Informasjon fra undersøkelser og granskinger for å hindre gjentagelse av fare- og ulykkessituasjoner
Beskrivelse
Innenfor tilsynets tema synes ikke undersøkelser og granskninger av fare- og ulykkessituasjoner som Equinor har redegjort for å kunne frembringe nødvendig informasjon for å hindre gjentagelse.
Begrunnelse
SF § 20 omhandler registrering, undersøkelser og granskninger av fare- og ulykkessituasjoner. Som det fremkommer av veiledningen til SF § 20, omfatter registreringen som nevnt i første ledd, blant annet «en beskrivelse av situasjonen, årsaksforhold og den faktiske eller potensielle konsekvensen». Det kreves at situasjoner som opptrer hyppig eller som har stor faktisk eller potensiell konsekvens, skal granskes. Det er presisert i veiledningen til SF § 20 at granskninger blant annet bør klargjøre menneskelige, tekniske og organisatoriske årsaker til fare- og ulykkessituasjonen, samt i hvilke prosesser og på hvilket nivå årsakene kan finnes, hvilke barrierer som har sviktet, og årsakene til at barrierene sviktet.
Etterlevelse av SF § 20 har en viktig funksjon innenfor tilsynets tema. Registrering, undersøkelser og granskninger av fare- og ulykkessituasjoner frembringer informasjon som er viktig for å forstå tidlig nok og på riktig nivå hvor det er behov for å forbedre selskapets forsvarsverk mot storulykker.
Det er en rekke forhold som kan påvirke effektiviteten av gjeldende praksis for hendelsesoppfølging i lys av selskapets intensjon om å unngå storulykker. Slike rammebetingelser kan være av betydning for hva Equinor velger å følge opp for å forsikre seg om at gjeldende praksis for hendelsesoppfølging frembringer informasjon som er viktig for å forstå tidlig nok og på riktig nivå hvor det er behov for å forbedre selskapets forsvarsverk mot storulykker.
Rammebetingelse 1: Hva Equinor betrakter som viktig for å unngå storulykker
Hvorvidt gjeldende praksis for hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil blant annet avhenge av hva Equinor betrakter som viktig for å unngå storulykker. Forståelse av hva det er viktig å lykkes med og viktig å unngå, vil påvirke hvordan selskapet i praksis legger til rette for å lykkes. Den påvirker hva selskapet følger opp, overvåker, kontrollerer, utfordrer, både generelt og i oppfølging av fare- og ulykkessituasjoner.
Gitt tilsynets mål vil forståelsen av hva som er viktig for å unngå storulykker påvirke hvilke inntrufne fare- og ulykkessituasjoner som fanger Equinors oppmerksomhet og hvilken informasjon Equinor vektlegger i sin oppfølging. Den vil påvirke hva Equinor er opptatt av å undersøke, hvor Equinor retter sine undersøkelser og hva Equinor tar hensyn til for å avgjøre hva som er kritisk å gjøre noe med, av hensyn til selskapets intensjon om å unngå storulykker.
I møte 17. november 2021 presenterte Equinor områder som er blitt prioritert i selskapets kontinuerlige forbedringsprosesser etter Ptils tilsyn med oppfølging av styringspraksis (ref. 6). Equinor redegjorde blant annet for sitt rammeverk for forebygging av storulykker (jf. WR2915). Dette rammeverket synes å reflektere en forståelse av hva som avgjør storulykkesrisiko i praksis, som virker forenelig med HMS-regelverkets definisjon av storulykker (veiledning til SF § 9) og krav til risikostyring (RF §11 og SF kap II). Rammeverket synes å reflektere en forståelse av at storulykkesrisiko avgjøres av styring av sammenhengende hensyn over tid. Det synes å være klart at storulykkerisiko avgjøres av operasjonell integritet, som avhenger av teknisk integritet og design, og at resultatoppnåelse på disse områdene forutsetter hensiktsmessige rammebetingelser. Det synes klart at forebygging av storulykker forstås å være en integrert del av det å drive petroleumsvirksomhet og dermed noe som krever oppmerksomhet på praksis i mange prosesser, praksis på alle nivåer, og praksis over tid.
Rammeverket synes å reflektere en god forståelse av årsaker til storulykker, både med hensyn til bredde og kompleksitet. Det fremstår dermed som et godt utgangspunkt for å tilrettelegge for en praksis for hendelsesoppfølging som kan understøtte selskapets intensjon om å lære fra inntrufne fare- og ulykkessituasjoner. Det fremstår som et godt utgangspunkt for å frembringe nødvendig informasjon til å skape nødvendig forståelse av hvor det kan være behov for å forbedre gjeldende styringspraksis, tidlig nok for å unngå storulykker.
Rammebetingelse 2: Når hendelser trigger Equinors nærmere oppmerksomhet
Hvorvidt praksis for hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker, vil også avhenge av hvilke fare- og ulykkessituasjoner som trigger Equinors nærmere undersøkelser og når konteksten tilsier at inntrufne hendelser fortjener nærmere undersøkelser.
Equinor gir gode redegjørelser for hvilke krav selskapet stiller for å vurdere og følge opp fare- og ulykkessituasjoner som inntreffer på innretningene. Selskapet viser til etablert prosessbeskrivelse for håndtering av hendelser og granskinger (jf. SF103 og INV101) og til matriser (jf. WR9592, pkt. 2.1, R-10583, pkt. 3) som er etablert for å kategorisere og klassifisere inntrufne hendelser.
- Inntrufne hendelser blir kategorisert etter type konsekvens, for eksempel personskade, arbeidsrelatert sykdom, ukontrollerte utslipp, lekkasjer av olje/gass/brennbare væsker, brann og eksplosjoner, feil på sikkerhetsfunksjoner og barrierer eller renomme.
