2. Jernbanen, oljen, sikkerheten og historien

2. Jernbanen, oljen, sikkerheten og historien Helge Ryggvik Universitetet i Oslo helge.ryggvik@tik.uio.no I Norge, som i mange andre land, har sikkerhetssystemer i ulike sektorer utviklet seg forholdsvis uavhengig av hverandre. Jernbanen hadde sin egen tradisjon. Det samme hadde skipsfarten, luftfarten og industrien. Bak de ulike systemene finnes ikke bare forskjellige praktiske tilnærminger som følge av ulike teknologiske utgangspunkt, men også til dels grunnleggende forskjellige filosofier. Disse filosofiene er i sin tur påvirket av de politiske forutsetninger og den sosiale setting som gjorde seg gjeldende hvor og når systemene ble til. Men med utgangspunkt i den omfattende satsingen på sikkerhet i norsk oljevirksomhet er det blitt utviklet et lite sikkerhetsindustrielt kompleks som gjennom 1990-tallet nærmest på imperialistisk vis har forsøkt å legge andre sektorer under seg. Den viktigste begivenheten var innføring av Internkontroll for alle virksomheter på land fra og med 1. januar 1992. Myndighetsrepresentanter som på ulike vis har arbeidet opp i mot oljevirksomheten, forskere som har fått sin opplæring gjennom oljerelaterte bevilgninger, sikkerhetseksperter i de store selskapene og fremfor alt konsulenter med oljebakgrunn har fått en hegemonisk rolle i sikkerhetsarbeidet i Norge. La det med en gang være sagt: Satsingen på sikkerhet i Nordsjøen etter de store ulykkene på slutten av 1970-tallet og Alexander Kielland-ulykken i 1980 ga resultater. Statistikkene er entydige. Det er dessuten ikke noe galt i å overføre erfaringer fra noe som går godt ett sted til et annet. Det finnes dessuten mange gode argumenter for å strømlinjeforme sikkerhetsystemer utvikle ett system for 51

2. Jernbanen, oljen, sikkerheten og historien alle virksomheter. Men det finnes fallgruber. Sikkerhetssystemer er kompliserte organismer som er avhengig en rekke interne og eksterne forutsetninger for at de skal kunne fungere. En bestemt måte å forholde seg til risiko på kan under gitte historiske betingelser fungere utmerket. For å finne frem til hva som har overføringsverdi må man ikke bare ha en god forståelse av hva ved et sikkerhetssystem som faktisk fungerte, men også hvilke ytre betingelser som bidro til at det fungerte. Hvis overføringen foregår på imperialistisk vis, står man i fare for å undertrykke eller utradere det som fungerte bra i den sektoren hvor det nye blir introdusert. Manglende respekt og forståelse for det gamle kan utløse ødeleggende konflikter som heller hemmer enn fremmer sikkerhetsberedskapen i vedkommende virksomhet. Åsta; et eksempel Da sydgående og nordgående tog på Rørosbanen, bare fire dager inn i det nye tusenåret, kolliderte ved Åsta stasjon, var det gått 25 år siden Tretten-ulykken. Slik sett falt ulykken inn i en puls som med nesten skremmende symmetri hadde gjort seg gjeldende ved jernbanen gjennom 100 år: En storulykke hvert 25 år. Det var gått 50 år siden ulykken ved Hjuksebø. Men mens små eller store jernbaneulykker aldri før hadde rokket ved en grunnleggende oppfatning om at jernbane var et svært sikkert transportmiddel, var den allmenne oppfatning i etterkant av Åsta-ulykken at noe var fundamentalt galt ved sikkerheten på jernbanen. Denne oppfatningen ble forsterket da et løpsk godstog bare fire måneder senere var nær ved å utløse en eksplosjon som kunne ha lagt store deler av Lillestrøm i ruiner. Åsta-kommisjonen, som også fikk jobben med å utrede Lillestrøm-ulykken, leverte i november 2000 en rapport som på mange måter var en knusende dom over sikkerhetsarbeidet ved jernbanen. 1 Jernbanen fortjente kritikk. Dette var dessuten første gang en uavhengig kommisjon gransket alle sider ved en jernbaneulykke. Åsta-kommisjonens rapport vil bli stående som en av de viktigste ulykkesrapportene i norsk sikkerhetshistorie. Ikke minst fordi rapporten så jernbanesikkerhet i et helhetlig, ja også delvis historisk perspektiv. Men selv om Åstakommisjonen var uavhengig i forhold til de operative aktørene ved jernbanen, var den samtidig en ideologisk bærer av den sikkerhetstankegang som var blitt utviklet i og rundt norsk oljevirksomhet. Oppgjøret etter Åsta-ulykken handlet derfor ikke bare om hvordan man skulle sikre seg best mot nye ulykker. Det ble en kamp hvor to sikkerhetstradisjoner, to sikkerhetsfilosofier, sto mot hverandre. 1 NOU 2000: 30. Åsta-ulykken, 4. januar 2000. 52

