[ETTO 16/22] 근본원인 분석만으로 사고를 설명할 수 있는가

ETTO 원리 현장 연재 16/22 · 근본원인 분석과 복잡한 사고 설명

설비 정지 중 끼임 위험이 발생했다고 가정해 보자. 조사팀은 비상정지 버튼, 방호문, 작업자의 접근, 정비 지시와 생산 일정부터 확인한다. 곧 “작업자가 확인하지 않았다”거나 “교육이 부족했다”는 문장이 후보로 올라온다. 한 문장으로 사고가 정리되면 보고서는 빨리 끝난다. 그러나 근본원인 분석 한계는 바로 이 지점에서 드러난다. 그 문장이 당시 작업을 가능하게 만든 조건과 여러 부서의 결정을 충분히 설명하는지는 별개의 문제다.

인과관계를 찾는 일 자체가 잘못된 것은 아니다. 단선, 파손, 누설처럼 짧고 확인 가능한 경로에서는 원인과 결과를 잇는 분석이 매우 유용하다. 고장 부품을 교체하고 같은 에너지가 다시 전달되지 않게 방호를 보강할 수 있다. 문제는 변화가 많고 서로 긴밀하게 연결된 작업에서도 같은 방식으로 멀리 떨어진 하나의 시작점을 확정하려 할 때 생긴다.

Erik Hollnagel은 사고를 인과사슬로만 설명하려면 결과가 구성요소의 단순한 합으로 생기고, 처음 사건이 마지막 결과를 미리 결정해야 한다고 지적한다. 실제 현장에서는 첫 조치 뒤에도 설비 상태, 동료의 대응, 시간 압박과 정보가 계속 달라진다. 조사자는 고장을 찾되 거기서 멈추지 말아야 한다. 시간 흐름 속에서 조정과 상호작용을 복원해야 재발방지대책이 사람의 주의나 재교육 한 줄을 넘어선다.

사고를 이해하려는 요구는 정당하다

사고는 예상하지 않았고 원하지도 않은 결과다. 피해가 크면 같은 일이 다시 일어나지 않게 이유를 밝혀야 한다는 요구가 커진다. 조사자는 현장을 보존하고 설비 상태와 기록을 확인하며, 작업에 참여한 사람의 설명을 듣는다. 이 과정은 책임 회피를 위한 형식이 아니라 위험을 다시 만들 조건을 찾아 통제하기 위한 일이다.

사람은 낯선 결과를 그대로 두기 어렵다. 언제 무엇이 시작됐고 어떤 사건이 뒤따랐는지 순서를 만들면 이해하기 쉬워진다. 조사 보고서도 대개 마지막 결과에서 출발해 앞 단계로 거슬러 올라간다. 접근, 접촉, 방호 실패, 작업 준비, 지시와 계획을 연결하면 조치할 곳이 보인다. 이 방식이 널리 쓰이는 데에는 실무적 이유가 있다.

고전적 사고모델은 인과사슬을 거꾸로 따라간다

고전적 사고모델은 사건을 원인과 결과가 이어지는 사슬로 표현한다. 한 사건이 다음 사건을 만들고, 그 사건이 다시 다음 단계를 만든다고 본다. 단일 경로는 쓰러지는 도미노처럼 그릴 수 있다. 여러 가능성이 갈라지는 사건 경로, 여러 조건이 하나의 결과로 모이는 결함 경로, 두 구조를 합친 모델도 같은 인과 논리를 사용한다.

이 모델에서는 사고 결과부터 한 단계씩 되짚으면 시작점을 찾을 수 있다고 본다. 방호문이 열렸고, 연동장치가 작동하지 않았으며, 임시 우회가 남아 있었다는 식으로 앞 단계를 확인한다. 각 연결을 물리적 흔적과 기록으로 입증할 수 있다면 분석은 강하다. 어느 장치를 수리하고 어떤 상태에서 기동을 막아야 하는지도 구체적으로 정할 수 있다.

근본원인은 왜 매력적인가

근본원인은 조사한 결과로 끝나는 인과사슬의 시작점으로 정의된다. 하나의 지배적인 원인을 찾아 제거하면 같은 결과를 막을 수 있다는 기대가 붙는다. 실무에서는 모든 사실을 설명하는 철학적 시작점보다 합리적으로 개입할 수 있는 지점을 근본원인이라고 부르기도 한다. 이렇게 보면 조사팀은 우선순위를 정하고 예산과 책임자를 지정하기 쉽다.

