Wintershall Dea – oppfølging av styringspraksis

Informasjon fra undersøkelser og granskinger for å hindre gjentagelse av fare- og ulykkessituasjoner

Beskrivelse

Innenfor tilsynets tema synes ikke undersøkelser og granskninger av fare- og ulykkessituasjoner som WDNO har redegjort for å kunne frembringe nødvendig informasjon for å hindre gjentagelse.

Begrunnelse

SF § 20 omhandler registrering, undersøkelser og granskninger av fare- og ulykkessituasjoner. Som det fremkommer av veiledningen til SF § 20, omfatter registreringen som nevnt i første ledd, blant annet «en beskrivelse av situasjonen, årsaksforhold og den faktiske eller potensielle konsekvensen». Det kreves at situasjoner som opptrer hyppig eller som har stor faktisk eller potensiell konsekvens, skal granskes. Det er presisert i veiledningen til SF § 20 at granskninger blant annet bør klargjøre menneskelige, tekniske og organisatoriske årsaker til fare- og ulykkessituasjonen, samt i hvilke prosesser og på hvilket nivå årsakene kan finnes, hvilke barrierer som har sviktet, og årsakene til at barrierene sviktet.

Etterlevelse av SF § 20 har en viktig funksjon innenfor tilsynets tema. Årsaksvurderinger som følger av krav til registrering, undersøkelser og granskinger frembringer informasjon som er særlig viktig for å kunne hindre gjentagelse av årsak, og dermed gjentakelse av tilsvarende fare- og ulykkessituasjoner. Registrering, undersøkelser og granskninger av fare- og ulykkessituasjoner frembringer dermed informasjon som er viktig for å forstå tidlig nok og på riktig nivå hvor det er behov for å forbedre selskapets forsvarsverk mot storulykker.

Det er en rekke forhold som kan påvirke effektiviteten av gjeldende praksis for hendelsesoppfølging i lys av selskapets intensjon om å unngå storulykker. Slike rammebetingelser kan være av betydning for hva WDNO velger å følge opp for å forsikre seg om at gjeldende praksis for hendelsesoppfølging frembringer informasjon som er viktig for å forstå tidlig nok og på riktig nivå hvor det er behov for å forbedre selskapets forsvarsverk mot storulykker.

Rammebetingelse 1: Hva WDNO betrakter som viktig for å unngå storulykker

Hvorvidt gjeldende praksis for hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil blant annet avhenge av hva WDNO betrakter som viktig for å unngå storulykker. Forståelse av hva det er viktig å lykkes med og viktig å unngå, vil påvirke hvordan selskapet i praksis legger til rette for å lykkes. Den påvirker hva selskapet følger opp, overvåker, kontrollerer, utfordrer, både generelt og i oppfølging av fare- og ulykkessituasjoner.

Tilsynet legger til grunn at forståelsen av hva som er viktig for å unngå storulykker påvirker hvilke inntrufne fare- og ulykkessituasjoner som fanger WDNOs oppmerksomhet og hvilken informasjon WDNO vektlegger i sin oppfølging. Den vil påvirke hva WDNO er opptatt av å undersøke, hvor WDNO retter sine undersøkelser og hva WDNO tar hensyn til for å avgjøre hva som er kritisk å gjøre noe med, av hensyn til selskapets intensjon om å unngå storulykker.

WDNO redegjorde for det selskapet anser som grunnleggende forutsetninger for forsvarlig virksomhet i selskapet, uavhengig av fase, operasjon eller innretning. Dette ble betegnet som grunnmuren for selskapets virksomhet og som et helhetlig forsvarsverk mot storulykker. Dette ble redegjort for blant annet med utgangspunkt i det bildet som Ptil brukte under formøtet for å illustrere hva regelverkets krav til HMS-styring innebærer (jf. ref. 16, ark 8). Selskapet synes dermed å legge til grunn blant annet at:

• målet om å unngå at virksomheten fører til skade gjennomsyrer prosesser på alle nivåer og i alle faser av selskapets virksomhet
• samme system bidrar til forebygging av ulike typer feil, fare- og ulykkessituasjoner, som kan føre til ulike typer skade og skade av ulikt omfang på kortere eller lengre sikt
• forebygging av skade forutsetter operasjonell integritet, som forutsetter teknisk integritet, samt styringsmessige betingelser som kan sikre teknisk og operasjonell integritet, i kontekst og over tid
• selskapets interne og eksterne kontekst påvirker kontinuerlig effektiviteten av dette systemet i praksis, derav behov for kontinuerlig oppfølging og forbedring

Selskapet fremhever at denne grunnmuren innebærer en proaktiv tilnærming til sikkerhet, der det satses på kvalitet og etterlevelse for å forebygge storulykker. Denne satsingen er ment å være integrert i det selskapet gjør i praksis, kontinuerlig, i alle faser og på alle nivåer, uten å vente på at alvorlige hendelser inntreffer.

• WDNO fremhever i denne sammenhengen viktigheten av det daglige operasjonelle fokus, arbeidstillatelsessystemet, barriereverktøy for å følge opp akutte svekkelser på barrierer, PIMS-register med oversikt over risikoer ol.
• Selskapet får klart frem at forebygging av storulykker ikke bare omfatter driftsfasen, men berører også det selskapet gjør i praksis i prosjektfasene. Selskapet fremhever i denne sammenheng blant annet bruk av totalrisiko-analyser (QRA) som tar utgangspunkt i ordinære aktiviteter på en innretning for å velge robuste designløsninger, unngå enkeltfeil med alvorlige konsekvenser og etablere nødvendige barrierer.
• Selskapet fremhever også generelt sett betydningen av etablerte verktøy, registre, analyser, krav, MOC-prosesser, samt betydningen av erfaringer, læring og regelverk.

