Rozdział 1 Dzień, w którym zrozumiałem, że to ja jestem problemem
Godzina siódma trzydzieści, mroźna budowa w Wielkiej Brytanii. Harmonogram napięty, presja rośnie, ekipy próbują utrzymać tempo robót. Na początku kariery wchodziłem na takie budowy jak policjant. Ktoś pracował na rusztowaniu bez kompletnej balustrady? Wpisywałem niezgodność do protokołu inspekcji i dokładałem kolejny punkt do cotygodniowej listy kontrolnej kierownika. Pojawiło się nowe ryzyko? Żądałem osobnego zezwolenia na pracę szczególnie niebezpieczną, z trzema podpisami i oceną ryzyka załączoną do teczki.
Stojąc tego ranka na mrozie i patrząc, jak ludzie radzą sobie z ciężką robotą, zobaczyłem schemat, którego nie dało się dłużej ignorować. Moje egzekwowanie przepisów nie poprawiało bezpieczeństwa na budowie. Spychało wiedzę o ryzyku do podziemia. Kiedy tylko pojawiałem się na placu, rozmowy milkły. Zdarzeń potencjalnie wypadkowych nikt nie zgłaszał. Każda rozmowa, którą zaczynałem z notesem w ręku, kończyła się działaniem naprawczym. A problemów, które sam generowałem, nie widziałem właśnie dlatego, że egzekwowanie nauczyło ludzi je ukrywać.
Organizacje z nienaganną dokumentacją nadal miały wypadki. Zasady były dobre. Wyniki już nie. Te dwa fakty się nie wykluczały. Łączył je związek przyczynowy, tylko odwrotny do tego, którego mnie uczono.
Na tej obserwacji stoi cała książka. To nie moralne przebudzenie. To spostrzeżenie strukturalne. Model zgodności, w którego egzekwowaniu mnie szkolono, wytwarzał dokładnie te problemy, którym miał zapobiegać. Żadne zaostrzanie egzekwowania nie mogło tego naprawić, bo to właśnie zaostrzanie było chorobą, nie lekarstwem. Kiedy to zrozumiałem, pytanie przestało brzmieć „jak zmusić ludzi do przestrzegania zasad?”, a zaczęło: „jak zaprojektować pracę, żeby bezpieczna decyzja była tą naturalną?”. To są różne pytania i prowadzą do różnych odpowiedzi. Ta książka zajmuje się tym drugim.
Zastój w bezpieczeństwie
To osobiste odkrycie wpisuje się w problem całej branży. Przez dekady doskonaliliśmy administracyjne i prawne zaplecze bezpieczeństwa i drobne wypadki rzeczywiście spadały. Skaleczenia, skręcenia, poślizgnięcia: brytyjski Health and Safety Executive (regulator BHP łączący funkcje, które w Polsce są rozdzielone między PIP, CIOP-PIB i Ministerstwo Rodziny, Pracy i Polityki Społecznej) raportuje ich spadek o około 75% od połowy lat 90. Ale krzywa ciężkich i śmiertelnych wypadków przestała się obniżać wiele lat temu. Od 2015 roku liczba ofiar śmiertelnych w brytyjskich miejscach pracy waha się między 110 a 150, ze średnią około 135. [i] Ten sam schemat widać w większości gospodarek zachodnich, w tym w Polsce, gdzie dane GUS i CIOP pokazują analogiczny trend: drobne wypadki spadają, liczba wypadków śmiertelnych od lat utrzymuje się na zbliżonym poziomie. [ii] Badania amerykańskich danych o urazach zawodowych pokazały coś jeszcze bardziej niepokojącego: stany z historycznie niskim wskaźnikiem urazów bez skutku śmiertelnego często miały wysoki wskaźnik ofiar śmiertelnych. Te dwie krzywe nie tylko się rozchodzą — wręcz się odwracają. [iii]
Stawka biznesowa jest znacząca. Każdy poważny incydent burzy harmonogramy i zjada marże. Badania potwierdzają, że skuteczne przywództwo w bezpieczeństwie zmniejsza liczbę wypadków powodujących absencję o około 35%. [iv] To odzyskana marża operacyjna: mniej incydentów, wyższa retencja pracowników, lepsza wydajność i reputacja, która pomaga wygrywać kontrakty. Wymogi przejrzystości publicznego raportowania ESG zaostrzają się. Osobista odpowiedzialność prawna kadry kierowniczej rośnie, nie tyle przez nowe przepisy karne w samym BHP, ile przez intensywność ich egzekwowania. Koszt „porządku na papierze przy bałaganie w terenie” nigdy nie był wyższy. Nie ma więc pytania, czy inwestycja w przywództwo w bezpieczeństwie się opłaca. Jest pytanie, dlaczego obecny model przestał przynosić wyniki.
