelijk een inventarisatie toe van ieder fout type op een 6 puntenschaal: van O tot 5 negatief. Op deze manier wordt een failure state profile verkregen.
.
5.10 Nadelen van het Tri~odmodel Een belangrijk aspect van het maken van een instrument voor systematische veiligheidsmanagement is dat de items valide indicators zijn van fouten types; validatie van deze items kan verkregen worden door beheerste onderzoeken en door middel van expert beoordeling. Dit is tot op heden voor wat betreft [l01 nog niet gebeurt zodat de voorgestelde lijst (zie bijlage 1C) niet bedoeld is voor werkelijk gebruik. Bovendien geeft het Tripodmodel geen inzicht in het ontstaansproces van bijna ongelukken omdat ze deze niet analyseert.
Hoofdstuk 6: Overiae modellen
6.1 Noodzaak van onderzoek naar fouten in de medische wereld (bronnen: [131, [161) Van Everdingen [l31 schrijft op pagina 41 t/m 44 over de Harvard Medical Practice Study en de extrapolatie hiervan naar de Nederlandse situatie. Uit de Harvard Medica1 Practice Study blijkt onder andere het volgende: zie figuur 6.1. Het blijkt verder dat ziekenhuizen sterk in verschillen, namelijk een factor 10.
(on)veiligheid
"Near-accidents" zijn signalen die aangeven waar onveilige situaties of procedures bestaan: ze kunnen een belangrijke rol spelen bij de preventie van ongevallen en fouten, ze veroorzaken onnodige spanning, tijdverlies, oponthoud voor artsen en patiënten, extra kosten en een heel scala van kleinere ongemakken en frustraties.
.
De onderzoeksgegevens worden geëxtrapoleerd naar de Nederlandse situatie: er wordt een schatting gemaakt voor Nederland waarbij er uiteindelijk het volgende uitkomt: per 100 bedden kan een ziekenhuis jaarlijks 95-120 iatrogene opnames verwachten, 70-95 patiSnten met letselschade gedurende de opname en 7-12 gevallen van sterfte met iatrogene factoren. Een kwart tot de helft van de letselschade kan voorkomen worden. Concreet betekent dit dus dat als alle fouten en ongevallen gemeld worden, FONA-commissies dus jaarlijks per 100 bedden bijna 100 meldingen van incidenten met schade kunnen verwachten. 6.2 De modellen De artikels die behandelt worden in [l61 hebben praktisch allemaal dezelfde opzet: het zijn grote, meestal door artsen, uitgevoerde onderzoeken waarbij als het ware de incidenten en
I
S
l
Bbel2.i: Hawad Mcdiral Pmctirc Study" onderzoekduur: popuhtic u n u i ziekenhuizen: steekpro&
1j= (1984) r670.mo opgenomen patiënten 51 in Sruc of NY 3 ~ 1 (96.1% 9 bruikbaar)
hbogrnc schade v b . a h i a : hmtcl binnen I maand hentel I tot 6 maanden hmrel meer dan 6 maanden biijvcnde schade (invaliditeit) sterfte onbekend
3.7% 568% 4.7%
28% 65% (z$% ~50%invalide)
136% 6.6%
lamgme whdt bij vmrhilkndc vamm van iniewentie en de maie d had kunnen w o h (tussen haakjes): Grmacorhenpic W% (17-7'4 wondinfmia 13.6% ( ~ 5 % ) technische compliucia 47% diagnos8whe fouten U %(753%) niet invasim rhenpie 7.5% (748%) ~pocdhd~ w%(w%) c h i i s c h e intervcnóe 47.7% (I7.W anderc interventie 523% h.%
n deze u &
&n
Enut schade m vmni~dbaarheid: bij h m d < imnd bij blijvende invaliditeit
176% (=I% van aiieopnamen) ZU% 344% 51.3%
figuur 6.1 Resultaten Harvard Medica1 Practice Study
de (directe) oorzaken geturft worden en er vervolgens conclusies getrokken worden naar aanleiding van de frequentie-verdeling van de gevonden incidenten en oorzaken. In de meeste artikels wordt wel een pragmatische classificatie naar incidenten die optreden gemaakt (bijvoorbeeld: intubatie in de slokdarm) maar een summiere of geen classificatie naar diepere oorzaken (bijvoorbeeld: onkunde) en de directe gevolgen voor de patiënt (bijvoorbeeld: zuurstofgebrek - - s hersenbeschadiging) .
