Organisatoriske risikoindikatorer Pilotstudie Statfjord A. Omklassifisert 2002-06-19 FORFATTER(E) Knut Øien og Snorre Sklet OPPDRAGSGIVER(E)

SINTEF RAPPORT TITTEL SINTEF Teknologiledelse Sikkerhet og pålitelighet Postadresse: 7465 Trondheim Besøksadresse: S P Andersens veg 5 Telefon: 73 59 27 56 Telefaks: 73 59 28 96 Foretaksregisteret: NO 948 007 029 MVA Organisatoriske risikoindikatorer Pilotstudie Statfjord A Omklassifisert 2002-06-19 FORFATTER(E) Knut Øien og Snorre Sklet OPPDRAGSGIVER(E) Oljedirektoratet RAPPORTNR. GRADERING OPPDRAGSGIVERS REF. STF38 A00421 Åpen Liv Nielsen / Odd Tjelta GRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG Åpen 384184.40 125 ELEKTRONISK ARKIVKODE PROSJEKTLEDER (NAVN, SIGN.) VERIFISERT AV (NAVN, SIGN.) PilotrapportSFA12 åpen versjon.doc Snorre Sklet Marvin Rausand ARKIVKODE DATO GODKJENT AV (NAVN, STILLING, SIGN.) 2001.02.01 Lars Bodsberg, forskningssjef SAMMENDRAG Rapporten inneholder en beskrivelse av pilotstudien (Statfjord A) for å utarbeide organisatoriske risikoindikatorer, og inngår som en del av prosjektet "Risikoanalyser i driftsfasen" (også betegnet som "Indikator-prosjektet"). Hensikten med pilotstudien har vært å vurdere om, og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner. Hovedkonklusjonen er at det er mulig å si noe kvantitativt om organisatoriske faktorers effekt på risikonivået, selv om dette er forbundet med usikkerhet. De organisatoriske risikoindikatorene (som etableres basert på metodikken beskrevet i denne rapporten) kan benyttes til følgende formål: 1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg 2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg 3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoen) Sammen med de "tekniske" risikoindikatorene utviklet i fase I av "indikator-prosjektet", vil de organisatoriske risikoindikatorene kunne benyttes til å overvåke en forholdsvis stor andel av den totale risikoen. STIKKORD NORSK ENGELSK GRUPPE 1 Sikkerhet Safety GRUPPE 2 Risikoanalyse Risk Analysis EGENVALGTE Risikoindikator Risk Indicator Risikopåvirkende forhold Organisatoriske forhold Risk Influencing Factors Organisational Factors

2

3 FORORD Prosjektet "Risikoanalyser i driftsfasen" har blitt gjennomført av SINTEF Teknologiledelse, Sikkerhet og pålitelighet, i årene 1998-2000. Hensikten med prosjektet har vært å videreutvikle modeller som kan benyttes for å klargjøre sammenhengen mellom organisatoriske forhold og risikonivået på en offshore innretning. Disse modellene danner grunnlaget for utarbeidelsen av en metodikk som kan benyttes til å måle endringer i risikonivået på en innretning som skyldes endringer i organisatoriske forhold. Prosjektet bidrar derved til å øke bruken av resultatene fra kvantitative risikoanalyser i forbindelse med oppfølging av risikonivået på en plattform i driftsfasen. Prosjektet er utført på oppdrag fra Oljedirektoratet. Vi vil med dette benytte anledningen til å takke Liv Nielsen for hennes sterke engasjement og innsats i forbindelse med initiering og gjennomføring av prosjektet. Det har vært opprettet en referansegruppe for prosjektet med deltakere fra Oljedirektoratet, deltakende oljeselskaper og utvalgte konsulentselskaper. Det har vært avholdt totalt 8 møter i referansegruppen for prosjektet. Pga. "omstruktureringer" i næringen har antall deltakende oljeselskaper i prosjektperioden avtatt og selskapenes kontaktpersoner endret seg underveis. Nedenfor gis en oversikt over hvilke selskaper som har deltatt og hvilke personer som har vært kontaktpersoner for prosjektet og deltatt i referansegruppen i hele eller deler av prosjektperioden: Selskap Oljedirektoratet Oljedirektoratet Oljedirektoratet Statoil Statoil Norsk Hydro Norsk Hydro Phillips Petroleum Company Norway Phillips Petroleum Company Norway Phillips Petroleum Company Norway Elf Petroleum Norge (nå TotalFinaElf) Esso Norge Saga Petroleum BP Norge BP Norge Amoco Norway Oil Company Norske Shell Scandpower Det Norske Veritas Safetec Navn Liv Nielsen Odd Tjelta Sverre Øxnevad Gunhild Holtet Eie Frank Firing Håvard Bentsen John Monsen Harald Undheim Bjørn Saxvik Jan Arne Johansen Jan Erik Vinnem Tormod Skåren Richard Heyerdahl Leif Gunnar Hestholm Asbjørn Hide Stig Aune Trond Winther Jan K. Lund Andreas Falck Jon Daniel Nesje Vi vil takke alle deltakerne i referansegruppen for deres deltakelse i prosjektet. Vi vil videre takke Statoil for at personell fra Statfjord A organisasjonen har deltatt ved gjennomføring av pilotstudiene både for utvikling av tekniske og organisatoriske risikoindikatorer. Det har vært av særlig stor betydning for resultatene fra prosjektet at vi har kunnet ha direktekontakt med driftspersonell og spesielt at vi fikk besøke Statfjord A plattformen i

