La cultura della sicurezza nello stabilimento produttivo: come limitare l’elusione dei dispositivi di protezione senza entrare in conflitto con la produzione

Eludere i dispositivi di sicurezza è un segnale di progetto, non solo un problema disciplinare

L’elusione dei dispositivi di sicurezza in una postazione produttiva, nella maggior parte dei casi, non nasce da una sottovalutazione del rischio, ma dal tentativo dell’operatore di mantenere il ritmo di lavoro, la qualità del prodotto o l’accesso all’area operativa all’interno di un processo organizzato male. Se svolgere il compito secondo istruzioni significa allungare i tempi di cambio formato, rendere più difficile rimuovere un inceppamento o provocare una serie di arresti inutili, l’aggiramento non è un evento eccezionale, ma una risposta prevedibile al conflitto tra sicurezza, ergonomia ed esigenze produttive. Proprio per questo il primo errore gestionale è personalizzare il problema e cercare i “colpevoli” prima che l’azienda abbia capito quando, perché e in quali condizioni i dispositivi di sicurezza vengono elusi. È una reazione organizzativamente comoda, ma di solito nasconde la vera origine del fenomeno: decisioni di progetto che hanno reso la scorciatoia una scelta razionale.

Dal punto di vista del responsabile di produzione, della sicurezza sul lavoro e della manutenzione, questo richiede un cambio di impostazione. La cultura della sicurezza non consiste nel moltiplicare divieti, firme sulle istruzioni e ulteriori richiami, ma nel progettare la postazione e le regole operative in modo che il comportamento sicuro sia anche il più semplice e il più rapido. Se un riparo rallenta il cambio formato, un interruttore con blocco rende difficile l’accesso durante un intervento breve, una barriera fotoelettrica limita la visibilità o il sistema di comando genera arresti intempestivi, il problema non si esaurisce nel comportamento della persona. Entrano in gioco l’ergonomia della postazione, la logica di funzionamento della macchina, il modo in cui è organizzata la risposta alle anomalie e, spesso, anche la progettazione in funzione delle esigenze di manutenzione. In pratica non è l’operatore a “combattere contro la sicurezza”, ma è il sistema di lavoro a metterlo di fronte alla scelta tra risultato e rispetto delle ipotesi di progetto. In questi casi conta anche il progetto del processo e della postazione affinché il lavoro sicuro sia anche il più rapido.

Questo emerge con particolare chiarezza nelle situazioni operative più semplici. La linea funziona correttamente nel ciclo nominale, ma più volte per turno richiede l’accesso alla zona pericolosa, perché il pezzo si incastra, il sensore perde la posizione oppure uno scarto provoca un microfermo. Se ogni intervento di questo tipo comporta un arresto completo, un riavvio lungo e la perdita di continuità del processo, dal punto di vista dell’operatore l’elusione del dispositivo di sicurezza diventa un modo per rispettare il piano. In questi casi vale la pena misurare non solo le violazioni delle regole, ma anche il numero di interventi che richiedono l’ingresso nella zona, la frequenza degli inceppamenti e dei riavvii dopo l’intervento dei dispositivi di sicurezza, nonché la differenza tra il tempo ciclo previsto e quello reale. Di norma questo fornisce un quadro più utile del solo audit comportamentale, perché mostra dove si stanno realmente accumulando costi e rischi. Quando l’intervento richiede isolamento delle energie e ripartenza in sicurezza, sono decisive anche le procedure di arresto sicuro e di intervento di tipo Lockout/Tagout.

Una diagnosi seria deve quindi comprendere il lavoro reale, non soltanto le istruzioni, la valutazione dei rischi redatta al collaudo o le ipotesi tecnologiche. La differenza tra questi due piani spiega molto spesso l’origine delle elusioni. Bisogna osservare la postazione durante un normale turno, nei cambi di prodotto, durante la pulizia, lo sblocco e il riavvio dopo un fermo: solo allora diventa chiaro quali dispositivi di sicurezza vengono aggirati più spesso e perché. Nel contesto polacco ed europeo della conformità, questo ha un’importanza fondamentale, perché l’obbligo di garantire l’uso sicuro della macchina non si esaurisce con la sua dotazione formale di mezzi di protezione. Se il modo in cui il lavoro è organizzato o una prassi operativa consolidata portano a eludere sistematicamente i dispositivi di sicurezza, per il datore di lavoro e per i responsabili del processo questo è il segnale che occorre verificare non solo la disciplina, ma anche l’adeguatezza delle soluzioni tecniche adottate, delle procedure e della supervisione e, se necessario, riesaminare l’analisi dei rischi della postazione. In altre parole, la responsabilità per l’uso sicuro della macchina non si esaurisce nella sola conformità formale, come mostra anche il tema della responsabilità legata all’utilizzo sicuro della macchina oltre la conformità documentale.

