Barrièreanalyse en BowTie-denken bij incidentonderzoek

## Wat speelt hier Bij een incident of bijna-ongeval is de vraag "wie heeft een fout gemaakt" veel minder waardevol dan de vraag "welke barrière heeft gefaald en waarom". Barrièreanalyse en BowTie-denken brengen in kaart welke maatregelen tussen een gevaar en een ongewenste gebeurtenis zaten, en welke van die maatregelen niet werkten op het moment dat het misging. Dit speelt overal waar meerdere lagen van bescherming bestaan: een afscherming op een machine die openstond, een werkvergunning die niet was afgetekend, een gasdetector die niet gekalibreerd was, of een instructie die wel op papier stond maar niet werd nageleefd. Het risico dat de organisatie moet beheersen is dubbel. Ten eerste het directe risico dat het incident zelf liet zien: bekneld raken, een val, blootstelling aan een gevaarlijke stof, een aanrijding. Ten tweede het risico dat hetzelfde scenario zich herhaalt omdat het onderzoek is blijven steken bij menselijk falen als eindconclusie, zonder te kijken naar de onderliggende technische, organisatorische of gedragsmatige oorzaken die de barrière lieten falen. Op de werkvloer komt dit voor bij elk incidentonderzoek dat verder gaat dan een kort formuliertje: van een bijna-aanrijding op het terrein tot een ernstig ongeval met verzuim. Een derde aspect is de opvolging. Een BowTie-achtige analyse levert per gefaalde barrière een concrete verbetermaatregel op. Als die maatregelen niet worden vastgelegd, toegewezen en gecontroleerd, blijft de analyse een papieren exercitie en verandert er niets aan de werkelijke blootstelling aan risico. ## Wat u moet doen - Richt een vast onderzoeksproces in waarin bij elk incident wordt vastgesteld welke barrières (technisch, organisatorisch, menselijk) tussen gevaar en gevolg zaten en welke daarvan faalden. - Zorg dat bronmaatregelen als eerste worden beoordeeld: kan het gevaar worden weggenomen of verkleind voordat er weer een barrière nodig is. - Beoordeel vervolgens of technische, collectieve barrières (afscherming, detectie, automatische stops) versterkt of hersteld moeten worden. - Pas daarna organisatorische maatregelen toe, zoals werkvergunningen, instructies, toezicht en procedures, en leg vast wie waarvoor verantwoordelijk is. - Neem persoonlijke beschermingsmiddelen pas op als laatste, aanvullende barrière, niet als vervanging van bovenstaande lagen. - Leg elk onderzoek vast in een vast format met gevaar, ongewenste gebeurtenis, gefaalde barrières en genomen maatregelen. - Wijs voor elke verbetermaatregel een eigenaar en een uiterlijke datum toe en controleer de voortgang periodiek. - Instrueer leidinggevenden en preventiemedewerkers in het gebruik van barrière- of BowTie-denken, zodat onderzoeken niet blijven hangen bij "onoplettendheid". ## Toetsbare aspecten - **Onderzoeksformat aanwezig** — een vast sjabloon voor incidentonderzoek waarin barrières expliciet worden benoemd. Bewijs: onderzoeksformulier of sjabloon in het incidentregister. Frequentie: bij elk incident, format jaarlijks beoordeeld. - **Barrières per risico benoemd** — voor de belangrijkste risico's in de RI&E is vastgelegd welke barrières daartegen bestaan. Bewijs: risico-inventarisatie of aanvullend overzicht met barrières per scenario. Frequentie: bij actualisatie van de RI&E. - **Onderzoek naar gefaalde barrière, niet naar schuldige** — afgeronde onderzoeken benoemen welke maatregel niet werkte en waarom. Bewijs: steekproef van afgeronde incidentrapportages. Frequentie: per kwartaal steekproefsgewijs. - **Verbetermaatregelen vastgelegd met eigenaar en termijn** — elke conclusie uit een onderzoek heeft een naam en een datum. Bewijs: actielijst of trackingsysteem gekoppeld aan het incidentregister. Frequentie: maandelijks bijgewerkt. - **Opvolging van maatregelen gecontroleerd** — afgesproken acties zijn daadwerkelijk uitgevoerd en niet blijven liggen. Bewijs: statusoverzicht met afgeronde versus openstaande acties. Frequentie: per kwartaal. - **Leidinggevenden getraind in oorzakenanalyse** — betrokkenen kunnen