4 forbindelse med utvikling og uttesting av lekkasjemodellen og diskutere arbeidsorganisering og inntrufne gasslekkasjer med driftspersonell på plattformen. Vi vil også takke Gudmund Engen, plattformsjef på Gullfaks A plattformen for hans bistand i arbeidet med utvikling og uttesting av lekkasjemodellen og mange andre nyttige innspill underveis i prosjektet. Til slutt vil vi takke vår kollega Helge Langseth for bistand til å utvikle den kvantitative modellen for beregning av hvor stor effekt endringer i organisatoriske forhold har på risikoen. Trondheim, 1. februar 2001. Snorre Sklet Prosjektleder

5 INNHOLDSFORTEGNELSE FORORD... 3 1 SAMMENDRAG... 7 2 INNLEDNING... 13 2.1 Bakgrunn og problemstilling... 13 2.1.1 Bakgrunn... 13 2.1.2 Problemstilling... 14 2.2 Hensikt og målsetting... 15 2.3 Avgrensninger... 16 2.4 Forutsetninger... 16 2.5 Noen begreper... 17 2.6 Rapportstruktur... 17 3 FREMGANGSMÅTE... 19 3.1 Analyse av eksisterende metoder... 19 3.2 Kopling til tekniske risikoindikatorer... 21 3.3 Opphold på Statfjord A... 24 4 ÅRSAKSSAMMENHENGER - ÅRSAKSMODELL... 25 4.1 Årsaksanalyse... 25 4.2 RUH er, befaring, diskusjoner mm... 29 4.3 Kvalitativ lekkasjemodell... 30 4.4 Bruken av lekkasjemodellen... 33 4.5 Eksempler på anvendelse av den kvalitative lekkasjemodellen... 35 4.5.1 Lekkasje under driftsoperasjon... 35 4.5.2 Lekkasje under korrektivt vedlikehold... 36 4.5.3 Lekkasje som følge av mangelfullt forebyggende vedlikehold... 37 4.5.4 Lekkasje under brønnoperasjon... 37 4.6 Annen utprøving... 38 5 ORGANISATORISKE FAKTORER... 39 5.1 Utvelgelse av organisatoriske faktorer... 39 5.2 Beskrivelser av de organisatoriske faktorene... 39 5.2.1 Opplæring/kompetanse... 40 5.2.2 Prosedyrer/SJA/retningslinjer/instrukser... 40 5.2.3 Planlegging/koordinering/organisering/kontroll... 40 5.2.4 Design... 41 5.2.5 PM-program/inspeksjon... 42 5.3 Kvalitativ vurdering... 43 6 ORGANISATORISKE RISIKOINDIKATORER... 45 6.1 Hensikt... 45 6.2 Forslag til organisatoriske risikoindikatorer for Statfjord A... 45 6.2.1 Risikoindikatorer for opplæring/kompetanse... 46 6.2.2 Risikoindikatorer for prosedyrer, SJA, retningslinjer, instrukser... 50 6.2.3 Risikoindikatorer for planlegging, koordinering, organisering, kontroll... 51 6.2.4 Risikoindikatorer for design... 52 6.2.5 Risikoindikatorer for PM-program/inspeksjon... 53 6.3 Begrensninger... 54 7 RISIKOMESSIG BETYDNING (for Statfjord A)... 55

6 7.1 Kvantitativ modellering med bruk av Bayesiansk nettverk... 56 7.1.1 Bayesiansk nettverk generelt... 56 7.1.2 Kvantitativ lekkasjemodell... 57 7.2 Tilstandsbedømming (rating)... 60 7.2.1 Eksempel på tilstandsbedømming... 62 7.3 Påvirkning/effekt (vekting)... 64 7.3.1 Innledning... 64 7.3.2 Vekting basert på ekspertvurderinger... 67 7.3.3 Datadrevet vekting... 76 7.4 Aggregering... 80 7.4.1 Eksempel på aggregering/propagering... 84 7.5 Effekt på risiko (relativ endring)... 86 7.5.1 Eksempel på beregning av effekt på risiko... 88 7.6 Følsomhetsanalyser... 88 7.6.1 Forbedrings- og forverringspotensial... 89 7.6.2 Følsomhet av antakelser og vurderinger... 92 7.6.3 Håndtering av mangelfull informasjon... 97 8 DISKUSJON OG KONKLUSJON... 101 8.1 Implementering og bruk... 101 8.2 Nytteverdi... 102 8.3 Begrensninger... 104 8.4 Hovedkonklusjoner... 105 8.5 Behov for videre arbeid... 107 9 REFERANSER... 109 VEDLEGG 1: Lekkasjehendelser... 111 VEDLEGG 2: Forkortelser... 123 VEDLEGG 3: Notasjon... 125

