28 Agosto 2026 Ambiente e Sicurezza

Strage di Brandizzo, nuove indagini. Dopo un incidente, non basta riscrivere la procedura.

A cura della Redazione

Un infortunio grave non interroga soltanto le persone presenti al momento dell’evento. Mette alla prova la qualità della valutazione dei rischi, l’organizzazione del lavoro, la vigilanza e la capacità dell’impresa di apprendere. Quando una regola può essere aggirata, fraintesa o applicata in modo difforme dalla realtà operativa, la risposta non può limitarsi a ribadire il divieto: occorre costruire barriere ulteriori, verificabili e indipendenti dal comportamento del singolo.

COSA TRATTA

Nella notte tra il 30 e il 31 agosto 2023, cinque operai impegnati in lavori di manutenzione ferroviaria furono travolti e uccisi da un treno in transito nei pressi della stazione di Brandizzo, in Piemonte. A quasi tre anni dalla tragedia, il caso è tornato al centro dell’attenzione: secondo le notizie diffuse il 21 agosto 2026, nuovi accertamenti riguarderebbero il grado di aggiornamento del Documento di valutazione dei rischi e delle procedure adottate dopo l’incidente, con particolare riferimento alla capacità del sistema di impedire che un errore umano possa nuovamente trasformarsi in una sequenza fatale. Rete Ferroviaria Italiana ha dichiarato di avere fornito riscontro alle osservazioni degli organi di vigilanza e di collaborare con le autorità competenti. Parallelamente prosegue il procedimento principale sulla strage, con l’udienza preliminare indicata per il 30 settembre 2026. Le responsabilità saranno accertate nelle sedi giudiziarie, ma la domanda posta dalla vicenda è già pienamente rilevante per la prevenzione: dopo un evento così grave, è sufficiente ribadire una procedura esistente oppure occorre riprogettare il sistema affinché quella procedura non possa essere aggirata, fraintesa o neutralizzata dall’errore di una singola persona?

A distanza di tempo da un grave incidente avvenuto durante un’attività manutentiva su un’infrastruttura di trasporto, il dibattito torna quindi a concentrarsi non soltanto su ciò che accadde quella notte, ma su quanto sarebbe stato modificato successivamente nel sistema di prevenzione.

Secondo le informazioni pubblicamente disponibili, gli organi di vigilanza avrebbero sollevato dubbi sull’adeguatezza dell’aggiornamento della valutazione dei rischi e delle procedure adottate dopo l’evento. L’ipotesi, ancora sottoposta agli accertamenti delle autorità competenti, è che non siano state introdotte misure sufficienti per impedire che un errore umano o una comunicazione non corretta possano nuovamente determinare l’accesso di lavoratori a un’area interessata dalla circolazione dei mezzi. L’organizzazione interessata ha dichiarato di avere formalmente interloquito con gli enti di controllo, di aver fornito la propria posizione e di collaborare con le autorità. Le responsabilità personali e societarie dovranno quindi essere accertate nelle sedi competenti, nel rispetto della presunzione di innocenza.

La vicenda, opportunamente sottratta alla dimensione del singolo caso, propone una domanda che riguarda qualunque impresa impegnata in lavorazioni ad alto rischio: quando un evento dimostra che una procedura può essere violata, l’organizzazione può limitarsi a ricordare che quella condotta era vietata?

La risposta, sul piano della prevenzione, non può essere affidata soltanto alla carta. Se il medesimo sistema continua a dipendere da una comunicazione verbale, da un’autorizzazione facilmente fraintendibile o dalla corretta iniziativa di una sola persona, il rischio non è stato realmente governato. È stato semplicemente descritto.

L’errore umano non chiude l’analisi, la apre

Dopo un incidente, l’espressione “errore umano” viene spesso utilizzata come una conclusione. Si individua chi ha pronunciato la frase sbagliata, chi ha interpretato male un’autorizzazione, chi non ha rispettato la sequenza prescritta o chi non ha esercitato adeguatamente la vigilanza.

Sul piano organizzativo, però, l’errore non dovrebbe concludere l’indagine. Dovrebbe aprirla.

Le persone possono sbagliare perché ricevono informazioni incomplete, lavorano sotto pressione, agiscono in condizioni di stanchezza, utilizzano strumenti poco intuitivi oppure si sono progressivamente adattate a prassi differenti da quelle formalmente previste. Possono verificarsi sovrapposizioni di ruolo, linguaggi non uniformi, autorizzazioni implicite, assuefazione al pericolo e una pericolosa normalizzazione delle deviazioni.

