Revisjonsrapport Rapport Rapporttittel Rapport etter tilsyn med styring og ledelse av beredskap på Heimdal Aktivitetsnummer 001036008 Gradering Offentlig Unntatt offentlighet Begrenset Fortrolig Strengt fortrolig Involverte Hovedgruppe Oppgaveleder T-1-Statoil Aina Eltervåg Deltakere i revisjonslaget Dato Rune Solheim, Anthoni Larsen 11.11-20.11.2013 1 Innledning Petroleumstilsynet (Ptil) gjennomførte tilsyn med styring og ledelse av beredskap på Heimdal, med et oppstartsmøte på land 11.11.2013, og verifikasjon offshore 18.11. - 20.11.2013. I møtet på land deltok produksjonsleder, anleggsintegritet, SSU leder modne felt, sikkerhetsleder HAP, HVO HAP, leder av modne felt og plattformsjef (via video). På Heimdal ble det avholdt et oppstartsmøte med beredskapsledelsen ombord, samt HVO. I møte på land presenterte Statoil forhold rundt styring med og ledelse av beredskap ved temaene; Risikoanalyse, ref. søknad om samtykke til forlenget drift av Heimdal Beredskapsanalyse Måling/verifisering/vurdring av innretningsspesifikke ytelseskrav Prosesser rundt levetidsforelengelse herunder beredskap Kontinuerlig forbedring Presentasjon av DFU 12 fare for kollisjon Disse temaene ble utdypet i verifikasjonen på Heimdal, ved gjennomgang av utvalgte styrende dokumenter, presentasjoner og samtaler med nøkkelpersonell samt stikkprøver knyttet til utvalgte tema. 2 Bakgrunn En av Ptil sine hovedprioriteringer i 2013 er knyttet til oppfølging av ledelse og storulykkesrisiko og barrierer. I dette ligger det at operatøren innen beredskap skal ha etablert barrierer, satt ytelseskrav til disse og ha oppfølging av dem i et livsløpsperspektiv. Sikkerhetskritiske barrierer skal ivaretas på en helhetlig og konsistent måte slik at risiko for storulykker reduseres så langt som mulig, og at den restrisikoen som en så må forholde seg til håndteres på en god måte ved en godt planlagt beredskap og en robust beredskapsorganisasjon.
2 3 Mål Målet med aktiviteten er å få en oversikt over prosesser og systemer som bidrar til å sikre en helhetlig ledelse og styring av beredskap på Heimdal. Resultatene fra dette tilsynet vil også bidra til å danne grunnlag for vår samtykkebehandling til forlenget levetid for Heimdal HMP. 4 Resultat Tilsynet ble gjennomført som planlagt, og i henhold til vårt varselbrev av 23.9. 2013. Resultatene bygger på Statoil sine styrende dokumenter, presentasjoner og samtaler med nøkkelpersonell samt verifikasjoner og stikkprøver knyttet til utvalgte tema. Tilsynet var godt tilrettelagt og både presentasjoner, intervjuer og samtaler viste stor grad av åpenhet. Tilsynet omfattet Heimdal sin beredskapsfilosofi og beredskapsstrategi, samt hvordan disse er forankret i styrende dokumenter og arbeidsprosesser, innretningens beredskapsutstyr og resultat fra barrierekartlegginger (TTS) relatert til dette utstyret. Videre omfattet tilsynsaktiviteten beredskapsorganisasjonen sin kapasitet, inkludert personellets kompetanse relatert til de beredskapsoppgaver de utfører, system for gjennomføring av og læring etter øvelser og trening, innretningens rolle og ansvar i forhold til områdeberedskap og samhandling mellom hav- og landorganisasjon. Tilsynsaktiviteten startet med et heldagsmøte med ledelsen på land, 11.11.2013. Ptil fikk da en presentasjon over prosesser og systemer som skal bidra til å sikre styring med og ledelse av beredskap på Heimdal, samt innsikt i prosesser rundt levetidsforlengelse innen beredskap. Tilsynsaktiviteten fortsatte med en verifikasjon 18.11.-20.11. 