Kinh doanh CNG/LNG – HSE / AN TOÀN / RỦI RO (CNG – LNG): Nhận diện mối nguy từ con người (human error).

Sai sót của con người không phải là nguyên nhân, nó là điểm hội tụ cuối cùng của một chuỗi lỗi hệ thống. Trong ngành khí hóa lỏng/khí nén, đây là điểm gãy chiến lược.

Trong khuôn khổ của Nhận diện Mối nguy và Đánh giá Rủi ro (HAZID/HAZOP) cho hệ thống CNG và LNG, mối nguy từ con người (human error) thường bị đánh giá sai lệch. Thị trường hay đổ lỗi cho “ý thức kém,” “thiếu tập trung,” hoặc “không tuân thủ quy trình.” Tuy nhiên, đối với vận hành khí áp lực cao và nhiệt độ thấp (CNG/LNG), lỗi con người hiếm khi là nguyên nhân gốc (root cause). Nó là triệu chứng của áp lực vận hành quá mức, thiếu hụt cấu trúc hỗ trợ, và thất bại của hệ thống quản lý rủi ro trong việc thiết lập các rào cản vật lý và hành vi (Safety Barriers).

Hệ thống CNG/LNG yêu cầu sự chính xác tuyệt đối ở mọi điểm giao diện: từ khâu nạp tại Mother Station, vận chuyển, đến khâu giao nhận và hóa hơi (Vaporization) tại trạm khách hàng. Mọi sai sót nhỏ, đặc biệt là lỗi thao tác (procedural errors) hoặc lỗi đánh giá tình huống (judgment errors) dưới áp lực thời gian hoặc mệt mỏi, đều có thể biến thành sự cố rò rỉ, cháy nổ, hoặc thảm họa cá nhân/tài sản.

Chúng ta phải dừng tư duy HSE là tuân thủ. Trong ngành khí, HSE là ranh giới sống còn (Safety Boundary) – là điều kiện tiên quyết cho phép doanh nghiệp tồn tại và mở rộng. Bỏ qua HSE trong những quyết định “rất hợp lý” về mặt kinh tế là con đường nhanh nhất dẫn đến sự hủy diệt doanh nghiệp.

A) MỤC LỤC CHIẾN LƯỢC HSE – SAFETY BOUNDARY DOCTRINE

(HSE Charter / Safety Constitution – Áp dụng cho mọi quyết định Vận hành, Tài chính và Thương mại)