Helge Ryggvik Selv om Åsta-kommisjonen i enkelte passasjer har bemerkninger som anerkjenner det sikkerhetsarbeidet som tidligere er blitt drevet av jernbanen, er den dominerende tonen entydig: I analyser og i alle anbefalinger blir en moderne sikkerhetstenkning orientert mot systemtenkning og risikoanalyse fremhevet fremfor kommisjonens oppfatning av sikkerhetssystemet ved jernbanen, spesielt Jernbaneverket; et gammeldags, stivnet, regelstyrt, hendelsesbasert sikkerhetssystem. Men var jernbanens hendelsesbaserte sikkerhetssystem problemet? Og var Åsta-kommisjonens anbefalinger om internkontroll og risikoanalyse svaret? Svaret kan være litt ja, på begge spørsmål. For meg står imidlertid sikkerhetsarbeidet ved jernbanen forut for og etter Åsta-ulykken som et eksempel på problemer som kan oppstå når et sikkerhetssystem blir tvunget på en virksomhet uten noen gjennomgående bevissthet av hva man egentlig gjorde. Når jernbanen ikke hadde etablert et fungerende internkontrollsystem åtte år etter at dette var lovfestet, skyldtes det ikke sommel, men sterk motstand fra jernbanens egen organisasjon. Det var ikke uten grunn at jernbanefolkene bare motvillig lot seg presse til endringer i sikkerhetsarbeidet. Når jernbanen lenge sto fram som det klart sikreste transportmidlet skyldtes det at sikkerhet hadde stått sentral ved jernbanen helt siden de første banestrekningene ble satt i drift på 1800-tallet. Det gamle jernbanesystemet Som i andre sektorer er hovedutgangspunktet for sikkherhetssystemer ved jernbanen den teknologien man skulle temme. Togene kan frakte store grupper mennesker og gods, ofte i stor fart, i store og tunge farkoster. Jo større fart og jo større trafikk, jo større er faren for at tog kan spore av eller kollidere med hverandre. Det siste utgjør en spesielt stor risiko i Norge hvor den aller meste av trafikken foregår på ensporede linjer. Jernbanedrift er kompleks, men samtidig en virksomhet hvor jernbanen selv kontrollerer aktørene i et gjennomført plansystem. Selv om potensialet for alvorlige hendelser er stort, kan risikoen reduseres betraktelig gjennom ulike menneskelige og tekniske sikkerhetsforanstaltninger. Altså, jernbanedrift er farlig, men risikoen for å bli utsatt for ulykker er liten så lenge sikkerhetssystemene fungerer. I et sikkerhetshistorisk perspektiv var jernbanen unik fra starten fordi en meget stor andel av de ansatte hadde arbeidsoppgaver hvor enten all tid eller en betydelig andel av arbeidsdagen gikk med til å utføre rene sikkerhetsprosedyrer. Man hadde grindvoktere og signalmenn. Selve togdriften var et samspill mellom togpersonalet, linjepersonalet og stasjonspersonalet, hvor sikkerhetsprosedyrer sto sentralt i nesten alt hva man gjorde. Avgangsprosedyren med konduktøren som blåser i sin fløyte og vifter med sitt grønne flagg kan virke selvfølgelig og 53

2. Jernbanen, oljen, sikkerheten og historien enkelt. Det samme kan meldesystemene hvor et tog måtte få klarsignal fra neste stasjon før det ble sendt av gårde. Det dreier seg like fullt om nitidig utstuderte prosedyrer. For å sikre at hver enkelt gjorde som en skulle utviklet jernbanen strenge formelle krav. Jernbanens styringssystem var tilsynelatende hierarkisk og autoritært, et ovenfra-og-ned-system. Jernbanens organisasjonsstruktur hadde et klart militært preg. Jernbanen var på samme måte som et militærapparat et sentralisert plansystem. Man kunne lese av jernbanefolkenes uniformer hvor de sto i organisasjonspyramiden. Samtidig var hver arbeidsfunksjon beskrevet ned til minste detalj i form av formelle regler, forskrifter og prosedyrer. En vesentlig del av opplæringen ved jernbanen gikk ut på terping av disse prosedyrene. Når Åstakommisjonen beskriver systemet som hendelsesbasert, er det riktig. I tilfeller hvor det oppsto en alvorlig hendelse ble disse prosedyrene justert eller utvidet. Så lenge jernbanens teknologi endret seg lite, fungerte dette systemet. I og med at det dreide seg om en teknologi som ofte var godt utprøvet i utlandet før den ble introdusert i Norge, kunne man dessuten innføre nye sikkerhetsforanstaltninger før det inntraff alvorlig hendelser. Opp gjennom årene ble imidlertid regelverket som hver enkelt jernbaneansatt måtte lære seg, stadig mer omfattende. Men sikkerhetssystemet ved jernbanen hadde en minst like viktig uformell side. Sikker togføring var en svært sentral del av jernbanefolkenes kultur. Mens det på papiret kunne se ut som hver enkelt jernbaneansatt var en liten, umyndiggjort maskindel i en stor organisasjon, var arbeidet for de fleste i virkeligheten preget av stor selvstendighet. Det fleste jernbaneansatte var overlatt til seg selv i utførelsen av arbeidet. Overordnede blandet seg bare sjelden inn. Det var de formelle prosedyrene som styrte. Når disse ikke strakk til, måtte man ta selvstendige avgjørelser. Det hendte ikke så sjelden. Selv om opplæringen ved jernbanen ofte gikk ut på pugging av prosedyrer, var den likevel allsidig. De fleste jernbaneansatte kunne det meste som var å vite om tog, skinner og togdrift. Denne allsidige, helhetlige kunnskapen ble forsterket av flere forhold. For det første var den gamle formen for togdrift i vesentlig grad et desentralisert system. Når et tog skulle føres fra stasjon A til stasjon B, lå alt operativ og sikkerhetsmessig ansvar i hendene på de aktuelle lokomotivførere og konduktører, linjepersonalet på den aktuelle strekningen og stasjonspersonalet på de to stasjonene. Selv om hver enkelt hadde et klart avgrenset ansvarsområde var den allsidige kunnskapen så stor at man fort kunne oppfatte at noe var galt. Et av de viktigste vitnene under Tretten-ulykken i 1975 var en lokomotivfører som var passasjer på et av togene. Vedkommende mente å ha lagt merke til at det lyste rødt når toget kjørte ut fra stasjonen. Det var rundt 700 passasjerer på det aktuelle toget. Den ene jernbanearbeideren så instinktivt etter signalet selv om han var passasjer. Den allsidige jernbanekompetansen ble også forsterket av de sosiale nettverkene rundt jernbanen. Jernbaneyrket hadde høy status mange steder i Norge. 54

