Blame-free-analyse: leren van fouten zonder schuldigen aan te wijzen
Stel je voor: een groot online platform ligt er drie uur uit door een menselijke fout. In de meeste organisaties volgt dan een zoektocht naar de schuldige, met als gevolg dat mensen bang worden om fouten toe te geven. Blame-free-analyse — ook wel blameless postmortem genoemd — draait dat om. In plaats van te vragen "wie deed dit?" vraagt een team "waarom leek dit op het moment zelf de juiste beslissing, en wat in ons systeem maakte deze fout mogelijk?"
De gedachte erachter is simpel maar krachtig: vrijwel niemand veroorzaakt met opzet een storing, een medische fout of een vliegtuigincident. Mensen maken fouten binnen de grenzen van de informatie, tijdsdruk en tools die ze op dat moment hadden. Door niet te straffen maar te onderzoeken, komen de werkelijke, vaak organisatorische oorzaken boven water — en die kun je daadwerkelijk verbeteren. Straf je individuen, dan leren mensen vooral om fouten te verbergen, wat toekomstige problemen juist waarschijnlijker maakt.
Wat is het precies?
Blame-free-analyse is een gestructureerde manier om na een incident — een storing, ongeluk of bijna-ongeluk — de gebeurtenis te reconstrueren zonder de betrokken personen persoonlijk verantwoordelijk te houden voor de uitkomst. Het proces verloopt meestal in een aantal stappen.
Eerst wordt een tijdlijn opgesteld: wat gebeurde er precies, in welke volgorde, en wie deed wat op basis van welke informatie. Vervolgens onderzoekt het team de "waaroms" achter elke beslissing, niet om die goed te praten, maar om te begrijpen welke aannames, tijdsdruk of ontbrekende waarschuwingen een rol speelden. Een veelgebruikte techniek hierbij is de "vijf keer waarom"-methode, waarbij je een probleem herhaaldelijk bevraagt totdat je bij een onderliggende systeemoorzaak uitkomt in plaats van bij een individuele handeling.
Belangrijk is het onderscheid tussen een eerlijke vergissing en roekeloos of herhaald onzorgvuldig gedrag. Dat onderscheid staat bekend als "just culture" (rechtvaardige cultuur): een enkele fout door een goedwillende medewerker wordt anders behandeld dan bewuste regelovertreding. Het doel van de analyse is nooit om niemand ooit aan te spreken op gedrag, maar om de standaardreactie te verschuiven van bestraffing naar leren, zodat mensen incidenten en bijna-incidenten open durven te melden.
Het resultaat is meestal een openbaar of intern gedeeld document — een "postmortem" — met de tijdlijn, de grondoorzaken, de impact op gebruikers en een lijst met concrete verbeteracties, elk met een eigenaar en een deadline.
Wat wil men ermee bereiken?
Het hoofddoel is het vergroten van de veiligheid en betrouwbaarheid van complexe systemen, of dat nu vliegtuigen, ziekenhuizen of computernetwerken zijn. Complexe systemen falen zelden door één simpele fout; meestal komen meerdere kleine tekortkomingen samen op het verkeerde moment. Door incidenten grondig en eerlijk te onderzoeken, kunnen organisaties die combinaties van factoren blootleggen voordat ze opnieuw — en misschien ernstiger — toeslaan.
Een tweede doel is het opbouwen van een meldingscultuur. Als mensen weten dat een fout melden tot een terechtwijzing of ontslag kan leiden, melden ze minder. Dat betekent dat een organisatie blind blijft voor risico's die allang bekend waren bij de mensen die er dagelijks mee werken. Blame-free-analyse probeert die drempel weg te nemen, zodat ook kleine, bijna-incidenten gemeld worden — vaak de beste voorspellers van grotere problemen.
Tot slot is er een kennisdoel: het delen van geleerde lessen, soms zelfs publiekelijk en tussen organisaties onderling, zodat niet elk bedrijf of elke sector dezelfde fouten hoeft te herhalen. Dat idee ligt ook ten grondslag aan sectorbrede meldsystemen, waarin incidenten geanonimiseerd worden verzameld.
Voorbeelden uit de praktijk
De praktijk van blame-free-analyse is het best gedocumenteerd in een paar sectoren.
Luchtvaart — NASA's Aviation Safety Reporting System (ASRS). Sinds de jaren zeventig kunnen piloten, luchtverkeersleiders en cabinepersoneel in de Verenigde Staten vrijwillig en anoniem bijna-incidenten melden bij NASA, dat het systeem beheert los van de toezichthouder FAA. Juist die onafhankelijkheid en anonimiteit maken dat mensen fouten durven te melden zonder vervolging te vrezen, en de verzamelde data wordt gebruikt om trainingen en procedures aan te scherpen.