1. Nền tảng chiến lược và quyền lực dừng hệ thống (Stop Work Authority – SWA)
   1. HSE là hệ thống Veto (quyền phủ quyết) đối với các quyết định kinh doanh vi phạm ranh giới an toàn.
   2. Mọi thành viên tổ chức, không phân biệt cấp bậc, có quyền tuyệt đối được dừng công việc (SWA) ngay lập tức khi phát hiện rủi ro thảm họa tiềm tàng (Catastrophic Risk).
   3. Lệnh dừng công việc phải được chấp hành trước khi tiến hành xác minh tính đúng đắn. Việc xác minh tính đúng đắn không được kéo dài quá 01 giờ làm việc từ thời điểm dừng.
   4. Nhân viên thực hiện SWA sẽ được bảo vệ khỏi mọi hình thức trừng phạt, giáng chức, hoặc giảm thưởng liên quan đến hiệu suất vận hành (OTIF) hoặc doanh thu ngắn hạn.
   5. Mọi áp lực từ cấp quản lý hoặc thương mại nhằm hủy bỏ SWA mà không có sự đánh giá rủi ro chính thức (Risk Assessment) bởi đội ngũ HSE/Ops cấp cao hơn sẽ bị coi là hành vi vi phạm chính sách ranh giới an toàn.
   6. Việc bypass (vượt qua) Hệ thống Khóa/Gắn Thẻ (LOTO) trong bất kỳ tình huống nào, kể cả khẩn cấp, mà không có MOC (Management of Change) chính thức, là hành vi sa thải.
   7. Hệ thống phải dừng khi công suất dự phòng (safety margin) của thiết bị quan trọng (PRU, ESD, Valve) giảm dưới 20%.
2. Quản lý trạng thái căng thẳng và lỗi con người (Fatigue and Human Error Management)
   1. Không được phép điều động nhân sự vận hành (lái xe, nạp/xả gas, điều độ viên) làm việc liên tục quá 12 giờ trong bất kỳ khung 24 giờ nào.
   2. Thời gian nghỉ ngơi tối thiểu giữa các ca là 08 giờ, không thể thương lượng.
   3. Mọi yêu cầu làm thêm giờ (OT) phát sinh từ áp lực OTIF hoặc sai sót điều độ đều phải được đánh giá rủi ro mệt mỏi (Fatigue Risk Assessment) trước khi chấp thuận.
   4. Nhân sự điều độ (Dispatcher) không được phép quản lý số lượng tuyến/xe vượt quá ngưỡng tối ưu được xác định (ví dụ: 1:12), đặc biệt trong ca đêm hoặc cuối tuần.
   5. Các sự cố Near-miss xảy ra trong khung giờ từ 00:00 đến 05:00 sẽ được tự động gắn nhãn rủi ro mệt mỏi cấp độ cao, yêu cầu điều tra nguyên nhân gốc là áp lực hệ thống, không phải cá nhân.
   6. Bắt buộc có cơ chế dừng nạp/giao hàng nếu lái xe hoặc nhân viên khách hàng có dấu hiệu rõ ràng của sự thiếu tỉnh táo hoặc mệt mỏi.
3. Quản lý thay đổi – MOC (Management of Change)
   1. Mọi thay đổi dù nhỏ nhất về thiết bị, quy trình, nhân sự chủ chốt, hoặc thông số vận hành (áp suất, nhiệt độ, lưu lượng) đều phải trải qua quy trình MOC chính thức và được phê duyệt bởi HSE/Engineering.
   2. Không được phép đưa vào vận hành bất kỳ thiết bị thay thế (ví dụ: hose, valve) nào có thông số kỹ thuật (Design Pressure, Temperature Rating) khác biệt so với thiết kế ban đầu mà chưa được MOC phê duyệt.
   3. Thay đổi nhà cung cấp khí (Source of Gas) dẫn đến thay đổi thành phần khí (composition) vượt quá dung sai thiết kế của PRU tại trạm khách hàng phải được MOC và thông báo 48 giờ trước.
   4. Thay đổi lịch giao hàng đột ngột (ví dụ: từ ban ngày sang ban đêm) cho khách hàng mới phải được xem xét MOC vì thay đổi môi trường vận hành và rủi ro con người.
   5. Quy trình MOC không được vượt quá 05 ngày làm việc, nhưng không được phép bỏ qua các bước đánh giá HAZID/HAZOP cơ bản.
4. Tiêu chuẩn khách hàng và Ranh giới loại trừ (Unsafe Customer Policy)
   1. Khách hàng phải tuân thủ nghiêm ngặt các điều kiện về khu vực nạp/xả, phòng cháy chữa cháy (PCCC), và tiếp đất, theo các chuẩn quốc tế tham chiếu (ví dụ: NFPA 59A) và quy định Việt Nam.
   2. Khách hàng có văn hóa an toàn kém, thể hiện qua việc nhân viên họ thường xuyên yêu cầu bypass quy trình (ví dụ: không đeo PPE, thao tác sai, hoặc tự ý điều chỉnh thiết bị của nhà cung cấp khí), sẽ bị đưa vào danh sách Rủi ro Cao (High Risk Customer).
   3. Nếu khách hàng từ chối đào tạo an toàn cho nhân sự của họ theo chuẩn của Công ty sau hai lần nhắc nhở, Công ty có quyền từ chối giao hàng hoặc chấm dứt hợp đồng.
   4. Mọi sự cố Near-miss hoặc sự cố nhỏ (Minor Incident) xảy ra tại địa điểm khách hàng phải được điều tra chung, và nếu nguyên nhân gốc là lỗi hạ tầng/vận hành của khách hàng, họ phải cam kết khắc phục bằng văn bản.
   5. Nếu tần suất sự cố tại một điểm giao hàng (Incident Rate at Site) vượt quá 3 lần so với mức trung bình của toàn hệ thống, Ops/HSE có quyền yêu cầu tạm dừng phục vụ để đánh giá lại.
5. Tích hợp và Liêm chính dữ liệu (Data Integrity and Incident Reporting)
   1. Bắt buộc báo cáo mọi sự cố Near-miss, không có sự phân biệt về mức độ nghiêm trọng tiềm tàng. Văn hóa “giấu lỗi” là rủi ro chiến lược cấp 1.
   2. Các dữ liệu về áp suất, nhiệt độ, lưu lượng từ SCADA của Mother/Daughter Stations phải được lưu trữ tối thiểu 03 năm và được sử dụng làm bằng chứng trong mọi cuộc điều tra sự cố.
   3. Mọi báo cáo sự cố phải được hoàn thành trong vòng 24 giờ, sử dụng mô hình phân tích nguyên nhân gốc (Root Cause Analysis – RCA) tiêu chuẩn (ví dụ: 5 Whys, Fishbone) và không được phép kết luận là “lỗi con người” mà không truy xuất được áp lực hệ thống.
   4. Dữ liệu mệt mỏi (Fatigue Data) từ hệ thống ERP/GPS (giờ làm việc, thời gian di chuyển) phải được tích hợp vào hệ thống báo cáo sự cố để kiểm tra tính hợp lý của thao tác.
   5. Các chỉ số về chất lượng bảo trì (MTBF, MTTR, Overdue Inspection Rate) phải được công bố minh bạch nội bộ, vì bảo trì kém là nguyên nhân gián tiếp gây ra lỗi con người (ví dụ: van hỏng buộc nhân viên phải dùng lực quá mức).
6. Thiết bị, Kiểm soát và Hành lang khẩn cấp
   1. Thiết bị an toàn quan trọng (ESD valves, Pressure Relief Devices – PRD) phải được kiểm định định kỳ KHÔNG PHỤ THUỘC vào lịch bảo dưỡng thiết bị vận hành chính.
   2. Mọi thiết bị phát hiện rò rỉ (Gas Detector) phải được hiệu chuẩn (Calibration) theo lịch nghiêm ngặt, và bất kỳ cảnh báo giả nào (False Alarm) cũng phải được điều tra (Near-miss Level 2).
   3. Không được phép vận hành trailer CNG/LNG nếu có bất kỳ cảnh báo nào từ hệ thống Telemetry (GPS, áp suất) cho thấy trailer đã vượt quá áp suất vận hành tối đa cho phép (MAWP) hoặc nhiệt độ thiết kế.
   4. Đội ngũ Engineering phải xác định và công bố rõ ràng Dải Vận hành Liêm chính (Integrity Operating Window – IOW) cho từng thiết bị; mọi vận hành ngoài IOW đều phải kích hoạt MOC khẩn cấp.
   5. Việc vận hành xe/trailer đã bị từ chối phục vụ (Out of Service) vì lý do an toàn (ví dụ: rò rỉ nhỏ) là vi phạm chính sách ranh giới an toàn cấp cao nhất.
7. Ranh giới tài chính và rủi ro chiến lược
   1. Chi phí cho đào tạo, thiết bị an toàn, và bảo trì dự phòng KHÔNG được cắt giảm vì áp lực lợi nhuận ngắn hạn.
   2. CFO phải phân bổ ngân sách riêng biệt cho các dự án giảm thiểu rủi ro thảm họa (Catastrophic Risk Mitigation Projects), không phụ thuộc vào dòng tiền Ops/CapEx thông thường.
   3. Hợp đồng bảo hiểm trách nhiệm dân sự (Liability Insurance) phải được xem xét hàng năm để đảm bảo nó bao quát đầy đủ kịch bản rủi ro thảm họa tối đa có thể (Maximum Foreseeable Loss – MFL).
   4. Phí phạt (Penalty) do sự cố an toàn gây ra downtime cho khách hàng phải được tính vào chi phí HSE, không phải chi phí Ops.
   5. Nếu rủi ro an toàn không thể được giảm thiểu về mức Rủi ro Chấp nhận được (ALARP – As Low As Reasonably Practicable), hoạt động kinh doanh đó phải bị dừng, bất kể doanh thu tiềm năng.