7 1 SAMMENDRAG Mål og hensikt Hensikten med pilotprosjektet har vært å vurdere om og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner. Dette forutsetter at man først er i stand til å identifisere de organisatoriske faktorene som påvirker risikoen, "måle" en eventuell endring i disse, samt etablere en kopling mellom de organisatoriske faktorene og risikoen. Statfjord A ble valgt som case for den organisatoriske fasen av prosjektet slik den også var under den første tekniske fasen av prosjektet. Vi har dermed kunnet bygge videre på det arbeid som ble utført i første fase av "indikatorprosjektet". Den primære målsettingen var å kunne si noe om hvordan risikonivået utvikler seg. Mange av endringene kan avdekkes/kontrolleres direkte gjennom de parametre som inngår i risikoanalysen, noe som ble behandlet i fase I av prosjektet (Øien & Sklet, 1999a og b). Kun der hvor direkte kontroll av parametrene er "problematisk" (enten pga. sjeldne registreringer eller vanskeligheter med å få etablert relevante måleparametre) ønsker vi å kontrollere risikoutviklingen ved å "måle" endringer i bakenforliggende/organisatoriske årsaksforhold. Med overvåking av risikoen som primær målsetting, og med direkte risikoindikatorer fra første fase av prosjektet til å dekke/kontrollere mange av de risikopåvirkende forholdene, har vi avgrenset etableringen av organisatoriske risikoindikatorer til å "komplettere" de direkte risikoindikatorene. Lekkasjefrekvensen viste seg ikke å være egnet som en direkte risikoindikator pga for få registreringer, samtidig som den har svært stor betydning for totalrisikoen. Etablering av organisatoriske risikoindikatorer har bl.a som følge av dette blitt rettet inn mot lekkasjefrekvensen. Fremgangsmåte Fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A har bl.a bestått i å analysere eksisterende metoder som sier noe om påvirkningen av organisatoriske forhold på risikoen. Men, vår fokus på "risikokontroll" representerer en annen målsetting enn det som de eksisterende metodene har blitt utviklet for. Vi har derfor vært nødt til å analysere disse metodene i lys av hva som er våre krav og behov. Vi så det også som viktig å "observere" den aktuelle organisasjonen, dvs. Statfjord A, inngående. Så veldig "inngående" har nok ikke observasjonene blitt, men vi har iallefall hatt et kortere opphold på Statfjord A. Organisatorisk modell og faktorer For å kunne beregne den påvirkning organisatoriske faktorer har på risikoen (via lekkasjefrekvensen), har vi etablert en organisatorisk modell som viser sammenhengen mellom de (viktigste) organisatoriske faktorene og lekkasjefrekvensen. Denne organisatoriske modellen betegner vi lekkasjemodellen. Lekkasjemodellen er utviklet på grunnlag av årsaksanalyse av lekkasjedata, kjennskap til Statfjord A's organisasjon samt generell organisasjonsteori.

8 Vi har benyttet denne lekkasjemodellen til å svare på følgende spørsmål: 1. Hvilke organisatoriske faktorer påvirker lekkasjefrekvensen (de viktigste faktorene)? 2. Hvordan påvirker organisatoriske faktorer lekkasjefrekvensen (de viktigste sammenhengene)? 3. Hvor mye påvirker organisatoriske faktorer lekkasjefrekvensen (kvantitativt)? Den kvalitative lekkasjemodellen er vist i Figur 1. Modellen er delt i 3 nivå i tillegg til selve lekkasjefrekvensen. Første nivå består av lekkasjekilden, dvs det utstyr eller de komponenter som lekker. Andre nivå består av det frontlinjepersonell som kan forårsake, evt forhindre at lekkasjer inntreffer. Tredje nivå består av de organisatoriske forhold som utgjør tilretteleggingen for at frontlinjepersonell skal kunne utføre arbeidet på en slik måte at lekkasjer ikke inntreffer. Lekkasje Hvem (styrende) Hvem (utførende) Hva (svikter/lekker) Hendelse Ansvarlig/tilretteleggende personell Individfaktor (oppm./kons.) Front-linje personell/ hovedfunksjoner Komponent/utstyr Parameter/feilmode Opplæring/ kompetanse Drift Annet Prosedyrer, SJA, retn.linjer, instrukser Korr.vedl. (mod.) Ventil Planl., koord., org., kontroll Flens/ rørskjøt Lekkasje Forebyggende vedlikehold Rør Design Brønnoperasjoner PM-program/ inspeksjon Instrument/ instr.rør Figur 1 Den kvalitative lekkasjemodellen Individfaktoren er en "knagg" til å henge "tabber" på (når det er gjort en åpenbar tabbe, og er egentlig ikke en "ordentlig" organisatorisk faktor). Med "opplæring/kompetanse" mener vi den opplæring og erfaring som er nødvendig for at det utførende personell skal kunne gjøre jobben sin uten å forårsake lekkasjer. Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig) informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte. Med "planlegging, koordinering, organisering, kontroll" mener vi den "tilrettelegging" som arbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås. Kontrollaspektet er spesielt viktig som barrierefunksjon. Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- og annet utstyr). Designet må være slik at anlegget kan drives og vedlikeholdes uten at lekkasjer oppstår.

