Kinh doanh CNG/LNG – HSE / AN TOÀN / RỦI RO (CNG – LNG): HIRA trong doanh nghiệp khí. (0030)

Kinh doanh khí không phải là logistics đơn thuần, mà là vận hành rủi ro thảm họa (catastrophic risk) theo đơn đặt hàng. HIRA (Nhận diện mối nguy và Đánh giá rủi ro) trong lĩnh vực này không phải là bài tập trên giấy, mà là bản hiến pháp sống còn (Safety Constitution) chi phối mọi quyết định từ CEO đến người lái xe. Nếu HIRA dừng lại ở việc tuân thủ, doanh nghiệp khí chỉ còn là vấn đề thời gian.

────────────────────────────────────

A) MỤC LỤC CHIẾN LƯỢC HSE – SAFETY BOUNDARY DOCTRINE

HSE là ranh giới sống còn (Safety Boundary) không thể thỏa hiệp. Mục lục này đóng vai trò là Hiến chương An toàn (Safety Charter), thiết lập quyền lực tối thượng của an toàn trong mọi hoạt động kinh doanh CNG/LNG. Mỗi mục là một điều kiện để vận hành (License to Operate) và một quyền được dừng (Stop Work Authority).

────────────────────────────────────

B) ĐỊNH VỊ HSE – SAFETY IS A STRATEGIC BOUNDARY

Trong ngành CNG/LNG, việc quản lý an toàn không đơn thuần là tuân thủ PCCC hay ISO. Chúng ta đang xử lý một môi chất nguy hiểm, dễ cháy nổ, được lưu trữ dưới áp suất cực cao (CNG) hoặc nhiệt độ cực thấp (LNG), di chuyển qua các tuyến đường đông đúc và được chuyển giao trong môi trường công nghiệp phức tạp của khách hàng.

HSE trong CNG/LNG LÀ:

1. Một hệ thống quản trị rủi ro thảm họa (Catastrophic Risk Management System).
   Nhiệm vụ chính không phải là ngăn ngừa chấn thương nhỏ (như trượt chân, va đập) mà là ngăn ngừa các sự kiện cấp độ thảm họa (Major Incident) như nổ bồn chứa, cháy lan, hay rò rỉ LNG diện rộng gây ngạt thở hoặc hỏa hoạn lớn. HIRA phải tập trung vào các kịch bản Mức độ Hậu quả (Consequence Level) cao nhất.
2. Một ranh giới không thể thương lượng (Non-Negotiable Boundary) cho tăng trưởng và doanh thu.
   Mọi quyết định mở rộng thị trường, ký hợp đồng lớn, hay tối ưu hóa chi phí vận hành đều phải được kiểm duyệt qua lằn ranh an toàn. Ranh giới này hoạt động như một "cầu chì" chiến lược. Khi áp lực tăng trưởng thương mại (Sales) hoặc tối ưu hóa hoạt động (Ops) đẩy hệ thống đến gần điểm gãy, ranh giới HSE phải nổ ra để bảo vệ tài sản và tính mạng.
3. Một cơ chế Veto Chiến lược (Strategic Veto Mechanism) trong các quyết định có áp lực OTIF, Sales, dòng tiền.
   Giám đốc vận hành (COO) và Trưởng phòng An toàn (HSE Head) phải có quyền lực ngang bằng Giám đốc Kinh doanh (CSO) khi nói đến việc chấp nhận hay từ chối một hoạt động có rủi ro.

HSE KHÔNG PHẢI:

1. ESG: Mặc dù ESG (Môi trường, Xã hội, Quản trị) bao gồm an toàn, nhưng ESG là một khung chiến lược rộng lớn hơn liên quan đến tính bền vững và trách nhiệm xã hội. HSE trong khí là tập trung vào nguy cơ thảm họa tức thời.
2. Ops: Vận hành (Ops) chịu trách nhiệm thực thi. HSE chịu trách nhiệm định nghĩa ranh giới an toàn cho sự thực thi đó. Khi Ops gặp áp lực OTIF, HSE phải là người buộc Ops phải dừng.
3. Bộ quy trình huấn luyện an toàn cơ bản: Đây chỉ là phần nhỏ của HSE. HSE chiến lược là về cấu trúc quản trị, ra quyết định và phân bổ nguồn lực để quản lý rủi ro.

Điều đau đớn và thật nhất: Doanh nghiệp CNG/LNG không chết vì thiếu quy trình HSE, mà chết vì bỏ qua HSE trong những quyết định "rất logic" nhằm giải quyết một vấn đề thương mại hoặc vận hành tức thời.