(Tổng cộng 42 mục – Hoàn thành mục A)

B) ĐỊNH VỊ HSE – SAFETY IS A STRATEGIC BOUNDARY

Trong môi trường kinh doanh CNG/LNG – nơi năng lượng được lưu trữ dưới áp suất 200–250 bar (CNG) hoặc nhiệt độ -162°C (LNG) – HSE là một hệ thống quản trị rủi ro thảm họa (catastrophic risk). Nó hoàn toàn khác biệt với các hệ thống quản lý rủi ro hoạt động thông thường.

HSE trong CNG/LNG LÀ:

1. Một ranh giới không thể thương lượng: Nó thiết lập ngưỡng tối đa về rủi ro mà tổ chức có thể chịu đựng. Ngưỡng này quyết định chúng ta có thể tăng trưởng nhanh đến mức nào, chấp nhận khách hàng nào, và triển khai tài sản như thế nào.
2. Một cơ chế veto chiến lược: Khi áp lực từ Dispatch (OTIF cao), Commercial (giá thấp), hoặc Finance (giảm CapEx) đẩy hệ thống đến gần điểm gãy an toàn, HSE có quyền can thiệp và dừng hoạt động, ngay cả khi điều đó gây ra tổn thất hợp đồng hoặc mất khách hàng.
3. Chỉ số năng lực vận hành bền vững: Một doanh nghiệp CNG/LNG không thể tự nhận mình là vận hành tốt nếu không có KPI an toàn dẫn đầu (Leading Indicators) ở mức tuyệt đối.

HSE KHÔNG PHẢI:

1. ESG (Environmental, Social, Governance): ESG là khung nhìn rộng hơn về tính bền vững và trách nhiệm xã hội. HSE là tập trung vào tính mạng, tài sản và khả năng tồn tại của hệ thống vận hành. Một công ty có điểm ESG cao vẫn có thể chết vì một tai nạn HSE thảm khốc.
2. Ops (Vận hành): Ops tối ưu hóa hiệu suất (Efficiency) và độ tin cậy giao hàng (OTIF). HSE tối ưu hóa khả năng sống sót (Resilience). Hai mục tiêu này thường xuyên xung đột. HSE phải là một chức năng độc lập, có khả năng chặn Ops.
3. Bộ quy trình huấn luyện an toàn cơ bản: Nếu HSE chỉ là đào tạo cách đeo mũ bảo hiểm và cách thoát hiểm, đó là HSE cấp độ 1. HSE chiến lược phải là hệ thống đưa ra quyết định dựa trên dữ liệu về rủi ro tích lũy (Accumulated Risk).

Khẳng định đau đớn nhưng thật: Doanh nghiệp CNG/LNG không chết vì thiếu quy trình HSE; họ chết vì bỏ qua HSE trong những quyết định “rất logic” như:

• “Khách này volume lớn, cứ giao tạm đi, thủ tục an toàn bổ sung sau.” (Áp lực Sales)
• “Chiếc trailer này đang có cảnh báo áp suất hơi cao, nhưng đang thiếu xe, cứ chạy thêm chuyến nữa.” (Áp lực OTIF)
• “Ca này thiếu người, điều độ viên A làm thêm 04 giờ nữa đi, đỡ tốn tiền OT.” (Áp lực Chi phí)

Lỗi con người sinh ra từ chính những quyết định quản lý tưởng chừng như hợp lý đó.

C) HSE KHÔNG BAO GIỜ ĐỨNG ĐỘC LẬP – NHƯNG KHÔNG ĐƯỢC HÒA TAN

Sự phức tạp của HSE trong ngành khí nằm ở việc các rủi ro hiếm khi phát sinh từ chính các quy trình an toàn, mà từ áp lực xuyên suốt hệ thống (Cross-functional Pressure).

• Quyết định Mở rộng Khách hàng Nhanh chóng (Sales) → Áp lực chấp nhận khách hàng mới chưa đạt chuẩn PCCC/Hạ tầng (Y) → Rủi ro HSE Z (Sự cố tại điểm giao nhận do lỗi thao tác của nhân viên khách hàng hoặc hạ tầng không an toàn) → HSE buộc phải can thiệp (Yêu cầu trì hoãn go-live hoặc từ chối phục vụ).
• Quyết định Giảm Chi phí Bảo trì (CFO) → Áp lực kéo dài chu kỳ bảo dưỡng trailer/PRU (Y) → Rủi ro HSE Z (Tăng MTTR và tăng nguy cơ rò rỉ do hỏng hóc van/hose) → HSE buộc phải can thiệp (Veto quyết định kéo dài chu kỳ, yêu cầu Stop Work Order cho thiết bị quá hạn).
• Quyết định Điều độ Tải Cao (Dispatch) → Áp lực OTIF 100% trong bối cảnh thiếu xe (Y) → Rủi ro HSE Z (Lái xe mệt mỏi, bỏ qua checklist an toàn, chạy quá tốc độ) → HSE buộc phải can thiệp (Kích hoạt chính sách Mệt mỏi, giới hạn số chuyến dù OTIF bị ảnh hưởng).