Il costo dell’elusione cresce dove l’organizzazione non vede il lavoro reale

Le conseguenze più costose dell’elusione dei dispositivi di sicurezza raramente compaiono per prime nel registro degli infortuni. Prima che si verifichi un evento lesivo, l’azienda di solito paga a lungo in altri modi: il processo diventa instabile, la rimozione degli inceppamenti entra nella routine, aumenta il numero delle riparazioni provvisorie e la qualità comincia a dipendere da chi in quel momento si trova alla macchina. Proprio per questo il problema non va valutato esclusivamente attraverso il prisma del singolo incidente. Se un dispositivo di sicurezza viene aggirato con regolarità, significa che l’organizzazione ha accettato il costo nascosto di un lavoro quotidiano in deviazione dalle condizioni previste. In pratica conviene allora osservare non solo i fermi, ma anche il numero di interventi nella zona pericolosa per turno, il tempo perso per lo sblocco manuale e il reset del sistema, la ripetitività dei guasti dopo il funzionamento in modalità di bypass e il peso di questi eventi nelle analisi dei fermi e delle deviazioni qualitative. Questo offre un quadro sufficientemente preciso per decidere, senza creare un’illusione di precisione.

Alla base c’è quasi sempre un compromesso impostato male tra disponibilità della macchina, ritmo produttivo e sicurezza degli interventi. La direzione spesso vede solo l’effetto: fermo impianto, piano non raggiunto, reclamo oppure incidente segnalato. Non vede invece che l’origine sta in scelte progettuali e organizzative: cambi formato troppo frequenti senza il tempo necessario per preparare la postazione in sicurezza, rimozione manuale degli inceppamenti incorporata nel normale flusso di lavoro, sequenza di riavvio poco chiara, posizionamento inadeguato dei dispositivi di protezione oppure mancata eliminazione definitiva della causa tecnica. In queste condizioni, aggirare una protezione non è un “errore umano” nel senso più semplice del termine, ma una risposta prevedibile a un determinato sistema di incentivi. È anche il momento in cui il tema smette di essere soltanto operativo. Se gli aggiramenti noti vengono tollerati, la decisione di non eliminarli diventa una decisione manageriale, paragonabile a qualsiasi altra scelta di accettare il costo del fermo invece del costo dell’ammodernamento.

L’esempio più evidente riguarda le macchine sulle quali contano tempi di cambio formato ridotti e un rapido ritorno in servizio dopo un inceppamento. Se l’operatore sa che l’arresto formale, l’isolamento dell’energia, l’accesso secondo procedura e il successivo riavvio richiederanno più tempo di un intervento “rapido” attraverso una protezione aggirata, è l’organizzazione stessa a suggerirgli la scorciatoia. Dall’esterno sembra una singola violazione, ma dal punto di vista del processo si crea uno standard di lavoro parallelo e informale. La formazione non lo contempla, le istruzioni non lo descrivono, l’analisi del rischio non lo considera e la responsabilità formale di solito fa finta che non esista. Eppure è proprio questo standard informale a determinare la produttività della linea, la qualità del prodotto e la reale disponibilità della macchina. Più a lungo questa situazione si protrae, più lo stabilimento diventa dipendente dagli operatori “esperti”, che sanno come aggirare il problema senza fermare la produzione. È un segnale molto negativo per la maturità della supervisione di linea, perché significa che la stabilità del processo non deriva da un lavoro ben progettato, ma da pratiche locali e dalla memoria degli addetti.