Ví dụ: Tài xế OT quá giờ vì áp lực OTIF, quyết định chạy tắt qua đường cấm xe tải để kịp giờ giao, hoặc quyết định nạp khí nhanh hơn mức an toàn cho phép để rút ngắn thời gian quay vòng xe (turnaround time). Những quyết định này luôn được biện minh là “rất hợp lý” trong bối cảnh áp lực kinh doanh, nhưng chúng lại là cửa ngõ dẫn đến thảm họa.

────────────────────────────────────

C) HSE KHÔNG BAO GIỜ ĐỨNG ĐỘC LẬP – NHƯNG KHÔNG ĐƯỢC HÒA TAN

HSE không tồn tại trong chân không. Nó là hệ thống phản ứng lại áp lực của các bộ phận khác.

Tình huống: Quyết định mở rộng nhanh chóng (Sales/Commercial)

• Quyết định X: Ký hợp đồng cung cấp CNG/LNG cho 5 khách hàng mới trong vòng 3 tháng để đạt mục tiêu tăng trưởng Q4.
• Áp lực Y: Dispatcher phải tăng công suất sử dụng đội xe (capacity utilization) từ 75% lên 95%. Tài xế phải tăng ca liên tục (OT), và trạm nạp phải tăng tốc độ quay vòng.
• Rủi ro HSE Z: Tăng OT dẫn đến Rủi ro Mệt mỏi (Fatigue Risk), tăng tốc độ nạp dẫn đến bỏ qua Pre-Trip Check/Pre-Delivery Inspection (PDI). Sự thiếu hụt nhân sự chất lượng dẫn đến tuyển dụng các kỹ thuật viên ít kinh nghiệm nhưng được đẩy vào vận hành.
• HSE buộc phải can thiệp: Kích hoạt Điều khoản 8.2 (Mục lục Chiến lược: Quyết định tăng trưởng phải được phê duyệt HIRA trước khi phê duyệt Ngân sách). HSE đánh giá lại tuyến đường và năng lực nhân sự. Nếu năng lực nhân sự mới (onboarding) chưa đạt chuẩn an toàn, HSE có quyền trì hoãn tiếp nhận khách hàng mới, dù Sales đã chốt hợp đồng. Đây là một cuộc xung đột tài chính–an toàn cần được CEO giải quyết, nhưng HSE phải là tiếng nói cuối cùng.

Tình huống: Tối ưu hóa chi phí vận hành (CFO/COO)

• Quyết định X: Kéo dài chu kỳ bảo trì bắt buộc (Maintenance Cycle) của các PRU (Pressure Reducing Unit) và vaporizer để giảm chi phí bảo trì hằng quý 15%.
• Áp lực Y: Kỹ thuật viên bị áp lực phải ký vào biên bản kiểm tra bảo trì mà không thực hiện đầy đủ các bước kiểm tra áp suất/độ kín (Leak Check).
• Rủi ro HSE Z: Van an toàn (Safety Relief Valve) bị kẹt, máy hóa hơi (vaporizer) hoạt động kém hiệu quả do đóng băng, rò rỉ khí dần dần. Rủi ro Tích lũy (Cumulative Risk) tăng lên. Thiết bị vẫn "chạy được" nhưng Liêm chính Thiết bị (Asset Integrity) đã bị tổn hại.
• HSE buộc phải can thiệp: Kích hoạt Điều khoản 4.1 (Thiết bị phải dừng nếu quá chu kỳ kiểm tra bắt buộc). HSE yêu cầu tài liệu chứng minh rằng việc kéo dài chu kỳ bảo trì đã đi qua quy trình MOC đầy đủ và được đánh giá LOPA, chứng minh rằng các lớp bảo vệ khác vẫn hoạt động hiệu quả. Nếu không có MOC, mọi đề xuất tiết kiệm chi phí kiểu này phải bị bác bỏ.

HSE trong doanh nghiệp khí là một bộ phận phản ứng và kiểm soát, luôn phải hoạt động trong trạng thái căng thẳng để cân bằng giữa Tăng trưởng và Thảm họa.

────────────────────────────────────

D) 6 TRỤC CHIẾN LƯỢC HSE BẮT BUỘC

1. HSE & QUYỀN DỪNG VẬN HÀNH (Stop Work Authority – SWA)

SWA là trái tim của hệ thống an toàn. Nó không phải là một khẩu hiệu dán trên tường mà là một quyền lực được trao rõ ràng và có sự hậu thuẫn tuyệt đối từ cấp cao nhất.