- Innenfor hver kategori blir inntrufne hendelser klassifisert ut fra faktisk eller mulig skadeomfang. Klassifiseringen av skadeomfang avgjør alvorlighetsgrad av hendelser i hver kategori. For eksempel, for kategorien «personskade», klassifiseres skadeomfang fra dødsfall (høyest alvorlighetsgrad) til førstehjelpsskade (lavest alvorlighetsgrad). For kategorien «ukontrollerte utslipp» klassifiseres enkeltutslipp fra langvarig virkning på miljøet (høyest alvorlighetsgrad) til neglisjerbar miljøpåvirkning (lavest alvorlighetsgrad).
- Alvorlighetsgrad av inntrufne hendelser vurderes med utgangspunkt i en vurdering av faktiske og mulige konsekvenser. Mulige konsekvenser er det «som kunne ha skjedd under ubetydelig endrede omstendigheter». Mulig konsekvens er enten lik eller større enn den faktiske konsekvensen.
Equinors krav til kategorisering og klassifisering av inntrufne hendelser (jf. WR9592, pkt. 1) «har som formål å få pålitelig informasjon om monitorering av risiko, læring, forbedring og vurdering av SSU-prestasjonene» (SSU står for Safety, Security, Sustainability). Disse kravene følger av selskapets krav til sikkerhet (jf. FR10 – Sikkerhet og sikring) og selskapets krav til styring (jf. SF100 - Sikkerhet- og bærekraft, rapportering og prestasjonsstyring). Det synes dermed klart at Equinor ønsker at kategorisering og klassifisering av inntrufne hendelser skal bidra til en god nok forståelse av hvor det er behov for å justere gjeldende styringspraksis, også i lys av selskapets intensjon om å unngå storulykker.
Hvordan en hendelse klassifiseres påvirker den oppmerksomheten en hendelse får i praksis. Klassifiseringen avgjør videre oppfølging av hendelsen i form av varsling, gransking, rapportering, analyse, erfaringsoverføring og forbedring, jf. WR9592, pkt. 2.1. Equinor forklarer dessuten at klassifiseringen påvirker oppdragsnivå, når en hendelse følges opp utover et lokalt nivå, når en hendelse blir gjenstand for en gransking, og når konsernrevisjonen (COA) involveres. Vernetjenesten er alltid representert i granskingsgruppene, mens øvrig ekspertise som kobles til undersøkelser og granskinger bestemmes avhengig av type hendelse. Normalt, skjer granskning på konsernnivå når en hendelse klassifiseres på nivå 1 og 2 (de alvorligste klassene).
Equinor redegjør for at det er noen hendelseskategorier som får forsterket oppmerksomhet av hensyn til selskapets intensjon om å unngå storulykker. Det gjelder hydrokarbonlekkasjer og hendelser med svikt i barrierer, jf. WR9592. Granskning på konsernnivå vil igangsettes når slike hendelser klassifiseres på nivå 1 og 2 (de alvorligste klassene). For hydrokarbonlekkasjer, vil granskning skje på konsernnivå også når en hendelse er klassifisert på nivå 3 (nest alvorligst).
Selve tilnærmingen til klassifisering av alvorlighetsgrad av inntrufne hendelser synes å være den samme uavhengig av hendelseskategori. Alvorlighetsgrad av inntrufne hendelser synes å avgjøres av en konsekvensvurdering, og synes å avgjøres for hver enkelt hendelse isolert sett. Det gjenstår dermed noen forhold som tilsynsaktiviteten ikke har klargjort, blant annet:
- når en hendelse med beskjedne konsekvenser vurderes å kunne bidra med nyttig informasjon om forsvarsverket mot storulykker.
- hvordan årsaksvurderinger kan påvirke klassifisering av enkelthendelser og når alvorlighetsgrad av årsak avgjør alvorlighetsgrad av en enkelthendelse.
- hvordan informasjon om andre hendelser kan påvirke klassifisering av enkelthendelser.
- hvordan tilgjengelig informasjon om konteksten som en hendelse inntreffer i kan påvirke klassifisering av enkelthendelser.
- hvordan læring fra storulykker kan påvirke klassifisering av enkelthendelser.
WR9592 (tilsvarende R-10583, pkt. 3) beskriver viktige forutsetninger for Equinors praksis med hendelsesoppfølging. Disse forutsetningene vil blant annet påvirke hvor Equinor retter sin oppmerksomhet når enkelthendelser inntreffer, samt hvor mye oppmerksomhet og type oppfølging selskapet gir enkelthendelser. WR9592 synes å være egnet til å klargjøre når en enkelthendelse er varslings- eller meldingspliktig til myndighetene. Innenfor tilsynets tema er det imidlertid av interesse å klargjøre hvordan WR9592 tilrettelegger for en praksis for hendelsesoppfølging som kan bidra til en god nok forståelse av hvor det er behov for å justere gjeldende styringspraksis, tidlig nok til å unngå storulykker.
Tilsynsaktiviteten har ikke klargjort i hvor stor grad etterlevelse av WR9592 vil trigge Equinors oppmerksomhet effektivt nok og tidlig nok på forhold som er viktige i lys av selskapets intensjon om å unngå storulykker.
- WR9592 synes å legge opp til at selskapets oppmerksomhet trigges av alvorlighetsgrad av Tilsynsaktiviteten har ikke klargjort hvordan Equinor unngår at gjeldende styringspraksis tas for gitt inntil det foreligger sterke signaler (store faktiske/synlige konsekvenser, stor sannsynlighet for store/synlige konsekvenser).