Il punto non è giustificare una condotta non corretta. È comprendere perché quella condotta fosse concretamente possibile e perché nessun’altra barriera sia intervenuta prima che producesse conseguenze irreversibili.

In un sistema realmente robusto, un singolo errore non dovrebbe essere sufficiente a determinare un evento catastrofico. Una comunicazione ambigua dovrebbe essere intercettata da un secondo controllo. Un’autorizzazione non valida non dovrebbe consentire l’avvio materiale dell’attività. La presenza di persone in un’area incompatibile con il transito dei mezzi dovrebbe generare un blocco, una segnalazione o l’impossibilità tecnica di proseguire. 

Questa è la differenza tra una procedura che descrive ciò che dovrebbe accadere e un sistema che impedisce ciò che non deve accadere.

Quando la regola è chiara ma il sistema resta vulnerabile

Nelle attività ad alto rischio, alcune regole sono apparentemente inequivocabili: non si accede a una zona pericolosa finché non sono state neutralizzate le fonti di rischio; non si interviene su un’attrezzatura finché non è stata isolata; non si entra in uno spazio confinato senza autorizzazione e controllo delle condizioni; non si avvia una manutenzione in presenza di energie non messe in sicurezza.

Eppure proprio gli incidenti più gravi mostrano che una regola chiara non garantisce, da sola, un comportamento altrettanto chiaro.

Tra la disposizione scritta e il lavoro reale si collocano molte variabili: urgenze produttive, ritardi, coordinamento tra imprese, turnazioni notturne, consegne verbali, subappalti, modifiche dell’ultimo minuto e relazioni gerarchiche che possono rendere difficile interrompere l’attività.

Quando la sicurezza è affidata principalmente all’obbedienza, senza riscontri tecnici e controlli indipendenti, l’intero sistema resta esposto. Il lavoratore può conoscere perfettamente la regola e, nello stesso tempo, operare in un contesto nel quale la prassi gli comunica che quella regola può essere attenuata.

Per questo le procedure devono essere progettate a partire dal lavoro reale. Non basta chiedersi come dovrebbe essere eseguita l’attività. Occorre osservare come viene effettivamente svolta, quali scorciatoie si sono consolidate, quali passaggi vengono considerati ridondanti e in quali momenti aumenta la probabilità di un errore.

La distanza tra lavoro prescritto e lavoro reale

Uno dei compiti più delicati per RSPP e HSE Manager consiste nell’individuare la distanza tra la procedura formalizzata e l’attività concretamente eseguita.

Questa distanza non emerge sempre dagli audit programmati. Durante un controllo annunciato le persone tendono a rispettare con maggiore attenzione le regole. Le criticità possono comparire nei turni notturni, durante i cambi squadra, nella gestione di un imprevisto, quando interviene un’impresa esterna oppure quando la pressione sul rispetto dei tempi diventa più forte.

L’analisi deve quindi comprendere osservazioni sul campo, interviste non punitive, esame dei permessi di lavoro e verifica delle comunicazioni intercorse tra i diversi soggetti. Devono essere ascoltati anche i lavoratori che svolgono materialmente le operazioni, perché possiedono una conoscenza delle difficoltà reali che raramente emerge dalla sola lettura della documentazione.

Se una deviazione si ripete ed è conosciuta nell’ambiente di lavoro, non può più essere trattata come una scelta isolata. Diventa un elemento organizzativo da valutare. La tolleranza, anche implicita, trasforma gradualmente l’eccezione in consuetudine e la consuetudine in una nuova regola non scritta.

Le barriere di sicurezza devono essere indipendenti

Un sistema di prevenzione affidabile non dovrebbe dipendere da un’unica barriera, soprattutto quando tale barriera è esclusivamente procedurale.

Nelle attività con potenziale catastrofico occorre combinare misure tecniche, organizzative e comportamentali. L’autorizzazione all’avvio del lavoro, per esempio, non dovrebbe derivare da una semplice comunicazione informale. Può essere subordinata alla verifica incrociata di condizioni oggettive, all’identificazione univoca delle persone autorizzate e a un riscontro registrato.