Khi nào Ops có quyền nói “KHÔNG”:

• Dừng nạp: Khi phát hiện bất kỳ thiết bị nào tại trạm nạp có dấu hiệu rò rỉ, hư hỏng van, hoặc áp suất đầu vào vượt ngưỡng. Dừng nạp ngay cả khi điều này làm trễ lịch trình của 5 xe tải tiếp theo.
• Dừng giao: Khi đến công trường khách hàng và nhận thấy khu vực dỡ hàng (offloading area) không sạch sẽ, có nguồn lửa, hoặc không có nhân viên an toàn của khách hàng hiện diện.
• Dừng nhận khách mới: Nếu trong quá trình khảo sát ban đầu (pre-assessment), khách hàng thể hiện văn hóa an toàn thấp (ví dụ: nhân viên không sử dụng PPE, hút thuốc gần khu vực bồn chứa mẫu).
• Dừng tăng tải: Nếu yêu cầu điều độ tăng tải (tăng số chuyến/ngày) vượt quá giới hạn an toàn về thời gian lái xe hoặc thời gian nghỉ ngơi của nhân sự.

SWA phải được luyện tập và củng cố. Nếu một nhân viên bị trừng phạt (dù ngầm) vì đã kích hoạt SWA và gây ra sự chậm trễ tài chính, toàn bộ hệ thống SWA sẽ sụp đổ. Đếm số lần kích hoạt SWA (Stop Work Activation Count) phải là một KPI tích cực.

2. HSE & FATIGUE / HUMAN ERROR

Trong các hoạt động áp suất cao và rủi ro cao như CNG/LNG, lỗi người (Human Error) thường là triệu chứng, không phải nguyên nhân gốc. Nguyên nhân gốc thường là Áp lực Hệ thống dẫn đến Mệt mỏi (Fatigue).

Mối liên hệ giữa mệt mỏi và tai nạn LNG/CNG:

• Người lái xe mệt mỏi có khả năng cao bỏ qua bước kiểm tra áp suất cuối cùng (final pressure check) hoặc không nhận ra chỉ số khí mêtan (LEL) tăng lên.
• Mệt mỏi làm giảm khả năng phản ứng nhanh khi cần kích hoạt ESD.
• Sai sót trong tính toán khối lượng nạp (Mass Filling) hoặc sai sót trong quá trình hóa hơi LNG (ví dụ: điều chỉnh nhiệt độ vaporizer sai).

Tai nạn “nhỏ” nhìn lại đều có dấu hiệu mệt mỏi trước đó: Sự cố va chạm giao thông của xe rỗng, hay near-miss nạp đầy quá mức (overfilling). Chúng ta cần dữ liệu để chống lại mệt mỏi:

• GPS: Theo dõi thời gian lái xe thực tế.
• ERP/Sổ ca: Ghi nhận tổng giờ làm việc và thời gian nghỉ ngơi giữa các ca.
• Fatigue Indicator: Xây dựng chỉ số mệt mỏi (ví dụ: Tổng giờ làm việc > 55 giờ/tuần hoặc 3 ca đêm liên tục). Bất cứ ai đạt đến ngưỡng này phải bị điều độ ra khỏi tuyến rủi ro cao ngay lập tức.

3. HSE & KHÁCH HÀNG NGUY HIỂM (Unsafe Customer Veto)

Khách hàng là phần mở rộng của chuỗi cung ứng. Rủi ro tại điểm dỡ hàng (offloading point) là rủi ro của nhà cung cấp.

Vì sao có khách bắt buộc phải EXIT, dù volume và giá tốt:

• Hạ tầng kém: Khách hàng sử dụng đường ống kết nối bị rỉ sét, van cũ kỹ, không có rào chắn bảo vệ thiết bị (PRU/vaporizer).
• Thao tác sai thường xuyên: Khách hàng tự ý điều chỉnh áp suất, hoặc cho phép nhân viên không được đào tạo can thiệp vào quá trình dỡ hàng.
• Văn hóa an toàn thấp: Nhân viên của khách hàng thường xuyên gây áp lực lên tài xế để bỏ qua các quy trình kiểm tra an toàn, hoặc không cung cấp PPE cần thiết.

Điều kiện an toàn tối thiểu để tiếp tục phục vụ (theo Chính sách Khách hàng Nguy hiểm – Unsafe Customer Policy):

• Khách hàng phải có giấy phép PCCC đầy đủ cho khu vực lưu trữ/hóa hơi.
• Phải có quy trình MOC cho mọi thay đổi về thiết bị khí của họ, và phải thông báo cho nhà cung cấp trước 7 ngày.
• Bắt buộc có nhân viên an toàn được đào tạo của khách hàng giám sát quá trình giao nhận.

Quyết định EXIT một khách hàng volume lớn là một quyết định tài chính đau đớn, nhưng nó là cách duy nhất để kiểm soát Rủi ro Đối ứng (Counterparty Risk) thảm họa. Nếu khách hàng gây ra sự cố, doanh nghiệp CNG/LNG sẽ chịu trách nhiệm chính.

4. HSE & THIẾT BỊ / TÀI SẢN (Asset Risk Management)

Sự khác biệt giữa "Thiết bị còn chạy được" và "Còn an toàn" là ranh giới giữa vận hành và thảm họa.

