Metodo Risk Score: quando il numero inganna

Un risultato ottenuto con il metodo Risk Score pari a 99 significa che la macchina è sicura? No. Significa che è pericolosa? Non sempre. Ed è proprio qui che nasce il problema con una delle tecniche più usate nella valutazione del rischio delle macchine.

Il metodo è comodo. Si spiega bene in formazione. Si mette in Excel. Si costruisce una tabella, si assegnano punti, si sommano o si moltiplicano valori, si impostano soglie: rischio basso, medio, alto. Alla fine esce un numero. Pulito. Tecnico. Convincente.

Ma quel numero che cosa dice davvero?

Se non sai da dove arriva, dice poco. Peggio: può ingannare.

Il metodo Risk Score non misura il rischio come un termometro misura la temperatura. È una traccia di ragionamento: come il team ha interpretato una situazione pericolosa, quale danno ha previsto, con quale gravità del danno, con quale frequenza/esposizione, con quale evento pericoloso e con quale possibilità di evitare o limitare il danno.

Qui sta la differenza tra un buon metodo e una tabella ben colorata. La tabella può aiutare. Ma può anche coprire la mancanza di pensiero.

Prima del metodo Risk Score: nomina lo scenario

Il peggior modo di usare il metodo Risk Score è questo: scrivere un pericolo e iniziare subito a calcolare.

Pericolo: parti mobili. S = 3. F = 4. O = 3. A = 5. Risultato: dipende dalla formula.

Ma questa non è ancora valutazione del rischio. È tirare a indovinare dentro una griglia.

ISO 12100 chiede di fare un passo prima: capire che cosa stai valutando. Il solo pericolo non basta. Una lama in movimento è un pericolo. Ma il rischio nasce quando una persona può trovarsi in una situazione in cui quel pericolo può generare un danno.

Quindi le domande vengono prima dei numeri.

Chi è esposto? Operatore, manutentore, addetto alle pulizie, tecnico di assistenza, persona che passa vicino alla macchina?

Quando è esposto? Durante il funzionamento normale, la pulizia, la messa a punto, la manutenzione, la rimozione di un inceppamento, una prova dopo regolazione, l’apertura di un riparo interbloccato, oppure a macchina ferma ma con energia ancora accumulata?

Che cosa può accadere? Avviamento inatteso, perdita di controllo del pezzo, trascinamento di una manica, rottura di un tubo, proiezione di un componente, caduta di una parte pesante, ingresso nella zona pericolosa prima dell’arresto del movimento?

Quale danno può derivarne? Taglio, frattura, schiacciamento delle dita, amputazione, morte, perdita dell’udito dopo anni di esposizione, malattia respiratoria dovuta a polveri?

Solo dopo ha senso stimare il rischio.

Il metodo Risk Score non dovrebbe valutare parti mobili come frase generica. Dovrebbe valutare scenari concreti. Per esempio: l’operatore rimuove un inceppamento nella zona di alimentazione con il riparo parzialmente aperto e il movimento pericoloso può ripartire al riavvio. Oppure: il manutentore regola un sensore vicino a un azionamento e l’attuatore può muoversi di colpo al ripristino della pressione. Oppure ancora: l’operatore alimenta manualmente un pezzo nella zona utensile e il pezzo può essere afferrato trascinando la mano verso una parte rotante.

Questi sono scenari. Per questi, il numero inizia ad avere senso.

La stessa macchina può avere risultati molto diversi per lo stesso pericolo. Perché cambia il compito. Cambia la persona esposta. Cambia la frequenza/esposizione. Cambia la possibilità di evitare o limitare il danno. Cambia lo stato della macchina. Cambiano le misure di protezione.

Prendi un caso semplice. Una parte mobile è dietro un riparo fisso. In funzionamento normale l’operatore non può accedervi. L’esposizione è minima. Ma durante la manutenzione il riparo viene rimosso, il lavoratore ha le mani vicino alla trasmissione, qualcuno potrebbe ripristinare l’alimentazione e nell’impianto può restare energia residua. È ancora lo stesso risultato? Non dovrebbe esserlo.

Prima lo scenario. Poi i parametri. Alla fine il risultato. Non il contrario.

