Текст книги "Жизнестойкое предприятие: как повысить надежность цепочки поставок и сохранить конкурентное преимущество"

В силу чрезвычайной сложности современные цепочки поставок могут нарушить самые разные явления. Вероятность того, что отдельное звено цепочки пострадает от конкретного редкого события, невелика, однако для цепочки в целом риск выхода из строя значительно выше.

Перед менеджерами стоит непростая задача – увидеть уязвимое место и оповестить об этом своих коллег и представителей высшего руководства. Различные графические изображения могут помочь менеджерам представить уязвимость своей компании наглядно. Каждое из них позволяет по-разному взглянуть на уязвимость с точки зрения масштаба, локализации и объекта.

На рис. 2.2 использовалась схема, отражающая соотношение вероятности и последствий, для сравнения уязвимости различных компаний к воздействию конкретных сбоев. Подобным образом, хотя и с иными акцентами, для классификации и ранжирования сбоев по значимости для конкретной компании могут использоваться карты уязвимости предприятия. Хотя любому предприятию довольно сложно точно оценить вероятность и последствия отдельного сбоя, такие карты позволяют выявить относительную уязвимость в соответствии с этими двумя параметрами, а значит, компания может сосредоточиться на сбоях, по отношению к которым ее уязвимость максимальна. Рис. 2.4 представляет такую карту уязвимости для гипотетического производственного предприятия.

Транснациональные компании понимают, что многие сбои связаны с географией места: наводнения, землетрясения, политические волнения, колебания курсов валюты и другие потенциальные причины сбоев сосредоточены в определенных географических зонах. GM учитывает географию производства комплектующих, что помогает ей более точно оценивать совокупный риск от сбоев в разных уголках земного шара. Для этого GM использует ведомость материалов, которая представляет собой исчерпывающий перечень комплектующих, используемых при производстве каждого вида продукции, с указанием их количества (см. главу 5). Сведение данных воедино на уровне всего предприятия позволяет увидеть полную картину размещения подразделений по странам и регионам. Такая карта географической уязвимости как минимум показывает распределение поставщиков по регионам мира с указанием комплектующих, которые они производят. Эта карта позволяет компании при планировании сосредоточиться на регионах повышенного риска, с одного взгляда выявить проблемную зону и оперативно реагировать. Большинству компаний недостает полной картины уязвимости, включая уязвимость своих поставщиков.

Более подробная версия карты географической уязвимости освещает линии связи цепочки поставок, что помогает понять их взаимозависимость. На такой карте цепочки поставок показан поток деталей, поступающих из конкретных регионов, обозначены участники и заводы в других регионах мира, зависящие от данных поставок. Такая карта может стать инструментом, позволяющим понять, до какой степени наводнение в Бразилии повлияет на производство в Сингапуре или продажи в Германии.

GM использует подобные карты уязвимости цепочки поставок для оценки последствий моделируемых сбоев и эффективности мер по их смягчению. Данные для этих имитационных моделей берутся из ведомости материалов по всем видам продукции GM. Кроме того, эти данные включают карты процессов, отражающие взаимосвязь между различными процессами на предприятии.

Преимущества, которые дает GM работа по управлению рисками, не сводятся к преодолению сбоев. Изучение внутренних взаимосвязей в компании и взаимного влияния процессов позволяет совершенствовать повседневные операции. «Занимаясь этой работой, мы узнали о нашем предприятии много нового», – говорит Элкинс{58}58
  Беседа Элкинс с рабочей группой Массачусетского технологического института, май, 2004.


[Закрыть]. В частности, составление карт цепочки поставок позволяет выявить ненужные процессы, возможности для объединения (например, несколько подразделений закупают детали у одного и того же поставщика и могут объединиться для оптимизации сроков поставки) и координации снабжения заводов и подразделений (например, при автомобильных перевозках обеспечивается загрузка машин в обоих направлениях, а не только в одном) и множество других возможностей.

В этой главе были поставлены три вопроса в отношении сбоев малой вероятности с серьезными последствиями:

1. Что может пойти не так?

2. Какова вероятность, что это произойдет?