aantonen dat zij zijn geïnstrueerd in het herkennen van gefaalde barrières. Bewijs: trainingsregistratie of instructieverslag. Frequentie: bij aanstelling en periodiek herhaald. - **Terugkoppeling naar werkvloer** — medewerkers zijn geïnformeerd over de uitkomst en de aangepaste maatregel na een incident. Bewijs: verslag van werkoverleg, toolboxverslag of mededeling. Frequentie: na elk relevant incident. - **Koppeling met de RI&E** — herhaalde barrièrefalingen leiden tot bijstelling van de risico-inventarisatie of het plan van aanpak. Bewijs: wijzigingslog van de RI&E met verwijzing naar incidentnummer. Frequentie: bij elke RI&E-actualisatie. ## Veelvoorkomende knelpunten - Het onderzoeksformulier bestaat op papier, maar in de praktijk wordt bij een incident alleen genoteerd "medewerker onoplettend", zonder barrières te benoemen. - Verbetermaatregelen worden bedacht maar niet aan een eigenaar of termijn gekoppeld, waardoor ze verdwijnen in een lijst zonder opvolging. - Leidinggevenden hebben nooit uitleg gekregen over barrière- of BowTie-denken en vallen terug op de gewoonte om een schuldige aan te wijzen. - Ingeleend of uitzendpersoneel wordt niet standaard meegenomen in het incidentonderzoek, terwijl juist bij hen kennis van barrières kan ontbreken. - Terugkoppeling naar de werkvloer blijft achterwege, waardoor dezelfde barrière bij een volgende ploeg opnieuw faalt. - De koppeling tussen incidentonderzoek en de risico-inventarisatie ontbreekt, zodat lessen uit incidenten niet in het beleid landen. ## Hoe u het borgt De preventiemedewerker of arbocoördinator bewaakt dat elk incident volgens het vaste format wordt onderzocht en dat de bijbehorende maatregelen worden opgevolgd, en rapporteert hierover periodiek aan de directie. Nieuwe leidinggevenden en, waar van toepassing, de leidinggevenden van ingeleend personeel krijgen bij aanvang instructie over het herkennen en beoordelen van barrières, zodat de aanpak niet afhankelijk is van één persoon. Bij herhaling van eenzelfde gefaalde barrière wordt de risico-inventarisatie en het bijbehorende plan van aanpak bijgesteld, en wordt de wijziging teruggekoppeld naar de betrokken afdeling. Zo wordt barrièreanalyse een terugkerend onderdeel van de incidentcyclus in plaats van een eenmalige exercitie na een ernstig ongeval.

Risico's

• Afhankelijkheden tussen barrières onvoldoende onderzocht — Dit risico speelt bij bedrijven en inrichtingen waarop de aanvullende voorschriften voor de beheersing van zware ongevallen met gevaarlijke stoffen van toepassing zijn. Bij incidentonderzoek kan ten onrechte worden aangenomen dat meerdere barrières onafhankelijk van elkaar bescherming boden. In werkelijkheid kunnen een detectiesysteem, alarmering, automatische afsluiting, noodprocedure en inzet van operators afhankelijk zijn van dezelfde voeding, meetwaarde, communicatievoorziening, onderhoudstaak of besluitvormer. Eén gemeenschappelijke storing of organisatorische tekortkoming kan daardoor meerdere barrières tegelijk uitschakelen. Als het onderzoek alleen elke barrière afzonderlijk beoordeelt, blijft deze gezamenlijke oorzaak buiten beeld en wordt de feitelijke bescherming overschat. Werknemers, werknemers van andere werkgevers, zelfstandigen en zo nodig werknemers van naburige bedrijven kunnen dan opnieuw worden blootgesteld aan brand, explosie, vrijkomende gevaarlijke stoffen of tekortschietende noodmaatregelen. Ook kunnen verbetermaatregelen onvoldoende effect hebben, bijvoorbeeld wanneer alleen een defect onderdeel wordt vervangen terwijl de gedeelde oorzaak blijft bestaan. De werkgever moet daarom bij de analyse van incidenten en bijna-incidenten expliciet vaststellen welke technische, organisatorische en menselijke barrières van elkaar afhankelijk waren. Bevindingen moeten aantoonbaar doorwerken in de aanvullende risico-inventarisatie en -evaluatie, het veiligheidsbeheerssysteem, relevante noodplanning en de beoordeling van wijzigingen. Zonder deze borging kan hetzelfde zware-ongevalscenario zich via dezelfde verborgen afhankelijkheid herhalen.