원인이 하나면 보고와 의사결정도 간단해진다. 교육 부족이면 교육을 실시하고, 점검 누락이면 점검표를 추가하며, 부품 결함이면 교체주기를 줄인다. 완료 여부를 확인하기도 쉽다. 경영진과 감독기관, 현장 모두 짧은 문장을 공유할 수 있다. 사고 뒤 불확실성을 견디기 어려운 조직일수록 단일한 답을 빨리 요구한다.

하지만 편리한 조치가 실제 변화까지 보장하지는 않는다. 교육 부족을 고쳤어도 생산계획이 계속 확인 시간을 압박하고, 설비 표시가 상태를 늦게 보여 주며, 중지 뒤 지원을 받을 수 없다면 비슷한 조정이 다시 생긴다. 사람 한 명이나 절차 한 줄을 시작점으로 고정하면 다른 조건은 배경으로 밀린다. 배경으로 밀린 조건은 개선 대상에서도 빠진다.

하나의 시작점을 찾으려면 강한 가정이 필요하다

첫 사건이 마지막 결과의 원인이라고 말하려면 첫 사건이 일어났을 때 이미 뒤 결과가 결정됐다는 가정이 필요하다. 짧고 닫힌 기계 작동에서는 이 가정이 성립할 수 있다. 전원이 인가된 노출 도체를 사람이 접촉했고 보호장치가 없었다면 에너지 전달 경로를 물리적으로 설명할 수 있다. 연결 단계도 많지 않다.

긴 작업 경로에서는 사정이 다르다. 첫 판단 뒤에 동료가 확인할 수도 있고, 설비가 멈출 수도 있으며, 일정이 바뀌거나 새로운 경보가 들어올 수 있다. 중간 단계마다 여러 대응이 가능하다. 당시 마지막 결과를 예측할 수 없었다면 결과를 안 뒤 첫 행동을 필연적인 시작점으로 정하는 것도 조심해야 한다. 거꾸로 읽을 때만 질서가 생긴다면 그 질서는 현장의 질서가 아니라 분석의 질서일 수 있다.

여러 원인을 인정해도 같은 문제가 남을 수 있다. 인력 부족, 절차 미흡, 감독 소홀과 교육 부족을 나열한 뒤 각각을 독립된 뿌리로 부르면 목록은 길어지지만 상호작용은 여전히 설명되지 않는다. 어떤 조건이 언제 다른 조건의 의미를 바꿨는지, 방어가 왜 작동하지 않았는지, 회복할 시간은 어디서 사라졌는지를 시간 순서로 연결해야 한다.

결과적 현상은 구성요소를 나누어 설명할 수 있다

결과적 현상은 구성요소의 작용을 더하거나 조합해 전체 결과를 설명할 수 있는 현상이다. 정해진 하중을 받는 부품, 직렬로 연결된 전기회로, 명확한 논리로 작동하는 차단 기능처럼 구성과 관계가 충분히 알려진 경우가 가깝다. 부품의 상태를 측정하고 결합 규칙을 알면 전체의 반응을 계산하거나 시험할 수 있다.

이런 시스템에서는 분해가 유효하다. 전체를 부품과 기능으로 나누고 각 고장모드와 영향을 확인한다. 결함이 어느 경로로 전달됐는지 찾고, 독립 방어가 작동했는지 검증한다. 분석 결과는 교체, 격리, 이중화, 감지와 자동정지 같은 공학적 조치로 이어진다. 근본원인을 포함한 인과분석을 버려서는 안 되는 영역이다.

창발적 현상은 상호작용에서 새로 나타난다

창발적 현상은 구성요소 하나의 성질로 되돌릴 수 없는 전체의 결과다. 각 팀과 설비가 맡은 기능을 수행해도 시간 배치와 정보 전달, 우선순위가 특정 방식으로 맞물리면 새로운 상태가 생긴다. 개별 요소를 검사했을 때 모두 정상이라는 사실과 전체 운전이 안전하다는 판단이 같지 않은 이유다.

