Albero delle Cause: Analisi Approfondita degli Incidenti

L'analisi degli incidenti sul lavoro rappresenta uno dei pilastri fondamentali della prevenzione secondo il Testo Unico sulla Sicurezza (D.Lgs 81/08). Tra gli strumenti più efficaci per comprendere le dinamiche cheportano a un infortunio o a un quasi-incidente, l'albero delle cause si distingue per la sua capacità di visualizzare in modo chiaro e strutturato la catena di eventi, condizioni e fattori che hanno contribuito all'accadimento. Questo metodo, derivato dall'ingegneria della affidabilità e ampiamente utilizzato nel settore aerospaziale e nucleare, trova oggi applicazione crescente nella sicurezza sul lavoro, permettendo di andare oltre la superficie degli incidenti per identificare le cause radice e prevenire recidive. In questo articolo analizzeremo in profondità cos'è l'albero delle cause, quando e come utilizzarlo, e come trasformare le informazioni raccolte in azioni correttive efficaci, in conformità con gli obblighi normativi previsti dal legislatore italiano.

Cos'è l'albero delle cause

L'albero delle cause è una tecnica di analisi retrospettiva che permette di rappresentare graficamente le relazioni logiche e temporali tra tutti gli elementi che hanno contribuito al verificarsi di un incidente. Il termine tecnico inglese è "Fault Tree Analysis" (FTA), sviluppata originariamente dalla Boeing negli anni '60 per valutare l'affidabilità dei sistemi missilistici. Nel contesto della sicurezza sul lavoro, questo strumento consente di rispondere alla domanda fondamentale: "Perché è successo l'incidente?" attraverso una scomposizione progressiva degli eventi, fino a raggiungere le cause più profonde e nascoste. La struttura dell'albero delle cause si basa su simboli standardizzati che rappresentano eventi e operatori logici. L'evento principale, ovvero l'incidente o l'infortunio oggetto dell'analisi, si trova alla sommità dell'albero (top event) e si sviluppa verso il basso attraverso ramificazioni che indicano le combinazioni di cause necessarie o sufficienti a produrlo. Gli operatori logici AND e OR collegano i diversi livelli: l'operatore AND indica che tutti gli eventi figli devono verificarsi affinché l'evento padre si verifichi, mentre l'operatore OR indica che basta il verificarsi di uno qualsiasi degli eventi figli. Questa rappresentazione visiva permette di comprendere immediatamente quali fattori multipli hanno interagito per creare le condizioni dell'incidente. Il valore dell'albero delle cause risiede nella sua capacità di superare l'approccio superficiale che spesso caratterizza le indagini tradizionali. Mentre è facile attribuire un infortunio alla distrazione del lavoratore o alla mancata uso dei dispositivi di protezione, l'analisi attraverso l'albero delle cause rivela come questi fattori siano spesso l'anello finale di una catena che include carenze organizzative, procedurali, ambientali e gestionali. Il D.Lgs 81/08, all'articolo 28 comma 3 lettera b, richiede espressamente che la valutazione dei rischi tenga conto "delle modalità di verificazione e di aggiornamento della valutazione dei rischi", suggerendo proprio la necessità di strumenti analitici come l'albero delle cause per comprendere le dinamiche degli incidenti e migliorare continuamente il sistema di prevenzione.

