Kinh doanh CNG/LNG – HSE / AN TOÀN / RỦI RO (CNG – LNG): Đánh giá rủi ro theo ca vận hành. (0035)

Rủi ro lớn nhất không phải là sự cố, mà là khi hệ thống vận hành bị áp lực tài chính ép buộc phải tin rằng mình vẫn an toàn, ngay cả khi các rào chắn kỹ thuật và con người đã rơi vào trạng thái kiệt sức.

Trong chuỗi cung ứng CNG và LNG, khi áp suất vận hành lên tới hàng trăm bar và nhiệt độ chạm ngưỡng âm 162 độ C, rủi ro không phải là một danh mục để tích (tick) vào, mà là một điều kiện biên (strategic boundary) buộc phải chấp nhận hoặc dừng lại. Đánh giá rủi ro theo ca vận hành là hành động thừa nhận rằng rủi ro không cố định mà biến đổi theo từng giờ, từng quyết định của điều độ (Dispatch) và từng giọt mệt mỏi của con người. Đây là nền tảng cho bất kỳ hệ thống quản trị thảm họa (Catastrophic Risk Management) nào.

A) MỤC LỤC CHIẾN LƯỢC HSE – SAFETY BOUNDARY DOCTRINE

HSE – Quyền Lực Veto Tối Thượng (Safety Veto Authority)

1.0 Định nghĩa Ranh giới An toàn (Safety Boundary Definition)

• 1.1 Ranh giới An toàn là điều kiện kinh doanh bắt buộc (Non-Negotiable Business Condition).
• 1.2 Mọi quyết định Điều độ (Dispatch) hoặc Kinh doanh (Sales) vượt ranh giới 1.1 đều bị phủ quyết (Veto).
• 1.3 HSE là cơ chế cảnh báo sớm về khủng hoảng dòng tiền/thảm họa (Early Warning System for Financial/Operational Collapse).

2.0 Quyền Dừng Việc (Stop Work Authority – SWA)

• 2.1 Mọi nhân viên (Lái xe, Ops Tech, Dispatcher) đều có Quyền Dừng Việc tuyệt đối, không cần cấp phép trước, khi nhận thấy mối nguy hiểm cấp tính.
• 2.2 Việc kích hoạt SWA sẽ không bị phạt, bị kỷ luật, hoặc bị trừ thưởng dưới mọi hình thức, ngay cả khi đánh giá sau đó xác định không có mối nguy.
• 2.3 Quy trình SWA phải được ưu tiên giải quyết trong vòng 15 phút bởi quản lý cấp cao nhất (Incident Command Structure activation).
• 2.4 Dừng việc bắt buộc nếu quy trình bàn giao ca bị bỏ qua hoặc thực hiện không đầy đủ.
• 2.5 Dừng việc bắt buộc nếu thiếu Giấy phép làm việc (Permit-to-Work – PTW) hoặc PTW bị vi phạm (PTW Violation).

3.0 Quản lý Mệt mỏi và Lỗi Con người (Fatigue and Human Error Management)

• 3.1 Giới hạn ca làm việc liên tục tối đa 12 giờ cho mọi vị trí vận hành trực tiếp.
• 3.2 Bắt buộc nghỉ ngơi tối thiểu 4 giờ liên tục sau mỗi 8 giờ làm việc ca đêm.
• 3.3 Cấm tuyệt đối OT (overtime) nếu nhân viên có dấu hiệu mệt mỏi thể chất hoặc tinh thần (fatigue).
• 3.4 Chỉ số OT liên tục của nhân viên là Tín hiệu Sớm (Early Signal) để dừng giao ca cho nhân viên đó.
• 3.5 Nhân viên có quyền từ chối ca làm nếu cảm thấy mệt mỏi mà không cần giải thích chi tiết.

4.0 An toàn Khách hàng (Unsafe Customer Doctrine)

• 4.1 Thiết lập Tiêu chuẩn An toàn Tối thiểu (Minimum Safety Standard – MSS) cho mọi khách hàng trước khi ký hợp đồng và duy trì trong suốt vòng đời dịch vụ.
• 4.2 Bắt buộc Dừng Vận hành (Operational Halt) nếu khách hàng không tuân thủ MSS sau 02 lần cảnh báo chính thức.
• 4.3 Quyết định Từ chối Giao hàng hoặc Rút lui (Exit Strategy) khỏi khách hàng được ưu tiên nếu Tỷ lệ Sự cố/Cận Sự cố (Incident/Near-Miss Frequency) tại địa điểm đó vượt quá ngưỡng 0.05 lần/tháng.
• 4.4 Khách hàng có văn hóa An toàn thấp (low safety culture) sẽ bị áp dụng Chỉ số Rủi ro cao (High-Risk Index) trong tính toán Cost-to-Serve.

5.0 Quản lý Thiết bị và Tài sản (Asset Integrity Management)

• 5.1 Thiết bị an toàn (ESD, PRV, van khẩn cấp) bị lỗi hoặc quá hạn kiểm định (Overdue Inspection) phải dừng khai thác ngay lập tức, bất kể áp lực điều độ.
• 5.2 Mọi sự cố Near-Miss liên quan đến thiết bị phải dẫn đến điều tra gốc (Root Cause Analysis – RCA) và ban hành Cảnh báo An toàn (Safety Alert) trong vòng 24 giờ.
• 5.3 Không được phép vận hành thiết bị an toàn có chỉ số MTTR (Mean Time To Repair) vượt quá 72 giờ cho các lỗi chính.
• 5.4 Yêu cầu MOC bắt buộc cho mọi thay đổi nhỏ về áp suất, nhiệt độ, hoặc lưu lượng thiết kế của hệ thống.

6.0 Quản lý Thay đổi (Management of Change – MOC)

• 6.1 MOC là cơ chế buộc phải phân tích rủi ro hệ thống trước khi thay đổi, không phải một thủ tục hành chính.
• 6.2 Mọi thay đổi về tuyến đường, phương tiện, hoặc nhân sự phục vụ khách hàng phải được đánh giá rủi ro theo MOC nếu nó kéo dài quá 03 ca vận hành.
• 6.3 Mọi sự thay đổi áp suất nạp/xả so với quy trình chuẩn đều phải có MOC và phê duyệt kỹ thuật cấp cao.
• 6.4 Hành vi cố ý bỏ qua hoặc làm tắt MOC sẽ dẫn đến đình chỉ công việc và bị điều tra nghiêm ngặt.
• 6.5 MOC phải luôn bao gồm phân tích về khả năng xảy ra Lỗi Con người (Human Error Probability) trong môi trường mới.

7.0 Báo cáo Cận Sự cố và Sự cố (Incident and Near-miss Reporting)

• 7.1 Tỷ lệ Báo cáo Cận Sự cố tăng là dấu hiệu của Văn hóa An toàn Tích cực (Positive Safety Culture) và không bị coi là thất bại.
• 7.2 Cấm tuyệt đối văn hóa đổ lỗi (Blame Culture) trong điều tra sự cố. Mục tiêu là tìm lỗi hệ thống, không phải lỗi cá nhân.
• 7.3 Mọi sự cố (Incident) phải được ghi nhận và phân tích tác động tài chính (Financial Impact Analysis) trong vòng 07 ngày làm việc.

