Dominomodellen og kjerneårsaksanalyse

I dominomodellen, som ble utviklet av Herbert William Heinrich (1886–1962) i 1930-årene, forstås uønskede hendelser som en kjedereaksjon, som når en dominobrikke faller og fører til konsekvenser for den neste brikken. Det viktigste i dette perspektivet har vært å identifisere kjerneårsaken. Ifølge Heinrich oppstår feil som en sekvens av ulike faktorer forårsaket av teknisk svikt, men også menneskelige feilhandlinger kan utpekes som kjerneårsaken til den uønskede hendelsen (4).

En hyppig brukt analysemetode innen de enkle, lineære modellene er kjerneårsaksanalyse. Kjerneårsaksanalyse identifiserer en rekke bakenforliggende årsaker til en uønsket hendelse og konkluderer med hva som er den opprinnelige kjerneårsaken. På samme måte som i dominomodellen fremstilles hendelseskjeden sekvensielt langs en tidslinje med kjerneårsak og kausale faktorer (figur 2). Fordelen med analysemetoden er at den er enkel å visualisere og kommunisere, og at man ender opp med konkrete tiltak.

Forutsetningene for å lykkes med bruk av enkle, lineære modeller er at systemet er forutsigbart, og at det foreligger kunnskap om årsaker til svikt og om effekten av tiltak som settes i verk for å forebygge eller stanse utviklingen av den uønskede hendelsen. Sikkerhetstiltak rettes mot å stoppe kjedereaksjonen og forhindre at «dominobrikkene forsetter å falle» (2). Mens det kan være åpenbart hva som er årsaken til svikt i et oversiktlig avgrenset teknisk system, er dette ikke like åpenbart i helsetjenesten.

Kjerneårsaksanalyser er utbredt i helsetjenesten. I en gjennomgang av 302 kjerneårsaksanalyser i helsetjenesten fant Kellogg et al. at rapportene hovedsakelig konkluderte med menneskelig svikt som kjerneårsak til den alvorlige, uønskede hendelsen (5). Løsningen var oftest å lage en ny prosedyre for å sikre at helsepersonellet gjorde jobben korrekt. Samtidig kan stadig nye prosedyrer bidra til å øke systemkompleksitet og gi kognitiv overbelastning for helsepersonell, og på den måten i seg selv bidra til svikt. Kellogg et al. konkluderte med at kjerneårsaksanalyser ikke kan forklare ulykker i komplekse systemer, slik som i helsetjenesten, hvor flere bakenforliggende årsaker knyttet til organisasjon, teknologi og konstante endringer er involvert i ulykker og uønskede hendelser (5).

En annen studie av bruken av kjerneårsaksanalyser i helsetjenesten er det svenske helsetilsynets gransking av selvmord (6). Fröding et al. (2021) gikk gjennom granskingsrapporter fra det svenske helsetilsynet i en 13-årsperiode og fant at rapportene konkluderte med at hovedårsaken til selvmordene lå i møtet mellom pasienten og helsepersonellet. Hovedsakelig var det selvmordsrisikovurderingene som ikke var gjort godt nok, ifølge granskingen. Anbefalingene som ble gitt, var også her å lage en ny prosedyre eller å oppdatere eksisterende rutiner, primært for å sikre at helsepersonell gjorde bedre selvmordsrisikovurderinger. Forfatterne konkluderte med at kjerneårsaksanalysene ga begrensede muligheter for læring, fordi analysene ikke omfattet læring på tvers av enheter (6).

De ovennevnte studiene belyser hvilke begrensninger kjerneårsaksanalyser har når de brukes i helsetjenesten. Når man retter oppmerksomheten mot enkeltindividet eller klinikknivået, glipper søkelyset på tiltak og læring rettet mot bakenforliggende årsaker i systemet, og pasientforløpet gjennom systemet mistes av syne. Ofte er det enkelttiltak som iverksettes som følge av hendelsesgjennomgang med kjerneårsaksanalyser, slik som å eliminere uønsket variasjon i implementeringen av en prosedyre. Ved bruk av kjerneårsaksanalyser glipper dermed også blikket på komplekse årsaksforhold. Hollnagel hevder at en praksis som tilsynelatende er velforstått, ofte vil fremstå som mer kompleks og preget av uforutsigbarhet dersom man studerer hverdagspraksisen nærmere. Implementering av enkelttiltak påvirkes ofte av organisasjonskultur, arbeidsplassens fysiske utforming og behovet for å tilpasse arbeidet fordi prosedyren ikke passer til virkeligheten (2).

Selvmordsforebygging i en psykiatrisk sengepost er et eksempel på en praksis hvor handlinger ikke gir slike forutsigbare utfall som man forventer i et enkelt, teknisk system. Sikkerhet for pasienter i selvmordskrise skapes i møtet mellom mennesker og gjennom tilpasninger av behandling og beskyttelsesnivå til den enkelte pasient (7). Når man peker på feilaktige selvmordsrisikovurderinger som kjerneårsak til selvmord, faller det på sin egen urimelighet, fordi selvmord ikke lar seg predikere på individnivå. Man vet for eksempel at det er en svært forhøyet selvmordsrisiko knyttet til det å ha alvorlig depresjon, spesielt det å være innlagt med alvorlig depresjon, men man vet ikke hvem av dem med alvorlig depresjon som kommer til å ta livet sitt (8).