La mancata reazione agli aggiramenti noti ha anche un altro costo, più difficile da riportare in un foglio di calcolo ma molto rilevante: mina la credibilità dei responsabili. Gli operatori capiscono in fretta se l’azienda vuole davvero un lavoro sicuro oppure soltanto una conferma formale del rispetto delle regole. Se il responsabile interviene solo dopo un incidente, mentre prima tollera l’aggiramento di ripari, interblocchi o il lavoro in zona pericolosa durante la rimozione degli inceppamenti, il messaggio è inequivocabile: conta il risultato, finché non accade nulla di grave. In un contesto del genere, segnalare gli aggiramenti diventa politicamente rischioso e la gestione delle deviazioni si trasforma in una finzione. Per questo la prima decisione non è sempre una lunga misurazione dell’ampiezza del fenomeno; a volte occorre avviare in parallelo semplici correzioni tecniche e organizzative dove la causa è evidente, e nello stesso tempo iniziare a raccogliere dati su interventi, riavvii e deviazioni qualitative. Solo su questo sfondo si capisce se il problema richiede un’escalation alla direzione di stabilimento, modifiche alle procedure di arresto sicuro e di intervento tipo Lockout/Tagout, oppure un ammodernamento più ampio delle protezioni e una revisione della logica delle funzioni di sicurezza.

Nella realtà italiana ed europea questo aspetto ha rilievo non solo sul piano organizzativo, ma anche su quello della conformità. Il solo fatto che una macchina sia formalmente dotata di mezzi di protezione non esaurisce la responsabilità del datore di lavoro né di chi sovrintende al lavoro, se la prassi operativa nota consiste nel loro aggiramento. Se l’aggiramento è diventato parte dell’organizzazione quotidiana del lavoro, allora il problema non riguarda più un singolo comportamento, ma l’adeguatezza delle misure tecniche adottate, delle istruzioni, della vigilanza e delle modalità con cui vengono fatte rispettare le regole. Per questo il costo dell’aggiramento non va presentato come un astratto “rischio per la sicurezza sul lavoro”, ma come costo complessivo di un processo instabile, di deviazioni qualitative, di manutenzione d’emergenza e di indebolimento della responsabilità manageriale. Un modo di descrivere il problema di questo tipo, di norma, prepara meglio il terreno a una decisione di investimento rispetto al solo richiamo a una maggiore disciplina.

Occorre cambiare le condizioni in cui decide l’operatore

Se un operatore aggira regolarmente una protezione, di solito non è perché scelga consapevolmente un rischio maggiore, ma perché in quella specifica organizzazione del lavoro tale scelta gli appare come il modo più rapido per portare a termine il compito. Il conflitto emerge quando bisogna mantenere allo stesso tempo ritmo produttivo, qualità e puntualità, mentre la protezione adottata rende più difficile l’accesso al punto di anomalia, l’osservazione del processo oppure un semplice intervento dopo un piccolo arresto. In pratica, sono proprio queste situazioni che vanno descritte per prime: con quale tipo di anomalia l’operatore entra nella zona pericolosa, quante operazioni richiede l’arresto in sicurezza, quanti riavvii e quante conferme di allarme sono necessari alla ripresa e quanto tempo richiede il metodo conforme alle regole rispetto alla prassi di aggiramento. Solo una mappa di questo tipo degli interventi mostra se l’origine del problema sta nella progettazione della postazione, nella logica di funzionamento della macchina, in regole incoerenti per il cambio formato o nel modo in cui viene misurato il risultato. Senza questo passaggio, lo stabilimento finisce molto facilmente per scambiare una violazione delle regole con un lavoro progettato male.

Una reazione efficace quasi mai si riduce a un solo intervento. Occorre modificare le condizioni in cui l’operatore prende le proprie decisioni, in modo che il metodo sicuro sia anche praticabile dal punto di vista organizzativo. Alcune cause si possono eliminare senza una modernizzazione completa: migliorare la taratura dei sensori, ridurre gli arresti intempestivi, semplificare l’accesso per la manutenzione nei punti in cui si verificano più spesso i disturbi, eliminare i riavvii inutili, rendere più chiara la logica di conferma degli allarmi oppure uniformare la sequenza delle operazioni durante il cambio formato. Se però l’aggiramento deriva dall’architettura stessa della postazione, può rendersi necessaria una modifica della struttura dei ripari, del modo di alimentazione del materiale, della sequenza dei movimenti o della progettazione degli interventi in caso di anomalia. Parallelamente, vanno corretti anche gli indicatori che, senza volerlo, premiano scorciatoie rischiose: il capoturno e il responsabile di turno devono avere la reale facoltà di fermare il processo senza subire conseguenze per un calo temporaneo della prestazione, se altrimenti non è possibile lavorare in modo sicuro e stabile. In caso contrario, l’organizzazione trasmette due messaggi contraddittori: formalmente pretende il rispetto delle regole, ma nella pratica premia il loro aggiramento.

