Jak vzniká chyba, kterou nikdo neudělal

Pěna, která nevypadala jako rozsudek

Inženýři NASA podali během mise tři žádosti o snímky raketoplánu ve vysokém rozlišení. Žádosti však neprošly správnými kanály. Jedna se dostala k příslušným lidem na ministerstvu obrany, ale NASA ji přibližně po devadesáti minutách zrušila. Vyšetřovací komise později popsala chybnou analýzu možného poškození, nízkou míru obav vedení, nejasnou komunikaci i slabou roli bezpečnostních struktur. Současně uvedla důležitou nejistotu: ani zpětně nebylo jisté, zda by požadované snímky poškození skutečně ukázaly.[1]

Dne 1. února 2003 se Columbia při návratu rozpadla. Horké plyny pronikly otvorem v náběžné hraně levého křídla, narušily jeho konstrukci a aerodynamické síly dokončily zkázu. Zahynulo všech sedm členů posádky. Fyzický mechanismus měl konkrétní podobu: přibližně 0,77 kilogramu pěny narazilo do křídla 81,9 sekundy po startu. Zpráva Columbia Accident Investigation Board však dala stejnou váhu i organizačním příčinám — tlaku na harmonogram, rozpočtovým omezením, bariérám v komunikaci, neformálním rozhodovacím cestám a spoléhání na dřívější úspěch místo dostatečně podloženého inženýrského úsudku.[1]

Z dnešního pohledu působí sled událostí téměř nesnesitelně přímočaře: něco narazilo do křídla, inženýři chtěli snímky, snímky nebyly pořízeny, raketoplán se rozpadl. Když známe konec, každý předchozí okamžik se zdá být šipkou, která na něj ukazovala.

Jenže lidé uvnitř tehdejšího rozhodování konec neznali. Viděli úlomek, nikoli otvor. Měli modely, nikoli jistotu. Věděli, že pěna odpadávala i dříve a mise se vracely bezpečně. Pracovali v organizaci, kde bylo třeba současně chránit posádku, udržet program v chodu, rozlišovat vážné signály od stovek méně významných anomálií a rozhodovat s omezenými daty.

Pokušení najít jednoho viníka

Po nehodě, chybném rozsudku nebo úniku dat se téměř vždy objeví stejná otázka: Kdo to pokazil? Je praktická, protože instituce potřebuje jednat. Je právně důležitá, protože odpovědnost nelze rozpustit v abstraktním „systému“. A je psychologicky přitažlivá, protože chaos převádí na příběh s postavou, rozhodnutím a následkem.

Problém nastává ve chvíli, kdy otázku po odpovědnosti zaměníme za otázku po příčině. Britský psycholog James Reason rozlišoval „osobní“ pohled, který se soustředí na omyl jednotlivce, a „systémový“ pohled, který zkoumá podmínky práce a vrstvy obrany. V jeho známém modelu připomínají bezpečnostní bariéry plátky sýra s otvory: žádná obrana není dokonalá, ale obvykle se jejich slabá místa nepřekryjí. Nehoda nastane, když se na krátký okamžik seřadí.[2]

Richard Cook šel ještě dál. U komplexních systémů podle něj bývá katastrofa výsledkem více selhání, z nichž každé je nutné, ale samo nestačí. Systémy jsou plné drobných vad, nejasností, improvizací a dočasných oprav; přesto fungují, protože mají rezervy a protože lidé jejich nedokonalosti průběžně vyrovnávají. Hledat po nehodě jedinou „kořenovou příčinu“ proto může být zavádějící. Často najdeme jen poslední článek, který byl dost blízko následku, aby se dal snadno pojmenovat.[3]

Bezprostřední příčina vysvětluje, co se stalo na konci. Systémová analýza se ptá, proč bylo možné, aby se k tomuto konci cesta vůbec otevřela.

To neznamená, že nic není ničí vina. Znamená to pouze, že propuštění operátora, potrestání technika nebo výměna vedoucího nemusí odstranit mechanismus, který vytvořil jejich rozhodování. Nový člověk může vstoupit do stejné směny, stejného softwaru, stejného systému priorit a stejné informační mlhy — a časem udělat totéž.

Jednotlivec je viditelný. Rozhraní mezi odděleními, pravidla eskalace, způsob vykazování nejistoty nebo dlouhodobě tolerovaná odchylka vidět nejsou. Právě proto po nehodě tak snadno trestáme to první a tak obtížně opravujeme to druhé.