8.0 An toàn Giao nhận (Loading/Unloading Safety)

• 8.1 Bắt buộc kiểm tra 20 điểm an toàn (Pre-Check 20 Points) trước mỗi ca nạp/xả, được ghi nhận điện tử.
• 8.2 Cấm tuyệt đối thao tác nạp/xả ngoài phạm vi quan sát trực tiếp hoặc trong điều kiện thời tiết khắc nghiệt (bão, sấm sét).
• 8.3 Thiết lập giới hạn vận hành (Operating Envelope) cứng về áp suất và nhiệt độ. Vượt giới hạn này kích hoạt ESD tự động.
• 8.4 Đảm bảo rằng hệ thống tiếp địa/liên kết (bonding/grounding) luôn được kiểm tra bằng thiết bị chuyên dụng trước khi kết nối hose (dây mềm).

9.0 An toàn Tài chính (Financial Safety)

• 9.1 Quỹ dự phòng thảm họa (Catastrophic Risk Fund) phải được trích lập hàng năm dựa trên mức độ rủi ro hệ thống (Systemic Risk Score).
• 9.2 Chi phí đào tạo và thiết bị an toàn được coi là Chi phí Chiến lược (Strategic Expense), không thể bị cắt giảm trong mọi điều kiện kinh tế khó khăn.

10.0 Trách nhiệm Lãnh đạo (Leadership Accountability)

• 10.1 Quản lý cấp cao (CEO, COO) phải trực tiếp phê duyệt các quyết định liên quan đến Từ chối Khách hàng hoặc Dừng Khai thác Thiết bị vì lý do an toàn.
• 10.2 KPI của Lãnh đạo cấp cao phải bao gồm các chỉ số An toàn Chủ động (Leading Indicators) như Stop Work Activation Count và Near-miss Frequency.

11.0 Đánh giá Rủi ro Động (Dynamic Risk Assessment)

• 11.1 Đánh giá Rủi ro phải được thực hiện lại tại điểm giao hàng nếu có thay đổi về môi trường, nhân sự hoặc thiết bị so với Kế hoạch Giao nhận Ban đầu.
• 11.2 Điều độ (Dispatcher) phải cập nhật Tải Rủi ro (Risk Load) của mỗi chuyến xe dựa trên lộ trình, thời tiết và trạng thái mệt mỏi của lái xe.

B) ĐỊNH VỊ HSE – SAFETY IS A STRATEGIC BOUNDARY

HSE trong lĩnh vực CNG/LNG là một câu chuyện hoàn toàn khác biệt so với các ngành công nghiệp tiêu chuẩn. Chúng ta không nói về việc trượt chân hay ngã cầu thang. Chúng ta đang nói về quản trị rủi ro thảm họa (catastrophic risk) – một vụ nổ LNG/CNG có thể san bằng một khu vực rộng lớn, gây thương vong hàng loạt, và chấm dứt sự tồn tại của doanh nghiệp.

HSE trong CNG/LNG LÀ:

• Một hệ thống quản trị rủi ro thảm họa (catastrophic risk). Nó là việc xây dựng các rào chắn kỹ thuật (ESD, PRV, HAZOP, LOPA) và rào chắn hành vi (SWA, MOC) để đảm bảo rằng khi một lỗi xảy ra (ví dụ: lỗi của con người vì mệt mỏi), nó không dẫn đến sự kiện domino (escalation) và thảm họa.
• Một ranh giới không thể thương lượng cho tăng trưởng và doanh thu. Trong mô hình kinh doanh khí công nghiệp, việc theo đuổi OTIF 100% (On-Time, In-Full) hoặc tăng trưởng doanh số hàng quý KHÔNG được phép làm suy yếu bất kỳ rào chắn an toàn nào. HSE là điều kiện biên (boundary condition) – tăng trưởng chỉ được chấp nhận trong phạm vi ranh giới an toàn.
• Một cơ chế veto chiến lược trong các quyết định có áp lực OTIF, Sales, dòng tiền. Khi Dispatcher gọi điện ép lái xe đi thêm 50km đường đèo trong đêm mưa để kịp giao hàng, quyền lực Veto (phủ quyết) nằm ở chính lái xe, được hỗ trợ bởi hệ thống HSE, chứ không phải nằm ở cấp quản lý đang chịu áp lực KPI tài chính.

HSE KHÔNG PHẢI:

• ESG. Mặc dù an toàn là một phần của Trách nhiệm Xã hội (S), nhưng ESG (Environmental, Social, Governance) là một khung khổ bền vững rộng hơn. An toàn (Safety) là yêu cầu sống còn tức thời. Bạn có thể có điểm ESG cao nhưng vẫn chết vì một tai nạn CNG/LNG.
• Ops. Vận hành (Ops) đảm bảo hiệu quả, năng suất, và OTIF. HSE đảm bảo Ops không tự hủy hoại mình khi tối ưu hóa. HSE kiểm tra, giám sát, và có quyền đình chỉ Ops.
• Bộ quy trình huấn luyện an toàn cơ bản. Mặc dù cần thiết, nhưng việc chỉ tuân thủ checklist 5 phút trước ca không giải quyết được vấn đề gốc rễ: áp lực hệ thống đè nát sự tuân thủ đó.

Doanh nghiệp CNG/LNG không chết vì thiếu quy trình HSE, mà chết vì bỏ qua HSE trong những quyết định “rất logic” dưới áp lực vận hành.

Ví dụ, việc tiết kiệm 30 phút downtime bằng cách bỏ qua quy trình xả áp (depressurization) hoàn chỉnh trước khi tháo hose là một quyết định “rất logic” theo KPI OTIF, nhưng nó lại là hành động phá hủy rào chắn an toàn cuối cùng.

C) HSE KHÔNG BAO GIỜ ĐỨNG ĐỘC LẬP – NHƯNG KHÔNG ĐƯỢC HÒA TAN

HSE không tồn tại trong một phòng ban cô lập. Nó là một lực đối trọng, một hệ thống phanh khẩn cấp đối với sự tăng tốc của Vận hành, Điều độ, và Kinh doanh.

Quyết định X (Tăng công suất phục vụ khách hàng mới) → Áp lực Y (Yêu cầu lái xe tăng chuyến, OT kéo dài) → Rủi ro HSE Z (Lỗi con người do mệt mỏi, bỏ qua kiểm tra áp suất cuối cùng) → HSE buộc phải can thiệp (Phủ quyết hợp đồng nếu không bổ sung nhân sự/thiết bị an toàn tương ứng).

Chúng ta chỉ nhắc tới các lĩnh vực khác khi chúng tạo ra áp lực vượt ranh giới an toàn.

