Mangler ved Statoils barrierestyring for innretninger i drift
Beskrivelse
Det er mangler med Statoils barrierestyring knyttet til beskrivelse av risikobildet for den enkelte innretning, identifikasjon av organisatoriske barrierelementer, overvåking og verifikasjon av ytelse for innretning i drift.
Begrunnelse
Sikkerhetsstrategi omfatter ikke det innretningsspesifikke risikobildet.
Barrierer skal etableres på bakgrunn av et spesifikt risikobilde, og behov for etablering av operasjonelle og organisatoriske barriereelementer for å sikre en barrierefunksjon må vurderes. Det er eksempler på at sikkerhetsstrategier ikke er dekkende for det spesifikke risikobildet for enkelte av innretningene.
Johan Castberg innebærer en omfattende undervannsutbygging. I Castbergs sikkerhetsstrategi inngår ikke undervannsinnretninger. Tilsvarende funn ble gjort under tilsyn på Norne i desember 2017, se dokument 15.
Vi har i tilsyn 22.8.2017 og tidligere tilsyn i 2016, se dokument 16, fått informasjon fra Statoil om at det er etablert planer og målsettinger med arbeidet for å inkludere operasjonelle barrierelementer for boreoperasjoner (PS17B) for innretninger i drift, og at en pilot skal iverksettes. Barrierefunksjoner, der sikkerhetskritiske oppgaver skal sikre barrierefunksjon på boreanlegg i drift, inngår per nå ikke i sikkerhetsstrategiene. Statoil oppgir eksempelvis i brev datert 11.12.2017 at det ikke er identifisert sikkerhetskritiske oppgaver relatert til bore/brønnaktiviteter på Oseberg Feltsenter i forbindelse med oppdatering av sikkerhetsstrategi.
Det er ikke klart definert hvilke roller som skal utføre operasjonelle barriereelementer og hvordan ytelse skal verifiseres.
Regelverket sier at det skal etableres operasjonelle og organisatoriske barrierelementer der det er nødvendig for at den enkelte barriere skal være effektiv. Statoil har valgt å bruke begrepet «sikkerhetskritiske oppgaver», som omfatter både operasjonelle og organisatoriske barriereelementer. Statoil har orientert oss om at dette valget av definisjon, der operasjonelle og organisatoriske elementer slås sammen, er gjort med bakgrunn i at personer er uløselig knyttet til de sikkerhetskritiske oppgavene de skal utføre.
Vi har overfor Statoil og andre selskaper som har gjort tilsvarende valg, kommunisert at vi ikke ser at dette er i strid med regelverket så lenge roller og ansvar for oppgavene er klart definert. At det settes ytelseskrav til dedikerte roller og at ytelse verifiseres og overvåkes over tid, eksempelvis krav til tilgjengelighet, kompetanse, og trening og øvelser.
Statoil har opplyst at de ikke systematisk verifiserer tilgjengelighet av personell som del av barrierestyringen, og hvorvidt det er tilstrekkelig kompetent personell for å ivareta oppgaver både i normal drift og i eventuelle feil-, fare- og ulykkessituasjoner.
Vi viser også til avvik om manglende verifisering av ytelseskrav for operasjonelle og organisatoriske barriereelementer over tid i tilsyn med Johan Sverdrup, se dokument 14.
Mangelfull vurdering av faktorer som påvirker ytelse for operasjonelle og organisatoriske barrierelementer.
Sentrale faktorer som påvirker ytelse, pålitelighet og korrekt oppgaveutførelse blir ikke vurdert i forbindelse med operasjonelle barrierelementer ved oppdatering av sikkerhetsstrategiene på innretninger i drift.