Rozumné kroky, nerozumný celek

Rozhodnutí, které po tragédii vypadá nepochopitelně, mohlo být před ní lokálně racionální. Tento pojem, spojený s prací Davida Woodse a Richarda Cooka, neříká, že lidé rozhodovali správně. Říká, že jejich jednání je třeba rekonstruovat z informací, cílů, omezení a tlaků, které měli v daném okamžiku — nikoli z výsledku, který známe až my.[4]

Představme si běžný řetězec. Technik zaznamená odchylku, která se už několikrát objevila bez následků. Inženýr dostane neúplná data a model, jenž závažné poškození nepředpokládá. Vedoucí vidí technické shrnutí, nikoli původní záznam, a současně má rozhodnout, zda aktivuje nákladný mimořádný postup. Vyšší management slyší, že neexistuje formální „požadavek“, pouze neověřená obava. Nikdo nemusí lhát. Nikdo nemusí být lhostejný. Každý jen pracuje s jinou verzí problému.

Když výsledek známe, vstupuje do hry zpětné zkreslení. Události, které předem soutěžily s desítkami jiných možností, se zpětně seřadí do jediné nevyhnutelné trajektorie. Varování se zdá jasnější, alternativa dostupnější a nesprávná volba absurdnější, než byla v reálném čase. Hindsight bias není omluva; je to překážka vyšetřování. Pokud ji neodfiltrujeme, místo podmínek rozhodování budeme analyzovat karikaturu člověka, který údajně musel vědět to, co víme až po nehodě.

Jens Rasmussen popsal organizace jako systémy tlačené několika směry současně: k vyšší efektivitě, nižším nákladům a menšímu pracovnímu zatížení, ale také k hranici přijatelného rizika. Provoz se k této hranici nemusí přiblížit jedním vědomým skokem. Posouvá se po milimetrech, prostřednictvím drobných adaptací, které jednotlivě vypadají rozumně.[5]

Když se varování naučí být normální

Nejnebezpečnější zkušeností organizace nemusí být neúspěch. Někdy je jí opakovaný úspěch navzdory porušení bezpečnostní rezervy.

Socioložka Diane Vaughan při studiu rozhodnutí, které předcházelo katastrofě Challengeru, popsala „normalizaci odchylky“. Opakovaně pozorovaná anomálie se nestala důvodem k zastavení; protože po ní v minulosti nenásledovala katastrofa, byla postupně začleněna do obrazu normálního provozu. Nešlo podle ní o jednoduchou tajnou dohodu ani o jednorázové pohrdnutí rizikem. Šlo o pozvolný sestup do úsudku, který uvnitř dané kultury přestal působit deviantně.[6]

Mechanismus je zrádný. První odchylka vyvolá obavu. Druhá připomíná první, ale protože první dopadla dobře, je o něco méně alarmující. Po desáté už organizace nečte opakování jako deset varování, nýbrž jako deset důkazů, že je situace zvládnutelná. Absence katastrofy se promění v potvrzení bezpečnosti.

Jenže bezpečný návrat může znamenat dvě zcela odlišné věci: buď byla rezerva skutečně dostatečná, nebo systém právě přežil díky okolnostem, které nekontroloval. Bez měření nelze tyto možnosti spolehlivě oddělit.

Do tohoto procesu vstupuje ještě jeden paradox. Lidé v první linii často udržují špatně navržený systém v chodu právě tím, že improvizují. Obcházejí nefunkční formulář, doplňují chybějící informaci telefonem, zachytí chybu kolegy, opraví nekonzistentní data. Jejich adaptace vytváří bezpečnost v reálném čase. Zároveň ale před vedením skrývá, jak křehký provoz ve skutečnosti je. Organizace vidí výsledek — splněný výkon — nikoli stovky drobných zásahů, bez nichž by se rozpadla.[3]

Potom jeden člověk chybí, dvě pojistky selžou současně nebo se objeví neobvyklá kombinace okolností. To, co vypadá jako náhlý kolaps, je ve skutečnosti okamžik, kdy už lidé nedokázali kompenzovat vady, které tam byly dlouho.

Jak se informace ztrácí, aniž ji někdo zatají

V organizacích se informace téměř nikdy nepřenáší v původní podobě. Musí být vytříděna, přeložena, zkrácena a zařazena do formátu, kterému rozumí další úroveň. Technik popíše anomálii. Inženýr z ní vytvoří odhad. Vedoucí odhad převede na kategorii rizika. Management kategorii porovná s harmonogramem, rozpočtem a formálními pravidly.