예를 들어 생산팀은 지연을 줄이려고 속도를 유지하고, 정비팀은 짧은 정지 시간 안에 확인을 마치며, 품질팀은 검사 물량을 재배치할 수 있다. 각 결정은 해당 부서에서 합리적일 수 있다. 그러나 세 결정이 같은 시간대에 겹치면 확인 공백과 회복 시간 부족이 생길 수 있다. 이 결과를 어느 한 부서의 속성으로 분해하면 결합 자체가 사라진다.

창발적이라는 말은 원인을 알 수 없거나 사고가 운명이라는 뜻이 아니다. 구성요소의 고장만 찾는 방식으로는 충분하지 않다는 뜻이다. 조사자는 관계, 타이밍, 의존성과 변화에 주목한다. 어떤 조정이 다른 작업의 상태를 바꿨는지, 정보가 도착했을 때 선택지가 남아 있었는지, 작은 편차를 흡수할 완충이 있었는지 확인한다.

근본원인 분석 한계는 긴 인과사슬에서 커진다

근본원인 분석 한계는 사건 단계가 많아질수록 분명해진다. 첫 단계와 마지막 단계 사이에 환경이 안정돼 있어야 긴 사슬을 하나의 필연적 경로로 설명할 수 있다. 실제 현장에서는 물량, 인원, 날씨, 설비 상태와 주변 작업이 달라진다. 새로운 정보가 들어오고 사람들은 그때마다 계획을 조정한다.

사고 뒤에는 실제로 일어난 경로 하나만 보인다. 조사자는 그 경로를 따라 화살표를 그으며 앞 단계가 뒤 단계를 만들었다고 느끼기 쉽다. 그러나 당시에는 멈춤, 우회, 추가 확인, 다른 작업의 개입처럼 여러 가능성이 있었다. 어느 가능성이 열려 있었고 왜 사라졌는지 기록하지 않으면 결과를 안 뒤의 경로가 처음부터 유일했던 것처럼 바뀐다.

분석가도 효율성과 철저함 사이에서 선택한다

사고조사에는 시간과 인력이 제한돼 있다. 생산 재개, 감독기관 보고, 피해 회복과 현장 안정화가 동시에 진행된다. 조사팀은 모든 기록과 상호작용을 끝없이 확인할 수 없다. 어디까지 조사하고 어느 설명에서 멈출지 선택한다. 단순한 인과사슬은 빠르고 전달하기 쉽기 때문에 분석가에게도 효율적인 방법이다.

비선형 관계와 변화하는 조건을 분석하면 더 많은 인터뷰, 기록 대조와 현장 관찰이 필요하다. 결론도 한 문장으로 줄이기 어렵다. 그렇다고 철저함을 무한히 늘릴 수는 없다. 조사팀은 피해의 중대성, 반복 가능성, 불확실성, 다른 작업에 미치는 범위를 기준으로 조사 깊이를 정하고 그 판단을 기록해야 한다.

분석 방법을 습관적으로 고르면 분석 자체가 ETTO가 된다. 익숙한 5Why 질문을 정해진 횟수만 반복하거나, 관리 항목 하나에 도달하면 멈추는 방식이 그렇다. 질문 도구는 출발점으로 쓰되 동일한 답이 반복되고 상호작용이 사라지면 방법을 바꾼다. 시간선, 변화분석, 방어분석과 정상작업 비교를 함께 사용한다.

인과분석을 버리는 것이 답은 아니다

복잡한 사고를 다룬다고 물리적 원인과 법적 통제를 흐려서는 안 된다. 파손된 걸쇠, 제거된 방호, 끊어진 로프, 잘못 연결된 배관과 에너지 격리 실패는 즉시 확인하고 통제해야 한다. 증거가 분명한 짧은 경로에서는 원인과 결과를 명확히 연결한다. 사고 설명의 복잡성을 이유로 기본 방호의 결함을 상대화하면 조사 목적을 잃는다.

실무에서는 두 층을 나누는 편이 낫다. 첫째, 무엇이 사람이나 설비에 에너지를 전달했고 어떤 방어가 없었는지 확인한다. 둘째, 그 상태가 왜 만들어지고 유지됐으며 여러 사람이 왜 정상으로 받아들였는지 살핀다. 첫 층은 급한 위험을 제거하고, 둘째 층은 같은 상태가 다른 장소와 시간에 다시 생길 가능성을 줄인다.