HSE can thiệp không chỉ là cảnh báo, mà là hành động vật lý: dừng bơm, ngắt van, chặn xe.

D) 6 TRỤC CHIẾN LƯỢC HSE TRONG QUẢN LÝ LỖI CON NGƯỜI

1. HSE & QUYỀN DỪNG VẬN HÀNH (Stop Work Authority – SWA)

SWA là công cụ chiến lược duy nhất ngăn chặn lỗi con người ở điểm cuối. Nếu người vận hành (lái xe, kỹ thuật viên trạm) không tin rằng họ có quyền dừng việc mà không bị phạt, họ sẽ ưu tiên OTIF/lịch trình hơn an toàn.

• Khi nào Ops có quyền nói “KHÔNG”:
• Khi nhiệt độ hoặc áp suất của thiết bị (trailer, storage tank) nằm ngoài Dải Vận hành An toàn (Safety Operating Limits) do Engineering xác định.
• Khi gặp điều kiện thời tiết nguy hiểm (sấm sét, bão) trong quá trình nạp/xả.
• Khi nhận thấy đối tác (nhân viên khách hàng) vi phạm SOP nghiêm trọng và từ chối hợp tác sửa chữa.
• Stop Work Authority là quyền lực thật: Để SWA là thật, cần có cơ chế truy vấn (Audit) ngược lại. Nếu một Ops Manager khiển trách một lái xe vì dừng nạp (SWA) gây chậm trễ, người quản lý đó phải bị điều tra vì vi phạm chính sách Ranh giới An toàn (Safety Boundary Policy).
• Ví dụ thực tế: Lái xe phát hiện đầu nối hose (coupling) tại trạm khách hàng bị mòn quá mức dung sai (vì khách hàng sử dụng đầu nối không chuẩn). Dù trạm đó đang cạn gas và Dispatch đang gọi liên tục, lái xe phải kích hoạt SWA, từ chối kết nối, và quay về. Mất 12 giờ OTIF và một khoản phạt hợp đồng, nhưng loại bỏ rủi ro rò rỉ khí áp lực cao.

2. HSE & FATIGUE / HUMAN ERROR

Mệt mỏi (Fatigue) là sát thủ vô hình trong ngành CNG/LNG. Lỗi con người (Human Error) không phải là sự cố ngẫu nhiên; nó là kết quả định lượng của việc thiếu ngủ, stress, và áp lực thời gian.

• Ca đêm, OT kéo dài, OTIF pressure: Dispatcher bị căng thẳng vì phải đảm bảo giao hàng 24/7 với nguồn lực giới hạn. Áp lực này được đẩy xuống cho lái xe. Lái xe tăng tốc, giảm thời gian kiểm tra trước và sau chuyến (Pre/Post-trip checks), và quan trọng nhất, họ bỏ qua các bước kiểm tra HSE thủ công.
• Mối liên hệ giữa mệt mỏi và tai nạn LNG/CNG: Các thao tác phức tạp như kết nối hose, mở van chính (Main valve), và kiểm tra rò rỉ (leak test) đòi hỏi sự tập trung tuyệt đối. Khi mệt mỏi, nhân viên có xu hướng:
• Rút ngắn thời gian kiểm tra (ví dụ: kiểm tra rò rỉ chỉ trong 5 giây thay vì 30 giây).
• Quên khóa van phụ trước khi mở van chính.
• Lắp sai đầu nối, gây rò rỉ nhỏ mà họ không phát hiện được.
• Tai nạn “nhỏ” nhìn lại đều có dấu hiệu mệt mỏi trước đó: Trong nhiều vụ Near-miss (ví dụ: over-filling tank, áp suất bị vượt ngưỡng), điều tra cho thấy lái xe hoặc nhân viên trạm đã làm việc liên tục 14-16 giờ trong 48 giờ trước đó, hoặc đang trong ngày nghỉ mà bị gọi đi làm ca khẩn cấp.
• KPI Fatigue Indicator: Sử dụng dữ liệu GPS và ERP để theo dõi:
• Consecutive Night Shifts: Số ca đêm liên tục (quá 3 ca đêm liên tục là rủi ro cao).
• 24-hour Shift Compliance: Tỷ lệ nhân viên vi phạm quy tắc 12 giờ/24 giờ.
• Average Rest Time (Between Shifts): Thời gian nghỉ trung bình.

3. HSE & KHÁCH HÀNG NGUY HIỂM (Unsafe Customer)

Việc chấp nhận một khách hàng không đạt chuẩn an toàn là lỗi con người chiến lược ở cấp độ Sales và Commercial. Đây là quyết định “đánh đổi” rủi ro thảm họa lấy doanh thu.