Helge Ryggvik Rundt viktige stasjonsbyer kunne man finne jernbanesamfunn hvor en jobb ved jernbanen gikk i arv, men hvor valgene man tok mellom ulike jernbaneyrker kunne variere stort i hver enkelt familie. Hadde man en bestefar som var banearbeider eller grindvokter, en far som var stasjonsformann og en onkel som var konduktør, sto man godt rustet til å ta starte opplæring som telegrafist og dermed gå inn i indretjeneste. Poenget i denne sammenhengen er at uavhengig av hvilken jobb man valgte, hadde man med seg kunnskap om de fleste forhold som var vesentlig for sikkerheten. Nå var sikkerhetssystemet ved jernbanen på ingen måte perfekt. Det forekom ulykker. Langt oftere enn de fire man regner med når man gjør regnskap for jernbanens storulykker. Jernbanens sikkerhetshistorie viser dessuten at vektleggingen på sikkerhet har skiftet, at ulykker gjerne har inntruffet når systemet har vært under stress. Den første storulykken var ved Nidareid utenfor Trondheim i forbindelse med åpningen av Dovrebanen. De seks som omkom var samfunnsstøtter som hadde vært med på åpningssermonien. Bak i toget satt flere stortingsfolk. De samme stortingsfolkene bevilget villig til sikkerhetstiltak i årene som fulgte. Sikkerhetssystemet ved jernbanen har også vært preget av intern konflikt. Ved store ulykker har jernbaneledelsen nærmest instinktivt plassert alt ansvar på den eller de aktuelle lokomotivførere eller konduktører som man mente hadde begått feil. Dette var i og for seg en logisk konsekvens av systemet. Så lenge sikkerhetssystemet i så stor utstrekning var menneskebasert, var man avhengig at det ikke ble begått feil. Jernbanefolkenes fagforeninger har imidlertid ofte svart med å plassere ansvaret tilbake til jernbanens ledelse. Etter Nidareid-ulykken i 1921 fikk man en rettsprosess som gikk rett inn i den opphetede klassekamp som preget samtiden. Etter Hjuksebø-ulykkeni 1950, Tretten-ulykkeni 1975 og Nordstrandulykken i 1993 fikk man tilsvarende prosesser. Sterke jernbanefagforeninger bidro til å modifisere det hierarkiske preget i jernbanens sikkerhetssystem. Dette fikk en institusjonell dimensjon med innføringen av Arbeidsmiljøloven i 1977. Jernbanen fikk som andre virksomheter verneombud og arbeidsmiljøutvalg. På 1960-tallet startet imidlertid en moderniseringsprosess som over tid skulle endre mange av de grunnleggende forutsetningene for jernbanens sikkerhetssystem. Den viktigste endringen var innføringen av fjernstyrt togledelse (CTC) som åpnet opp for at man rasjonaliserte bort det meste av betjeningen på små og mellomstore stasjoner. De som ble igjen endte opp som billettselgere eller godsekspeditører. Man antok at de nye tekniske systemene var «idiotsikre». Trafikksikkerhet ble dermed langt på vei redusert til et spørsmål om den aktuelle lokomotivfører eller konduktør observerte riktige signaler. Utfasingen av dampen, innføring av CTC og en mer sentralisert og mekanisert linjetjeneste åpnet for en omfattende rasjonalisering. Med disse endringene ble 55

2. Jernbanen, oljen, sikkerheten og historien mye av grunnlaget for den lokale, allsidige kunnskapsbasen borte. Fra midt på 1950-tallet og frem til ut på 1970-tallet var det langt på vei ansettelsestopp ved jernbanen. Da sønnene til den store jernbanegenerasjonen fra perioden under og rett etter krigen nådde arbeidsfør alder, var det ikke jobb å få ved jernbanen. Da jernbanen ble tvunget til å fornye sin arbeidsstokk tidlig på 1980-tallet, rekrutterte man ofte langt utenfor de tradisjonelle jernbanefamiliene. Dermed var også en viktig linje brutt. Man trengte naturligvis ikke komme fra en jernbanefamilie for å gjøre en god jobb ved jernbanen. Men den stolthet og status som var knyttet til jernbaneyrket, var ikke lenger den samme. Jernbanens tradisjonelle kultur var i oppløsning. Mange av de forutsetningene som hadde bidratt til at jernbanens sikkerhetssystem fungerte godt, var altså endret, uten at man på tilsvarende vis endret sikkerhetssystemet. Oljesystemet Mens jernbanedrift var basert på en godt utprøvd teknologi, fremsto oljevirksomheten offshore i Nordsjøen som litt av et teknologisk laboratorium. Aldri før hadde man lett etter og produsert olje under så harde værforhold til havs. Installasjonene befant seg utilgjengelig midt ute i Nordsjøen. Fordi det dreide seg om uprøvet teknologi, fikk man ofte nye konsepter hver gang en ny plattform ble bygget. Potensialet for store ulykker lå dels i at man produserte et høyeksplosivt råstoff under svært høye trykk, og dels i at farkostene man produserte fra på samme måte som skip var sårbare for havarier. Store ulykker kunne dessuten ha den sideeffekt at det virket negativt inn på miljøet. Det var ikke gitt på forhånd hva slags formelt sikkerhetssystem man skulle ende opp med i Nordsjøen. 2 De utenlandske selskapene ønsket så lite som mulig innblanding fra norske myndigheter. Sammen med boreselskaper og entreprenørselskaper som utførte mye av det praktiske arbeidet, tok de med seg en fagforeningsfientlig arbeidskultur, hvor en sikker arbeidspraksis ikke ble verdsatt spesielt høyt. Selskapene insisterte på et system der de selv på frivillig basis definerte en «best practice»-kode. I den grad enkelte av oljeselskapene hadde sikkerhetsregler var de lite tilpasset de forholdene man sto overfor. Interne forskrifter om hvordan man skulle forholde seg til slangebitt, var til liten nytte, året gjennom, ute i Nordsjøen. For de utenlandske selskapene ble norske redere, som gikk tungt inn i oljevirksomheten på letesiden, en viktig alliert. Rederne ønsket seg en ordning tilsvarende skipsfarten hvor kontroll og regulering av sikkerhet langt å vei var overlatt til private klassifiseringsselskap i praksis Det norske Veritas (DnV). 2 Ryggvik og Smith Solbakken 1997. 56