OSHA와 HSE의 사고조사 안내도 부주의나 절차 미준수에서 멈추지 않고 기여요인과 시스템 결함을 찾도록 요구한다. 이 안내는 실무적으로 필요한 출발점이다. Hollnagel의 비판은 그보다 한 걸음 더 나아가 복잡한 시스템의 결과를 하나 또는 여러 개의 뿌리로 완전히 분해할 수 있다는 가정을 묻는다. 두 관점은 조사 깊이를 넓히는 방향에서 함께 쓸 수 있다.

먼저 사고 전후의 시간선을 복원한다

시간선은 사고 시각만 적는 표가 아니다. 작업 준비, 변경, 인계, 경보, 중지, 재개와 주변 작업의 시점을 같은 축에 놓는다. 각 시점에 누가 어떤 정보를 가지고 있었고 무엇을 하려 했는지 적는다. 기록 시각이 실제 행동 시각과 다를 수 있으므로 설비 로그, 영상, 작업허가서와 인터뷰를 서로 대조한다.

결과를 아는 조사자는 위험 신호만 골라 보기 쉽다. 당시에는 정상 신호와 중요하지 않아 보인 변화도 함께 있었다. 작업자가 무엇을 보지 못했는지만 묻지 말고 무엇을 보고 있었는지 확인한다. 경보가 여러 개였다면 우선순위를 어떻게 정했는지, 도움을 요청하면 얼마나 기다려야 했는지, 중지하면 어떤 부담이 생겼는지 복원한다.

행동 이름보다 당시 판단 조건을 묻는다

“왜 절차를 지키지 않았습니까?”라는 질문은 위반 여부를 확인할 수 있지만 설명을 좁힌다. 작업자는 자신을 방어하려 하고 조사자는 옳은 답을 기대하게 된다. 대신 당시 목표, 예상, 관찰한 신호와 사용한 기준을 순서대로 묻는다. 어느 단계까지는 계획과 같았고 어디서 달라졌는지 확인한다.

작업자가 시간을 줄였다면 게으름으로 이름 붙이기 전에 어떤 지연을 해결하려 했는지 본다. 확인을 생략했다면 그 확인이 평소 어떤 조건에서 이루어졌고 누가 대체했는지 묻는다. 임시 조치를 유지했다면 언제 원상복구할 계획이었고 그 계획이 어떤 인계에서 끊겼는지 확인한다. 행동의 목적을 알아야 대체 수단을 설계할 수 있다.

여러 조건의 결합과 방어의 상태를 본다

사고는 조건 하나가 존재해서가 아니라 여러 조건이 같은 시간과 장소에서 만날 때 생길 수 있다. 인원 공백은 평소에도 있었고 일정 압박도 자주 있었지만, 설비 변경과 인계 지연이 겹친 날에는 확인 공백이 커질 수 있다. 조사팀은 조건을 독립 목록으로 두지 말고 어떤 조합이 결과 가능성을 바꿨는지 표시한다.

방어도 설치 여부만 확인하지 않는다. 누가 어떤 상태에서 방어를 사용할 수 있었는지, 경보와 연동이 실제 작업 속도에서 충분히 빨랐는지, 우회가 다른 목표를 달성하는 쉬운 방법으로 남아 있었는지 본다. 문서상 이중 방어가 같은 전원, 같은 센서나 같은 판단자에 의존하면 독립성이 약하다.

회복 기회는 사고 전 마지막 방어만을 뜻하지 않는다. 작은 편차를 발견하고 속도를 낮출 시간, 상태를 다시 확인할 정보, 안전한 중간 상태로 멈출 장치, 도움을 부를 지원체계가 포함된다. 긴밀하게 연결된 공정에서는 편차가 빠르게 번지므로 회복 시간을 설계하지 않으면 작업자의 순간 판단에 부담이 몰린다.