Quando utilizzare l'albero delle cause

L'albero delle cause trova applicazione ottimale in situazioni specifiche dove la complessità degli eventi o la gravità delle conseguenze richiedono un'analisi approfondita. Non tutti gli incidenti necessitano di questo livello di dettaglio: per eventi di lieve entità con cause evidenti e immediate, un'analisi più snella può essere sufficiente. Tuttavia, quando si verifica un infortunio grave o mortale, o quando l'incidente presenta dinamiche poco chiare che potrebbero ripetersi, l'albero delle cause diventa uno strumento indispensabile per garantire un'indagine completa e rigorosa. Il Testo Unico sulla Sicurezza, all'articolo 17 comma 1 lettera a, stabilisce che il datore di lavoro deve adottare le misure necessarie "ai fini della prevenzione e della protezione dai rischi", e questa responsabilità implica necessariamente la comprensione approfondita delle cause degli incidenti verificatisi. In particolare, l'albero delle cause è indicato quando l'incidente coinvolge più fattori contemporaneamente, quando le cause immediate sono insufficienti a spiegare l'accadimento, quando si sospetta la presenza di cause organizzative o sistemiche, o quando l'evento ha comportato gravi conseguenze per la salute dei lavoratori. Anche i "quasi incidenti" (near miss), ovvero eventi che avrebbero potuto causare danni ma che per caso non li hanno causati, meritano un'analisi con questa tecnica, poiché rappresentano opportunità preziose per prevenire incidenti futuri senza attendere che si verifichino danni reali. Un altro contesto ideale per l'utilizzo dell'albero delle cause è rappresentato dall'analisi di incidenti multipli che presentano pattern simili. Quando due o più infortuni si verificano nello stesso reparto o durante la stessa operazione, l'albero delle cause permette di identificare le radici comuni e di intervenire sistematicamente sul sistema di gestione della sicurezza. L'articolo 29 comma 3 del D.Lgs 81/08 prevede che il datore di lavoro effettui "la riunione periodica" nella quale tra l'altro si analizzano "i dati relativi agli infortuni sul lavoro che hanno comportato un'assenza dal lavoro di almeno un giorno", e l'albero delle cause può fornire il supporto analitico necessario per queste valutazioni. Infine, questa tecnica è particolarmente utile quando l'incidente coinvolge sistemi tecnologici complessi, macchinari automatizzati o processi industriali dove le interazioni tra uomo, macchina e ambiente sono molteplici e difficili da districare senza una rappresentazione grafica strutturata.

Nella nostra guida su Metodo 5 Perché: Analisi Cause Incidenti trovi ulteriori dettagli su questo aspetto.

Come costruirlo passo-passo

Raccolta dei fatti

La costruzione di un albero delle cause affidabile inizia necessariamente con una raccolta accurata e sistematica dei fatti relativi all'incidente. Questa fase, spesso sottovalutata, è in realtà determinante per la qualità dell'analisi complessiva: un albero costruito su informazioni incomplete o imprecise produrrà conclusioni errate e azioni correttive inefficaci. La raccolta dei fatti deve avvenire il più rapidamente possibile dopo l'evento, quando le testimonianze sono ancora fresche e le condizioni ambientali non sono state alterate. È essenziale documentare tutto senza interpretare: si annotano le condizioni meteorologiche, l'illuminazione, la presenza di sostanze pericolose, le procedure in vigore, la formazione dei lavoratori coinvolti, gli organigrammi del momento, gli attrezzi e i macchinari utilizzati. Le fonti informative per la raccolta dei fatti sono molteplici e complementari. Le testimonianze verbali dei lavoratori presenti, del preposto, del datore di lavoro e di eventuali testimoni esterni forniscono versioni soggettive che devono essere confrontate e verificate. I documenti aziendali quali registri degli infortuni, verbali di riunione periodica, schede di manutenzione, permessi di lavoro e attestati di formazione offrono riscontri oggettivi. I rilievi fotografici e video dell'area dell'incidente, degli strumenti coinvolti e delle condizioni ambientali preservano informazioni che potrebbero modificarsi rapidamente. In caso di incidenti gravi o mortali, la documentazione dell'autorità ispettiva (ASL, Ispettorato del Lavoro, Procura della Repubblica) diventa parte integrante della raccolta fattuale. È importante distinguere chiaramente i fatti accertati dalle ipotesi o interpretazioni, segnando eventualmente queste ultime come "da verificare" per non confondere l'analisi successiva.