ÁP LỰC ĐIỀU ĐỘ VÀ RỦI RO LÁI XE

Khi Dispatch nhận đơn hàng khẩn cấp từ khách hàng lớn (ví dụ: nhà máy thép cần khí gấp, nếu dừng lò sẽ thiệt hại hàng tỷ đồng), áp lực OTIF tăng lên 10/10. Dispatcher (người điều độ) sẽ tìm cách ép chuyến, rút ngắn thời gian nghỉ của lái xe, hoặc yêu cầu lái xe dùng tuyến đường có rủi ro cao hơn (ví dụ: qua khu vực đông dân cư vào giờ cao điểm để tiết kiệm thời gian).

TẠI ĐÂY: Áp lực OTIF đã trở thành một mối nguy tiềm ẩn (Hazard).

Hệ thống HSE phải can thiệp: Kích hoạt chính sách Quản lý Mệt mỏi. Nếu lái xe đã vận hành quá 10 giờ, lệnh của Dispatch phải bị đình chỉ. Chi phí thiệt hại vì chậm giao hàng phải được so sánh với chi phí thảm họa nếu xe bị tai nạn trên tuyến đường rủi ro.

Chính sách của doanh nghiệp phải rõ ràng: Chi phí bồi thường hợp đồng do chậm giao hàng (Take-or-Pay penalties) luôn luôn rẻ hơn chi phí bồi thường thảm họa cộng với mất quyền vận hành (Operational License loss).

D) 6 TRỤC CHIẾN LƯỢC HSE BẮT BUỘC

D.1 HSE & QUYỀN DỪNG VẬN HÀNH (STOP WORK AUTHORITY)

Quyền dừng vận hành (SWA) là kim chỉ nam cho văn hóa an toàn cấp độ cao. Nó không phải là poster dán trên tường, mà là một quyền lực tài chính và pháp lý thật sự được trao cho tuyến đầu (Frontline).

Khi nào Ops có quyền nói “KHÔNG”:

• Thiết bị hư hỏng không thể khắc phục ngay tại chỗ: Phát hiện rò rỉ khí dù nhỏ (fugitive emission), van an toàn bị kẹt, hoặc hệ thống giám sát áp suất SCADA báo lỗi không ổn định.
• Điều kiện môi trường không an toàn: Bão lớn, sấm sét (rủi ro đánh lửa), tầm nhìn thấp, hoặc nhiệt độ quá cao làm tăng nguy cơ boil-off gas (BOG) vượt ngưỡng.
• Áp lực từ khách hàng: Khách hàng yêu cầu thao tác khác quy trình (ví dụ: nạp nhanh hơn mức cho phép, tự ý điều chỉnh van an toàn).
• Sức khỏe nhân sự: Lái xe hoặc kỹ thuật viên cảm thấy mệt mỏi, stress, hoặc bị ốm.

Stop Work Authority là quyền lực thật:

Để SWA hoạt động, nó phải được tích hợp vào KPI và quy trình ra quyết định. Nếu một người kích hoạt SWA và bị quản lý cấp trên gây áp lực để tiếp tục làm việc, hệ thống HSE đã thất bại.

Để đo lường: Chúng ta theo dõi Stop Work Activation Count. Một số lần kích hoạt SWA cao là dấu hiệu TỐT, chứng tỏ nhân viên tin tưởng vào hệ thống và chủ động quản lý rủi ro. Ngược lại, nếu số lần SWA bằng 0 trong một quý, đó là cảnh báo nguy hiểm: nhân viên đang sợ hãi báo cáo lỗi hoặc chịu đựng rủi ro.

D.2 HSE & FATIGUE / HUMAN ERROR (MỆT MỎI VÀ LỖI CON NGƯỜI)

Mối nguy lớn nhất trong vận hành CNG/LNG không phải là rò rỉ van, mà là tương tác của rò rỉ van với Lỗi Con Người (Human Error).

Mệt mỏi, đặc biệt trong ca đêm hoặc OT kéo dài do áp lực OTIF, làm giảm khả năng tập trung, phán đoán, và giảm tốc độ phản ứng. Trong quá trình kết nối/ngắt kết nối hose (dây mềm) dưới áp suất cao/nhiệt độ thấp, sai sót dù nhỏ (ví dụ: quên kiểm tra áp suất dư, không đóng van đúng thứ tự) có thể gây ra hiện tượng xả khí lạnh (cold burn) hoặc, tệ hơn, sự cố rò rỉ lớn.

Mối liên hệ giữa mệt mỏi và tai nạn LNG/CNG:

Các vụ tai nạn “nhỏ” (near-miss) liên quan đến frostbite, tràn/bắn LNG (spillage) thường xảy ra vào cuối ca đêm (3 AM – 6 AM) hoặc sau khi lái xe đã hoàn thành 3 chuyến liên tiếp không nghỉ đủ. Phân tích gốc (Root Cause Analysis – RCA) luôn chỉ ra: người thao tác bỏ qua 1-2 bước quan trọng trong checklist vì mệt mỏi vội vã.

Chỉ số cần theo dõi:

• Consecutive Night Shift Count: Số ca đêm liên tục mà một nhân viên đã làm. (Giới hạn cứng thường là 4).
• Total OT Hours per Week: Tổng số giờ làm thêm.
• Commute Time + Shift Duration: Tổng thời gian từ khi rời nhà đến khi kết thúc ca và về nhà.

Hệ thống điều độ hiện đại phải sử dụng dữ liệu này từ ERP (ghi nhận ca làm) và GPS (thời gian di chuyển) để tính toán Chỉ số Mệt mỏi (Fatigue Indicator) real-time. Nếu chỉ số này vượt ngưỡng, Dispatch phải tự động từ chối giao chuyến cho người đó.

D.3 HSE & KHÁCH HÀNG NGUY HIỂM (UNSAFE CUSTOMER DOCTRINE)

Trong kinh doanh CNG/LNG, khách hàng không chỉ mua khí, họ còn chia sẻ rủi ro với nhà cung cấp. Nếu hạ tầng của khách hàng kém, thao tác của họ sai, hoặc văn hóa an toàn của họ thấp, rủi ro thảm họa của nhà cung cấp sẽ tăng theo cấp số nhân.

Vì sao có khách bắt buộc phải EXIT, dù volume và giá tốt:

• Bypass Hệ thống An toàn: Khách hàng tự ý điều chỉnh hoặc tắt các thiết bị an toàn (PRV, ESD) để “tăng hiệu suất” hoặc “tăng lưu lượng”. Đây là hành vi không thể chấp nhận được vì nó phá hủy rào chắn kỹ thuật do nhà cung cấp thiết lập.
• Vi phạm Khu vực An toàn (Exclusion Zone): Cho phép nhân viên hút thuốc, hàn xì, hoặc mang các nguồn đánh lửa vào khu vực tiếp nhận khí (PRU/vaporizer).
• Thiếu Đào tạo Cơ bản: Nhân viên khách hàng không hiểu về cách xử lý sự cố rò rỉ hoặc quy trình giao nhận.

Điều kiện an toàn tối thiểu để tiếp tục phục vụ (MSS):

• Khu vực tiếp nhận phải có hàng rào bảo vệ, biển cảnh báo rõ ràng.
• Bắt buộc kiểm tra tiếp địa/liên kết trước khi kết nối hose (dây mềm).
• Khách hàng phải duy trì khoảng cách an toàn (separation distance) tối thiểu giữa trạm khí và các nguồn lửa/tòa nhà theo NFPA 59A hoặc tiêu chuẩn PCCC hiện hành tại Việt Nam.
• Khách hàng phải có tối thiểu 02 nhân viên được đào tạo bởi nhà cung cấp, sẵn sàng túc trực trong quá trình giao hàng.