Helge Ryggvik Men med en oljepolitikk hvor den dominerende styringstesen var å «sikre nasjonal styring og kontroll», et Statoil som brukte en hver anledning til å sikre seg en mer dominerende rolle, og mange alvorlige ulykker, lå forutsetningene godt til rette for sterke regulerende tiltak også når det gjaldt sikkerhet. Bare mellom 1966 og 1978, altså før Alexander Kielland-ulykken i 1980, omkom 82 personer i ulykker. I Alexander Kielland-tragedien omkom 123 mennesker. Et ungt Oljedirektorat, åpent for nye ideer i sikkerhetsforskningen, hadde solid nasjonal ryggdekning for de tiltak det måtte foreslå. Men hvordan gripe inn et teknologisk uoversiktlig felt hvor hovedaktørene ønsket minst mulig innblanding? Oljedirektoratet opplevde raskt at det var nesten umulig å utvikle regler som holdt tritt med den teknologiske utviklingen. Like vanskelig var det å etablere et tilsyn som skulle sikre at disse reglene ble overholdt. I tilfeller med ulykker kunne et oljeselskap vise til at det hadde overholdt alle offentlige pålegg, selv om det åpenbart var begått alvorlige feil. Hvem hadde ansvaret? Var det myndighetene som ikke i tide hadde utviklet relevante regler, eller selskapet som ikke hadde tatt sikkerhet tilstrekkelig på alvor? Svaret på utfordringen ble etableringen av internkontroll. Med internkontroll ble det presisert at det til enhver tid var selskapene eller den som hadde et operativt ansvar som hadde det overordnede ansvaret for sikkerheten. I stedet for å presisere rent tekniske mål ble det slått fast at selskapene hadde ansvar for at sikkerheten skulle være god, det ville si at det ikke skulle inntreffe ulykker. Det var dette som ble kalt målstyring. I stedet for å utforme en strøm av regler ble myndighetenes ansvar å kontrollere at selskapene utviklet velfungerende sikkerhetssystemer internt i selskapene systemkontroll. For at myndighetene skulle kunne overvåke at selskapene faktisk utviklet interne sikkerhetssystemer, ble det helt avgjørende at selskapene kunne dokumentere sine aktiviteter. Internkontroll representerte en slags kombinasjon av egenkontroll og myndighetskontroll. Internkontroll ryddet opp i ansvarsforholdet mellom selskap og stat eller riktigere operatører (private og statlige) og statlige reguleringsmyndigheter. I tilfellet en ulykke nyttet det verken å skylde på uforsiktige ansatte eller myndighetene. Ansvaret lå hos den ansvarlige operatør. Den underliggende filosofien bak systemet hadde likevel mange uklarheter. Da systemet ble presentert for oljeselskapene ble det lagt stor vekt på at selskapene, hadde klare egeninteresser i å utvikle mest mulig effektive sikkerhetssystemer. «Sikkerhet lønner seg» var gjerne overskriften på overheads når representanter for Oljedirektoratet reiste rundt for å propagandere for systemet. Et sentralt krav i de såkalte internkontrollforskriftene var imidlertid også at selskapene skulle overholde arbeidsmiljøloven på en tilfredsstillende måte. Arbeidsmiljøloven fra 1977 tok utgangspunkt i at det kunne finnes grunnleggende motsetninger mellom selskaper eller 57

2. Jernbanen, oljen, sikkerheten og historien operatører på den ene siden og ansatte og samfunnet på den andre. At dette var tilfellet, ble langt på vei bekreftet i og med at Oljedirektoratet endte med å true de selskapene som ikke hadde innført tilfredsstillende internkontroll med dårligere preferanser i kommende konsesjonstildelinger. For et oljeselskap var det knapt noen straff som kunne svi mer. De store forbedringene i oljesikkerheten kom i perioden hvor internkontrollsystemet ble introdusert. Etter Alexander Kielland-ulykken frem til 1990 omkom bare 13 personer i oljevirksomheten, til tross for den samlede aktiviteten var fire ganger større enn i de første årene. Syv av de omkomne var dykkere. På myndighetssiden var det en utbredt oppfatning at forbedringene skyldtes internkontrollsystemet i seg selv. I et historisk perspektiv peker det seg imidlertid ut flere forklaringer som kan ha vært vel så viktig for forbedringene som systemet i seg selv. 3 De mange ulykkene, ikke minst Alexander Kielland-ulykken, var med på å skape en sterk bevissthet rundt sikkerhet i oljevirksomheten. Etter etterkrigstidens mest intense streikebølge sto oljearbeidernes fagforeninger frem med stor styrke. Etter å ha mistet mange av sine medlemmer la disse foreningene stor vekt på sikkerhet. Knapt i noen del av norsk arbeidsliv fikk Verneombud og Arbeidsmiljøutvalg en større betydning. Samtidig førte høye oljepriser til at oljeselskapene hadde råd til å innfri de krav som ble stilt uten at det gikk vesentlig ut over lønnsomheten. Oljedirektoratets underliggende straff ved å koble sikkerhet til konsesjonstildelingervar dessuten effektiv fordi norsk sokkel på dette tidspunktet fremdeles var svært attraktiv. Selv om den sikkerhetsoffensiv som gjorde seg gjeldende i Nordsjøen på 1980- tallet kunne sammenfattes under betegnelsen Internkontroll, var det i virkeligheten flere ulike sikkerhetssystemer som ble introdusert samtidig, systemer med til dels motstridende filosofier, men som under særdeles gunstige forutsetninger bidro til å forsterke hverandre. Systemets indre motsetninger kommer best til utrykk når man ser på forskjellen i arbeidsmiljøregimet med Verneombud etc. på den ene siden, og de interne sikkerhetssystemene som ble introdusert fra selskapenes ledelse på den andre siden. De aktuelle systemene var gjerne utviklet av amerikanske selskaper. Det dreide seg managementorienterte motivasjons-, kvalitetssikring- og styringssystemer utviklet ut fra ledelseskonsepter hvor fagforeninger og demokratisk kontroll nedenfra var et fremmedord. 3 Ryggvik 1999. 58