Costruzione del diagramma

Una volta raccolti i fatti, si passa alla costruzione vera e propria dell'albero delle cause, che richiede competenze specifiche nella simbologia e nella logica dell'analisi. Il processo parte dall'evento indesiderato principale (top event), che viene posizionato in cima al diagramma, e procede verso il basso identificando gli eventi intermedi e le loro combinazioni causali. Ogni livello dell'albero rappresenta un grado di dettaglio maggiore rispetto al precedente: dal livello dell'infortunio si scende alle modalità di accadimento, poi alle cause immediate (condizioni operative anomale, comportamenti pericolosi), quindi alle cause intermedie (carenze procedurali, mancata supervisione) e infine alle cause radice (deficienze organizzative, carenze strutturali). La costruzione del diagramma richiede l'applicazione rigorosa degli operatori logici AND e OR. Si utilizza l'operatore AND quando l'evento padre può verificarsi solo se tutti gli eventi figli si verificano contemporaneamente: ad esempio, "incendio" può richiedere simultaneamente "presenza di materiale combustibile", "presenza di fonte di ignizione" e "assenza di estintore funzionante". Si utilizza l'operatore OR quando l'evento padre si verifica se anche uno solo degli eventi figli si verifica: ad esempio, "esposizione a rumore eccessivo" può derivare da "macchina non insonorizzata" OPPURE "assenza di DPI auricolari" OPPURE "tempo di esposizione troppo lungo". La corretta applicazione di questi operatori è fondamentale per la validità logica dell'albero delle cause: un errore in questa fase può compromettere l'intera analisi e portare all'identificazione di cause inadeguate. Il diagramma finale deve essere leggibile e sufficientemente dettagliato, evitando sia l'eccessiva semplificazione che la proliferazione di rami poco significativi.

Identificazione delle cause radice

L'obiettivo ultimo della costruzione dell'albero delle cause è l'identificazione delle cause radice (root causes), ovvero quei fattori fondamentali che, se presenti, avrebbero potuto prevenire l'incidente. Le cause radice si distinguono dalle cause immediate (i comportamenti o le condizioni direttamente coinvolte nell'accadimento) e dalle cause intermedie (i fattori che hanno reso possibili le cause immediate). Tecnicamente, le cause radice sono quelle che, pur non essendo direttamente responsabili dell'incidente, se correttamente eliminate avrebbero interrotto la catena causale. Secondo la letteratura specializzata, le cause radice possono essere classificate in diverse categorie: cause legate alla gestione dell'organizzazione (policy, risorse, comunicazione), cause legate alle condizioni di lavoro (ergonomia, ambiente, strumenti), cause legate alle procedure (assenza, inadeguatezza, mancato rispetto) e cause legate alle competenze (formazione, addestramento, consapevolezza). Per identificare le cause radice con efficacia, esistono tecniche complementari che possono essere applicate in abbinamento all'albero delle cause. Il metodo dei "5 Perché" (Five Whys) consiste nel porgere ripetutamente la domanda "Perché?" a ogni causa identificata, fino a raggiungere un livello che non può essere ulteriormente scomposto. L'analisi di sistema (Systemic Accident Analysis) considera l'incidente come il risultato di interazioni multiple all'interno di un sistema socio-tecnico complesso, evitando la ricerca di un singolo colpevole. La classificazione delle cause secondo il modello Swiss Cheese (formaggio svizzero) di James Reason permette di identificare come le "fette" del sistema di sicurezza (procedure, formazione, supervisione, barriere fisiche) abbiano presentato "buchi" allineatisi temporaneamente. Il risultato di questa fase deve essere un elenco di cause radice priorizzate, che costituirà la base per la definizione delle azioni correttive.