• Barrièreanalyse van zware incidenten zonder vereiste deskundigheid — Bij bedrijven en inrichtingen waarop de aanvullende voorschriften voor zware ongevallen met gevaarlijke stoffen van toepassing zijn, kan een ondeugdelijk incidentonderzoek leiden tot verkeerde conclusies over de oorzaken en de noodzakelijke beheersmaatregelen. Dit risico ontstaat wanneer een barrièreanalyse wordt uitgevoerd zonder passende deskundige bijstand, terwijl de uitkomsten worden gebruikt voor de aanvullende risico-inventarisatie en -evaluatie, het veiligheidsbeheerssysteem, het noodplan of de beoordeling van wijzigingen. Een onervaren onderzoeker kan technische, organisatorische en menselijke barrières missen, hun werking verkeerd beoordelen of menselijk handelen ten onrechte als eindoorzaak aanwijzen. Daardoor blijven onderliggende tekortkomingen aan installaties, procedures, toezicht, onderhoud of samenwerking bestaan. Werknemers, ingeleende krachten, zelfstandigen en werknemers van naburige bedrijven kunnen vervolgens opnieuw worden blootgesteld aan hetzelfde zware-ongevalscenario. Ook kunnen maatregelen verkeerd worden geprioriteerd of niet worden opgenomen in het veiligheidsbeheerssysteem. De werkgever moet daarom vooraf bepalen voor welke wettelijke taken deskundige bijstand nodig is, een geschikte deskundige inschakelen en diens rol, onafhankelijkheid en bevindingen aantoonbaar vastleggen. De analyse moet leiden tot toegewezen verbetermaatregelen, controle van de werking van barrières en zo nodig actualisatie van beleid, risico-evaluatie, noodplanning en beheerssysteem.
• Barrièredegradatie door wijzigingen niet opnieuw beoordeeld — Wijzigingen aan een installatie, proces, organisatie of aan de aard, vorm of hoeveelheid van gevaarlijke stoffen kunnen bestaande veiligheidsbarrières verzwakken of buiten werking stellen. Dit risico speelt bij bedrijven en inrichtingen waarop de voorschriften voor de beheersing van zware ongevallen van toepassing zijn. Een aangepaste procesinstelling kan bijvoorbeeld de ontwerpmarge van een technische beveiliging verkleinen, terwijl een organisatorische wijziging verantwoordelijkheden, toezicht of onderhoud kan onderbreken. Wanneer de werkgever de gevolgen van zo’n wijziging niet opnieuw beoordeelt, blijft de barrièreanalyse gebaseerd op een verouderde situatie. Daardoor kunnen preventieve barrières, beperkende maatregelen en noodvoorzieningen op papier aanwezig zijn, maar in de praktijk onvoldoende betrouwbaar, niet onafhankelijk of niet passend zijn. Werknemers, werknemers van andere werkgevers, zelfstandigen en personen in naburige bedrijven kunnen hierdoor worden blootgesteld aan brand, explosie of het vrijkomen van gevaarlijke stoffen. Ook kunnen incidentonderzoeken verkeerde conclusies opleveren wanneer niet wordt nagegaan of een wijziging aan het falen of degraderen van barrières heeft bijgedragen. Zonder een beheerste wijzigingsprocedure worden beleid, aanvullende risico-inventarisatie en -evaluatie, veiligheidsbeheerssysteem en noodplanning niet tijdig aangepast. Het gevolg is dat hetzelfde scenario zich kan herhalen of dat een aanvankelijk beheerste afwijking zich ontwikkelt tot een zwaar ongeval.