2013 på Heimdal. I tilsynsaktiviteten ønsket vi å verifisere hvilke ytelseskrav som er etablert til barrierer i beredskapsorganisasjonen. Ytelseskrav satt til tekniske, organisatoriske og operasjonelle barrierer kan blant annet være kapasitet, pålitelighet, tilgjengelighet, effektivitet, evne til å motstå laster, integritet og robusthet. Det ble gjennomført en beredskapsøvelse. Vi gjennomførte også intervju med ledelsen ombord og intervju med innsatslag og samtale med vernetjenesten. Videre hadde vi en verifikasjonsrunde ombord. På denne runden registrerte vi en stor grad av ryddighet. Vernetjenesten deltok på verifikasjonsrunden. Oppsummert fikk Ptil en oversikt over prosesser og systemer som skal bidra til å sikre en helhetlig styring og ledelse av beredskap på Heimdal. Det at beredskapsanalyser blir utarbeidet, implementert, brukt og fulgt opp på en systematisk måte er et viktig bidrag til styring av risiko. Under verifikasjon offshore, observerte vi en øvelse der ytelseskrav ikke ble nådd, samt det kom tydelig frem utfordringer med stedfortrederroller. Etter presentasjonene på land og verifikasjon offshore, er det uklart for oss om ytelseskravene for Heimdal er innretningsspesifikke. Inntrykket vårt er at kvaliteten på beredskapsfaglige styringsdokumenter ikke er med på å sikre en helhetlig styring og ledelse av beredskap på Heimdal. Innretningen har prosesser og systemer (i form av samhandlingsmøter, TIMP, A-standard) og fokus på at aktiviteter er planstyrt som bidrar til å styre aktiviteter forbundet med risiko på en god måte. Dermed fremstår beredskapsorganisasjonen på Heimdal som sådan som god. Vi stiller imidlertid spørsmål ved om beredskapsorganisasjonen er robust.
3 5 Observasjoner Ptils observasjoner deles generelt i to kategorier: Knyttes til de observasjonene hvor vi mener å påvise brudd på regelverket. Forbedringspunkt: Knyttes til observasjoner hvor vi ser mangler, men ikke har nok opplysninger til å kunne påvise brudd på regelverket. Vi har observasjoner knyttet til følgende avvik og forbedringspunkt: Risikoanalyse Total risiko- og beredskapsanalyse med vedlegg Informasjon om resultater fra analyser til personell ombord Avbemanningsprosedyre Trening og øving på stedfortrederrolle i beredskapsledelsen Lastkart for MOB-båt operasjoner Kommunikasjon i forbindelse med håndtering av fare- og ulykkessituasjoner Dokumentasjon av trening Samtrening av personell i beredskapsorganisasjonen Sikkerhetsskiltingen og merkingen 5.1 Avvik 5.1.1 Risikoanalyse Mangelfull risikoanalyse Begrunnelse I forbindelse med beslutning om å forlenge levetiden på Heimdal HMP, har Statoil satt i gang et arbeid med å oppdatere total risiko- og beredskapsanalyse. Krav til risikoanalyser fremgår bl.a. av styringsforskriftens 17. NORSOK Z-013 (Z-013) utgjør forskriftskravets normative referanse. Resultater fra analyser skal være robuste i forhold til å gi beslutningstøtte relatert til den eller de operasjoner eller faser en står ovenfor. Statoil legger til grunn Z-013 (Edition 3, oktober 2012), som setter, i kapittel 5.6.2, krav til analysene slik at beslutninger skal kunne tas på best mulig opplyst grunnlag. Blant annet er det krav om usikkerhetsdiskusjon, risikoperspektiv, effekten og nivået av usikkerhet gitt risikoperspektivet, betydningen av sentrale begreper som sannsynlighet, frekvens, forventningsverdi, konservativisme. Videre er det krav om formålstjenlige analysemodeller. Når det gjelder analysens antakelser og forutsetninger, er det krav til beskrivelse av betydningen av avvik fra disse og vurderinger av behov for sensitivitetsanalyser som utdypet i standardens kapittel 5.6.3.4. Det kreves også en evaluering av konklusjonenes robusthet i forhold til endringer i studiebasis. Vi kan ikke se at Rapport Heimdal TRABA Hovedrapportapport./DNV Referansenr.: 2013-0011 / 15O1B9O-53 Rev. B, 2013-10-21, Utkast, mottatt 22.10. 2013, tilfredsstiller ovennevnte forhold. Styringsforskriften 11 om beslutningsgrunnlag og beslutningskriterier, 16 om generelle krav til analyser og 17 om risikoanalyser og beredskapsanalyser.