현장 적용 예시: 자동설비 이상 복구 작업

자동설비에서 자재가 걸려 생산이 멈춘다. 작업자는 조작반에서 복구를 시도하지만 센서 표시는 정상과 이상을 번갈아 보인다. 보전 담당자는 다른 설비 고장에 대응 중이고, 생산반장은 납기 지연을 줄이려고 원인을 빨리 확인해 달라고 요청한다. 작업자는 이전에도 성공했던 순서로 설비를 정지하고 방호문 밖에서 상태를 살핀다.

직접 원인을 “자재 걸림”으로, 행동 원인을 “확인 미흡”으로 적으면 보고서는 짧다. 그러나 시간선을 그리면 표시의 불안정, 지원 지연, 복구 순서에 대한 절차의 빈틈, 생산 일정과 접근 판단이 같은 시점에 만난다. 방호 연동이 정상이더라도 재기동 권한과 인원 확인이 한 사람에게 몰렸다면 회복 구조가 약하다.

조사팀은 설비 내부 접근 전 에너지 격리와 방호 상태를 우선 확인한다. 이어 자재 걸림 빈도, 센서 표시 이력, 보전 지원 도착시간, 복구 중 연락과 재기동 확인을 같은 축에 놓는다. 반복되는 조정은 작업자 요령으로 두지 않고 설비 감지, 안전한 제거 도구, 지원 기준과 재기동 승인에 반영한다.

성형기 끼임 사고에서 점검 전 정지를 다룬 해설처럼 정규 운전만 보지 않는다. 걸림 제거, 청소, 시험운전과 재가동은 생산 사이의 부수 작업이 아니라 별도의 위험 시나리오다. 위험성평가는 자주 성공했던 복구 방식도 관찰하고, 성공에 필요했던 숙련자 지원과 시간 여유가 다음 작업에도 있는지 확인해야 한다.

현장 적용 예시: 공정 변경과 교대 인계가 겹친 날

제조라인이 새 자재로 전환되는 날 설비 설정과 검사 기준이 함께 바뀐다. 주간조는 시험 물량을 처리했지만 일부 조건은 구두로만 공유한다. 야간조는 정상 생산계획을 받았고, 품질 담당자는 다른 긴급 검사 때문에 첫 제품 확인에 늦게 합류한다. 각 부서는 맡은 업무를 처리했지만 전체 상태를 한눈에 본 사람은 없다.

결과가 나쁘면 인계 누락 하나를 근본원인으로 고를 수 있다. 그러나 인계서 형식만 고쳐서는 품질 확인 지연, 계획 전환 시점과 설정 승인 권한의 결합이 남는다. 어느 정보가 누락됐는지뿐 아니라 왜 구두 전달이 정상적인 보완 방법이 됐는지, 변경 상태를 표시할 공통 화면이 있었는지 확인해야 한다.

개선은 인계 교육에만 두지 않는다. 변경 작업의 시작과 종료 상태를 공통으로 표시하고, 품질 확인자가 없으면 정상 속도로 전환할 수 없게 한다. 교대가 겹치면 설정값과 첫 제품 결과를 두 사람이 확인하며, 계획 담당자는 전환 물량에 별도 시간 여유를 반영한다. 각 부서가 자기 목표를 지켜도 전체 방어가 남도록 연결을 바꾼다.

산업재해 기인물과 가해물을 구분하는 현장 해설은 접촉한 물체와 재해가 시작된 기인물을 구분해 증거와 대책을 연결하도록 돕는다. 이런 분류는 직접적인 에너지 전달 경로를 놓치지 않게 한다. 다만 분류가 끝난 뒤에도 변경 승인, 정보 흐름과 부서 간 조정이 그 상태를 어떻게 만들었는지 별도 분석해야 한다.

HSE와 OSHA의 안내는 개인 비난에서 멈추지 않는다

영국 HSE의 사고·사건 조사 안내는 직접 원인, 기저 원인과 근본원인을 구분하고 모두를 다뤄야 한다고 설명한다. 조사 목적은 비난이 아니라 예방이며, 작업자 오류만을 유일한 원인으로 끝내는 결론은 드물게만 받아들일 수 있다고 밝힌다. 교육, 감독, 설비설계와 안전보건 관리의 조건을 함께 보라는 실무 지침이다.