9 Med "PM-program" mener vi programmene (aktiviteter og intervaller) for alt planlagt vedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kan resultere i lekkasje) skal inntreffe. Den kvalitative lekkasjemodellen utgjør et viktig delresultat i seg selv, fordi den kan benyttes som et hjelpemiddel for å avdekke de bakenforliggende årsaksfaktorene til en lekkasje, uavhengig av hvorvidt man ønsker å kvantifisere betydningen av de organisatoriske årsaksfaktorene. Den kan altså benyttes når lekkasjehendelsen skal registreres i en RUH. Organisatoriske risikoindikatorer Tilstanden til de organisatoriske årsaksfaktorene lengst til venstre i Figur 1 måler vi fortløpende (hvert kvartal) ved hjelp av indikatorer organisatoriske risikoindikatorer. Forslag til slike indikatorer for hver av de organisatoriske faktorene er vist i Tabell 1. Tabell 1 Forslag til organisatoriske risikoindikatorer Organisatoriske faktorer Organisatoriske risikoindikatorer ORI11 Andel prosessteknikere med formell systemopplæring ORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring i ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler OF1 Opplæring/kompetanse ORI14 Andel mekanikere med kurs i flenstrekking ORI15 Andel mekanikere med pakningskurs ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen ORI17 Gjennomsnittlig antall år erfaring totalt ORI18 Andel av relevant personell som har deltatt i faglig utvikling ORI21 Andel av relevant personell med formell opplæring i SJA OF2 Prosedyrer, SJA, ORI22 Andel av relevant personell som har gjennomført SJA siste år retningslinjer, instrukser ORI23 Antall SJA gjennomført siste kvartal på installasjonen ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJA OF3 Planlegging, koordinering, ORI31 Andel kritiske jobber utført med kontroll organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet) OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjer OF5 PM-program/inspeksjon ORI51 Mengde inspeksjon av lekkasjepunkt-utstyr ORI52 Mengde korrigerende vedlikehold av lekkasjepunkt-utstyr Betydningen av de organisatoriske faktorene for lekkasjefrekvens og risiko Gjennom å vekte den påvirkning som de organisatoriske faktorene har på lekkasjefrekvensen, er vi i stand til å beregne effekten av at en eller flere av de organisatoriske faktorene endrer tilstand (blir bedre eller dårlige ivaretatt av organisasjonen). Når den nye tilstanden er fastsatt/bedømt vha indikatorene, kan vi beregne hvor mye dette har endret lekkasjefrekvensen. Bedømming av tilstanden til hver enkelt organisatorisk faktor skjer altså vha risikoindikatorer. Hver organisatorisk faktor kan befinne seg i én av fem mulige tilstander (fra tilstand 1 "svært dårlig", til tilstand 5 "svært god"). Effekten av enkeltvis endring av tilstanden til de organisatoriske faktorene på forventningsverdien til lekkasjefrekvensen (E(lambda)) ut fra dagens verdi er vist i Figur 2. Utgangspunktet er tilstandskombinasjonen 3-4-2-3-2 som gir en forventningsverdi på 1,7 lekkasjer per kvartal. Hver enkelt faktor er endret mens de andre forblir i sin nåværende tilstand. Via risikomodellen kan vi så fastsette endringen i risikonivået.

10 Endring i lekkasjefrekvens 3,0 +61% 2,5 E(lambda) 2,0 1,5 1,0 0,5-55% 0,0 Tilst. 1 Tilst. 2 Tilst. 3 Tilst. 4 Tilst. 5 OF1 2,4 2,0 1,7 1,4 1,2 OF2 2,7 2,3 2,0 1,7 1,5 OF3 2,2 1,7 1,3 1,0 0,8 OF4 2,3 2,0 1,7 1,5 1,2 OF5 2,1 1,7 1,4 1,1 0,9 Faktortilstand Figur 2 Endring i lekkasjefrekvensen (E(lambda)) ved enkeltvis endring av faktorene Konklusjon Hovedkonklusjonen er at det er mulig å si noe om organisatoriske faktorers effekt på risikonivået kvantitativt, selv om dette er forbundet med usikkerhet. Grunnen til at vi kan trekke denne konklusjonen er at: De antatt viktigste organisatoriske årsaksfaktorene er identifisert Tilstanden til disse er mulig å måle vha indikatorer (alternativt med kompletterende subjektive vurderinger) Effekten de har på lekkasjefrekvensen er mulig å beregne vha. analyse av tidligere lekkasjehendelser og ekspertvurderinger (og kan dessuten oppdateres etterhvert som ny informasjon fremkommer) Endring i forventningsverdi til lekkasjefrekvensen kan beregnes (inklusive effekten av observerte lekkasjehendelser) Endring i risikonivået som følge av endring i lekkasjefrekvensen kan beregnes via følsomhetsanalyser i risikoanalysen (TRA en) Videre arbeid Vi har utviklet en metodikk hvor det ikke gjenstår noen "uoverstigelige" metodiske problemer. Det som gjenstår for å prøve ut metoden er en krevende implementeringsjobb. Dette innebærer at man må 'verifisere' vurderingene som er gjort og foreta de nødvendige justeringer. I tillegg kreves det at de ansvarlige for innføring og oppfølging må være aktive pådrivere. Man må være klar over at å skaffe seg kunnskap om hvordan risikonivået utvikler seg over tid ('kontinuerlig' overvåking) etter denne metoden vil kreve tid, ressurser og hardt systematisk arbeid.

11 Nytteverdi Det ser ut til å være et stadig mer påtrengende problem å skulle si noe om hvordan sikkerheten/ risikoen utvikler seg i Nordsjøen både for den enkelte installasjon og for industrien som helhet. Vår påstand er at dersom man ikke systematisk følger opp risikoanalysen under drift (eksempelvis gjennom risikoindikatorer) så vet man ikke hvordan risikoen utvikler seg. Ikke vet man om den øker eller avtar, og slettes ikke om den øker/avtar mye eller lite. Ved å følge opp de viktigste risikopåvirkende forholdene vha. risikoindikatorer så er vi ikke bare i stand til å si noe om hvorvidt risikoen har økt eller avtatt, men vi er også i stand til å si noe om endringens størrelsesorden. Det vil kunne være av avgjørende betydning å vite om risikoen f.eks har endret seg med i størrelsesorden 3% eller om den har endret seg med i størrelsesorden 30%. Derfor er kvantifisering nyttig og nødvendig. Selv om tallet i seg selv er forbundet med usikkerhet, så representerer det en aggregering/sammenfatning av 'vår beste viten'. Den datamengden som er benyttet (hhv. 20 lekkasjer på Statfjord A og 92 lekkasjer på Statfjordfeltet) er forholdsvis liten, noe som gjør at det er relativt stor usikkerhet knyttet til de absolutte tallverdiene, men det er relativ endring i risikoen og endringens størrelsesorden vi fokuserer på. De organisatoriske risikoindikatorene (som etableres basert på metodikken beskrevet i denne rapporten) kan benyttes til følgende formål: 1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg 2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg 3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoreduksjon) Sammen med de "tekniske" risikoindikatorene utviklet i fase I av "indikator-prosjektet" så vil de organisatoriske risikoindikatorene kunne benyttes for å overvåke en forholdsvis stor andel av den totale risikoen.