WDNO redegjør for en rekke styringsmessige forutsetninger som selskapet anser som viktige for å lykkes med å unngå storulykker:

• One-Team-tilnærming, som hjelper å fange svake signaler og som er blitt styrket etter West Mira-hendelsen (mars 2020)
• Selskapets kultur og verdier, der åpenhet, diversitet og korte linjer bidrar til; oversikt, tillit, mot, rom for å ta opp det ubehagelige/ubeleilige, fleksibilitet.
• Læring, som en forutsetning for å utfordre etablerte siloer, styrke lederskap og åpenhet. Selskapet nevner interne og eksterne læringsarenaer, slik som Always Safe, NOROG (bla. Drillers forum), Ptil, Samarbeid for Sikkerhet, RNNP, samarbeid med andre rettighets­havere, entreprenører, institusjoner for FoU, standardisering, regelverks­utvikling, barriere- og vedlikeholdsprosesser mm. 
• Årvåkenhet for risikoer og felles risikoforståelse. Risikoer som fremheves som særlig viktige av hensyn til storulykker er knyttet til silotenking, kapasitet, kompetanse, aktiviteter (B&B, Samops), aldring og korrosjon (også subsea), vedlikehold, kontrollsystemer og utvikling av reservoarforhold.
• Prosesser, som for eksempel sikkerhetsdiskusjoner før kritiske operasjoner på innretningen (“Time out for Safety”) eller etter uønskede hendelser (West Mira) kampanjer (“Winter is Here”), oppfølging av observasjonskort, arbeids­tillatelsessystem mm.

WDNO er tydelig på at hendelsesoppfølging ansees som et viktig bidrag for å ha et forsvarsverk mot storulykker som fungerer etter hensikten. Selskapet betrakter hendelser som indikasjoner på at noe i systemet som sikter mot å unngå feil, fare- og ulykkessituasjoner ikke fungerer etter hensikten. Selskapet betrakter både storulykker og hendelser som inntreffer i egen eller andres virksomhet som viktige påminnelser om ulykkesrisiko i egen virksomhet, og gir viktige anledninger til å lære, evaluere og forbedre sitt gjeldende forsvarsverk mot storulykker.

Det fremstår som klart at WDNO sikter mot å ha en praksis med hendelsesoppfølging som er egnet til å fange opp hvor forsvarsverket mot storulykker ikke fungerer etter hensikten, slik at nødvendige forbedringer kan iverksettes tidlig nok og på riktig nivå.  

Rammebetingelse 2: Når hendelser trigger WDNOs nærmere oppmerksomhet

Hvorvidt praksis for hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker, vil også avhenge av hvilke fare- og ulykkessituasjoner som trigger WDNOs nærmere undersøkelser og når konteksten tilsier at inntrufne hendelser fortjener nærmere undersøkelser.

WDNO redegjorde for at selskapets system for klassifisering av hendelser er viktig for hvor mye oppmerksomhet en hendelse får i praksis. Gitt tilsynets tema er det kun lagt vekt på å klargjøre hva dette systemet betyr for hendelsesoppfølging i virksomheter der WDNO er operatør (jf. WIN-WR-0075 Klassifisering- & varslingsmatrise – Del A). Selskapet presiserte at samme krav til klassifisering gjelder, uansett type innretning, operasjon og lokasjon der WDNO er operatør.

Selskapets system for klassifisering forholder seg både til hendelser som har hatt konsekvenser for personell, miljø og økonomiske verdier (incidents) og hendelser som kunne ha hatt slike konsekvenser (near misses).

Klassifisering er et system som er ment å tilrettelegge for selskapets innledende vurderinger av en hendelse, med spesiell vekt på å forstå hva som har skjedd, hva det har ført til og hva det kunne føre til. Klassifiseringen er ment å bidra til en innledende forståelse av en hendelses alvorlighetsgrad, noe som strukturerer registrering i Synergi, informasjons­deling, eventuell varsling internt og eksternt, samt vurderinger rundt nødvendig hendelses­oppfølging. Klassifisering vil blant annet påvirke ressursbruk i hendelsesoppfølgingen, når en hendelse granskes og hvem som eier granskingen.

Klassifiseringen legger vekt på konsekvensvurderinger, idet systemet har viktige funksjoner med tanke på ivaretakelse av varslingsplikter og ressursprioritering i en operasjonell kontekst. WDNO kommuniserer en trygghet om at selskapet har en lav terskel for å undersøke også hendelser med lave konsekvenser eller lite skade­potensiale. Selskapet betegner sine kriterier for å igangsette gransking eller annen videre undersøkelse som konservative, idet muligheten for en konsekvens skal veie tyngre enn sannsynligheten for en konsekvens.

Innenfor tilsynets tema har det vært av interesse å undersøke hvordan klassifiseringen bidrar til å klargjøre hvilke typer feil, fare- og ulykkessituasjoner som vurderes å fortjene oppmerksomhet av hensyn til selskapets intensjon om å unngå storulykker.

WDNO fremhever barrieresvekkelser som en type feil og faresituasjon som bidrar med viktig informasjon om forsvarsverket mot storulykker. Selskapet viser i denne sammenheng til at svekkelse i tekniske barrierer gis stor oppmerksomhet. De klassifiseres gjerne med høyere alvorlighetsgrad (A, B, C) selv når det ikke registreres faktiske konsekvenser. Svekkelse i tekniske barrierer repareres uten opphold. Svekkelser i operasjonelle og organisatoriske barrierer blir ikke vurdert og fulgt opp med utgangspunkt i klassifiserings- og varslingsmatrise men innenfor rammen av avviksbehandlingssystemet. WDNO får klart frem at slike svekkelser tas alvorlig og kan trigge en dybdeundersøkelse, selv om de ikke inngår i klassifiseringsmatrisen. Det er ikke klargjort når identifiserte barrieresvekkelser, enkeltvis og samlet, trigger refleksjoner om robusthet av selskapets forsvarsverk mot storulykker.