Le soluzioni possibili dipendono dal contesto operativo, ma possono comprendere sistemi di interblocco, rilevamento della presenza, allarmi automatici, geolocalizzazione professionale nelle aree consentite, dispositivi di conferma, comunicazioni registrate, permessi digitali e blocchi che impediscano l’avvio di attività incompatibili tra loro.

La tecnologia, tuttavia, non deve diventare un alibi. Un’applicazione non corregge automaticamente una responsabilità incerta e un sensore non risolve una cultura organizzativa che premia la velocità più della prudenza. Lo strumento digitale è utile quando rende impossibile saltare un passaggio critico, conserva l’evidenza dei controlli, elimina l’ambiguità e permette di ricostruire tempestivamente anomalie e ritardi.

La vera efficacia nasce dall’integrazione fra progettazione tecnica, responsabilità definite, addestramento, supervisione e capacità di interrompere il lavoro senza timore di conseguenze improprie.

Infortunio e near miss devono modificare il sistema

Dopo un evento grave, l’organizzazione non dovrebbe limitarsi alla ricostruzione delle responsabilità. Deve aprire un processo formale di apprendimento.

Ogni causa individuata deve essere collegata a una misura correttiva, a un responsabile, a una scadenza e a un indicatore di efficacia. Non è sufficiente documentare che una procedura è stata aggiornata. Bisogna dimostrare che il nuovo assetto ha modificato i comportamenti, eliminato le ambiguità e ridotto la possibilità di ripetizione.

Il riesame deve estendersi oltre il luogo dell’incidente. Se la medesima lavorazione viene svolta in altri cantieri, impianti o unità produttive, le lezioni apprese devono essere trasferite all’intera organizzazione. Un correttivo applicato esclusivamente nel sito interessato rischia di lasciare intatte vulnerabilità analoghe altrove.

Lo stesso principio vale per mancati infortuni e segnalazioni. Attendere un evento mortale per rivedere il sistema significa rinunciare alla prevenzione. La qualità di un’organizzazione si misura anche dalla capacità di attribuire valore ai segnali deboli: permessi compilati in modo incompleto, comunicazioni non registrate, accessi anticipati, allarmi ignorati e lavori iniziati prima della verifica conclusiva.

Appalti e subappalti: la sicurezza non può frammentarsi

Le attività affidate a imprese esterne presentano una particolare complessità. Ogni passaggio contrattuale può introdurre nuovi livelli gerarchici, linguaggi differenti, responsabilità non pienamente comprese e pressioni sulla produttività.

Il committente non può ritenere esaurito il proprio ruolo con l’inserimento di clausole contrattuali o con la consegna delle procedure. Deve verificare l’idoneità tecnico-professionale, governare le interferenze, chiarire le responsabilità operative e controllare che le regole siano comprese e applicate anche dagli ultimi livelli della catena.

Il coordinamento deve essere concreto. Chi autorizza il lavoro deve sapere chi è presente, quale attività viene svolta, in quale area e in quali condizioni. Il preposto dell’impresa esecutrice deve poter interrompere l’attività. I lavoratori devono ricevere informazioni coerenti, senza messaggi contraddittori provenienti da soggetti differenti.

La complessità contrattuale non può tradursi in una frammentazione della prevenzione. Il rischio resta unico, anche quando le responsabilità sono distribuite tra più imprese.

La formazione non può compensare un sistema debole

Dopo un incidente, la prima risposta è spesso un nuovo corso di formazione. È un intervento utile, ma non sempre proporzionato al problema.

Se la criticità deriva da un’autorizzazione ambigua, da una barriera tecnica assente o da responsabilità sovrapposte, ripetere ai lavoratori che devono rispettare le regole non elimina la causa. La formazione può rafforzare la consapevolezza, ma non può sostituire un processo mal progettato.

Occorre distinguere tra deficit di conoscenza e vulnerabilità organizzativa. Nel primo caso servono formazione e addestramento. Nel secondo sono necessarie modifiche al processo, alle responsabilità, agli strumenti di controllo o alla progettazione del lavoro. Spesso occorrono entrambe le cose, ma non devono essere confuse.

Per il personale HR ciò significa superare il conteggio delle ore erogate. L’efficacia formativa deve essere verificata sul campo, osservando se le persone riconoscono le condizioni che impediscono l’avvio del lavoro, se sanno a chi rivolgersi e se sono effettivamente autorizzate a fermarsi.