3. Насколько это серьезно?

С учетом этих вопросов определяются следующие рабочие моменты:

1. На чем следует сосредоточиться менеджерам?

2. Что можно сделать, чтобы снизить вероятность сбоя?

3. Что можно сделать, чтобы смягчить последствия сбоя?

Есть два способа понять, на чем нужно сосредоточиться менеджерам. Первый – составить список явлений, которые могут вызвать сбои (таких как землетрясения, ураганы, забастовки, диверсии), и расставить приоритеты. Второй – составить список сбоев (например, сокращение производственных мощностей, нехватка важнейших комплектующих или повреждение транспортной линии) и проанализировать их причины (и следствия). Первый способ более полезен, когда речь идет о снижении вероятности сбоя, поскольку можно повлиять на источник проблемы. Второй более полезен, когда нужно понять, как оправиться после сбоя, так как в данном случае причина может быть не так значима, как следствия и их масштаб.

Самое главное – это понять, что негативные события с тяжелыми последствиями далеко не так редки, как кажется. Если рассматривать единственный вид сбоев, например землетрясения, и в определенном месте, их вероятность невысока. Однако по совокупности в каждой фирме, которая опирается на глобальную, крупную и сложную цепочку поставок, негативное событие может произойти в любой момент. А это значит, что помимо оценки вероятности и последствий различных сбоев и вложений средств в безопасность компаниям следует уделять особое внимание созданию таких цепочек поставок, процессов и корпоративной культуры, которые в целом жизнестойки.

3. Прогнозирование сбоев и оценка их вероятности

Сбои почти никогда не бывают результатом какого-то одного промаха. Обычно крупномасштабный сбой – это результат совокупного воздействия нескольких факторов. Более того, как правило, беду предвещают многие знаки. Подобно подземным толчкам перед извержением вулкана, эти тревожные признаки указывают на приближение катастрофы. Часто менеджеры игнорируют или не замечают подобные симптомы. Однако, когда условия для сбоя уже сложились, но никто не обращает на них внимания, потенциальная возможность негативного события – даже маловероятного – уже не так низка. Когда начинают появляться говорящие приметы, сбой может стать неотвратимым, пусть даже время, место и вид пока неизвестны.

В ночь со 2 на 3 декабря 1984 года в резервуар № 610 с метил-изоцианатом{59}59
  При температурах, не превышающих 44 °C (111 °F), метил-изоцианат представляет собой бесцветную жидкость. Он вступает в бурную реакцию с водой и легко воспламеним. При нагревании разлагается и образует такие ядовитые газы, как цианистый водород, окислы азота и окись углерода. См. например: www.chm.bris.ac.uk/webprojecrs2002/tan/merhvl_isocyanate.htm.


[Закрыть] на заводе компании Union Carbide в Бхопале, Индия, случайно попало около 500 литров воды. Метил-изоцианат – опасный химикат, один из многих промежуточных продуктов, используемых при производстве пестицидов. Его газообразная форма легче воды, но в два раза тяжелее воздуха, поэтому, оказываясь в атмосфере, это вещество скапливается над поверхностью почвы{60}60
  «Bhopal Accident», Corrosion Doctor. Информация получена 4 октября 2004 года с сайта www.corrosion-doctors.org/Pollution/bhopal.htm.


[Закрыть].

Из-за попадания воды в резервуар возникла неконтролируемая химическая реакция, сопровождающаяся резким подъемом температуры и давления. Повышение температуры, вызванное химической реакцией при наличии катализатора в виде железа (появившегося в результате коррозии корпуса резервуара из нержавеющей стали), вызвало реакцию такой силы, что система аварийной защиты не смогла противостоять давлению образовавшихся газов. В итоге примерно за два часа 40 тонн метил-изоцианата вырвалось из резервуара и попало в атмосферу, образовав над городом с населением около 900 000 человек стелящееся облако длиной в восемь километров{61}61
  «Bhopal Disaster», The Trade & Environment Database Case Studies. Информация получена 4 октября 2004 года с сайта www.american.edu/TED/bhopal.htm.