.
De modellen die hier gebruikt worden zijn eenvoudig: het incident zelf íbijvoorbeeld intubatie in de slokdarm) wordt gebruikt als (eind)classificatiecategorie. Er worden vaak enkele factoren genoemd die eveneens aan het incident hebben bijgedragen: dit zijn meestal de directe of bijkomende oorzaken van het incident maar zeker geen basisoorzaken (bijvoorbeeld vermoeidheid van de operateur). Als de frequentie in bepaalde classificatiecategorie groot genoeg is dan wordt er gekeken naar maatregelen om de frequentie binnen die categorie naar beneden te krijgen (bijvoorbeeld: gebruiken van een capnograaf om te voorkomen dat er verkeerde intubatie plaatsvindt) . 6.3 Resultaten van de onderzoeken
De resultaten van de verschillende onderzoeken verschillen doordat er verschillen in opvatting zijn van, bijvoorbeeld, wat wel of niet tot de verantwoordelijkheid van de anesthesist behoort, doordat de aard van het patiëntenmateriaal verschilt en doordat de perioden waarin de onderzoeken hebben plaatsgevonden verschillend zijn. Dit maakt het moeilijk onderzoek te vergelijken en algemene conclusies te trekken.
Een aantal incidenten, oorzaken en bevindingen komen echter bij veel onderzoeken voor: - storingen, defecten en fouten in het beademingssysteem en problemen met de luchtwegen en intubatie; - medicatie fouten; - de belangrijkste oorzaak van ongevallen door technische stoornissen is het nalaten van routine checkprocedures; - als directe of bijkomende oorzaken van een incident worden vaak genoemd: - stress; - haast; - onoplettendheid of onzorgvuldigheid; - vermoeidheid; - onervarenheid in een bepaalde situatie (met eventueel procedures, technieken of apparatuur); - beoordelingsfouten; - onoverzichtelijke apparatuur; - afwijken van het standaardprotocol; - communicatieproblemen; - de vermijdbaarheid van anesthesie ongevallen blijkt groot te zijn; - er moeten meerdere fouten tegelijkertijd optreden voor er een anesthesie ongeval is. U kunt in [l61 een overzicht van de literatuur met betrekking
tot risicofactoren in de anesthesie en reductie of eliminatie hiervan, vinden.
De nadelen van deze modellen worden in hoofdstuk
7
behandeld.
Hoofdstuk 7: Keuze voor een be~aaldmodel
Uitgaande van de onderzoeksvraag: "een onderzoek naar analytische modellen voor de beschrijving van incidenten en classificatie van oorzaken die bruikbaar kunnen zijn in het ziekenhuis", kan vastgesteld worden dat het Tripodmodel aan zowel het ECM, de MORT-boomanalyse en deze eisen voldoen. De "overige modellenu1 (zie hoofdstuk 6) voldoen niet aan de volgende "basis" eisen (zie paragraaf 1.11, omdat: - er geen gebruik gemaakt wordt van meer analytische methoden om een incident te beschrijven zoals een foutenboom, - men dus niet op zoek gaat naar basisoorzaken en dus zeker geen stopping-rule gebruikt om te bepalen op welk detailleringsniveau men moet stoppen met het terugzoekproces naar de basisoorzaken, - men geen gebruik maakt van een human behaviour model om menselijke factoren bij incidenten te analyseren en/of om geschikte maatregelen te nemen, of algemener gesteld: men maakt niet gebruikt van een model om (basis)oorzaken te koppelen aan maatregelen, - er geen evaluatie van maatregelen die genomen zijn plaatsvindt. Als vervolgens ook de redenen van wat men met het verzamelen en analyseren van incidenten wil (zie paragraaf 1.2) en praktische eisen zoals de "directe toepasbaarheid van het model" en de "tijd per analyse" meegenomen worden, dan kan er een afweging plaatsvinden: zie tabel 7.1. In het bovenste deel van deze tabel wordt ieder model beoordeeld op vier belangrijke aspecten en de belangrijkste voor- en nadelen; het onderste deel van de tabel vat de criteria van het bovenste deel samen en w - 11 - en. Een "+" wil zeggen dat het bepaalde met 11 +q,-en criterium ja/goed/gunstig scoort, een stelde zeggen: nee/slecht/ongunstig.