Nếu khách hàng vi phạm MSS và không khắc phục trong 30 ngày, doanh nghiệp phải kích hoạt Chiến lược Rút lui (Exit Strategy). Mất 10-20% doanh thu ngắn hạn là cái giá phải trả để bảo vệ mạng lưới vận hành còn lại khỏi rủi ro thảm họa.

D.4 HSE & THIẾT BỊ / TÀI SẢN (ASSET INTEGRITY)

Trong bối cảnh áp lực kinh doanh, thường có sự nhầm lẫn tai hại: “Thiết bị còn chạy được” KHÔNG đồng nghĩa “còn an toàn”.

Một trailer CNG vẫn có thể chạy tuyến nếu van xả áp (relief valve) sắp đến hạn kiểm định. Một vaporizer LNG vẫn làm việc tốt dù cảm biến nhiệt độ đầu ra bị sai số 10 độ C. Về mặt Ops, chúng vẫn đang cung cấp Sm³ (mét khối tiêu chuẩn) cho khách hàng. Về mặt HSE, chúng đang tích lũy Rủi ro Tích lũy (Accumulated Risk).

Rủi ro tích lũy là gì?

Đó là sự hao mòn tiềm ẩn, lỗi nhỏ chưa được sửa, hoặc việc vượt quá chu kỳ bảo trì/kiểm định. Rủi ro này nằm im cho đến khi một biến cố nhỏ (ví dụ: áp suất đầu vào tăng đột biến) làm nó bùng phát thành sự cố.

Khi nào tài sản phải dừng khai thác vì rủi ro tích lũy:

• Overdue Inspection Rate (Tỷ lệ quá hạn kiểm định): Nếu hệ thống van an toàn, bình áp, hoặc đường ống mềm (hose) vượt quá ngày kiểm định định kỳ (thường là 6 tháng hoặc 1 năm) dù chỉ 1 ngày, nó phải bị loại khỏi hoạt động (quarantine).
• Sự cố Lặp lại (Recurring Failure): Nếu một van cụ thể trên trailer báo rò rỉ nhỏ 3 lần trong 6 tháng, nó phải được đưa vào kiểm tra toàn diện, không chỉ sửa lỗi tạm thời.
• Giảm Hiệu suất Thiết bị An toàn: Ví dụ, hệ thống ESD mất nhiều hơn 0.5 giây để phản ứng so với thông số thiết kế. Mặc dù vẫn “hoạt động”, nhưng nó không còn đảm bảo mức độ an toàn (Safety Integrity Level – SIL) yêu cầu.

Quyết định tài chính: Chi phí thay thế hose LNG 250 triệu đồng so với chi phí tổn thất toàn bộ trailer (5 tỷ đồng) và chi phí dọn dẹp môi trường (vô số). An toàn thiết bị là Bảo hiểm Vật chất chủ động.

D.5 HSE & QUẢN LÝ THAY ĐỔI (MANAGEMENT OF CHANGE – MOC)

MOC là rào chắn chống lại sự Tự Mãn Vận Hành (Operational Complacency).

Những thay đổi “rất nhỏ” nhưng gây tai nạn lớn:

Trong môi trường khí áp suất cao/nhiệt độ thấp, thay đổi nhỏ nhất trong quy trình vận hành đã được phê duyệt có thể phá vỡ sự cân bằng an toàn.

• Đổi Áp Suất: Dispatch yêu cầu tăng áp nạp thêm 10 bar (để tăng mật độ khí nạp và giảm chuyến) mà không qua MOC. Điều này có thể đẩy bình chứa (cylinder) gần hơn đến giới hạn chịu tải.
• Đổi Người Thao Tác: Một kỹ thuật viên mới (chưa đủ kinh nghiệm) được điều động thay thế kỹ thuật viên cũ trong việc giao nhận tại một trạm phức tạp. MOC phải đánh giá rủi ro nhân sự và năng lực.
• Đổi Lịch/Tuyến: Đổi lịch giao hàng từ ban ngày sang ban đêm, yêu cầu lái xe dùng tuyến đường mới chưa từng được HAZID (Hazard Identification) chính thức.

MOC bị bypass trong thực tế như thế nào:

• Lý do khẩn cấp: “Phải làm ngay vì khách sắp hết khí.”
• Coi nhẹ thay đổi: “Chỉ là thay một cái van, không cần MOC đâu.”
• Áp lực Lãnh đạo: Quản lý cấp cao phê duyệt miệng qua điện thoại mà không làm giấy tờ.

Qắt chắn: MOC không phải là thủ tục. Nó là một cuộc họp đánh giá rủi ro, phân tích khả năng thất bại (failure analysis), và xác định biện pháp kiểm soát mới (new safeguards) trước khi thực hiện thay đổi. Nếu một MOC không diễn ra, hành động đó phải bị coi là một hành vi vi phạm an toàn nghiêm trọng.

D.6 HSE & CHI PHÍ ẨN (HIDDEN COSTS OF FAILURE)

HSE luôn luôn rẻ hơn tai nạn. Câu này đúng, nhưng phải được lượng hóa bằng con số tài chính cụ thể.

Tai nạn không chỉ là injury (thương tật). Nó là sự hủy hoại toàn diện giá trị doanh nghiệp:

• Downtime Vận hành: Sau một sự cố nghiêm trọng, toàn bộ đội xe, trạm nạp, hoặc thậm chí toàn bộ mạng lưới vận hành có thể bị đình chỉ bởi cơ quan chức năng (ví dụ: Cục Đăng kiểm, PCCC) để phục vụ điều tra. Downtime này có thể kéo dài hàng tuần hoặc hàng tháng.
• Mất Quyền Vận Hành (Loss of Operating License/Social License): Sự cố thảm họa làm mất niềm tin của cộng đồng địa phương (mất Social License), dẫn đến sự phản đối gay gắt khi mở rộng hoặc xin phép hoạt động. Chính quyền địa phương có thể hạn chế tuyến đường vận chuyển hoặc giờ hoạt động.
• Tăng Chi phí Bảo hiểm: Sau sự cố, phí bảo hiểm trách nhiệm dân sự và bảo hiểm tài sản tăng vọt, hoặc tệ hơn, bị từ chối tái tục hợp đồng bảo hiểm rủi ro cao.
• Giá trị Thương hiệu và Cổ phiếu: Các nhà đầu tư (đặc biệt là các quỹ ESG) sẽ bán tháo cổ phiếu hoặc từ chối đầu tư vào công ty có lịch sử an toàn kém.

Chi phí ẩn này thường lớn gấp 10-50 lần chi phí trực tiếp (bồi thường y tế, sửa chữa thiết bị). Việc đầu tư 1 tỷ đồng vào hệ thống an toàn điện tử (Digital Twin, SCADA mở rộng) hoặc chương trình quản lý mệt mỏi có thể giúp tránh được thảm họa trị giá 100 tỷ đồng.

