Obiettivi di apprendimento
- Condurre un'indagine strutturata, dalla messa in sicurezza alla chiusura formale.
- Distinguere cause immediate, contribuenti e profonde di un evento.
- Applicare i metodi 5 Whys e Ishikawa per l'analisi delle cause.
- Comprendere il modello dello Swiss Cheese e il ruolo delle cause organizzative latenti.
- Costruire azioni correttive efficaci e verificarne realmente l'efficacia nel tempo.
- Contribuire a una cultura di reporting che alimenti realmente la prevenzione.
Perché indagare: dall'evento alla prevenzione
Obiettivo del moduloDistinguere gestione immediata, ricostruzione, analisi dei fattori causali e azioni preventive nel processo previsto dall’SMS.
Ogni incidente, quasi-incidente o non conformità è un'informazione preziosa, spesso ottenuta a caro prezzo. Il valore di un'indagine non sta nell'attribuire una colpa, ma nel trasformare l'evento in conoscenza che previene il suo ripetersi.
Per una compagnia soggetta all'ISM Code questo non è un principio di buona pratica: è un obbligo, e sta in due frasi del §9.
«L'SMS deve includere procedure che assicurino che non conformità, incidenti e situazioni pericolose siano segnalati alla compagnia, investigati e analizzati, con l'obiettivo di migliorare la sicurezza e la prevenzione dell'inquinamento.» (§9.1)
«La compagnia deve stabilire procedure per l'attuazione dell'azione correttiva, comprese le misure destinate a prevenire il ripetersi.» (§9.2)ISM Code, Parte A, §9 — Rapporti e analisi di non conformità, incidenti e situazioni pericolose
Le tre parole del §9.1 — segnalati, investigati, analizzati — definiscono tre attività distinte, e un sistema che si ferma alla prima non soddisfa il paragrafo. Il §9.2 aggiunge la parte che si trascura più spesso: l'azione correttiva non basta che rimedi, deve prevenire il ripetersi.
I passaggi fondamentali
- Messa in sicurezza immediata e raccolta tempestiva delle evidenze.
- Ricostruzione della sequenza cronologica degli eventi.
- Identificazione dei fattori causali e delle condizioni sistemiche verificati.
- Definizione di azioni correttive mirate ai fattori verificati.
- Verifica dell'efficacia reale delle azioni nel tempo.
- Condivisione delle lezioni apprese con il resto della flotta.
Un'indagine che si ferma alla correzione del sintomo (per esempio, sostituire il componente guasto) senza verificare i fattori causali e le condizioni sistemiche può lasciare irrisolto il rischio di ricorrenza.
In sintesi
- L’ISM Code §9 collega reporting, investigation, analysis e corrective action alla prevenzione del ripetersi.
- Mettere in sicurezza viene prima dell’analisi, ma la preservazione delle evidenze inizia subito.
- Un’indagine utile produce decisioni verificabili, non soltanto una narrazione dell’evento.
Chi indaga davvero: indagine interna e indagine di sicurezza
Obiettivo del moduloDistinguere scopo, autorità, obblighi e prodotti dell’indagine interna, della marine safety investigation e dei procedimenti giudiziari o amministrativi.
Dopo un evento serio non parte un’indagine, ne partono almeno due, e non hanno né la stessa base giuridica né la stessa finalità. Confonderle è l’errore che costa di più a chi sta a terra: si risponde a un investigatore di bandiera con la logica di un audit interno, o si tratta un rapporto pubblico come se fosse un atto d’accusa.
| Indagine interna | Marine safety investigation | Inchiesta giudiziaria o amministrativa | |
|---|---|---|---|
| Chi la conduce | La compagnia, sotto il proprio SMS | L’autorità investigativa dello Stato investigante — di norma lo Stato di bandiera | Autorità inquirenti dello Stato competente |
| Base giuridica | ISM Code §9 | Casualty Investigation Code, obbligatorio via SOLAS XI-1/6 | Diritto penale o amministrativo nazionale |
| Finalità | Migliorare la sicurezza e la prevenzione dell’inquinamento dell’SMS | Prevenire sinistri e incidenti futuri | Accertare responsabilità |
| Esito | Azione correttiva interna, con misure per prevenire il ripetersi | Rapporto pubblico con raccomandazioni di sicurezza | Provvedimenti sanzionatori o risarcitori |
| Ruolo della compagnia | La conduce | Vi coopera: fornisce evidenze, testimoni, documenti | Vi è sottoposta |
Tabella 2.1 — Le tre indagini che possono seguire lo stesso evento.
Il Casualty Investigation Code
Il testo di riferimento è il Code of the International Standards and Recommended Practices for a Safety Investigation into a Marine Casualty or Marine Incident, adottato con la risoluzione MSC.255(84) del 16 maggio 2008. Non è raccomandazione: con la MSC.257(84) le Parti I e II sono state rese obbligatorie emendando il capitolo XI-1 della SOLAS, e il Codice ha preso effetto il 1° gennaio 2010 con l’entrata in vigore degli emendamenti alla regola XI-1/6.
«Le indagini di sicurezza marittima non mirano ad attribuire colpe o a determinare responsabilità. Un’indagine di sicurezza marittima è invece un’indagine condotta con l’obiettivo di prevenire sinistri e incidenti marittimi futuri.» (§1.1)
«Un’indagine di sicurezza marittima dovrebbe essere separata e indipendente da qualsiasi altra forma di indagine. Tuttavia non è scopo di questo Codice precludere altre forme di indagine, comprese quelle per azioni civili, penali e amministrative. Inoltre non è intenzione del Codice che uno Stato che conduce un’indagine di sicurezza marittima si astenga dal riferire compiutamente i fattori causali di un sinistro o incidente marittimo perché dalle risultanze potrebbero essere inferite colpe o responsabilità.» (§1.2)Casualty Investigation Code, Parte I, capitolo 1 — Scopo
La tutela consiste nella separazione delle finalità e nelle protezioni attribuite, secondo il diritto applicabile, a specifici safety-investigation records. Il rapporto finale è pubblico e non è scritto per determinare colpa o responsabilità, ma il Codice non ne garantisce l’automatica inammissibilità in ogni procedimento. Verbali, e-mail e analisi interne della compagnia non acquistano le tutele dell’indagine pubblica solo perché riguardano lo stesso evento.
