Pochi minuti prima della mezzanotte del 30 agosto 2023, un treno passeggeri vuoto che viaggiava in direzione Torino a circa 100 km all’ora, ha investito e ucciso sul colpo cinque operai di una società di manutenzione, la Si.gi.fer di Borgo Vercelli, che avevano da poco iniziato a lavorare sui binari nella stazione di Brandizzo, in provincia di Torino.

Sin dal giorno dopo, ancor prima di aver capito la dinamica dell’incidente, l’ansia punitiva ha preso il sopravvento con la proposta di varie soluzioni: (1) una severa giustizia penale che faccia davvero paura e senza prescrizione (l’ex-pm Guariniello); (2) una professionalizzazione spinta di magistrati e la creazione di una Procura nazionale per la sicurezza sul lavoro (sempre l’ex-pm Guariniello con CGIL); (3) introdurre un nuovo tipo di reato, l’omicidio sul lavoro (il PD); (4) cambiare il sistema degli appalti e cancellare i subappalti (CGIL); (5) ridurre la logica del profitto (Fillea-CGIL); (6) licenziare i colpevoli (Il Ministro delle Infrastrutture).

Purtroppo, a prescindere dalla bontà delle soluzioni proposte, nessuna di queste avrebbe impedito l’incidente. In base ai primi accertamenti, sembrerebbe che il cosiddetto “caposcorta” di Rfi (Rete ferroviaria italiana, una società partecipata al cento per cento dallo Stato italiano, non una ditta appaltatrice) avrebbe commesso un errore, dando l’avvio dei lavori senza aver ricevuto l’autorizzazione. Nessuna legge ad hoc, né una super Procura nazionale, o una riforma degli appalti, così come l’eliminare la prescrizione o un aumento delle pene, avrebbe evitato l’evento, o eviterebbe eventi simili in futuro, considerato che, tra l’altro, l’operatore di Rfi sarebbe potuto essere una delle vittime anche lui. Non ci si può fermare alla sola spiegazione dell’errore umano, perché quando accade un incidente in un’organizzazione complessa è tutta l’organizzazione che fallisce e non soltanto le persone a più stretto contatto con il compito. Non esiste un mondo senza errori: l’errore umano non è ciò che spiega un incidente, ma ciò che deve essere spiegato.

Gli incidenti sono raramente determinati da una singola causa (umana o tecnologica), ma piuttosto derivano da molteplici eventi diversi che, entrando in relazione tra loro, causano un incidente. Si tratta di errori organizzativi. Se è vero che un incidente è attivato dall'errore di un operatore (un pilota, un macchinista, un tecnico di una centrale, un medico), è altrettanto vero che quell'errore s'innesta, spesso, in un sistema organizzativo caratterizzato da criticità latenti che rimangono silenti finché un errore umano non le attiva. Ne deriva che, in molti casi, le condizioni per l’errore umano sono precostituite, anche se non intenzionalmente, dall'organizzazione.

L’incidente sembra esser stato causato da un’autorizzazione all’avvio ai lavori data dal capo scorta di Rfi della stazione di Brandizzo al gruppo di manutentori, senza averla a sua volta ricevuta dal Dirigente della centrale operativa (Dco), con sede a Chivasso, e con la circolazione dei treni attiva. La complessa procedura formale via fonogramma per la gestione dei lavori di manutenzione inizia con un’autorizzazione da parte del gestore della circolazione, il capostazione locale o dirigente operativo che governa il traffico e che trasmette questa autorizzazione a un dipendente di Rfi sul posto (detto anche scorta Rfi), il quale assume il ruolo di titolare dell’interruzione del traffico. A sua volta, la scorta Rfi trasmette l’autorizzazione ad un’altra figura, un operatore della manutenzione, che funge da anello di congiunzione tra Rfi e la ditta appaltatrice. Terminati i lavori e dopo verifica sul posto, il flusso di comunicazioni viaggia al contrario attraverso la scorta, poi il titolare dell’interruzione per arrivare al capostazione. Soltanto da quel momento si potrà riaprire la linea al traffico e lasciar passare di nuovo i treni. 

Come emerso dai primi accertamenti, questa autorizzazione da parte del Dco non sarebbe mai stata data, anzi sarebbe stata negata per ben tre volte in tre telefonate tra le 23.26 e le 23.47 del 30 agosto. L’ultima telefonata è avvenuta proprio mentre stava accadendo l’incidente. Il capo scorta avrebbe dato, invece, l’avvio ai lavori, commettendo una violazione (intenzionale, anche se non malevola) e un errore (non intenzionale). La violazione è consistita nell’iniziare i lavori prima di aver ricevuto l’autorizzazione dal Dco, probabilmente per portarsi avanti e rispettare le scadenze previste, gestendo l’eventuale transito di un treno, con il controllo a vista e avvertendo nel caso gli operai di spostarsi dai binari (“Se dico treno, andate da quella parte”, si sente nel video di una delle vittime pochi istanti prima dell’incidente). L’errore è consistito nell’essersi distratto e, di conseguenza, nel non aver vigilato il transito dei treni. La distrazione potrebbe essere stata favorita dal fatto che un treno era da poco passato, anche se su un altro binario, e questo potrebbe averlo erroneamente indotto a pensare che il treno atteso dopo il quale poter iniziare i lavori, fosse in realtà già passato. Quindi, l’operatore deve essersi sentito rassicurato che non vi fossero più pericoli. In ogni caso, non c’è stata alcuna autorizzazione, né su carta né tantomeno per telefono. Lo stesso operatore ha ammesso di aver sbagliato.