- WR9592 synes å legge opp til at selskapets innledende vurderinger av en hendelses alvorlighetsgrad varierer med type hendelse og type konsekvens. Dette kan være hensiktsmessig med tanke på varsling. Tilsynsaktiviteten har imidlertid ikke klargjort hvor hensiktsmessige slike innledende vurderinger av alvorlighetsgrad kan være med tanke på læring og forbedring av gjeldende styringspraksis. Tilsynsaktiviteten har ikke klargjort hvordan Equinor unngår å systematisk undervurdere informasjonsverdien av noen hendelseskategorier.
- WR9592 synes å legge opp til at selskapets oppmerksomhet trigges av enkelthendelser isolert sett. Tilsynsaktiviteten har ikke klargjort når en enkelthendelse kan trigge selskapets oppmerksomhet i lys av annen tilgjengelig informasjon om virksomheten, dens utvikling over tid og dens ambisjoner fremover.
Rammebetingelse 3: Hva Equinor betrakter som viktig å undersøke nærmere
Hvorvidt praksis med hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil også være avhengig av hva Equinor gir oppmerksomhet til i forbindelse med undersøkelser og granskinger av inntrufne fare- og ulykkessituasjoner.
Når en hendelse er klassifisert som alvorlig nok til å granskes, er det av interesse å klargjøre hvordan Equinors granskingspraksis tilrettelegger for at Equinor kan forstå tidlig nok og på riktig nivå, hvor det er behov for å forbedre selskapets forsvarsverk mot storulykker.
Equinor henviser i denne sammenheng til årsakskart i granskinger. Årsakskart tydeliggjør viktige aspekter ved Equinors granskingspraksis. De viser hvordan Equinor avgrenser sine granskinger av enkelthendelser og hva Equinor gir oppmerksomhet til i sine årsaksvurderinger. Årsakskart er også grunnlaget for anbefalinger om forbedringer som vurderes relevante. Disse anbefalingene tydeliggjør innledende vurderinger av hvor det ansees viktig å hindre gjentakelse. Det er åpenbart at Equinors årsakskart frembringer viktig informasjon og fører til viktige forbedringer på områder som er viktige av hensyn til forebygging av storulykker.
Equinor redegjør for hvordan storulykkesrisikoen vurderes i granskinger:
- Equinor vektlegger i denne sammenhengen noen hendelseskategorier som åpenbart kan utvikle seg til storulykker. Det gjelder hendelser med lekkasje av brennbar gass eller væske, brønnkontrollhendelser, brann/eksplosjon, kollisjon eller annen skade på bærende konstruksjoner.
- Equinor undersøker i hvor stor grad en slik hendelse representerer en storulykkesrisiko ved å vurdere alvorlighetsgrad av mulige konsekvenser (konsekvensklasse 7 og 8 i Equinor sin HMS-risikomatrise, ref. ARIS R-24383- Impact scales) og sannsynligheten for slike konsekvenser, med utgangspunkt i informasjon tilknyttet tilstanden på aktuelle konsekvensreduserende barrierer.
Selskapet redegjør med dette for en fremgangsmåte som åpenbart er relevant for å beregne sannsynligheten for at en konkret enkelthendelse kunne ha utviklet seg til en storulykke. Tilsynsaktiviteten har imidlertid ikke klargjort i hvor stor grad denne type vurdering bidrar til å klargjøre for Equinor hvor det kan være behov for å forbedre selskapets styringspraksis, tidlig nok for å unngå storulykker.
- Det er ikke klargjort i hvor stor grad denne type konsekvensvurdering påvirker Equinors årsaksvurderinger i praksis.
- Equinor fremhever et utvalg av hendelseskategorier som relevante med tanke på en slik vurdering av storulykkesrisiko. Det er ikke klargjort i hvor stor grad en slik vurdering påvirker innhold, dybde og bredde av Equinors oppfølging av hendelser i nevnte kategorier. Det er ikke klargjort i hvor stor grad og hvordan dette påvirker Equinors oppfølging av øvrige hendelseskategorier.
- Det er ikke klargjort hvor mye ovennevnte sannsynlighetsberegning er ment å si om innretningens eller selskapets forsvarsverk mot storulykker.
- Det er ikke klargjort om Equinor vurderer potensielle konsekvenser av inntrufne hendelser med utgangspunkt i andre faktorer enn tilstanden på konsekvensreduserende barrierer. Det er ikke klargjort når tilstanden på forebyggende tiltak vurderes å kunne påvirke potensielle konsekvenser av en hendelse.
Equinor redegjør for en granskingspraksis der storulykkesrisiko er en funksjon av en beregnet sannsynlighet for at en konkret enkelthendelse kunne ha utviklet seg til en storulykke. Tilsynsaktiviteten har ikke klargjort i hvor stor grad granskinger betrakter storulykkesrisiko som en funksjon av Equinors styringspraksis over tid.
- Det er ikke klargjort hvordan rammeverk for forebygging av storulykker (WR2915) påvirker vurdering av inntrufne fare- og ulykkessituasjoner, blant annet granskinger.
- Det er ikke klargjort når Equinors granskinger vurderer storulykkesrisikoen med utgangspunkt i en årsaks- og/eller en kontekstvurdering. Ptil fulgte opp dette punktet, både generelt og med konkrete eksempler, blant annet med utgangspunkt i Equinors granskingsrapport etter oljeutslipp til luftet lagune og sikringsbassenget på Mongstad (ref. 7).
- Det er ikke klargjort når selve hendelsen som granskes, isolert sett, betraktes som en indikasjon på storulykkesrisiko.