L’obbligo centrale è nel capitolo 6: un’indagine di sicurezza marittima deve essere condotta per ogni very serious marine casualty. Non c’è discrezionalità e non c’è soglia economica. Lo Stato di bandiera assicura che l’indagine sia svolta, salvo che un altro Stato sostanzialmente interessato ne assuma la responsabilità di comune accordo. Per gli altri eventi la decisione è discrezionale.
| Termine | Definizione del Codice |
|---|---|
| Marine casualty §2.9 | Un evento, o sequenza di eventi, che ha prodotto direttamente in connessione con le operazioni di una nave uno fra: morte o lesione grave di una persona; perdita di una persona dalla nave; perdita, presunta perdita o abbandono della nave; danno materiale alla nave; incaglio, avaria immobilizzante o coinvolgimento in una collisione; danno materiale a infrastrutture marittime esterne alla nave tale da poterne mettere gravemente in pericolo la sicurezza; grave danno ambientale o suo potenziale. Esclude l’atto o l’omissione deliberati volti a nuocere. |
| Very serious marine casualty §2.22 | Un marine casualty che comporta la perdita totale della nave, un decesso o un grave danno ambientale. Il CIC richiede l’indagine per questa categoria nel proprio campo di applicazione; verificare anche le disposizioni UE e nazionali pertinenti. |
| Marine incident §2.10 | Un evento diverso da un marine casualty, occorso direttamente in connessione con le operazioni della nave, che ha messo in pericolo — o, se non corretto, metterebbe in pericolo — la sicurezza della nave, dei suoi occupanti, di altre persone o dell’ambiente. |
| Serious injury §2.18 | Lesione che comporta incapacità tale da impedire alla persona di funzionare normalmente per più di 72 ore, con inizio entro sette giorni dalla data in cui è stata subita. |
| Severe damage to the environment §2.19 | Danno ambientale che, valutato dagli Stati colpiti o dallo Stato di bandiera, produce un major deleterious effect sull’ambiente. |
| Causal factor §2.2 | Azioni, omissioni, eventi o condizioni senza i quali il sinistro non sarebbe accaduto, oppure le conseguenze non si sarebbero prodotte o non sarebbero state altrettanto gravi. |
| Substantially interested State §2.20 | Stato di bandiera; Stato costiero; Stato il cui ambiente è stato gravemente o significativamente danneggiato; Stato i cui interessi o installazioni sono stati minacciati; Stato i cui cittadini hanno perso la vita o riportato lesioni gravi; Stato che dispone di informazioni ritenute utili; o che vanta un altro interesse ritenuto significativo. |
Tabella 2.2 — Le definizioni del capitolo 2 del Casualty Investigation Code.
La triade causa immediata / contribuente / profonda del modulo 4 è vocabolario di metodo, utile e diffuso, ma non è il vocabolario del Codice. Il §2.2 definisce un’unica categoria — il fattore causale — con un criterio controfattuale: è causale ciò senza cui l’evento non si sarebbe verificato, o le conseguenze non sarebbero state altrettanto gravi. La differenza è pratica: il test del Codice non chiede quanto una causa sia «profonda», chiede se togliendola l’evento sarebbe ancora accaduto. In un rapporto destinato a un’autorità, conviene usare le sue parole.
Il livello europeo
La tabella distingue il quadro attuale dalle modifiche introdotte dalla Direttiva (UE) 2024/3017. Queste devono essere recepite dagli Stati membri entro il 27 giugno 2027 e diventano operative secondo la legge nazionale applicabile. Prima di gestire un evento reale occorre verificare le regole dello Stato di bandiera, dello Stato costiero e dell’autorità investigativa competente.
| Stato | Obbligo | Contenuto |
|---|---|---|
| Quadro attuale | Indipendenza e avvio | L’indagine di sicurezza resta indipendente dai procedimenti paralleli ed è avviata senza indugio e comunque entro due mesi dall’evento. |
| Quadro attuale | Rapporto e records | Ogni sforzo per pubblicare il rapporto entro dodici mesi; nel testo anteriore al recepimento, interim entro lo stesso termine se il finale non è pronto. Protezione dei records specificamente indicati secondo il diritto applicabile. |
| Dopo il recepimento nazionale entro il 27 giugno 2027 | Pescherecci sotto 15 m | Per un very serious marine casualty l’autorità svolge una valutazione preliminare entro due mesi e decide se aprire l’indagine: l’indagine completa non è automatica. |
| Dopo il recepimento nazionale entro il 27 giugno 2027 | Lavoratori di terra o portuali | L’inclusione dipende dal collegamento diretto con le operazioni della nave, valutato considerando struttura, equipment, procedure, equipaggio e ship management. |
| Dopo il recepimento nazionale entro il 27 giugno 2027 | Metodo e reporting | Dal 27 giugno 2027 il Regolamento (UE) 1286/2011 è abrogato. Il testo recepito rinvia alle linee guida IMO A.1075(28) aggiornate; il nuovo art. 14 limita l’obbligo di interim a dodici mesi ai very serious casualties. EMCIP resta alimentato dalle autorità, con la regola speciale per i pescherecci sotto 15 m. |
Tabella 2.3 — Separazione tra disciplina vigente e modifiche subordinate al recepimento nazionale.
Per un very serious marine casualty che coinvolge un peschereccio sotto 15 metri, l’autorità dovrà svolgere senza ritardo e comunque entro due mesi una valutazione preliminare e decidere se aprire l’indagine; se non procede, dovrà registrarne e notificarne le ragioni. Per gli eventi con lavoratori di terra o portuali a nave alongside, moored o in dock, dovrà verificare il collegamento diretto con le operazioni della nave. In entrambi i casi l’inclusione in un’indagine completa non è automatica.