WDNO fremhever oppfølging av hydrokarbonlekkasjer og brønnkontrollhendelser som viktig for å evaluere og forbedre forsvarsverket mot storulykker. Disse hendelsene ansees å ha storulykkespotensiale fordi de kan eskalere til brann, eksplosjon, utblåsning og videre konsekvenser.

Når en hendelses storulykkespotensiale vurderes, er selskapet tydelig på at det er eskalerings­mulighet som vektlegges, ikke eskaleringssannsynlighet. En uplanlagt klatring på en kald fakkelbom vil bli klassifisert med høy alvorlighetsgrad fordi dette vil betraktes som et etterlevelsesbrudd som kunne føre til alvorlige konsekvenser for vedkommende under endrede omstendigheter, for eksempel. Det synes også klart at mulighet for svekkelse i tekniske barrierer inngår i vurderinger av eskalerings­mulighet til en storulykke. Det er imidlertid ikke klargjort i hvilken grad svekkelse i operasjonelle og organisatoriske barrierer inngår i vurdering av eskalerings­mulighet til en storulykke. Det er ikke klargjort hvor mye eskalerings­muligheten til en spesifikk hendelse er ment å si om robusthet av selskapets forsvarsverk mot storulykker. Det er ikke klargjort i hvor stor grad eskaleringsmuligheten til en spesifikk hendelse vurderes å informere om eskalerings­mulighet for andre hendelser i fremtiden.

Ptil stilte spørsmål rundt kriterier som påvirker den oppmerksomheten en hendelse kan få i WDNO, utover kriterier tilknyttet en hendelses faktiske eller potensielle konsekvenser. Selskapet viste for eksempel at hendelser som innledningsvis blir klassifisert med en lavere alvorlighetsgrad (D og E) kan trigge en gransking eller teknisk review «hvis årsaksbilde er sammensatt eller betydelig læringspotensiale er identifisert». Det har dermed vært av interesse for Ptil å undersøke nærmere hvordan «sammensatte årsaksbilder» og «betydelig læringspotensiale» klargjøres i praksis ved en innledende klassifisering av hendelser. Selskapet viste i denne sammenhengen til flere eksempler:

• En hendelse med lavere alvorlighetsgrad (D og E) kan bli gjenkjent som noe overraskende, en repetisjon av liknende hendelser, en endring av tidligere mønster eller på annen måte trigge videre refleksjoner og undersøkelser. Et eksempel gjelder gjenkjennelse av trend, som bidro til identifikasjon av sesongrelaterte utfordringer, som ble håndtert gjennom en målrettet kampanje på Brage.
• Konteksten kan også bidra til at en enkelthendelse med lavere alvorlighetsgrad (D og E) kan få oppmerksomhet, for eksempel hvis den inntreffer etter en endringsprosess. West Mira ble også brukt som et eksempel på at en hendelse med høyeste alvorlighetsgrad kan skape en kontekst som trigger en revurdering av tidligere hendelser med lavere alvorlighetsgrad.

Dette fremstår som gode eksempler på at klassifiseringen av hendelser legger til grunn at alle enkelthendelser har et læringspotensial, også når de ikke har hatt eller kunne hatt alvorlige konsekvenser. Det er også klart at klassifiseringen kan lede til en årsaksvurdering (gjennom granskinger eller andre undersøkelser), også når enkelthendelser har lavere alvorlighetsgrad (D og E). Det er imidlertid ikke klargjort hvilke vurderinger som bidrar til en forståelse av at en hendelse som er klassifisert med lavere alvorlighetsgrad (D og E) viser et sammensatt årsaksbilde i forkant av en gransking eller teknisk review. Det er ikke klargjort når enkelthendelser som er klassifisert med lavere alvorlighetsgrad (D og E) fanger selskapets oppmerksomhet av hensyn til selskapets intensjon om å unngå storulykker.

WDNO fremhever at fordelen med gjeldende matrise er å etablere klare kriterier for klassifisering av hendelser og tilrettelegge for en enhetlig måte å klassifisere hendelsene på. Selskapet nevner at matrisen også kan bidra til at ressurser brukes for å følge opp hendelser som ikke bidrar til læring. Det er ikke klargjort når en hendelse ikke har et læringspotensial.

WDNO presiserer at selskapets system for hendelsesoppfølging omfatter både fare- og ulykkessituasjoner, og henviser eksplisitt til regelverkets definisjon av faresituasjoner, jf. veiledning til SF § 4. Det har derfor vært av interesse å klargjøre hvordan selskapets hendelsesoppfølging forholder seg til faresituasjoner. Selskapet redegjør for at selskapets hendelses­oppfølging er ment å fange opp ulike typer faresituasjoner:

• Det kan være de inntrufne faresituasjoner som omhandles av klassifiserings­systemet. Det som ansees som en faresituasjon omfatter dermed en faktisk tilløpshendelse, som observeres under en spesifikk operasjon på en spesifikk innretning i drift, og som under endrede omstendigheter kunne føre til en ulykkessituasjon, med skade av personell, miljø og/eller økonomiske verdier.
• WDNO fremhever også inntrufne faresituasjoner som identifiseres gjennom videre undersøkelse av en hendelse, slik som gransking, teknisk review, dybdeundersøkelser, tematiske analyser mv. Inntrufne faresituasjoner kan være identifiserte årsaker til konkrete tilløpshendelser, noe som bidrar til å forklare hvorfor en konkret uønsket hendelse kunne inntreffe. Designfeil som identifiseres i etterkant av en hendelse er gitt som et konkret eksempel i denne sammenhengen. Dette synliggjør at WDNO anser at faresituasjoner omfatter inntrufne forhold og faktorer som direkte eller indirekte har vært av betydning for at en hendelse inntraff og utviklet seg slik den faktisk gjorde.

