Učení po incidentu

Pilíř: Krizová reakce · Oddíl: Organizační obrana

Organizace, která po incidentu řekne „je to za námi“, se obvykle za dva roky setká s tím samým. Epistemické útoky se vracejí stejnými cestami, protože tyto cesty zůstaly otevřené: kontrolní mechanismus, který selhal, vedoucí, který neviděl, kanál, kterým se signál nedostal nahoru. Učení po incidentu je systematický rozbor toho, proč k incidentu došlo, proč nebyl zachycen dřív a co se musí změnit. Argyris a Schön (1978) rozlišili jednosmyčkové učení, které opravuje chybu v rámci platných předpokladů, a dvousmyčkové učení, které zpochybní předpoklady samotné; po epistemickém incidentu je potřebné to druhé. Rozbor je posledním krokem krizové reakce a prvním krokem prevence.

Vývoj pojmu a výzkumný rámec

Turner (1978) ukázal na rozboru průmyslových katastrof, že velké havárie mají „inkubační období“, v němž se hromadí přehlížené signály a chybná přesvědčení, dokud spouštěcí událost neodhalí, jak daleko se organizace od reality vzdálila. Perrow (1984) popsal „normální havárie“ v systémech s těsnými vazbami a složitými interakcemi, kde selhání nelze plně vyloučit. Reason (1990, 1997) formuloval model, známý jako „švýcarský sýr“, podle něhož incident vzniká, když se zarovnají latentní podmínky a aktivní selhání v několika vrstvách obrany.

Vaughan (1996) na rozhodování před havárií raketoplánu Challenger popsala normalizaci odchylek: postupné přivykání varovným signálům, které organizace přestane vnímat jako varování. Novější systémové přístupy kritizují lineární modely příčin; Leveson (2011) chápe bezpečnost jako vlastnost řízení celého systému a Hollnagel (2014) navrhuje vedle učení ze selhání učit se i z toho, proč věci obvykle fungují. Pro epistemické incidenty mají tyto práce společné poučení: hledat podmínky, za nichž se signály ztratily, ne jen osobu, která je přehlédla.

Riziko v daném prostředí

V letectví, energetice a zdravotnictví má rozbor incidentů dlouhou tradici; zpráva o chybách ve zdravotní péči zdůraznila, že většina pochybení vychází ze systémů, ne z jednotlivé nedbalosti (Kohn, Corrigan a Donaldson, 2000). Organizační epistemické incidenty se však rozebírají zřídka. Ve firmě se uzavřou odchodem viníka, ve škole „vyřešením“ konkrétního případu, na univerzitě disciplinárním rozhodnutím, ve veřejné správě politickým rozhodnutím, v médiích omluvou.

V neziskové organizaci se o selhání nemluví, aby se neohrozila důvěra dárců. Rizikem je, že se zjistí, kdo, ale ne jak a proč, a že organizace přehlédne normalizaci odchylek, kterou popsala Vaughan (1996). Komise pro havárii raketoplánu Columbia dospěla k závěru, že organizační příčiny podobné těm, které vedly ke ztrátě Challengeru, přetrvaly navzdory předchozímu vyšetřování (Columbia Accident Investigation Board, 2003); poučení, které nezmění organizaci, se neuchová.

Strukturální zranitelnosti

Typickou zranitelností je, že rozbor se nekoná nebo se omezí na hledání viníka, případně ho vedou lidé, kteří byli do incidentu zapojeni. Dekker (2007) upozorňuje, že kultura obviňování vede lidi k zamlčování chyb, a tím připravuje organizaci o informace, které potřebuje. Fischhoff (1975) ukázal, že znalost výsledku zkresluje úsudek o tom, co bylo předvídatelné; kdo do incidentu patřil, má navíc zájem na určitém výkladu.

Další zranitelností je, že poučení se nikam nezapíše a po odchodu účastníků se ztratí, že opatření se navrhnou, ale nikdo nesleduje jejich splnění, a že organizace se nesdílí s ostatními a ostatní se nesdílejí s ní. Argyris a Schön (1978) popsali, jak organizace chrání své předpoklady obrannými rutinami, které zabrání tomu, aby se nepohodlná zjištění vůbec projednávala.

Ochranné struktury

Základem je povinný rozbor po každém incidentu nad stanovenou závažnost, vedený osobou, která do incidentu nebyla zapojena. Rozbor bez hledání viníka je zaměřený na systém: které vrstvy obrany selhaly, které signály existovaly a proč nevedly k akci, co by příště pomohlo (Reason, 1997). Systémová analýza a osobní odpovědnost se rozlišují: spravedlivá kultura (Dekker, 2007) neodpouští úmyslné zneužití; rozbor bez hledání viníka se týká systému, zatímco odpovědnost jednotlivců řeší interní vyšetřování.