Gli errori più frequenti si commettono quando gli operatori vengono coinvolti solo per approvare una soluzione già pronta. Il loro contributo serve prima, nella fase in cui si individua dove la procedura non coincide con il lavoro reale. Brevi osservazioni sul posto e colloqui con operatori, capiturno e manutenzione di solito mettono rapidamente in evidenza i punti in cui l’istruzione presuppone uno svolgimento ideale, mentre l’esercizio quotidiano si basa su disturbi piccoli ma ricorrenti. In uno stabilimento con molti aggiramenti simili su linee diverse, non conviene iniziare con una revisione dell’intero parco macchine con lo stesso livello di dettaglio. È più ragionevole incrociare due criteri: la frequenza degli interventi e la potenziale gravità delle conseguenze. Le postazioni in cui le anomalie sono quotidiane generano più rapidamente pressione verso le scorciatoie; le postazioni meno frequenti, ma con un danno potenziale elevato, possono richiedere una limitazione immediata dell’attività oppure la sua sospensione fino all’eliminazione della causa. Questo rientra già nell’ambito della gestione del cambiamento tecnico e organizzativo, in cui occorre attribuire con chiarezza la responsabilità dell’azione tra produzione, sicurezza sul lavoro e manutenzione, senza diluire le responsabilità.

• Per prima cosa si eliminano le cause evidenti e ricorrenti che rendono prevedibile l’aggiramento.
• Successivamente si confrontano il tempo e il numero di operazioni richiesti dal metodo sicuro e dalla prassi di aggiramento.
• Se la differenza dipende dalla progettazione della postazione o dalla logica di comando, serve una modifica tecnica, non un’altra istruzione.

Solo su queste basi ha senso un richiamo disciplinare. Il datore di lavoro e i preposti possono pretendere il rispetto delle regole quando sono in grado di dimostrare che il metodo sicuro è comprensibile, tecnicamente attuabile e sostenuto dall’organizzazione. Se questa condizione manca, la sanzione di solito non elimina la causa, ma sposta il problema in una zona di silenzio: gli aggiramenti non scompaiono, semplicemente non vengono più segnalati. Dal punto di vista della conformità, questo ha un’importanza decisiva, perché una prassi nota e tollerata di elusione delle misure di protezione mette in discussione l’affermazione secondo cui la soluzione adottata garantirebbe davvero un uso sicuro della macchina. Laddove il miglioramento previsto incida sulle funzioni di sicurezza, sul sistema di comando, sulle modalità di accesso alle zone pericolose oppure sull’organizzazione degli interventi, può rendersi necessaria una formale valutazione del rischio a seguito delle modifiche tecniche e organizzative. Le correzioni rapide in esercizio, invece, hanno senso solo se non diventano un sostituto della decisione di riprogettare la postazione o di verificare nuovamente se le protezioni esistenti e le modalità d’uso della macchina siano davvero adeguate al lavoro reale.

Solo alla fine: responsabilità, valutazione di conformità e regole stabili

Responsabilità e requisiti di conformità devono dare ordine alle decisioni, ma non possono sostituire la comprensione del lavoro reale. La disposizione di legge, la norma o l’istruzione del costruttore non spiegano da sole perché, su una determinata linea, l’operatore scelga di aggirare un riparo, un interblocco o una procedura di accesso alla zona pericolosa. Questo va accertato a livello di postazione: quale compito viene svolto, con quale ritmo, in presenza di quali anomalie e sotto quale pressione di risultato. Solo allora si può stabilire con criterio se il problema risieda nella progettazione tecnica, nell’organizzazione degli interventi, nella logica di comando, nella disponibilità degli utensili o nelle modalità di supervisione. Questo ordine ha un valore pratico: se l’analisi si conclude con un semplice appello alla disciplina, lo stabilimento di solito consolida una situazione in cui la regola ufficiale dice una cosa, mentre il lavoro quotidiano ne impone un’altra.