Esempio pratico: incidente in magazzino

Per comprendere concretamente come funziona l'albero delle cause, analizziamo un caso realistico: un incidente in magazzino dove un lavoratore è stato colpito da un carico caduto da un carrello elevatore. L'evento principale (top event) è "lavoratore colpito da carico", che si sviluppa attraverso l'analisi delle condizioni necessarie al suo verificarsi. Utilizzando l'operatore AND, identifichiamo che l'incidente richiede contemporaneamente la "presenza del lavoratore nell'area di transito" e la "caduta del carico dall'altezza di lavoro". Ciascuna di queste condizioni viene a sua volta analizzata: la presenza del lavoratore nell'area può dipendere da "assenza di delimitazione delle aree di pericolo" OPPURE "mancato rispetto delle procedure di sicurezza" OPPURE "necessità operativa di passaggio nell'area", mentre la caduta del carico può derivare da "instabilità del carico sulforc" OPPURE "errore dell'operatore del carrello" OPPURE "cedimento meccanico delle forche". Proseguendo l'analisi, identifichiamo le cause intermedie e radice. Per quanto riguarda l'instabilità del carico, scopriamo che le forche del carrello presentavano un'usura eccessiva non rilevata durante i controlli periodici (causa radice: carenza nel sistema di manutenzione), che il carico era stato prelevato senza verifica del peso e dell'equilibratura (causa radice: procedura non rispettata), e che l'operatore non aveva ricevuto formazione specifica sulla movimentazione di carichi instabili (causa radice: inadeguatezza della formazione). Per quanto riguarda la presenza del lavoratore nell'area, emergono cause quali l'assenza di segnaletica orizzontale che delimitasse le zone di transito dei carrelli (causa radice: carenza nella segnaletica di sicurezza), la pressione produttiva che incentivava la scorciatoia (causa radice: obiettivi incompatibili con la sicurezza), e l'assenza di vigilanza da parte del preposto (causa radice: carenza nell'organigramma della sicurezza). Questo esempio dimostra come l'albero delle cause riveli la natura sistemica degli incidenti, andando ben oltre il singolo errore umano per identificare le carenze organizzative che lo hanno reso possibile.

Per un quadro normativo piu ampio, leggi anche il nostro articolo su Analisi degli Infortuni: Root Cause Analysis.

Dalle cause alle azioni correttive

L'albero delle causes raggiunge il suo scopo ultimo solo quando le informazioni raccolte vengono tradotte in azioni correttive concrete ed efficaci. Identificare le cause radice senza intervenire su di esse non produce alcun miglioramento nella sicurezza; ancor peggio, può generare un falso senso di sicurezza se ci si limita a interventi superficiali che non affrontano i veri problemi. Le azioni correttive devono essere progettate per eliminare o controllare le cause radice identificate, e la loro efficacia deve essere verificata nel tempo attraverso un processo di monitoraggio e riesame. Questa fase richiede un approccio sistematico che colleghi l'analisi delle cause alle decisioni operative, coinvolgendo le figure aziendali appropriate (datore di lavoro, RSPP, RLS, preposti) e rispettando le competenze e le responsabilità definite dal D.Lgs 81/08. Le azioni correttive possono essere classificate in tre livelli gerarchici, secondo il principio della efficacia decrescente. Al primo livello (interventi più efficaci) si collocano le modifiche strumentali e procedurali che eliminano il rischio alla fonte: sostituzione di sostanze pericolose con altre meno pericolose, installazione di barriere fisiche, modifica delle procedure operative per eliminare le situazioni rischiose, acquisizione di attrezzature più sicure. Al secondo livello si collocano gli interventi di protezione collettiva che riducono l'esposizione al rischio: sistemi di allarme, dispositivi di rilevamento, ventilazione, illuminazione supplementare. Al terzo livello (interventi meno efficaci ma comunque necessari) si collocano i dispositivi di protezione individuale (DPI), la formazione e l'addestramento, la segnaletica e le procedure di emergenza. L'articolo 15 del D.Lgs 81/08 stabilisce che le misure di prevenzione devono rispettare questa gerarchia, privilegiando l'eliminazione dei rischi alla fonte rispetto alla semplice protezione individuale. Le azioni correttive devono essere documentate, assegnate a responsabili identificati con scadenze definite, e verificate nella loro attuazione attraverso follow-up strutturati.