미국 OSHA의 사건조사 안내도 부주의나 절차 미준수만으로 결론 내리면 오해를 부를 수 있다고 설명한다. 관리자와 작업자가 함께 조사하고, 즉각적인 행동을 넘어 설비, 절차, 교육과 안전보건 프로그램의 기여요인을 찾아 시정조치로 연결하도록 안내한다. 개인의 잘못을 찾는 조사와 시스템을 개선하는 조사를 구분한다.

두 기관의 안내는 현장에서 바로 적용할 수 있는 최소선을 제공한다. ETTO 관점은 근본원인을 더 많이 찾는 데서 멈추지 않고, 변화가 많은 시스템의 결과가 구성요소로 완전히 분해되는지 다시 묻는다. 공식 안내의 직접·기저 원인 통제를 수행하면서도, 긴 시간선과 여러 팀의 조정이 만든 창발적 결과는 상호작용 분석으로 보완한다.

사고 인터뷰는 정답 확인이 아니라 작업 복원이다

인터뷰 전에 결론을 정하면 질문이 확인 절차로 바뀐다. 조사자는 “왜 확인하지 않았나”보다 “그 시점에 무엇을 확인했고 다음에 무엇이 일어날 것으로 예상했나”를 묻는다. 작업자가 사용한 화면, 도구와 문서를 함께 보며 순서를 재현한다. 기억은 시간이 지나며 달라질 수 있으므로 비난하지 않고 기록과 대조한다.

관리자와 지원부서에도 같은 방식으로 묻는다. 어떤 목표를 받았고 무엇을 우선하라고 전달했는지, 인력과 시간을 어떻게 배분했는지, 작업 중지가 어떤 비용과 승인 절차를 만들었는지 확인한다. 현장 행동은 상위 계획과 자원 결정에서 떨어져 있지 않다. 날카로운 현장 끝과 둔한 조직 끝의 판단을 같은 시간선에 놓는다.

5Why는 질문의 시작으로만 사용한다

5Why는 즉각적인 행동 뒤에 있는 관리 조건을 찾는 데 도움이 된다. “작업자가 손을 넣었다”에서 멈추지 않고 왜 설비를 멈추지 않았는지, 왜 걸림 제거가 반복됐는지, 왜 안전한 도구와 지원이 없었는지 물을 수 있다. 짧은 회의에서 사고 설명을 넓히는 출발점으로는 유용하다.

하지만 질문을 한 갈래로만 이어 가면 답도 한 줄로 수렴한다. 같은 사건에서 생산, 보전, 품질과 설계의 경로가 다를 수 있다. 다섯 번째 답을 근본원인으로 정하는 규칙도 없다. 조사자의 질문 선택에 따라 교육 부족, 절차 미흡 또는 관리 소홀 가운데 익숙한 항목으로 끝날 수 있다.

반복 서식과 질문 흐름은 사고조사를 지원할 수 있지만, 도구가 사실을 대신 판단하게 해서는 안 된다. 분기된 원인, 상호작용, 반대 증거와 아직 확인하지 못한 가정을 별도로 남기고, 현장 확인 뒤에만 결론과 대책을 확정한다.

대책은 원인 이름보다 통제 효과로 평가한다

좋은 대책은 보고서 문장과 일대일로 맞는 대책이 아니라 사고 가능성을 실제로 바꾸는 대책이다. “교육 부족”에 교육을 붙였다고 충분하지 않다. 작업자가 위험 상태에 접근하지 않게 에너지를 격리하고, 이상 상태를 분명히 표시하며, 확인 없이 재기동할 수 없게 해야 한다. 중요한 방어는 기억과 주의에 덜 의존하도록 설계한다.

각 대책이 바꾸는 조건을 적는다. 설비 변경은 에너지 전달이나 접근 가능성을 바꾸고, 인계 변경은 결정 시점의 정보 상태를 바꾸며, 인력과 일정 조정은 시간 압박과 지원 가능성을 바꾼다. 책임자와 기한뿐 아니라 완료 뒤 어떤 작업을 관찰하고 어떤 지표로 효과를 볼지도 정한다.

한 곳의 부담을 다른 곳으로 옮기지 않았는지 확인한다. 승인 단계를 늘려 현장 대기가 길어지면 비공식 우회가 생길 수 있다. 경보를 추가해도 우선순위가 없으면 중요한 신호가 묻힌다. 교육을 늘렸지만 작업시간과 인력이 그대로라면 철저함 요구만 커진다. 대책 뒤 정상작업을 다시 보고 새로운 조정이 생겼는지 확인한다.