Det har vært av interesse å klargjøre i hvor stor grad WDNOs hendelsesoppfølging også er ment å omfatte andre faresituasjoner, slik som inntrufne uønskede tilstander som kan føre til skade, før en uønsket hendelse inntreffer og granskes. WDNO synliggjør viktigheten av å ikke vente på alvorlige hendelser som hydrokarbon­lekkasjer og brønnkontrollhendelser, og fremhever selskapets satsing på en kontinuerlig oppfølging av såkalte svake signaler. WDNO viser i denne sammenheng til gjeldende system med observasjonskort, som tilrettelegger for å fange opp mange svake signaler (100/150 per dag). Disse berører mindre variasjoner i kvalitet og etterlevelse (housekeeping ol.) som observeres daglig på innretningen. Etter spørsmål fra Ptil, presiserte WDNO at det ikke er et tilsvarende system for å fange opp svake signaler som berører kvalitet og etterlevelse i prosesser på land og i en annen fase. Observasjonskort behandles offshore og i operasjonsteam på land hver dag, med den hensikt å tidlig fange opp og håndtere eventuelle negative trender. Behandling av observasjonskort fører ikke til granskinger, men kan føre til en oppfølging i Synergi, og kan føre til tiltak, som for eksempel kampanjer for å øke bevisstheten rundt observasjoner og hendelser, og revisjon av arbeids­tillatelses­system. Forbedringstiltak synes avgrenset til den skarpe enden.

Observasjonskortsystemet fremstår dermed som et system som er egnet til å fange opp og dempe mindre variasjoner i kvalitet og etterlevelse på bemannede innretninger i drift. Det er imidlertid ikke klargjort hvordan WDNO fortolker slik informasjon, hvilke funksjonssvikt den er ment å gi signaler om, og hvor viktig WDNO anser denne type informasjon å være ved vurdering av effektiviteten av selskapets forsvarsverk mot storulykker.

Utover informasjon som fremkommer av observasjonskortsystemet, er det ikke klargjort hva WDNO betrakter som svake signaler av betydning for å fange opp svekkelser av forsvarsverket mot storulykker, tidlig nok og på riktig nivå. Det er ikke klargjort hva WDNO betrakter som svake signaler når virksomheten foregår på undervannsinnretninger, i prosesser på land og i andre faser enn driftsfasen.

WDNO viser at det er et internt krav å følge opp antall hendelser og observasjoner som indikatorer for effektiviteten av forsvarsverket mot storulykker, i tråd med IOGPs pyramide med sikkerhetsindikatorer (Ref. 15).  WDNO presiserer at dette også inngår i det selskapet gjør for å ivareta SF § 10. Det er ikke klargjort hvordan WDNO omsetter informasjon om antall hendelser og observasjoner til informasjon om effektiviteten av selskapets forsvarsverk mot storulykker. Det er heller ikke klargjort hvordan det påvirker WDNOs praksis med hendelsesoppfølging.

WDNO har gitt gode redegjørelser som synliggjør at selskapets systemer for klassifisering av hendelser, avviksbehandling, observasjonskort, oppfølging av antall hendelser og observasjoner tilrettelegger for å fange opp fare- og ulykkessituasjoner som kan gi viktige indikasjoner om selskapets forsvarsverk mot storulykker. Selskapet fremstår som opptatt av å ta fare- og ulykkessituasjoner på alvor og trygt på at fare- og ulykkessituasjoner tas på alvor i praksis. Det er imidlertid ikke klargjort hvorvidt gjeldende praksis med innledende vurderinger av fare- og ulykkes­situasjoner bidrar til at noen typer fare- og ulykkes­situasjoner systematisk ikke fanges opp og/eller systematisk blir undervurdert.

Rammebetingelse 3: Hvilke typer årsak WDNO betrakter som viktig å undersøke nærmere

Hvorvidt praksis med hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil være avhengig av hva WDNO gir oppmerksomhet til i forbindelse med undersøkelser og granskinger av inntrufne fare- og ulykkessituasjoner. 

Gitt tilsynets tema har det vært av interesse å klargjøre hvordan WDNO tilrettelegger for at årsaksvurderingene kan fange opp informasjon om selskapets forsvarsverk mot storulykker. 

Det har vært av interesse å klargjøre hvordan granskingsmandatet og følgende granskingsprosess orienteres og avgrenses i praksis. Avgrensning er nødvendig, blant annet av ressurshensyn. Avgrensning er også viktig fordi det påvirker hva som undersøkes nærmere, og hva som ikke undersøkes videre. Det påvirker dybden og bredden av årsaksvurderingene. Dette påvirker hva som kan forstås, læres og forbedres etter hendelser.

WDNOs redegjørelser viser at både utforming av granskingsmandat, etterfølgende granskingsprosess og kontekst påvirker årsaksvurderingene i praksis.

