Sveitserostmodellen: hvorfor en hendelse sjelden har én årsak

Sveitserostmodellen, på engelsk Swiss cheese model, viser hvordan en uønsket hendelse kan skje når flere barrierer svikter samtidig. Modellen flytter oppmerksomheten fra den enkelte ansatte til forholdene rundt arbeidet.

Modellen ble utviklet av den britiske psykologen James Reason, og brukes i dag som en anerkjent metode for å forenkle og visualisere risikoreduserende barrierer i sikkerhetsfaget.

Slik fungerer modellen

En virksomhet har flere lag med forsvar mot det som kan gå galt, for eksempel rutiner, opplæring, bemanning, alarmer og tekniske løsninger. Dette er risikoreduserende barrierer. I denne modellen er hver barriere en skive med sveitserost. I en ideell verden ville hver osteskive vært hel, og barrieren ville vært uten hull.

Men i praksis er lagene som skiver av sveitserost, og de har som kjent hull. Det kan barrierer i virkeligheten også ha.

Et hull i ett lag fører vanligvis ikke til en hendelse, fordi neste lag stopper det som slipper gjennom. En barriere kan hindre at hendelsen inntreffer, selv om en annen barriere har sviktet. En hendelse skjer når hullene i flere lag et øyeblikk står på linje, altså når alle barrierene svikter samtidig.

I artikkelen om bow-tie beskriver vi også et annet spor: Hvis alle barrierene fungerte som planlagt, og hendelsen likevel skjedde, var det selve risikovurderingen bak tiltakene som ikke holdt. Da trengs det en ny barriere i stedet for en reparasjon av en som allerede virket.

Med osteskivene kan det se slik ut: Kanskje hadde ingen av skivene hull, men risikovurderingen hadde ikke fanget opp at faren kunne komme en annen vei. Da trengs det en ny osteskive. Eller så hadde alle skivene hull samtidig, og det hadde trengtes en ekstra skive som kunne stoppet det som slapp gjennom.

Et eksempel fra barnehagen

Tenk på hvilke tiltak en barnehage har for at barn ikke skal forsvinne ut av barnehagen. Uteområdet har gjerde og port. Porten har en åpnemekanisme som bare voksne klarer å bruke, og kanskje en ekstra krok eller lås. På porten henger et skilt som minner foreldrene på å lukke den etter seg. I tillegg er det personale i nærheten.

Hvert av disse tiltakene er en barriere og en osteskive. Hver av dem skal kunne svikte uten at det får følger, fordi de andre fanger det opp. Den uønskede hendelsen inntreffer når alle barrierene svikter samtidig. Da må avviket analyseres: hvorfor sviktet barrierene, og hva skal til for å redusere sannsynligheten for at det skjer igjen?

To slags hull

Hullene i barrierene kan ha to typer årsaker:

• Aktive feil er handlinger som gjøres av dem som står nærmest situasjonen, for eksempel en glipp, en feilvurdering eller et brudd på en rutine. De får ofte følger med en gang.
• Latente forhold er svakheter som er bygd inn i virksomheten gjennom beslutninger tatt tidligere og lenger unna, av dem som planlegger, skriver prosedyrer og leder. Eksempler er tidspress, for lav bemanning, mangelfullt utstyr, tretthet og manglende erfaring. Slike forhold kan ligge i systemet i mange år før de møter en aktiv feil.

Aktive feil er ofte vanskelige å forutsi. Latente forhold kan derimot oppdages og rettes før noe skjer.