'l-"
wil het tegenoverge-
-
-v=-t-pr
w..-
huill ti.-.lpn Dlld.",
-m r a l
e li* bqnpn a
dZ.,I. j.,
&r+ *ir d i e son" . r t .l
U-1kk.m
ti"".
.l.q .it."ei.
n-
. I * .t
YLa.
(I"(:r a l
t . . .
-.
l(
-
6.711
--lp. t.k -1 tijd, .i u --i. (U Lm-. .Lliaidlwnw b -ing l* 4.71. pFNl."l O 4.71.
bi.cDilD.n di. bil* t . . Q no.
w m.b.t.
i-
M fiit 01 "110.
Id0.-
rari sin < < u h typ . .ijs r... b. m-
Tabel 7.1: Overzicht criteria/eisen en voor- en nadelen van de resterende drie modellen. De keuze die nu uiteindelijk gemaakt wordt, is voor het Eindhovens Classificatie Model en wel: op grond van de resultaten van de vergelijkingen gemaakt in tabel 7.1 als ook op grond van de (nog resterende) tijdsduur van het (afstudeer)project en het uiteindelijke gebruik van het classificatie model door gebruikers op een afdeling.
-
-
Hoofdstuk 8: Factoren van belana voor de invoerina en onderhoud van meldinasevstemen (bronnen:[31 , [l11 ) 8.1 Praktische amecten voor ontwer~en im~lementatie
Lucas identificeert 5 algemene factoren die significant bijdragen aan het succes van een veiligheidsinformatiesysteem: 1. de aard van de verzamelde informatie: - is het alleen beschrijvend of worden ook de oorzaken van een fout gerapporteerd? - is het rapport alleen een geschreven beschrijving van de gebeurtenis of zijn er ook antwoorden op een standaard vragen1ijst? 2. het gebruik van de informatie in de databank: - is er regelmatig en is er passende feedback naar het personeel op alle niveaus? - is het makkelijk om statistieken en voorbeelden uit de databank te halen? - genereert de database specifieke strategieën om fouten te reduceren die vervolgens door het management geimplementeerd kunnen worden? 3. de mate van hulp die geboden wordt om de data te verzamelen en te analyseren: - zijn er analytische hulpmiddelen in de vorm van interviewragen, flow charts, software, etc..? 4. de aard van de organisatie van het meldingssysteem: - is het lokaal (bijvoorbeeld op een afdeling gebaseerd) of centraal (bijvoorbeeld op de hele organisatie gebaseerd)? - gebeurt de melding op vrijwillige basis of is deze verplicht? 5. of de regeling acceptabel is voor al het personeel: - is er het gevoel van samenhorigheid of van "Big Brother is watching youtl? - worden de gegevens verzameld door een goede bekende (collega) of door een onbekende buitenstaander? - is iedereen bekend met het doel en de achtergronden van de meldingsregeling? (zie ook paragraaf 8.3)
8.2 Problemen bii het verzamelen van seaevens
Als we beter naar de aard van de verzamelde informatie kijken (punt 1 van de vorige paragraaf) kunnen de volgende problemen bij al bestaande gegevensverzamelingssystemen gevonden worden: 1. ze zijn aktiegeoriënteerd: tendens om zich op "wat" te concentreren in plaats van op 'lwaaromlt. 2. ze concentreren zich op de gebeurtenis: ze analyseren individuele ongevallen in plaats van kijken naar algemene oorzaakpatronen in een grote database: dit leidt tot een zogenaamd "anekdotisch meldingssysteem". 3. ze worden aangestuurd door de gevolgen: de hoeveelheid aandacht en onderzoeksmiddelen zijn proportioneel met de ernst van de uitkomst. 4. ze zijn technisch bijziend: bevooroordeeld zijn voor hardware fouten ten koste van menselijke fouten. 5. ze zijn veranderlijk qua kwaliteit: zowel binnen als tussen meldingssystemen wat leidt tot onvergelijkbare onderzoeksmethoden en resultaten. De eerste drie van de hierboven beschreven problemen zijn in het bijzonder relevant voor het melden van bijna ongelukken omdat "waarom" in£ormatie nodig is om de basisoorzaken te achterhalen. Verder moet er niet geselecteerd worden op actuele gevolgen maar in termen van potentigle gevolgen en tenslotte moet veiligheidsmanagement omswitchen van ad hoc analyse van anekdotes naar structurele analyse van oorzaakpatronen. 8.3 Acce~tatiedoor alle werknemerq
Er zijn drie wegen waarlangs het management de acceptatie kan bevorderen : - anonimiteit: in sommige situaties is anonimiteit een absolute must alhoewel de prijs hoog is: follow-up research is hierdoor bijna onmogelijk geworden. - vergevensgezindheid: in alle situaties waar bijna ongevallen gemeld worden is vergevensgezindheid of het voeren van een
-
"no blame" beleid essentieel. feedback: dit is nodig om een meldingssysteem goed te laten werken.