- Det er ikke klargjort når hendelsen som granskes betraktes som en indikasjon på storulykkesrisiko i lys av annen tilgjengelig informasjon om virksomheten.
- Det er ikke klargjort når Equinor vurderer å trenge flere undersøkelser for å klargjøre alvorlighetsgrad av informasjon som fremkommer av en gransket hendelse i lys av selskapets intensjon om å unngå storulykker.
- Det er ikke klargjort når Equinor vurderer storulykkesrisikoen i granskinger med utgangspunkt i konkrete erfaringer fra storulykker. Ptil tok blant annet utgangspunkt i konkrete erfaringer fra Texas City (ref. 12, pkt. 1.6 i Executive summary) for å følge opp dette punktet, både generelt og med konkrete eksempler.
Rammebetingelse 4: Hvordan Equinor definerer alvorlighetsgrad av en hendelse.
Hvorvidt praksis med hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil også være avhengig av når Equinor betrakter en hendelse som alvorlig i lys av selskapets intensjon om å unngå storulykker. Forståelse av alvorlighetsgrad påvirker varsling og beredskap. Det påvirker etter hvert også de undersøkelsene som følger en hendelse og vil avgjøre hvilken informasjon som frembringes, hvilken læring som trekkes og hvor det vurderes nødvendig å forbedre selskapets forsvarsverk mot storulykker.
Som redegjort for i R-10583, pkt. 2, er klassifisering av «endelig alvorlighetsgrad» noe som normalt besluttes av linjen på innretning/anlegg der hendelsen skjedde, i samråd med involvert personell, VO/HVO, og lokalt sikkerhetspersonell, og med råd, veiledning og støtte fra sentrale ressurser etter behov. Endelig klassifisering kan også besluttes etter gjennomført granskning. Equinor redegjør for en grankingspraksis der en beregnet sannsynlighet for mulige omfattende konsekvenser synes å kvalifisere alvorlighetsgrad av en hendelse når den granskes. En konsekvensvurdering synes dermed å være avgjørende for å kvalifisere alvorlighetsgrad av en hendelse både før en gransking og under en gransking. Vurdering av alvorlighetsgrad av hendelser synes dessuten å forholde seg til hver enkel hendelse, en hendelse om gangen, både før en gransking og under en gransking. Det er ikke klargjort hvordan gjeldende praksis med kvalifisering av alvorlighetsgrad av enkelthendelser påvirker Equinors årsaksvurderinger. Tilsynsaktiviteten har ikke klargjort hvordan et årsakskart påvirker Equinors kvalifisering av en hendelses alvorlighetsgrad i lys av selskapets rammeverk for forebygging av storulykker (WR2915).
Innenfor tilsynets tema er Equinors årsakskart viktige. Hvilken informasjon Equinor målrettet leter etter og vektlegger i sine granskinger påvirker hvilke deler av forsvarsverket mot storulykker selskapet får informasjon om. Hvordan Equinor vurderer alvorlighetsgrad av årsak og årsakssammenhenger er et viktig grunnlag for Equinors forståelse av hva det er viktig å hindre gjentakelse av og hvor det ansees viktig å hindre gjentakelse. Dette er viktig for at Equinor kan forstå tidlig nok og på riktig nivå hvor det er behov for å forbedre selskapets forsvarsverk mot storulykker.
Equinor redegjør for en systematisk tilnærming til kvalifisering av alvorlighetsgrad av konsekvenser av enkelthendelser. Tilsynsaktiviteten har imidlertid ikke klargjort hvordan Equinor vurderer alvorlighetsgrad av årsak og årsakssammenhenger til enkelthendelser, og hvilke typer årsak som vurderes viktig å hindre gjentakelse av innenfor tilsynets tema. Tilsynsaktiviteten har ikke klargjort om gjeldende granskingspraksis vektlegger vurdering av noen årsakstyper og i hvor stor grad dette kan begrense Equinors forståelse av hvilke årsaker selskapet må hindre gjentakelse av tidlig nok til å unngå storulykker.
Rammebetingelse 5: Integrasjon av læring etter storulykker i gjeldende praksis
Hvorvidt praksis med hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil også være avhengig av læring fra storulykker.
Tilsynsaktiviteten har ikke klargjort hvordan konkrete erfaringer fra storulykker påvirker Equinors granskinger. Det er ikke klargjort hvordan det påvirker selskapets årsaksvurderinger og vurdering av alvorlighetsgrad av årsak.
Som nevnt innledningsvis, tar denne tilsynsaktiviteten utgangspunkt i erfaringer fra storulykker, som viser at sikkerhetskritiske utfordringer kan bli oversett eller undervurdert over tid, blant annet fordi oppfølging av fare- og ulykkessituasjoner ikke fungerer etter hensikten. Det er derfor av interesse å klargjøre hvordan Equinors praksis med hendelsesoppfølging tilrettelegger for å fange opp eventuell gradvis degradering av integritet på områder som Equinor anser som viktige for å unngå storulykker (jf. WR2915). I denne sammenheng, redegjør Equinor for at selskapet gjennomfører vurderinger på tvers av hendelser i SIOP («Safety Investigation One Pager»). Dette synes å innebære en sammenlikning av konklusjoner fra granskninger etter de mest alvorlige hendelsene. Det bidrar til å fange opp hvilke årsakskategorier som dominerer, hvor og når de dominerer, og hvordan denne dominansen utvikler seg over tid. Tilsynsaktiviteten har imidlertid ikke klargjort i hvilken grad disse vurderingene bidrar til at Equinor forstår hvor det er behov for å forbedre selskapets styringspraksis, tidlig nok for å unngå storulykker. Det er ikke klargjort hvordan eventuelle begrensninger i granskingspraksis på hendelsesnivå påvirker vurderinger på tvers. Det er ikke klargjort i hvor stor grad de bidrar til forståelse av systemiske utfordringer i praksis.