E) CASE STUDY HSE – PHẢI LÀ CASE “AN TOÀN THẬT”

CASE 1: Áp lực OTIF và Near-Miss tại Trạm LNG Khách Hàng Thép

Bối cảnh:

• Khách hàng: Nhà máy thép lớn tại khu vực phía Nam, tiêu thụ 20,000 Sm³/ngày.
• Tuyển: Vận hành 24/7, sử dụng 4 trailer LNG/ngày.
• Thách thức: Nhà máy thép đang trong chiến dịch tối ưu hóa lò, không được phép dừng khí. Điều độ (Dispatcher) chịu áp lực nặng nề phải đảm bảo OTIF 100%, dẫn đến thời gian quay vòng (Turnaround Time – TAT) tại trạm khách hàng bị rút ngắn từ 120 phút xuống còn 90 phút.
• Số ca vận hành: Lái xe A đã làm ca đêm thứ 5 liên tục (thường là 4 ca liên tục thì phải nghỉ luân phiên).

Tình huống Cận Sự cố (Near-Miss):

Khoảng 4:30 sáng, Lái xe A thực hiện quy trình ngắt kết nối hose (dây mềm) sau khi bơm hoàn tất. Do mệt mỏi và vội vã (áp lực TAT), Lái xe A đã bỏ qua bước kiểm tra áp suất dư (Residual Pressure Check) trong đường ống mềm trước khi mở van thông hơi (Vent Valve).

Hệ quả:

Một lượng nhỏ LNG bị mắc kẹt trong hose, khi van thông hơi được mở, LNG lập tức hóa hơi thành khí lạnh (cold vapor) và phun ra ngoài, gây hiện tượng băng giá mạnh trên van và khu vực thao tác. Lái xe A may mắn tránh được chấn thương nghiêm trọng (chỉ bị bỏng lạnh cấp độ 1 nhẹ ở ngón tay do phản ứng chậm).

Chẩn đoán Nguyên nhân Gốc (Root Cause Analysis – RCA):

• Nguyên nhân trực tiếp: Sai sót trong thao tác (Human Error) – Bỏ qua bước kiểm tra áp suất dư.
• Nguyên nhân sâu xa (Systemic Root Cause):
  1. Chính sách Mệt mỏi thất bại: Cho phép lái xe làm ca đêm thứ 5 liên tục, vượt quá giới hạn an toàn tâm lý.
  2. KPI Điều độ xung đột: KPI OTIF tuyệt đối tạo ra áp lực thời gian (Time Pressure) không cần thiết, khiến lái xe phải vội vàng, đặc biệt vào giờ cơ thể mệt mỏi nhất (3 AM – 6 AM).
  3. Thiếu Rào chắn Kỹ thuật (Engineering Safeguard): Quy trình kiểm tra áp suất dư chỉ là thủ tục thủ công (quan sát đồng hồ áp suất), chưa được tự động hóa (ví dụ: cảm biến áp suất khóa liên động với van thông hơi).

Giải pháp Triển khai (4–12 tuần):

• Ngay lập tức (Tuần 1): Đình chỉ tạm thời Lái xe A (có lương) và thiết lập lại giới hạn ca đêm cứng nhắc (3 ca liên tục tối đa). Áp dụng SWA bắt buộc cho thời gian nghỉ.
• Thay đổi Hệ thống KPI (Tuần 2–4): Rework KPI Dispatch. Loại bỏ chỉ số TAT tuyệt đối. Thay bằng chỉ số OTIF an toàn (Safe OTIF) và đưa Unsafe Act Frequency (tần suất hành động không an toàn) vào KPI của Dispatcher.
• Cải tiến Thiết bị (Tuần 4–12): Thiết kế lại đầu nối hose tại trạm khách hàng. Lắp đặt cảm biến áp suất nhỏ (P-sensor) khóa liên động (Interlock) với van thông hơi (Vent Valve). Van thông hơi chỉ mở được khi áp suất dư bằng 0 (Zero Pressure). Dữ liệu này được ghi vào SCADA và GPS theo thời gian thực (real-time CoV – Conditions of Variance).

Kết quả Định lượng (Sau 12 tuần):

• OTIF (Tổng thể): Giảm nhẹ từ 99.5% xuống 98.8% (do có thêm thời gian nghỉ).
• Near-miss frequency (trạm Thép): Giảm từ 0.5 lần/tháng xuống 0.0 lần/tháng.
• Downtime (Trung bình tại trạm khách hàng): Tăng từ 90 phút lên 105 phút (do driver tuân thủ đủ quy trình).
• Stop Work Activation Count: Tăng 200% (cho thấy lái xe bắt đầu tin tưởng SWA).
• Chi phí Điện/Sm³ (nạp): Tăng nhẹ 0.5% (do thời gian nạp kéo dài).
• Tỷ lệ sự cố liên quan đến thao tác (Operational Incident Rate): Giảm 40%.
• Biên gộp (EBITDA/m³): Ổn định, không giảm đáng kể vì giảm chi phí ẩn (rủi ro bảo hiểm).

CASE 2: Quyết định Rút lui vì Văn hóa An toàn Khách hàng

Bối cảnh:

• Khách hàng: Nhà máy vật liệu xây dựng (VLXD), tiêu thụ ổn định 15,000 Sm³/ngày, hợp đồng 3 năm còn 1.5 năm.
• Ưu điểm: Khách hàng trả giá cao hơn 3% so với thị trường (Cost per Sm³ cao hơn).
• Vấn đề: Văn hóa an toàn cực kỳ kém. Nhân viên khách hàng liên tục sử dụng điện thoại di động trong khu vực cấm lửa, tự ý dùng tua vít điều chỉnh các cảm biến áp suất trên PRU (Pressure Reduction Unit) của nhà cung cấp, và từ chối tham gia các buổi huấn luyện an toàn định kỳ.
• Rủi ro: Nhà cung cấp đã gửi 03 Thư cảnh báo chính thức về vi phạm PCCC và vận hành, nhưng khách hàng phớt lờ.

Chẩn đoán Rủi ro Hệ thống:

Rủi ro tại trạm VLXD đã được tính vào Chỉ số Rủi ro Khách Hàng (Customer Risk Index) ở mức 8/10 (Cực kỳ Cao). Nếu một sự cố xảy ra tại đây, trách nhiệm pháp lý sẽ rơi vào nhà cung cấp vì đã cố ý tiếp tục phục vụ dù biết rủi ro cao.

Quyết định Dừng/Từ chối:

Sau cuộc họp căng thẳng với CEO và CFO, bộ phận HSE đưa ra cảnh báo: Rủi ro thảm họa tiềm ẩn tại trạm này (ví dụ: một vụ nổ do can thiệp áp suất) sẽ làm mất quyền khai thác toàn bộ đội xe trong 6 tháng, chi phí pháp lý ước tính tối thiểu 150 tỷ đồng.

Quyết định chiến lược: Kích hoạt điều khoản chấm dứt hợp đồng do không tuân thủ Tiêu chuẩn An toàn Tối thiểu (MSS).

