安全事故调查流程图（从保护现场到验证措施）
安全事故调查流程图：保护现场、判定实际与潜在严重度、按时限上报监管部门、固定证据、分别访谈目击者、把原因追到组织因素，并在作业现场验证控制措施。
什么是安全事故调查流程图（从保护现场到验证措施）流程
调查从报告结束的地方开始。事件已经通过 /zh/templates/工作场所事故报告流程 上的路径被提出和记录，也已经在规定时限内报告给了该报告的人，接下来组织要弄清楚到底发生了什么。调查失败的方式来来去去就那四种，没有一种是因为少了一张表单。现场在一个小时之内就被清理干净了，因为产线要复产，于是防护装置的位置、损坏的零件、能量隔离的状态，在有人带着相机赶到之前就已经不存在了。目击者整个下午都待在同一间休息室里，等到访谈开始时，得到的是一个统一的说法，而不是五份各自的陈述。定级依据的是实际发生的伤害，而不是差一点发生的伤害，于是一件本可能致人死亡的事，被登记成一次轻微外伤，没有任何人去调查。而分析止步于人：报告里写的是某位操作工图省事走了捷径，措施是开一次班前会、重申一遍要按规程作业，十一个月之后又有人走了同一条捷径——因为那条捷径依然更快，而这项作业本身什么都没有变。
本页承接的是 /zh/templates/工作场所事故报告流程。那一页覆盖现场急救、在时限内报告给直属经理、事故登记台账、依法上报，以及关于这起事件该配多深的调查这一判定。它把严重的事件往下交，而本页正是这些严重事件所得到的处理。事发最初几分钟又是另一个流程，画在 /zh/templates/应急响应流程图 上：能否安全接近、疏散还是就地避险、清点人数、解除警报。分析方法本身是通用的，见 /zh/templates/根本原因分析流程。在 5 Why（五问法）、故障树与鱼骨图之间怎么选，则在 /zh/templates/根本原因分析决策树 上走完全程。本图假定你们已经有了一套方法，只负责说明安全领域特有的证据从哪里进入它。如果调查结果还要变成一条带有效性评价和台账的受控质量记录，那是 /zh/templates/纠正与预防措施流程。而 /zh/templates/事件管理流程 借用的是同一个词，说的却完全是另一件事——IT 服务台把系统重新恢复运行，那里没有现场要保护，没有人要访谈，也不需要向任何主管部门报告。
有四个在书面程序里通常被默认掉的判定，本图把它们画了出来。“潜在严重度是否为高？”是在组建调查组之前问的，而不是等报告写完之后，这样调查的规模跟着可能发生什么走，而不是跟着实际发生了什么走，一次险肇事件因此拿到它差一点酿成的那场死亡事故本该配备的组长。“现场是否已解除管控？”是一条真实的分支，后面接着一个结局：严重事件之后，执法检查人员或公安机关会控制现场，标着“仍由主管部门控制”的那条路径直接离开本程序，终止于“以监管部门调查为主”——在那里你们配合调查、保管好手上的东西，而不是在人家的取证之上再压一套自己的。“原因是否追溯到组织因素？”是一道关口而不是一道手续——它那条向后的分支标着“止步于个人”，会把分析重新送回去，追问是什么让这个差错变得容易发生，这正是一次公正文化（just culture）调查与一次挂着鱼骨图的追责之间的区别。而“危险源能否被消除？”必须先被明确地回答并明确地否决，行动清单里才允许出现个体防护装备。泳道是故意不平衡的：现场主管只出现在首尾两端，先保护现场，再承担整改行动的责任，因为控制措施必须比这份工作的现任负责人活得更久。
本流程图涵盖的内容
本模板包含
- 四条泳道——现场主管、HSE 专员（健康、安全与环保）、调查负责人、厂区管理层——铺在六个阶段上：保护现场、定级与报告、收集证据、原因分析、选择控制措施、整改与验证。
- 分析之前先有一个现场阶段：先“救治受伤人员”，再“确保现场安全并保护现场”，让能量隔离状态、防护装置位置和损坏的零件在区域被清理、产线复产之前就被拍照留存。
- “判定实际与潜在严重度”接入“是否需上报监管部门？”，其“需上报”分支走向“在法定时限内上报监管部门”，再到“现场是否已解除管控？”——这个关于调查主导权的问题，多数程序从来不画。
- “潜在严重度是否为高？”由厂区管理层在调查组存在之前回答：“高”通向“指定独立组长并组建调查组”，而“较低，由产线主导”这条分支不配组长，直接把事件送进证据收集。