In sintesi
- Le tre tracce possono procedere in parallelo e hanno finalità, poteri e regimi probatori differenti.
- Il CIC rende obbligatoria la safety investigation per ogni very serious marine casualty, salvo gli accordi fra Stati previsti dal Codice.
- Le modifiche UE 2024 vanno recepite entro il 27 giugno 2027: indagine non automatica per piccoli pescherecci o port workers.
Oltre l'errore umano: il modello dello Swiss Cheese
Obiettivo del moduloUsare Swiss Cheese e HFACS come strutture per esplorare difese, condizioni latenti, supervisione e atti operativi senza fermarsi all’etichetta “human error”.
Attribuire un incidente al solo «errore dell'operatore» è la scorciatoia più comune e la meno utile: quasi sempre l'errore umano è il sintomo finale di una catena di condizioni organizzative che lo hanno reso probabile, non la causa isolata dell'evento. È l'intuizione che James Reason ha reso celebre con il modello dello Swiss Cheese in Human Error (1990): le difese di un'organizzazione non sono barriere piene, ma fette bucate, e un evento passa quando i buchi si allineano.
| Livello | Esempio di lacuna |
|---|---|
| Influenze organizzative | Pressione commerciale che scoraggia implicitamente il rispetto rigoroso delle procedure |
| Supervisione carente | Un superiore che non verifica realmente l'applicazione delle procedure critiche |
| Precondizioni per atti insicuri | Fatica, comunicazione inadeguata, formazione insufficiente |
| Atti insicuri | L'errore o la violazione della procedura commessi dall'operatore in quel momento |
Tabella 3.1 — I quattro livelli di HFACS, la tassonomia costruita sul modello di Reason.
I quattro livelli della tabella non sono di James Reason. Sono i quattro livelli dello Human Factors Analysis and Classification System (HFACS), sviluppato nel 2000 da Scott Shappell e Douglas Wiegmann per l'aviazione militare statunitense e poi adottato in molti altri settori, marittimo compreso. HFACS traduce le idee di Reason in uno schema applicabile, articolando i quattro livelli in diciannove categorie causali con cui codificare un evento. Il modello di Reason, nella sua formulazione originale, parla invece di condizioni latenti, errori attivi e difese in profondità: è la metafora che spiega perché le difese cedono insieme, non l'elenco delle caselle da compilare. La distinzione conta in un rapporto di indagine: si cita Reason per il ragionamento, HFACS per la classificazione.
La domanda che guida un'indagine efficace non è «chi ha sbagliato», ma «perché, per una persona competente e in buona fede, l'errore è diventato probabile in quelle condizioni». Questo spostamento di prospettiva è ciò che distingue un'indagine che previene eventi futuri da una che si limita a chiudere un caso.
Le barriere possono essere assenti, degradate, aggirate o inefficaci nello scenario reale. La cronologia e le evidenze devono confermare i collegamenti causali suggeriti dal modello.
In sintesi
- L’azione dell’operatore è spesso l’ultimo passaggio osservabile di una catena più ampia.
- Le barriere possono essere assenti, degradate, aggirate o inefficaci nello scenario reale.
- I modelli generano ipotesi: cronologia ed evidenze devono confermare i fattori causali.
Fattori causali e condizioni sistemiche
Obiettivo del moduloClassificare eventi prossimi, fattori contribuenti, fattori causali e condizioni sistemiche senza presumere una singola root cause.
Una classificazione analitica serve a distinguere ciò che precede direttamente l’esito, ciò che vi contribuisce e le condizioni sistemiche. Non presume una causa unica né garantisce che una sola correzione impedisca ogni ricorrenza.
| Livello analitico | Uso pratico | Verifica richiesta |
|---|---|---|
| Evento/condizione prossima | Descrive ciò che ha preceduto direttamente l’esito | Cronologia, dati, tracce e testimonianze |
| Fattore contribuente | Spiega che cosa ha aumentato probabilità o gravità | Evidenza del collegamento con l’evento |
| Fattore causale | Soddisfa il criterio controfattuale del CIC: senza di esso l’evento o le conseguenze non si sarebbero prodotti nello stesso modo | Evidenze convergenti e alternative considerate |
| Condizione sistemica | Debolezza organizzativa o tecnica che può spiegare più fattori e orientare la prevenzione | Procedure, barriere, risorse e comportamento reale |
Tabella 4.1 — Livelli analitici da verificare attraverso evidenze convergenti.
“Immediate”, “contributing” e “underlying/root” possono essere usate come vocabolario di metodo, ma non sostituiscono il criterio del Casualty Investigation Code né implicano che esista una sola causa definitiva. Una misura preventiva riduce probabilità o conseguenze; raramente garantisce da sola la non ricorrenza.
In sintesi
- Il CIC usa un criterio controfattuale per il causal factor.
- Più fattori possono concorrere allo stesso evento e alla gravità delle conseguenze.
- Una misura preventiva riduce rischio o conseguenze; raramente garantisce da sola il non ripetersi.
Il metodo dei 5 Whys
Obiettivo del moduloApplicare i 5 Whys come tecnica proporzionata per sviluppare e verificare una possibile catena causale.
La tecnica dei «5 Whys» (cinque perché) è il metodo di analisi delle cause più semplice e più diffuso: consiste nel chiedersi ripetutamente «perché» per sviluppare una possibile catena causale fino a condizioni sulle quali l’organizzazione può intervenire; ogni passaggio deve poi essere verificato.
Come applicarlo correttamente
- Descrivere l'evento in modo specifico e fattuale, evitando generalizzazioni.
- Chiedersi «perché è successo» e rispondere con un fatto verificabile, non un'ipotesi.
- Ripetere la domanda sulla risposta ottenuta e trattare ogni passaggio come un’ipotesi da confrontare con le evidenze.
- Fermarsi quando emerge una condizione sistemica verificabile sulla quale l’organizzazione può intervenire, senza scambiarla per prova automatica di causalità.