Skąd ten zastój
Nie ma jednej przyczyny, dla której krzywa przestała spadać. Stagnacja to wypadkowa kilku sił działających jednocześnie. Mechanizmy kontroli doskonalone przez dekady przynoszą coraz mniejsze przyrosty bezpieczeństwa. Struktura ryzyka się przesunęła: z częstych drobnych zdarzeń na rzadkie poważne. Presja ekonomiczna utrudnia uzasadnienie inwestycji w zapobieganie czemuś, co może nigdy nie nastąpić. Dochodzą do tego czynniki ludzkie i organizacyjne (zmęczenie, braki w zasobach, słaba organizacja pracy, sprzeczne naciski), na które tradycyjny model nie miał odpowiedzi. Rozplątywaniem tego wszystkiego zajmuje się reszta książki. Ale przez cały obraz przebiegają dwa wątki i to od nich trzeba zacząć.
Pierwszy: tradycyjna ocena ryzyka zawodowego radzi sobie ze statycznymi, widocznymi zagrożeniami: nieosłonięte ostrze, odsłonięty kabel, brak balustrady. Stałe problemy, stałe rozwiązania. Od dekad ocena ryzyka stanowi fundament zarządzania BHP i słusznie: prawidłowo stosowana doprowadziła do znacznego obniżenia wskaźników wypadkowości. Nie krytykuję tu samego narzędzia. Powstało dla kategorii zagrożeń, które nie dominują już w danych o wypadkach śmiertelnych. Wypadki, które wciąż zabijają ludzi, są inne. Rodzą się z sytuacji: awaria maszyny w trakcie zmiany, zmiana zakresu zadań, presja produkcyjna skracająca okno na konserwację, błędy przekazania zmiany. To dynamiczne ryzyka, zależne od kontekstu. Standardowa ocena ryzyka ich nie wychwyci.
Drugi: ludzie najbliżej tych sytuacji — ci, którzy doświadczają ich codziennie — mają często najmniejszy wpływ na to, jak praca jest zaplanowana. Decyzje o procesach, zasobach i akceptowalnym ryzyku zapadają w biurach, z dala od rzeczywistości operacyjnej. To rozbieżność między pracą wyobrażoną a pracą rzeczywistą (work-as-imagined vs work-as-done): luka między tym, co jest na papierze, a tym, co dzieje się w miejscu pracy; między tym, jak kierownictwo widzi przebieg pracy, a tym, jak ludzie naprawdę ją wykonują. Ta luka jest najbardziej realnym sygnałem, że kultura bezpieczeństwa dryfuje: nie dlatego, że ludzie łamią zasady, ale dlatego, że zasady nie opisują już rzeczywistości.
W Polsce ten problem ma dodatkowy wymiar. Prawo pracy i BHP należą do najbardziej szczegółowych w Europie. Rygorystyczne wymagania dokumentacyjne — od szczegółowych instrukcji stanowiskowych po aptekarską precyzję w skierowaniach na badania lekarskie — tworzą rozbudowaną infrastrukturę formalną. Paradoks polega na tym, że ta sama infrastruktura, która chroni organizację przed sankcjami Państwowej Inspekcji Pracy (PIP), potrafi jednocześnie oddalać system od rzeczywistości operacyjnej. Zgodność z wymogiem staje się celem samym w sobie, a nie narzędziem zarządzania ryzykiem.