• Thiết bị còn chạy được: PRU vẫn giảm áp, vaporizer vẫn hóa hơi.
• Còn an toàn: Mọi lớp bảo vệ (LOP) vẫn hoạt động, vật liệu vẫn còn độ bền cần thiết (Material Integrity), và chu kỳ bảo trì vẫn được tuân thủ.

Khi nào tài sản phải dừng khai thác vì rủi ro tích lũy:

• Rủi ro tích lũy (Cumulative Risk): Một van bị rò rỉ nhẹ (leakage), một cảm biến nhiệt độ bị lỗi không được sửa chữa, và tài xế mệt mỏi. Ba sự kiện độc lập này kết hợp lại tạo thành rủi ro thảm họa.
• Ví dụ Boil-off Gas (BOG): Trailer LNG luôn có hiện tượng khí hóa hơi (BOG). Nếu hệ thống kiểm soát áp suất (PRV) và thông hơi (Venting) hoạt động không hiệu quả do bảo trì kém, BOG sẽ tích tụ áp suất. Thiết bị vẫn vận hành, nhưng nếu nhiệt độ môi trường tăng cao, áp suất có thể vượt ngưỡng an toàn.

Chuẩn mực: Mọi thiết bị quan trọng (valve, hose, ESD actuator, pressure vessel) phải được theo dõi bằng hệ thống CMMS (Computerized Maintenance Management System). Khi tỷ lệ Equipment overdue inspection rate vượt quá 5%, toàn bộ đội xe đó phải bị tạm dừng.

5. HSE & QUẢN LÝ THAY ĐỔI (MOC – Management of Change)

MOC là một trong những cơ chế bị bỏ qua nhiều nhất dưới áp lực vận hành.

Những thay đổi “rất nhỏ” nhưng gây tai nạn lớn:

• Đổi lịch: Đổi lịch trình giao hàng từ ngày sang đêm để tránh tắc đường, nhưng không đánh giá lại rủi ro mệt mỏi và rủi ro nhận dạng mối nguy trong bóng tối.
• Đổi áp: Điều độ yêu cầu tài xế giao hàng ở áp suất cao hơn thông thường một chút (ví dụ: từ 20 bar lên 22 bar) để đẩy nhanh tốc độ nạp/xả, nhưng điều này vượt quá giới hạn thiết kế của đường ống khách hàng.
• Đổi người: Phân công kỹ thuật viên chưa được đào tạo chuyên sâu về LNG vận hành trạm tiếp nhận LNG.
• Thay đổi vật tư: Sử dụng loại ống mềm (hose) thay thế không có chứng nhận chống tĩnh điện (anti-static) tương đương với loại gốc.

MOC bị bypass trong thực tế:
Dispatcher gọi điện trực tiếp cho tài xế: “Cứ làm đi, anh sẽ hoàn thành giấy tờ MOC sau.”
Đây là cửa ngõ dẫn đến thảm họa. Mọi MOC phải được thực hiện trước khi thay đổi diễn ra và phải được phê duyệt bởi ít nhất 3 bộ phận: Người đề xuất, Ops, và HSE.

6. HSE & CHI PHÍ ẨN (Hidden Cost of Failure)

Chi phí tai nạn không chỉ là chi phí y tế hay bồi thường chấn thương (injury). Trong ngành khí, chi phí chính là sự sụp đổ của hệ thống kinh doanh.

Các chi phí ẩn của sự cố (Ví dụ về một vụ rò rỉ CNG gây cháy cục bộ):

• Downtime: Mất toàn bộ đội xe liên quan đến sự cố (đang điều tra, bị thu giữ). Mất trạm nạp (đang sửa chữa, bị đình chỉ hoạt động). Mất nguồn cung cho khách hàng (dẫn đến phạt hợp đồng và mất uy tín).
• Mất Quyền Vận Hành (Loss of License to Operate): Cơ quan quản lý (PCCC, Sở Công Thương) đình chỉ hoạt động. Đây là chi phí lớn nhất, có thể kéo dài hàng tháng.
• Mất Niềm Tin Địa Phương: Nếu sự cố xảy ra gần khu dân cư, doanh nghiệp có thể không bao giờ được phép mở rộng hoặc thậm chí duy trì hoạt động tại địa điểm đó.
• Chi phí Điều tra và Pháp lý: Chi phí thuê luật sư, chuyên gia điều tra root cause analysis.
• Tăng Phí Bảo Hiểm: Phí bảo hiểm trách nhiệm công cộng (Public Liability Insurance) sẽ tăng vọt hoặc bị từ chối tái ký.