Per questo una cultura della sicurezza duratura comincia dalla coerenza delle decisioni. La progettazione tecnica, le istruzioni operative, la formazione, la supervisione di linea e il sistema di valutazione non possono trasmettere segnali contraddittori. Se il capoturno valuta solo il tempo ciclo, la manutenzione accetta soluzioni provvisorie e la documentazione presuppone formalmente una modalità di lavoro che in realtà nessuno adotta, allora l’aggiramento resterà una scelta razionale. In pratica, qui molto dipende dalla coerenza della direzione. L’assenza di tolleranza verso aggiramenti noti deve andare di pari passo con la disponibilità a finanziare correzioni tecniche, cambiamenti organizzativi e fermate necessarie per introdurre un metodo sicuro. In caso contrario, lo stabilimento pretende il rispetto di regole che esso stesso non ha reso concretamente applicabili.

Questo emerge in modo particolarmente evidente nelle modifiche “minori”, che dal punto di vista della produzione possono sembrare semplici adattamenti operativi. Lo spostamento di un sensore, la modifica della sequenza di arresto, una diversa regolazione del riparo, l’aggiunta di eccezioni per l’accesso in manutenzione oppure il lasciare stabilmente aperto uno sportello perché “così è più facile eliminare gli inceppamenti” non sono correzioni neutre. Se incidono sul modo di funzionamento della macchina, sul sistema di comando, sui dispositivi di protezione o sulla logica di accesso, l’azienda deve valutarne l’impatto sulla sicurezza, sulla prosecuzione dell’uso e sui relativi obblighi di conformità. È proprio qui che si pone una domanda pratica: quando una modifica in postazione richiede un’analisi più ampia dell’impatto sulla sicurezza della macchina e se, dopo modifiche tecniche e organizzative, sia necessaria una più completa valutazione di conformità delle macchine. Altrettanto importante è stabilire chi approva tali deroghe e se, dopo l’attuazione, vengano aggiornate istruzioni, formazione e criteri di controllo.

Documentare queste attività ha senso solo se serve a gestire il lavoro, e non soltanto ad alimentare un fascicolo. Una registrazione utile dovrebbe mostrare che cosa è stato modificato, perché, quale impatto ha avuto sulle modalità di utilizzo della macchina, quali misure sono state adottate e come si è verificato che il metodo sicuro sia realmente applicato e praticabile. In pratica, è utile monitorare non tanto il “numero di violazioni”, quanto l’elenco delle modifiche tecniche e organizzative introdotte con la valutazione del loro impatto, il numero di ritorni alle pratiche precedenti dopo l’attuazione delle azioni correttive e i risultati delle verifiche delle postazioni successive alle modifiche. Questo fornisce una base per collegare le azioni correttive al riesame periodico del rischio e consente di individuare tempestivamente le situazioni in cui una soluzione formalmente corretta non funziona nella pratica operativa.

Solo in questo contesto il richiamo ai requisiti di legge e normativi svolge il proprio ruolo corretto: definisce l’ambito degli obblighi del datore di lavoro in materia di organizzazione del lavoro, le regole per l’uso sicuro della macchina e la necessità di verificare la conformità dopo le modifiche. Non si tratta di un’interpretazione giuridica, ma di una semplice conseguenza sul piano decisionale: se l’azienda conosce una prassi di aggiramento e la tollera, si assume la responsabilità di una situazione in cui le regole formali non corrispondono all’esercizio reale. Il risultato finale auspicabile non è quindi “zero violazioni sulla carta”, ma un sistema di lavoro prevedibile, nel quale l’aggiramento non sia più necessario, conveniente né tollerato. Questo è anche il punto giusto per distinguere i normali adeguamenti operativi dai casi che richiedono una più ampia valutazione di conformità delle macchine e, nel caso di soluzioni che comprendono attrezzature a pressione o i relativi accessori, per considerare anche i requisiti specifici applicabili a questo tipo di modifiche, inclusa la Direttiva sulle attrezzature a pressione 2014/68/UE (PED).