[Закрыть].

Смертельное действие ядовитого газа немедленно сказалось на тех, кто жил по соседству с заводом – прямо за оградой. Одни погибали во сне, другие в ужасе выбегали из домов, чтобы умереть тут же, на улице. Множество людей скончалось спустя несколько дней и даже недель.

Большинство из тех, кто вдохнул значительное количество метил-изоцианата, умирали от удушья, когда их легкие переполнялись жидкостью, а бронхи сдавливал спазм. Всего погибли 4000 человек, а 500 000 получили тяжелые увечья.

Нельзя сказать, что трагедия в Бхопале – как часто называют одну из самых страшных промышленных аварий в истории – случилась на заводе с отличным техническим обслуживанием, безукоризненным соблюдением правил техники безопасности и отлаженной системой аварийной сигнализации и реагирования. Условия на заводе были ужасны. Их усугубляли устаревшие правила техники безопасности, скверное техническое обслуживание и отсутствие обучения. Совершенно ясно, что предсказать надвигающуюся трагедию было нетрудно{62}62
  David Weir, The Bhopal Syndrome: Pesticides, Environment, and Health (San Francisco: Sierra Club Books, 1987).


[Закрыть]:

• Приборы для контроля температуры и давления на разных участках завода говорили о надвигающейся беде. Но поскольку рабочие знали, что эти приборы, включая те, которыми оснащались резервуары с метил-изоцианатом, отличаются крайней ненадежностью, они попросту игнорировали их показания.

• Холодильная установка для хранения охлажденного метил-изоцианата (охлаждение необходимо для предупреждения его перегрева и расширения) некоторое время была отключена.

• Скруббер для нейтрализации утечек метил-изоцианата был на ремонте. Но, как показало расследование, проведенное после аварии, даже если бы он был в рабочем состоянии, его мощность не позволяла справиться с мгновенным выбросом огромного количества газа в момент аварии.

• Факельное устройство, предназначенное для сжигания утечек метил-изоцианата из скруббера, также бездействовало в ожидании замены проржавевшего патрубка. Кроме того, конструкция устройства не соответствовала его назначению, поскольку пропускная способность позволяла сжечь лишь четверть фактического объема утечек газа.

• Водяная завеса, созданная для нейтрализации остатков газа, была слишком низкой и не достигала вершины факельного устройства, откуда выходил метил-изоцианат.

• Аварийная сигнализация на резервуаре с метил-изоцианатом в ночь катастрофы не сработала в ответ на повышение температуры{63}63
  Jamie Cassels, The Uncertain Promise of Law: Lessons From Bhopal (Toronto: University of Toronto Press, 1993).


[Закрыть].

• Количество метил-изоцианата в резервуаре № 610 превышало рекомендуемый объем.

• Дополнительный резервуар на случай избытка метил-изоцианата был уже полон.

Если хотя бы один из упомянутых факторов отвечал необходимым требованиям, возможно, аварию удалось бы предотвратить или смягчить ее последствия. Стечение всех этих обстоятельств создало условия, в которых трагедия рано или поздно произошла бы. Отсутствие подготовленных врачей и стремление индийского правительства снять с себя какую бы то ни было ответственность усугубили последствия аварии.

Этот случай не единичен

Крупномасштабные катастрофы не сходят со страниц печати. Нередко они тщательно расследуются, и выявляются различные обстоятельства и незамеченные тревожные признаки грядущей катастрофы. В других случаях судебные процессы предаются огласке. Подобные расследования и судебные разбирательства показывают, что неспособность менеджмента выявить и исправить потенциально опасные условия неминуемо грозит катастрофой{64}64
  James R. Phimister, Ulku Oktem, Paul R. Kleindorfer, and Howard Kunreuther, «Near-Miss Incident Management in the Chemical Process Industry», Risk Analysis 23, no. 3 (2003): 445–459.


[Закрыть]. Можно привести несколько примеров подобных ситуаций.