Tenkt eksempel: vold i butikken på kveldstid

En ansatt i en dagligvarebutikk stopper en kunde som har stjålet varer, sent på kvelden. Kunden slår den ansatte. Butikken har fire barrierer som skal hindre at dette skjer, og denne kvelden har hver av dem et hull:

Sveitserostmodellen · tenkt eksempel fra en dagligvarebutikk

Når hullene i barrierene står på linje

FareEn kunde blir tatt i butikktyveri sent på kvelden

HendelseVold mot den ansatte

1To ansatte på kveldsvaktHull: Kollegaen var syk, og vakten ble ikke erstattet

2Instruks: ikke stans tyver selvHull: Den nyansatte hadde ikke fått instruksen

3Utestengelse etter truslerHull: Tidligere trusler fra kunden var ikke meldt

4Bærbar alarm til vekterHull: Alarmen virket ikke, batteriet var tomt

Hver skive er en barriere. Under hver skive står hullet i barrieren denne kvelden. Mørk pil: hullene står på linje, og hendelsen skjer. Stiplede piler: stoppes av en barriere. Modell etter James Reason. Eksempelet er tenkt.

• To ansatte på kveldsvakt. Kvelden var planlagt med to ansatte. En kollega var syk, og vakten ble ikke erstattet.
• Instruks om at ansatte ikke skal stanse tyver selv. Den ansatte var nyansatt og hadde ikke fått instruksen i opplæringen.
• Utestengelse av kunder som har truet ansatte. Kunden hadde truet ansatte i butikken tidligere, men hendelsene var ikke meldt som avvik. Kunden var derfor ikke utestengt.
• Bærbar alarm som tilkaller vekter. Den ansatte trykket på alarmen, men den virket ikke. Batteriet var tomt, og alarmen hadde ikke vært testet.

Hvert av hullene kunne vært fanget opp av en av de andre barrierene. Med to på jobb kunne kollegaen ha tilkalt hjelp. Med instruksen hadde den ansatte latt kunden gå og meldt fra. Hadde de tidligere truslene vært meldt, ville kunden vært utestengt, og med en alarm som virket, kunne den ansatte ha tilkalt vekter. Denne kvelden stod hullene på linje.

Flere av hullene har en felles bakenforliggende årsak: Butikken hadde ikke gjort en egen risikovurdering av alenearbeid på kveldstid. Risikovurderingen er grunnlaget for å velge de riktige barrierene.

Alenearbeid i butikk er beskrevet nærmere i artikkelen om vold og trusler i varehandelen.

Hva modellen betyr for avviksbehandlingen

Den aktive feilen er ofte det første som blir synlig, i eksempelet at den ansatte gikk i konfrontasjon med kunden alene. Stopper analysen der, blir tiltaket gjerne en beskjed til den ansatte om å la være neste gang. Da er ett hull i ett lag tettet, mens de andre hullene står der fortsatt.

Modellen gir et enkelt spørsmål å stille etter en hendelse: hvilke barrierer skulle ha stoppet dette, og hvorfor gjorde de ikke det? Hvert hull kan analyseres videre med fem hvorfor. Er bildet sammensatt, gir et fiskebeindiagram oversikt over bredden først.

Avviksmeldinger og meldinger om nestenulykker viser ofte hullene før de står på linje. Når de blir analysert og fulgt opp, kan hullene tettes før de fører til en hendelse. Mer om dette står i artikkelen om avvikskultur og meldekultur.

Modellens begrensninger

Sveitserostmodellen er en forenkling. Kritikere har pekt på at den kan gi inntrykk av at hendelser følger en rett linje fra årsak til virkning, og at den gir få konkrete verktøy for å finne hullene i praksis. En gjennomgang av kritikken konkluderer likevel med at modellen fortsatt er relevant, blant annet fordi den ser på systemet som helhet.

Vi bruker modellen som et bilde som gjør det lettere å snakke om systemet. Arbeidet med å finne og tette hullene gjøres med metoder som fem hvorfor, fiskebeindiagram og bow-tie.

Lintho Rådgiving bistår kommuner, fagforeninger og virksomheter med praksisnær opplæring og rådgivning innen dette området.

Eksemplene i artikkelen er tenkte og laget for å vise hvordan modellen virker.

Kilder

• Reason, J. (2000). Human error: models and management. BMJ, 320(7237), 768–770.
• Larouzée, J. og Le Coze, J.-C. (2020). Good and bad reasons: The Swiss cheese model and its critics. Safety Science, 126, 104660.
• Store norske leksikon: Organisatoriske ulykker