ISO 12100 non prescrive il calcolo del metodo Risk Score

ISO 12100 non dice di sommare parametri. Non dice di moltiplicarli. Non impone una scala da 1 a 5. Non stabilisce che oltre una certa soglia la cella debba diventare rossa.

Dice qualcosa di più importante: il rischio dipende dalla gravità del danno e dalla probabilità che quel danno si verifichi.

E la probabilità non è un numero scelto a sensazione. Può dipendere dalla frequenza/esposizione della persona al pericolo, dalla possibilità che si verifichi un evento pericoloso e dalla possibilità reale, tecnica e pratica, di evitare o limitare il danno.

Per questo, in azienda, si trovano versioni diverse del metodo Risk Score. Alcune usano due parametri: gravità del danno e probabilità. Altre tre: gravità, esposizione, probabilità dell’evento. Altre ancora separano la probabilità in più elementi: frequenza, possibilità di evento pericoloso, possibilità di evitare il danno.

È automaticamente sbagliato? No.

È accettabile se il metodo valuta davvero ciò che deve valutare: gravità del possibile danno e probabilità del suo verificarsi. È accettabile se i parametri sono definiti bene. È accettabile se la stessa logica viene usata prima e dopo la riduzione del rischio. È accettabile se sai spiegare quale elemento del rischio è stato modificato dalla misura di protezione.

Ma se aggiungi parametri casuali perché erano già nel file Excel, nasce il problema. Se una volta la frequenza indica gli accessi alla zona pericolosa in una settimana e un’altra volta indica l’impressione generale del valutatore, nasce il problema. Se la possibilità di evitare il danno si basa sulla fiducia nel riflesso dell’operatore, nasce il problema.

E se dopo aver installato un riparo abbassi la gravità del danno, anche se il contatto con lo stesso utensile provocherebbe ancora un’amputazione, il problema è grosso.

Il metodo non è buono perché ha quattro colonne. Non è buono perché ha una formula. Non è buono perché produce un colore. È buono quando aiuta a rispondere a una domanda semplice: che cosa è davvero cambiato nel rischio?

Scoring numerico in ISO/TR 14121-2: esempio, non formula magica

Se ISO 12100 non dice come calcolare il risultato, da dove arriva l’approccio a punti? Dalla pratica e dai documenti di supporto.

ISO/TR 14121-2 descrive diversi strumenti per la stima del rischio: matrice del rischio, grafico del rischio, scoring numerico e metodi ibridi. La distinzione conta. ISO 12100 definisce il processo di valutazione del rischio. ISO/TR 14121-2 mostra esempi di strumenti per applicarlo.

Lo scoring numerico non è quindi il calcolatore obbligatorio della norma. È un modo per assegnare valori numerici a classi di parametri e combinarli in un risultato utile per confrontare scenari, stabilire priorità e mostrare l’effetto delle misure di protezione.

Funziona? Sì, se il numero rimanda alle ipotesi.

Se il danno possibile è molto grave e la probabilità è alta, il risultato sarà alto. Nessuna sorpresa. La domanda vera è un’altra: perché abbiamo deciso che il danno è molto grave? Perché abbiamo deciso che la probabilità è alta? Perché l’operatore accede ogni giorno? Perché rimuove inceppamenti a ogni turno? Perché il riparo può essere eluso? Perché l’evento pericoloso è improvviso e l’uomo non ha tempo di reagire?

Senza queste risposte il risultato sembra un’analisi, ma non porta contenuto.

Un risultato di 175 punti non significa che qualcuno abbia misurato il rischio con precisione al singolo punto. Significa che, con quella scala, quelle soglie e quei valori, lo scenario è finito in una certa classe. È un linguaggio interno. Non una misura di laboratorio.

Confrontare il 99 di un’azienda con il 99 di un’altra, usando scale e definizioni diverse, è rumore. Il numero finge di essere una lingua comune. Ma non lo è.

Nel metodo Risk Score devi separare tre cose: formula, scala e definizioni. La formula si copia in cinque minuti. La scala si incolla da un modello. Le definizioni, invece, vanno capite. E lì si vede se la valutazione regge.

Parametri del metodo Risk Score: qui nasce l’errore

Nella pratica il metodo Risk Score finisce spesso in quattro lettere: S, F/E, O/Pr, A/Av. Il problema non sono le lettere. Il problema è quando nessuno sa più che cosa significano davvero.