Tác động Tài chính (Quyết định đánh đổi):

• Doanh thu bị mất ngắn hạn: 4.5 tỷ VND/tháng (mất 18% tổng volume mạng lưới).
• Chi phí xử lý tranh chấp: 300 triệu VND (chi phí pháp lý).
• Rủi ro Bảo hiểm (Premium): Giảm 15% phí bảo hiểm trách nhiệm dân sự cho toàn bộ mạng lưới vận hành trong năm tiếp theo.
• Tỷ lệ Rủi ro Thảm họa (Catastrophic Risk Exposure): Giảm đáng kể, cho phép công ty tập trung phục vụ các khách hàng tuân thủ (Risk Score thấp).

Kết quả định lượng:

• Volume/Tháng: Giảm 18%.
• DSO (Days Sales Outstanding): Cải thiện (khách hàng cũ này thường thanh toán chậm).
• Tỷ lệ Sự cố Khách hàng: Giảm 100% tại trạm đó.
• An toàn Vốn (Capital Safety): Đảm bảo.
• Năng suất nạp/giờ: Ổn định (Trailer được điều động sang tuyến an toàn hơn).
• Cost-to-Serve (CTS): Giảm (không còn chi phí giám sát/khắc phục sự cố liên tục).

F) KPI HSE – ĐO ĐÚNG ĐỂ DỪNG ĐÚNG

KPI An toàn trong CNG/LNG không chỉ đo lường sự việc đã xảy ra (Lagging Indicators), mà phải đo lường các hành động ngăn chặn (Leading Indicators).

chỉ số	ý nghĩa vận hành	nguồn dữ liệu	chiến lược dừng
Near-miss frequency	Tần suất báo cáo lỗi suýt xảy ra. Cao = Văn hóa tốt.	Sổ ca điện tử/ERP	Nếu quá thấp: Dừng điều tra văn hóa đổ lỗi.
Unsafe act / unsafe condition ratio	Tỷ lệ hành động/điều kiện không an toàn được ghi nhận so với tổng số quan sát.	Hệ thống Quan sát Hành vi An toàn (BBS)	Nếu Tỷ lệ báo cáo giảm: Dừng ngay chương trình quan sát và đào tạo lại.
Fatigue indicator (OT, ca đêm liên tục)	Chỉ số rủi ro mệt mỏi của từng cá nhân theo thời gian ca.	ERP + GPS	Vượt ngưỡng 4.5/5: Lệnh Điều độ bị phủ quyết (Veto).
Equipment overdue inspection rate	Tỷ lệ thiết bị an toàn quá hạn kiểm định.	ERP/CMMS (Hệ thống Quản lý Bảo trì)	Vượt 0%: Tự động Quán triệt (quarantine) thiết bị.
Permit-to-work violation rate	Tỷ lệ các công việc yêu cầu PTW bị thực hiện mà không có giấy phép.	Sổ ca/Hệ thống PTW điện tử	Vượt 0%: Đình chỉ người giám sát (Supervisor).
Stop Work activation count	Số lần nhân viên tuyến đầu kích hoạt SWA.	Hệ thống Incident Management	Nếu tăng: Tín hiệu TỐT. Nếu giảm: Tín hiệu NGUY HIỂM (sợ báo cáo).
MOC Bypass Count	Số lần quy trình thay đổi được thực hiện mà không qua MOC.	Audit Logs / Quan sát hiện trường	Vượt 0%: Đình chỉ Vận hành liên quan.
Mean Time Between Failure of Safety System (MTBF)	Độ tin cậy của các hệ thống an toàn (ESD, PRV).	SCADA/CMMS	Nếu giảm: Yêu cầu nâng cấp/thay thế thiết bị an toàn.
Time Since Last Lost Time Injury (LTI)	Thời gian kể từ sự cố gây nghỉ việc gần nhất. (Chỉ số theo dõi).	Báo cáo HSE	Nếu quá dài (ví dụ 500 ngày): Nguy cơ tự mãn cao.

KPI nào tăng là tín hiệu TỐT:

• Stop Work Activation Count: Cao chứng tỏ nhân viên có quyền lực thật và sử dụng quyền lực đó.
• Near-Miss Frequency: Cao chứng tỏ nhân viên không sợ hãi khi báo cáo lỗi, cho phép hệ thống học hỏi và sửa chữa các lỗ hổng trước khi thảm họa xảy ra.
• Unsafe Condition Report: Cao chứng tỏ nhân viên chủ động tìm kiếm và loại bỏ mối nguy.

KPI nào giảm là cảnh báo NGUY HIỂM:

• Near-Miss Frequency giảm: Điều này thường không có nghĩa là an toàn hơn, mà có nghĩa là nhân viên đang che giấu lỗi do sợ bị phạt hoặc sợ làm chậm tiến độ.
• Stop Work Activation Count bằng 0: Nguy cơ hệ thống bị tê liệt trước áp lực tài chính/vận hành.
• PTW Violation Rate bằng 0 nhưng MOC Bypass Count tăng: Quy trình PTW đang bị lách luật bằng các thay đổi “nhỏ” không được ghi nhận.

G) TÍN HIỆU SỚM HSE – RIÊNG, SẮC, KHÔNG CHUNG

Tín hiệu sớm (Leading Indicators) là những dấu hiệu tinh vi của sự căng thẳng hệ thống, thường bị bỏ qua vì chúng không liên quan trực tiếp đến số liệu tài chính.

