Als je in control wilt zijn op het gebied van veiligheid, is het belangrijk dat je weet welke risico’s je bedrijf kunnen stilleggen, levens kunnen kosten of blijvende reputatieschade kunnen veroorzaken. Toch zijn juist die grootste risico’s niet altijd goed in beeld.

In mijn praktijk heb ik verschillende manieren gezien waarop organisaties omgaan met hun grootste HSE-risico’s. Soms hangen ze netjes uitgeplot op een risicomatrix in het kantoor van de Site Manager. Vaker zijn ze juist helemaal niet zo duidelijk geformuleerd, moet je ze zien te achterhalen door bijvoorbeeld alle HAZOP-rapporten door te spitten en ontbreekt een overkoepelend beeld.

Wat ik in mijn praktijk regelmatig heb gezien, is dat een HSE-afdeling een risico kent, weet dat er niets aan gedaan kan worden of dat er hoge kosten mee gemoeid zijn, en dat het probleem dan bij de HSE-afdeling blijft liggen. Uit goedbedoelde loyaliteit wil men het hogere management er niet mee “lastigvallen” of zelfs beschermen. Maar dat werkt averechts: het hogere management kan dan niet zelf besluiten of het risico wél of niet gemitigeerd moet worden. Het is dus cruciaal om duidelijk te maken dat dat níet de bedoeling is. Maar ook de HSE afdeling kent niet alle risico’s: bij een van mijn eerdere werkgevers vond een groot incident plaats met een risico dat tot dat moment bij niemand niet in beeld was.

Als (hoogste) management ben je verantwoordelijk wanneer er iets misgaat. Dat betekent dat je impliciet alle risico’s hebt geaccepteerd die bij de bedrijfsvoering horen. Ik denk: beter expliciet dan impliciet.
Ken dus de allerhoogste risico’s, weet of ze zoveel mogelijk zijn gemitigeerd, en als dat niet zo is, en je besluit geen verdere maatregelen te nemen, accepteer het risico dan expliciet.

Wat zijn die hoogste risico’s?

Iedere organisatie met aanzienlijke risico’s heeft (of zou moeten hebben) een risicomatrix. Daarin staan risico’s ingedeeld van groen (laag), via oranje (middelgroot) tot rood (hoog).
De oranje en rode risico’s zijn wat mij betreft de allerhoogste risico’s, de risico’s die écht bepalend zijn voor de veiligheid en continuïteit van de organisatie.

En beoordeel hierbij zowel de initiële risico’s (het risico dat ontstaat als er géén enkele beheersmaatregel aanwezig zou zijn) als de resterende risico’s (het werkelijke risico in de praktijk, het risico dat je organisatie op dit moment loopt als alle maatregelen functioneren).

Waarom is het belangrijk die te kennen?

Omdat je anders niet weet of je veiligheidsinvesteringen op de juiste plekken terechtkomen. Misschien besteed je budget aan het reduceren van een groen risico, terwijl je voor datzelfde bedrag een rood risico naar oranje (of groen) had kunnen brengen.

Daarnaast ben je als organisatie niet ‘in control’ als je je grootste risico’s niet kent, niet expliciet hebt geaccepteerd dat ze bestaan of niet hebt bekeken of ze verder te verlagen zijn.

En ten slotte: als er ooit iets ergs gebeurt, een ongeval met dodelijke afloop bijvoorbeeld, wil je niet het gevoel hebben dat dit voorkomen had kunnen worden of niet eens zeker weten of dit voorkomen had kunnen worden.

Maar we hebben toch al een HAZOP?

De HAZOP is een belangrijk instrument en vormt een stevige basis voor het identificeren van procesveiligheidsrisico’s. Maar neem ook andere risico’s zoals arbeidsveiligheidsrisico’s (val van hoogte, verstikking, beknelling) en omgevingsrisico’s (overstroming of een incident bij de buren) mee.
Een compleet overzicht krijg je door (bijvoorbeeld) een HAZID-sessie te organiseren: een brede identificatie van álle risico’s, niet alleen de procesmatige.

Best practices die ik heb gezien:

• Organiseer een sessie met alle deskundigen en laat ieder individu, er zijn geen foute antwoorden, risico’s benoemen die relevant zijn voor de locatie of organisatie.
  Of:
• Start met een HAZID en gebruik een checklist met alle mogelijke risico’s. Ga na welke daarvan relevant zijn.
• Bepaal grofweg het risicogetal voor alle relevante risico’s met behulp van de risicomatrix.
• Stel vast wat de grootste risico’s zijn: de risico’s die in de matrix oranje of rood kleuren.
• Bereken voor deze risico’s het risicogetal nauwkeuriger.
• Zet deze risico’s overzichtelijk uit in een matrix.
• Beoordeel vervolgens of het risico ALARP (As Low As Practicable) is, zijn alle redelijkerwijs mogelijke maatregelen genomen? Zo niet, bepaal hoe en wanneer je dat alsnog doet.
• En als het risico ALARP is, leg dat vast inclusief argumentatie.
• Blijft het risico na het nemen van alle redelijkerwijs mogelijk maatregelen nog oranje of rood? Dan moet het formeel worden geaccepteerd door de juiste managementlaag: “Ik accepteer dat dit risico bestaat en heb vastgesteld dat we dit op dit moment redelijkerwijs niet verder kunnen verlagen.”
• Monitor deze risico’s elk kwartaal: welke incidenten hebben zich voorgedaan, en wat betekent dat voor de risicobeoordeling?
• Als er veel ‘allerhoogste risico’s’ zijn, kies dan een selectie voor rapportage, maar blijf ze allemaal monitoren.
• Evalueer jaarlijks, en vaker bij ernstige near misses of grote incidenten, of de risico-inschatting nog klopt.

Randvoorwaarden

• Er is een duidelijke en vastgelegde methode om risico’s te bepalen; gebruik je expert judgement, incidentdata, of een combinatie?
• Er is een risicomatrix die door de organisatie gedragen wordt.
• De methode om te bepalen dat een risico ALARP is, ligt vast.
• Duidelijk is op welk niveau risico’s mogen worden geaccepteerd — bijvoorbeeld: rood alleen door het hoogste management en oranje: door het niveau daaronder

Tot slot

Door de allerhoogste risico’s te identificeren, mitigeren, beheren én regelmatig te evalueren, blijf je als organisatie in control.
Je weet dan niet alleen wat er kan gebeuren, maar ook dat je er alles aan hebt gedaan om het te voorkomen.

En bij jullie? Weten jullie wat de allerhoogste risico’s van de organisatie zijn en of ze zoveel mogelijk zijn gemitigeerd?