Databáze poučení je dostupná všem, kdo ji potřebují, v anonymizované podobě. Splnění opatření čtvrtletně kontroluje nejvyšší orgán nebo auditní výbor a zaměstnanci dostávají anonymizovanou zprávu, aby věděli, co se změnilo. Bez zpětné vazby lidé usoudí, že hlášení nemá smysl, a mlčení se obnoví (Morrison a Milliken, 2000).

Role a odpovědnosti

Vedoucí rozboru, nezávislý na incidentu, vede proces a píše zprávu. Účastníci incidentu poskytují informace bez obav z postihu za chyby, s výjimkou úmyslu, jak odpovídá principům spravedlivé kultury (Dekker, 2007). Vlastníci opatření odpovídají za jejich provedení, správce databáze poučení za dostupnost a anonymizaci a nejvyšší orgán kontroluje plnění. Dotčení mají možnost se k rozboru vyjádřit, protože jejich pohled bývá tím, který organizace v době incidentu neslyšela.

Politiky a postupy

Organizace stanoví kritéria, kdy je rozbor povinný, a metodiku rozboru: časovou osu, vrstvy obrany, signály, rozhodnutí a jejich podmínky. Šablona zprávy odpovídá na otázky, co se stalo, proč to nebylo zachyceno, co se změní a kdo to udělá do kdy. Leveson (2011) doporučuje ptát se nejen, které kontroly selhaly, ale proč řídicí struktura nedostala informace, které by selhání odhalily.

Evidence opatření se vede se stavem a termíny a poučení se navazuje na revizi politik, vzdělávání a plán reakce na incident. Bez tohoto navázání zůstává učení jednosmyčkové: opraví se konkrétní chyba, ale předpoklady, které ji umožnily, zůstanou (Argyris a Schön, 1978).

Vzdělávání a trénink

Vedoucí rozborů se učí metodiku a facilitaci: jak klást otázky, které hledají podmínky, ne viníky, a jak pracovat s konfirmačním zkreslením, které Nickerson (1998) popsal jako všudypřítomnou tendenci hledat a vykládat informace ve prospěch již přijatého názoru. Stejně důležité je zkreslení zpětného pohledu („bylo to přece jasné“), které doložil Fischhoff (1975).

Inspiraci nabízí debriefingový protokol a detekce selhání. Všichni zaměstnanci se učí, že sdílení vlastní chyby v rozboru je příspěvek, ne přiznání viny; Edmondson (1999) ukázala, že týmy s vyšší psychologickou bezpečností chyby častěji hlásí a učí se z nich.

Řešení incidentu

Rozbor začíná rozhodnutím o jeho konání a výběrem nezávislého vedoucího, po stabilizaci, ale do několika týdnů, dokud jsou vzpomínky a podklady dostupné. Následuje sběr podkladů – dokumenty, záznamy, rozhovory s účastníky a dotčenými – a rekonstrukce: co se dělo, které signály existovaly, kdo je viděl a co s nimi udělal. Turner (1978) zdůraznil, že právě rekonstrukce inkubačního období odhalí, jak se varování ztrácela.

Analýza vrstev obrany pokrývá strukturu, kanály, kulturu a lidi a vyústí v návrh opatření s vlastníky a termíny a ve zprávu nejvyššímu orgánu a zaměstnancům. Kontrola plnění probíhá po třech, šesti a dvanácti měsících, protože opatření, která nikdo nekontroluje, se podle zkušenosti z vyšetřování havárií nesplní (Columbia Accident Investigation Board, 2003).

Příklad (anonymizovaný kompozit). Rozbor po odhalení dlouholetého zastrašování v jednom regionálním úřadu ukázal, že signály existovaly v pěti vrstvách: stížnosti občanů, odchody úředníků, varování odborové organizace, nevysvětlené změny v zápisech a anonymní podnět. Každá vrstva signál „vyřešila“ samostatně. Hlavním opatřením bylo zavedení společného přehledu signálů, který čtvrtletně posuzuje nezávislá osoba; příklad odpovídá Reasonovu modelu vrstev obrany, jejichž díry se zarovnaly (Reason, 1997).