• 1. Dispatcher quá tải: Dispatcher liên tục phải xử lý các thay đổi tuyến/lịch giao hàng khẩn cấp (thay vì lập kế hoạch chủ động).
• 2. Lái xe ngại báo lỗi: Lái xe phát hiện một lỗi nhỏ (ví dụ: van rò rỉ nhẹ) nhưng tự ý khắc phục mà không báo cáo chính thức vì sợ bị giữ xe lại trạm nạp.
• 3. Sổ ca “bình thường” quá đều: Mọi ca làm đều ghi nhận “Vận hành bình thường, không có sự cố”, mặc dù thực tế là đang có áp lực cao và thời tiết xấu. Đây là dấu hiệu của việc “copy-paste” sổ ca.
• 4. Kiểm tra hình thức: Các cuộc kiểm tra an toàn (Pre-Check) được thực hiện quá nhanh (ví dụ: 20 điểm kiểm tra trong vòng 1 phút). Dữ liệu GPS/SCADA có thể chứng minh điều này (thời gian check-in/check-out quá ngắn).
• 5. Giao ca vội, không bàn giao rủi ro: Nhân viên ca trước muốn về sớm, bàn giao checklist an toàn trong vòng 30 giây, không trao đổi về các “điểm nóng” hoặc bất thường của thiết bị.
• 6. Tăng Tần suất Giao hàng Khẩn cấp (Urgent Delivery): Dispatcher phải xử lý quá nhiều đơn hàng “chữa cháy” thay vì đơn hàng theo kế hoạch.
• 7. Hose (dây mềm) bị hư hỏng nhanh hơn MTBF dự kiến: Thường xuyên bị mòn hoặc rách do lái xe ném/kéo mạnh vì vội vàng.
• 8. Khách hàng liên tục gọi trực tiếp lái xe thay vì Dispatch: Chứng tỏ quy trình điều độ chính thức đang bị bypass.
• 9. Thiết bị bảo hộ cá nhân (PPE) bị lỗi thời hoặc không đầy đủ: Dấu hiệu cắt giảm chi phí ở mức độ cơ bản.
• 10. Số lượng MOC (Quản lý thay đổi) được phê duyệt nhanh kỷ lục (dưới 1 giờ): Dấu hiệu MOC đang bị coi là thủ tục hành chính.
• 11. Tỷ lệ đóng/mở van vượt quá ngưỡng thời gian: SCADA ghi nhận thời gian lái xe thao tác van lâu hơn bình thường (dấu hiệu mệt mỏi/thiếu tập trung) hoặc quá nhanh (dấu hiệu vội vàng).
• 12. Nhiệt độ bảo quản (trong trailer LNG) thường xuyên gần giới hạn: Lái xe không thực hiện đủ các thao tác venting/recirculation để giữ nhiệt độ ổn định, gây tăng rủi ro BOG.
• 13. Rào chắn vật lý tại trạm khách hàng bị hư hỏng (Ví dụ: hàng rào bị xô đổ): Dấu hiệu môi trường vận hành không được kiểm soát.
• 14. Lỗi nhập liệu ERP: Nhân viên Ops nhập sai hoặc thiếu dữ liệu về thời gian bảo trì/sửa chữa (chứng tỏ áp lực hành chính).
• 15. Không có dữ liệu về P-sensor/T-sensor (cảm biến áp suất/nhiệt độ) trong một chuyến đi: Bằng chứng thiết bị an toàn đã bị ngắt kết nối hoặc không hoạt động.

H) POLICY SNIPPET RIÊNG CHO HSE – FATIGUE MANAGEMENT POLICY

Chính sách Quản lý Mệt mỏi và Quyền Dừng Việc (Trích đoạn)

1. Định nghĩa Fatigue Indicator (FI): FI là chỉ số tổng hợp rủi ro mệt mỏi, được tính dựa trên (1) Số giờ làm việc liên tục, (2) Số ca đêm liên tiếp, (3) Tổng thời gian OT trong 7 ngày gần nhất, và (4) Thời gian di chuyển. Ngưỡng An toàn Tối đa là FI = 4.5.
2. Quyền Từ chối Ca làm: Bất kỳ nhân viên vận hành trực tiếp nào có FI > 4.5 hoặc tự nhận thấy mệt mỏi có quyền từ chối ca làm hoặc chuyến giao hàng tiếp theo (Right of Refusal) mà không cần sự cho phép của Dispatcher hoặc Quản lý.
3. Xử lý Lệnh Từ chối: Khi Quyền Từ chối Ca làm được kích hoạt, Dispatcher KHÔNG được phép tìm cách thuyết phục hoặc gây áp lực cho nhân viên đó. Dispatcher phải ngay lập tức chuyển giao ca làm cho nhân sự dự phòng (Safety Buffer) và báo cáo sự việc lên Quản lý HSE/Ops trong vòng 30 phút.
4. Trách nhiệm của Lãnh đạo: Lãnh đạo cấp cao (COO) phải định kỳ kiểm tra nhật ký FI và đảm bảo rằng nhân viên dự phòng luôn sẵn sàng để tránh áp lực lên tuyến đầu. Nếu nhân viên dự phòng không đủ, hệ thống phải tự động điều chỉnh Kế hoạch Bán hàng (Sales Allocation Plan) để giảm tải, chứ không phải ép tuyến đầu.

I) RANH GIỚI CUỐI – SAFETY BOUNDARY

HSE là ranh giới không thương lượng. Trong ngành khí áp suất cao và nhiệt độ cực thấp, chúng ta không được phép thỏa hiệp giữa năng suất và sự sống.

Không OTIF nào đổi bằng tai nạn. Một lần chậm giao hàng có thể làm khách hàng khó chịu, nhưng một vụ nổ có thể làm mất toàn bộ khách hàng và mạng lưới vận hành của công ty.

Ít nhất 3 lần trong bài phải thể hiện rõ:

• 1. Ops có quyền veto vì an toàn. Nếu Dispatch ra lệnh điều xe A đi tuyến X, nhưng lái xe phát hiện hệ thống tiếp địa (grounding) của xe A đang có vấn đề nhỏ, lái xe có quyền VETO lệnh đó và yêu cầu điều động xe B, bất chấp sự chậm trễ. Đây là quyền lực tuyệt đối của tuyến đầu.
• 2. CEO/CFO không được ép vượt ranh giới này. Khi đối mặt với việc mất một hợp đồng lớn (như Case Study 2), CEO/CFO có thể lo lắng về EBITDA quý, nhưng họ phải chấp nhận mất doanh thu ngắn hạn để tránh rủi ro phá sản toàn bộ. Họ phải là người ủng hộ cuối cùng cho quyết định rút lui vì an toàn.
• 3. Không hợp đồng nào đứng trên quyền dừng việc. Mọi hợp đồng thương mại phải có điều khoản Force Majeure (bất khả kháng) bao gồm các sự kiện yêu cầu dừng việc vì lý do an toàn. Việc tuân thủ quy trình an toàn là điều kiện tiên quyết của hợp đồng, và nếu khách hàng vi phạm, nhà cung cấp có quyền đình chỉ dịch vụ.

J) TRIỂN KHAI CÔNG NGHỆ SỐ TRONG QUẢN TRỊ RỦI RO ĐỘNG

Các công ty khí hàng đầu thế giới đã chuyển từ việc chỉ dựa vào checklist giấy sang sử dụng công nghệ số để xây dựng các rào chắn an toàn kỹ thuật số (Digital Safety Barriers).

Digital Twin đơn giản cho mạng lưới trailer + trạm:

Xây dựng mô hình số hóa (Digital Twin) đơn giản của mạng lưới vận hành. Mỗi trailer và mỗi trạm khách hàng được cấp một chỉ số rủi ro động (Dynamic Risk Score).

• Ví dụ: Nếu trailer T01 đang chạy tuyến đường mới (dữ liệu GPS) và chở lái xe A (đang ở ca đêm thứ 4 – dữ liệu ERP), hệ thống sẽ tính toán lại Risk Score T01 tăng từ 2.0 lên 4.5. Nếu Risk Score này vượt ngưỡng 4.0, Dispatch sẽ nhận cảnh báo đỏ và được yêu cầu kích hoạt SWA từ xa (ví dụ: giảm tốc độ, không được nạp quá 80% công suất).

AI dự báo boil-off theo thời tiết và lộ trình:

Trong LNG, boil-off gas (BOG) là một vấn đề kép: mất mát sản phẩm và rủi ro an toàn (tăng áp suất trong bình chứa).

