, met stappen als gevaren selecteren, een of andere maat kiezen, risico operationaliseren met veelal beperkte casuïstiek, en de concrete risicogrootte berekenen. Elk van deze stappen levert ellende die de geldigheid van de conclusie beperkt: voldoende veilig voorstellen als het complement van laag risico.

Helemaal niet nodig, veiligheidsvergroting kan zonder risicobepaling. Bijvoorbeeld onderlinge verzekeringen waren eeuwen eerder voorhanden dan verwachtingswaarde of ongevalsstatistiek, zoals in vorige Risicozoekers toegelicht. Een landbouwcoöperatie die opbrengsten van een groot gebied bundelt, verbetert de kans op een hele winter voedsel, ook al zijn de kansen op allerlei typen misoogsten en ander onheil niet bekend. Dat ook wat hedendaagser voorbeelden zoals uit de procesindustrie te vinden zijn, blijkt uit het onderstaande, waarbij inderdaad zonder dat risico´s precies bekend zijn, wordt gesproken van (on)toereikende veiligheid.

In een recente NVRB-lezing door Chris Pietersen zat het volgende verhaal. Vrijwel 25 jaar geleden ventte de Indiase Sevin-fabriek van Union Carbide circa 30 ton methylisocyanaat Bhopal in. Dit MIC kwam vrij door een run-away-reactie nadat het in een 60 kuub opslagtank in contact met water was gekomen. Maar waar kwam dat water vandaan en hoe kon het deze tank inlopen? Een mogelijk antwoord is dat er een wasoperatie 3 uur eerder was in een ander deel van de fabriek, waarvandaan het water door een ondoordachte verbinding en lekkende afsluiters de tank kon bereiken. Een andere verklaring komt van Union Carbide: die verbinding is watervrij gebleken en het water is opzettelijk via de drukmeter op de tank ingebracht. Alleen al deze tegenstelling bemoeilijkt het krijgen van zekerheid over de oorzaken, vertrouwen dat een voldoende grote set verstoringen is meegenomen, bepaling van de risicobijdrage van (geen) stikstofoverdruk tot water dat (niet) buiten de MIC-tank wordt gehouden.

Nu is het aardige dat Chris geen van deze insteken nodig heeft om te onderbouwen dat sprake was van vergaande tekortkomingen, en zelfs totale zekerheid er geen veilige situatie van kan maken. Naast fasen als het problematische ontwerp met zo´n grote tussenopslag, of een rampontwikkeling waarin ziekenhuizen dagenlang niet wisten welk gif ze moesten behandelen, kent het “middendeel” van de rampontwikkeling een indrukwekkende reeks mankementen: ontbrekende voorzieningen voor temperatuur en off-spec; stikstofoverdruk was defect; koelvloeistof tegen run-away elders in gebruik; een verbinding toegevoegd tussen twee circuits; gewoonte ontstaan om geen blindflens bij het wassen te plaatsen; openstaande afsluiters en kleppen met bekende lekkages; een ventscrubber zonder natronloog; niet aangesloten affakkelinrichting. En dat zijn dan alleen de vastgestelde materiële bijdragen, zonder bijvoorbeeld voortdurende bezuiniging, nauwelijks ingewerkt personeel, angst na eerdere ongelukken. Kortom: een inherent onveilige situatie.

Het is geen opsomming van on-gevallen, in de betekenis van ongewenste processen die zich kunnen voltrekken (potentiëel, dynamisch), maar zaken die (daadwerkelijk, statisch) níet het geval zijn. Ze worden gemist, ze zijn zichtbaar als ontbrekend (sic)! Dat kan doordat we vergelijken binnen een bepaalde cultuur, in dit geval gegroeide ideeën over wat in een normale procesinstallatie zit en wat voor werkwijze daar bij hoort. Daarvoor is wel een bepaald soort persoon of team nodig dat met een speciale blik kijkt en ervaart wat (niet) normaal is, en die zijn, of waren in elk geval, voorhanden onder de naam veiligheidskundigen.
Met deze constatering zijn ook de volgende paradoxen te begrijpen. Diverse Nederlandse bronnen hebben het over verschraling van beschikbare kennis (verrassend om dat überhaupt voor elkaar te krijgen met een worldwideweb) en wijzen zorgelijk op de uitstroom van deskundigen (nog nooit waren er zoveel lieden in veiligheidsland die na een vierdaagse SNL-cursus een risico willen uitrekenen). Kennelijk is een concentratie risico-methodieken iets anders dan kennis van veiligheid en onvoldoende voor het bereiken of handhaven van een voldoende veiligheidsniveau. Leeft er een intuïtief inzicht dat risico’s de oogkleppen zijn waardoor een volgende veiligheidsinbreuk als een grote verrassing komt?

Of, in termen van de slotvraag van de lezing: kunnen we 25 jaar veiligheidservaring na Bhopal rustig gaan slapen? We zouden dat kunnen beantwoorden via gefnuikte verwachtingen, analoog aan de lijst bij Union Carbide, bij het veiligheidsbeleid in Nederland. Dus, welke veiligheidsaspecten zijn uit het zicht zijn geraakt bij het doorzoomen op risico? Een zoektochtje voor een volgende aflevering, de lijst is namelijk lang en een rapport nog niet vrijgegeven.

Ter afsluiting nogmaals de directe benadering van veiligheid. In de voorbeelden (onderlinge verzekeringen, Sevin fabriek in Bhopal) zit het begin van een rechtstreekse aanpak, met indicatoren voor veiligheid zelf, in plaats van opsommingen van het complement (mankementen, inbreuken, verstoringen). Een systeem kan in een kwantificeerbare mate moeilijk te treffen zijn (meerdere soorten gewas, brede Lines-Of-Defences), zwakke respons hebben (geen honger maar minder voedsel, minder toxisch product), veerkracht vertonen na een verstoring (niet doodgehongerd voor de volgende oogst, grote weglooptijd of zelfs inherent aflopende excursies).

Analyseer dus geen risico’s maar veiligheidsvoorzieningen.