Vì sao an toàn luôn rẻ hơn tai nạn gấp nhiều lần: Đầu tư vào an toàn (ví dụ: SCADA giám sát liên tục, huấn luyện Just Culture, chu kỳ bảo trì nghiêm ngặt) là chi phí cố định (CAPEX/OPEX) có thể dự đoán được. Chi phí tai nạn là chi phí biến đổi, không giới hạn, và có thể dẫn đến phá sản.

────────────────────────────────────

E) CASE STUDY HSE – PHẢI LÀ CASE “AN TOÀN THẬT”

Chúng ta cần mổ xẻ hai tình huống thực tế để thấy cách áp lực hệ thống đâm thủng ranh giới an toàn.

CASE 1: Near-Miss Over-Pressurization do Bỏ qua MOC

Bối cảnh: Khách hàng là một nhà máy Gạch (VLXD) lớn ở tuyến Bắc. Hợp đồng yêu cầu cung cấp 80.000 Sm³ CNG/ngày. Quy mô: 5 trailer CNG/ngày, vận hành 2 ca nạp liên tục tại trạm trung tâm.
Thách thức vận hành: Cuối năm, áp lực OTIF (On-Time In-Full) cực cao do nhu cầu sản xuất tăng. Một trong các xe trailer CNG chuyên dụng (được thiết kế cho áp 250 bar) bị hỏng, cần thay thế bằng một xe dự phòng (spare) có thiết bị PRU được cấu hình hơi khác (thiết kế tối ưu cho áp 200 bar).
Tình huống Near-Miss: Dispatcher A dưới áp lực lớn (vì nếu xe không đi, OTIF sẽ sụp đổ) đã ra lệnh cho tài xế sử dụng xe dự phòng này. Tài xế B, kinh nghiệm thấp, được hướng dẫn sơ qua về sự thay đổi. Trạm nạp trung tâm vốn đã được cài đặt chế độ bơm 250 bar cho đội xe chính. Kỹ thuật viên trạm (Ca đêm, OT kéo dài 3 tiếng) quên không điều chỉnh cài đặt áp suất đầu ra khi nạp xe dự phòng. Xe dự phòng nhận được áp suất 250 bar, vượt ngưỡng an toàn thiết kế của một số van nhỏ. Van an toàn (Safety Relief Valve) hoạt động đúng lúc, xả khí CNG áp suất cao ra ngoài, gây tiếng ồn lớn và tạo ra một đám mây khí dễ cháy ngay trong khu vực nạp. Hệ thống ESD kích hoạt 10 giây sau đó, nhưng sự cố đã suýt xảy ra thảm họa.

Chẩn đoán nguyên nhân gốc (Root Cause Analysis – RCA):

• KHÔNG phải: Tài xế B lơ đễnh, Kỹ thuật viên trạm làm việc kém cỏi.
• NGUYÊN NHÂN GỐC HỆ THỐNG:
1. Bypass MOC: Việc thay đổi loại trailer và cấu hình áp suất là một thay đổi kỹ thuật (hệ thống van, áp suất vận hành) bắt buộc phải đi qua MOC (Điều khoản 5.1). Dispatcher A đã bỏ qua MOC vì áp lực OTIF (Điều khoản 3.4).
2. Fatigue Risk: Kỹ thuật viên ca đêm đã làm việc 15 giờ liên tục. Khả năng tập trung vào chi tiết quan trọng (điều chỉnh áp suất nạp) bằng 0 (Điều khoản 3.1).
3. Thiếu LOPA: Hệ thống không có lớp bảo vệ độc lập nào (Independent Protection Layer – IPL) để chặn lỗi của con người (ví dụ: khóa liên động tự động giữa ID xe và cài đặt áp suất nạp).

Giải pháp triển khai (4–12 tuần):

• Tuần 1-2: Đình chỉ Dispatcher A (theo Điều khoản 5.3: Bỏ qua MOC là vi phạm an toàn cấp độ 1). Thay vì trừng phạt Kỹ thuật viên và Tài xế, họ được chuyển sang huấn luyện lại và tham gia RCA. Xây dựng lại Chính sách Quản lý Mệt mỏi.
• Tuần 3-8: Đầu tư vào hệ thống SCADA tại trạm nạp để tự động nhận dạng trailer thông qua RFID/GPS và tự động cài đặt áp suất nạp tối đa an toàn. Xây dựng khóa liên động điện tử (interlock) giữa thông số xe và máy nạp.
• Tuần 9-12: Thiết lập quy trình MOC khẩn cấp có giới hạn thời gian (ví dụ: 1 giờ) nhưng vẫn yêu cầu sự phê duyệt điện tử từ HSE/Ops Manager.