Stop work ! Il diritto di fermare il lavoro deve essere reale

Il testo unico prevede che il preposto possa interrompere le persone e/o le lavorazioni, salvo segnalare il tutto al datore di lavoro. Molte organizzazioni sono andate oltre e dichiarano che ogni lavoratore può interrompere un’attività pericolosa. La questione decisiva è se questa facoltà sia realmente esercitabile ed esercitata.

Se chi ferma il lavoro viene considerato poco collaborativo, se i ritardi generano pressioni informali oppure se la ripresa avviene senza una verifica competente, il diritto di fermarsi resta soltanto teorico.

L’impresa dovrebbe monitorare quante sospensioni precauzionali vengono segnalate, come sono gestite, in quanto tempo vengono risolte e se chi ha sollevato il problema riceve un riscontro. L’assenza totale di segnalazioni in un’attività complessa non dimostra necessariamente che tutto funzioni. Potrebbe indicare che le persone non si sentono libere di agire ai fini della sicurezza.

La leadership della sicurezza si misura soprattutto nelle decisioni difficili: accettare un ritardo, rinviare una lavorazione, sostenere un preposto che ha bloccato l’attività e rinunciare a una scorciatoia anche quando sembra conveniente.

MODIFICHE AL DVR

Un infortunio significativo determina la necessità di riesaminare immediatamente la valutazione dei rischi. L’articolo 29, comma 3, del D.Lgs. 81/2008 prevede la rielaborazione (entro 30 giorni) della valutazione in occasione di modifiche significative del processo produttivo o dell’organizzazione del lavoro, dell’evoluzione della tecnica, della prevenzione o della protezione, di infortuni significativi e quando i risultati della sorveglianza sanitaria ne evidenzino la necessità. A seguito della rielaborazione devono essere aggiornate anche le misure di prevenzione. La revisione non dovrebbe limitarsi ad aggiungere una descrizione dell’evento. Deve verificare se:

• il pericolo era stato individuato correttamente;
• la probabilità dell’errore era stata sottostimata;
• la frequenza delle esposizioni reali differiva da quella dichiarata;
• le prassi operative erano coerenti con il DVR;
• le misure indicate erano realmente attuate;
• la vigilanza era adeguata;
• appalti, subappalti e interferenze erano stati valutati in modo sufficiente;
• l’evoluzione tecnologica rende disponibili barriere più efficaci.

La rielaborazione deve tradursi in un programma di miglioramento con priorità, responsabilità, risorse, scadenze e verifiche di efficacia. Se il DVR cambia ma il lavoro resta identico, l’aggiornamento è soltanto documentale.

PROCEDURE DI SICUREZZA

Dopo un evento grave, le procedure interessate devono essere riesaminate a partire dai punti nei quali l’errore è diventato possibile. Occorre verificare la gestione delle autorizzazioni, la consegna dell’area, le comunicazioni, il coordinamento tra squadre, i cambi turno, l’avvio e la sospensione dei lavori, la gestione delle anomalie e il controllo delle imprese esterne.

Una procedura efficace dovrebbe definire senza ambiguità:

• chi può autorizzare ogni passaggio critico;
• quali condizioni oggettive devono essere verificate;
• con quale strumento deve essere registrata la verifica;
• chi effettua il controllo indipendente;
• quali condizioni determinano il blocco automatico dell’attività;
• come deve essere gestita una comunicazione incompleta o contraddittoria;
• chi può disporre la ripresa dopo una sospensione.

Le fasi critiche dovrebbero essere rese sequenziali e non aggirabili. Il sistema deve impedire di concludere una fase se non sono state fornite le evidenze richieste per quella precedente. Una gestione digitale dei permessi può aiutare, purché sia semplice, accessibile sul campo e progettata per bloccare davvero le incompatibilità, non soltanto per replicare su uno schermo la modulistica cartacea.