Żaden z tych wątków sam w sobie nie wyjaśnia stagnacji. Razem wskazują jednak na to, na czym skupia się reszta książki. Obnażają też zestaw wygodnych historii, które branża opowiada sama sobie, by nie musieć mierzyć się z faktami.
Mity chroniące status quo
Comiesięczne spotkanie dyrekcji. Pulpit wskaźników (dashboard) bezpieczeństwa świeci na zielono. Licznik przed wejściem do zakładu pokazuje 300 dni bez wypadku. Zarząd świętuje kurczącą się podstawę piramidy wypadkowej. Tymczasem na hali produkcyjnej zmęczony operator omija osłonę maszyny, żeby dowieźć napięty cel produkcyjny. Dokumentacja była idealna. Ryzyko okazało się śmiertelne.
BHP musi stanąć w prawdzie: spojrzeć w oczy temu, czego pulpit nie pokazuje, czego raporty nie raportują i co branża od dekad chowa pod warstwami zgodności. Każdy z poniższych mitów brzmi rozsądnie. Każdy wytrzymał lata cytowania na szkoleniach. I każdy z nich pomaga organizacji nie zobaczyć tego, co zobaczyć trzeba.
Mit: błąd ludzki jest przyczyną źródłową wypadków. Nawet 80% wypadków przy pracy przypisuje się działaniom lub decyzjom ludzi. [v] Statystyka cytowana częściej niż rozumiana. Nie oznacza, że 80% wypadków powodują nieuważni pracownicy. „Błąd ludzki” to etykieta, nie diagnoza. Za większością błędów stoi sieć warunków, które organizacja zaprojektowała, akceptowała albo ignorowała: braki w szkoleniu, sprzeczne cele, presja czasu, źle dobrany sprzęt, zmęczenie po dwunastogodzinnej zmianie. Etykieta zamyka postępowanie tam, gdzie powinno się dopiero zacząć.
Mit: wszystkim wypadkom da się zapobiec. Aspiracja jest moralnie słuszna. Twierdzenie już nie. Eliminacja ryzyka do zera oznacza zaprzestanie działalności, bo ryzyko jest wpisane w pracę. Kiedy zarząd wymaga bezbłędnego wyniku, organizacja uczy się ukrywać prawdę: zdarzenia potencjalnie wypadkowe nie są zgłaszane, urazy są przeklasyfikowywane, a system traci dane, których potrzebuje do poprawy. „Zero wypadków” jako aspiracja ma sens. Jako sztywny wymóg wynikowy tłumi przejrzystość, która zapobiega kolejnym wypadkom.
Mit: ograniczenie drobnych urazów zapobiega wypadkom śmiertelnym. Tylko 21% drobnych incydentów wiąże się z zagrożeniami zdolnymi spowodować śmierć albo poważne obrażenia. [vi] Pozostałe 79% nie ma żadnego związku z wypadkami ciężkimi. Zmniejszanie podstawy piramidy nie zamyka drogi do wypadku śmiertelnego na jej szczycie. Strategie skoncentrowane na drobnych zdarzeniach wyczerpały swój potencjał: krzywa wypadków śmiertelnych nie drgnie, dopóki organizacja kieruje energię właśnie tam.
Mit: liczniki wypadków promują bezpieczeństwo. Im wyższy licznik dni, tym większa presja psychologiczna, żeby nie przerwać passy. Pracownicy ukrywają drobne urazy. Kierownicy przeklasyfikowują zdarzenia, żeby uniknąć wyzerowania licznika. Kierownik operacyjny zadzwonił do mnie kiedyś po wypadku, który doprowadził do absencji. W jego głosie słychać było więcej lęku o licznik niż o poszkodowanego. Najbardziej martwił się tym, jak wytłumaczy reset dyrektorowi. Kiedy wskaźnik zaprojektowany do promowania bezpieczeństwa staje się tym, czego kierownik boi się bardziej niż samego urazu, przestaje mierzyć bezpieczeństwo. Zaczyna je tłumić.