Circoscrivere un incidente come questo al solo livello individuale, all’errore umano, sarebbe riduttivo e non consentirebbe di apprendere per migliorare il sistema affinché eventi di questo tipo non si ripetano. Fermo restando le esigenze di giustizia, e tranne i casi di dolo o colpa giudizialmente verificabili, un approccio accusatorio meramente punitivo che risponde alla domanda “di chi è la colpa?”, non produce soluzioni di rimedio in quanto si limita a trovare un colpevole, talvolta un capro espiatorio organizzativo al posto dei difetti di sistema, e non evita che l’evento possa ripetersi. Un approccio funzionale e organizzativo si pone altre domande: “come e perché hanno fallito le difese e cosa possiamo fare per evitare che l’evento riaccada”. Se adottiamo il primo approccio punitivo, con elevata probabilità passeranno seri guai per aver dato l’avvio ai lavori senza autorizzazione gli unici due operatori che si sono salvati: il capo scorta Rfi e il caposquadra della ditta di manutenzione. Punite le persone il sistema non cambia, perché dovrebbe? Se togliamo la mela marcia il sistema è sano. Se adottiamo l’altro approccio e con altre domande, invece, rileviamo una serie di fattori latenti, di criticità tecnologiche e organizzative che hanno reso possibile che l’incidente accadesse, all’interno di un periodo di incubazione in cui i segnali di pericolo venivano ignorati.

In primo luogo, la procedura di autorizzazione all’apertura del cantiere. Mentre per la rete dell’alta velocità questi interventi sono molto protetti, con l’apertura del cantiere data direttamente dall’addetto Rfi nella sala di controllo, per oltre il 70% della restante rete, la gestione dell’apertura si basa su un sistema di comunicazione cartaceo e via fonogramma piuttosto antiquato, e che lascia molti dubbi sulla sua adeguatezza rispetto alla tempestività richiesta delle operazioni da compiere. Lasciando la porta aperta a possibili adattamenti per tener conto delle esigenze di realizzazione dei lavori. Questo può favorire, come sembra emergere, la realizzazione di violazioni ottimizzanti, fatte per raggiungere l’obiettivo nei tempi previsti, sempre più ridotti. Difficilmente gli operai potevano sforare i tempi, nemmeno in caso di imprevisti.

Alcuni ferrovieri hanno affermato: “Mi è già capitato di iniziare dei lavori prima in quel tratto” (La Stampa, 3 settembre 2023), “È capitato più volte mentre ero lì, andavamo sul binario per affrettare il lavoro” (Il Corriere della Sera, 5 settembre 2023). Sapendo, ad esempio, che un treno era in ritardo, il portarsi avanti con i lavori non era inusuale. Con due o tre ore a disposizione per chiudere un cantiere, accadeva che alcune misure di sicurezza venissero bypassate. Non era rara, anzi, la prassi di iniziare i lavori sui binari prima dell’autorizzazione, così da poter riuscire a concludere in tempo i lavori. Eventi simili si ripetevano e in alcuni casi si sono verificati dei mancati incidenti, come affermato da alcuni manutentori che lavorano per Rfi: “Riporto due episodi molto simili. Uno capitato a me, l’altro a un collega. Stavamo operando nei pressi della stazione, quando ci siamo accorti che un treno stava arrivando sui binari che per noi risultavano interrotti. Ci siamo subito spostati. Abbiamo poi scoperto che, per un’incomprensione, il regolatore della circolazione aveva fatto riprendere la marcia dei treni sia sul tratto da noi interrotto che su un altro binario, dove invece i lavori erano già terminati”. Il secondo episodio è simile “La marcia è stata fatta riprendere all’orario previsto, dimenticando però che per il prolungarsi dei lavori la squadra del mio collega non aveva ancora comunicato alla stazione di aver terminato” (La Stampa, 5 settembre 2023).