Statoil har i brev 11.12.2017 oppgitt at ytelsespåvirkende faktorer ikke blir vurdert i forbindelse med oppdatering av sikkerhetsstrategiene for innretninger i drift, der sikkerhetskritiske oppgaver blir identifisert og inkludert. Vi kjenner fra tidligere tilsyn til at en del ytelsespåvirkende forhold vil være kartlagt og vurdert på et tidligere tidspunkt, eksempelvis alarmrater i sentralt kontrollrom, belysning, tilkomst osv. Ved identifikasjon og gjennomgang av sikkerhetskritiske oppgaver bør det imidlertid verifiseres om ytelseskrav vil kunne oppfylles, eller om det er behov for å sette i verk korrigerende og forebyggende tiltak, deriblant forbedring av systemer og utstyr, som kan påvirke ytelsen til de operasjonelle og organisatoriske barriereelementene.
Vi oppfatter av Statoils opplysninger at tidligere gjennomførte vurderinger ikke blir gjennomgått på nytt, eller at det gjennomføres nye vurderinger av forhold som kan påvirke ytelse, i forbindelse med oppdatering av sikkerhetsstrategiene.
Sentrale ytelsespåvirkende forhold som «menneske-maskin»-grensesnitt, informasjonspresentasjon, alarmrater, avstander, trening og øvelser, og sjekklister for utførelse av sikkerhetskritiske oppgaver mv. blir dermed ikke vurdert som del av oppdateringen av sikkerhetsstrategiene på innretninger i drift. Dette medfører at heller ikke eventuelle nødvendige tiltak som reduserer sannsynlighet for feiloperasjon blir vurdert. Slike tiltak vil kunne øke pålitelighet for at barrierefunksjoner vil fungere i feil-, fare- og ulykkessituasjoner.
I Statoils TR 1055 står det at «The obective for managing operational barrier elements is to increase human reliability and reduce human errors related to execution of safety critical tasks». I anbefalt guideline henvist til i TR 1055 står det at «performance shaping factors» skal vurderes når sikkerhetskritiske oppgaver skal identifiseres og analyseres. Vi kan ikke se at Statoil følger egne anbefalinger til å vurdere ytelsespåvirkende forhold og gjennomføre risikoreduserende tiltak slik at pålitelighet øker.
Hjemmel
Mangelfull trening og øvelser og overvåking av tilstand på barriereelementer
Beskrivelse
Det er mangelfulle planer for trening og øvelser for å istandsette personell til å ivareta sikkerhetskritiske oppgaver for å håndtere operasjonelle forstyrrelser, og fare- og ulykkessituasjoner på en effektiv måte (utenom beredskap). Det er mangelfulle aktiviteter eller metoder for å verifisere at ytelse på operasjonelle og organisatoriske barrierelementer ikke er svekket.
Begrunnelse
I tilsynet 22.8.2018 ble det uttalt at det ikke er planlagt trening eller øvelser som skal istandsette personell til å ivareta sikkerhetskritiske oppgaver (utenom beredskap). I brev fra Statoil 11.12.2017 står det at «(…) Statoils tilnærming er at ytelseskrav verifiseres gjennom operasjonalisering av sikkerhetsstrategi, trening og øvelser og plattforminterne verifikasjoner (PIV)». Tilsynet er gjort kjent med Statoils beredskapstrening og -øvelser. Statoil har imidlertid ikke klart å vise hvordan selskapet på en systematisk måte over tid skal overvåke tilstanden på operasjonelle og organisatoriske barriereelementer og avdekke eventuelle svekkelser i barrierene.
I tilsynet ble det presentert en pilot gjennomført på Kvitebjørn i 2017 der man har anvendt table tops i opplæringsøyemed. Det er ikke konkludert om eller hvordan denne tas videre.
Det blir ikke, eller i svært begrenset grad (med unntak av beredskapsoppgaver) trent og øvd systematisk på sikkerhetskritiske oppgaver som skal sikre barrierefunksjon. Statoil oppgir også at det ikke er planer for dette. Trening og øvelser vil også kunne, som innen beredskap, anvendes til å verifisere ytelse.
Hjemmel