Mit: „bezpieczeństwo jest naszym priorytetem numer jeden”. Priorytety konkurują i zmieniają się pod presją. Wartości się nie zmieniają. Slogan prawdziwy tylko w organizacji, która wstrzymuje produkcję, kiedy ryzyko tego wymaga, finansuje mechanizmy ochrony zamiast deklaracji i staje za ludźmi zgłaszającymi problemy. Organizacja, która deklaruje „safety first” i jednocześnie tnie budżet BHP, żeby chronić marżę, posługuje się cudzym językiem. Bezpieczeństwo jest wartością, nie priorytetem. Ta różnica nie likwiduje napięcia z rzeczywistością komercyjną, ale wymaga, żeby uczciwie nim zarządzać, zamiast je ignorować. W Polsce mit ten działa szczególnie destrukcyjnie. Slogan „bezpieczeństwo przede wszystkim” powtarzany na szkoleniach BHP i odprawach miesięcznych, a niewidoczny w decyzjach o terminach i marżach, produkuje cynizm, nie kulturę. Załoga uczy się rozpoznawać rozdźwięk po pierwszych dwóch–trzech kwartałach. Slogan przestaje wtedy znaczyć cokolwiek poza sygnałem, że kierownictwo nie ma dla niej szacunku.
Mit: Prawo do przerwania pracy, kiedy faktycznie działa, jest jednym z najskuteczniejszych środków kontroli ryzyka: przerywa śmiertelny ciąg zdarzeń, zanim się zakończy. Polskie prawo gwarantuje je formalnie. [vii] Kierownictwo regularnie podkreśla je na szkoleniach. Pracownicy i tak z niego nie korzystają, bo boją się reprymendy, utraty reputacji albo odwetu ze strony przełożonych, którzy sami są pod presją wyników. Samo ogłoszenie prawa nie wystarczy. Do tego potrzeba zmiany strukturalnej: w systemie premiowym, który dziś karze kierowników za wstrzymanie produkcji; w zarządzaniu, które zaciera odpowiedzialność za decyzje; i w języku, który pozwala ludziom eskalować problem bez obaw. Stawką jest dosłownie życie: wypadek śmiertelny w przemyśle rzadko jest gromem z jasnego nieba. To najczęściej ciąg zdarzeń, który ktoś widział i mógł przerwać i nie przerwał, bo przerwanie kosztowało więcej niż milczenie. Prawo powstrzymania się od wykonywania niebezpiecznej pracy istnieje po to, żeby przeciąć ten ciąg, zanim dojdzie do końca. Kiedy nie działa, ludzie giną w wypadkach, którym dało się zapobiec.
Te mity nie istnieją w oderwaniu od siebie i nie są przypadkowe. Działają jako tarcza przed niewygodną prawdą: po wypadku odpowiedzialność prawna trafia w konkretne osoby z imienia i nazwiska. Reakcja liderów na ten strach jest przewidywalna.
Pułapka biurokracji
Strach przed osobistą odpowiedzialnością prawną kanalizuje się w sposób przewidywalny. Liderzy nie zaprzeczają ryzyku — chronią się przed nim. Rośnie niepokój. Pojawiają się nowe zasady. Stare nigdy nie znikają. Odpowiedzialność spływa w dół hierarchii. Oceny ryzyka się mnożą. Zezwolenia się piętrzą. Listy kontrolne rosną. Przełożeni i pracownicy podpisują dokumenty, których nie mają czasu przeczytać, nie z niedbałości, lecz dlatego, że stos jest zbyt wysoki. Każdy z nich ma pełnić tę samą funkcję: udowodnić, że ktoś o czymś poinformował, ktoś coś zatwierdził, ktoś wziął na siebie odpowiedzialność. Polszczyzna ma na to jedno słowo: „dupokryjka”. Nie chroni pracownika przed wypadkiem. Chroni autora przed prokuratorem, jeśli wypadek już się wydarzy. Papierkowa robota staje się celem samym w sobie. Zgodność zastępuje kompetencje.
