Vì sao các chương trình Quản lý An toàn Quy trình vẫn thất bại ngay cả khi đã đáp ứng đầy đủ các yêu cầu của OSHA

Năm 2005, một vụ nổ tại nhà máy lọc dầu BP ở thành phố Texas đã khiến 15 người thiệt mạng, hơn 170 người bị thương và gây ra tổn thất lên đến hàng tỷ đô la—bao gồm hư hại tài sản, mất sản lượng, các khoản phạt và chi phí dàn xếp. Các nhà điều tra không quy nguyên nhân cho một van bị hỏng duy nhất. Họ chỉ ra những sai sót trong quy trình, đào tạo và các biện pháp kiểm soát vận hành—những lĩnh vực mà tiêu chuẩn Quản lý An toàn Quy trình (PSM) của OSHA bao quát.

Hai thập kỷ sau, hầu hết các cơ sở có mức nguy hiểm cao đều có thể xuất trình một bộ hồ sơ PSM. Tuy vậy, các sự cố nghiêm trọng vẫn xảy ra, bao gồm vụ nổ nhà máy lọc dầu tại Port Arthur, Texas vào tháng 3 năm 2026. Mô hình đáng lo ngại này rất quen thuộc: 14 yếu tố vẫn tồn tại trên giấy tờ, nhưng không được kết nối, không được cập nhật và không phù hợp với cách phân xưởng thực sự vận hành.

Tại các cơ sở vận hành quy trình liên tục, hiệu quả an toàn được quyết định bởi việc các biện pháp kiểm soát được lập thành văn bản có còn phù hợp với thiết bị, nhân sự và nhà thầu trong ca làm việc hay không—chứ không phải bởi tủ hồ sơ trông đầy đủ đến mức nào.

Trình diễn tuân thủ so với một hệ thống được vận hành thực sự

PSM được xây dựng từ 14 yếu tố. Tuy nhiên, nó không hoạt động như 14 nhiệm vụ độc lập. Hiệu quả đến từ cách các yếu tố đó được áp dụng, liên kết và duy trì. Hình thức thất bại phổ biến nhất nằm ở cấp quản lý: coi PSM là các yêu cầu cần đáp ứng thay vì một hệ thống cần vận hành.

Các phân tích mối nguy, quy trình, chương trình đào tạo và bảo trì có thể đều trông hoàn chỉnh. Nhưng khi chúng không được kết nối hoặc không được duy trì đồng bộ, các lỗ hổng sẽ âm thầm xuất hiện. Vì những hoạt động này hiếm khi thể hiện qua sản lượng hằng ngày, áp lực sản xuất ngắn hạn sẽ chiếm ưu thế. Theo thời gian, chương trình trở thành tài liệu nói về công việc—chứ không còn là mô tả trung thực về công việc.

Sự sai lệch trước tiên thể hiện qua các quy trình lỗi thời, bản vẽ chậm cập nhật sau khi thiết bị thay đổi và các cuộc kiểm toán hoặc rà soát bị trì hoãn. Không lỗ hổng nào trong số đó trông có vẻ thảm khốc nếu xét riêng lẻ. Nhưng cộng lại, chúng cho thấy chương trình “tuân thủ” không còn mô tả đúng các điều kiện hiện tại.

Phòng điều khiển bộc lộ khoảng cách này nhanh nhất: nhân viên vận hành thực hiện những gì nhà máy cho phép, không phải những gì quy trình năm ngoái tuyên bố.

Điều tra chỉ dừng lại ở số người bị thương

Việc điều tra sự cố thường được tiến hành tương xứng với hậu quả. Sự cố suýt xảy ra thường chỉ được xem xét sơ bộ; các sự cố nghiêm trọng được điều tra sâu hơn. Nhưng nguyên nhân nền tảng có thể giống hệt nhau. Xếp hạng sự cố theo hậu quả tiềm ẩn và khả năng tái diễn sẽ cho thấy mức độ phơi nhiễm rõ ràng hơn việc chờ đến khi có người bị thương.