Helge Ryggvik Systemene møtes Forutsetningene som var så viktige for at internkontrollsystemet ble vellykket i oljesektoren, var knapt til stede i en eneste av de virksomhetene hvor internkontroll ble introdusert på 1990-tallet. Med lave oljepriser, en svekket interesse for norsk sektor, fagforeninger svekket av motsetninger og et generelt svekket oljedirektorat var disse forutsetningene knapt til stede i oljevirksomheten. 4 I mange virksomheter uten sterke selvstendige sikkerhetstradisjoner kunne det være tilfeldigheter som avgjorde hvordan systemet ble implementert. I bedrifter av en viss størrelse åpnet internkontroll for konsulenter og managementorienterte sikkerhetssystemer av den typen som dominerte mer og mer i Nordsjøen. Med det styrkeforholdet som gjorde seg gjeldende mellom fagorganiserte og arbeidsgivere, var det bare sjelden at internkontroll falt sammen med en forsterket arbeidstakermedvirkning av den typen det ble åpnet for i Arbeidsmiljøloven. I de fleste virksomheter begrenset internkontroll seg til tegning av nye organisasjonskart og innføring av et nytt språk i sikkerhetssammenhenger. Arbeidstilsynet som først introduserte internkontroll for en gruppe ved jernbanen høsten 1991, innså at forberedelsene hadde kommet så kort at systemet umulig kunne implementeres fra og med da systemet ble gjort gjeldende ved lov. Kravet til NSB ble i stedet at man fra og med 1. januar 1992 skulle ha startet en prosess der implementering av internkontroll var målet. Arbeidstilsynet fremstilte internkontroll som synonymt med å sikre et systematisk Helse, Miljø og Sikkerhetsarbeid (HMS), også det et nytt begrep for jernbanen. Jernbanens sikkerhetskontor, som helt fra 1942 hadde hatt hovedansvar for å utforme sikkerhetsregler og sørge for at jernbanen overholdt disse, strittet imot fra starten. Sikkerhetskontoret så på HMS som et rent arbeidsmiljøbegrep. S en i HSM ble oppfattet som sikkerhet av den typen man kunne beskytte seg i mot hvis de ansatte sørget for å bruke hjelm og vernesko ved farlige arbeidsoperasjoner. Trafikksikkerhet ved jernbanen, kunsten å sørge for at tog ikke sporet av eller kolliderte med hverandre, var imidlertid en særegen disiplin hvor internkontroll og HMS var helt urelevant. Det første alvorlige forsøk på å innføre internkontroll ved jernbanen kom da NSBs konsernsjef Rambjør grep personlig inn og opprettet en sentral HMS-stab hvor sikkerhetskontoretinngikk og hvor lederen ble rekruttert utenfor NSB. 5 For Rambjør var ikke denne endringen bare motivert ut fra sikkerhetshensyn, men også et ønske om å gripe fatt i en fagstyrt organisasjonskultur som til tider kunne virke ugjennomtrengelig for en som kom utenfra. Medarbeiderne ved sikkerhetskontoret opplevde omorganiseringen som et overgrep. Ikke bare valgte man en 4 Ryggvik 1999. 5 Intervju Sverre Røed Larsen og Yngve Pedersen. 59

2. Jernbanen, oljen, sikkerheten og historien sikkerhetssjef uten særskilt jernbanekompetanse. Argumentet var at man ved å blande sammen trafikksikkerhet med arbeidsmiljø og helsespørsmål risikerte at tradisjonell trafikksikkerhet ville kom skyggen. Sikkerhetskontoret følte allerede at trafikksikkerheten var under press som følge av endringsprosessen jernbanen ble kastet inn i fra slutten av 1980-tallet. Den nye HMS-sjefen var Sverre Røed-Larsen som gjennom 1980-tallet hadde fulgt utviklingen av internkontrollsystemet ved lederstillinger i Statens forurensingstilsyn (SFT) og Forbruker- og familiedepartementet. SFT var en av myndighetsinstitusjonene som ble påvirket av utviklingen i oljevirksomheten. Kort tid før Røed-Larsen ble HMS-sjef inntraff en alvorlig jernbaneulykke ved Nordstrand stasjon hvor fem personer ble drept. I et notat til toppledelsen brukte Røed Larsen ulykken til å gå til et frontalangrep på den sikkerhetskulturen som dominerte ved jernbanen.... etter mine inntrykk er (sikkerhetskulturen..) preget av uklarhet på grunn av den høye omstillingstakten generelt i NSB de siste årene, den har for dårlig system- og ledelsesforankring, den er teknologisk konservativ, den er basert på et meget omfattende regelverk som til dels trenger modernisering og oppdatering, den er lite integrert i HMS-filosofi og i Internkontroll-opplegget,... I sum «brannslokkingsaktiviteter. 6 Røed-Larsens interne kritikk var nesten identisk med kritikken som ble rettet mot NSB og spesielt Jernbaneverket av Åsta-kommisjonen syv år senere. Forsøket på å innføre internkontroll ved jernbanen utløste interne konflikter. Når Rød- Larsen til tross for at han var bærer av et konsept som var velsignet av myndighetene og i startfasen hadde konsernsjefen bak seg ikke lyktes, skyldtes det flere underliggende forhold. Medarbeiderne i NSBs gamle sikkerhetskontor, som mente internkontroll var irrelevant for jernbanesikkerhet, var ikke mange. De var like fullt bærere av den sikkerhetstankegang og sikkerhetskultur som gjennomsyret jernbanen. Man kunne kanskje tenke seg en prosess der de to sidene lærte av hverandre. Det fantes også eksempler på det. Men når det gamle sikkerhetskontoret gikk inn i en forsvarsposisjon, var det fordi mange allerede før innføringen av internkontroll følte at prioriteringen av sikkerhet var under press. I endringsprosessen ved jernbanen som startet for fullt på slutten av 1980-tallet, ble sikkerhetsfunksjonen en kasteball. Dette var en trend som bare forsterket seg etter forsøket på å innføre internkontroll. Da Ueland tok over som konsernsjef i 1995, sementerte han konflikten ved å på ny skille sikkerhetskontoret med ansvaret for trafikksikkerhet ut fra HMS- 6 NSBsarkiv. Til: Konsernledermøtet6.12.93,Tiltakvedr. trafikksikkerheteni NSB, både på konsernog divisjonsnivå. Fra HMS-sjef Sverre Røed Larsen, s. 4. 60