1. Взрыв Challenger. Двадцать восьмого января 1986 года менее чем через две минуты после старта с мыса Канаверал, штат Флорида, взорвался американский космический челнок Challenger. Расследование показало, что причиной послужил дефект уплотнителей для герметизации соединений между секциями твердотопливных ускорителей. Инженеры выявили разрушение уплотнительных колец еще в 1982 году после предыдущих полетов челнока и знали, что падение температуры окружающей среды при взлете космического корабля ниже 53 °F (12 °C) приведет к дальнейшему разрушению уплотнителей. В ночь перед взрывом два инженера из Morton Thiokol, фирмы, отвечавшей за изготовление твердотопливных ускорителей, рекомендовали отложить запуск. Потом они отправились домой, не сомневаясь, что их рекомендации будут выполнены. Однако под давлением НАСА руководители Morton Thiokol проигнорировали мнение инженеров. Температура воздуха при взлете была 36 °F (2 °C){65}65
  Diane Vaughan, The Challenger Launch Decision: Risk Technology, Culture and Deviance at NASA (Chicago: University of Chicago Press, 1996).


[Закрыть].

Большая часть факторов, которые привели к злополучному запуску, не имели никакого отношения к технологии. В 1986 году от НАСА требовали обеспечить как можно больше полетов; Morton Thiokol получала денежное вознаграждение за каждый успешный полет, Challenger участвовал в широко разрекламированной программе «Учитель в космосе», и при этом за ночь до запуска было рекомендовано отложить полет. Все эти обстоятельства еще больше повлияли на руководство НАСА, которое решило не прислушиваться к предостережениям инженеров и настояло на запуске. Любопытно, что комиссия по расследованию аварии на Columbia, занимавшаяся выяснением обстоятельств гибели другого космического корабля 17 лет спустя, пришла к выводу, что «культура и организационные процессы, сложившиеся [в НАСА], были губительны для безопасности»{66}66
  «The Columbia Accident Investigation Report», Columbia Accident Investigation Board. 2003. Информация получена 4 октября 2004 года с сайта www.caib.us/news/report/default.html.


[Закрыть].

2. Железнодорожная авария в Паддингтоне. Пятого октября 1999 года неподалеку от вокзала Паддингтон в западном Лондоне, в утренние часы пик, поезд прошел на красный сигнал светофора (№ 109) и, оказавшись на пути следования скорого поезда, столкнулся с ним. В результате столкновения и вызванного им пожара 31 человек погиб, а 227 пассажиров были госпитализированы{67}67
  «The Train Collision at Landbroke Grove 5 October 1999», A report of the HSE investigation, Health and Safety Executive, 2000. Информация получена 4 октября 2004 года с сайта www.hse.gov.uk/railways/ladbrokegrove.htm.


[Закрыть].

В период с 1993 по 1999 год на участке, где в конце концов произошло столкновение и взрыв (в зоне светофора № 109), было восемь случаев, близких к аварии, или проездов на запрещающий сигнал. На момент катастрофы светофор № 109 был одним из 22 светофоров, в зоне которых было зарегистрировано максимальное количество проездов на запрещающий сигнал{68}68
  Lord W. D. Cullen, «The Ladbroke Grove Mail Inquiry», Her Majesty's Stationary Office, Norwich, UK. 2000.


[Закрыть]. К тому же машинист оказался новичком: он проработал менее двух недель и не успел пройти специальной подготовки по управлению поездом на такой сложной развязке, как вокзал Паддингтон.

3. Взрыв на заводе Morton. Вечером 8 апреля 1998 года на заводе Morton International в Паттерсоне, штат Нью-Джерси, взорвался химический реактор высотой в девять футов, в котором находилось 2000 галлонов химикатов. Горячая струя жидкости и газа прорвала крышу здания, где находился реактор, обрушив ливень из химикатов на территорию завода и ее окрестности. Взрыв был результатом неконтролируемой реакции, стихийно начавшейся в резервуаре, который был загружен реагентами для производства партии красителя Yellow 96, используемого для подкрашивания легкого топлива. От взрыва пострадали девять человек, двое из них серьезно.