Il nome del metodo è indicativo, non prescrittivo: a volte una condizione utile emerge dopo tre passaggi, altre volte ne servono sette. Il criterio di arresto è la qualità verificabile della risposta, non il conteggio; la catena genera ipotesi e non dimostra da sola la causalità.
In sintesi
- Il numero di “perché” nel metodo è indicativo, non prescrittivo.
- Ogni risposta deve poggiare su fatti verificabili, non su supposizioni o giudizi personali.
- Il risultato è una condizione da testare con altre evidenze, non una prova automatica di causalità.
Il diagramma di Ishikawa
Obiettivo del moduloCostruire un diagramma causa-effetto che copra persone, procedure, attrezzature e organizzazione, quindi trasformare i rami in ipotesi verificabili.
Il diagramma causa-effetto, o diagramma a lisca di pesce (Ishikawa), organizza in modo visivo le possibili cause di un evento, raggruppandole in categorie, per facilitare un brainstorming strutturato in gruppo prima di approfondire le cause più promettenti.
Le categorie tipiche in ambito marittimo
| Categoria | Esempi di cause da esplorare |
|---|---|
| Persone | Competenza, fatica, comunicazione, esperienza |
| Procedure | Chiarezza, aggiornamento, adeguatezza al contesto reale |
| Attrezzature | Stato di manutenzione, progettazione, disponibilità di ricambi |
| Organizzazione | Cultura della sicurezza, pressione operativa, supervisione |
Tabella 6.1 — Categorie tipiche di un diagramma di Ishikawa in ambito marittimo.
Il diagramma aiuta a non tralasciare intere categorie di cause potenziali, ma non sostituisce l'approfondimento successivo: ogni ramo individuato va verificato con evidenze concrete, non lasciato come mera ipotesi non testata.
In sintesi
- L’Ishikawa amplia la ricerca e riduce il rischio di trascurare intere categorie.
- Brainstorming e causalità non sono la stessa cosa.
- Ogni ramo va confermato, scartato o qualificato con evidenze.
Metodi avanzati: TRIPOD Beta e Fault Tree
Obiettivo del moduloSelezionare TRIPOD Beta, Fault Tree o Event Tree in base a domanda investigativa, complessità e competenza disponibile.
Per eventi complessi, con più cause concorrenti e fattori organizzativi profondi, esistono metodi più strutturati dei 5 Whys e dell'Ishikawa, generalmente riservati a incidenti gravi o a indagini condotte da personale specificamente formato.
| Metodo | Principio | Quando si usa |
|---|---|---|
| TRIPOD Beta | Analizza cause latenti organizzative e barriere di sicurezza mancate o fallite | Eventi complessi con più fattori organizzativi in gioco |
| Fault Tree Analysis | Logica combinatoria che collega guasti di componenti a un evento indesiderato | Sistemi tecnici complessi con più modalità di guasto concorrenti |
| Event Tree Analysis | Analizza le conseguenze possibili a partire da un evento iniziatore | Valutazione del rischio e pianificazione di emergenza |
Tabella 7.1 — Metodi di analisi avanzata delle cause, oltre i 5 Whys e l'Ishikawa.
TRIPOD Beta nasce nella ricerca commissionata da Shell fra le università di Leiden e Manchester — gli stessi James Reason, Willem Wagenaar e Patrick Hudson del filone delle cause latenti — ed è oggi mantenuto e certificato dall'Energy Institute: non è una metodologia di pubblico dominio, ha un ente che ne pubblica lo standard e ne accredita i practitioner. Quanto alle altre due: Fault Tree ed Event Tree non stanno sullo stesso piano dei primi due. Il Fault Tree ragiona a ritroso da un evento indesiderato verso le combinazioni di guasti che possono produrlo, ed è quindi utilizzabile anche dopo un evento; l'Event Tree ragiona in avanti da un evento iniziatore verso le conseguenze possibili, ed è uno strumento di valutazione del rischio e di pianificazione delle emergenze — non un metodo di indagine su un evento già accaduto.
Non ogni near-miss richiede un TRIPOD Beta completo: un metodo semplice come i 5 Whys è spesso sufficiente e più rapido per eventi minori. Riservare i metodi più complessi agli eventi che realmente lo richiedono evita di burocratizzare eccessivamente il processo di indagine, con il rischio di scoraggiare le segnalazioni.
In sintesi
- TRIPOD Beta esamina barriere e condizioni organizzative ed è una metodologia proprietaria governata dall’Energy Institute.
- Fault Tree risale dall’evento alle combinazioni di guasto; Event Tree esplora conseguenze future da un evento iniziatore.
- La complessità del metodo deve essere proporzionata al rischio e al valore dell’analisi.
Le prime ore: notificare, conservare, salvare i dati
Obiettivo del moduloAttivare notifiche, preservazione delle evidenze e salvataggio dei dati nei canali corretti, distinguendo obblighi della compagnia da reporting delle autorità.
Dopo i metodi di analisi, torniamo alle prime ore: notificare attraverso il canale competente e preservare subito le evidenze rende possibile la ricostruzione. I termini legali di notifica o avvio e le finestre tecniche di sovrascrittura dei dati hanno funzioni diverse e non vanno confusi.
Notificare attraverso il canale corretto
| Destinatario/canale | Chi agisce | Termine e limite |
|---|---|---|
| Compagnia/DPA | Nave e ruoli indicati dall’SMS | Senza ritardo secondo SMS, bandiera e diritto costiero applicabile |
| Autorità investigativa competente | Autorità responsabili e/o parti coinvolte, come stabilito dal diritto nazionale | Senza ritardo ai sensi dell’art. 6 UE; verificare il canale nazionale |
| Stato di bandiera e altre autorità pubbliche | Compagnia/nave secondo SOLAS, bandiera, Stato costiero e diritto nazionale | Non esiste un’unica finestra globale; applicare le procedure pertinenti |
| GISIS — Marine Casualties and Incidents | Stato investigante/reporting State | Dati fattuali di base appena possibile; rapporto richiesto per i very serious casualties secondo CIC e circolare |
| EMCIP | Stato membro, safety investigation authority o altra autorità nazionale designata | Secondo la direttiva e il metodo nazionale; non è un upload diretto della compagnia |
| Classe, P&I, assicuratori, charterers | Compagnia secondo contratto/polizza | Secondo i termini contrattuali, senza confonderli con obblighi IMO |
Tabella 8.1 — La compagnia notifica secondo SMS e diritto applicabile; GISIS ed EMCIP sono alimentati da Stati e autorità.