• Ứng dụng: AI sử dụng dữ liệu thời tiết (nhiệt độ môi trường, bức xạ mặt trời) kết hợp với lộ trình vận chuyển (thời gian dừng, độ dốc) để dự báo chính xác tốc độ BOG. Nếu dự báo cho thấy BOG sẽ vượt quá ngưỡng an toàn trước khi đến trạm khách hàng, AI sẽ cảnh báo lái xe cần thực hiện thao tác venting an toàn hoặc phải thay đổi tuyến đường.

Tự động hóa tính CoV real-time qua GPSS+SCADA+ERP:

Ghi nhận Conditions of Variance (CoV) – các điều kiện vận hành khác biệt so với kế hoạch.

• Ví dụ: GPS xác nhận lái xe đã dừng 10 phút ngoài khu vực nạp/xả. SCADA xác nhận áp suất nạp cao hơn 5 bar so với kế hoạch. ERP xác nhận thiếu giấy phép MOC cho thay đổi áp suất này. Hệ thống tự động tổng hợp 3 dữ liệu này, xác định đây là một CoV mức độ nghiêm trọng, và ngay lập tức gửi cảnh báo đến HSE/COO.

Việc tích hợp này biến HSE từ một bộ phận kiểm tra tuân thủ thành một hệ thống trí tuệ nhân tạo dự đoán rủi ro (Predictive Risk Intelligence System), cho phép can thiệp trước khi lỗi con người chuyển thành thảm họa.

KẾT LUẬN VỀ ĐÁNH GIÁ RỦI RO THEO CA VẬN HÀNH

Đánh giá rủi ro theo ca vận hành (Shift-Based Risk Assessment) là triết lý quản trị thừa nhận rằng mọi nguồn lực – con người, thiết bị, và quy trình – đều có giới hạn chịu đựng. Sự căng thẳng kéo dài từ Điều độ, áp lực từ khách hàng, và sự mệt mỏi tích lũy của nhân viên đều làm mỏng đi lớp bảo vệ an toàn.

Doanh nghiệp CNG/LNG phải xây dựng văn hóa nơi việc nói “KHÔNG” với rủi ro được coi là hành động cao nhất của lòng trung thành và trách nhiệm, không phải là sự cản trở kinh doanh. HSE là Chiến lược, không phải Chi phí.

ACTIONABLE TAKEAWAYS (TỐI THIỂU 20 GẠCH ĐẦU DÒNG)

CEO / COO (Lãnh đạo Chiến lược và Vận hành)

• Đặt HSE là một mục trong KPI của Quản lý cấp cao (không chỉ là KPI của bộ phận HSE).
• Trích lập Quỹ Dự phòng Thảm họa (Catastrophic Risk Fund) riêng biệt, không thể cắt giảm cho các mục tiêu lợi nhuận ngắn hạn.
• Định kỳ (tối thiểu hàng quý) tổ chức họp Lãnh đạo về “Near-Miss Review” để tìm hiểu nguyên nhân gốc rễ (Root Cause) của lỗi hệ thống, không chỉ lỗi cá nhân.
• Đảm bảo rằng Stop Work Authority (SWA) là quyền lực thật: Bồi thường 100% lương/thưởng cho nhân viên khi họ kích hoạt SWA, ngay cả khi đó là cảnh báo sai. (Sai lầm thường gặp: Chỉ ủng hộ SWA trên giấy tờ).
• Yêu cầu xây dựng mô hình định lượng chi phí ẩn của tai nạn (Hidden Cost Model) để chứng minh ROI của các khoản đầu tư an toàn.

CFO (Tài chính và Đầu tư)

• Xem xét chi phí đào tạo và thiết bị an toàn là Chi phí Vốn (CAPEX) chiến lược, không phải Chi phí Vận hành (OPEX) có thể cắt giảm.
• Yêu cầu bộ phận Bán hàng tính Chỉ số Rủi ro Khách hàng (Customer Risk Index) vào mô hình định giá (Pricing Model).
• Đảm bảo chi phí Bảo hiểm Thảm họa (Catastrophic Insurance Premium) luôn được tính đầy đủ vào Cost-to-Serve (CTS) của mỗi Sm³.
• Từ chối các hợp đồng tăng trưởng volume/doanh thu nếu nó yêu cầu phá vỡ giới hạn an toàn về Tỷ lệ Sử dụng Thiết bị (Capacity Utilization Rate). (Điều kiện: Đã chạm ngưỡng Fatigue Indicator/Equipment Overdue Inspection Rate).

Sales / Commercial (Kinh doanh)

• Đảm bảo Tiêu chuẩn An toàn Tối thiểu (MSS) của khách hàng được ghi rõ trong hợp đồng thương mại và là điều kiện để tiếp tục cung cấp dịch vụ.
• Tránh hứa hẹn các cam kết OTIF (ví dụ: giao hàng trong 4 giờ) nếu nó yêu cầu Dispatch và Ops phải vượt qua giới hạn Mệt mỏi (Fatigue Limits). (Sai lầm thường gặp: Đẩy áp lực OTIF xuống tuyến đầu).
• Phải sẵn sàng Exit (Rút lui) khỏi khách hàng có hồ sơ an toàn kém, bất kể volume.
• Chuyển đổi văn hóa từ “Bán hàng bằng mọi giá” sang “Bán hàng trong ranh giới an toàn.”

Ops / Dispatch (Vận hành và Điều độ)

• Tích hợp hệ thống tính toán Chỉ số Mệt mỏi (Fatigue Indicator – FI) vào quy trình Điều độ. Tự động Veto lệnh giao chuyến nếu FI vượt ngưỡng.
• Áp dụng Quy tắc 4 mắt (Four-Eye Rule) cho mọi quyết định MOC liên quan đến áp suất/nhiệt độ.
• Buộc phải có thời gian đệm (Safety Buffer Time) 30 phút giữa các chuyến giao hàng để đảm bảo Lái xe có đủ thời gian kiểm tra an toàn và nghỉ ngơi tối thiểu.
• Sử dụng dữ liệu SCADA/GPS để kiểm tra tính trung thực của các checklist an toàn (ví dụ: thời gian thực hiện thao tác so với thời gian tiêu chuẩn).
• Không được phép vận hành thiết bị quá hạn kiểm định dù chỉ 1 ngày.

HSE (An toàn, Sức khỏe, Môi trường)

• Loại bỏ văn hóa đổ lỗi (Blame Culture) khỏi quy trình điều tra sự cố. Tập trung vào tìm kiếm lỗi hệ thống và rào chắn an toàn bị lỗi (Systemic Failure).
• Tích cực thúc đẩy việc báo cáo Cận Sự cố (Near-miss) bằng cách công khai khen thưởng những người báo cáo lỗi.
• Đào tạo tất cả nhân viên vận hành về cách sử dụng MOC và quyền phủ quyết (Veto Power).
• Thực hiện đánh giá HAZOP/LOPA định kỳ không chỉ cho thiết bị mới mà còn cho thay đổi trong quy trình vận hành (ví dụ: thay đổi nhà cung cấp hose/van).
• Đảm bảo mọi thay đổi về phần mềm (ví dụ: ERP, SCADA) cũng phải trải qua quy trình MOC tương tự như thay đổi phần cứng. (Điều kiện: Tác động đến dữ liệu an toàn hoặc quy trình vận hành).