현장 점검표: 하나의 뿌리보다 작동 조건을 확인한다

점검표는 근본원인이라는 칸을 더 많이 채우는 서식이 아니다. 직접 위험을 통제하면서 당시 작업의 조건과 관계를 잃지 않게 하는 질문 묶음이다. 조사 범위가 제한될 때도 무엇을 확인했고 무엇이 불확실한지 남긴다. 결론보다 확실해 보이는 표현으로 빈칸을 덮지 않는다.

관리감독자가 다음 조사에서 바꿀 다섯 가지

첫째, 사고 직후 직접 위험을 격리하고 현장과 기록을 보존한다. 둘째, 개인의 잘못을 묻기 전에 사고 전 작업 흐름과 변경을 시간선으로 만든다. 셋째, 각 시점의 목표와 가용 정보를 적고 실제로 가능했던 선택지를 확인한다. 이 세 단계만 지켜도 결과를 안 뒤 만든 짧은 이야기에서 벗어날 수 있다.

넷째, 직접 원인과 기저 조건을 찾은 뒤 여러 조건의 결합을 살핀다. 생산, 보전, 품질, 협력업체와 관리부서의 결정이 서로의 시간을 어떻게 바꿨는지 표시한다. 다섯째, 대책을 교육과 주의 촉구에 머물게 하지 않는다. 에너지 격리, 상태 표시, 독립 방어, 완충과 지원체계처럼 선택 가능성을 바꾸는 조치를 우선한다.

조사가 끝난 뒤 정상작업을 다시 관찰한다. 새 절차가 실제 조건에서 사용되는지, 승인 단계가 새로운 우회를 만들지, 경보와 확인이 작업량을 감당하는지 본다. 대책이 한 팀의 부담을 다른 팀으로 옮겼다면 완료가 아니다. 개선은 문서의 원인 칸이 아니라 현장의 작동 조건이 달라졌을 때 끝난다.

내일은 근본원인 한 줄 뒤에 시간선을 붙인다

다음 사고나 아차사고를 검토할 때 직접 원인과 방호 결함을 먼저 찾는다. 짧고 확인 가능한 인과관계는 분명히 적고 즉시 통제한다. 그다음 근본원인 한 줄로 보고서를 닫지 않는다. 사고 전후의 변경, 인계, 경보, 중지와 재개를 시간 순서로 놓고 각 참여자가 당시 알고 있던 정보와 목표를 붙인다.

첫 행동이 마지막 결과를 처음부터 결정했는지 묻는다. 중간에 다른 선택과 회복 기회가 있었다면 그것이 언제 사라졌는지 찾는다. 개별 조건을 나열하는 데서 끝나지 말고 어떤 조합이 방어를 약하게 했는지 확인한다. 결과적 현상은 부품과 기능으로 분석하고, 창발적 현상은 관계와 타이밍으로 보완한다.

근본원인 분석 한계를 인정한다고 조사가 모호해지는 것은 아니다. 오히려 확인한 사실, 남은 가정과 개입 지점이 더 분명해진다. 사람에게 더 조심하라고 요구하기 전에 설비, 표시, 정보, 일정, 자원과 중지 권한을 바꿀 수 있다. 사고 설명이 현장의 실제 작동을 닮을수록 대책도 실제 작업에서 버틸 가능성이 커진다.

참고자료

1. Erik Hollnagel, The ETTO Principle: Efficiency-Thoroughness Trade-Off: Why Things That Go Right Sometimes Go Wrong, CRC Press, 2009. 사고철학, 근본원인, 결과적·창발적 현상과 인과분석의 적용 한계에 관한 기준 자료.
2. UK Health and Safety Executive, Investigating accidents and incidents. 직접·기저·근본원인을 구분하고 비난보다 예방과 시스템 개선을 우선하는 공식 조사 안내.
3. US Occupational Safety and Health Administration, Incident Investigation. 작업자 부주의에서 멈추지 않고 기여요인과 안전보건 프로그램 결함을 찾아 시정조치로 연결하는 공식 안내.