Årsaksvurderinger: Påvirkning av granskingsmandat

DWNO har en intern veiledning som synliggjør aktuelle punkter i et granskings­mandat (jf. Ref. 8). Selskapet presiserer at dette er et veiledende dokument. Endelig granskingsmandat er resultatet av en prosess som tilpasser og utvider dette basismandatet til hver enkelt hendelse som skal granskes og til konteksten den granskes i. Selskapet redegjør for hva som påvirker hvordan endelig granskingsmandatet blir:

• Selve hendelsen påvirker mandatet. Det ansees som viktig å vurdere hvilke barrierer som har fungert og ikke fungert, det som ble gjort før arbeidet startet osv.
• Samhandling hav og land er viktig for utforming av mandatet.
• Konteksten rundt hendelsen kan påvirke mandatet. Etter West Mira-hendelsen, ble det for eksempel etterlyst en gjennomgang av WDNOs og Seadrills vurderinger og oppfølging av 22 tidligere hendelser. I etterkant av samme hendelse ble det også vurdert hensiktsmessig å bestille en gjennomgang av erfaringer med kunde/leverandør-forholdet mellom DWNO og Seadrill, med vekt på blant annet WDNOs praksis med kontraktsinngåelse og -oppfølging.
• Industrikonteksten kan også påvirke hva som skal evalueres i etterkant av en alvorlig hendelse. Tilgang til ressurser ble nevnt som et eksempel i denne sammenheng.

Gitt tilsynets tema er det av interesse å undersøke hvilke årsaksvurderinger som etterlyses i granskingsmandatet. WDNO synliggjør at endelig mandat for årsaksvurderinger i en gransking (eller dybeundersøkelse) vil reflektere det basismandatet nevner som potensielt relevante årsaksvurderinger. Basismandatet speiler punkter i veiledning til SF § 20, noe som innebærer at det kan være aktuelt at en gransking klargjør blant annet:

1. avvik fra krav, framgangsmåter og prosedyrer
2. menneskelige, tekniske og organisatoriske årsaker til fare- og ulykkessituasjonen, samt i hvilke prosesser og på hvilket nivå årsakene kan finnes,
3. hvilke barrierer som har sviktet, årsakene til at barrierene sviktet, og eventuelt hvilke barrierer som burde vært etablert,
4. hvilke barrierer som har fungert, det vil si hvilke barrierer som har bidratt til å hindre en faresituasjon i å utvikle seg til en ulykke, eller hvilke barrierer som har redusert konsekvensene av en ulykke

Det har vært av interesse å undersøke i hvor stor grad endelige granskingsmandater reflekterer årsaksvurderinger som nevnes som aktuelt i basismandatet.

Mandatene for de to ovennevnte granskingene synliggjør at endelig granskingsmandat speiler basismandatet når det etterlyses vurderinger av årsak tilknyttet etterlevelse og barrierer (jf. pkt. a), c), d) ovenfor). Det er ikke klargjort når det vurderes hensiktsmessig å etterlyse andre typer årsaker enn årsaker til barriere­svekkelse (jf. Basismandatet pkt. c) og årsaker tilknyttet etterlevelse (jf. Basismandatet pkt. a). Det er ikke klargjort når det vurderes hensiktsmessig å etterlyse «i hvilke prosesser og på hvilket nivå årsakene kan finnes», jf. Basismandatet pkt. b.

Endelig granskingsmandat etterlyser flere årsaksvurderinger enn basismandatet. Dette er tydelig for eksempel i granskingsmandater etter lekkasje til sjø fra spilloljetank (Ref. 3) og etter korrosjonsfunn under isolasjon (Ref. 9). Følgende eksempler på tilleggspunkter kan nevnes:

• Et granskingsmandat (ref. 3) uttrykker en forventning om å «evaluere godheten av inspeksjons- og vedlikeholdsprogram».
• Samme granskingsmandat uttrykker en forventning om å «vurdere hvilke konsekvenser overgangen til 4 års revisjonsintervall har hatt, samt om endringer i inspeksjons- og vedlikeholdsprogram er tilfredsstillende evaluert og dokumentert».
• Et granskingsmandat (ref. 9) uttrykker en forventning om å «evaluere robustheten av driftsorganisasjon/støttefunksjoner ombord, med tanke på kompetanse og etterlevelse».

Disse tilleggspunktene viser at granskingsmandatene tilrettelegger for å gi oppmerksomhet til flere typer årsaker enn årsaker til barrieresvekkelse (jf. Basismandatet pkt. c) og årsaker tilknyttet etterlevelse. De synligjør at granskingsmandatene også tilrettelegger for å gi oppmerksomheten til årsaker tilknyttet styringselementer som er av betydning for både teknisk og operasjonell integritet. De tilrettelegger dermed for å fange opp informasjon som kan være av betydning for forebygging av mange ulike feil, faresituasjoner og ulykker. De tilrettelegger for å fange opp informasjon av betydning for å fange opp svekkelser i selskapets forsvarsverk mot storulykker, tidlig nok og på riktig nivå.

WDNOs redegjørelser viser at granskingsmandatene er ment å orientere og avgrense årsaksvurderingene. Det er imidlertid ikke klargjort hvordan WDNO forventer at granskingsmandatene skal fortolkes og hvordan de fortolkes i praksis. Det er ikke klargjort når de fungerer i praksis som en presisering, en utvidelse eller en avgrensning av årsaksvurderingene som basismandatet åpner for. Det er ikke klargjort hvordan mandatene tilrettelegger for at årsaksvurderinger frembringer informasjon som kan styrke WDNOs forståelse av styrker og svakheter ved selskapets forsvarsverk mot storulykker.  