12

13 2 INNLEDNING 2.1 Bakgrunn og problemstilling 2.1.1 Bakgrunn Oljedirektoratet (OD) har helt siden 1994 vært opptatt av hvordan oljeselskapene på en troverdig måte kan beskrive utviklingen i risikonivået for en gitt installasjon på regelmessig basis. Bakgrunnen for dette var en konkret installasjon, nemlig PPCoN s Ekofisk 2/4-T (også kalt "tanken"). Som de fleste kjenner til så ble denne besluttet nedstengt i 1992 (og utfaset i 1998). På tross av denne nedstengningsbeslutningen i 1992 var OD opptatt av hvordan risikonivået ville utvikle seg på "tanken" i den såkalte interimsperioden frem til utfasing. SINTEF ble engasjert for å se på muligheten for å utvikle et "verktøy" som kunne si noe om utviklingen i risikonivået på Ekofisk 2/4-T. Prosjektet fikk navnet "indikator-prosjektet" som henspeiler på at det verktøy som ble utviklet bestod av et sett med risikoindikatorer. Etter en tids utviklingsarbeid, som resulterte i et første forslag til indikatorer, ble prosjektet presentert for PPCoN. Selskapet tok deretter over det videre arbeid og nødvendig tilpasning selv. Idéen med å benytte et sett med risikoindikatorer, som verktøy for å overvåke risikonivået på en offshore installasjon, ble ført videre av OD i 1996. Denne gang ble Statfjord A valgt ut som den installasjon man ønsket å etablere indikatorer for. Statoil som operatør for Statfjord A deltok i dette prosjektet fra starten av. Det ble gjennomført som et samarbeidsprosjekt mellom OD, Statoil og SINTEF. Etableringen av risikoindikatorer for både Ekofisk 2/4-T og Statfjord A baserte seg på den plattformspesifikke totalrisikoanalysen (TRA en eller QRA en) for installasjonene. Disse risikoanalysene dekker i hovedsak tekniske og tildels operasjonelle forhold, men i liten grad organisatoriske forhold. Risikoindikatorene ble derfor betegnet som "tekniske indikatorer" (eller "tekniske risikoindikatorer") fordi de baserte seg på ("den tekniske") risikoanalysen. De indikatorene som ble etablert utgjorde for en stor del direkte (eller mer eller mindre direkte) "mål" på risikoforhold som inngikk i risikoanalysen. De tekniske indikatorene betegnes derfor også som "direkte risikoindikatorer". Totalrisikoanalysene blir i hovedsak benyttet i forbindelse med designfasen, men de skal reflektere normal drift (altså driftsfasen). De inkluderer derfor antakelser om operasjonelle forhold under drift. Organisatoriske forhold derimot virker hovedsaklig indirekte gjennom parametrene (f.eks feilrater) i risikoanalysen. Imidlertid er det slik at også organisatoriske forhold kan endre seg under driftsfasen (og dermed påvirke risikonivået). Det er en kjent sak at organisatoriske forhold har vært medvirkende årsaker til store ulykker både innenfor offshore og annen industri. Risikokontroll under drift av offshore installasjoner bør derfor ikke utelukkende fokusere på tekniske og operasjonelle forhold, men også inkludere organisatoriske forhold. Hvordan kan man så inkludere den effekt endringer i organisatoriske forhold har på risikonivået? Dette var utfordringen OD gikk ut med til industrien i 1998, og som ble organisert gjennom prosjektet "Risikoanalyser i driftsfasen" hvor "alle" oljeselskapene på norsk sokkel har deltatt.

14 Prosjektnavnet henspeiler på at man ønsket en risikobasert tilnærming og dermed benytte risikoanalysen som basis, sålangt dette lot seg gjøre. Denne rapporten beskriver pilotstudien hvor Statfjord A ble benyttet som pilot/case. I Figur 3 har vi illustrert hvordan denne rapporten passer inn i den totale "indikatorprosjekt-sammenheng", med henvisning til andre rapporter 1 utgitt som del av prosjektet. "Indikatorprosjektet" Fase I (teknisk) J Fase II (organisatorisk) Generell Pilotstudie metodikk /1/ /2/ (tekn.) (tekn.) Litteratur studie /3/ Generell metodikk /4/ Pilotstudie /5/ (org.) (org.) Risikostyring under drift Figur 3 Denne rapportens plass i "indikatorprosjektet" Pilotstudien representerer en konkretisering av den generelle metodikken for utarbeidelse av organisatoriske risikoindikatorer. I pilotstudien "testes" metodikken ut, men de organisatoriske risikoindikatorene (som er et av resultatene fra prosjektet) testes ikke ut slik som det ble gjort med de tekniske risikoindikatorene i fase I. Pilotstudierapporten konkretiserer den generelle metodikken, men dersom man ønsker en utdyping av metodikken og utviklingen av denne så finner man dette i metoderapporten (Øien & Sklet, 2001a). Pilotstudien i fase II bygger videre på det arbeidet som ble gjort med etablering av tekniske risikoindikatorer i fase I, hvor også Statfjord A ble benyttet som pilot/case (Øien & Sklet, 1999b). 2.1.2 Problemstilling Risikonivået på Statfjord A er kvantifisert i totalrisikoanalysen (Statoil, 1996), og som andre TRA er så inkluderer denne antakelser om bl.a operasjonelle forhold under drift og om "feiltilbøyeligheten" til teknisk utstyr. Dette er forhold som endrer seg over tid, og som resulterer i at relativt kort tid etter at TRA en er ferdigstilt så vet man ikke lenger hva risikonivået er, hvis man ikke systematisk følger opp antakelsene i risikoanalysen. 1 /1/ Øien & Sklet, 1999a. Metode for å utarbeide tekniske risikoindikatorer /2/ Øien & Sklet, 1999b. Risikoindikatorer for overvåking av risikonivået på Statfjord A /3/ Øien & Sklet, 1999c. Bruk av risikoanalyser i driftsfasen, etablering av sikkerhetsindikatorer og modellering av organisatoriske faktorers effekt på risikonivået. En "state-of-the-art" beskrivelse. /4/ Øien & Sklet, 2001a. Metodikk for utarbeidelse av organisatoriske risikoindikatorer /5/ Øien & Sklet, 2001b. Organisatoriske risikoindikatorer. Pilotstudie Statfjord A.