Se S indica la gravità del danno, devi stabilire quale danno stai valutando: il più probabile, il più grave possibile, oppure il più grave ragionevolmente prevedibile nello scenario? Se F/E indica frequenza o esposizione, devi includere anche pulizia, messa a punto, manutenzione e rimozione di inceppamenti. Non solo la produzione ideale. Se O/Pr indica la possibilità dell’evento pericoloso, devi considerare guasti, errori umani prevedibili, elusione dei ripari, perdita di controllo del pezzo, avviamenti inattesi. Se A/Av indica la possibilità di evitare o limitare il danno, devi smettere di trattare l’attenzione dell’operatore come una misura di protezione.

Questa tabella è più importante della formula. La formula elabora valori. I valori nascono da decisioni tecniche.

Quando le definizioni sono deboli, anche un foglio perfetto produce un risultato debole. Quando le definizioni sono solide, anche un metodo semplice costringe il team a discutere delle cose giuste: lo scenario, l’esposizione reale, l’evento pericoloso, l’effetto concreto della misura di protezione.

La domanda non è: diamo 3 o 4 per far tornare il colore? La domanda è: quale parametro è cambiato davvero?

Versioni diverse del metodo Risk Score: possono essere corrette?

Sì. Possono esserlo. A una condizione: non devono perdere il senso della valutazione del rischio.

ISO 12100 non impone una formula unica. Non dice che bisogna sommare. Non dice che bisogna moltiplicare. Non dice che la scala deve avere quattro o cinque livelli. Chiede però che la stima del rischio consideri gravità del danno e probabilità del suo verificarsi.

Una formula diversa non rende automaticamente sbagliato un metodo. Lo rende sbagliato l’uso cieco. Lo rende sbagliato l’assenza di definizioni. Lo rende sbagliato il risultato finale usato al posto dello scenario.

Nel metodo Risk Score non serve che tutte le aziende calcolino allo stesso modo. Serve che calcolino consapevolmente.

Perché il solo risultato del metodo Risk Score è troppo poco?

Molte valutazioni finiscono con una parola: basso, medio, alto. Oppure con un solo numero. Ma il numero da solo non dice quale problema hai davanti.

Prendiamo un esempio con somma dei parametri. Valori indicativi, non universali.

S = 2: danno serio ma reversibile. F = 3: esposizione occasionale. O = 3: evento pericoloso possibile. A = 3: possibilità di evitare il danno presente ma non garantita. Risultato: 11. Categoria: rischio medio.

Va bene. Ma il punto non è 11. Il punto è sapere da dove arriva quel 11.

Matematicamente è lo stesso risultato. Tecnicamente sono tre conversazioni diverse.

Nel secondo caso non puoi ignorare la gravità solo perché la somma è uguale. Se il danno possibile è mortale, i valori bassi degli altri parametri devono essere blindati da una giustificazione solida. Esposizione davvero rara? Evento davvero poco probabile? Possibilità di evitare davvero assente o presente? Qui non si gioca con i colori.

Esiste anche il caso opposto: gravità moderata, ma esposizione altissima e evento pericoloso frequente. Se l’operatore deve infilare la mano nella zona pericolosa più volte a turno, la direzione è chiara: eliminare la necessità di accesso. Automatizzare l’alimentazione. Spostare il punto di regolazione fuori dalla zona pericolosa. Usare un riparo interbloccato. Cambiare il processo.

Il risultato finale non basta. Serve vedere la distribuzione dei parametri. Solo così capisci dove agire: gravità del danno, frequenza/esposizione, possibilità dell’evento pericoloso o possibilità di evitare o limitare il danno.

Metodo Risk Score in SafetySoftware: il numero deve avere una giustificazione

In Excel puoi calcolare qualsiasi cosa. Colonne S, F, O, A. Formula. Colori. Grafica pulita. Rapporto ordinato.

Ma il problema della valutazione del rischio non è mai sommare quattro numeri. Il problema arriva un mese dopo, un anno dopo, o dopo un incidente, quando qualcuno chiede: perché avete inserito proprio quei valori?

Perché la gravità del danno è 2 e non 4? Perché l’esposizione è occasionale se l’operatore rimuove inceppamenti più volte a turno? Perché la possibilità di evitare il danno è considerata alta se il movimento è improvviso? Perché dopo l’installazione di un riparo avete abbassato la gravità invece della frequenza/esposizione?