Instynktowna reakcja kierownictwa na spadek zgodności z zasadami to ostrzejsze egzekwowanie. Ale pracownicy obchodzą procedury z dwóch różnych powodów, a mylenie ich to jeden z najczęstszych błędów w analizie incydentów i wypadków. Większość obejść ma charakter adaptacyjny: pracownicy stają przed sprzecznymi wymaganiami, brakuje czasu i zasobów na pełną zgodność, a obejście procedury jest jedynym sposobem wykonania zadania. Karanie adaptacyjnych obejść bez zrozumienia przyczyny niszczy zaufanie, na którym stoją skuteczne systemy bezpieczeństwa. Mniejsza część obejść ma charakter lekkomyślny (recklessness w modelu Just Culture, czyli kultury sprawiedliwego traktowania, omawianym w rozdziale 9): to świadoma decyzja o zignorowaniu znanego ryzyka dla osobistej wygody. Najbliższy polski odpowiednik prawny to rażące niedbalstwo. Z mojego doświadczenia i z rozmów z kolegami po fachu takie przypadki są rzadkie: około 5% wszystkich incydentów. Rozróżnienie między adaptacją a lekkomyślnością jest ważne operacyjnie. Rozdział 3 pokazuje, jak jego zatarcie podsyca cykl obwiniania, a rozdział 9 omawia model pozwalający je odróżniać w praktyce.
Przełamanie impasu
Ta książka opiera się na jednej tezie: zarządzanie oparte na zgodności osiągnęło granicę swojej skuteczności. Dalsza poprawa wymaga strukturalnie innego podejścia.
Model proponowany w tej książce opiera się na trzech filarach: zarządzaniu ryzykiem, systemach zarządzania i kulturze bezpieczeństwa. W każdym filarze obowiązuje ta sama trzyetapowa logika: skoncentruj się na tym, co istotne, zaprojektuj rozwiązanie i wspieraj ludzi, którzy z niego korzystają.
Matryca to plan budowy (patrz Rysunek 1). Kolejne rozdziały to jego wykonanie.
| Skoncentruj | Zaprojektuj | Wspieraj | |
| Zmień podejście (w zarządzaniu ryzykiem) | Priorytety: wypadki śmiertelne i ciężkie. Skoncentruj się na rzadkich, ale bardzo poważnych zagrożeniach powodujących ciężkie obrażenia i śmierć. | Wielopoziomowe mechanizmy kontroli. Projektuj środki kontroli zakładające, że błąd ludzki i dotychczasowe bariery zawiodą. | Zapewnienie działania. Sprawdzaj, czy krytyczne środki kontroli działają w terenie, a nie na papierze. |
| Przebuduj (systemy zarządzania) | Zgodność w stylu lean. Usuń biurokratyczny balast BHP i wyeliminuj zasady, które nie zmniejszają już ryzyka. | Projektowanie zorientowane na człowieka. Twórz jasne, wizualne procedury odpowiadające rzeczywistości pracy i ograniczające liczbę błędów. | Współtworzenie na pierwszej linii. Buduj zasady wspólnie z ludźmi, którzy faktycznie wykonują zadania. |
| Rozwijaj (kulturę bezpieczeństwa) | Wartość biznesowa. Traktuj bezpieczeństwo jako niepodważalną rzeczywistość biznesową, nie hasło konkurujące z produkcją. | Ciągłe uczenie się. Badaj normalną pracę. Zmień podejście do dochodzeń, od szukania winnych do identyfikowania błędów systemowych. | Kompetencje w zakresie ryzyka. Buduj zespoły z praktyczną zdolnością oceny sytuacji, pozwalającą bezpiecznie radzić sobie w dynamicznych warunkach. |
Rysunek 1. Matryca „BHP, które działa”
Filary są współzależne. Najlepiej skonstruowane zarządzanie ryzykiem zawodzi w przerośniętym systemie zarządzania. Usprawniony system nie daje nic, jeśli kultura jest niedojrzała, a ludzie wciąż ukrywają błędy. Model działa tylko wtedy, kiedy wszystkie elementy działają razem.