Дальнейшее расследование выявило в работе предприятия ряд упущений. При оценке безопасности завода в 1990 и 1995 годах в Morton не рассматривалась возможность возникновения неконтролируемой химической реакции. В результате рабочие не были подготовлены или обучены действиям в случае возникновения такой реакции при производстве Yellow 96. К примеру, они не знали, что при температуре 380 °F (193 °C) в резервуаре начинается распад химических реагентов, что вызывает еще более бурную реакцию. Кроме того, реактор не был оснащен надлежащей охлаждающей системой. К тому же, поскольку возможность неконтролируемой реакции не принималась во внимание, в реактор засыпали слишком большие объемы сырья, вместо того чтобы вводить реагенты поэтапно, небольшими партиями. И наконец, в 1996 году размеры резервуара увеличили, что затрудняло контроль над процессом производства.

О надвигающемся сбое свидетельствовали тревожные признаки. Еще до аварии температура в реакторе в восемь раз превышала допустимый предел. Несмотря на это, никакого расследования не проводилось, хотя изменение процесса и конструкции в результате подобного расследования могло бы предотвратить взрыв 1998 года{69}69
  «The Morton International Explosion», Investigation Digest, U.S. Chemical Safety and Hazard Investigation Board, August 2000. Информация получена 4 октября 2004 года с сайта www.csb.gov/completed_investigations/docs/mortondigest.pdf.


[Закрыть].

4. Аварии Ford Explorer из-за покрышек Firestone. В августе 2000 года компания Firestone отозвала 6,5 млн своих покрышек, а на следующий год еще 13 млн автопокрышек, изготовленных Firestone, отозвала компания Ford. Отзыв был результатом гибели 148 граждан США и 525 травм, связанных с отслоением протекторов, разрывами шин и иными проблемами с шинами Firestone для автомобилей Ford Explorer{70}70
  «Firestone and Ford Place Blame», December 19, 2000, CBS News. Информация получена 16 октября 2004 года с сайта www.cbsnews.com/stories/2000/12/06/national/main255111.shtml.


[Закрыть]. На отзыв продукции компании потратили более 3 млрд долл.{71}71
  Sara Nathan, «More People Die Despite Recall», USA Today, 11/03/2000. Информация получена 15 октября 2004 года с сайта www.usatoday.com/money/consumer/autos/mauto774.htm.


[Закрыть] На следующий год объем продаж Ford упал на 11 %, а продажи покрышек Firestone сократились еще больше. (Несмотря на выплату щедрых компенсаций покупателям, Ford потеряла почти целый процент рынка.) Отношения, связывавшие Ford и Firestone около ста лет, закончились на весьма неприязненной ноте.

Случившееся было вызвано рядом факторов. Завод Firestone в городе Декейтер, штат Иллинойс, где была изготовлена большая часть некачественных покрышек, использовал особый процесс обработки гранулированной резины, что приводило к ухудшенному сцеплению шин с дорожным покрытием{72}72
  Впоследствии, в июле 2001 года, завод в Декейтере был закрыт. См. «Firestone Closing Decatur Plant», CBSNews.com, July 27, 2001. Информация получена 4 октября 2004 года с сайта cbsnews.cbs.com/stories/2001/06/27/national/main298685.shtml.


[Закрыть]. К тому же конструкция плечевой зоны покрышки{73}73
  Плечевая зона – часть протектора, расположенная между беговой дорожкой и боковиной шины. Конструкция плечевой зоны привела к повышению растрескивания шин, что могло быть причиной разрушения протектора.


[Закрыть] вызывала ее растрескивание, а с этого начинается разрушение шины в целом. Помимо угрозы аварий из-за отслоения протекторов, были проблемы и с Ford. При относительно высоком расположении центра тяжести у Ford Explorer в случае прокола шины на высокоскоростной автомагистрали автомобиль мог перевернуться. Кроме того, для повышения качества езды компания Ford рекомендовала более низкое давление в шинах Explorer, чем Firestone (30 фунтов на квадратный дюйм вместо рекомендованных Firestone 36 фунтов на квадратный дюйм). А это вело к повышенному износу покрышек и их перегреву, что снижало их запас прочности, а значит, ухудшало эксплуатационные качества в целом.