Qui il metodo Risk Score ha bisogno di ordine.

In SafetySoftware il risultato non deve restare una cifra isolata. Deve essere collegato allo scenario: pericolo, zona della macchina, attività svolta, persona esposta, evento pericoloso, danno prevedibile, valori dei parametri, risultato prima della riduzione del rischio, misura di protezione applicata, risultato dopo la riduzione, rischio residuo.

Solo così il numero lavora. Non come decorazione del rapporto. Non come colore nella tabella. Non come scusa per dire: è uscito medio, quindi siamo a posto. Lavora come traccia di una decisione tecnica.

Questo è cruciale dopo l’applicazione delle misure di protezione. Se installi un riparo fisso, di solito non cambi la gravità del danno. Il contatto con l’elemento tagliente sarebbe ancora grave. Cambi l’esposizione, perché l’accesso durante il funzionamento normale è impedito.

Se installi un riparo interbloccato, può cambiare la possibilità dell’evento pericoloso, perché l’apertura del riparo deve arrestare il movimento pericoloso. Se riduci la velocità in messa a punto, può cambiare la possibilità di evitare o limitare il danno, perché la persona ha più tempo per reagire. Se modifichi la progettazione ed elimini il punto di schiacciamento, può cambiare la gravità oppure sparire lo scenario stesso.

Questa è la differenza tra buona valutazione del rischio e riscrittura dei punti. Non abbassi il risultato perché hai aggiunto una protezione. Mostri quale elemento del rischio è stato ridotto.

Quando il metodo Risk Score aiuta e quando inganna

Il metodo Risk Score aiuta quando obbliga il team a mettere ordine. Aiuta quando bisogna confrontare molte situazioni pericolose. Aiuta quando bisogna definire priorità. Aiuta quando serve mostrare la differenza tra stato iniziale e stato dopo la riduzione del rischio.

Aiuta anche a vedere che il problema non è sempre la gravità del danno. A volte è l’esposizione troppo frequente. A volte è la possibilità di eludere un riparo. A volte è l’assenza di tempo per reagire. A volte è il fatto che l’operatore deve svolgere un compito in un punto dove non dovrebbe mai trovarsi.

Ma il metodo inganna quando sostituisce il pensiero.

Inganna quando i valori vengono inseriti senza descrivere lo scenario. Inganna quando il team non capisce i parametri. Inganna quando il risultato finale viene trattato come prova di sicurezza. Inganna quando, dopo una misura di protezione, qualcuno abbassa i numeri solo per rendere verde la cella. Inganna quando una somma bassa copre un danno potenzialmente mortale. Inganna quando la possibilità di evitare il danno si basa sulla fede nel riflesso umano. Inganna quando la bassa probabilità deriva solo dal fatto che finora non è successo nulla.

La disciplina conta più della matematica. Prima scenario. Poi parametri. Poi stessa logica prima e dopo la riduzione del rischio. Poi verifica dell’effetto reale della misura di protezione. Infine una documentazione comprensibile anche senza la persona che l’ha scritta.

Perché una buona valutazione del rischio non si scrive solo per il giorno della firma. Si scrive anche per il giorno in cui qualcuno chiederà: perché avete deciso che il rischio era stato ridotto abbastanza?

Conclusione: il numero non è l’obiettivo

Il metodo Risk Score è popolare perché è semplice. Ed è un vantaggio. Ma la stessa semplicità è una trappola.

È facile confondere il calcolo con la valutazione del rischio. È facile confondere il colore con la decisione. È facile confondere il risultato con una prova.

ISO 12100 non chiede una tabella bella. Chiede un processo serio: identificare i pericoli, stimare il rischio, scegliere misure di protezione, verificare la riduzione del rischio e descrivere il rischio residuo.

Il metodo Risk Score può aiutare molto. A una condizione: non deve vivere di vita propria. Un risultato 11, 14 o 99 non dice ancora se la macchina è sicura. Dice solo che sono stati scelti certi valori. Il valore tecnico nasce quando sai difendere quei valori.

La domanda più importante non è: quale risultato è uscito?

La domanda vera è: sai spiegare perché quei parametri hanno portato proprio a quel risultato?

Se sì, il metodo aiuta. Se no, il metodo sta solo fingendo ordine.