Il termine massimo UE di due mesi riguarda l’avvio della safety investigation e decorre dall’evento, non dalla notifica. La notifica consente all’autorità di reagire e di chiedere la conservazione delle evidenze, ma non sposta la data legale di partenza.
Conservare
La conservazione delle evidenze non è discrezionale. L’articolo 13 della direttiva impone agli Stati membri di adottare misure perché le parti coinvolte facciano ogni sforzo per:
«a) salvare tutte le informazioni provenienti da carte nautiche, giornali di bordo, registrazioni elettroniche e magnetiche e nastri video, comprese le informazioni provenienti dai VDR o S-VDR e da altri dispositivi elettronici, relative al periodo precedente, durante e successivo all’incidente;
b) impedire la sovrascrittura o altre alterazioni di tali informazioni;
c) impedire interferenze con qualsiasi altra apparecchiatura che possa ragionevolmente essere considerata pertinente all’indagine di sicurezza;
d) raccogliere e conservare tempestivamente tutti gli elementi di prova ai fini delle indagini di sicurezza.»Direttiva 2009/18/CE, articolo 13, come modificato dalla Direttiva (UE) 2024/3017
I dati del VDR
Preservare subito: le finestre VDR non sono un permesso di attendere. Per i VDR soggetti alla MSC.333(90), tutti i data items devono restare disponibili per almeno 48 ore sui supporti fixed e float-free e per almeno 30 giorni sul supporto a lungo termine prima della sovrascrittura. Se viene meno l’alimentazione della nave, la riserva dedicata mantiene soltanto il bridge audio per due ore, dopo le quali la registrazione cessa automaticamente. Dopo la cessazione, il fixed medium preserva i dati registrati per almeno due anni e il float-free per almeno sei mesi.
| Finestra | MSC.333(90) | Significato operativo |
|---|---|---|
| Registrazione continua prima della sovrascrittura | 48 ore su fixed e float-free; 30 giorni sul long-term medium | Capacità minima, non tempo concesso per decidere |
| Perdita dell’alimentazione della nave | Due ore di solo bridge audio sulla riserva dedicata, poi arresto automatico | Gli altri data items non continuano per due ore |
| Dopo la cessazione della registrazione | Fixed almeno due anni; float-free almeno sei mesi | Conservazione fisica distinta dalla finestra di overwrite |
| Legacy VDR, ove applicabile | Finestra minima di 12 ore secondo il precedente standard | Verificare standard, apparato e manuale effettivi |
Tabella 8.2 — Le durate dipendono dallo standard applicabile e non sostituiscono freeze, save ed extraction.
Accessibilità e salvataggio dipendono dall’apparato, dallo stato della nave, dalla fonte di alimentazione e dalle istruzioni del costruttore. Preservare ed estrarre i dati appena possibile secondo SMS, autorità e manuale del VDR; il long-term medium è un supporto interno facilmente accessibile, non è definito dalla norma come quello che “affonda con la nave”.
I dati VDR rientrano nei marine safety records del CIC §2.15: le tutele dipendono dall’uso investigativo e dal diritto applicabile, non dal semplice comando di salvataggio. Le nuove disposizioni UE su VDR/S-VDR vanno lette nel quadro del recepimento nazionale e delle condizioni previste dall’articolo 9; non autorizzano riuso o disclosure indiscriminati.
Le decisioni che determinano la qualità di un’indagine si prendono quasi tutte prima che l’indagine cominci: salvare i dati, fotografare lo stato dei componenti prima di rimetterli in servizio, annotare chi era presente, tenere separati i testimoni. Nessuna raffinatezza metodologica nei moduli successivi recupera un’evidenza che non è stata conservata.
In sintesi
- La compagnia segue SMS, bandiera, Stato costiero e diritto nazionale; GISIS ed EMCIP sono alimentati dalle autorità competenti.
- Il limite UE di due mesi riguarda l’avvio dell’indagine, non la notifica e non autorizza alcun ritardo.
- Le finestre VDR sono capacità minime: freeze, save ed extraction devono iniziare appena possibile.
Raccolta delle evidenze e conduzione dei colloqui
Obiettivo del moduloRaccogliere evidenze fisiche, documentali e testimoniali preservandone integrità, provenienza e diritti delle persone coinvolte.
La qualità di un'indagine dipende in larga parte dalla qualità delle evidenze raccolte nelle prime ore dopo l'evento, prima che la memoria dei testimoni si affievolisca o si contamini con ricostruzioni successive.
Le fonti di evidenza
- Evidenze fisiche: stato dei componenti, tracce, posizione degli oggetti al momento dell'evento.
- Evidenze documentali: log di bordo, registrazioni PMS, comunicazioni, dati di sensori e VDR.
- Testimonianze: raccolte separatamente, il prima possibile, evitando che i testimoni si accordino su una versione comune prima di essere sentiti.
Conduzione dei colloqui
I colloqui vanno condotti in un clima di just culture: l'obiettivo è ricostruire i fatti, non attribuire colpe. Un testimone che teme ripercussioni tende a proteggere sé stesso o i colleghi, distorcendo la ricostruzione. Domande aperte e non giudicanti («cosa ha visto», non «perché non ha fatto...») producono testimonianze più affidabili.
Il quadro dei diritti, che precede la tecnica
Il clima di just culture è una scelta della compagnia. I diritti del marittimo sentito in un’indagine di sicurezza, invece, non lo sono. Il capitolo 12 del Casualty Investigation Code stabilisce che chi rende evidenza sia informato della natura e della base dell’indagine, abbia accesso a consulenza legale in ordine al rischio di autoincriminazione, sia informato del diritto di non rispondere e delle tutele che gli spettano, e che l’evidenza sia raccolta alla prima occasione pratica per non ritardarne il rimpatrio.