I konklusjon, gir Equinor gode redegjørelser for hvordan selskapet ønsker at inntrufne fare- og ulykkessituasjoner skal registreres, undersøkes og granskes, og hva selskapet sikter til med sin praksis. Equinor gir dessuten gode redegjørelser for praksis rundt kategorisering, klassifisering og gransking av enkelthendelser.
Tilsynsaktiviteten har imidlertid ikke klargjort i hvor stor grad gjeldende praksis kan bidra til nødvendig forståelse av hvor det er behov for å forbedre selskapets styringspraksis, tidlig nok til å unngå storulykker.
Hjemmel
Informasjon om behov for forbedring
Beskrivelse
Innenfor tilsynets tema synes ikke Equinor å evaluere effekten av forbedringstiltak.
Begrunnelse
SF § 23 krever at den ansvarlige skal kontinuerlig forbedre helse, miljø og sikkerhet ved å identifisere de prosessene, aktivitetene og produktene der det er behov for forbedring, og sette i verk nødvendige forbedringstiltak. Behovet for forbedringer skal baseres på informasjon fra blant annet kartlegginger og analyseresultater, gransking av fare- og ulykkessituasjoner, avviksbehandling, erfaringer fra intern oppfølging eller erfaringer gjort av andre.
Etterlevelse av SF § 23 er en forutsetning for at gjeldende praksis for hendelses-oppfølging forbedres der og når det er nødvendig, slik at den kan fungere etter hensikten, blant annet i lys av dens funksjon med tanke på å unngå storulykker.
Equinor redegjør for en rekke prosesser som sikter til forbedring av gjeldende praksis for hendelsesoppfølging.
Equinor redegjør for at det er etablerte prosesser som gjennomføres etter hver enkel gransking med den hensikt å bidra til forbedring av granskinger (jf. INV101).
Hva som bidrar til forbedringer av Equinors praksis for hendelsesoppfølging
Equinor redegjør for prosesser som har bidratt til endringer i gransknings¬metodikk mellom 2000 og 2021. Selskapet viser til prosesser for kontinuerlig kompetanse-utvikling og fremhever blant annet betydningen av selskapets vurderinger av modeller og metoder. Equinor nevner for eksempel taps-årsak modellen, MTO & barrierer, HFAT/HFACS, STAMP, Accimap (Rasmussen), Andrew Hopkins og James Reason. Equinor fremhever også betydningen av selskapets vurderinger av rapporter (eksempelvis SINTEF How to get it right?) samt seminarer og kurs, som intervjukurs og seminarserie om menneskelige og organisatoriske faktorer. Endringene fremstår også som forankret i erfaringer (egne og andres). Equinor nevner for eksempel betydningen av erfaringer fra hendelser (OSØ, Snorre A og Gullfaks C06), og av erfaringer fra Shell, Hydro, Sikkerhetsforums rapport om læring, Statens havarikommisjon og kjernekraft.
Type forbedringer i Equinors praksis for hendelsesoppfølging
Equinor redegjør for endringer i granskningsmetodikk mellom 2000 og 2021. Noen endringer synes å være utenfor tilsynets tema, idet de synes å tilrettelegge for bedre formidling og oppfølging av anbefalinger som granskinger kommer med. Equinor nevner for eksempel tiltakssamarbeid, tiltaksmøter og tydeligere formulering av læring og forbedrings¬behov. De fleste av endringene i granskingsmetodikk som Equinor fremhever kan imidlertid bidra til en bedre forståelse av hvor det er behov for å forbedre selskapets styringspraksis tidlig nok for å unngå storulykker.
• De fleste endringene synes å tilrettelegge for bedre årsaksvurderinger i granskinger av enkelthendelser. Det kan for eksempel gjelde for endringene som berører profesjonalisering av gransking, COA gransking også av nivå 2, samt nettverksforum for gransking, eller endringer rundt basis for Synergi, årsakskart, og barriereanalyse. Revidering av SF103, rapportmal, tiltakskapittel og storulykkeskapittel kan også tilrettelegge for bedre årsaksvurderinger.
• Noen endringer synes å handle om å tilrettelegge for bedre vurderinger på tvers av granskinger. Equinor fremhever for eksempel systematisering av læring på tvers av hendelser i SIOP (Safety Investigation One Pager) samt identifisering av gjentagelser/¬mønstre i barrierer og styring.
Bedre årsaksvurderinger i granskinger av enkelthendelser og bedre tematiske analyser på tvers av granskinger er åpenbart viktige områder å satse på for å forbedre gjeldende praksis for hendelsesoppfølging. Tilsynsaktiviteten har imidlertid ikke klargjort i hvilken grad endringene i granskingsmetodikk har hatt som mål eller ført til en bedre forståelse av hvor det er behov for å forbedre selskapets styringspraksis tidlig nok for å unngå storulykker. Det er ikke klargjort hvordan forbedringer av årsaksvurderinger, fortolkning av informasjon fra granskninger og tematiske analyser reflekterer konkrete erfaringer fra storulykker. Det er for eksempel ikke klargjort hvordan disse forbedringene bidrar til en bedre eller tidligere forståelse av systemiske utfordringer, gradvis degraderinger av integritet i forsvarsverket mot storulykker, gjentakende eller vedvarende avvik og likende.