• Khách có hạ tầng kém:
• Khu vực nạp/xả không sạch sẽ, không có mái che, không có rào chắn va chạm.
• Không có hệ thống tiếp đất đầy đủ (Earthing System).
• Thiếu van khẩn cấp (Emergency Shutoff Valve) hoặc hệ thống ESD không tích hợp.
• Thiếu biển báo, không có kế hoạch PCCC tại chỗ.
• Khách có văn hóa an toàn thấp: Nhân viên vận hành của khách hàng không được đào tạo, họ tự ý tháo dỡ thiết bị bảo hộ, hoặc yêu cầu lái xe của ta làm các thao tác ngoài SOP để tiết kiệm thời gian cho họ.
• Vì sao có khách bắt buộc phải EXIT, dù volume và giá tốt: Khách hàng volume lớn thường có quyền thương lượng cao, và họ dùng quyền đó để gây áp lực lên SOP an toàn của bạn. Nếu rủi ro thảm họa phát sinh từ địa điểm của họ (Scope 3 Risk), toàn bộ giấy phép vận hành của bạn sẽ bị đe dọa. Chi phí tai nạn (Injury + Asset Loss + Reputation) luôn lớn hơn EBITDA thu được từ khách hàng đó.
• Điều kiện an toàn tối thiểu để tiếp tục phục vụ (Safety Gate): Bắt buộc kiểm tra 04 điểm trước khi cấp gas:
• Chứng nhận PCCC cơ sở hợp lệ.
• Khu vực giao nhận phải tách biệt (Separated Delivery Bay).
• Nhân sự khách hàng liên quan phải hoàn thành khóa đào tạo về an toàn khí và quy trình giao nhận.
• Phải có ít nhất 01 điểm dừng khẩn cấp (ESD) do khách hàng kiểm soát, được tích hợp hoặc dễ dàng truy cập bởi lái xe.

4. HSE & THIẾT BỊ / TÀI SẢN (Asset Integrity)

Lỗi con người cấp quản lý thường xuất hiện dưới dạng bảo trì bị trì hoãn (Deferred Maintenance).

• “Thiết bị còn chạy được” KHÔNG đồng nghĩa “còn an toàn”: Một van rò rỉ nhỏ (micro-leak) có thể được “khắc phục tạm thời” bằng cách siết chặt hơn. Về mặt Ops, van vẫn hoạt động. Về mặt HSE, áp lực vận hành tiếp theo sẽ làm tăng rủi ro van bị hỏng hoàn toàn, dẫn đến rò rỉ lớn.
• Rủi ro tích lũy (Accumulated Risk): Mỗi lần Ops quyết định trì hoãn thay thế một bộ phận hao mòn (ví dụ: hose, gasket, seal) là một lần tăng rủi ro cho người vận hành.
• Khi nào tài sản phải dừng khai thác vì rủi ro tích lũy:
• Equipment overdue inspection rate vượt quá 5%.
• MTBF (Mean Time Between Failures) của thiết bị an toàn (van ESD, PRD) giảm 15% so với năm trước.
• Kết quả kiểm tra không phá hủy (NDT) cho thấy dấu hiệu mỏi vật liệu (material fatigue) trên trailer vượt ngưỡng.
• Chỉ số quan trọng: Cost per Sm³ không chỉ là giá mua khí và chi phí vận chuyển. Nó phải bao gồm Chi phí Bảo hiểm Rủi ro Tích lũy (Risk Provision Cost). Nếu chi phí bảo trì dự phòng giảm, điều đó chỉ ra rằng chi phí rủi ro đang tăng lên.

5. HSE & QUẢN LÝ THAY ĐỔI (MOC – Management of Change)

Human Error thường xảy ra khi nhân sự không được chuẩn bị cho sự thay đổi. MOC là quy trình đảm bảo mọi người hiểu và chấp nhận rủi ro mới.

• Những thay đổi “rất nhỏ” nhưng gây tai nạn lớn:
• Đổi người: Thay thế một kỹ thuật viên trạm kinh nghiệm bằng một người mới mà không có đào tạo chuyển giao (handover) đầy đủ về các điểm “nhạy cảm” của hệ thống (van khó mở, đồng hồ đo bị sai lệch nhỏ).
• Đổi áp: Dispatcher quyết định tăng áp suất nạp lên thêm 10 bar (trong giới hạn thiết kế) để tăng tải trọng/Sm³ nhưng không thông báo rõ ràng cho đội ngũ nạp/xả về quy trình thao tác mới.
• Đổi tuyến: Thay đổi tuyến vận chuyển đi qua khu vực đô thị đông đúc, làm tăng nguy cơ tai nạn giao thông và kéo theo rủi ro thảm họa khí.
• MOC bị bypass trong thực tế: MOC thường bị bỏ qua dưới áp lực thời gian. Ví dụ:
• Sự cố: Một van bị hỏng.
• Quyết định Ops khẩn cấp: Mua van thay thế từ nhà cung cấp địa phương thay vì chờ van chuẩn nhập khẩu.
• Lỗi MOC: Van mới có áp suất thiết kế (Design Pressure) thấp hơn 5% hoặc vật liệu seal không chịu được nhiệt độ thấp của LNG/áp lực cao của CNG trong thời gian dài. Quyết định thay thế này được coi là “khắc phục nhanh” nhưng lại là rủi ro dài hạn, được kích hoạt bởi áp lực downtime. Người lắp đặt (human error) chỉ đơn giản là làm theo lệnh mua hàng, không được thông báo về sự thay đổi thông số kỹ thuật.

6. HSE & CHI PHÍ ẨN (Hidden Cost of Accidents)

Chi phí an toàn (Đầu tư vào đào tạo, hệ thống ESD, bảo trì dự phòng) luôn là chi phí hiện hữu, dễ thấy. Chi phí tai nạn là chi phí tiềm tàng, khi xảy ra thì hủy hoại mọi thứ.