4 5.1.2 Total risiko- og beredskapsanalyse med vedlegg Total risiko- og beredskapsanalyse med vedlegg er ikke ferdigstilt. Da Statoil fattet beslutning om å forlenge levetiden på Heimdal HMP var ikke total risiko- og beredskapsanalyse med vedlegg ferdigstilt. Det fremgår av regelverket at analyser skal inngå som en del av beslutningsgrunnlaget. Det skal sikres nødvendig samordning av beslutninger på ulike nivå og ulike områder slik at det ikke oppstår utilsiktede effekter. Dette blant annet når en skal velge samt dimensjonere beredskapstiltak, samt også beslutningen om å søke om forlenget drift av Heimdal. Styringsforskriften 11 om beslutningsgrunnlag og beslutningskriterier, 16 om generelle krav til analyser og 17 om risikoanalyser og beredskapsanalyser. 5.1.3 Informasjon om resultater fra analyser til personell ombord Mangelfull informasjon til personell ombord om resultater fra risiko- og beredskapsanalyser. Det følger av styringsforskriften 16 om generelle krav til analyser at den enkelte analyse skal presenteres slik at målgruppen får en nyansert og helhetlig fremstilling av analysen og resultatene. Under tilsynet kunne det ikke dokumenteres hvordan risiko- og beredskapsanalyser og resultater fra disse som var relevante for beredskapsfunksjoner, var gjort tilstrekkelig kjent for relevant personell i Heimdal organisasjonen. Det ble opplyst under presentasjon, intervju og samtaler på Heimdal at personell ombord, som har sentrale beredskapsfunksjoner, var ukjent med om det foreligger en systematisk formidling av risiko vurdert i risiko- og beredskapsanalyser og resultater fra disse. Ref. tilsyn fra 2009 Risikovurdering i forbindelse med mindre modifikasjoner og normale regulære driftsaktiviteter, og Statoil sitt svar på dette, AU-CSO CHSE SAS- 00012; Det foregår et arbeid for at hvert anlegg skal ha etablert et forståelig vedlegg relatert til TRA, med risikokart for anvendelse i drift. Det ble opplyst under tilsynsaktiviteten at det ikke foreligger risikokart for innretningen Heimdal. Styringsforskriften 15 om informasjon, 16 om generelle krav til analyser. 5.1.4 Avbemanningsprosedyre Mangler prosedyre for å avbemanne Heimdal. Gjennom presentasjon og intervju ble det avdekket at avbemanningsprosedyre ved varslet 10.000 års kondisjon, ref. også møte (30.10. 2012, vår ref.: Ptil 2012/1378-5) med Petroleumstilsynet «Bølge-idekk»-analyse, mangler for Heimdal. I «Søknad om samtykke til forlenget drift av Heimdal, AU-DPN OW MF-00409», side 68, står det beskrevet: «Bølge-i-dekk analysen (ALS-10.000 års bølge) viser at plattformen ikke kan motstå en 10.000-års bølge. Det er derfor besluttet å stenge ned og avbemanne plattformen ved varsel om
5 ekstremvær som overskrider 100 års nivå, dvs. hvis signifikant bølgehøyde overskrider 14,5 m. Prosedyren sikrer at personell evakueres i tide og tiltak er etablert for å begrense konsekvenser på miljø og utstyr.». Det ble opplyst under tilsynsaktiviteten at det ikke foreligger avbemanningsprosedyre for Heimdal. Aktivitetsforskriften 76 om Beredskapsplaner og 77 om Håndtering av fare- og ulykkessituasjoner, innretningsforskrift 11 om laster, lastvirkninger og motstand. 