Equinor redegjør for selskapets respons på anbefalinger som fremkommer av Sikkerhetsforums rapport om læring etter hendelser (ref. 9). Innenfor tilsynets tema, er Equinors respons på Sikkerhetsforums anbefalinger 1, 2 og 6 av interesse. Equinor fremhever at granskingsledere har fått opplæring innen menneskelige faktorer (human factors) og at det er tilgang til slik kompetanse og organisatoriske faktorer ved behov. Equinor redegjør for at det er en innarbeidet praksis å forstå hvorfor det ga mening for personell involvert i enkelthendelser å handle slik de gjorde, og at det dermed er tilrettelagt for å identifisere relevante påvirkende faktorer. Equinor redegjør dessuten for at selskapet gjennomfører temaanalyser, og nevner som eksempler HC taskforce-prosjektet, Process safety, Safety in design og Overall opinion. Tilsynsaktiviteten har ikke klargjort i hvor stor grad Sikkerhetsforums rapport om læring etter hendelser har bidratt til forbedringer av Equinors årsaksanalyse, årsaksvurderinger og tematiske analyser. Equinors respons på aktuelle anbefalinger synes å tyde på at anbefalingene er vurdert å allerede være innarbeidet i gjeldende praksis.
Equinor redegjør for at selskapet har identifisert et konkret behov for forbedring av granskinger av enkelthendelser. Behovet for forbedring gjelder gransking av det Equinor betegner som «hendelser med storulykkesrisiko» . Forbedrings¬potensialet synes dermed å være avgrenset til gransking av noen typer hendelser når disse er klassifisert i høyeste alvorlighetskategori (jf. WR9592) og når gransker skal vurdere «potensial for storulykke i granskingene». Forbedringstiltaket som Equinor redegjør for i denne sammenheng er «en veiledning som forteller hvilke kriterier som skal legges til grunn i slike vurderinger». Som nevnt under punkt 4.2.1, synes Equinor å ha en etablert praksis for slike vurderinger. Forbedringstiltaket synes dermed å handle om å beskrive gjeldende vurderingspraksis i en veiledning. Tilsynsaktiviteten har ikke klargjort hvilken type utfordring en slik veiledning er løsningen på og hvilke forbedringer en slik veiledning forventes å bidra til innenfor tilsynets tema. Som nevnt under punkt 4.2.1, har tilsynsaktiviteten ikke klargjort i hvor stor grad vurderinger av storulykkepotensial og alvorlighetsgrad bidrar til å klargjøre for Equinor hvor det kan være behov for å forbedre selskapets styringspraksis, tidlig nok for å unngå storulykker.
I konklusjon viser Equinors redegjørelser at selskapet jobber kontinuerlig med forbedring av sin praksis for hendelsesoppfølging. Det er tydelig at forbedrings-prosessene har til hensikt å bedre forståelse av årsaker, fange opp viktig læring, forstå bedre hva som er kritisk og hva det er viktig å hindre gjentakelse av med tanke på å bedre forebygge hendelser. Equinor har redegjort for tiltak på viktige områder for å forbedre gjeldende praksis med hendelses¬oppfølging. Det er imidlertid ikke klargjort i hvilken grad endringene bidrar til bedre forståelse av hvor det er behov for å forbedre selskapets styringspraksis tidlig nok for å unngå storulykker.
Hjemmel
Informasjon til og fra oppfølging om gjeldende styringssystem fungerer etter hensikten
Beskrivelse
Innenfor tilsynets tema synes ikke de oppfølgingsaktivitetene som Equinor har redegjort for å kunne frembringe nødvendig informasjon om at gjeldende styringssystem fungerer etter hensikten.
Begrunnelse
SF § 21 forplikter selskapet å følge opp ikke bare at gjeldende styringssystem er etablert, men også at det fungerer etter hensikten, samt at det er et forsvarlig helse-, miljø- og sikkerhetsnivå. Oppfølgingen skal bidra med informasjon om tekniske, operasjonelle eller organisatoriske svakheter, feil og mangler til dette formålet. Etterlevelse av SF § 21 er dermed en viktig forutsetning for å kunne etterleve SF § 20 og sikre at registrering, undersøkelser og granskinger av fare- og ulykkessituasjoner fungerer etter hensikten og tilrettelegger for å hindre gjentakelse.
Målet med tilsynet er å følge opp hvordan selskapet klargjør for egen del om gjeldende praksis for hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker. Som påpekt innledningsvis, viser erfaringer fra storulykker at det er viktig å ikke ta for gitt at gjeldende praksis for hendelsesoppfølging er effektiv nok. Gitt tilsynets mål er det blant annet aktuelt å undersøke når og hvordan Equinor utfordrer sin praksis for hendelsesoppfølging, gjennom for eksempel systemrevisjoner, ledelsesgjennomganger, egenbedømmelser, verifikasjoner, valideringer, målinger og kartlegginger. Det er også av interesse å undersøke hva Equinor vurderer som viktig å utfordre for å kunne forbedre praksis for hendelsesoppfølging der og når det er nødvendig.
Når Equinor anser det nødvendig å utfordre sin praksis for hendelsesoppfølging
I forbindelse med planlegging av denne tilsynsaktiviteten, gikk vi gjennom en analyse som Equinor gjennomførte etter alvorlige hendelser, og som utfordrer blant annet gjeldende praksis med hendelsesoppfølging (ref 8). Denne fremstår som et godt eksempel på en type oppfølging som omfatter en evaluering av hvor etablerte systemer fungerer etter hensikten og hvor disse systemene kan forbedres. Undersøkelsen bidrar til å løfte opp viktige utfordringer ved gjeldende verktøy (Synergi), utfordringer ved prosesser rundt klassifisering av hendelser, samt utfordringer ved årsaksvurderinger og ved proaktivitet av tematiske analyser. Dette er forhold som er viktige for at gjeldende praksis kan fungere etter hensikten også med tanke på å frembringe nødvendig informasjon og forståelse for å kunne justere gjeldende styringspraksis tidlig nok der det er kritisk.