• Tai nạn không chỉ là injury (thương tích) và fatality (tử vong):
• Downtime: Mất khả năng vận hành trạm/xe (ví dụ: 30 ngày dừng hoạt động để điều tra sự cố). Tính bằng [Sm³ bị mất x Giá bán] + [Chi phí cố định không được khấu hao].
• Mất quyền vận hành (Loss of License): Cơ quan chức năng đình chỉ hoạt động vì vi phạm PCCC/An toàn hệ thống. Đây là rủi ro hệ thống cấp cao nhất, khiến EBITDA về 0.
• Mất niềm tin địa phương (Reputation and Community Trust): Sự cố nghiêm trọng gây ảnh hưởng đến cộng đồng xung quanh trạm nạp/xả hoặc tuyến đường. Chi phí này kéo dài nhiều năm, thể hiện qua việc khó xin giấy phép mở rộng và phản đối của cư dân.
• Vì sao an toàn luôn rẻ hơn tai nạn: Việc đầu tư 100.000 USD vào hệ thống SCADA/telemetry dự phòng và đào tạo chuyên sâu (giảm 15% Near-miss frequency) là chi phí hữu hình. Chi phí của một vụ nổ LNG/CNG lớn có thể lên tới 50 triệu USD (thiệt hại tài sản, trách nhiệm pháp lý, phạt hành chính, chi phí hồi phục danh tiếng).
• Chi phí điện/Sm³: Nếu hệ thống compressor (CNG) hoặc pump (LNG) hoạt động ở hiệu suất thấp (do bảo trì kém), nó tiêu thụ nhiều điện hơn. Việc trì hoãn bảo trì (lỗi quản lý) làm tăng chi phí vận hành và đồng thời tăng rủi ro quá nhiệt/hỏng hóc, dẫn đến lỗi con người khi cố gắng “chạy thêm” thiết bị quá giới hạn.

E) CASE STUDY HSE – CHẨN ĐOÁN LỖI CON NGƯỜI TỪ GỐC HỆ THỐNG

Chúng ta sẽ phân tích hai tình huống thực tế của Reboostlab để làm rõ mối liên hệ giữa áp lực hệ thống và lỗi con người, trong đó giải pháp không phải là “đào tạo lại ý thức.”

CASE STUDY 1: Lỗi Thao Tác Nạp Khí Đêm Gây Nguy Cơ Nổ Trailer

Bối cảnh:

• Loại khách: Khách hàng công nghiệp sản xuất vật liệu xây dựng (VLXD), tiêu thụ trung bình 40.000 Sm³/ngày.
• Quy mô: 01 Mother Station (CNG) hoạt động 24/7, 18 trailer vận chuyển.
• Tuyến: 150 km/tuyến.
• Số ca vận hành: 03 ca luân phiên.

Thách thức vận hành cụ thể:

• OTIF Pressure: Doanh số tăng đột ngột 30% trong Quý 4, dẫn đến áp lực phải duy trì OTIF trên 98% dù số lượng trailer không tăng tương ứng.
• Điều độ: Dispatcher bị quá tải (quản lý 18 xe + 02 trạm nạp), thường xuyên phải sắp xếp tuyến gấp trong ca đêm.
• Sự cố: Near-miss – Một lái xe trong ca đêm (03:30 sáng) đã thực hiện thao tác nạp khí, nhưng quên kiểm tra van khí xả (Vent Valve) đóng kín trước khi bơm đầy. May mắn, một nhân viên nạp gas khác phát hiện rò rỉ khí áp lực cao (hissing sound) và kích hoạt ESD (Emergency Shut Down).

Phân tích Nguyên nhân Gốc (Root Cause Analysis – RCA):

• Nguyên nhân trực tiếp (Immediate Cause): Lái xe A không hoàn thành bước 4 trong 15 bước checklist nạp khí (Kiểm tra trạng thái Van Xả). Đây là Human Error.
• Nguyên nhân sâu (Underlying Causes):
  1. Fatigue: Lái xe A đã phải làm 04 ca đêm liên tục (vi phạm 2.1 của Safety Charter) do đồng nghiệp nghỉ ốm, và Ops Manager đã “linh hoạt” chấp thuận.
  2. Dispatch Pressure: Dispatcher Y liên tục gọi điện thúc giục lái xe A hoàn thành nạp nhanh chóng vì có 02 khách hàng cấp bách (Critical Delivery). Áp lực này làm tăng tốc độ thao tác của lái xe.
  3. System Design: Checklist là tài liệu giấy (Paper-based Checklist). Không có khóa liên động vật lý (Interlock) hoặc hệ thống SCADA để xác nhận Van Xả đã đóng trước khi bơm chính được kích hoạt. Lỗi con người được cho phép xảy ra.

Giải pháp Triển khai (4–12 tuần):

1. Dừng “Linh hoạt” Ca Đêm: Áp dụng nghiêm ngặt chính sách 03 ca đêm liên tục tối đa. Tuyển dụng và đào tạo thêm 02 lái xe (tăng chi phí nhân sự).
2. Tích hợp Hệ thống Khóa Liên Động Điện tử (SCADA Interlock): Lắp đặt cảm biến áp suất/vị trí van tại các van quan trọng (Van Xả, Van Nạp). Hệ thống nạp (Compressor) sẽ tự động Veto (Stop) nếu không nhận được tín hiệu xác nhận từ 03 van chính. (Ngăn chặn lỗi con người bằng rào cản kỹ thuật).
3. Đánh giá Mức độ Bận Rộn của Dispatcher: Giảm tải tuyến cho Dispatcher Y bằng cách thuê ngoài chức năng theo dõi GPS cơ bản, để Dispatcher Y chỉ tập trung vào Điều độ và Quản lý Ngoại lệ (Exception Management).