Le Linee guida sull’equo trattamento dei marittimi in caso di sinistro marittimo — promosse dalla risoluzione A.987(24) nel 2005 e adottate dal Comitato legale con la LEG.3(91) del 27 aprile 2006 e approvate dall’ILO nel giugno successivo — completano il quadro, e la Direttiva 2009/18/CE all’articolo 18 impone agli Stati membri di tenerne conto. Sul versante della riservatezza, l’articolo 9 vieta di rendere disponibili per scopi diversi dall’indagine le testimonianze e le dichiarazioni raccolte, i dati che identificano chi le ha rese e le informazioni particolarmente sensibili sulle persone coinvolte, salvo un prevalente interesse pubblico accertato dall’autorità competente.
Le protezioni dell’articolo 9 riguardano specifici records dell’indagine di sicurezza secondo il diritto applicabile. Un verbale interno può essere acquisito in altri procedimenti: la compagnia non deve promettere anonimato, riservatezza o privilege che non può assicurare e deve coordinare preservazione, rappresentanza e disclosure con il diritto applicabile, senza ostacolare l’autorità investigativa.
Durante la raccolta delle evidenze, è essenziale distinguere ciò che un testimone ha visto direttamente da ciò che ritiene sia successo. Le opinioni sono utili per generare ipotesi, ma solo i fatti verificabili possono sostenere le conclusioni dell'indagine.
Per ogni evidenza annotare provenienza, momento della raccolta, custode e trasferimenti, conservando gli originali e distinguendo fatti osservati, inferenze e opinioni.
In sintesi
- Fatti osservati, inferenze e opinioni devono restare distinguibili.
- Le interviste dell’autorità e quelle interne della compagnia non godono dello stesso regime di tutela.
- Nessuno deve promettere anonimato, riservatezza o privilege oltre quanto consente il diritto applicabile.
Azioni correttive efficaci
Obiettivo del moduloProgettare azioni collegate ai fattori verificati, con owner, scadenza, rischio residuo e criterio di efficacia.
Un'azione correttiva ben progettata affronta i fattori verificati e le condizioni sistemiche pertinenti, è realisticamente attuabile, ha un responsabile chiaro e una scadenza definita, ed è verificabile nella sua efficacia nel tempo.
Gerarchia dei controlli
| Tipo di controllo | Efficacia relativa ed esempio |
|---|---|
| Eliminazione | Massima efficacia: rimuove completamente il pericolo (es. eliminare un componente pericoloso non necessario) |
| Sostituzione | Alta efficacia: sostituisce il pericolo con uno meno rischioso |
| Controlli ingegneristici | Efficacia buona: modifica il progetto o l'impianto per ridurre il rischio (es. interblocco di sicurezza) |
| Controlli amministrativi | Efficacia moderata: procedure, formazione, segnaletica |
| Dispositivi di protezione individuale | Efficacia minima come unica misura: ultima linea di difesa, non sostituisce le misure precedenti |
Tabella 10.1 — Gerarchia dei controlli, dalla più alla meno efficace.
La gerarchia dei controlli è un criterio consolidato per privilegiare eliminazione, sostituzione e misure ingegneristiche rispetto alla sola formazione o al PPE. ISO 45001 §8.1.2 la formalizza per i sistemi di gestione OH&S; non è però incorporata testualmente nell’ISM Code e non determina da sola l’adeguatezza di ogni safeguard marittimo. Nell’SMS va usata come test di robustezza insieme a fattibilità, rischio residuo, interazioni operative e obblighi tecnici applicabili.
Un'azione correttiva che consiste unicamente in «rinforzare la formazione» o «ricordare all'equipaggio la procedura» è spesso la più debole della gerarchia dei controlli. Non è sbagliata in sé, ma va accompagnata, quando possibile, da controlli ingegneristici o amministrativi più solidi, non usata come unica risposta.
Prima di attuare una misura, verificarne il rischio residuo e le interazioni con altre operazioni: il miglioramento atteso non deve introdurre nuovi rischi non valutati. Definire già in questa fase come verificarne l’efficacia.
In sintesi
- Formazione e reminder da soli sono spesso controlli deboli.
- La gerarchia dei controlli è un criterio di robustezza, non una regola ISM automatica per ogni casualty.
- Ogni azione deve trattare un fattore dimostrato e non introdurre nuovi rischi operativi.
Verificare l'efficacia reale delle azioni
Obiettivo del moduloDefinire indicatori, finestra temporale e responsabilità per verificare se le azioni hanno ridotto il rischio atteso.
Un'azione correttiva chiusa formalmente non equivale a un'azione correttiva efficace: la verifica dell'efficacia nel tempo è il passaggio più spesso trascurato dell'intero processo di indagine.
Come verificare l'efficacia
- Definire prima della chiusura un indicatore osservabile e una finestra di verifica proporzionata al rischio; sei mesi può essere un esempio, non una durata universale.
- Programmare una verifica a distanza di tempo, non limitarsi alla chiusura immediata.
- Se l'evento si ripete nonostante l'azione correttiva, riaprire l'indagine anziché trattarlo come un nuovo caso isolato.
La pressione a chiudere rapidamente un caso di non conformità, per ragioni di reportistica o di audit imminente, è uno dei fattori che più compromettono la qualità reale delle azioni correttive. Un'organizzazione matura misura la qualità della chiusura, non solo la sua rapidità.
Implemented, closed ed effective sono stati diversi: eseguire una misura, chiudere il record e dimostrarne l’efficacia non coincidono. Assegnare un responsabile della verifica; recidiva o mancato miglioramento richiedono il riesame di fattori, azioni e assunzioni iniziali.
In sintesi
- Implemented, closed ed effective sono stati diversi.
- Il criterio di efficacia va definito prima della chiusura e proporzionato al rischio.
- Recidiva o mancato miglioramento richiedono riesame dei fattori, delle azioni e delle assunzioni iniziali.