Helge Ryggvik staben. Uten å kunne forholde seg direkte til trafikksikkerhet ble HMS-staben en nokså tannløs institusjon. Sikkerhetskontoret opplevde på sin side at alt kunne fortsette som før. Internkontroll utenfra Det andre forsøket på å innføre internkontroll ved jernbanen kom utenfra. Det gamle systemet hvor sikkerhetskontoret utformet sikkerhetsregler, gjennomførte interne kontroller og ledet alle granskningskommisjoner og representerte jernbanen utad når noe gikk galt, hadde et klart bukken og havresekken preg. Mange så dette. Så lenge jernbanen var en statlig bedrift, ble det imidlertid ikke betraktet som noe stort problem. Selv om sikkerhetskontoret ikke formelt var skilt ut som en selvstendig institusjon internt ved jernbanen, hadde kontorets leder og medarbeidere tradisjonelt stor autoritet. Dette skyldtes ikke minst at sikkerhet var en så viktig del av jernbanens kultur. Problemet med sikkerhetskontorets habilitet kom særlig til uttrykk i forbindelse med ulykker. Selv om Nordstrand-ulykken inntraff etter at jernbanen formelt skulle ha innført internkontroll, ble utredningen foretatt på tradisjonelt vis. Medarbeidere med tilknytning til sikkerhetskontoret gjennomførte en teknisk analyse og vurderte hvilke sikkerhetsforskrifter som eventuelt var brutt. Det ble ikke gjennomført noen granskning som så på bakenforliggende forhold ved jernbanens sikkerhetsorganisasjon som bidro til den svikten som fant sted. 7 Med opprettelsen av Statens Jernbanetilsyn fra og med 1. oktober 1996 fikk også jernbanen en ekstern institusjon som skulle kontrollere kontrollørene. Et selvstendig jernbanetilsyn kunne i prinsippet vært opprettet også innenfor rammen av den gamle sikkerhetstankegangen som gjorde seg gjeldende ved jernbanen. Sverige hadde allerede fått et Jernbanetilsyn, uten at dette var basert på en internkontrollfilosofi. Statens Jernbanetilsyn ble imidlertid i enda sterkere grad enn HMS-staben under Røed-Larsen preget av interkontrollkonseptet. Av de første som ble ansatt, var det bare to som hadde sin bakgrunn i NSB. 8 Tyngdepunktet lå klart utenfor NSB. Dette var ingen tilfeldighet, heller ikke at mange hadde sin bakgrunn i oljevirksomheten. Det var om å gjøre å finne personer som hadde betydelig kompetanse på sikkerhet, men som samtidig ikke på forhånd 7 Kort tid etter ulykken ga NSBs HMS-ledelse en gruppe ved SINTEF i oppdrag å utføre en STEPanalyse av ulykken. Rapporten var imidlertid intern og hadde ingen offisiell karakter. Den ble ikke offentlig kjent før i forbindelse med lokomotivførerens siste ankesak. Selv om rapporten hadde et noe videre utgangspunkt til ulykkens årsaker enn NSBs offisielle ulykkesgransking, utgjorde den på ingen måte en gjennomgående granskning av jernbanens sikkerhetssystem, på linje med det Åstakommisjonen senere gjorde. 8 Intervju Sjur Sæteren 4. september 2003. 61