Kết quả định lượng (5 chỉ số):

chỉ số	ý nghĩa vận hành	trước sự cố	sau 3 tháng	nguồn dữ liệu
OTIF (đúng giờ, đủ lượng)	Độ tin cậy giao hàng	98.5%	96.0% (Giảm do tuân thủ giờ lái)	ERP + POD
Stop Work activation count	Số lần kích hoạt SWA	0.5/tháng	4.0/tháng (Tăng: tín hiệu tốt)	Sổ ca + Báo cáo HSE
MOC Compliance Index	Tuân thủ quy trình MOC	65%	99%	Hệ thống MOC điện tử
Fatigue Indicator (OT > 12h)	Tỷ lệ ca làm việc quá tải	18%	3%	GPS + ERP
cost per Sm³ (vận hành)	Chi phí thực trên mỗi Sm³	X	X + 5% (Do tăng chi phí nhân sự)	ERP + SCADA

Kết luận: Chấp nhận giảm OTIF và tăng chi phí vận hành (cost per Sm³) để mua lại Liêm chính Hệ thống (System Integrity).

CASE 2: Quyết định Exit Khách hàng vì Rủi ro Thảm họa

Bối cảnh: Khách hàng là một nhà máy Thép lớn, tiêu thụ 120.000 Sm³ LNG/ngày. Khách hàng chiến lược, mang lại biên gộp (Gross Margin) cao nhất trên tuyến này (khoảng 300 triệu VND/tháng). Quy mô: 3 trailer LNG/ngày.
Thách thức vận hành: Khách hàng liên tục vi phạm quy tắc an toàn. Nhà máy Thép là môi trường bụi bặm, nhiệt độ cao. Tài xế của Reboostlab liên tục báo cáo: Khách hàng tự ý thay đổi vị trí đặt vaporizer để giải phóng mặt bằng, không lắp đặt lại rào chắn bảo vệ, và thường xuyên yêu cầu tài xế dỡ hàng ngoài giờ làm việc của nhân viên an toàn của họ. Sau 6 tháng, đã có 4 lần báo cáo Unsafe Condition (Điều kiện không an toàn) tại điểm giao.
Chẩn đoán: Khách hàng có văn hóa “sản xuất bằng mọi giá”. Họ xem HSE là chi phí, không phải điều kiện sống còn. Nếu xảy ra sự cố rò rỉ LNG và bắt lửa, hậu quả sẽ là thảm họa vì gần lò luyện nhiệt độ cao. Rủi ro pháp lý và tài chính (Catastrophic Risk Exposure) là không thể chấp nhận được.

Quyết định Dừng/Từ chối:

• HSE Head kích hoạt Điều khoản 2.1 và Chính sách Khách hàng Nguy hiểm (Unsafe Customer Policy).
• Đưa ra cảnh báo cuối cùng, yêu cầu khách hàng thực hiện các biện pháp khắc phục (lắp lại rào chắn, đào tạo lại nhân sự, tuân thủ MOC) trong 30 ngày.
• Khách hàng từ chối, viện lý do chi phí và sự bất tiện.
• CEO, CFO và HSE Head họp quyết định: EXIT hợp đồng. Dù mất 300 triệu VND biên gộp/tháng, nhưng giảm Exposure Risk (Rủi ro Phơi nhiễm) từ 80% xuống 0%.

Tác động Tài chính:
Quyết định này là minh chứng rõ ràng nhất cho việc HSE là một VETO chiến lược. Mặc dù bộ phận Commercial phản đối dữ dội, nhưng phân tích chi phí ẩn (Hidden Cost) nếu xảy ra sự cố (ước tính thiệt hại từ 50-100 tỷ VND, chưa kể danh tiếng) đã thuyết phục CEO.

Kết quả định lượng (5 chỉ số):

chỉ số	ý nghĩa vận hành	trước EXIT	sau 3 tháng	nguồn dữ liệu
EBITDA/Biên gộp	Lợi nhuận gộp tháng	Y	Y – 300 triệu VND	ERP
Unsafe Condition Ratio	Tỷ lệ điều kiện không an toàn	0.8/tuần	0.1/tuần (Chỉ còn lỗi nội bộ)	Báo cáo HSE
cost-to-serve (khách hàng đó)	Chi phí phục vụ rủi ro cao	Cao	0	ERP
Asset Utilization (Đội xe LNG)	Công suất sử dụng đội xe	85%	75% (Tạm thời thừa xe)	GPS + Dispatch
Incident Probability Score	Xác suất sự cố nghiêm trọng	4/5 (Rất cao)	1/5 (Thấp)	LOPA/HAZID

Bài học: An toàn buộc phải thắng doanh thu ngắn hạn. Việc mất đi khách hàng lớn này tạo ra một thông điệp mạnh mẽ đến toàn bộ thị trường: Ranh giới an toàn là có thật.

