Nel 2005, un’esplosione nella raffineria BP di Texas City uccise 15 persone, ne ferì più di 170 e causò perdite quantificate in miliardi: danni agli asset, produzione persa, sanzioni e transazioni. Gli investigatori non indicarono una sola valvola guasta. Misero in evidenza criticità diffuse nelle procedure, nella formazione e nei controlli operativi: lo stesso ambito disciplinato dallo standard OSHA sulla gestione della sicurezza dei processi.

Due decenni dopo, la maggior parte degli impianti ad alto rischio può esibire un raccoglitore PSM. Gli eventi gravi continuano comunque a verificarsi, compresa un’esplosione in una raffineria di Port Arthur, in Texas, nel marzo 2026. Il modello scomodo è familiare: i 14 elementi esistono sulla carta, ma non sono collegati, aggiornati né allineati al modo in cui l’unità opera realmente.

Negli impianti a processo continuo, le prestazioni di sicurezza dipendono dal fatto che i controlli documentati corrispondano ancora alle apparecchiature, alle persone e agli appaltatori presenti durante il turno, non da quanto sia completo l’archivio.

Teatro della conformità contro sistema realmente operativo

Il PSM è composto da 14 elementi. Tuttavia, non funziona come 14 attività indipendenti. L’efficacia dipende dal modo in cui tali elementi vengono applicati, collegati e mantenuti nel tempo. Il più comune fattore di insuccesso è manageriale: trattare il PSM come un insieme di requisiti da soddisfare anziché come un sistema da gestire.

Le analisi dei rischi, le procedure, la formazione e i programmi di manutenzione possono apparire tutti completi. Quando non sono collegati o non vengono mantenuti insieme, si aprono lentamente delle lacune. Poiché queste attività raramente emergono nei dati quotidiani di produzione, la pressione produttiva a breve termine prevale. Nel tempo, il programma diventa documentazione sul lavoro, non una descrizione fedele del lavoro.

Il deterioramento emerge inizialmente nelle procedure obsolete, nei disegni non aggiornati dopo le modifiche alle apparecchiature e negli audit o nelle revisioni rimandati. Nessuna di queste lacune, presa singolarmente, appare catastrofica. Insieme, però, indicano che il programma “conforme” non descrive più le condizioni attuali.

Le sale controllo rendono visibile più rapidamente il divario: gli operatori eseguono ciò che l’impianto consente, non ciò che affermava la procedura dell’anno scorso.

Indagini che si fermano al conteggio degli infortuni

Le indagini sugli incidenti spesso sono proporzionate all’esito. Ai quasi incidenti viene dedicata un’analisi superficiale, mentre agli eventi gravi viene riservato un esame approfondito. Le cause sottostanti possono però essere identiche. Classificare gli eventi in base alle potenziali conseguenze e alla probabilità di recidiva offre un quadro dell’esposizione più chiaro che aspettare di vedere sangue sul pavimento.

Ciò che accade dopo il rapporto conta più della sua lunghezza. Se i risultati non modificano mai procedure, formazione o configurazione del sistema, le stesse condizioni rimangono pronte a produrre conseguenze. Gli impianti che trattano l’apprendimento come semplice burocrazia facoltativa ripropongono gli stessi scenari con date diverse.

Appaltatori e punto cieco oltre il perimetro

La gestione degli appaltatori introduce un secondo profilo di rischio. Il programma di sicurezza aziendale di un appaltatore può essere autentico e tuttavia non essere allineato alle aspettative di un impianto soggetto al PSM. Queste discrepanze sono facili da non notare fino alla mobilitazione. Le riunioni preliminari alla gara, i chiarimenti sulle offerte e la pianificazione pre-mobilitazione sono i momenti in cui le aspettative EHS devono essere portate alla luce. Senza questo allineamento, le differenze nella pianificazione e nell’esecuzione diventano energia latente nella catena dei permessi di lavoro.

Gli strati hardware e software che impongono interventi di blocco, allarmi e logiche permissive fanno parte della stessa storia di integrità. I team che mantengono in condizioni affidabili le apparecchiature installate spesso partono da piattaforme già presenti in sito, ad esempio consultando l’hardware di controllo Honeywell per architetture di processo e adiacenti alla sicurezza, oppure verificando i percorsi di protezione degli asset rotanti tramite la strumentazione per la protezione dei macchinari quando le funzioni di vibrazione e sovravelocità devono restare indipendenti dalla normale logica di processo.

Gli impianti ad alto rischio raramente falliscono per l’assenza di una sezione nel raccoglitore; falliscono quando piccole discrepanze si accumulano fino a quando una protezione non svolge più la funzione che la valutazione dei rischi aveva ipotizzato.

Visibilità: audit che misurano le prestazioni, non i raccoglitori

Molte organizzazioni non sono in grado di rispondere a una domanda semplice: quanto sta funzionando il PSM in questo momento? La completezza dei documenti non equivale alle prestazioni. Gli audit di conformità, richiesti almeno ogni tre anni, e le valutazioni strutturate delle lacune creano una base per stabilire le priorità degli interventi correttivi. Senza questa periodicità, il “miglioramento” resta reattivo: un altro incidente, un’altra azione temporanea, un altro responsabile dimenticato.

In tutte queste modalità di insuccesso, il modello è coerente. Le criticità raramente si manifestano come un singolo elemento mancante. Si accumulano mentre l’impianto reale cambia e il sistema scritto rimane invariato. Le protezioni sembrano quindi intatte, mentre la loro efficacia nel mondo reale si deteriora.

Il verdetto operativo

Spuntare le caselle OSHA dimostra che si è in grado di raccogliere le evidenze. Non dimostra di essere in grado di prevenire il prossimo evento di perdita del contenimento. Un programma PSM efficace richiede una chiara visibilità sulle prestazioni, lacune classificate per priorità e un’attuazione coerente che riscriva il modo in cui viene svolto il lavoro: procedure, formazione, interfacce con gli appaltatori e strati di controllo che le rendono effettive.

Quando tali rischi non vengono né compresi né gestiti, le piccole disconnessioni si aggravano. Il raccoglitore continua a sembrare conforme. L’impianto no.