• Domino-effecten buiten de inrichting ontbreken in de barrièreanalyse — Bij bedrijven en inrichtingen waarop de aanvullende voorschriften voor zware ongevallen met gevaarlijke stoffen van toepassing zijn, kan een incident verder reiken dan de eigen terreingrens. Een brand, explosie of verspreiding van gevaarlijke stoffen kan werknemers van naburige bedrijven treffen of daar een vervolgincident veroorzaken. Wanneer het incidentonderzoek en de BowTie-analyse uitsluitend naar oorzaken en gevolgen binnen de eigen inrichting kijken, blijven zulke domino-effecten en de daarvoor benodigde barrières buiten beeld. Daardoor kan de werkgever ten onrechte aannemen dat het scenario voldoende wordt beheerst. Ook kunnen noodzakelijke gegevensuitwisseling, alarmering, gezamenlijke voorbereiding en aansluiting op noodmaatregelen ontbreken. Dit raakt eigen werknemers, werknemers van buurbedrijven, ingeleende krachten, zelfstandigen en personen die op een gedeeld bedrijventerrein werken. Het risico neemt toe wanneer installaties, processen of opslaglocaties dicht bij elkaar liggen, mogelijke effectgebieden niet zijn onderzocht of organisaties verschillende aannames over hetzelfde scenario gebruiken. Zonder volledige analyse worden technische, organisatorische en menselijke barrières niet gericht verbeterd en kunnen lessen uit het incident onbenut blijven. Een volgend incident kan daardoor sneller escaleren en bij meerdere werkgevers tegelijk ernstig letsel, schadelijke blootstelling, evacuatie of langdurige uitval veroorzaken. De werkgever moet de externe doorwerking daarom systematisch in de risico-evaluatie, barrièreanalyse, samenwerking en noodvoorbereiding verwerken.
• Gedeelde barrières tussen werkgevers onvoldoende geanalyseerd — Binnen bedrijven en inrichtingen waar meerdere werkgevers, zelfstandigen of aannemers werken, kunnen maatregelen tegen zware ongevallen afhankelijk zijn van verschillende organisaties. Denk aan een installatie die door de exploitant wordt beheerd, een werkvergunning van de hoofdaannemer en een controle die door een onderaannemer wordt uitgevoerd. Wanneer het incidentonderzoek alleen per werkgever plaatsvindt, blijven overdrachten, gedeelde verantwoordelijkheden en onderlinge afhankelijkheden tussen deze barrières buiten beeld. Daardoor kan een barrière op papier aanwezig lijken, terwijl niemand de volledige werking bewaakt of iedere partij ervan uitgaat dat een ander de controle uitvoert. Dit raakt eigen werknemers, ingeleende krachten, aannemers, zelfstandigen en werknemers van andere bedrijven binnen of nabij de inrichting. Een onvolledige analyse kan ertoe leiden dat technische beveiligingen, procedures, communicatieafspraken en noodmaatregelen niet goed op elkaar aansluiten. Het directe gevolg kan ernstig letsel of gezondheidsschade zijn door bijvoorbeeld brand, explosie of het vrijkomen van gevaarlijke stoffen. Daarnaast blijft herhaling mogelijk wanneer bevindingen niet gezamenlijk worden vertaald naar maatregelen, verantwoordelijken en controles. De betrokken werkgevers moeten daarom gezamenlijk onderzoeken hoe gedeelde barrières tijdens het incident functioneerden, waar overdrachten faalden en hoe de werking aantoonbaar wordt hersteld en geborgd.