15 Det er ikke nødvendigvis det eksakte "risiko-tallet" man til enhver tid trenger å vite, men man bør ha kjennskap til i hvilken retning utviklingen går, og man bør dessuten kunne si noe om størrelsesorden på endringen. TRA en skal ifølge Statoils interne krav oppdateres etter maksimalt 5 år, men dette er langt ifra tilstrekkelig for den type risikokontroll vi her snakker om. Et alternativ kunne kanskje vært å oppdatere TRA en hyppigere? Det er forsåvidt ikke noe galt i det, men hvilke forhold ("parametre") skal oppdateres? Hvis man ikke vet hvilke forhold som virkelig bidrar til risikoendring så må man kontrollere alle parametre, noe som fort blir "noen hundre", og arbeidet blir omfattende. 2 Et annet problem er at noen av forholdene som påvirker risikoen (som f.eks gasslekkasjer) skjer nokså sjeldent (og "tilfeldig") slik at det kan være vanskelig å fastslå om forholdet har endret seg, med mindre man studerer forholdet noe nærmere. Et alternativ til å betrakte en forholdsvis sjelden hendelse direkte er å se om noen av de forhold som påvirker denne hendelsen har endret seg. I noen tilfeller vil disse årsaksforholdene være det vi betegner som organisatoriske årsaksfaktorer. I tillegg til å kontrollere enkelte av de forholdene som påvirker risikoen direkte så vil det også være behov for å følge opp organisatoriske årsaksfaktorer. Utfordringen er å finne ut hvilke organisatoriske faktorer som er viktigst å følge opp, samt å finne ut hvilken effekt de har på risikonivået. Hvilke organisatoriske faktorer er de viktigste å følge opp for Statfjord A, og hvor mye påvirker de risikonivået på Statfjord A? 2.2 Hensikt og målsetting Hensikten med pilotprosjektet er å vurdere om og i hvilken grad det lar seg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift av offshore installasjoner. Dette forutsetter at man først er i stand til å identifisere de organisatoriske faktorene, "måle" en eventuell endring i disse, samt etablere en kopling mellom de organisatoriske faktorene og risikoen. Statfjord A er valgt som case for den organisatoriske fasen av prosjektet slik den også var under den første tekniske fasen av prosjektet. Vi kan dermed bygge videre på det arbeid som ble utført i første fase. Målsettingen er at vi skal kunne være i stand til å "måle" en vesentlig del av den endring i risikonivået som skjer kontinuerlig under drift (på Statfjord A) gjennom hyppige (kvartalsvise) registreringer. "Måleverktøyet" vi benytter er risikoindikatorer. En regelmessig kontroll med risikoen representerer et kontinuerlig sikkerhetsarbeid og er ikke noen engangskampanje! Risikokontroll må innarbeides som en fast rutine og burde være like selvsagt som økonomisk kontroll (regnskapsførsel). Vi anvender det som betegnes som "risikobasert" sikkerhetstenkning, dvs at istedetfor å la sikkerhetsarbeidet styres av mer eller mindre tilfeldige hendelser retrospektivt (etter at hendelsene har inntruffet) så arbeides det proaktivt med de viktigste risikopåvirkende forholdene før alvorlige hendelser inntreffer. Disse forholdene representerer det største potensialet for fremtidige storulykker, og dermed også det største potensialet for å redusere muligheten for fremtidige storulykker. Før det kan treffes tiltak må man imidlertid finne ut hva som er situasjonen og eventuelt hvor problemet er størst. 2 I Statfjord A s tilfelle kan man benytte seg av de tekniske risikoindikatorene fra fase I av prosjektet. Disse dekker imidlertid kun personsikkerhet ifm storulykker.