8.4 Trainins m.b.t. het melden van biina onselukken
Het is vaak van vitaal belang om bij meldingssystemen trainingsprogramma's te gebruiken: - voor managers om te accepteren dat het melden van bijna ongelukken er alleen is voor het leren over de veiligheidsbeheersing van een systeem. - voor mensen die moeten melden om bijna ongelukken te herkennen en volledig te melden. - voor veiligheidscoördinators om de gemelde gevallen te beschrijven en te analyseren, te zoeken naar basisoorzaken en om feedback te geven aan personeel op alle niveaus. Software tools kunnen hierbij handig zijn maar zijn geen garantie voor succes.
.
8.5 Veilisheidsculturen
Als de veiligheidscultuur van een organisatie bedoeld wordt dan gaat het over de status van die organisatie voor wat betreft alle in dit hoofdstuk genoemde punten. Lucas onderscheidt drie hoofdtypen van organisatieveiligheidsculturen. Het derde type heet "systemic safety management" en houdt in dat de geschikte kijk op menselijke fouten het "system-induced error concept" is, dat wil zeggen dat veel menselijke fouten teruggevoerd kunnen worden tot foute managementbeslissingen en organisatiebeleid; problemen die te maken hebben met menselijke fouten worden opgelost door organisatieveranderingen. Volgens Lucas hebben verschillende veiligheidsculturen invloed op welke ongelukken worden onderzocht en of het melden van bijna ongelukken wordt beschouwd als een waardevol gebruik van de middelen. Alleen een "systemic safety culture" zal zijn werknemers aanmoedigen om alles te melden wat met mogelijke
afwijkingen te maken heeft, of het nu meteen of vertraagd gevolgen heeft met betrekking tot het beheersen van de veiligheid. Het invoeren van een meldingssysteem zal een hoge kans van slagen hebben in dit soort organisaties en de veiligheidscultuur van een organisatie zal één van de eerste aspecten zijn die meegenomen dienen te worden als men de overweging van de introductie van een meldingssysteem maakt.
Literatuur:
[l] Moraal, J. Human Factors in Loss Prevention: International Symposium on Risk Identification and Risk Analysis, Human Factors and Human Reliability in Process Safety Orlando, Florida; January 15-17, 1992 [2] Mevissen, A.C.H.J. Registratie van fouten, ongevallen en near-accidents (bijna-ongelukken) in de intramurale gezondheidszorg literatuurscriptie; april 1990 [31 Van der Schaaf, T. W.
Near miss reporting in the chemica1 proces industry Technische Universiteit Eindhoven, proefschrift; 1992 [41 Koornneef, F. Ongevalsregistratie en -analyse hoofdstuk 6 van Management Cursus Veiligheidskunde 1991 i51 Hale, A.R. Inleiding Algemene Veiligheidskunde dictaat Technische Universiteit Delft; oktober 1991 i61 Hudson, Patrick T.W. ; Reason, J.T. Human error and safety management i71 Reason, James Managing the Management Risk: New approaches to organisational safety uit: Wilpert, B.; Qvale, T. Reliability and Safety in Hazardous Work Systems Lawrence Erlbaum Associates, 1993
E81 Reason, James
Too little and too late: a commentary on accident and incident reporting systems uit: Near miss reporting as a safety t001 Butterworth - Heinemann Ltd.; 1991 191 Reason, J.T.