- 调查负责人泳道里的“固定实物证据与书面记录”和“分别访谈目击者”，外加一道“证据是否足够完整？”判定，其“仍有缺口”分支会在尝试“梳理事件时间线”之前回到收集环节。
- 三个终点而不是一个：主管部门控制现场时的“以监管部门调查为主”，管理层不肯为措施出钱时的“措施未获批，风险已升级”，以及只有在“控制措施是否有效？”被回答为“是”之后才到达的“结案并在各厂区分享经验”。
何时使用本模板
- 你们要编写或修订事故调查程序，需要用一张图说清楚谁保护现场、谁调查、谁批准控制措施、谁验证。
- 你们的调查报告一次次把原因写成某个人、把措施写成一次宣贯，你们希望在报告被允许动笔之前，先把分析往下推一层。
- 一起本可能致人死亡的险肇事件，因为没有人受伤，就在台账里留一行字结案了，你们希望由潜在严重度而不是实际后果来决定调查的深度。
- 以往调查的行动项全部标注为已完成，可这份活儿还是照原样在干，因为没有人回到现场去看那项措施到底装了没有、有没有人用、是不是被悄悄拆掉了。
- 审核员或者执法检查人员要看你们最近三次调查，你们希望产生这些调查的路径——谁牵头、取了哪些证据、原因是怎么确定的、行动项是怎么被检查的——能在一页纸上看清楚。
运作方式
把泳道改成你们自己的厂区
把现场主管、HSE 专员、调查负责人和厂区管理层换成你们那里真实存在的角色。如果没有专职安全人员，就把实际承担这项职责的人放进那条泳道，而不是把泳道删掉：里面那些法定时限，总得有人盯着。如果你们的事故经常涉及承包商，就加一条承包商泳道，因为你们要用到的作业票、入场培训记录和设备履历都在他们手上，不在你们手上。如果在夜班上这两条泳道其实是同一个人，就在图上写明，而不是假装不是。
把上报判定标准写成你们自己的
“是否需上报监管部门？”在你附上具体的分类与时限之前是空的。用真正约束你们的那份清单替换掉笼统的措辞：在中国内地，《生产安全事故报告和调查处理条例》按死亡人数、重伤人数与直接经济损失把生产安全事故分为特别重大、重大、较大、一般四级，并要求单位负责人在接到事故报告后 1 小时内向县级以上人民政府应急管理部门报告；职业病、特种设备事故以及涉及消防、环保的事件另有各自的报告口径。写明由谁来做这个判断，并为节假日和夜班指定一位替补，同时记录报告发出的时间——迟报之后的第一个问题永远是谁在什么时候知道的。
定义潜在严重度，并写明每一级触发什么
“潜在严重度是否为高？”只有在它背后的文字被写下来之后才真的能分级。多数厂区用一张小矩阵，一轴是现实可能的最坏后果，一轴是这个后果发生的可能性有多大，并把门槛设在合乎情理的死亡或永久性伤残那一格。然后写明每一级究竟换来什么：谁牵头、投入几个人、给多长时间、报告发给谁。没有这些，级别就由那一周谁有空来决定，而“较低，由产线主导”会悄悄变成默认值。在那条分支上写明由谁来承担调查负责人的角色，好让这条泳道仍然有人负责。
列出证据清单和它们的保存期限
把“固定实物证据与书面记录”变成一份具名的清单，而不是一个标题。监控录像和设备日志按固定周期覆盖，所以把周期写下来，并写明凌晨三点谁有权把它们冻结，因为请求正是在那个时候来的。然后列出你们会想要、却往往拿不到的那些纸面材料：作业票、这项作业的风险评估、排班表、维修履历、培训与资格记录，以及大家实际照着干的那份规程的最近三个版本。写明每一份在谁手上。
把控制措施层级变成一道书面检验
让“危险源能否被消除？”成为调查组必须留痕回答的问题，并要求在答案被允许降一级之前，先写下理由并署上名字。用同样的方式检验每一条拟定的措施：它在夜班上还成立吗？换成刚入职的新人呢？在赶工的压力下呢？平时那个熟手请假的时候呢？还要问它让操作工多花多少时间，因为一项让活儿变慢的措施，早晚会有人把它绕过去。并且给你们否决掉的那个层级定一个复评日期，等钱到位的时候可以重新打开。
先定下验证日期，再走查、再发布
“在作业现场验证控制措施”的日期要在行动项分派的那一刻就定下来，而不是等行动项关闭时才定，并且把它放进和审核计划同一本日程里，好让它熬得过安全负责人的更换。约定验证人必须带回什么样的证据。然后带着定稿的图，和一位主管、HSE 专员、一位被当作目击者访谈过的人，以及那个在报告上签字的人一起走一遍，按他们真实的做法改正，再发布该版本并保留此前的版本，让日后打开它的人知道自己看的是哪一版。
常见问题
安全事故调查流程包含哪些步骤？