I tilsynsaktiviteten redegjør Equinor for at konklusjoner fra gransking av enkelthendelser kan danne utgangspunktet for videre undersøkelser gjennom interne revisjoner og verifikasjoner. Equinor gir i denne sammenhengen følgende eksempler:
- barrierestyring tilknyttet undervanns brønnoperasjoner,
- leverandørstrategi, prekvalifisering og oppfølging
- prosesser for oppfølging av teknisk integritet
Dette er revisjonstemaer som utfordrer gjeldende styringspraksis på områder som åpenbart er viktige i lys av Equinors intensjon om å unngå storulykker.
Tilsynsaktiviteten har ikke klargjort hvordan disse revisjonene utfordrer og forbedrer Equinors praksis for hendelsesoppfølging.
Equinor redegjør for endringer i granskingsmetodikk i perioden mellom 2000 og 2021, og synliggjør betydningen av erfaringer (egne og andres). Equinor nevner for eksempel betydningen av erfaringer fra hendelser (OSØ, Snorre A og Gullfaks C06), og av erfaringer fra Shell, Hydro, Sikkerhetsforums rapport om læring, Statens havarikommisjon og kjernekraft. Tilsynsaktiviteten har ikke klargjort hvordan disse erfaringene har utfordret og forbedret Equinors granskingspraksis.
Hva Equinor betrakter som viktig å utfordre i sin hendelsesoppfølging
Hva Equinor anser å være mulige hinder for at gjeldende granskningspraksis fungerer etter hensikten er viktig for at selskapet blir målrettet og effektivt i sin oppfølging av granskningspraksis. I varselsbrevet etterlyste derfor Ptil hvilke blindsoner og misforståelser Equinor er opptatt av å unngå i sin praksis for hendelsesoppfølging.
Equinor redegjør i denne sammenheng for relevante og viktige risikoforhold forbundet med granskninger, og synliggjør samtidig viktige suksessfaktorer for at granskinger kan bidra med nødvendig informasjon om utvikling av selskapets evne til å forhindre storulykker.
- Equinor fremhever for eksempel betydningen av å avsette nødvendig kapasitet og kompetanse til granskinger.
- Equinor fremhever betydningen av å sikre at granskingene følger opp problemstillinger som er særlig relevante for å evaluere forsvarsverket mot storulykker. Equinor fremhever i denne sammenhengen betydningen av å anvende et systemperspektiv, evne til å skille symptomatiske fra systemiske årsaker, evne til å vurdere hendelsen i kontekst, evne til å ta hensyn til komplekse årsakssammenhenger og evne til å utforske målkonflikter.
- Equinor fremhever betydningen av forsiktighet i granskingsprosesser og bevissthet rundt vanlige mentale feller som etterpåklokskap, bekreftelsestendenser, overforenkling og fragmentering.
- Det handler om effektiviteten av tiltak som følger av granskinger, blant annet tiltaksutforming og målgrupper for tiltakene.
Equinors redegjørelse synliggjør en forståelse av risikomomenter som kan påvirke Equinors granskingspraksis på viktige områder. De kan påvirke hva Equinor undersøker, hvor Equinor retter sine undersøkelser og hvordan Equinor fortolker informasjon. De kan påvirke selskapets forståelse av hvor og når det er behov for å forbedre gjeldende styringspraksis for å unngå storulykker. Equinors forståelse av disse risikomomentene reflekterer viktige erfaringer fra storulykker.
Equinor redegjør for en rekke tiltak som har til hensikt å redusere risiko forbundet med granskinger. Selskapet fremhever for eksempel opplæring, sammensetning av kompetanse og ferdigheter som knyttes til granskinger, støtte til granskingsgruppe, tilgjengeligheten av et bredt utvalg av metoder, verktøy, prosesser for å fremme, kontrollere og utvikle kvaliteten av granskinger mm. Tilsynsaktiviteten har ikke klargjort i hvor stor grad dette er treffsikre og effektive tiltak for å redusere risiko forbundet med granskinger.
Hvordan Equinor utfordrer sin praksis i hendelsesoppfølging
Tilsynsaktiviteten har ikke klargjort hvordan Equinor undersøker hvor gjeldende praksis med kategorisering, klassifisering, gransking og tematiske analyser fungerer etter hensikten, og hvor det er behov for justeringer for at Equinor lærer det som er viktig tidlig nok til å unngå storulykker.
Equinor har ikke gitt eksempler på systemrevisjoner, ledelsesgjennomganger, egenbedømmelser, verifikasjoner, valideringer, målinger og kartlegginger som tar utgangspunkt i nevnte risikoforhold eller på annen måte utfordrer gjeldende praksis for hendelsesoppfølging.
I konklusjon, har Equinor synliggjort en god forståelse av forhold som kan forhindre at gjeldende praksis for hendelsesoppfølging fungerer etter hensikten i lys av intensjonen om å unngå storulykker (jf. mål for tilsynsaktiviteten). Equinor har imidlertid ikke klargjort hvordan selskapets oppfølgingsaktiviteter sikrer at gjeldende praksis for hendelsesoppfølging fungerer etter hensikten. Det er dermed ikke klargjort at selskapet kan identifisere behovet for å justere gjeldende styringspraksis på riktig nivå og tidlig nok til å unngå storulykker.