Human Error Cambridge University Press, New York, 1990 [l01 Wagenaar, W .A.; Souverijn, A.M. ; Hudson, P.T.W.
Safety Management in Intensive Care Wards uit: Wilpert, B.; Qvale, T. Reliability and Safety in Hazardous Work Systems Lawrence Erlbaum Associates, 1993 [l11 Lucas, D.A.
Organisational aspects of near miss reporting uit: Near Miss Reporting as a safety t001 Butterworth - Heinemann; 1991 [l21 Hale, A.R.; Glendon, A.J.
Individual Behaviour in the Control of Danger Elsevier Science Publishers B.V., 1987 [l31 Everdingen, J.J.E. van
Smetten op de witte jas Belvedere/Boom; 1993 [l41 Mevissen, A.C.H.J.
De meldings (FONA) commissie in een algemeen ziekenhuis afstudeerverslag; augustus 1990 [l51 Mevissen, A.C.H.J.
Ergonomie en de critica1 incidents technique
-
-
.--
Management: Incompatible gods Organisational failures Communication failures % put it shortly, safety management is the reduction of human error m u g h monitoring%andminirmzatlon or inese V u r e types: 1
A FEW EXAMPLES FROM THE INTENSIVE CARE WARD Example 1 A patient was not monitored for a certain amount of time. %nd-monitoring was switched offin order to tab a blood sample that was needed for a research programme, and not activated afterwards;all alarms were rendered inoperative once the trend-monitoringwacl off: Missing defence: there is no alarm Bignalling the omission. Unsafe act: forgetting to switch on the trend-monitor. Psychological precursor: ineuflicient attention for the completion of a full procedural sequence through haste and fatigue. Latent failures: (hardware) out of date equipment; (design) necessity for switching off essential function, missing alarm hnction; (error enforcing mnditione) intermption of routine for r e d p u p - ; (operational procedures) no written procedure available, sequence not supported by cheddist, no control by colleagues; (training) procedural sequence not sufficiently routinised; (incompatible goals) research programme endangers nursing routine; acquisition of modern equipment. too expensive, fatigue due to lack of staff; (organisational failured no anticipation of this problem, no organised protection.
Example 2 An injection pump was accidentally stopped because it was pushed againat the plug of an adjacent pump. The patient did not receive his medicine for about one hour. Missing defence: no alarm on the pump, no regular cheek. Unsafe act: too close placement of pumps, accidental pushing. Psychological precursors: acceptance of dangerous condition, fading aafety awareness, haste, stress and lack of concentration. Latent failures: (hardware) these pumps are out-of-date; (design) pump should be designed such that accidental stopping through an
'
-
-
outsideforce is impossible,insuflicient space for equipment throughout the whole ward, statue not clearly visible; (operational procedures) no written procedure for routine checking, no cheeklist near the bedside; (maintenance procedures) pumps become seneitive to pushing because they are only maintained when they fail, (incompatible goale) old equipment due to 6nandal restrictions, haste due to understaffing; (organisational failunte) ward was permitted to grow without a proper adjuetment of space, equipment and staff, no procedural protection againet the adverse consequences was provided.
Example 3 Medication is continued for a full day, although it had to be stopped: Missing defknce: no control of medication programme. Unsafe act: continuation ofmedication throughhabit, faconeult the prei&iptions list. Psycho&gicalprecursors: Stronghabit intruaion,laek of dincipline and concentration. Latent failures: (design) ehanges in medication not made mnepieuoue; (errorenforcing conditions) change of treatment, transfer to new shift (operational procedures) no written procedure for medication changes, no written mntrol procedures, unclear division of responeibilities withia shifts, unclear procedure for transfer to new shift; (organisational fdures) M procedure for implementation after change of medication, no organised control, no routine to report such incidents, (mmmunication) no communication between doctor and shift, no communication between successive shifts.
From these examples it is of eiamplee, one may responsible for
a sufficient number failure types are in the failure
the theory exposed thuafar is presented by Wagenaar, Hudson, and Reason (1990). In the next section an explorativestudy is presented, in which incidents are collected in two Intensive Care Warda. The incidents are analysed as demonstrated above, and the corresponding failure state profiles are conetructed. horn these profiles BODe conclusions are drawn with respect to preventive action.