• Gevaren en gevolgen onjuist gekoppeld in de BowTie-analyse — Deze verplichtingen gelden voor bedrijven en inrichtingen die onder de toepasselijkheid van de voorschriften voor zware ongevallen met gevaarlijke stoffen vallen, waaronder de aangewezen Seveso-inrichtingen. Wanneer in een BowTie-analyse het gevaar, de centrale ongewenste gebeurtenis en de mogelijke gevolgen niet logisch met elkaar zijn verbonden, ontstaat een onjuist beeld van het zware-ongevalscenario. Oorzaken kunnen dan aan het verkeerde gevaar worden gekoppeld, terwijl preventieve en gevolgbeperkende barrières op de verkeerde plaats terechtkomen. Hierdoor kan een maatregel overtuigend lijken zonder daadwerkelijk het vrijkomen van gevaarlijke stoffen te voorkomen of de gevolgen daarvan te beperken. Werknemers, werknemers van andere werkgevers, zelfstandigen en mogelijk werknemers van naburige bedrijven kunnen daardoor onvoldoende worden beschermd. Het risico neemt toe wanneer het incidentonderzoek alleen uitgaat van menselijk handelen, afwijkingen niet met procesgegevens worden gecontroleerd of verschillende scenario’s in één analyse worden samengevoegd. Ook wijzigingen in installaties, processen, stoffen of organisatie kunnen bestaande koppelingen ongeldig maken. Een foutieve analyse kan doorwerken in de aanvullende RI&E, het veiligheidsbeheerssysteem en het interne noodplan. Daardoor worden verkeerde prioriteiten gesteld en blijven noodzakelijke barrières ontbreken. De werkgever moet de analyse daarom inhoudelijk valideren, bevindingen laten doorwerken in de beheersing en zo nodig deskundige bijstand inschakelen. BowTie is daarbij een hulpmiddel en geen wettelijk voorgeschreven analysemethode.
• Incidentbevindingen niet verwerkt in het veiligheidsbeheerssysteem — Dit risico speelt bij bedrijven en inrichtingen waarop de aanvullende voorschriften voor de beheersing van zware ongevallen met gevaarlijke stoffen van toepassing zijn. Na een incident of bijna-incident kan het onderzoek aantonen dat één of meer technische, organisatorische of menselijke barrières niet aanwezig, niet beschikbaar of niet doeltreffend waren. Wanneer deze bevindingen niet worden verwerkt in het veiligheidsbeheerssysteem, blijven procedures, verantwoordelijkheden, risicoanalyses, onderhoudsprogramma’s en noodmaatregelen gebaseerd op een achterhaalde situatie. De werkgever mist dan de mogelijkheid om het beleid en de beheersing van zware-ongevalrisico’s aantoonbaar en continu te verbeteren. Werknemers, ingeleende krachten, zelfstandigen en werknemers van andere werkgevers kunnen daardoor opnieuw aan hetzelfde scenario worden blootgesteld. Ook kunnen gevolgen ontstaan voor werknemers van naburige bedrijven. Het gevaar zit niet alleen in een afzonderlijke fout, maar vooral in het voortbestaan van zwakke of ontbrekende barrières. Een maatregel die alleen in een onderzoeksrapport staat, verandert de feitelijke beheersing niet. Zonder eigenaar, termijn, verificatie en terugkoppeling kan een incident zich herhalen en ernstiger letsel, gezondheidsschade, uitval of een zwaar ongeval veroorzaken. Bevindingen moeten daarom traceerbaar doorwerken in de aanvullende risico-inventarisatie en -evaluatie, relevante procedures, wijzigingen, noodplanning, samenwerking en periodieke evaluatie van het veiligheidsbeheerssysteem.
• Kritieke barrières zonder aantoonbare werking tijdens het incident — Deze wettelijke indeling geldt voor bedrijven en inrichtingen waar de afdeling over risico’s van zware ongevallen met gevaarlijke stoffen van toepassing is, waaronder de aangewezen Seveso-inrichtingen. Het risico ontstaat wanneer na een incident niet aantoonbaar wordt vastgesteld of kritieke technische, organisatorische en menselijke barrières op het beslissende moment beschikbaar, betrouwbaar en effectief waren. Alleen vermelden dat een beveiliging, procedure, werkvergunning, alarm of instructie bestond, is onvoldoende. Onderzocht moet worden welke prestatie ervan werd verwacht, welk bewijs over de feitelijke werking beschikbaar is en waardoor een barrière ontbrak, werd omzeild, te laat reageerde of onvoldoende effect had. Zonder deze verificatie kan de werkgever een schijnbaar werkende beschermingslaag handhaven en blijven werknemers, ingeleende krachten, zelfstandigen en werknemers van andere of naburige bedrijven blootstaan aan herhaling van hetzelfde scenario. Daarbij kunnen meerdere barrières door één gedeelde oorzaak tegelijk uitvallen. Bevindingen moeten daarom leiden tot herstel, aanpassing of vervanging van barrières en tot verwerking in de aanvullende RI&E, het veiligheidsbeheerssysteem en, waar relevant, het interne noodplan. Ook moeten verantwoordelijkheden, termijnen en controles worden vastgelegd. Gebeurt dit niet, dan blijft het onderzoek administratief en kan een volgend incident opnieuw leiden tot ernstig letsel, schadelijke blootstelling of uitval.