救治受伤人员，使现场安全并加以保护，判定实际严重度与潜在严重度，判断该事件是否需要上报并在法定时限内报告监管部门，按潜在严重度配置调查组的规模，在证据消退之前收集实物证据与书面材料，尽早分别访谈目击者，梳理出到底发生了什么的时间线，用系统性方法把原因一直分析到组织因素，从消除开始沿控制措施层级向下选择措施，让它们获批并落实预算，分派带责任人和期限的行动项，回到作业现场验证措施确实在起作用，然后批准报告、结案并分享经验。不同方法用不同的词讲同一副骨架——ICAM（事故成因分析法）把缺失或失效的防护、个人与班组的行为、任务与环境条件、组织因素分开来看——但骨架是一样的。各个组织真正会跳过的那一步是验证。
本页与工作场所事故报告流程有什么不同？
两者是先后关系，不是二选一。工作场所事故报告流程处理的是作为一个事件的事件：现场急救、在你们内部时限内报告给直属经理、事故登记台账里的那条记录、依法上报，以及关于这起事件该配多深的调查这一判定。它以把严重的事件往下交作为结束。本页正是从那一点接手，而且中段深得多：现场保护单独成为一步，证据按消失的快慢排序，目击者分别访谈，一条时间线，一次必须追到组织因素才允许往下走的原因分析，以及对照层级选出的控制措施。如果你们要写的是事故如何被报告和记录，用报告流程模板；如果你们要写的是它如何被调查，用这一份。多数组织两份都需要，而它们的接缝就是那个关于调查层级的判定。
怎样避免调查止步于“操作工失误”？
把操作工失误当成分析的起点，而不是终点。最快的检验是替代检验：换一位同样胜任的同事，在同样的条件下、掌握同样的信息、承受同样的压力，他大概率会不会做出同样的事？如果诚实的答案是会，那么这个人就不是原因。给差错分类也有帮助——例行动作中的疏忽或遗忘、判断上的错误，还是明知故犯地偏离规程——因为它们各自背后是一组不同的条件，而一个班上人人都会做的偏离，是关于这份规程的证据，不是关于这个人的证据。然后再问：要改变什么，同样的做法才不再是最省事的那一条路。本图把这份纪律固化在结构里：“原因是否追溯到组织因素？”这道判定有一条标着“止步于个人”的向后分支，会把分析重新送回去，而不是放行去写报告。
什么是控制措施层级，它如何改变整改行动？
它是考虑控制措施的先后顺序：消除危险源，替换为危害较小的东西，通过工程技术手段控制——例如防护罩、联锁装置或通风除尘系统——然后才是规程、作业票和培训这类管理措施，个体防护装备排在最后。这个顺序不是偏好。消除与替换是不管接下来谁怎么做都会把暴露拿掉，而管理措施和个体防护装备只有在人们每个班次都完全按预想行事时才有效，包括状态很差的那些班次。它之所以改变整改行动，是因为它逼着你为跳过的每一级写下明确的理由。一份全部由再培训、宣贯和新标识组成的纠正措施清单，是一份只用了最弱的两种措施的清单，也是同一起事故会再次发生的最可靠的预兆。
怎样验证一项安全控制措施真的在起作用？
不是看行动项有没有关闭。验证意味着在措施投用足够久、日常作业已经有机会检验过它之后，回到作业现场，回答三个各自独立的问题：这项措施是不是按当初描述的样子存在？它有没有起到当初设想的作用？人们是在用它，还是在绕过它？第三个问题抓住了大部分失效，因为一项让操作工多花时间的措施会被悄悄破解，而且没有人会报告。同时也要找找这项措施自己带进来的新危险——一个把维修人员挤到更糟位置上的防护罩，一个诱使人短接的联锁，一张让本来就开工晚的活儿再多花一小时的作业票。把这项检查交给行动项责任人之外的人，并且让一次观察或一次实测比跟踪表里一个填好的字段更算数。ISO 45001 第 10.2 条要求评价纠正措施的有效性，这也是本图把“控制措施是否有效？”回接到措施选择、而不是直接接到结案的原因。
此流程所处的位置
在大多数组织中，此流程紧随工作场所事故报告流程图（职业健康与安全）之后，并交接给CAPA 流程图（纠正与预防措施）。
它是安全事件中的一个步骤。
第 1 步: 未遂事故报告流程图（实名或匿名、潜在严重度定级）
第 2 步: 工作场所事故报告流程图（职业健康与安全）
工作场所事故与未遂事故报告流程图：急救与现场处置、内部报告时限、向监管机构报告的判断、分级调查，以及经过验证的纠正措施。
第 3 步: 安全事故调查流程图（从保护现场到验证措施） 当前位置
安全事故调查流程图：保护现场、判定实际与潜在严重度、按时限上报监管部门、固定证据、分别访谈目击者、把原因追到组织因素，并在作业现场验证控制措施。