, $I
CONSTRUCTING FAILURE STATE PROFILES IN TWO INTENSIVE CARE WARDS . Description of the Two Wards
-
For reasone of privacy protection we will refer to the wards by the lettan A and B. Ward A was built and equipped in 1980. Most of the equipment is ten yeare old. The ward is too small for the number ofbeds and the amount of equipment around each bed: 9 m2 for each bed. The patientcl ars mostly elderly, unconscious, and innuiflated. Moet patients are being sedet.4 which requires extra equipment. The various acoustic alarms are clearly different. The nureing etaft report to the medical staff, who then ~ ~ C U M the treatment among themelves. Relationships betwean the ward and managament are entertainad by the medical doctor. Failing equipment is sent to a technical workshop in a different location; there is no technician specially dedicated to the ward. There is no regular maintellsllca dmdule. Ward B was built in 1985. The equipment is much more uptodate and 16 m2are available for each bed. The patient population includes children and young adults, although the spread of illnesses is about the name M in Ward A. Ward B makes it a policy to avoid sadation of patients wheposible. The patients are discussed between nuning staff and medical stafE the nursing staff takes part in making deeiion8 about treatment. The head nurse deals directly with the clinic's manapment, M far M structural mattem concerning the quality of nursing are involved The ward haa ita own technicians, who perform repairs immediately in the ward. The technicians uphold a regular maintenance schedule.
Data Collection One of the authors (A.M.S.), who is a psychologist and a trained nurse, stayed on both wards for 16 dsys, spread over 8 weeks. Making hemelfam inconspicuou8 as possible, she collected evente that could be viewed an minor threats to safety, although in no case any serious co-u-8 resulted. In total 79 such events were recorded in Ward A, and 58 in Ward B.
Results The safety ntate profiles resulting h m the recorded events are presented in Fig. 9.2. 'lb compensate for the different number of observation8 in the two wards, the loadingn on each latent failure type are expressed an a percentage. 'hgether these numbers add up to 100% for each ward.
FIG. 9.2. Failure state profiles of Lwo intensive care wards. Asterisks Indicate statistically significantdilferences.
Them are some obvious Bimilaritiesbetween the two profiles. Operational procedures are the foremost problem in both d, houeekeeping, maintenance,and trainingarenegligible problems. In some senee the abeenw of maintenanca probleme in Ward Ais remarkable, became the organination of maintehance did not, at first right, look too gwd. The explanation is that maintenance is not an effedive protaction inetrument breakdowns; evenin WardBthere were lPgutarb&wns.Therule n w m ~ t o b ethat breakdown of equipment &odd be expected irrespeetive of frequent maintenanca. An intensive care ward should 0xgan.k maintenance, but should even more prepare for breakdown of equipment. There are ale0 clear differences, as indicated by the statiatical tests for differences. Ward A has more problems with equipment (hardware and denied and with incomuatible eoals. Ward B has more ~roblemswith orgskeation and &unicatik. The structural r e ~ o n sfor these differences reside in the characterisations given above. Ward A has the disadvantage of having been the most modem ward in 1980, now experiencingtroublee in renewing itself. Added to that is a budget squeezs that makes it diflicult to acquire new equipment, and that elso haa caused a reduction of staff. The result is that there are pmblema with equipment and a goal conflict between doing things at all, and doiig things safely. Examples are the h q u e n t breakdown of medication pump, the conatant need for repairs, missing alarms, the impossibility of replacing failing
,
W
L:
equipment, and haste. Ward B eaema to lack a mrtain amount of organisational dbcipline, which causes a Iona of information. The more democratic strudurq ha8 created a laudable degree of involvement of everyone, but at the cost of a dear structure for the tranamisdon of eanential inform~tion.For example, it is not known who is r e l p o ~ b l e , information doea not mach management, there are unreliable information links with suppliers, with other departments, and between shifts.