Quanto fosse diffusa questa pratica alternativa di gestire le autorizzazioni per gli interventi di manutenzione, se fosse addirittura sistemica, sarà da chiarire ulteriormente. Sembra essere comunque una prassi molto diffusa. Nei giorni successivi all’incidente, sono arrivate centinaia di esposti alla Procura di Ivrea o ai sindacati, da parte di operai e manutentori che riportavano di esser stati mandati a lavorare sui binari senza l’autorizzazione a procedere (La Repubblica, 9 settembre 2023). Un evento fotocopia era accaduto nel 2014 in provincia di Caltanissetta, con la morte di tre operai della manutenzione. Anche nella vicenda dell’incidente di Pioltello del 25 gennaio 2018, dove morirono tre persone e un centinaio rimasero ferite, sembravano esser comuni pratiche di gestione della manutenzione simili a quel che è accaduto a Brandizzo. Per ridurre i tempi di attesa tra la richiesta di un’autorizzazione e la sua ricezione, il responsabile della scorta avvisava con un fischio la squadra della manutenzione di allontanarsi dal binario quando c’era il passaggio del treno.

Una prassi di questo tipo, apparentemente diffusa non solo a Brandizzo, quindi, porta nel tempo ad un fenomeno di normalizzazione della devianza: le persone all’interno di un’organizzazione diventano progressivamente così insensibili alle pratiche devianti da non ritenerle più sbagliate. In tal modo, la violazione da eccezionale, ovvero rara, diventa di routine. Ed è in queste situazioni che i livelli di attenzione si abbassano, e i lavoratori affrontano un’attività pericolosa e senza difese adeguate come se fosse normale. In queste situazioni, il primo errore che accade, sempre possibile, genera un disastro.

Come in molti altri casi di organizzazioni, siamo in presenza di aree di elevata criticità per la sicurezza, nelle quale i lavoratori e i loro supervisori assieme si impegnano in pratiche lavorative che sono ufficialmente proibite, ma nella realtà sembrerebbe informalmente tollerate dall’organizzazione, considerato che, tra l’altro, si realizzano all’aperto e dunque sono ben visibili ad eventuali controlli. Nelle organizzazioni, quando per realizzare i compiti richiesti la governance legale non funziona, se ne sviluppa una extra-legale. Se si vuole eliminare la governance extra-legale, occorre modificare quella legale che in qualche modo la favorisce.

In pratica, gli operatori si trovano in una situazione di decoupling tra opposte esigenze: da un lato i requisiti di prestazione da realizzare, in condizioni di tempi come si diceva sempre più stringenti. Dall’altro, le richieste di legittimità, ovvero le procedure e le norme da rispettare per realizzare le attività. Se c’è un disallineamento tra questi requisiti, aumenta la possibilità che gli operatori per realizzare il compito debbano sospendere o applicare con modalità elastiche le regole. Altrimenti rischiano di non poter realizzare il compito nei tempi previsti. Poi, se accade un incidente, sarà colpa di chi ha violato le regole o di chi ha commesso l’errore. Ma sono proprio quelle regole e quelle richieste che creano lo spazio per le violazioni e per gli errori.

Le dichiarazioni da parte della Rfi durante l’audizione in Parlamento non sono sufficienti. Non basta dire che le regole ci sono e sono severe, se poi la prassi diffusa sembra essere di tutt’altro tipo. Inoltre, è emerso molto chiaramente come il sistema di sicurezza di Rfi non tenga in adeguata considerazione l’errore umano.

L’incidente di Brandizzo sembra essere indicatore di una più ampia criticità nella gestione degli interventi di manutenzione, e può essere interpretato secondo due diverse ed opposte chiavi di lettura: come un episodio patologico, ovvero come la degenerazione di comportamenti individuali a livello locale, oppure come un fatto fisiologico dell’organizzazione, conforme a diffuse pratiche esistenti dalle quali traeva legittimazione e consenso. Il rischio è che questa vicenda venga trattata come prevalentemente patologica, con misure a livello individuale, senza riflessioni né azioni di carattere sistemico ed organizzativo.

In conclusione, se ci si concentra troppo da vicino sulle azioni rischiose in prima linea, si corre il rischio di non accorgersi del fatto che si è trattato del risultato di un incidente organizzativo in cui emergono criticità e mancanze nel sistema del controllo delle operazioni di manutenzione.

Che fare? È necessario superare il frame diffuso della punizione come elemento di miglioramento organizzativo e cambiamento istituzionale. Occorre gestire e progettare in vista dell’errore, sempre possibile. Occorre un buon sistema di gestione della sicurezza, un safety management system, come applicato in altri settori del trasporto, che si basi sull’idea di monitoraggio e miglioramento continuo, che verifichi che le procedure funzionino bene e che se invecchiano siano modificate. Occorre una scienza della sicurezza che promuova una cultura organizzativa ad alta affidabilità. È un problema di management all’altezza della complessità e rischiosità del compito.

In generale, l’incidente di Brandizzo rende evidente quanto sia necessaria una nuova epistemologia civica, come l’ha definita Sheila Jasanoff, per produrre conoscenza su un determinato evento critico, al fine di generare apprendimento organizzativo e istituzionale, oltre la delega al diritto penale o peggio all’ansia punitiva.