De endelige granskingsmandatene som er vurdert i dette tilsynet (jf. Ref. 3 og 9) etterlyser en evaluering av tilsvarende hendelser og forslag til tiltak for å forhindre tilsvarende hendelser. Det er ikke klargjort hvordan «tilsvarende» er ment å bli fortolket i praksis og hvordan det fortolkes i praksis. Det er ikke klargjort når «tilsvarende» avgrenses til tilsvarende hendelse, tilsvarende type utstyr, tilsvarende operasjon, tilsvarende innretning, samme innretning mm. Det er ikke klargjort hvordan årsaksvurderinger er ment å påvirke hva som ansees å være tilsvarende hendelser. Det er dermed ikke klargjort hvordan målet om å «forhindre tilsvarende hendelser i fremtiden» forventes å bli fortolket og hvordan det fortolkes i praksis. Det er ikke klargjort når det kan bety å unngå sammenliknbare hendelser, med tilsvarende konsekvenser, på sammenliknbart utstyr på samme innretning- og når det kan bety å unngå tilsvarende årsak i fremtiden, og være mer effektiv i å unngå hendelser, tilsvarende eller mer alvorlige hendelser, på denne og andre innretninger. Det er ikke klargjort hvilke typer årsak, i hvilke prosesser og på hvilke nivåer WDNOs mandater tilrettelegger for å hindre gjentagelse av. 

Selskapet får frem at granskingsprosessene i praksis ofte undersøker om identifiserte tekniske feil/svekkelser kan skyldes designfeil, avvik fra designforutsetninger, management of change tilknyttet tekniske modifikasjoner ol. De undersøker også om identifiserte operasjonelle feil/svekkelser kan skyldes utfordringer tilknyttet kapasitet, kompetanse, opplæring, sertifisering fra tredjepart osv. Selskapet fremstår som trygt på kvaliteten av og fokus i granskingsprosessene, og fremhever granskingslederes kompetanse og erfaring, samarbeid, åpenhet, kommunikasjon mm. 

Årsaksvurderinger: påvirkning av kontekst

Med henvisning til West Mira-hendelsen, demonstrerte selskapet at en hendelse med en høy alvorlighetsgrad (A) kan få mer oppmerksomhet enn vanlig på grunn av konteksten rundt hendelsen (offentlig oppmerksomhet, kontraktsforhold, drifts­messige konsekvenser av hendelsen).  Selskapet redegjorde for hvordan konteksten påvirket blant annet ressursbruk (etablering av en task force, involvering av eksterne ressurser mm.) og mandat for dybdeundersøkelser (Ref. 10).

Sammenliknet med mandatene for ovennevnte granskinger (jf. Ref. 3 og 9), har disse mandatene et høyere presisjons­nivå og et høyere ambisjonsnivå med tanke på læring:

• de henviser til konkrete prosesser og stiller konkrete spørsmål
• de etterlyser undersøkelser som kan frembringe informasjon om «fundamental causes»
• de gir mer eksplisitt oppmerksomhet til styringsmessige ramme­betingelser for forsvarlig virksomhet, også på selskapsnivå og utenfor en operasjonell kontekst (praksis med risikostyring, seleksjon av entreprenør, rigginntak, kontraktsstyring)
• de etterlyser en revurdering av tidligere hendelsesoppfølging uten å avgrense utvalg av tidligere hendelser til hendelser som vurderes som «tilsvarende»
• de tilrettelegge i større grad for å klargjøre årsakssammenhenger som ikke er avgrenset til en hendelsestype, en type utstyr, en type operasjon, en bestemt kontakt eller en spesifikk innretning.

West Mira-eksempelet viser at konteksten som skapes av en alvorlig hendelse kan påvirke mandat for årsaksvurderinger i praksis, både med hensyn til vinkling, bredde og dybde.

WDNO synliggjør at selskapets interne og eksterne kontekst også kan påvirke oppmerksomheten som en hendelse innledningsvis får. Selskapet viser for eksempel at en hendelse kan betraktes i lys av en tidligere endringsprosess eller i lys av industrikonteksten (tilgang til kvalifiserte personellressurser). WDNOs redegjørelser viser at selskapet støtter seg til flere systemer for å følge opp «inntrådte ulykker», «tilløp til ulykker», «samt andre uønskede tilstander som kan føre til skade». Det er vist for eksempel til systemer for hendelsesklassifisering, avviks­behandling, observasjonskort og Synergi. Disse systemene fremstår som viktige bidrag til WDNOs forståelse av aktuelle styrker og svakheter i selskapets forsvarsverk mot storulykker. Det er imidlertid ikke klargjort hvordan informasjon fra disse systemene i praksis påvirker hvilke årsakstyper, prosesser og organisasjonsnivåer som undersøkes nærmere etter inntrufne fare- og ulykkessituasjoner.

Årsaksvurderinger: Påvirkning av det selskapet anser som viktig for å unngå storulykker

Som nevnt tidligere, ga WDNO en rekke eksempler på styringsmessige forutsetninger som selskapet anser som viktige for å lykkes med å unngå storulykker. Dette gjaldt blant annet One-Team-tilnærming, kultur og verdier, åpenhet, rom for å ta opp det ubehagelige/­ubeleilige, læring, årvåkenhet for risikoer, felles risikoforståelse, prosesser etter uønskede hendelser mm.. Det er imidlertid ikke klargjort når granskings­mandatene etterlyser en vurdering av om uønskede hendelser kan skyldes at disse forutsetningene ikke fungerer som forutsatt. Det er ikke klargjort i hvor stor grad WDNOs årsaksvurderinger målrettet kan fange opp informasjon om degradering av teknisk og operasjonell integritet, og styringsmessige årsaker til slik degradering, tidlig nok og på riktig nivå. Det er ikke klargjort hvilke indirekte årsaker som ansees viktig å undersøke fordi de kan være «av betydning for om hendelsene vil inntreffe eller ikke, og konsekvensene dersom hendelsene skulle inntreffe». Det er ikke klargjort hvilke prosesser, på hvilket nivå, som ansees viktig å undersøke, utover prosesser som er direkte involvert i tekniske og operasjonelle forhold.