16 2.3 Avgrensninger Prosjektet er avgrenset til driftsfasen for én spesifikk installasjon, og for pilotstudien er dette Statfjord A. Det tas utgangspunkt i TRA en fra 1995 (den sist oppdaterte risikoanalysen) for Statfjord A. Risikoen avgrenses til personellrisiko ved storulykker. Vi dekker derfor ikke miljørisiko eller risiko for materielle verdier. Heller ikke arbeidsulykker dekkes i og med at fokus er på muligheten for storulykker. Den primære målsettingen er å kunne si noe om hvordan risikonivået utvikler seg. Mange av endringene kan avdekkes/kontrolleres direkte gjennom de parametre som inngår i risikoanalysen, noe som ble behandlet i fase I av prosjektet (Øien & Sklet, 1999a og b). Kun der hvor direkte kontroll av parametrene er "problematisk" pga for få hendelser ønsker vi å kontrollere risikoutviklingen ved å "måle" endringer i bakenforliggende/organisatoriske årsaksforhold. Dette gjelder for Statfjord A først og fremst lekkasjefrekvensen. Risikoindikatorene er ment å være et hjelpemiddel til å vite hvordan risikonivået utvikler seg mellom oppdateringer av risikoanalysen. Dersom det er større endringer/modifikasjoner (både av teknisk og organisatorisk karakter), så skal dette iht. OD's regelverk føre til en oppdatering av risikoanalysen. Risikoindikatorene skal fange opp "de mange bekker små" som til sammen kan ha forholdsvis stor betydning for risikoen. Spesielt viktig er det å fange opp de endringer som man kanskje ikke er seg så bevisst, og som kan ha betydning for risikoen. Store organisatoriske endringer inkluderer også større bemanningsendringer. Heller ikke dette forutsettes dekket gjennom bruk av risikoindikatorer. 2.4 Forutsetninger Vi tar som nevnt utgangspunkt i den sist oppdaterte risikoanalysen for Statfjord A. Vi anvender den slik den er og forutsetter at den er "korrekt". Det vil alltid være svakheter og kanskje til og med direkte feil i en TRA, men det har ikke vært en del av arbeidet i dette prosjektet å vurdere selve risikoanalysen. Vi kan derfor si at våre resultater avhenger av TRA en og at denne er "korrekt". Vi må også forholde oss til den grad av nedbryting som er benyttet i risikoanalysen. Dette innebærer bl.a at det vil være "et gap" mellom de forhold som er inkludert i risikoanalysen og de organisatoriske årsaksfaktorene, og som vi dermed må "fylle" gjennom årsaksanalyser. Vi forutsetter at de hendelser som rapporteres (f.eks gasslekkasjer) er fullstendig. Vi tar altså ikke høyde for at det kan eksistere underrapportering.

17 2.5 Noen begreper Et risikopåvirkende forhold (RPF) er "et forhold (hendelse/tilstand) i et system eller en aktivitet som påvirker risikonivået til dette systemet/aktiviteten". En organisatorisk risikopåvirkende faktor er "en bakenforliggende styringsmessig/ledelsesmessig faktor (forhold/hendelse/tilstand) i et system eller en aktivitet som påvirker risikonivået til dette systemet/aktiviteten". En indikator er "en målbar/operasjonell variabel som kan benyttes for å beskrive tilstanden til et større fenomen eller aspekt av virkeligheten". En risikoindikator er "en målbar/operasjonell variabel som kan benyttes til å beskrive tilstanden til et risikopåvirkende forhold (som er knyttet til risikoen gjennom en risikomodell)". En organisatorisk risikoindikator er "en målbar/operasjonell variabel som kan benyttes for å beskrive tilstanden til en organisatorisk risikopåvirkende faktor (som er knyttet til risikoen gjennom en risikomodell)". Se forøvrig metoderapporten (Øien & Sklet, 2001a, kap. 2.5) for flere definisjoner/begreper. 2.6 Rapportstruktur I kap. 3 er fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A beskrevet. Årsaksanalyser er viktige for å avdekke de bakenforliggende organisatoriske årsaksfaktorene. Årsaksanalyser og etablering av en organisatorisk modell er presentert i kap. 4. I kap. 5 er de viktigste organisatoriske faktorene beskrevet, og i kap. 6 er forslagene til organisatoriske risikoindikatorer presentert. Kap. 7 behandler kvantifiseringen, dvs hvordan man kan måle tilstanden til de organisatoriske faktorene ved bruk av risikoindikatorene, samt beregne den effekt disse har på risikonivået. I kap. 8 trekkes så konklusjonene etter pilotprosjektet. Kap. 7 inneholder den kvantitative delen av rapporten og kan være litt vanskelig tilgjengelig for noen. (Man kan da lese innledningen i kap. 7 før man eventuelt går over til kap. 8.) Det kan også være en god idé å starte med kap. 8, for deretter å lese resten av rapporten. Vedlegg 1 inneholder en analyse av de 20 lekkasjehendelsene på Statfjord A i perioden 1997-99, med bruk av den kvalitative lekkasjemodellen. Vedlegg 2 inneholder forkortelsene som er brukt i rapporten, og vedlegg 3 inneholder notasjon.