Každý převod je nezbytný. Ředitel nemůže sledovat všechny senzory a soudce nemůže znovu provést celé vyšetřování. Zároveň se při každém převodu ztrácí část kontextu — zejména nejistota, rozpory a slabé signály, které se obtížně vejdou do jedné kolonky.

Tak může vzniknout organizační nevědomost bez jediné lži. Nejde o to, že by „nahoře“ informace nebyla odeslána. Dorazí tam v podobě, v níž už nevyvolává stejné otázky. V případu Columbie se technická obava při průchodu strukturou proměnila v absenci formálního požadavku na snímkování. Rozdíl nevytvořila nová fakta. Vytvořil ho způsob, jakým instituce rozhodovala, co se počítá jako dostatečný důvod jednat.[1]

Stejný problém vzniká v opačném směru. Vedení vydá obecné pravidlo, které se na první linii střetne s fyzickou realitou, personálním nedostatkem nebo výjimkou, s níž návrh nepočítal. Zaměstnanci si vytvoří praktickou zkratku. Zkratka není zaznamenána, protože by formálně neměla existovat. Vedení proto dál věří, že proces funguje podle dokumentace.

Organizace pak žije ve dvou verzích sebe sama: v oficiální, kde jsou kroky jasné a odpovědnosti přiřazené, a v provozní, kde se práce dokončuje díky improvizacím. Katastrofa často odhalí jejich rozdíl až ve chvíli, kdy už ho nelze překlenout.

Justiční omyl bez jediného okamžiku omylu

U justičního omylu máme sklon hledat jediný zlom: falešné přiznání, chybnou identifikaci, zmanipulovaný posudek nebo úmyslné zatajování důkazu. Takové zlomy existují. Mnoho případů však získá přesvědčivost až tím, že se několik slabých prvků navzájem začne potvrzovat.

Svědek zahlédne pachatele krátce, ve stresu a za špatného světla. Později vybírá z fotografií. Vyšetřovatel, který zná podezřelého, může nevědomě reagovat na váhání. Svědek si po výběru zapamatuje tvář jistěji než před ním. Do spisu vstoupí identifikace, nikoli celý proces vzniku její jistoty. Další vyšetřovatel už ji čte jako výchozí fakt. Nové důkazy se hodnotí v jejím světle.

Americká Národní rada pro výzkum (National Research Council) upozornila, že vnímání, paměť i subjektivní jistota jsou tvárné. Vzpomínky se při ukládání a vybavování rekonstruují, aktualizují a mohou být zkresleny, aniž si toho svědek je vědom. Přesnost ovlivňuje délka pozorování, vzdálenost, osvětlení, stres i samotný postup identifikace. Proto zpráva doporučila mimo jiné dvojitě zaslepené rekognice, standardizované instrukce, doslovné zaznamenání prvotní míry jistoty a videozáznam postupu.[7]

Žádný z těchto kroků sám nevytvoří rozsudek. Rozsudek vzniká až jejich propojením: svědecká paměť, způsob otázky, výběr podezřelého, interpretace forenzního nálezu, rozhodnutí obžaloby, kapacita obhajoby a pravidla, podle nichž soud připustí či váží důkazy. Slabý důkaz může posílit jiný slabý důkaz, protože oba vycházejí ze stejné původní domněnky. Vzniká kruh, který zvenčí vypadá jako několik nezávislých potvrzení.

Čísla ukazují ještě něco, co komplikuje název tohoto článku. U 71 procent těchto exonerací registr zaznamenal pochybení či nepřípustné jednání úředních osob; v mnoha případech šlo o více forem jednání současně. To není obraz světa, v němž jsou všichni pouze nevinnými kolečky. Je to obraz světa, kde se systémové slabiny, lidské omyly, profesní selhání a někdy i vědomé zneužití moci překrývají.[8]

Proto je důležité být přesný: „chyba, kterou nikdo neudělal“ není tvrzení, že nikdo nic neudělal. Je to popis situace, kdy výsledek nelze poctivě vysvětlit jediným skutkem ani jedinou osobou. Někdy v řetězci skutečně najdeme lež, manipulaci či hrubou nedbalost. Ani tehdy ale nemusí být vysvětlením celého řetězce.