Luchtvaart — Crew Resource Management (CRM). Na een reeks vliegtuigongelukken waarbij bemanningsleden wel twijfels hadden maar deze niet durfden te uiten tegen de gezagvoerder, ontwikkelde de sector eind jaren zeventig trainingsprogramma's gericht op open communicatie in de cockpit. CRM wordt gezien als een vroege, invloedrijke vorm van blame-free denken: niet de piloot straffen, maar de communicatiestructuur verbeteren.
Techsector — Etsy (rond 2012). Engineer John Allspaw beschreef hoe de Amerikaanse webwinkel Etsy postmortems bewust "blameless" maakte na storingen op de website. Etsy bouwde intern een tool, bijgenaamd "Morgue", om deze document te structureren en te archiveren, en de aanpak werd een veelgeciteerd voorbeeld binnen de softwaresector.
Techsector — Google's Site Reliability Engineering (2016). In het invloedrijke SRE-boek van Google wordt "postmortem culture" als apart hoofdstuk behandeld, met als uitgangspunt dat postmortems blameless moeten zijn om hun doel te bereiken. Google beschrijft expliciete richtlijnen: focus op processen en tools, niet op namen van individuen in het document.
Techsector — GitLab (2017). Op 31 januari 2017 verwijderde een engineer van softwarebedrijf GitLab per ongeluk een productiedatabase, terwijl bleek dat meerdere back-upmethoden tegelijk niet werkten. GitLab koos ervoor het incident live te documenteren en achteraf een volledig publiek, gedetailleerd verslag te publiceren — inclusief de menselijke handelingen die tot de fout leidden — zonder een individu aan de schandpaal te nagelen. Het incident wordt sindsdien vaak aangehaald als voorbeeld van transparante crisiscommunicatie.
Hoe ver is de techniek?
Blame-free-analyse is geen technologie die "uitgevonden" moet worden, maar een organisatorische praktijk, en de volwassenheid verschilt sterk per sector.
In de luchtvaart en, in mindere mate, de gezondheidszorg is het concept decennia geleden al ingebed in wet- en regelgeving en meldsystemen. Toch blijft ook daar spanning bestaan tussen het juridische systeem — waarin een ongeval tot aansprakelijkheid kan leiden — en de wens om open te melden. Sommige meldingen worden mede daarom nog steeds niet gedaan uit angst voor juridische gevolgen, ook al is het interne beleid "blameless".
In de softwaresector is blameless postmortem-cultuur sinds het begin van de jaren 2010 een gangbare, breed onderschreven praktijk geworden bij grote technologiebedrijven, met name binnen "site reliability engineering" (SRE) en DevOps. Veel bedrijven, waaronder GitLab, Google en PagerDuty, publiceren delen van hun postmortem-sjablonen of zelfs volledige incidentrapporten openbaar. Tegelijk blijft het lastig te meten hoe consequent kleinere organisaties dit daadwerkelijk toepassen; het vraagt een cultuuromslag die makkelijker op papier staat dan in de praktijk wordt volgehouden, zeker onder tijdsdruk of na een kostbare storing.
Een nieuwere ontwikkeling is de poging om deze aanpak toe te passen op incidenten met kunstmatige intelligentie (AI), zoals discriminerende algoritmes of zelfrijdende auto's die fouten maken. Initiatieven zoals de AI Incident Database, opgezet rond 2020, proberen AI-gerelateerde fouten sectorbreed te verzamelen, naar het voorbeeld van luchtvaart-meldsystemen. Dit veld staat nog in de kinderschoenen: er is geen wettelijke meldplicht zoals in de luchtvaart, en het is onduidelijk of bedrijven bereid zijn AI-fouten net zo transparant te melden als softwarestoringen.
Wie werken eraan?
Binnen de techsector lopen bedrijven als Google, GitLab, Etsy en PagerDuty voorop met openbare documentatie en sjablonen voor blameless postmortems, vaak gepubliceerd op hun eigen engineeringblogs en in interne of publieke handboeken.
In de luchtvaart beheert NASA het Aviation Safety Reporting System namens de Amerikaanse federale luchtvaartautoriteit FAA; vergelijkbare meldsystemen bestaan bij Europese en internationale luchtvaartorganisaties.
Op academisch vlak zijn onderzoekers als Sidney Dekker (veiligheidskunde, verbonden aan onder meer Griffith University in Australië) en wijlen James Reason (bekend van het "Swiss cheese model", dat beschrijft hoe ongevallen ontstaan doordat zwakke plekken in meerdere verdedigingslagen toevallig op één lijn komen) toonaangevend in het onderbouwen van "just culture"-principes.
Voor AI-incidenten is de non-profitorganisatie Partnership on AI — een samenwerkingsverband van onder meer techbedrijven, universiteiten en maatschappelijke organisaties — betrokken bij het onderhouden van de AI Incident Database, mede geïnitieerd door onderzoeker Sean McGregor.