Hjemmel
Informasjon om hvem som trenger hvilken type informasjon
Beskrivelse
Innenfor tilsynets tema er det ikke klargjort hvordan Equinor identifiserer hvem som trenger hvilken informasjon til hvilken tid i prosesser som er av betydning for å for å kunne forbedre helse, miljø og sikkerhet.
Begrunnelse
SF § 15 stiller krav til at den ansvarlige skal identifisere den informasjonen som er nødvendig for å kunne planlegge og utføre aktivitetene og forbedre helse, miljø og sikkerhet. Veiledning til SF § 15 presiserer at dette innebærer å identifisere hvem som trenger hvilken type informasjon til hvilken tid, og at informasjonsbehovet blant annet vil gå fram av arbeidsprosessene og grenseflatene mellom disse. Hvem som trenger hvilken type informasjon av betydning for å unngå storulykker, avklares dermed blant annet med utgangspunkt i hvem som deltar i hvilke prosesser med en funksjon i forsvarsverket mot storulykker. Etterlevelse av SF § 15 er en viktig forutsetning for at prosessene som er av betydning for å unngå storulykker, kan fungere etter hensikten i praksis, både enkeltvis og samlet.
Equinor redegjør for at sentrale prosesser for kategorisering, klassifisering, undersøkelse og gransking av enkelthendelser involverer personell som er direkte involvert i hendelsen og som ellers ansees som relevante for å sikre nødvendig læring. Dette inkluderer verneombudsapparatet. Som nevnt innledningsvis, viser erfaringer fra storulykker viktigheten av vurderinger på tvers av enkelthendelser og på tvers av granskinger, samt viktigheten av å ikke ta for gitt at gjeldende praksis for hendelsesoppfølging fungerer etter hensikten. Det er derfor av interesse å klargjøre hvor og når slike prosesser initieres.
I forlengelse av tilsyn rettet mot oppfølging av styringspraksis (ref. 6), ble det avholdt et møte med Equinor 17. november 2021. I møtet redegjorde selskapet for viktige aspekter ved aktuelle forbedringsprosesser (ref. 5). Equinor trekker frem kontinuerlige prosesser med tydeliggjøring av risikoeierskap som følger av ansvar og myndighet, på ulike nivåer i selskapets organisasjonsstruktur. Selskapet synliggjør at disse forbedringsprosessene berører tilretteleggings- og kontrollfunksjoner til blant annet:
- forretningsområdene med ansvar for operasjonelle forhold,
- enhetene på konsernnivå som har ansvar for nødvendig støtte til forretningsområdene (blant annet SSU og COA, der COA har en særstilling med hensyn på uavhengighet)
COA består av fem enheter, og den ene har ansvar for granskinger av hendelser som er klassifisert som alvorlige nok i tråd med WR9592, jf. punkt 4.2.1. COA fungerer ellers som et kompetansesenter som linjen kan støtte seg til i forbindelse med hendelsesoppfølging. COA omfatter også enheter som står for interne revisjoner. Equinor synliggjør i sine presentasjoner at denne organiseringen tilrettelegger for noen samlede vurderinger som er relevante (jf. målet for dette tilsynet). Equinor redegjør for eksempel for at COA foretar helhetlige vurderinger av lærings- og forbedringsbehovet på tvers av granskninger og revisjoner, og at slike vurderinger forekommer i forbindelse med
- kvartalsvis rapportering til konsernledelse og styre,
- årlig vurdering av internkontroll («Overall opinion») og forbedringsbehov,
- årlig egenvurdering av COA på tvers av COA’s virksomhet.
Equinor redegjør videre for at granskingsresultater brukes i forbindelse med årlig planlegging av revisjonsvirksomhet, og at revisjoner og verifikasjoner følger opp læring fra granskinger. Det er imidlertid ikke gitt eksempler på granskingskonklusjoner, revisjoner eller verifikasjoner som utdyper når, hvor og hvordan COA bruker samspill mellom granskinger og revisjoner målrettet (jf. tilsynets mål) for å kunne utfordre og forbedre selskapets praksis for hendelsesoppfølging, og dens effektivitet i lys av intensjonen om å unngå storulykker.
Gitt tilsynets mål fremstår konsernenheten SSU som en viktig premissleverandør for selskapets forståelse av årsak til storulykker, av forutsetninger for forebygging av storulykker, av hva det er viktig å overvåke, revidere, utfordre og forbedre for at selskapet kan lykkes med å unngå storulykker. Denne enheten fremstår som en viktig premissleverandør både for selskapets krav til praksis og for at selskapets praksis med kategorisering, klassifisering, gransking og tematiske analyser kan fungere etter hensikten i lys av intensjonen om å unngå storulykker.
Equinor redegjør for prosesser som gjennomføres ved planlegging av granskinger og etter granskinger med den hensikt å bidra til forbedring av granskinger (jf. INV101). Tilsynsaktiviteten har ikke klargjort i hvor stor grad SSU trekkes inn i disse prosessene.
I møte 17. november, redegjorde selskapet for måleparametre og indikatorer som SSU vektlegger for å ivareta sine funksjoner (ref. 5). Tilsynsaktiviteten har ikke klargjort i hvor stor grad SSU bruker denne informasjonen for å utfordre og forbedre Equinors praksis med kategorisering, klassifisering, gransking og tematiske analyser, og/eller Equinors praksis med oppfølging av praksis for hendelsesoppfølging.
I konklusjon, har Equinors redegjørelser ikke klargjort hvor selskapet initierer prosesser for å utfordre egen praksis for hendelsesoppfølging, og hvem som trenger hvilken informasjon for å utfordre og forbedre denne tidlig nok til å unngå storulykker.
Hjemmel