Recommendations The profiles lead to a few recommendatiom for improvement of aafety standards. Both wards should consider their operating pncedms. Many of the tasks have never been formalid in anitten procedures. Critical procedures are never contmlled with the use of checlliata. There ia no dear rule for checking each others' work. Them are no pmeeduras for t r a d e r ofresponsibilityto other services(e.g. paramedies), or to other shifts. There is no dear awarenees of procedures for emergency situatiom. Specific to Ward A is the recommendation to acquire an appropriate budget needed for renewal of equipment and extension of staff, or, alternatively, to reduce the activity to such a level that budget and staff are auilicient. For instance, reconsiderntion of the sedation policy might reduce the use of medication pumps. Specific to Ward B M the recommendation to combine it. democratic structure with better defined msponnibilitiee, and a better dirtribution of critical information. Management nth- than money and number of staff is the iasue here.
SYSTEMATIC SAFETY MANAGEMENT IN INTENSIVE CARE WARDS The example oftwo warda pmeantedabove demonatrateshow the & l l d o n and analyds of small events may lead to ref~mmendationafor the improvement of satety. But this is not the method proposed for systmnatic safetv manaeement. The are -.main rsasona ..-..--- - that the -- mllectian and analvain -- -of &idevent. m u c h time, and can only be a x e m u oheider. Safety management should Be aaeed on the fmqumt monitoring 01 penormance indicators, produced bv the avetem i a . &&dents and XEaFn~CIdentaam not One M that they -ham a considerable random component. Acting upon such information which will have no -tic implies largely reacting to contribution to d e t y enhancement. The other reason is that in a reasonably safe intens&e can, ward, accidentsw i w t EMU& to be useful as performam indicators. ~
-
~
S
a
Poor maintenanceprocedures
PROVISIONAL CHECKLIST FOR THE CONSTRUCTION OF A FAILURE SATE PROFILE OF INTENSIVE CARE WARDS Hardware failures 1. Is there important but old equipment, of which &er designs are now on the market? 2. Are there uses of breakdown of vital equipment? 3. Do technicians spend more time at incidental repairs than at scheduled maintenand 4. Is equipment replaced accordingto a 6x.d echedule? 5. Are there any incidents based on unnoticed breakdo-? Design failures 1. Is there su6ident space around each bed? 2. Are there alarms for all malfunctions? 3. Are there cases in which alarms were noticad too late? 4. Has 'forgetting to do something' caused any incidents? 5. Are alarms being switched off because of too many false alarms? Error enforcing conditions 1. Are there fixed protowls for receiving new patientcll 2. Are checklists used for the etartup of new eqdpmat? 3. Have incidents been caused by being intermphi during routinci tasks? .. .. 4. Can standby staff be summoned at short notice? 5. Are non-routine t a a b discussed in special meetings? Poor housekeeping .I l. Are supplies used and not replenished? 2. Does equipment get lost? 3. Can you tell how many medicine pumps there are, and where they are now? 4. Has anyone asked you in the last week m e r e is the 5. Is there a habit of niehing all menial chorea before the end of, the shift? Poor operating procedures 1. Has there been any incident in which aviolation ofprocedure wan defended as 'the thing that ia usually done*? 2. Are critieal procedures protected by the use of checklists? 3. Are critical procedures checked by more than one peraon? 4. Is there a checklist for routine control at each bed? 5. Have there b e n any incidents due to improvisations?
...'
l. L there a regular overhaul aehedule? 2. Is the overhaul schedule lagging because of acute repairs? 3. Is maintenance made imposeible due to lack ofparts? 4. Is equipment controlled with checklists, aRer maintenance? 6. Is any technician speaally dedicated to the IC ward? Inadequate training 1. Are all staff assigned exduaively to the IC ward? 2. Are novices supervieed systematically? 3. Is there a trainingprogramrnefor novices at alllevels,before they start work in the IC ward? 4. Is there a safety training programme for all staff? 6. Are there regular safety meetings, in which all incidentn are discussed with s t d at all levels? Incompatible goals 1. Is the budget obstructing necessary renewal of equipment? 2. Have tab been extended without an extension of staff; or staff reduced without a corresponding reduction of tanks? 3. Is there systematic overtime work? 4. Is equipment used while it is known to be inadequate? 6. h a there any differences ofopinionbetweenmedicaland nursing staff, on professional matters? Clrganisational failures l. Does the hospital management pay unerpected site vidts? 2. Doe8 the hospital management receive reports on accidents and incidents, and act upon it? 3. Is a safety reconling system used to compare the ward to other units inside and outside the hospital? 4. Is sticking to written procedure6 systematically checked? 6. Is there a planning of work, in which tasks are allocated on the bads of capacity? Communication failures 1. Are there regular meetin- with related departments in the hospital, in which safety issues are diaeussed? 2. Are there 6xed protocols for shift changes? 3. Are there any incidents due to services rendered by other departments being too late? 4. Have there been any incidents in which a person who was urgently needed could not be reached? 6. Are there positive checks for the flow ofvital informationbetween departmente?