5.1.5 Trening og øving på stedfortrederrolle i beredskapsledelsen Stedfortrederrollen i beredskapsorganisasjonen trenes og øves ikke systematisk ombord på Heimdal. Under intervjuer med og øvelse av beredskapsorganisasjonens medlemmer fremkom det at det i sjelden og i liten grad trenes eller øves på stedfortrederrollen for de ledende beredskapsfunksjonene. Det kunne ikke fremlegges en plan for å trene og øve stedfortrederrollen fullt ut for alle stedfortrederrollene i beredskapsledelsen ombord. Under øvelsen kom det frem at personell som har en stedfortrederrolle i beredskapsledelsen ikke var kjent med dette, samt ikke innehar den nødvendige kompetansen for denne rollen. Styringsforskriften 14 om bemanning og kompetanse, aktivitetsforskriften 68 om håndtering av fare- og ulykkessituasjoner, 21 om kompetanse og 23 om trening og øvelser. 5.1.6 Lastkart for MOB-båt operasjoner Mangelfullt lastkart for MOB-båt operasjoner Gjennom intervju og utlevert dokumentasjon ble det avdekket at lastkart for MOB-båt-operasjoner er mangelfullt for Heimdal. Lastkart for MOB-båt-operasjoner (revidert 18.3.2004) viser kun opptil Hs 2m. I Aris er grense for arbeid over sjø satt til Hs 2,5m. Aktivitetsforskriften 92 om løfteoperasjoner, jf. vedlegg ref. NORSOK R003N, 25 om bruk av innretninger og 77 om håndtering av fare- og ulykkessituasjoner. 5.1.7 Kommunikasjon i forbindelse med håndtering av fare- og ulykkessituasjoner Avvik Det var ikke sikret at intern kommunikasjon til enhver tid blir ivaretatt i fare- og ulykkessituasjoner på Heimdal. I «Søknad om samtykke til forlenget drift av Heimdal, AU-DPN OW MF-00409», «Rapport Heimdal TRABA 2013- Vedlegg Q Beredskapsanalyse», er det beskrevet i teknisk anbefaling at viktig melding på PA ikke går inn på UHF.
6 Ved observasjon under øvelse av en fare- og ulykkessituasjon, ref. beredskapsøvelse 18.11. 2013, og videre i intervjuer med personell om bord, ble det registrert at viktig informasjon fra beredskapsleder ikke til enhver tid var hørbar eller ble videreformidlet til alt personell i livbåtene. Ref. Tilsyn Gullfaks A i 2010, Tilsyn Norne i 2010 Aktivitetsforskriften 77 om håndtering av fare- og ulykkessituasjoner, 80 om kommunikasjon jf. innretningsforskriften 18 om systemer for intern og ekstern kommunikasjon 5.2. Forbedringspunkter 5.2.1 Dokumentasjon av trening Forbedringspunkt: Manglende systematikk vedrørende dokumentasjon av modultreninger. Det fremgikk under intervju med innsatslag at det ikke er en systematisk dokumentasjon av modultreninger ombord for MOB båt lag og S&R-lag. Aktivitetsforskriften 21 om kompetanse, 23 om trening og øvelser, styringsforskriften 14 om bemanning og kompetanse. 5.2.2 Samtrening av personell i beredskapsorganisasjonen Forbedringspunkt: Mangelfull samtrening mellom relevant personell ved bruk av MOB-båt. Skadestedsleder har en viktig funksjon i forhold til de fleste DFUer, deriblant også i MOB-båt aksjoner. I intervju med personell på Heimdal ble det opplyst at skadestedsleder ikke trener og øver med MOB-båt laget. Det bemerkes at dette også er påpekt på andre innretninger der Statoil er operatør, jf. tilsyn på Grane 2012 og Oseberg C i 2013. Styringsforskriften 14 om bemanning og kompetanse, aktivitetsforskriften 21 om kompetanse, og 23 om trening og øvelser. 5.2.3 Sikkerhetsskiltingen og merkingen Forbedringspunkt: Deler av sikkerhetsskilting og merking er mangelfull. Under verifikasjonen ombord på Heimdal ble det observert at det mangler områdemerking, samt at gulmerking enkelte steder var slitt. Fluoriserende merking (rømningsveier/beredskapsutstyr) var enkelte steder utslitt/blasse. Safetyplot-planer er av eldre type (Elf, Hydro, Statoil/Hydro).