Systém není alibi

Systémové myšlení má vlastní nebezpečí. Může se změnit v mlhu, v níž zmizí individuální odpovědnost. Když vše způsobila „kultura“, „proces“ nebo „komplexita“, může se nakonec zdát, že za nic neodpovídá nikdo. To by bylo stejně nepřesné jako hledání jediného obětního beránka.

Přístup označovaný jako just culture se snaží oddělit různé typy jednání: běžný lidský omyl, rizikovou zkratku, která se stala normou, a vědomě bezohledné porušení pravidel. Reakce nemá vycházet jen z velikosti následku. Stejný nebezpečný krok může jednou skončit bez újmy a podruhé tragédií; morální kvalita jednání se přitom nezměnila. Naopak neúmyslná chyba v špatně navrženém rozhraní se nestává zavrženíhodnou jen proto, že tentokrát měla velký dopad.[9]

Dobře to ilustruje závěrečná zpráva americké NTSB k letu Alaska Airlines 1282. Dne 5. ledna 2024 se z Boeingu 737-9 během stoupání oddělila záslepka nouzového východu; čtyři zajišťovací šrouby nebyly nainstalovány. Zpráva vydaná v červenci 2025 však neurčila jen bezprostřední technický mechanismus. Za pravděpodobnou příčinu označila to, že Boeing nezajistil odpovídající výcvik, pokyny a dohled nad procesem demontáže a opětovné montáže. Za přispívající faktor označila neúčinný dohled a plánování auditů ze strany FAA, které nezachytily opakované systémové neshody.[10]

Chybějící šrouby byly skutečné. Při opětovné montáži zůstaly mimo konstrukci. Přesto by vyšetřování skončilo příliš brzy, kdyby pouze našlo posledního pracovníka u letadla. Otázkou nebylo jen, kdo provedl úkon, ale proč proces nezajistil zdokumentování otevření, proč nevyvolal nezávislou kontrolu a proč dohled opakované neshody neproměnil v účinnou nápravu.

Instituce, které umějí pochybovat

Spolehlivá organizace není ta, v níž lidé nechybují. Taková organizace neexistuje. Spolehlivější je ta, která počítá s neúplnými informacemi, konfliktními cíli a proměnlivým provozem — a vytváří více příležitostí chybu zachytit, zpochybnit nebo napravit dříve, než se spojí s dalšími.

Výzkum vysoce spolehlivých organizací často shrnuje jejich přístup do pěti principů: trvalá pozornost k možnému selhání, neochota zjednodušovat výklady, citlivost k tomu, co se skutečně děje v provozu, respekt k odbornosti bez ohledu na hierarchii a schopnost obnovit bezpečný stav, když se něco pokazí. Důkazy o zavádění těchto principů nejsou bez omezení a žádná sada hesel sama bezpečnost nevytvoří. Smysl mají teprve tehdy, když se promění v každodenní rozhodovací návyky.[11]

Takové instituce se mohou navenek jevit méně sebejistě. Produkují více hlášení, více nesouhlasných stanovisek a někdy i více zaznamenaných chyb. To však nemusí znamenat, že jsou méně bezpečné. Může to znamenat, že vidí to, co jiná organizace ještě vytěsňuje. Nízký počet hlášených problémů je dobrá zpráva pouze tehdy, pokud víme, že systém problémy skutečně hledá a lidé je mohou oznamovat bez obavy z automatického trestu.

Komise CAIB po havárii Columbie nedoporučila jen technické změny. Požadovala nezávislou technickou autoritu, silnější bezpečnostní strukturu, lepší snímkování, realistický harmonogram vzhledem ke zdrojům a schopnost kontroly a případných oprav na oběžné dráze. Jinými slovy: nestačilo vyrobit odolnější křídlo. Bylo třeba změnit způsob, jakým se nejistota dostává k rozhodnutí a jaké možnosti zůstávají, když prevence selže.[1]

Stejná logika platí v justici. Dvojitě zaslepená rekognice nespoléhá na to, že vyšetřovatel nebude svědka ovlivňovat; odstraňuje možnost nevědomého ovlivnění z návrhu postupu. Videozáznam nezaručí správnou identifikaci, ale uchová proces, který by se jinak zredukoval na výsledek. Doslovný záznam první míry jistoty brání tomu, aby pozdější sebevědomí přepsalo původní váhání.[7]

Nejlepší pojistka tedy často není lepší člověk. Je to uspořádání, které po člověku nechce, aby byl neomylný.