WDNO redegjorde også for at selskapet anser læring etter hendelser som en viktig forutsetning for å lykkes med å unngå storulykker. WDNO viser til at det er tatt grep for å styrke læring. Selskapet får frem at læring etter hendelser vurderes å kreve mer enn å dele informasjon om hendelser og granskinger. Integrasjon av læring fremheves som et mer effektivt grep enn kampanjer for å lykkes med forbedring i praksis. Det er imidlertid ikke klargjort hvordan selskapet i praksis integrerer læring fra hendelser i sine vurderinger av årsak, i hvilke prosesser og på hvilke nivåer. Følgende eksempler kan nevnes:

• WDNO fremhever for eksempel læring fra Macondo som sammen med læring fra en brønnkontroll­hendelse på Troll, har ført til forbedringer i bore- og brønnoperasjoner (land/hav-samhandling, brønnplanlegging, seminarer i forkant av spesielle operasjoner mm.). WDNO viser også til læring fra HC-lekkasjer og følgende forbedringer (krav, praksis når det gjelder utkobling av gassdetektorer, sikkerhetssystemer mm.). WDNO fremhever dessuten nytteverdien av læring på tvers av selskapene, blant annet NOROGs arbeid med HC-lekkasjer, som viser årsaker som går igjen (design, arbeidsprosesser, AT, boltetiltrekking, flenser, gasket osv.), noe WDNO bruker for å forbedre egne systemer. Det er ikke klargjort hvordan nevnte læring påvirker selskapets praksis med hendelsesoppfølging.
• WDNO fremhevet betydningen av læring blant annet for å utfordre etablerte siloer, styrke lederskap og åpenhet, samt nytteverdien av interne og eksterne læringsarenaer i denne sammenhengen. Det er imidlertid ikke klargjort når oppfølging av hendelser, enkeltvis og samlet, er ment å utfordre etablerte siloer, lederskap og åpenhet. Det er ikke klargjort når hendelses­oppfølging gjør det i praksis, i hvilke prosesser og på hvilke nivåer.
• WDNO åpnet sine redegjørelser med en «safety moment» og fremhevet betydningen av interne læringsprosesser rundt slike «safety moments» for selskapets refleksjoner rundt læring etter hendelser og praksis for ulykkesforebygging. Det er imidlertid ikke klargjort hvordan disse «safety moments» påvirker årsaksvurderingene etter inntrufne fare- og ulykkessituasjoner. Det er ikke klargjort i hvor stor grad «safety moments» forbedrer selskapets evne til å lære fra hendelser, fange opp og forstå eventuell degradering av selskapets forsvarsverk mot storulykker tidlig nok og på riktig nivå.
• WDNO synliggjør at West Mira-hendelsen er blitt fulgt opp med flere dybdeundersøkelser (jf. Ref. 10). Det blant annet utført en gjennomgang av tidligere hendelser for å klargjøre eventuelle fellesnevnere. Det er ikke klargjort i hvor stor grad og på hvilke områder oppfølging av West Mira-hendelsen har forbedret WDNOs forståelse av styrker og svakheter i selskapets forsvarsverk mot storulykker. Det er ikke klargjort hvordan oppfølging etter West Mira-hendelsen har påvirket årsaksvurderinger etter inntrufne fare- og ulykkes­situasjoner i WDNOs virksomhet. Det er ikke klargjort hvordan oppfølging etter West Mira-hendelsen har forbedret selskapets evne til å lære fra hendelser, fange opp og forstå eventuell degradering av selskapets forsvars­verk mot storulykker tidlig nok og på riktig nivå.
• Tilsynet legger til grunn at læring etter storulykker gir relevante eksempler på hvilke feil, svikt, blindsoner og misforståelser som er viktig å unngå. WDNO fremhever læring fra Macondo men gir ikke konkrete eksempler på hvilke læringspunkter selskapet er opptatt av å integrere i sine årsaksvurderinger og i sin evaluering av årsakenes alvorlighetsgrad. Ptil nevnte eksempler på mulige læringspunkter med utgangspunkt i erfaringer etter en storulykke (jf. Ref. 14 pkt. 1.6 i Executive summary). Det er ikke klargjort hvilke konkrete erfaringer fra storulykker som påvirker WDNOs gransknings­mandater og gransknings­prosesser. Det er ikke klargjort hvordan erfaringer fra storulykker påvirker selskapets årsaksvurderinger og vurderinger av årsakers alvorlighets­grad. Det er ikke klargjort hvordan selskapet i praksis integrerer læring fra storulykker i sine vurderinger av årsak, i hvilke prosesser og på hvilke nivåer.

Innenfor tilsynets tema, har det vært av interesse å klargjøre når WDNO velger å igangsette «tematiske analyser», definert som «analyser av flere hendelser der en ser på likheter og forskjeller, og på den måten prøver å trekke ut læring på tvers av flere hendelser innenfor et spesifikt område» (jf. Ref. 11, pkt. 7.4.2). Tilsynet legger til grunn at slike analyser er viktige for å fange opp årsaker som ikke kan fanges opp med oppfølging av enkelthendelser, som degraderinger som skjer over tid, både med hensyn til teknisk og operasjonell integritet. West-Mira-eksempelet viser at slike analyser kan igangsettes i etterkant av en alvorlig hendelse som skaper en spesiell kontekst (offentlig oppmerksomhet, kontrakts­forhold, drifts­messige konsekvenser av hendelsen). Dette er også et eksempel på at tematiske analyser tilrettelegger for å utfordre andre prosesser og andre nivåer enn det som undersøkes i forbindelse med oppfølging av enkelthendelser. Tematiske analyser kan bidra til en forståelse av «fundamentale causes» (jf. Ref. 10), blant annet årsak i den butte enden, på selskapsnivå. 

WDNO får klart frem at selskapet ikke venter på alvorlige hendelser for å lære og forbedre sine systemer.