Condivisione delle lezioni apprese
Obiettivo del moduloTrasformare i risultati dell’indagine in apprendimento di flotta tempestivo, non colpevolizzante e verificabile.
Un'indagine che produce conoscenza utile solo per la nave coinvolta spreca gran parte del suo valore potenziale: la condivisione sistematica delle lezioni apprese con il resto della flotta è ciò che trasforma un singolo evento in prevenzione a livello di compagnia.
Come costruire una condivisione efficace
- Sintesi chiare e non giudicanti, focalizzate sui fattori verificati, sulle barriere e sulle azioni correttive, non sui nomi delle persone coinvolte.
- Diffusione tempestiva, non trimestrale: le lezioni apprese perdono valore se comunicate con mesi di ritardo.
- Formato pratico e visivo (bollettini di sicurezza, brevi casi di studio), non solo un rapporto tecnico lungo e poco letto.
- Verifica che la lezione sia stata realmente recepita, non solo distribuita (per esempio attraverso un breve richiamo nelle riunioni di sicurezza).
Un equipaggio che teme di essere pubblicamente esposto o ridicolizzato in un bollettino di sicurezza tenderà a nascondere i propri errori invece di segnalarli. Le compagnie più efficaci comunicano le lezioni apprese in modo che rafforzi la fiducia nel sistema, non che la eroda.
Anonimizzare non significa eliminare il contesto operativo necessario: la sintesi collega evento, fattori, barriere e azioni senza esporre inutilmente le persone. Verificare comprensione e applicazione a bordo, non soltanto la ricezione del bollettino.
In sintesi
- Anonimizzare non significa cancellare il contesto operativo necessario a capire la lezione.
- Una sintesi breve deve collegare evento, fattori, barriere e azioni.
- Distribuzione non equivale ad apprendimento: serve verificare comprensione e applicazione.
Costruire una cultura di reporting
Obiettivo del moduloValutare canali, feedback e accountability che rendono credibile la segnalazione di eventi e near misses.
Il successo di ogni sistema di indagine dipende, a monte, dalla disponibilità delle persone a segnalare eventi minori e quasi-incidenti prima che degenerino in eventi gravi.
I rapporti numerici che si citano di solito risalgono a Herbert Heinrich (1931) e a Frank Bird (1969), e sono stati ricavati da campioni industriali di quell'epoca, con criteri di classificazione oggi non ricostruibili. La ricerca successiva non conferma che la frequenza degli eventi minori predica in modo affidabile la probabilità di un evento grave: le cause di un infortunio banale e quelle di un disastro sono spesso di natura diversa, e ridurre i primi non riduce automaticamente i secondi. Ciò che regge della piramide non è il rapporto, è la forma: la base è sempre molto più larga di quanto l'organizzazione veda, e ciò che non arriva al vertice del sistema di segnalazione non esiste per chi deve decidere. Usare la piramide come schema di visibilità è corretto; usarla per stimare quanti near-miss «valgono» un incidente grave non lo è.
I pilastri di una just culture
| Pilastro | Significato pratico |
|---|---|
| Non punizione per errori in buona fede | Chi segnala un proprio errore onesto non subisce ritorsioni |
| Accountability proporzionata | Gli errori e le segnalazioni in buona fede non generano ritorsioni; condotte intenzionali, temerarie o gravemente negligenti sono valutate con un processo separato, coerente e conforme al diritto applicabile |
| Feedback visibile | Chi segnala vede che qualcosa cambia, non un modulo che sparisce nel nulla |
| Semplicità del canale di segnalazione | Facile da usare; eventuale anonimato solo nei limiti che il sistema e il diritto applicabile consentono |
Tabella 13.1 — I pilastri di una cultura di reporting efficace (just culture).
Un basso numero di segnalazioni non è, da solo, prova di buone prestazioni. Va interpretato insieme a esposizione, attività, qualità dei report, feedback, fiducia nel sistema e altri indicatori.
In sintesi
- La piramide è una figura di visibilità, non un modello predittivo con rapporti numerici universali.
- Just culture combina protezione dalla ritorsione e accountability proporzionata attraverso processi separati.
- Il numero di report va interpretato insieme a qualità, esposizione, attività e fiducia nel sistema.
Tendenze emergenti nell'investigazione
Obiettivo del moduloValutare l’impatto di VDR più capienti, nuova disciplina UE, dati aggregati e sviluppi sul fair treatment senza anticiparne l’efficacia giuridica.
Più dati, con finestre diverse. I VDR soggetti alla MSC.333(90) mantengono tutti i data items per almeno 48 ore sui supporti fixed e float-free e per almeno 30 giorni sul long-term medium prima della sovrascrittura. In caso di perdita dell’alimentazione, la riserva dedicata registra soltanto il bridge audio per due ore. Freeze, save ed extraction restano immediati.
Nuova disciplina UE, attraverso il recepimento nazionale. Entro il 27 giugno 2027 gli Stati membri devono recepire la Direttiva (UE) 2024/3017. Per i very serious casualties di pescherecci sotto 15 m è richiesta una preliminary assessment, non automaticamente un’indagine completa; per gli eventi con shore or port workers va valutato il collegamento diretto con ship operations. Il Regolamento (UE) 1286/2011 è abrogato con effetto dalla stessa data e la direttiva rinvia alle linee guida IMO A.1075(28) aggiornate.
Reporting pubblico per autorità. GISIS ed EMCIP consentono analisi aggregate, ma sono alimentati dagli Stati e dalle autorità designate: non sostituiscono il reporting interno della compagnia né autorizzano il riuso indiscriminato dei safety-investigation records.
Fair treatment in evoluzione. Le linee guida IMO/ILO del 2025 sui seafarers detained in connection with alleged crimes completano il quadro del 2006 nei casi di detenzione; vanno tenute distinte dalle regole sul colloquio e sulla riservatezza della safety investigation.
Più dati ampliano la ricostruzione, ma restano necessarie evidenze convergenti, alternative considerate e giudizio professionale.