18

19 3 FREMGANGSMÅTE Vi vil i dette kapittelet beskrive den fremgangsmåte som er benyttet for å etablere organisatoriske risikoindikatorer for Statfjord A. Den generelle metodikken er beskrevet i metoderapporten (Øien & Sklet, 2001a) og kun hovedtrekkene vil bli gjengitt her (kap. 3.1). Som illustrert i Figur 3, bygger fremgangsmåten for etablering av organisatoriske faktorer på det arbeidet som tidligere er utført ved etableringen av tekniske risikoindikatorer (Øien & Sklet, 1999a og b). Denne koplingen er beskrevet i kap. 3.2. I tillegg til at fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A bygger på en analyse av eksisterende metoder som sier noe om påvirkningen av organisatoriske forhold på risikoen, og på det tidligere arbeidet i dette prosjektet, så har vi også sett det som viktig å "observere" den aktuelle organisasjonen, dvs. Statfjord A. Vi har derfor som en del av prosjektet hatt et kortere opphold på Statfjord A (uke 35/2000). Dette er beskrevet i kap. 3.3. 3.1 Analyse av eksisterende metoder De organisatoriske faktorene skal "sørge for" at det arbeidet som utføres på en installasjon skal skje på en sikker måte. Organisasjonen skal "tilrettelegge" forholdene slik at ikke ulykker skal inntreffe. Likevel vet vi fra store ulykker både innenfor offshore og annen industri at svikt i organisatoriske forhold har vært medvirkende årsaker til ulykkene. Innenfor ulykkesgransking har man derfor i de senere år flyttet fokus fra teknisk og menneskelig svikt til bakenforliggende årsaksforhold. Dette gjelder altså etter at en ulykke eller hendelse har inntruffet. Hva så med å forutsi påvirkningen fra organisatoriske forhold før ulykker inntreffer? Hvordan påvirker disse forholdene "de mulige fremtidige ulykkene og tapene" (altså risikoen)? Her har man ikke på langt nær kommet like langt som innenfor ulykkesgransking. Noe forskning er gjort, og en "håndfull" metoder er utviklet som forsøker å si noe om hvordan organisatoriske faktorer påvirker risikoen, se Øien & Sklet, 1999c. Det er naturlig at vi tar utgangspunkt i den forskningen som er gjort og analyserer den metodikken som eksisterer. En analyse av de eksisterende metodene er beskrevet i kap. 3 i metoderapporten (Øien & Sklet, 2001a). De eksisterende metodene er imidlertid utviklet med ulike målsettinger og er også i noen tilfeller skreddersydd for én bestemt industri (f.eks kjernekraft). De er derfor ikke uten videre egnet for vårt formål. Det er faktisk ingen av metodene som er utviklet for å etablere risikoindikatorer og som har et risikokontroll-perspektiv på sitt arbeid. Vi har derfor vært nødt til å analysere de eksisterende metodene i lys av hva som er våre krav og behov. Vi har sett at alle metodene har visse likhetstrekk og at det går an å analysere dem etter en felles "mal". Alle metodene kan (mer eller mindre) brytes ned i 8 felles elementer, selv om enkelte av elementene håndteres tildels svært ulikt. Også for vår bruk vil det være aktuelt å utvikle en metodikk (eller iallefall et "rammeverk") som følger den samme "malen". Vi bygger derfor opp vårt eget rammeverk basert på denne analysen av hvordan de eksisterende metodene håndterer hvert av elementene. Gjennom vurdering av de ulike alternative måter å håndtere et gitt element på, sammenholdt med våre krav/behov, har vi valgt ut én måte å gå frem på for håndtering av hvert enkelt element. Vi kan si det slik at vi ut fra våre behov har bygd på "det beste" fra hver av de eksisterende metodene. (For noen element har vi som følge av vår "særegne" målsetting ikke

20 basert oss på noen av de eksisterende metodene. Istedet bygger vi på det arbeid vi har gjort tidligere under etableringen av tekniske risikoindikatorer.) Figur 4 viser "malen" (de 8 elementene) som både de eksisterende rammeverkene og vårt rammeverk er bygd opp etter. 2 1 4 3 5 6 Sosio-teknisk system 7 Risikomodell 8 Risiko 1 2 3 4 5 6 7 8 ORIM - Organisatorisk Risiko-Influens Modell Organisatorisk modell/organisatoriske faktorer Spesifikk modell basert på årsaksanalyse Bedømming av tilstanden til faktorene ("rating") Fåtall indikatorer, 5-10 forankrede tilstander Bedømming av effekten til faktorene ("vekting") Data-drevet vekting og ekspertvurdering Aggregeringsmetode (algoritme) Håndtering av samspillseffekter iht. BN Modelleringsteknikk Bayesiansk nettverk - BN Kopling til risikomodellen Viktigste parameter uten kontroll via tekn. ind. Tilpasning av risikomodellen Viktigste parametre mht. potensiell endring i risiko Rekvantifisering av risikoen Relativ endring i risiko Figur 4 Rammeverk for etablering av organisatoriske risikoindikatorer Den høyre kolonnen i tabellen beskriver vår fremgangsmåte for håndtering av de enkelte elementene (trinnene) i rammeverket. Vi har betegnet dette nye rammeverket (for etablering av organisatoriske risikoindikatorer) for ORIM Organisatorisk Risiko-Influens Modell. Den øverste delen av figuren (over tabellen) illustrerer at vi har risikoanalysen "i bunnen" hvor en risikomodell (7) er etablert for et eller annet sosio-teknisk system (f.eks en offshore-installasjon), og hvor man kvantitativt kommer frem til et risikotall (8). Risikomodellen inkluderer de tekniske svikt som kan lede til ulykker, og som igjen forårsakes/utløses av feil eller mangelfull arbeidsutførelse av "front-linje" personellet (6). "Front-linje" personellets arbeidsoppgaver og arbeidsutførelse fastsettes og tilrettelegges av "organisasjonen" gjennom en del sentrale funksjoner/ forhold/faktorer betegnet som organisatoriske faktorer (1). Tilstanden (2) til disse organisatoriske faktorene påvirker (3) "front-linje" personellets arbeidsutførelse. Den totale effekten (4) av denne påvirkningen kan kvantifiseres gjennom en modelleringsteknikk (5), som i vårt tilfelle er et influensdiagram (Bayesiansk nettverk, ref. kap. 7). For mer detaljer om analysen av de eksisterende rammeverkene/metodene henviser vi til metoderapporten (Øien & Sklet, 2001a). Dette gjelder spesielt de 5 første elementene i rammeverket. De 3 siste elementene i rammeverket (element 6, 7 og 8) er i stor grad fastlagt ut i fra det arbeid vi har gjort tidligere ifm. etablering av tekniske risikoindikatorer. Dette er beskrevet i neste kapittel.