Perché i programmi di gestione della sicurezza dei processi falliscono anche quando tutte le caselle dell’OSHA sono spuntate

Nel 2005, un’esplosione nella raffineria BP di Texas City uccise 15 persone, ne ferì più di 170 e causò perdite quantificate in miliardi: danni agli impianti, mancata produzione, sanzioni e risarcimenti. Gli investigatori non individuarono una sola valvola guasta. Misero in luce carenze nelle procedure, nella formazione e nei controlli operativi: lo stesso ambito disciplinato dallo standard OSHA sulla gestione della sicurezza dei processi.

Due decenni dopo, la maggior parte degli impianti ad alto rischio può mostrare un raccoglitore PSM. Eppure continuano a verificarsi incidenti gravi, tra cui l’esplosione di una raffineria avvenuta nel marzo 2026 a Port Arthur, in Texas. Lo schema scomodo è familiare: i 14 elementi esistono sulla carta, ma non sono collegati tra loro, non sono aggiornati e non sono allineati al funzionamento effettivo dell’unità.

Negli impianti a processo continuo, le prestazioni di sicurezza dipendono dal fatto che i controlli documentati corrispondano ancora alle apparecchiature, alle persone e agli appaltatori presenti in turno, non da quanto sembri completo l’archivio.

Teatro della conformità contro sistema operativo

Il PSM è composto da 14 elementi. Non funziona come 14 attività indipendenti. La sua efficacia dipende da come questi elementi vengono applicati, collegati e mantenuti nel tempo. La modalità di fallimento più comune è gestionale: trattare il PSM come un insieme di requisiti da soddisfare, anziché come un sistema da gestire.

Le analisi dei rischi, le procedure, la formazione e i programmi di manutenzione possono sembrare tutti completi. Quando non sono collegati o non vengono mantenuti insieme, si creano silenziosamente delle lacune. Poiché queste attività raramente si riflettono nella produzione giornaliera, la pressione produttiva a breve termine prevale. Con il tempo, il programma diventa documentazione sul lavoro, non una descrizione fedele del lavoro.

Il deterioramento emerge dapprima nelle procedure obsolete, nei disegni non aggiornati dopo le modifiche alle apparecchiature e negli audit o riesami posticipati. Nessuna di queste lacune, presa singolarmente, sembra catastrofica. Insieme indicano che il programma “conforme” non descrive più le condizioni attuali.

Le sale controllo rendono evidente il divario più rapidamente: gli operatori eseguono ciò che l’impianto consente, non ciò che dichiarava la procedura dell’anno scorso.

Indagini che si fermano al conteggio degli infortuni

Le indagini sugli incidenti spesso si adattano alla gravità dell’esito. Ai quasi incidenti viene dedicata un’analisi superficiale; agli eventi gravi, un’analisi approfondita. Le cause profonde possono essere identiche. Classificare gli eventi in base alle potenziali conseguenze e alla probabilità di ricorrenza offre un quadro dell’esposizione più chiaro che aspettare di vedere sangue sul pavimento.

Ciò che accade dopo il rapporto conta più della sua lunghezza. Se i risultati non riscrivono mai le procedure, la formazione o la configurazione del sistema, le stesse condizioni restano pronte a produrre conseguenze. Gli impianti che considerano l’apprendimento una semplice formalità riciclano gli stessi scenari con date diverse.

Appaltatori e punto cieco oltre la recinzione

La gestione degli appaltatori introduce un secondo profilo di rischio. Il programma di sicurezza aziendale di un appaltatore può essere autentico e tuttavia non essere allineato alle aspettative di un impianto soggetto al PSM. Queste discrepanze sono facili da non rilevare fino alla mobilitazione. Le riunioni pre-gara, i chiarimenti sulle offerte e la pianificazione pre-mobilitazione sono i momenti in cui le aspettative EHS devono essere rese esplicite. Senza questo allineamento, le differenze nella pianificazione e nell’esecuzione diventano energia latente nella gestione dei permessi di lavoro.

Gli strati hardware e software che impongono arresti, allarmi e logiche di consenso rientrano nella stessa storia di integrità. I team che mantengono in efficienza le basi installate spesso partono dalle piattaforme già presenti in sito: ciò può significare consultare l’hardware di controllo Honeywell per architetture di processo e adiacenti alla sicurezza, oppure verificare i percorsi di protezione degli asset rotanti tramite la strumentazione per la protezione dei macchinari quando le funzioni di vibrazione e sovravelocità devono rimanere indipendenti dalla normale logica di processo.

Gli impianti ad alto rischio raramente falliscono per l’assenza di una sezione nel raccoglitore; falliscono quando piccole discrepanze si accumulano finché una barriera di sicurezza non svolge più la funzione prevista dalla valutazione dei rischi.

Visibilità: audit che misurano le prestazioni, non i raccoglitori

Molte organizzazioni non sanno rispondere a una domanda semplice: quanto sta funzionando il PSM in questo momento? La completezza dei documenti non equivale alle prestazioni. Gli audit di conformità, richiesti almeno ogni tre anni, e le valutazioni strutturate delle lacune creano una base per stabilire le priorità degli interventi correttivi. Senza questa cadenza, il “miglioramento” resta reattivo: un altro incidente, un’altra azione temporanea, un altro responsabile dimenticato.

In tutte queste modalità di fallimento, lo schema è coerente. Le carenze raramente si manifestano come un singolo elemento mancante. Si accumulano mentre l’impianto reale cambia e il sistema scritto resta fermo. Le barriere di sicurezza sembrano quindi intatte, mentre la loro efficacia nel mondo reale si deteriora.

Il verdetto operativo

Spuntare le caselle OSHA dimostra che si è in grado di raccogliere le evidenze. Non dimostra di essere in grado di prevenire il prossimo evento di perdita di contenimento. Un programma PSM efficace richiede una visibilità chiara delle prestazioni, lacune classificate per priorità e un seguito concreto che riscriva il modo in cui viene svolto il lavoro: procedure, formazione, interfacce con gli appaltatori e strati di controllo che li fanno rispettare.

Quando questi rischi non vengono né compresi né gestiti, le piccole disconnessioni degenerano. Il raccoglitore continua a sembrare conforme. L’impianto no.