COSA DICE LA LEGGE

• L’articolo 17 del D.Lgs. 81/2008 individua nella valutazione di tutti i rischi e nella conseguente elaborazione del DVR un obbligo non delegabile del datore di lavoro.
• L’articolo 28 richiede che la valutazione riguardi tutti i rischi e che il DVR contenga le misure adottate, il programma di miglioramento, le procedure per la loro attuazione e l’individuazione dei ruoli competenti.
• L’articolo 29, comma 3, impone la rielaborazione della valutazione e delle misure di prevenzione dopo infortuni significativi, modifiche rilevanti e sviluppi della tecnica preventiva.
• L’articolo 18 attribuisce a datore di lavoro e dirigenti obblighi organizzativi, informativi, formativi e di vigilanza.
• L’articolo 19 assegna al preposto compiti di sovrintendenza, intervento e interruzione dell’attività quando rilevi condizioni di pericolo.
• L’articolo 26 disciplina gli obblighi connessi ai contratti d’appalto, d’opera o di somministrazione, compresi la verifica dell’idoneità tecnico-professionale, lo scambio di informazioni e la cooperazione nel governo dei rischi interferenziali.
• L’articolo 15 stabilisce i principi generali della prevenzione, tra i quali eliminazione o riduzione dei rischi, programmazione, priorità delle misure collettive, sostituzione di ciò che è pericoloso e miglioramento continuo.
• Il D.Lgs. 231/2001 può assumere rilievo, nei casi e alle condizioni previste dalla legge, rispetto alla responsabilità amministrativa dell’ente per reati in materia di salute e sicurezza. L’efficacia del modello organizzativo dipende dalla sua concreta attuazione, non dalla sola esistenza documentale.

INDICAZIONI OPERATIVE

1. Riesaminare gli eventi gravi entro termini definiti. Avviare entro 24 ore la conservazione delle evidenze, concludere l’analisi preliminare entro 15 giorni e approvare il piano delle azioni entro 30 giorni. Misurare la percentuale di azioni concluse nei tempi e la quota sottoposta a verifica di efficacia.
2. Mappare le barriere critiche. Per ogni scenario ad alta conseguenza identificare almeno una barriera tecnica, una organizzativa e una di controllo. L’obiettivo è portare al 100% entro dodici mesi gli scenari critici dotati di barriere indipendenti.
3. Verificare il lavoro reale. Programmare osservazioni non annunciate sui turni, nei cambi squadra e durante le attività affidate ad appaltatori. Registrare deviazioni, cause e azioni correttive, separando le violazioni consapevoli dalle difficoltà generate dal processo.
4. Rendere non aggirabili le autorizzazioni. Introdurre una sequenza verificabile per consegna dell’area, isolamento del rischio, conferma e avvio. Impedire la prosecuzione in presenza di dati mancanti, autorizzazioni scadute o condizioni incompatibili.
5. Controllare la catena degli appalti. Definire un indicatore trimestrale che misuri audit svolti, non conformità ripetute, cambi di personale non comunicati e rispetto delle azioni correttive. Le prestazioni HSE devono incidere concretamente sulla qualifica del fornitore.
6. Misurare l’efficacia, non soltanto l’adempimento. Non limitarsi al numero di procedure aggiornate o di ore formative. Monitorare deviazioni ricorrenti, sospensioni precauzionali, near miss, tempi di chiusura delle anomalie e percentuale di lavoratori capaci di descrivere correttamente le condizioni di avvio e blocco.
7. Centralizzare le evidenze. Utilizzare un archivio digitale controllato per DVR, procedure, autorizzazioni, audit, segnalazioni e azioni. Attivare avvisi automatici per scadenze, ritardi e ricorrenza delle medesime non conformità.
8. Verificare sul campo ogni modifica. Nessuna azione deve essere considerata conclusa con la sola emissione di un documento. Effettuare una prova operativa entro 60 giorni, verificando che la misura impedisca realmente la ripetizione dello scenario.
9. Costruire una strategia preventiva sui segnali deboli. Entro il prossimo anno collegare near miss, anomalie operative e sospensioni precauzionali in un unico sistema di analisi. L’obiettivo è individuare le tendenze prima che producano un infortunio.
10. Pianificare barriere evolute per gli scenari più gravi. Inserire nel piano investimenti sistemi di rilevamento, interblocco, tracciabilità e allarme, con priorità determinata dalla gravità potenziale e non soltanto dalla frequenza storica degli eventi.

IL 20% CHE CONTA (PER L’80% DEI RISULTATI)

A. Un errore umano prevedibile deve essere considerato nella progettazione del sistema di prevenzione.

B. Dopo un infortunio significativo, aggiornare il DVR significa modificare misure e processi, non soltanto il documento.

C. Le attività ad alto rischio richiedono barriere indipendenti: tecniche, organizzative e di vigilanza.

D. Appalti e subappalti devono essere governati come un unico sistema di sicurezza.

E. L’efficacia si misura sul campo attraverso deviazioni, near miss, blocchi precauzionali e capacità delle misure di impedire la ripetizione.

Riproduzione riservata ©