In sintesi
- Più dati ampliano la ricostruzione ma non sostituiscono il giudizio investigativo.
- Le modifiche UE diventano operative attraverso il recepimento nazionale entro il 27 giugno 2027.
- Le linee guida 2025 sui seafarers detained completano, ma non sostituiscono automaticamente, il quadro 2006 sui maritime accidents.
Errori ricorrenti
Dalla Mistake Library di SuperbaKnowledge, filtrata sugli argomenti trattati in questo corso. Questa vista seleziona e ordina contenuti pubblicati in SuperbaKnowledge; non li modifica né li sostituisce. La scheda collegata resta la versione di riferimento e i testi ufficiali restano autorevoli.
| Argomento | Errore | Conseguenza tipica | Scheda |
|---|---|---|---|
| Corrective and Preventive Action (CAPA) | Azione correttiva che affronta il sintomo, non la causa radice | L’evento o la non conformità può ripresentarsi | Vedi scheda |
| Near Miss | Cultura punitiva verso chi segnala un quasi-incidente | Il tasso di segnalazione crolla, l'informazione utile si perde | Vedi scheda |
Glossario degli acronimi
| Termine | Definizione |
|---|---|
| CAPA | Corrective and Preventive Action |
| Causa contribuente | Fattore che rende più probabile la causa immediata di un evento |
| Causa immediata | L'azione o condizione direttamente collegata all'evento |
| Causa profonda (root cause) | Termine di metodo per una condizione sistemica da verificare; non presuppone una causa unica né sostituisce il fattore causale del CIC |
| CIC — Casualty Investigation Code | Codice IMO per l’indagine di sicurezza su sinistri e incidenti marittimi, Ris. MSC.255(84) |
| EMCIP | European Marine Casualty Information Platform — banca dati europea dei sinistri marittimi |
| Fattore causale | Azione, omissione, evento o condizione senza cui l’evento o le sue conseguenze non si sarebbero prodotti (CIC §2.2) |
| GISIS | Global Integrated Shipping Information System — sistema informativo IMO, con il modulo MCI per sinistri e incidenti |
| HFACS | Human Factors Analysis and Classification System — tassonomia in quattro livelli costruita sul modello di Reason |
| Ishikawa | Diagramma causa-effetto a lisca di pesce |
| Just culture | Cultura organizzativa che distingue errore in buona fede da negligenza grave |
| Near-miss | Evento che avrebbe potuto causare danno ma non lo ha causato |
| RCA | Root Cause Analysis |
| Marine safety record | Categoria di documenti dell’indagine soggetta a regime di riservatezza, dati VDR compresi (CIC §2.15) |
| S-VDR | Simplified Voyage Data Recorder |
| Swiss Cheese Model | Modello di James Reason sulle cause latenti organizzative |
| TRIPOD Beta | Metodo strutturato di analisi delle cause per eventi complessi |
| VDR | Voyage Data Recorder |
| VSMC | Very Serious Marine Casualty — sinistro con perdita totale della nave, un decesso o grave danno ambientale; categoria soggetta all’obbligo di indagine del CIC; verificare il regime applicabile e le disposizioni specifiche UE |
Riferimenti e fonti
Elenco consolidato delle fonti citate. Aggiornato ad agosto 2026; per l'applicazione a un caso specifico fare sempre riferimento alle procedure ufficiali della propria compagnia e della propria Amministrazione di bandiera.
| Fonte | Ambito |
|---|---|
| ISM Code §9 (Ris. A.741(18) e emendamenti) | Obbligo di segnalare, investigare e analizzare non conformità, incidenti e situazioni pericolose; azione correttiva e prevenzione del ripetersi |
| ISM Code §1.2.2.2 | Valutazione di tutti i rischi identificati e adeguate misure di salvaguardia — l'aggancio della gerarchia dei controlli in un SMS |
| MSC-MEPC.7/Circ.7 | Linee guida per la segnalazione dei near-miss |
| Risoluzione MSC.255(84), come emendata dalla MSC.390(94) — Casualty Investigation Code | Standard internazionali per l'indagine di sicurezza su sinistri e incidenti marittimi; obbligatoria via SOLAS XI-1/6 dal 1° gennaio 2010 |
| Risoluzione A.1075(28), versione aggiornata | Linee guida IMO per gli investigatori nell'applicazione del Casualty Investigation Code |
| MSC-MEPC.3/Circ.4/Rev.1 (18 novembre 2014) | Procedure armonizzate di segnalazione dei sinistri all'IMO e uso del modulo MCI di GISIS |
| Risoluzione LEG.3(91) (27 aprile 2006) | Linee guida IMO/ILO sull'equo trattamento dei marittimi in caso di sinistro marittimo |
| Linee guida IMO/ILO 2025 sui marittimi detenuti | Fair treatment in relazione a presunti reati; sviluppo separato dalle linee guida 2006 sui maritime accidents |
| Risoluzione MSC.333(90) | Standard di prestazione dei VDR: dati da registrare, durata della conservazione, interfaccia di download per le autorità investigative |
| Direttiva 2009/18/CE, come modificata dalla Direttiva (UE) 2024/3017 | Principi fondamentali dell'indagine sugli incidenti nel trasporto marittimo in ambito UE; recepimento entro il 27 giugno 2027 |
| James Reason — Human Error (1990) | Modello dello Swiss Cheese: condizioni latenti, errori attivi e difese in profondità |
| Shappell e Wiegmann — HFACS (2000) | Tassonomia in quattro livelli e diciannove categorie causali costruita sul modello di Reason |
| TRIPOD Beta — Energy Institute | Analisi strutturata di cause latenti e barriere per eventi complessi |
| ISO 45001:2018, §8.1.2 | Gerarchia dei controlli per l'eliminazione dei pericoli e la riduzione dei rischi |
| Heinrich (1931) e Bird (1969) | Rapporti della piramide di segnalazione — illustrativi e contestati dalla ricerca successiva |
Questo corso è materiale didattico a scopo formativo e non costituisce certificazione professionale né titolo abilitante. Leggi le avvertenze complete.