Lotnictwo komercyjne, energetyka jądrowa, elitarne zespoły chirurgiczne, czyli organizacje wysokiej niezawodności (High Reliability Organisations, HRO) z najlepszymi wynikami bezpieczeństwa na świecie, nie są bezpieczniejsze dlatego, że mają więcej zasad. Myślą inaczej o porażkach: tropią słabe sygnały ryzyka, opierają się prostym wyjaśnieniom, utrzymują kontakt z pracownikami operacyjnymi, projektują systemy z myślą o awariach, a w kryzysie pozwalają, żeby kompetencja przeważyła nad pozycją w hierarchii. [viii] Te branże działają pod nadzorem regulacyjnym, z jakim większość czytelników nie ma do czynienia. Model przedstawiony w tej książce oddaje sposób myślenia operacyjnego HRO, nie ich model zarządzania.
Rozdział 10 przekłada cały model na 12-miesięczny plan transformacji w trzech fazach: 90 dni diagnozy i zaangażowania, trzy miesiące strategii i architektury, sześć miesięcy realizacji i nauki. Kolejność jest ważna. Najpierw diagnoza, potem działanie.
Ta książka jest dla liderów. Używam tego określenia szeroko. Liderem jest każdy, kto bierze odpowiedzialność za ludzi i efekty ich pracy. Nieważne, czy zasiadasz w zarządzie, prowadzisz duży projekt, czy kierujesz zmianą na hali. Jeśli masz realny wpływ na to, jak inni wykonują swoje zadania, ta książka jest dla ciebie. I nie jest to podręcznik o zarządzaniu dokumentacją. To przewodnik, jak przestać grać w teatr zgodności i zacząć budować bezpieczeństwo, które naprawdę chroni życie.
Jeśli masz zapamiętać tylko jedno
Dokładanie kolejnych zasad do systemu, który już przestał działać, daje papierkową robotę, nie bezpieczeństwo. Architektura tej książki kieruje zasoby tam, gdzie ryzyko jest największe, projektuje systemy odporne na błąd i tworzy warunki, w których pracownicy zgłaszają problemy zamiast je ukrywać.
[i] Health and Safety Executive (2024) Fatal injuries in Great Britain.
[ii] GUS/CIOP, dane o wypadkach przy pracy w Polsce. Opracowanie autora na podstawie danych z CIOP i GUS.
[iii] Mendeloff, J. i Burns, R. (2013) „States with low non-fatal injury rates have high fatality rates and vice-versa”, American Journal of Industrial Medicine, 56(5), s. 509–519.
[iv] Cooper, D. (2015) „Effective Safety Leadership: Understanding Types & Styles That Improve Safety Performance”, Professional Safety, 60(2), s. 49–53.
[v] Health and Safety Executive (1999) HSG48 Reducing Error and Influencing Behaviour. HSE Books.
[vi] National Safety Council (2018) Serious Injury and Fatality Prevention: Perspectives and Practices.
[vii] Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy (Dz.U. 2025 poz. 277), art. 210 § 1 (prawo pracownika do powstrzymania się od pracy) oraz art. 212 (obowiązki osoby kierującej pracownikami w zakresie bezpieczeństwa pracy).
[viii] Weick, K. E. i Sutcliffe, K. M. (2015) Managing the Unexpected: Sustained Performance in a Complex World. Wydanie trzecie. Wiley.