7 Innretningsforskriften 28 om sikkerhetsskilting, aktivitetsforskriften 41 om sikkerhetsskilting og signalgivning på arbeidsplassen. 6 Andre kommentarer Statoils egne vurderinger av resultater fra risiko og beredskapsanalyse, strategier for barrierer innen beredskap Vi har i flere tilsyn etterspurt i varselbrev Statoils egne vurderinger av resultater fra risiko og beredskapsanalyse. Disse skal være synliggjort for å gi nødvendig beslutningsstøtte, relatert til de operasjoner eller faser en står ovenfor til enhver tid ute på relevant innretningen, også i forbindelse med revisjon av styrende dokumenter, som en beredskapsplan er. I brev Ptil 2007/1547/VKr/THu/GMO/HBj/OT/LH, 26.11.2007, understrekes det at analyser skal inngå som en del av beslutningsgrunnlaget. Statoil har utarbeidet en praksis for standardisering av beredskap. Statoil har utarbeidet en mal for beredskapsplan, standard oppsett for beredskapsorganisering, ett sett med standard DFU er, tilhørende standard ytelseskrav, samt fast opplegg for modultreninger. Videre blir risiko- og beredskapsanalyser utarbeidet av konsulentselskaper, som har ansvar for å drive prosessen. Dimensjonering av beredskapsorganisasjonen virker løsrevet og som en parallell aktivitet til risiko- og beredskapsanalysearbeidet. Ptil har vurdert om tilsendte dokumenter synliggjør at kravet i styringsforskriften 5 om fastsetting av strategier og prinsipper for utforming, bruk og vedlikehold av barrierer for å håndtere beredskapssituasjoner er ivaretatt. Vi har også vurdert om strategiene og prinsippene er utformet slik at de medvirker til å gi alle involverte i beredskapsorganisasjonen en felles forståelse av grunnlaget for kravene til de enkelte barrierene, deriblant hvilken sammenheng det er mellom risiko- og farevurderinger og kravene om og til barrierer innen beredskap. Ptil har registrert at tilsendte dokumenter inneholder informasjon som må betraktes som relevant i forhold til strategier for barrierer innen beredskap, men at ledende personell for Heimdalorganisasjonen ikke var seg bevisst dette. Vi viser også i denne sammenhengen til pågående dialog med selskapet om barrierer og ytelseskrav, inkludert møte med selskapet 2.5.2012, vår ref. Ptil 2011/1436. Vi vil rette oppmerksomheten på betydningen av Statoils egne vurderinger av resultater sikrer at problemstillinger som angår helse, miljø og sikkerhet, blir allsidig og tilstrekkelig belyst. Beredskapsrapport Tilsynet registrerte at Heimdal ikke følger Statoil-«mal» for utarbeidelse av beredskapsrapport. Det ble kommentert at dette er tid- og ressurskrevende for ledende personell ombord. Modultrening og øvelse Statoil informerte om utvikling av Emergency Preparedness Training System (EPTS), som er et system som skal sikre rett oppfølging av kompetanse, trening og øvelser for beredskapsfunksjoner i Statoil. Dette vil etter tilsynets vurdering kunne gi en bedre mulighet for kontroll av kompetansen i beredskapsorganisasjonen på innretningen. Planlagt øvelse med MOB-båt ble kansellert pga. været. Heimdal arrangerte en øvelse med DFU 01 olje gasslekkasje. Tilsynet registrerte at PA-meldinger ble kun gitt på norsk og at livbåtene ikke