Til tross for at kjerneårsaksanalyse er utilstrekkelig både for å vurdere årsaker til systemsvikt og for å gi føringer for effektive sikkerhetstiltak innen mentale helsetjenester, brukes disse likevel i gransking i helsetjenesten verden over (6, 9, 10).

Sveitserostmodellen og Reasons gransking av organisatoriske ulykker

En velkjent modell innen de komplekse, lineære modellene er sveitserostmodellen utviklet av James Reason (1938–2025) i 1980-årene (figur 3) (12).

Skivene av ost visualiserer barrierene på ulike nivåer i systemet, og hullene visualiserer brudd i barrierene som gjør at feilaktige handlinger ikke stanses. Ifølge Reason vil det alltid skje feil når mennesker arbeider i moderne, teknologiske systemer, men man kan hindre disse i å få negative konsekvenser, hvis barrierene er gode. Sikkerhetstiltak rettes mot å «fylle hullene» i barrierene, for eksempel ved å forbedre sikkerhetskultur og opplæringssystemer, eller ved å sette inn harde barrierer som fysisk forhindrer feilhandlinger (for eksempel selvmordsgjerder) (12).

Reasons granskingsmodell for organisatoriske ulykker går bakover fra den uønskede hendelsen til de latente forholdene. Selv om menneskelige feilhandlinger er nært i hendelseskjeden bak en alvorlig hendelse, er det ikke der man ser etter årsakene. Granskingen retter blikket mot organisatoriske forhold og det som former menneskelig atferd på arbeidsplassen (12).

Reason retter søkelyset på årsaksfaktorer på mesonivået, også omtalt som organisasjons- og ledelsesnivået. Feilbarlighet anses som en iboende egenskap hos mennesket. Ifølge Reason «kan man ikke endre mennesket i seg selv, men man kan endre betingelsene menneskene arbeider under» (12, s. 15, min oversettelse).

Sveitserostmodellen brukes fortsatt i ulike bransjer, også i helsetjenesten, mye på grunn av sin enkelhet som pedagogisk og grafisk verktøy. Den har vært kritisert for å presentere et statisk og overforenklet bilde av årsaker til ulykker (11).

En styrke ved de komplekse, lineære modellene er implementeringen av lærende sikkerhetskultur, hvor sanksjonsfrie meldesystemer inngår som en grunnpilar (12). Fra å søke etter svikt hos individet til svikt i omgivelsene bedres også de psykologiske betingelsene for læring (13).

Sosioteknisk systemteori og AcciMap

Ifølge sosioteknisk systemteori vil aktører på ulike nivåer i systemet ta beslutninger og utføre handlinger som påvirker sikkerhet i den spisse enden av systemet (i helsetjenesten vil det si i klinikk) (14). Modellen gir innsikt i de komplekse interaksjonene som skjer mellom politiske føringer, regulering, ledelsesforhold på organisasjonsnivå og klinisk praksis. Den har gitt inspirasjon til en rekke metoder som tillater gransking av systemet som helhet, og interaksjoner mellom nivåene i systemet (18).

AcciMap er en slik granskingsmetode (14). Den brukes blant annet av Statens havarikommisjon for transport (19). Metoden anvendes også av Statens undersøkelseskommisjon for helse- og omsorgstjenesten (Ukom), som har tilpasset metoden og innlemmet perspektiver fra pasient og pårørende (se eksempelvis, 20).

AcciMap egner seg til slike undersøkelser fordi den gir anledning til å vurdere medvirkende faktorer på statlige, regulatoriske og samfunnsmessige nivåer. Ved å ta oppmerksomheten bort fra de umiddelbare årsakene, som menneskelige handlinger, unngår man å legge skylden på personer i frontlinjen. Siden analysen påpeker forhold på tvers av helsetjenesten, antas enkelthendelsene å gi læring for flere enn dem som var involvert i hendelsen (20).

AcciMap er blitt kritisert for å være en ressurskrevende metode med høye krav til metodisk ekspertise. Den har ikke predefinerte kategorier, og granskeren må kode datasettet induktivt og utvikle klassifiseringsskjema for hver analyse (21).

Normalulykketeori

Ifølge normalulykketeori kjennetegnes noen systemer av en iboende kompleksitet som gjør at en ikke kan forutse hendelser (15). Ulykker i slike systemer er uunngåelige, og derfor bør man unngå å designe slike systemer, ifølge Charles Perrow (1925–2019). Normalulykketeorien er blitt kritisert for å være reduksjonistisk og overfokusert på tekniske feil, og den har begrenset nytteverdi i gransking av store organisatoriske ulykker, hvor man ofte finner at ledelsesfaktorer, ikke bare teknisk kompleksitet, har virket inn (22). Teorien har hatt liten innflytelse på analysemetoder, men den har bidratt med innsikt om at for mange systemer og prosedyrer for dobbelsjekking av handlinger for å forhindre feil, gjør at den enkelte får for stor tillit til backup-systemene, og dermed føler mindre ansvar. Et eksempel er dobbelsjekking av legemidler som kan feile fordi begge stoler på hverandre, uten at de gjør jobben grundig nok selvstendig (23).