Kết quả định lượng (Sau 6 tháng):

Chỉ số | Trước can thiệp | Sau can thiệp | Cải thiện

OTIF | 98.5% | 97.9% | -0.6% (chấp nhận giảm vì an toàn)

Near-miss frequency (loading bay) | 0.6/1000 nạp | 0.0/1000 nạp | 100%

Cost per Sm³ (labor OT) | 0.05 USD/Sm³ | 0.06 USD/Sm³ | +20% (chi phí tăng)

Năng suất nạp/giờ | 2800 Sm³/h | 2750 Sm³/h | -1.8% (do thêm bước interlock)

Fatigue indicator (ca > 12h) | 18% nhân sự | 0% nhân sự | 100%

Stop Work activation count | 0 | 5 | 5 (Tín hiệu TỐT)

Tỷ lệ sự cố (cấp độ 1,2) | 3/tháng | 0.5/tháng | 83%

(Lưu ý: OTIF giảm và Chi phí tăng nhẹ là dấu hiệu của việc trả giá an toàn – Safety Boundary đã được củng cố.)

CASE STUDY 2: Quyết định từ chối khách hàng vì rủi ro ranh giới (Safety Boundary Veto)

Bối cảnh:

• Loại khách: Nhà máy thực phẩm (F&B) quy mô lớn, tiêu thụ khí ổn định, có hợp đồng mua tối thiểu (Take-or-Pay) hấp dẫn.
• Quy mô: Dự kiến 50.000 Sm³/ngày (khách hàng Top 5).
• Tuyến: Gần trạm nạp nhất, chi phí vận chuyển thấp.

Thách thức vận hành cụ thể:

• Sales Pressure: Hợp đồng mang lại biên gộp (Gross Margin) cao 15%.
• Rủi ro HSE: Đánh giá HAZOP sơ bộ (Pre-delivery HAZOP) tại địa điểm khách hàng phát hiện 02 điểm không thể chấp nhận:
  1. Khu vực lắp đặt PRU và hóa hơi nằm quá gần (dưới 5 mét) khu vực sản xuất có nhiệt độ cao và nguồn đánh lửa (Ignition Source).
  2. Khách hàng sử dụng nhân sự bảo trì bên ngoài (Third-party Maintenance) không có chứng nhận về khí áp lực cao để vận hành thiết bị của họ và từ chối cam kết chỉ sử dụng nhân sự được chứng nhận.
• Áp lực: Sales Director thúc đẩy ký hợp đồng, lập luận rằng “rủi ro này có thể được quản lý bằng thêm khóa đào tạo.”

Chẩn đoán Nguyên nhân Gốc:

• Sales và Commercial đang cố gắng áp đặt tư duy Tài chính (Profit) lên Rủi ro Thảm họa (Catastrophic Risk). Đây là lỗi con người cấp lãnh đạo.
• Nếu chấp nhận khách hàng này, bất kỳ lỗi thao tác nào của nhân viên bảo trì bên thứ ba (human error Scope 3) sẽ dẫn đến rò rỉ/cháy nổ trong khu vực có nguồn đánh lửa, gây ra MFL (Maximum Foreseeable Loss) cao.

Quyết định và Giải pháp triển khai:

• HSE Veto: Engineering và HSE Director đã kích hoạt quyền Veto theo mục 4.0 và 7.5 của Safety Charter. Họ khẳng định rủi ro tại điểm giao diện này không thể giảm thiểu về mức ALARP mà không yêu cầu khách hàng di dời toàn bộ khu vực lắp đặt thiết bị (chi phí ~200.000 USD).
• EXIT Strategy: Khách hàng từ chối di dời vì chi phí và downtime. Công ty chấp nhận từ chối ký hợp đồng (Exit) sau 4 tuần đàm phán.

Kết quả định lượng (So sánh với việc chấp nhận khách hàng):

Chỉ số | Tình huống 1: Từ chối | Tình huống 2: Chấp nhận (Dự kiến)

EBITDA ngắn hạn | Giảm 15% so với target Q3 | Đạt 105% target Q3

Rủi ro Scope 3 (Hazardous Customer) | 0 (Đã loại bỏ) | Cấp độ cao (High)

Chi phí Rủi ro Dự phòng (QRT) | Giảm 50.000 USD/năm | Tăng 200.000 USD/năm

Downtime dự kiến | 0 | Ít nhất 48 giờ/năm do sự cố nhỏ

Tồn kho an toàn | Ổn định | Tăng 20% (để bù đắp potential downtime)

Biên gộp dự kiến (Dài hạn) | Ổn định và bền vững | Biến động cao, có nguy cơ hủy hoại vốn

Quyết định từ chối khách hàng này là hành động quản trị rủi ro chiến lược, bảo vệ tài sản và tính mạng của nhân sự công ty khỏi lỗi con người của bên thứ ba, được kích hoạt bởi áp lực doanh số nội bộ.

F) KPI HSE – ĐO ĐÚNG ĐỂ DỪNG ĐÚNG

KPI an toàn trong CNG/LNG phải tập trung vào các chỉ số dẫn đầu (Leading Indicators) để nhận diện lỗi con người trước khi nó xảy ra, thay vì chỉ đo lường sự cố (Lagging Indicators).