Documentare l'analisi con strumenti digitali

La gestione dell'albero delle cause in formato cartaceo presenta limitazioni significative in termini di accessibilità, aggiornabilità, condivisione e analisi nel tempo. I software dedicati alla gestione della salute e sicurezza sul lavoro (sistemi HSE) permettono oggi di digitalizzare l'intero processo, dalla raccolta dei fatti alla costruzione del diagramma, dalla definizione delle azioni correttive al monitoraggio della loro attuazione. Un gestionale HSE moderno consente di creare alberi delle cause strutturati utilizzando librerie di simboli e template predefiniti, facilitando l'applicazione coerente della metodologia anche da parte di operatori meno esperti. La digitalizzazione garantisce inoltre la tracciabilità completa delle informazioni, l'accesso sicuro da parte delle figure autorizzate, e la possibilità di archiviare e recuperare le analisi per confronti longitudinali o ispezioni. L'utilizzo di strumenti digitali per l'albero delle cause presenta vantaggi specifici anche in termini di conformità normativa. Il D.Lgs 81/08, all'articolo 22, richiede che il datore di lavoro metta a disposizione dei rappresentanti dei lavoratori per la sicurezza "i documenti relativi alla valutazione dei rischi e alle misure di prevenzione e protezione", e la versione digitale facilita enormemente l'adempimento di questo obbligo. La funzionalità di audit trail presente nei software gestionali garantisce la non modificabilità delle analisi storiche, requisito importante in caso di contenzioso o ispezioni. Gli strumenti digitali permettono inoltre di collegare l'analisi degli incidenti al sistema di gestione complessivo, facilitando l'identificazione di pattern ricorrenti, la generazione di statistiche utili per la riunione periodica ex articolo 35 del D.Lgs 81/08, e l'integrazione con altri moduli quali la gestione della formazione, la manutenzione programmata e il registro degli infortuni. La scelta del software deve considerare la facilità d'uso, la flessibilità nella personalizzazione, la conformità ai requisiti normativi e la capacità di generare reportistica significativa per il miglioramento continuo del sistema di prevenzione.

Questo aspetto viene analizzato nel dettaglio nella nostra guida su Albero delle Cause: Come Costruirlo.

Domande Frequenti

Qual è la differenza tra albero delle cause e analisi dei "5 Perché"?

L'albero delle cause e la tecnica dei "5 Perché" sono entrambi metodi di analisi delle cause radice, ma differiscono significativamente nella struttura e nell'applicazione. L'albero delle cause utilizza una rappresentazione grafica gerarchica con operatori logici AND e OR, permettendo di visualizzare le combinazioni di cause necessarie o sufficienti al verificarsi dell'evento. È particolarmente indicato per incidenti complessi con molteplici fattori interconnessi. La tecnica dei "5 Perché" è invece più semplice e lineare, basandosi sulla ripetizione della domanda "Perché?" per ogni causa identificata, fino a raggiungere il livello radice. È più adatta ad analisi rapide di incidenti con causa prevalente unica, ma può non catturare adeguatamente le interazioni tra fattori multipli. Nella pratica, i due metodi sono spesso utilizzati in combinazione: i "5 Perché" possono aiutare a sviluppare i rami dell'albero delle cause.

Scopri come il nostro piattaforma per il reporting degli incidenti puo aiutarti a gestire questi aspetti in modo efficiente.

Chi deve essere coinvolto nella costruzione dell'albero delle cause?

La costruzione dell'albero delle cause richiede un approccio multidisciplinare che coinvolga diverse figure aziendali. Il responsabile del servizio di prevenzione e protezione (RSPP) apporta le competenze tecniche in materia di valutazione dei rischi e prevenzione. Il rappresentante dei lavoratori per la sicurezza (RLS) garantisce la prospettiva dei lavoratori e il rispetto dei loro diritti di informazione. Il datore di lavoro o il dirigente delegato assume le decisioni conclusive sull'analisi e sulle azioni correttive. I preposti e i lavoratori direttamente coinvolti nell'incidente forniscono conoscenze operative dettagliate. In caso di incidenti gravi o complessi, può essere utile il coinvolgimento di consulenti esterni specializzati in analisi delle cause. L'articolo 50 del D.Lgs 81/08 attribuisce al RLS diritti di consultazione e informazione che devono essere garantiti anche nel processo di analisi degli incidenti.

Quanto tempo richiede la costruzione di un albero delle cause completo?

La tempistica per la costruzione di un albero delle cause completo dipende dalla complessità dell'incidente e dalla disponibilità delle informazioni. Per un incidente di media complessità con cause non immediatamente evidenti, la sola fase di costruzione del diagramma richiede tipicamente tra le 4 e le 8 ore di lavoro distribuite su più giornate, a cui si aggiunge il tempo necessario per la raccolta delle testimonianze e la documentazione (2-4 ore). Complessivamente, un'analisi approfondita richiede generalmente tra i 3 e i 5 giorni lavorativi dall'occorrenza dell'incidente alla definizione delle azioni correttive. Non è consigliabile accelerare eccessivamente il processo: una costruzione frettolosa rischia di omettere cause importanti e produrre un albero incompleto. È preferibile prendersi il tempo necessario per un'analisi rigorosa piuttosto che presentare risultati prematuri ma inadeguati.