• Technische, organisatorische en menselijke barrières niet herkend — Bij bedrijven waarop de aanvullende voorschriften voor zware ongevallen met gevaarlijke stoffen van toepassing zijn, kan incidentonderzoek tekortschieten doordat niet systematisch wordt vastgesteld welke technische, organisatorische en menselijke barrières aanwezig waren. Het onderzoek blijft dan bijvoorbeeld steken bij een bedieningsfout, terwijl ook een beveiliging, onderhoudsproces, werkvergunning, overdracht, instructie of toezicht heeft ontbroken of gefaald. Hierdoor ontstaat een onvolledig beeld van de route van gevaar naar ongewenste gebeurtenis en van de maatregelen die het gevolg hadden moeten voorkomen of beperken. Dit raakt eigen werknemers, werknemers van andere werkgevers, zelfstandigen en, wanneer effecten verder reiken, werknemers bij naburige bedrijven. Zonder volledige barrièreanalyse kunnen oorzaken en afhankelijkheden onopgemerkt blijven, worden maatregelen op de verkeerde plek genomen en blijft het veiligheidsbeheerssysteem gebaseerd op onvolledige informatie. Het oorspronkelijke zware-ongevalscenario kan zich daardoor herhalen en alsnog leiden tot ernstig letsel, schadelijke blootstelling of langdurige uitval. De werkgever moet incidenten daarom onderzoeken vanuit het aanwezige gevaar, de ongewenste gebeurtenis en de preventieve en beperkende barrières. Bevindingen moeten aantoonbaar worden vertaald naar verbeteringen in de risico-evaluatie, beheersmaatregelen, procedures, verantwoordelijkheden en waar nodig het interne noodplan.
• Zware-ongevalscenario’s zonder volledige BowTie-barrièreanalyse — Dit risico speelt bij bedrijven en inrichtingen waarop de aanvullende voorschriften voor de beheersing van zware ongevallen met gevaarlijke stoffen van toepassing zijn. Wanneer een zwaar-ongevalscenario niet volledig wordt onderzocht, kan onduidelijk blijven welke bedreigingen tot verlies van beheersing leiden, welke preventieve en beperkende barrières aanwezig behoren te zijn en of deze barrières werkelijk functioneren. Een analyse die alleen de directe handeling of fout van een werknemer benoemt, laat mogelijke tekortkomingen in installaties, procedures, onderhoud, toezicht, samenwerking en noodmaatregelen buiten beeld. Daardoor kunnen meerdere barrières tegelijk zwak, afhankelijk of buiten werking zijn zonder dat de werkgever dit herkent. Werknemers, ingeleende krachten, zelfstandigen en medewerkers van andere of naburige bedrijven kunnen dan opnieuw worden blootgesteld aan brand, explosie of het vrijkomen van gevaarlijke stoffen. Ook kunnen bevindingen uit incidenten, wijzigingen en periodieke evaluaties onvoldoende doorwerken in de aanvullende risico-inventarisatie en -evaluatie, het veiligheidsbeheerssysteem en het interne noodplan. Zonder vastgelegde maatregelen, verantwoordelijken, termijnen en controle op werking blijft de analyse administratief. Het scenario kan zich vervolgens herhalen met ernstig letsel, blijvende gezondheidsschade of meerdere slachtoffers als geloofwaardig gevolg.