I
m lfl I
Eindhovens Classificaticrmodel Systeemfalen Versie: Gezondheid~zorq
naar: T. Mevissen januari 1990 Omschriivinsen van de catesorieën Fase 1: keuze tussen: A B C X
=
=
Technisch falen Procedurekwaliteit falen Menselijk falen Niet classificeerbaar falen
Fase 2: (bijvoorbeeld: 1
=
auto-rijden, 2
= =
=
medisch)
u : Technisch Ontwemfalen
(ergonomie) 1. achteruitversnelling naar voren, lampje achter het stuur 2. deuren dit te smal zijn of verkeerd draaien, elektronisch oog van liftdeuren dat onder bed door kijkt (deuren sluiten!)
:
Uitvoerins afwiikend van ontwerr, 1. zelf andere onderdelen (bijv. spiegels) monteren 2. te stroeve zuiger in een beademingspomp die slijpsel produceert, fabricagefout bij hartkleppen
:
Onvoors~eibaarmateriaalfalen 1. klapband 2. stroomuitval waardoor een beademingstoestel stopt, kapotte module (Siemens Sirecust 404)
B: Procedure kwaliteit falen (formeel en informeel) 1. verkeersregels (borden) of instructieboekje onduidelijk 2. verantwoordelijkheid ("verlengde arm"), bedieningsinstructies apparatuur, opleiding voor nieuwe app. (wie?)
Cal: Gebrekkis besef van de actuele situatie 1. U.K. - > links rijden! 2. zwangere vrouw kan niet alle medicijnen gebruiken, bekend zijn van bepaalde allergie, medicatie van huis arts Ca2: Verkeerde doelstellinq 1. naar werkadres rijden i.p.v. carpooling 2. staarpatiënt aan ingewanden behandelt, buikpatient aan zijn oog; verkeerde been afgezet
m: Niet
.
bevoesd (permanent) 1. geen rijbewijs 2. geen diploma, verpleegkundige mag niet spuiten
Cb2: Geen toestemminq (tijdelijk) 1. vervoer gevaarlijke stoffen 2. toestemming patiënt/nabestaanden (codicil), ontslag patiënt uit ziekenhuis door verpleging Cb3: Geen taakcoördinatie met anderen 1. bijrijden t.b.v. achteruitrijden 2. patiëntenoverdracht; tijdens operatie deelt anaesthesist info mede; wie vult nu wel een medicijnflesje! Cb4: Geen voorueschreven check uitsevoerd l. bandenspanning controleren 2. tijdens operatie lege zuurstofflessen!, verwisseling van medicijnflesjes, E.C.G., bloedonderzoek
Cb5: Verkeerde ~lanninavan acties (soort + volgorde) 1. verkeerd inladen (niet laatste erin wat eerste eruit moet) 2. pas met een nieuw apparaat oefenen als er een patiënt aan ligt; te kleine lift is ergonomisch probleem, maar zolang ze er zijn: eerst op knop drukken, dan patiënt met bed erin!
Cb6: Verkeerde keuze benodiad materiaal (info + gereedschap) 1. verkeerde verkeersinformatie 2. verkeerde spuit (bij meerdere merken spuitenpompen horen speciale spuiten), slechte communicatie - > labgegevens door telefoon! Ccl: Gecontroleerde handelinaen verkeerd uitaevoerd 1. verkeerd schakelen 2. in verkeerde ader/spier spuiten, hechtingsfouten
M : Stoten. vallen en struikelen (grove motoriek) 1. macht over stuur verliezen 2.
Cdl: Permanente lichameliike/seesteliike toestand 1. te korte benen 2. kracht en lichaamsbouw, wel/geen interesse voor iets
m:Tijdelijke lich./aeest/ toestand 1. oververmoeidheid
2. stress, verwondingen aan bijv. hand
X: Niet classificeerbaar -