Отчасти убытки, понесенные Ford и Firestone, были связаны с тем, что компаниям потребовалось время на осознание проблемы. Каждый месяц промедления и взаимных обвинений двух компаний означал рост количества покрышек, подлежащих отзыву, и новые аварии, в которых гибли люди. В главе 9, посвященной выявлению сбоев, показано, как компании обнаруживают текущие деструктивные события, чтобы приступить к оздоровлению ситуации.

5. Авария на Чернобыльской АЭС. Двадцать пятого апреля 1986 года во время плановой проверки взорвался реактор № 4 Чернобыльской АЭС. Цепная реакция вышла из-под контроля и привела к радиоактивному выбросу, превышающему в 30–40 раз радиоактивность от атомных бомб, сброшенных на Хиросиму и Нагасаки{74}74
  См., например: www.ibiblio.org/expo/soviet.exhibit/chernobyl.html.


[Закрыть]. Более 30 человек погибли сразу, десятки тысяч были поражены лучевой болезнью. Пришлось эвакуировать города и деревни вокруг АЭС и переселить 200 000 человек{75}75
  История этой аварии и множество источников можно найти в Wikipedia. Информация получена 1 декабря 2004 года с сайта en.wikipedia.org/wiki/Chernobyl_accident


[Закрыть]. На протяжении почти 20 лет после аварии уровень заболеваемости раком в Беларуси и даже в Украине значительно превышает обычные показатели.

Этой катастрофе способствовало множество факторов. Конструкция реактора РБМК{76}76
  Реактор большой мощности канальный. В Советском Союзе было построено семнадцать таких реакторов.


[Закрыть], который использовался в Чернобыле, имела множество недостатков: отсутствовала защитная оболочка, вместо воды в качестве замедлителя использовался графит (во время взрыва графит загорелся), к тому же для данной конструкции характерен «положительный паровой коэффициент реактивности», что вызвало ускорение реакции при закипании воды в реакторе, тогда как другие конструкции предусматривают ее замедление. Что еще более важно, системы аварийной защиты перед проверкой были отключены, и, вопреки требованию использовать во время проверки 30 стержней-поглотителей для обеспечения контролируемой среды, операторы использовали только восемь. Все это свидетельствовало об отсутствии на АЭС элементарной культуры техники безопасности{77}77
  Росс Висшер создал веб-сайт, где освещается эта авария, ее причины и последствия. Информация получена 1 декабря 2004 года с сайта www.chernobyl.co.uk/.


[Закрыть].

Любопытно, что Юрий Андропов, бывший тогда председателем КГБ, указывал на проблемы конструкции ядерных реакторов и техники безопасности на Чернобыльской АЭС за семь лет до аварии. В письме от 1979 года он информировал о них руководство КГБ, сообщая, что КГБ Украины уведомило секретариат ЦК КПСС не только о конструктивных недостатках, но и о ряде проблем, повлекших травмы 170 работников АЭС в течение первых трех кварталов 1978 года{78}78
  Это письмо можно найти на сайте Росса Висшера (см. предыдущее примечание).


[Закрыть].

Как показывают эти примеры, не использовать уже имеющиеся данные для выявления и устранения системных изъянов – путь к катастрофе. Даже террористическому акту 11 сентября предшествовало множество терактов против США и объявление войны со стороны Усамы Бен Ладена. Но ни одному из этих происшествий не придали должного значения, и никто из представителей власти не сумел связать эти факты между собой и сделать соответствующие выводы. Каждый из этих фактов являл собой не принятый во внимание предупредительный сигнал. Конфуций говорил: «Обыкновенный человек удивляется необыкновенным вещам. Необыкновенный человек удивляется обыкновенным вещам». Разрушительные, необычные события часто обуздывают те, кто следует правилу: обращать внимание на дурные предзнаменования.

Обычно несчастью предшествует нарастающая лавина ошибок. Чтобы снизить вероятность тяжелых последствий аварии, во многих отраслях разрабатывается отчетно-аналитическая система, которая опирается на анализ аварийных ситуаций.