8 hørte hva som ble meldt. Videre observerte tilsynet at ARL ikke opphørte ved bekreftet situasjon, men inngikk som et eget innsatslag. Dette er ikke beskrevet i beredskapsplanen. Statoil har et eget krav om 20 % uanmeldte øvelser i året. Heimdal kunne ikke fremlegge dokumentasjon på at dette var blitt gjennomført og registret. Modultrening for lagene en gang per tur bør ikke forstyrres hverken av skiftordning eller driftsoppgaver. Vi ble gjort oppmerksomme på at forpleining pga. forskjøvet skift og S&R pga. driftsoppgaver hadde utfordringer med å få gjennomført kravet om en trening per tur. Befaring Ved befaring i anlegget registrerte tilsynet blant annet; Støygardiner som ikke var tilfredsstillende festet. Søk og redningslagsutstyr ble ikke oppbevart på mønstringssted for søk og redningslag, men i skap plassert i TEG-hall Krasj skap manglet innholdsfortegnelse Mye korrosjon. Det ble opplyst at plan for korrektivt vedlikehold var etablert. MEG damp og hotoil-lekkasje Vi ble gjort oppmerksom på MEG damp utslippspunkt. Heimdal praktiserer operasjonelle tiltak for å unngå eksponering av personell. Tilsynet kommenterte at denne løsningen sannsynligvis ikke er forenelig med innstallering og drift av modulær borerigg. Videre observerte tilsynet lekkasje fra ventiler i hotoil-systemet som ble håndtert ved hjelp av midlertidig oppsamlingsarrangement. Statoil bekreftet at ventilene hadde nådd levetid og skulle byttes ut. Hotoil-systemet var ikke i drift i tilsynsperioden. Flotell Ptil orienterte om erfaringer fra oppfølging av hendelsen på Floatel Superior/Kvitebjørn 29.7. 2013 da broen mellom innretningene gikk på auto løft på grunn av dårlig vær. Ptil understreket at det var viktig for Heimdal å vurdere tiltakene etter denne hendelsen for å kunne gjennomføre en sikker og effektiv flotellperiode på Heimdal i 2014. Statoil opplyste på landmøte at DFU for kollisjon med flotell vil implementeres i beredskapsplan. Utfall av kraft Statoil opplyste på landmøte at selskapet er i ferd med å sluttføre en gransking av "tap av kraftforsyning" på innretninger og at eventuelle funn i denne rapporten vil bli vurdert også for Heimdal. Det ble også informert om at DFU for tap av kraftforsyning vurderes i Statoil. Tap av rømningsvei Det er utarbeidet ny totalrisiko- og beredskapsanalyse. Risiko for tap av rømning ved en prosesshendelse er hovedrisikodriver. Tiltak i form av ny rømningsvei lokalt på boreanlegg med korresponderende trapp i øst på M60 er besluttet. 7 Deltagere fra Petroleumstilsynet Rune Solheim F- Logistikk og Beredskap Anthoni Larsen F- Logistikk og Beredskap Aina Eltervåg F- Logistikk og Beredskap oppgaveleder
9 8 Dokumenter Følgende dokumenter ble benyttet under planlegging og gjennomføringen av aktiviteten: Heimdal TRABA Hovedrapport, 2013-0011 / 15O1B9O-53 Rev. B, 2013-10-21, Utkast Heimdal TRABA 2013- Vedlegg Q Beredskapsanalyse, 2013-0011 / 15O1B9O-6 Rev. A, 2013-05-10, Draft Heimdal TRABA Vedlegg A Forutsetninger, 2013-0311 / 15O1B9O-1 Rev. B, 29.04. 2013 Heimdal TRABA Vedlegg B Systembeskrivelse 2013-0011 / 15O1B9O-10 Rev. A, 14.06. 2013, Utkast Plattform intern verifikasjon PIV uke 2 14012013 Heimdal - PIV 1 Beredskap Plattformintern verifikasjon PIV Heimdal uke 4 15012013 - Kompetansekrav helsekrav og logger HMS inspeksjon PIV Heimdal uke 6 09022013 Beredskap Presentasjon Tilsyn med styring av beredskap - Landmøte 11.11.2013 Presentasjon Tilsyn med styring av beredskap - Offshore 18.11.2013 Beredskapsplan SF700 Beredskap o SF701 o SF702 o SF703 o SF704 WR1156 Beredskap på norsk sokkel WR 0333 Områdeberedskap TR1980 HMS kompetanse norsk sokkel GL0282 Guidelines for risk and emergency preparedness analysis WR1149 Medisinsk transport TR0817 Helsekrav OMC01-000 og 004 Utdrag Safety Plot plan Bemanning av beredskapsorganisasjon med navn pr. 18.11. 2013 Alarminstruks og sikkerhetsplan for innretningen Oversikt over gjennomførte beredskapsøvelser siste halvår Vedlegg A Oversikt over intervjuet personell.