• Det nevnes for eksempel at selskapet identifiserte et behov for å nedsette to arbeidsgrupper for å se nærmere på håndtering av avvik, og på oppfølging av besluttede tiltak etter unntak og avvik fra interne krav og myndighetskrav. WDNO får frem at dette har ført til forbedringer av flere styrende dokumenter på Brage, og bedre krav til beskrivelser av aksjoner, workshop for å sette riktige aksjoner, hvordan aksjoners implementering skal følges opp og av hvordan aksjonenes effekt skal vurderes.
• Selskapet fremhever betydningen av regulære prosesser for oppfølging av sikkerhetskritiske utstyr på innretningen. Disse omfatter en vurdering av årsak til svikt som eventuelt identifiseres, med den hensikt å eliminere slik årsak til svikt. WDNO nevner også oppfølging av trender på tvers av testresultater, og viser til at det har hendt at økt feilrate på en type utstyr ble registrert og at årsak tilknyttet utstyrsdesign og –modifikasjon ble identifisert og kommunisert tilbake til designmiljøet i selskapet.

Dette demonstrerer at WDNO har kontinuerlig tilgang til en mengde informasjon om viktige aspekter ved selskapets forsvarsverk mot storulykker. Eksemplene som brukes fremhever informasjon om den skarpe enden og forbedringer av forhold i den skarpe enden. Det er imidlertid ikke klargjort hvordan kunnskap om styrker og svakheter om forhold på en innretning påvirker selskapets praksis med hendelsesoppfølging.

• Det er ikke klargjort hvordan det påvirker klassifisering av enkelthendelser, hvilke typer årsak som undersøkes, i hvilke prosesser og på hvilke nivåer, og evaluering av årsakers alvorlighetsgrad.
• Det er ikke klargjort hvordan kunnskap om styrker og svakheter om forhold på en innretning påvirker tematiske analyser, når de igangsettes og hva de vektlegger.
• Det er ikke klargjort når kunnskap om styrker og svakheter om forhold på en innretning kan orientere årsaksvurderinger og tematiske analyser mot prosesser på selskapsnivå og mot selskapets læring etter hendelser.

Det er ikke klargjort i hvor stor grad gjeldende praksis med hendelsesoppfølging kan fange opp informasjon om selskapets forsvarsverk mot storulykker, tidlig nok og på riktig nivå. Det er ikke klargjort hvordan WDNOs granskingsmandat målrettet orienterer og avgrenser årsaksvurderingene slik at de kan fange opp eventuell degradering av selskapets forsvarsverk mot storulykker, tidlig nok og på riktig nivå. Det er ikke klargjort hvorvidt det er noen typer årsaker, prosesser, organisasjonsnivåer, som systematisk ikke fanges opp og/eller systematisk blir undervurdert. Dette gjelder årsaksvurderinger både ved oppfølging av enkelthendelser og ved oppfølging på tvers av hendelser.

Rammebetingelse 4: Hvordan WDNO definerer alvorlighetsgrad av en hendelse.

Hvorvidt praksis med hendelsesoppfølging er effektiv nok i lys av selskapets intensjon om å unngå storulykker vil også være avhengig av når WDNO betrakter en hendelse som alvorlig i lys av selskapets intensjon om å unngå storulykker. Forståelse av alvorlighetsgrad påvirker varsling og beredskap. Det påvirker etter hvert også de undersøkelsene som følger en hendelse og vil avgjøre hvilken informasjon som frembringes, hvilken læring som trekkes og hvor det vurderes nødvendig å forbedre selskapets forsvarsverk mot storulykker.

Som redegjort for ovenfor, bidrar klassifiseringssystemet til at en hendelses alvorlighetsgrad (inklusivt storulykkespotensiale) innledningsvis blir vurdert med utgangspunkt i en konsekvensvurdering. WDNO redegjør for at granskingsmandatet eksplisitt kan etterlyse en evaluering av en hendelses innledende klassifisering. En reklassifisering er mulig når en gransking konkluderer at den innledende klassifisering av en hendelses alvorlighetsgrad var feil. Det er ikke klargjort i hvor stor grad årsaks­vurderinger i en gransking påvirker reklassifiseringen.  Det er ikke klargjort i hvor stor grad årsaks­vurderinger i en gransking kan endre selskapets innledende vurderinger av en hendelses alvorlighetsgrad. Det er ikke klargjort hvorvidt WDNO kan vurdere storulykkespotensiale som en hendelse informerer om, på forskjellige måte før og etter en gransking.

Det er ikke klargjort hvordan WDNO skiller mellom alvorlighetsgrad av en hendelses konsekvenser, alvorlighetsgrad av en hendelse, og alvorlighetsgrad av informasjon som frembringes i en gransking. 

I konklusjon, er det ikke klargjort i hvor stor grad gjeldende praksis med hendelses­oppfølging kan fungere etter hensikten og bidra til at nødvendige forbedringer av selskapets forsvarsverk mot storulykker kan identifiseres tidlig nok og på riktig nivå.

Det er ikke klargjort hvorvidt gjeldende praksis med innledende vurderinger og videre undersøkelse av inntrufne fare- og ulykkes­situasjoner er dekkende til dette formålet. Det er ikke klargjort om det er noen typer fare- og ulykkes­situasjoner som systematisk ikke fanges opp og/eller systematisk blir undervurdert. Det er ikke klargjort om det er noen typer årsak, i noen prosesser og på noen nivåer, som systematisk ikke fanges opp og/eller undervurderes.

Eksemplene som WDNO fremhever i tilsynet angår Brage og West Mira. Det er ikke klargjort hvorvidt det er forskjeller i gjeldende praksis med oppfølging av inntrufne fare- og ulykkessituasjoner på undervannsinnretninger.