────────────────────────────────────

F) KPI HSE – ĐO ĐÚNG ĐỂ DỪNG ĐÚNG

KPI an toàn trong ngành khí không chỉ đo lường số lượng tai nạn (lagging indicators), mà phải đo lường khả năng nhận diện mối nguy và ngăn chặn (leading indicators).

Khung tính các chỉ số quan trọng (Gắn với quyết định vận hành):

────────────────────────────────────

G) TÍN HIỆU SỚM HSE – RIÊNG, SẮC, KHÔNG CHUNG

Đây là 15 tín hiệu SỚM (early warnings) chỉ ra rằng ranh giới an toàn đang bị xói mòn, thường xảy ra trước khi bất kỳ KPI chính thức nào báo động.

1. Dispatcher quá tải: Dispatcher (Điều độ) bắt đầu bỏ qua các cuộc gọi từ tài xế/kỹ thuật viên trong vòng 5 phút đầu tiên, hoặc trả lời tin nhắn chỉ bằng 1-2 từ cộc lốc. Áp lực điều độ đang biến thành áp lực an toàn.
2. Lái xe ngại báo lỗi: Tài xế bắt đầu sửa chữa các lỗi nhỏ (hở nhẹ van, cảm biến chập chờn) ngay tại hiện trường mà không báo cáo chính thức, vì họ sợ Downtime sẽ bị trừ vào KPI cá nhân.
3. Sổ ca “bình thường” quá đều: Các sổ ca (logbook) hoặc báo cáo PDI (Pre-Delivery Inspection) đều ghi "OK" một cách máy móc, không có bất kỳ ghi chú hay nhận xét nào về các vấn đề nhỏ hoặc điều kiện không an toàn.
4. Kiểm tra hình thức: Các cuộc kiểm tra an toàn (walk-through) được thực hiện nhanh chóng, chỉ chụp ảnh bên ngoài, không mở nắp van hay kiểm tra áp suất ẩn.
5. Giao ca vội, không bàn giao rủi ro: Giao ca (shift handover) chỉ kéo dài 2 phút, không có sự trao đổi chi tiết về các cảnh báo đã nhận được từ SCADA hay các sự kiện không bình thường.
6. MOC bị đặt hàng “sau”: Có nhiều báo cáo RCA Near-Miss chỉ ra rằng MOC đã được bắt đầu sau khi thay đổi đã được thực hiện.
7. Tài xế nói dối về thời gian nghỉ: Dữ liệu GPS cho thấy tài xế dừng xe, nhưng sổ ca cho thấy họ vẫn đang làm việc (hoặc ngược lại).
8. Sự gia tăng các lỗi không quan trọng: Tỷ lệ đèn xe bị cháy, lốp mòn không được thay, hoặc các lỗi nhỏ liên quan đến vệ sinh, cho thấy sự xuống cấp của sự chú ý tổng thể đối với Liêm chính Thiết bị.
9. Khách hàng bắt đầu khiếu nại về thái độ/mệt mỏi của tài xế: Cho thấy mức độ căng thẳng của nhân viên tuyến đầu đã vượt ngưỡng kiểm soát.
10. Tồn kho PPE (thiết bị bảo hộ cá nhân) giảm bất thường: Cho thấy nhân viên đang dùng PPE bị hỏng/cũ thay vì thay thế.
11. Báo cáo đánh giá nhà thầu (contractor safety assessment) bị rút gọn: Giảm thời gian kiểm tra an toàn cho nhà thầu vào trạm nạp.
12. Sự chậm trễ cố ý trong việc hiệu chuẩn cảm biến khí (LEL/Gas detector): Kỹ thuật viên trì hoãn hiệu chuẩn vì sợ hệ thống sẽ báo lỗi và gây downtime.
13. Cấp trên khen thưởng những người “hoàn thành công việc bằng mọi giá”: Gửi thông điệp sai lệch rằng OTIF quan trọng hơn SWA.
14. Đặt mua vật tư tiêu hao (ví dụ: gioăng đệm, dầu bôi trơn) loại rẻ hơn, không có chứng nhận an toàn đầy đủ.
15. Không có ai báo cáo về áp lực từ Commercial: Mặc dù OTIF đang căng thẳng, nhưng không có báo cáo ẩn danh nào về việc Sales ép buộc Ops vượt ranh giới. Điều này cho thấy hệ thống báo cáo đang bị tê liệt do sợ hãi.

────────────────────────────────────

H) POLICY SNIPPET RIÊNG CHO HSE – STOP WORK POLICY

Đây là một trích đoạn từ Chính sách Dừng Vận hành (Stop Work Policy) của một doanh nghiệp khí chuẩn mực, đảm bảo Quyền Dừng Việc là quyền lực thật.