Teori om høypålitelige organisasjoner

Teorien om høypålitelige organisasjoner kom som en motvekt mot normalulykketeori og erstattet styringspessimisme med styringsoptimisme (16). Enkelte systemer, slik som romfart, luftfart og kjernekraftverk, blir designet slik at de til tross for høy kompleksitet og høy risiko klarer å håndtere det uventede og å operere nærmest feilfritt. I følge Weick & Sutcliffe gjør de dette ved å ha høy ekspertise, desentralisert ledelse, redundans ved hjelp av dobbeltsjekking og en konstant årvåkenhet for mulige feil (16). Teorien bidro til å fremme ekspertiseutvikling i form av opplæring, teamtrening og simulering i helsetjenesten (23). I et slikt perspektiv vil dobbeltsjekking av handlinger, slik som å administrere medikamenter, øke sikkerheten så fremt helsepersonellet har en kultur hvor de er konstant oppmerksomme på feil, og griper inn for å korrigere feil eller justere praksis (23).

Med teorien om høypålitelige organisasjoner beveget det sikkerhetsteoretiske fagfeltet seg fra utelukkende å lære av enkelthendelser i fortid, i etterpåklokskapens begrensende lys, til å lære av suksessfulle organisasjoner i nåtid. Teorien har blitt kritisert for å være ikke-verifiserbar fordi det er vanskelig å identifisere en høypålitelig organisasjon. Dermed er det vanskelig å teste om en slik organisasjon er mer sikker enn en ikke-høypålitelig organisasjon (24).

Resiliensteori

Også i resiliensteori er man opptatt av å lære av suksessfulle systemer i nåtid. Her rettes oppmerksomheten mot å forstå hvordan systemet virker under daglige omstendigheter og i møte med motstand og endring. Helsetjenesten forstås som et komplekst, adaptivt system som stadig skal tilpasse seg endringer i det kliniske arbeidet, både internt i organisasjonen og i møte med endrende krav fra omgivelsene (17, 25).

Tilpasninger utført i hverdagspraksis, er kilden til sikkerhet i komplekse systemer fordi det sørger for at arbeidet er trygt under varierende omstendigheter (26). Resiliens i helsetjenesten defineres av Wiig et al. (2020) som «evne til å tilpasse seg utfordringer og endringer på ulike systemnivåer, slik at man opprettholder høy kvalitet i tjenesten» (27, s. 6, min oversettelse). Mens man i de enkle, lineære modellene ofte ser på avvik fra prosedyrer som en årsak til svikt, vil man i et resiliensperspektiv anse slike hendelser som en gyllen mulighet til læring om systemet. Man utforsker hvordan arbeidet tilpasses, hvorfor arbeid utføres slik det gjøres, og hva som skal til for at arbeidet går godt i det daglige (25).

Et eksempel på anvendelse av resiliensteori er en syntese av kvalitative studier om selvmordstruede pasienter i psykiatriske sengeposter. Fremfor å granske svikt fokuseres det på å forstå kompleksitet i hverdagspraksis. Studiene gir innsikt i kompleksitet i praksis, i form av beslutningstaking om selvmordsrisiko under høy usikkerhet, tilpasninger til varierende og stadig endrede behandlings- og beskyttelsesbehov i klinikk og høye krav til ekspertise og relasjonell kompetanse for å oppfatte og respondere på pasientens verbale og non-verbale tegn på forverringer (7). Sikkerhetsarbeid rettes ikke mot konkrete enkelttiltak, men mot å forstå og støtte komplekse mellommenneskelige prosesser på ulike nivåer i helsesystemet.

Resiliens i helsetjenesten har blitt kritisert for å mangle operasjonaliserbare konsepter og metoder for å analysere helsetjenesten som helhet (28), men ulike analysemetoder er under utvikling.

Abstract

Safety science perspectives shapes what we look for during an investigation of adverse events, which safety measures that are implemented, at which system level in healthcare, and what is concluded as the cause of error. The article outlines three categories of accident models based on the underlying causality: 1) simple, linear models, which emphasis is on the technical system, 2) complex, linear models, which embrace on the organizational system, and 3) complex, nonlinear models, which focus on the interactive system – how people, technology and organisations influence each other and function under high risk.

The models have given rise to a number of analytical methods used in investigation and incident reviews. Not all analysis models are adapted for health care. Individual focus in incident investigation may affect organisational learning negatively. Complex linear and complex nonlinear models go beyond the immediate causes for failure and success and provide the best conditions for organisational learning through embracing the system as a whole and complexity to a greater extent.