Ochrana dotčené osoby

Rozbor nesmí dotčené znovu poškodit: nesmí je nutit k opakovanému vyprávění, odhalovat jejich identitu ani zpochybňovat jejich zkušenost, protože by hrozila retraumatizace a další institucionální zrada (Smith a Freyd, 2014). Pokud se jejich výpověď do rozboru zahrnuje, děje se to s jejich souhlasem a v anonymizované podobě. Oznamovatelé, kteří na incident upozornili, by měli dostat informaci o tom, co se změnilo – pro mnohé je to důležitou součástí uzavření. Ochrana podle zákona č. 171/2023 Sb., o ochraně oznamovatelů, platí i v období po incidentu.

Vyhodnocení a indikátory selhání

Učení selhává, když žádný rozbor neproběhne, platí „je to za námi“, poučení není nikde zapsané a stejné chyby se opakují za dva roky; když rozbor skončí nalezením viníka; když se opatření nesplní a nikdo to nekontroluje; a když databáze poučení existuje, ale nikdo ji nečte. Metrikami jsou podíl incidentů s rozborem, podíl splněných opatření v termínu a počet opakovaných incidentů stejného typu; opakování je nejsilnějším znakem, že proběhlo jen jednosmyčkové učení (Argyris a Schön, 1978).

Meze a otevřené otázky

Rozbor bez hledání viníka může být zneužit k zakrytí osobní odpovědnosti; proto se odděluje od vyšetřování, a Dekker (2007) přiznává, že hranice mezi omluvitelnou chybou a neomluvitelným jednáním je vždy věcí úsudku a moci, kdo ji určuje. Zpětný pohled zkresluje a vytváří iluzi, že vše bylo předvídatelné (Fischhoff, 1975). Sdílení poučení s jinými organizacemi naráží na obavy o pověst. Kritici modelu švýcarského sýra namítají, že vrstvy obrany nejsou nezávislé a že model svádí k lineárnímu hledání příčin (Leveson, 2011). Otevřené zůstává, jak se učit z „téměř incidentů“, které nikdo nezaznamenal, a jak systémovou analýzu propojit s přístupy, které nabízí systémová teorie.

Literatura

• Argyris, C., & Schön, D. A. (1978). Organizational Learning: A Theory of Action Perspective. Addison-Wesley.
• Columbia Accident Investigation Board (2003). Report, Volume I. NASA.
• Dekker, S. (2007). Just Culture: Balancing Safety and Accountability. Ashgate.
• Edmondson, A. C. (1999). Psychological safety and learning behavior in work teams. Administrative Science Quarterly, 44(2), 350–383.
• Fischhoff, B. (1975). Hindsight ≠ foresight: The effect of outcome knowledge on judgment under uncertainty. Journal of Experimental Psychology: Human Perception and Performance, 1(3), 288–299.
• Hollnagel, E. (2014). Safety-I and Safety-II: The Past and Future of Safety Management. Ashgate.
• Kohn, L. T., Corrigan, J. M., & Donaldson, M. S. (Eds.) (2000). To Err Is Human: Building a Safer Health System. National Academy Press.
• Leveson, N. G. (2011). Engineering a Safer World: Systems Thinking Applied to Safety. MIT Press.
• Morrison, E. W., & Milliken, F. J. (2000). Organizational silence: A barrier to change and development in a pluralistic world. Academy of Management Review, 25(4), 706–725.
• Nickerson, R. S. (1998). Confirmation bias: A ubiquitous phenomenon in many guises. Review of General Psychology, 2(2), 175–220.
• Perrow, C. (1984). Normal Accidents: Living with High-Risk Technologies. Basic Books.
• Reason, J. (1990). Human Error. Cambridge University Press.
• Reason, J. (1997). Managing the Risks of Organizational Accidents. Ashgate.
• Smith, C. P., & Freyd, J. J. (2014). Institutional betrayal. American Psychologist, 69(6), 575–587.
• Turner, B. A. (1978). Man-Made Disasters. Wykeham.
• Vaughan, D. (1996). The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press.

Související

Sesterské kapitoly

• Reakce na incident s EA fokusem – krizová fáze před rozborem.
• Kulturní obnova – dlouhodobá práce s poučením.
• Sledovatelnost rozhodnutí – podklady rozboru.
• Cykly revize politik – kam se poučení promítají.

Techniky

• EA-3.1.9 Debriefingový protokol – struktura rozboru.
• EA-4.1.6 Failure mode detection – hledání míst selhání.

Zotavení a kritika

• Dlouhodobá kultivace resilience – odolnost jako výsledek učení.
• Systémová teorie jako alternativa – systémový pohled na selhání.