2. Jernbanen, oljen, sikkerheten og historien var bundet opp av relasjoner til den institusjonen man ble satt til å regulere. Tilknytningen til det sikkerhetsindustrielle kompleks med tyngdepunkt i oljevirksomheten var åpenbar. Her dreide det seg ikke om noen konspirasjon, bare en konsekvens av dominans som gjorde seg gjeldende. Den første lederen, Gro Seim, kom fra Statoil. I 1999 overtok Sverre Quale, som blant annet hadde jobbet for oljeselskapet Saga. 9 Jernbanetilsynet sto snart i samme type konfliktforhold med den dominerende sikkerhetstankegang ved jernbanen som NSBs HMS-stab. I et nyopprettet Jernbaneverk var sterke krefter motstander av et uavhengig jernbanetilsyn, selv etter at den nye institusjonen var opprettet. I startfasen var da også arbeidsdelingen mellom det nye tilsynet og Jernbaneverket uklar. Jernbaneverket ønsket selv å spille rollen som reguleringsinstans på sikkerhetssiden. I og med at Jernbaneverket i sterkere grad enn NSB tok med seg den tekniske kompetansen på trafikkstyring, var det også her den gamle sikkerhetstankegangen satt sterkest. Men mens Røed-Larsens HMS-stab ble strippet ned og til slutt endte opp som et lite kontor i NSB, kunne Jernbanetilsynet som en selvstendig institusjon gradvis bygge opp sin autoritet og kompetanse. I de første systemrevisjonene fokuserte tilsynet på om den helt overordnede institusjonelle organiseringen var på plass. 10 Etter hvert som disse revisjonene gikk mer i detalj og tilsynet utviklet en større selvsikkerhet, ble innvendingene stadig mer fundamentale. Hovedrevisjonen av NSB og Jernbaneverket for 1998 og 1999 var begge kritiske. Revisjonen av Jernbaneverket for 1999 lignet mest et oppgjør med måten sikkerhetsarbeidet ble drevet på i Jernbaneverket. Et gjennomgangstema var at Jernbaneverket ikke hadde synliggjort et styringssystem for sikkerhet. En ulykke måtte til Men selv om Jernbanetilsynet gradvis utviklet en større selvstendighet overfor jernbanens institusjoner, måtte det en ulykke til før man fikk en reell endring av måten jernbanen forholdt seg til sikkerhet på. Motsetninger som i årene forut for ulykken hadde vært interne knivinger ukjent selv for mange ved jernbanen ble med ett utkjempet i all offentlighet. Dagen etter ulykken uttalte samferdselsminister Dag Jostein Fjærvoll at sikkerheten ved jernbanen var god nok. 11 Dagen etter oppdaget media at det var opprettet noe som hette Statens Jernbanetilsyn. 12 9 Intervju Sverre Quale august 2003. 10 Jernbanetilsynet, Rapport nr. 2-98, Oppsummering fra møte med ledelsen i NSB BA. Rapport nr. 8-98, Oppsummering fra møte med ledelsen i Jernbaneverket. 11 Aftenposten 5. januar 2000, «Sikkerheten uproblematisk.» 12 Intervju Sverre Quale 9. august 2003. 62

Helge Ryggvik Dermed ble Jernbanetilsyntes kritiske revisjon fra høsten 1999 plutselig en stor nyhet. 13 Fra Stortinget ble det stilt spørsmål ved hvordan samferdselsministeren kunne gå god for sikkerheten, til tross for en så kritisk rapport. Under én uke etter ulykken hadde Jernbaneverkets uhellskommisjonen en midlertidig rapport klar. Uten å ta for seg bakenforliggende årsaker konkluderte rapporten med at lokomotivet hadde kjørt på rødt lys. Dermed var ansvaret for ulykken som ved mange andre store jernbaneulykker plassert hos lokomotivføreren. Jernbaneverket forholdt seg til ulykken på samme måte som NSB hadde gjort i tilsvarende situasjoner. Men denne gangen vakte en slik tilnærming storm. Mange mente at Jernbaneverket forsøkte å fraskrive seg ansvaret for ulykken. I motsetning til ved Tretten-ulykken og Nordstrand-ulykken hvor konduktør og lokomotivførereoverlevde, kunneikke lokomotivførerenforsvareseg. Ved å plassere ansvaret på lokomotivføreren hadde dessuten Jernbaneverket denne gangen knyttet ansvaret til en annen institusjon, NSB BA. Når den offentlige gjennomgangen av Åsta-ulykken ble så omfattende, var det imidlertid ikke knivingen mellom NSB og Jernbaneverket men i første omgang eksistensen av Statens Jernbanetilsyn som ble mest utslagsgivende. Jernbanetilsynet ble en inngang til det indre liv i jernbanen som tidligere i praksis hadde vært lukket for allmennheten. Få dager etter ulykken var Jernbanetilsynets lokaler fylt opp av pressefolk som med utgangspunkt i de kritiske tilsynsrapportene gikk grundig inn på korrespondansen om sikkerheten ved jernbanen. Da man dessuten for første gang etter en stor jernbaneulykke i Norge opprettet en uavhengig ulykkeskommisjon, hadde man to uavhengige aktører som kunne se jernbanens sikkerhetsarbeid i et kritisk lys utenfra. Da Åsta-kommisjonen noen måneder senere også fikk ansvaret for å utrede Lillestrøm-ulykken, var det første grunnlaget lagt for etableringen av en permanent ulykkeskommisjon utenfor NSB. Prosessen i etterkant av Åsta-ulykken har fellestrekk med mekanismer som gjør seg gjeldende ved store systemskifter i politikken. Den tradisjonelle sikkerhetstankegangen ved jernbanen var sterkt forankret både institusjonelt og i jernbanens kultur. Med basis i det sikkerhetsregimet som hadde sitt utspring i oljevirksomheten, ble det gradvis bygd opp både et ideologisk og institusjonelt alternativ. Da Åsta-ulykken inntraff, var det ikke annet å vente enn at ansvaret ble lagt på det gamle systemet. Dermed lå alt åpent for det nye. Men selv om noe var galt med sikkerhetsarbeidet ved jernbanen på 1990-tallet, var ikke det ensbetydende med at svaret lå i internkontroll, kvalitetssikringssystemer og risikoanalyse, og at problemet lå i jernbanens tradisjonelle hendelsesbaserte sikkerhetskultur. Åsta-kommisjonens viktigste konkrete tiltak togradio på alle tog ved Rørosbanen, ATC på alle fjernstyrte strekninger og lydsignaler som varslet tog på kollisjonskurs ved togledersentralene var alle gamle forslag. 13 Aftenposten 6. januar 2000, «Krever fakta på bordet.» 63