Con il nostro archiviazione digitale delle segnalazioni puoi semplificare notevolmente la gestione di questi obblighi.

L'albero delle cause è obbligatorio per legge in Italia?

L'albero delle cause non è esplicitamente richiesto come obbligo normativo specifico dal D.Lgs 81/08 o da altre leggi italiane. Tuttavia, il quadro normativo impone al datore di lavoro obblighi generali di analisi e prevenzione che rendono questa tecnica altamente raccomandata e, in determinate circostanze, praticamente necessaria. L'articolo 17 del Testo Unico stabilisce l'obbligo di adottare "le misure necessarie ai fini della prevenzione e della protezione dai rischi", mentre l'articolo 28 richiede che la valutazione dei rischi sia "redatta a conclusione della valutazione stessa" e che il documento sia "elaborato in modo coerente con l'entità dell'impresa". In caso di incidenti gravi, l'autorità giudiziaria e gli ispettori del lavoro si aspettano un'analisi approfondita delle cause, e l'albero delle cause rappresenta lo standard metodologico riconosciuto a livello internazionale per soddisfare questa aspettativa. L'assenza di un'analisi adeguata può costituire elemento di aggravamento della responsabilità in caso di successivi procedimenti.

Come si verifica l'efficacia delle azioni correttive derivate dall'analisi?

La verifica dell'efficacia delle azioni correttive è una fase fondamentale del ciclo di miglioramento continuo e deve essere condotta sistematicamente. Il primo livello di verifica riguarda l'attuazione formale: ci si accerta che le azioni previste siano state effettivamente implementate entro le scadenze stabilite, verificando la documentazione di avvenuta esecuzione. Il secondo livello riguarda l'efficacia tecnica: si verifica se le cause radice sono state effettivamente eliminate o controllate attraverso ispezioni, test, analisi di conformità. Il terzo livello (verifica del risultato) valuta se l'incidente si è ripetuto o se si sono verificati eventi simili, monitorando gli indicatori di sicurezza nel periodo successivo all'intervento. È consigliabile pianificare verifiche a breve termine (30 giorni) e a lungo termine (6-12 mesi) per cogliere eventuali derive. Se la verifica evidenzia inefficacia delle azioni, l'albero delle cause deve essere riconsiderato e le azioni riprogettate. Questo processo di monitoraggio è coerente con il ciclo PDCA (Plan-Do-Check-Act) che sottende ai sistemi di gestione della sicurezza.

Conclusioni

L'albero delle cause rappresenta uno strumento metodologico fondamentale per chiunque sia coinvolto nella gestione della sicurezza sul lavoro. La sua capacità di scomporre incidenti complessi in una struttura logica chiara permette di andare oltre le apparenze e le cause immediate, raggiungendo le radici sistemiche che spesso si nascondono dietro ogni infortunio. Come abbiamo visto, la costruzione di un albero delle cause richiede rigore metodologico, raccolta accurata dei fatti, applicazione corretta degli operatori logici e capacità di identificare le cause profonde. Il beneficio di questo investimento in termini di tempo e risorse è duplice: da un lato permette di prevenire recidive evitando che altri lavoratori subiscano danni simili, dall'altro contribuisce a costruire una cultura della sicurezza basata sulla comprensione anziché sulla colpevolizzazione. Il D.Lgs 81/08 impone al datore di lavoro l'obbligo di garantire la salute e la sicurezza dei lavoratori, e l'albero delle cause è uno strumento che consente di adempiere a questo dovere in modo sistematico e documentabile. Per gestire efficacemente il processo di analisi degli incidenti, dalla raccolta dei fatti alla verifica delle azioni correttive, è consigliabile affidarsi a soluzioni digitali integrate che supportino l'intero ciclo di gestione della sicurezza.

Scopri come Ordex HSE Manager può aiutarti