CHÍNH SÁCH DỪNG VẬN HÀNH (STOP WORK POLICY – SWP)

1. Mục đích: Đảm bảo mọi cá nhân có quyền và trách nhiệm dừng ngay lập tức mọi hoạt động được coi là nguy hiểm (Imminent Danger) đối với người, tài sản, hoặc môi trường, không cần chờ phê duyệt.
2. Định nghĩa Mối nguy Ngay lập tức (Imminent Danger):
   • Rò rỉ khí/chất lỏng dễ cháy (LNG/CNG) không kiểm soát được.
   • Phát hiện nguồn lửa (Ignition Source) gần khu vực vận hành.
   • Môi trường làm việc vượt quá ngưỡng an toàn đã được phê duyệt (ví dụ: gió quá mạnh, sấm sét, LEL vượt 10%).
   • Phát hiện thiết bị an toàn quan trọng (ví dụ: ESD, van an toàn, cảm biến) bị hỏng hoặc bị vô hiệu hóa.
3. Thực thi Quyền Dừng Vận hành:
   • Bất kỳ nhân viên nào (từ cấp thấp nhất) đều có thể kích hoạt SWP bằng cách hô to "DỪNG VẬN HÀNH KHẨN CẤP" và ấn nút ESD (nếu có).
   • Sau khi kích hoạt SWP, người kích hoạt phải thông báo cho cấp trên và Điều độ trong vòng 5 phút, nêu rõ vị trí và lý do.
4. Bảo vệ Người Kích hoạt:
   • Người kích hoạt SWP sẽ được bảo vệ tuyệt đối khỏi mọi hình thức trừng phạt, truy cứu trách nhiệm hoặc ảnh hưởng đến đánh giá hiệu suất (KPI/Review) liên quan đến sự chậm trễ hoặc mất mát doanh thu gây ra bởi lệnh dừng đó.
   • Nếu việc kích hoạt SWP là hợp lý, người đó sẽ được khen thưởng. Nếu việc kích hoạt là sai lầm nhưng xuất phát từ ý định bảo vệ an toàn, người đó chỉ cần được huấn luyện lại, không bị kỷ luật.
5. Quy trình Phục hồi:
   • Hoạt động chỉ được tiếp tục sau khi nguyên nhân gốc của mối nguy đã được xác định, loại bỏ, và được phê duyệt bằng văn bản bởi ít nhất Trưởng phòng Ops và Trưởng phòng HSE.
   • Mọi cuộc họp Phục hồi (Restart Meeting) phải ghi nhận áp lực (nếu có) từ Sales/CFO/CEO để đảm bảo không ai ép buộc tái khởi động trước khi an toàn được xác lập.

────────────────────────────────────

I) RANH GIỚI CUỐI – SAFETY BOUNDARY

Trong mọi tình huống, HSE trong kinh doanh CNG/LNG phải luôn là ranh giới không thể thương lượng.

Không OTIF nào đổi bằng tai nạn.

Điều này có nghĩa là nếu để đạt được một chỉ số OTIF 99.5%, Dispatcher phải ép tài xế chạy quá giờ, bỏ qua Pre-Trip Check, và chấp nhận nạp khí ở áp suất không an toàn, thì hệ thống quản lý đó đã bị lỗi. Hệ thống phải chấp nhận OTIF thấp hơn (ví dụ: 96%) nếu đó là mức cao nhất có thể đạt được trong ranh giới an toàn.

Ví dụ về quyền Veto của Ops:
Lãnh đạo bộ phận Ops có quyền Veto (bác bỏ) lịch trình của Dispatch nếu nó yêu cầu tài xế phải làm việc quá 60 giờ/tuần. Quyết định này phải được ủng hộ bởi CEO/CFO, ngay cả khi nó có nghĩa là một hợp đồng lớn bị chậm trễ hoặc bị phạt.

Nếu CEO/CFO cố gắng ép vượt ranh giới an toàn (ví dụ: ra lệnh phục vụ khách hàng đã bị liệt vào danh sách đen vì an toàn kém), lãnh đạo HSE phải có quyền báo cáo trực tiếp lên Hội đồng Quản trị hoặc cơ quan quản lý (ví dụ: PCCC) về nguy cơ thảm họa. Đây là mức độ cuối cùng của quyền lực HSE.

Hệ thống CNG/LNG là một chuỗi các áp suất và nhiệt độ được quản lý chặt chẽ. Khi áp lực thương mại làm tăng áp lực vật lý (ví dụ: tăng tốc độ nạp/xả), thảm họa là không thể tránh khỏi. Công việc của HSE là đảm bảo rằng áp lực thương mại không bao giờ được phép làm hỏng Liêm chính Vật lý (Physical Integrity) của hệ thống.

────────────────────────────────────

J) ACTIONABLE TAKEAWAYS (TỐI THIỂU 20 GẠCH ĐẦU DÒNG)

Khung tư duy đúng để ra quyết định dựa trên HIRA và Safety Boundary.