2. Jernbanen, oljen, sikkerheten og historien Etter Nordstrand-ulykken sto NSBs sentrale HMS-stab og det gamle sikkerhetskontoret sammen om et krav om innføring av akustiske alarmer ved togledersentralene. NSBs sikkerhetskontor etterlyste den forserte utbyggingen av ATC da denne så ut til å løpe ut i sanden i 1996. 14 Hvis det tradisjonelle hendelsesbaserte sikkerhetssystemet hadde fungert etter forutsetningene, skulle viktige sikkerhetsfremmende tiltak som togradio, ATS og akustiske alarmsystemer ved togledersentralene ha vært tatt i bruk for lenge siden. Et hovedspørsmål blir derfor heller hvorfor jernbanen på 1990-tallet, i motsetning til tidligere, ikke tok hensyn til entydige råd fra sine egne sikkerhetsfolk. Kanskje var det ikke mangelen av internkontroll, men mangelen av en enhetlig og allment akseptert sikkerhetsorganisasjon som fungerte som var jernbanens egentlige problem frem mot årtusenskiftet. Den interne striden mellom den sentrale HMS-staben og sikkerhetskontoret kan ha bidratt til å svekke sikkerhetsberedskapen i den grad at man aldri fikk etablert et miljø med tilstrekkelig tyngde og autoritet til å sette foten ned i kampen om investeringsmidler. I en situasjon med presserende investeringsbehov andre steder måtte sikkerheten vike. Skal man følge internkontrollsystemets underliggende filosofi, var det altså jernbanens toppledelse som satt med et hovedansvar. Både sikkerhetskontoret, som ble overtatt av Jernbaneverket i 1996, og HMS-staben ble strippet ned til et minimum mot slutten av 1990-tallet. Selv om nedbemanningen av NSBs interne sikkerhetsoriganisasjon var i strid med det opprinnelige internkontroll-konseptet, var det helt i tråd med hva som pågikk i oljevirksomheten i den samme perioden. Med lave oljepriser og krav om kostnadsreduksjoner ble oljeselskapenes egne sikkerhetsorganisasjoner kraftig redusert på slutten av 1990-tallet. 15 Den vikarierende begrunnelsen var at sikkerhetsansvaret måtte ligge «i linjen». Det var riktig nok. Det praktiske ansvaret måtte ligge der hvor man tok beslutninger som var vesentlige for det arbeidet man utførte og oppover. Men samtidig var de interne sikkerhetsorganisasjonene som skulle sørge for og kontrollere at dette var tilfellet, og som skulle være en slags forlenget arm av myndighetenes kontrollinstitusjon, blitt rasjonalisert bort. Mot slutten av 1990-tallet opplevde oljevirksomheten en markert vekst i antall alvorlige hendelser. 16 Når ledelsen ved jernbanen i en presset situasjon villig tok til seg råd fra aktører i det dominerende sikkerhetsintustrielle kompleks, var det råd som åpnet for billige løsninger. Da jernbanevirksomheten på slutten av 1800-tallet i økende grad ble samlet i store private selskaper eller statlige monopoler, var sikkerhet et viktig underliggende premiss for de organisasjonsmodellene man valgte. Da den norske jern- 14 NOU 2000: 30, s. 153. 15 Ryggvik 1999. 16 Ryggvik 2003. 64

Helge Ryggvik banen ble omorganisert og splittet opp på 1990-tallet, var det sikkerhetsfunksjonene som måtte tilpasse seg endringene, ikke motsatt. Kanskje var problemet ganske enkelt det at kravene til kostnadsbesparende tiltak og stadige omorganiseringer var så store at sikkerhet var kommet i andre rekke. Det er avgjort forhold ved den sikkerhetskompetanse som ble utviklet i og rundt oljevirksomheten som har stor overføringsverdi. Jernbanen er tjent med at det generelle sikkerhetsarbeidet og ulykker nå blir regulert og gransket av institusjoner som ser jernbanen utenfra i et kritisk perspektiv. Men sikkerhetssystemer er kompliserte mekanismer der man står i fare for å overse det vesentlige hvis en ikke kjenner systemenes opprinnelse og filosofi, forstår deres kultur og er klar over hvilke forutsetninger som er avgjørende for at de skal fungere. De fleste «imperialismer» blir båret frem av velmenende entusiaster som ser sin egen rolle som en del av at sivilisatorisk prosjekt. Når begrepet imperialisme er blitt negativt ladet, skyldes det at de samme entusiastene, ofte uten å være det bevisst, inngår i et system hvor underliggende økonomiske og politiske tyngdelover (i storpolitikken også militære) gir dem til sammen mer makt enn ideenes makt. Dermed kan de vinne hegemoni uten å at de nødvendigvis står for den beste løsninger. I en situasjon som ved jernbanen hvor teknologiske, institusjonelle og økonomiske rammeforutsetninger endrer seg, må også sikkerhetsarbeidet endre seg. Like viktig som å studere hva som går galt i forbindelse med en ulykke, blir det da å studere hva som var det vesentlige som gjorde at systemet en gang fungerte. Like viktig blir det å ha klart for seg hvilke forhold som var avgjørende for at det nye man introduserer har fungert bra i andre sammenhenger. I en sikkerhetsarena hvor konsulenter som lever av omstilling og sin evne til å presentere enkle svar, får en stadig mer dominerende rolle, er det viktigere enn noen sinne å kjenne historien. Referanser Helge Ryggvik og Marie Smith Solbakken, Norsk Oljehistorie, Bind 3. Oslo 1997. NOU 2000: 30. Åsta-ulykken, 4. januar 2000. Ryggvik, Helge: «Fra forbilde til sikkerhetssystem i forvitring. Fremveksten av et norsk sikkerhetsregime i lys av utviklingen på britisk sokkel». TMV-notat 114, Oslo 1999 Helge Ryggvik, «Fra forvitring til ny giv, Om en ulykke som aldri inntraff», TIK Arbeidsnotat Nr. 26/2003. Jon Gulowsenog HelgeRyggvik, Norsk JernbanehistorieBind2, Gamlespor. Nyetider. Bergen 2004. 65