Điều xảy ra sau báo cáo quan trọng hơn độ dài của báo cáo. Nếu các phát hiện không bao giờ dẫn đến việc sửa đổi quy trình, đào tạo hoặc cấu hình hệ thống, những điều kiện tương tự vẫn tiếp tục tồn tại. Các nhà máy coi việc rút kinh nghiệm là thủ tục giấy tờ không bắt buộc sẽ lặp lại cùng một kịch bản dưới những ngày tháng mới.

Nhà thầu và điểm mù bên ngoài hàng rào

Quản lý nhà thầu đưa vào một hồ sơ rủi ro thứ hai. Chương trình an toàn doanh nghiệp của nhà thầu có thể là thực chất—nhưng vẫn không phù hợp với yêu cầu của một cơ sở thuộc phạm vi PSM. Những điểm không tương thích này rất dễ bị bỏ sót cho đến khi triển khai. Các cuộc họp trước đấu thầu, làm rõ hồ sơ mời thầu và lập kế hoạch trước khi huy động là những thời điểm cần buộc các yêu cầu về EHS phải được nêu rõ. Nếu không có sự thống nhất đó, khác biệt trong lập kế hoạch và thực hiện sẽ trở thành nguồn năng lượng tiềm ẩn trong chuỗi cấp phép công việc.

Các lớp phần cứng và phần mềm thực thi chức năng dừng, cảnh báo và logic cho phép cũng nằm trong cùng câu chuyện về tính toàn vẹn. Những đội ngũ duy trì nền tảng thiết bị đã lắp đặt thường bắt đầu từ các nền tảng đã có sẵn tại cơ sở—dù đó là xem phần cứng điều khiển Honeywell cho các kiến trúc liên quan đến quy trình và an toàn, hay xác nhận các tuyến bảo vệ tài sản quay thông qua thiết bị đo bảo vệ máy móc khi các chức năng bảo vệ rung động và quá tốc phải duy trì độc lập với logic quy trình thông thường.

Các cơ sở có mức nguy hiểm cao hiếm khi thất bại chỉ vì thiếu một phần trong bộ hồ sơ; chúng thất bại khi những sai lệch nhỏ tích tụ cho đến khi một biện pháp bảo vệ không còn thực hiện đúng chức năng mà đánh giá rủi ro đã giả định.

Tính minh bạch: các cuộc kiểm toán đo lường hiệu quả, không phải hồ sơ

Nhiều tổ chức không thể trả lời một câu hỏi đơn giản: PSM đang hoạt động tốt đến mức nào ngay lúc này? Tài liệu đầy đủ không đồng nghĩa với hiệu quả. Các cuộc kiểm toán tuân thủ—bắt buộc ít nhất ba năm một lần—và các đánh giá khoảng cách có cấu trúc tạo ra cơ sở ban đầu để ưu tiên khắc phục. Nếu thiếu nhịp độ này, “cải tiến” sẽ chỉ mang tính phản ứng: thêm một sự cố, thêm một hạng mục hành động tạm thời, thêm một người chịu trách nhiệm bị lãng quên.

Qua các dạng thất bại này, mô hình luôn nhất quán. Sự cố hiếm khi bắt đầu từ một yếu tố duy nhất bị thiếu. Chúng tích tụ khi nhà máy thực tế thay đổi còn hệ thống văn bản thì không. Khi đó, các biện pháp bảo vệ vẫn trông nguyên vẹn trong khi hiệu quả thực tế của chúng suy giảm.

Kết luận về vận hành

Việc đánh dấu các mục OSHA chứng minh rằng bạn có thể tập hợp bằng chứng. Điều đó không chứng minh bạn có thể ngăn chặn sự cố mất kiểm soát môi chất tiếp theo. Một chương trình PSM hiệu quả cần khả năng quan sát rõ ràng về hiệu suất, các khoảng cách được xếp hạng và việc theo sát đến cùng để thay đổi cách công việc được thực hiện—bao gồm quy trình, đào tạo, giao diện với nhà thầu và các lớp điều khiển thực thi chúng.

Khi những rủi ro đó không được hiểu rõ hoặc quản lý, các điểm ngắt kết nối nhỏ sẽ leo thang. Bộ hồ sơ vẫn trông như tuân thủ. Nhà máy thì không.