1. Near-miss frequency: Tần suất suýt xảy ra tai nạn. Nguồn: Sổ ca, Báo cáo Incident Report. Tín hiệu: Tăng là TỐT (Văn hóa báo cáo lành mạnh).
2. Unsafe Act / Condition Ratio (UA/UC): Tỷ lệ hành vi/điều kiện không an toàn được ghi nhận. Nguồn: Audit hiện trường, Quan sát An toàn. Tín hiệu: Tăng là TỐT (Chủ động khắc phục).
3. Fatigue Indicator (24hr compliance): Tỷ lệ vi phạm giờ làm việc tối đa/24 giờ. Nguồn: ERP, GPS, Sổ ca. Tín hiệu: Giảm là TỐT (Giảm rủi ro lỗi con người).
4. Equipment Overdue Inspection Rate: Phần trăm thiết bị an toàn/vận hành quá hạn kiểm định. Nguồn: ERP Maintenance Module. Tín hiệu: Giảm là TỐT (Giảm rủi ro tích lũy).
5. Permit-to-Work (PTW) Violation Rate: Tỷ lệ vi phạm quy trình cấp phép làm việc (ví dụ: làm việc nóng không PTW). Nguồn: Hệ thống PTW điện tử. Tín hiệu: Giảm là TỐT (Kiểm soát MOC và rủi ro).
6. Stop Work Activation Count: Số lần nhân viên kích hoạt SWA. Nguồn: Báo cáo SWA chính thức. Tín hiệu: Tăng là TỐT (Niềm tin vào SWA).
7. ESD Activation Rate (False vs Real): Tần suất kích hoạt ESD (Khẩn cấp). Phân biệt lỗi hệ thống và kích hoạt thật. Nguồn: SCADA, Nhật ký ESD. Tín hiệu: Giảm là TỐT (Hệ thống ổn định).
8. Training Effectiveness Score: Điểm số bài kiểm tra sau đào tạo (ví dụ: thao tác van khẩn cấp). Nguồn: HR/Training Module. Tín hiệu: Tăng là TỐT (Giảm lỗi thao tác).
9. Time to Investigate Near-miss (MTTR-Incident): Thời gian trung bình để hoàn thành điều tra nguyên nhân gốc. Nguồn: Hệ thống Quản lý Incident. Tín hiệu: Giảm là TỐT (Học hỏi nhanh).
10. Cost per Sm³ (HSE CapEx/OpEx): Chi phí an toàn trên mỗi mét khối khí bán ra. Nguồn: ERP/Finance Module. Tín hiệu: Tăng ổn định là TỐT (Đầu tư vào rào cản).

(Lưu ý đặc biệt: Trong HSE chiến lược, việc các chỉ số như Near-miss Frequency, Unsafe Act/Condition Ratio, và Stop Work Activation Count tăng không phải là tin xấu. Nó chứng tỏ nhân viên tin tưởng vào hệ thống và dám báo cáo. Ngược lại, nếu các chỉ số này bằng 0 hoặc rất thấp, đó là cảnh báo NGUY HIỂM về văn hóa “giấu lỗi” hoặc sự sợ hãi bị phạt.)

G) TÍN HIỆU SỚM HSE – RIÊNG, SẮC, KHÔNG CHUNG

Các tín hiệu này là những bất thường nhỏ mà chỉ người trực tiếp trong ngành mới nhận ra, báo hiệu áp lực hệ thống đang tạo ra môi trường cho lỗi con người:

1. Dispatcher quá tải: Dispatcher trả lời email chậm trễ, nhưng trả lời điện thoại ngay lập tức (cho thấy họ đang phản ứng thay vì điều độ).
2. Lái xe ngại báo lỗi: Lái xe tự ý thực hiện các sửa chữa nhỏ (ví dụ: siết lại bulông rò rỉ) mà không báo cáo vào sổ ca điện tử, vì sợ bị giữ xe lại trạm để sửa chữa (ảnh hưởng đến thu nhập và OTIF).
3. Sổ ca “bình thường” quá đều: Mọi báo cáo kiểm tra (Pre-trip/Post-trip checks) đều hoàn hảo trong hàng tuần liên tục. Điều này chỉ ra rằng nhân viên đang chỉ tích (tick) vào checklist mà không thực hiện kiểm tra vật lý.
4. Kiểm tra hình thức (Visual Audit Only): Kỹ thuật viên bảo trì chỉ kiểm tra bên ngoài thiết bị mà không mở các bộ phận quan trọng, hoặc không sử dụng các thiết bị đo chuyên dụng (ví dụ: đo độ rung của bơm/máy nén).
5. Giao ca vội, không bàn giao rủi ro: Giao ca chỉ trong 5 phút, không có việc đi bộ chung (walk-through) để chỉ ra các điểm bất thường/rủi ro tiềm ẩn cho ca sau.
6. Tần suất mất kết nối SCADA tăng: Dữ liệu áp suất/nhiệt độ từ trailer/trạm khách hàng bị mất kết nối thường xuyên (cho thấy kỹ thuật viên/lái xe đang tự ý tắt hệ thống telemetry để “đỡ bị theo dõi”).
7. Yêu cầu tăng áp suất nạp/xả liên tục: Ops liên tục yêu cầu tăng tốc độ bơm/nạp để giảm downtime, dù biết điều này làm tăng nhiệt độ và áp lực lên hose/van.
8. Sự gia tăng các chứng từ giao nhận bị sửa đổi thủ công (Manual Override on POD): Điều độ viên/lái xe sửa đổi giờ giao/nhận hoặc số lượng Sm³ trên giấy tờ thay vì dùng hệ thống ERP/POD.
9. Đề xuất mua thiết bị “giá rẻ”: Procurement ưu tiên mua hose, gasket, hoặc các bộ phận tiêu hao từ nhà cung cấp không được phê duyệt để tiết kiệm 10-20% chi phí.
10. Thiếu hụt PPE chuyên dụng: Nhân viên sử dụng PPE cũ, bị rách hoặc không đúng chuẩn (ví dụ: găng tay cryogenic không đạt chuẩn NFPA) do kho không kịp bổ sung.
11. Số lượng MOC khẩn cấp (Emergency MOC) tăng cao: Cho thấy tổ chức đang phản ứng với các thay đổi thay vì quản lý chúng.
12. Tồn kho linh kiện an toàn (Safety Stock of Critical Spares) thấp: Ví dụ: chỉ còn 01 van ESD dự phòng trong kho, khiến Ops phải chấp nhận rủi ro downtime hoặc phải “cố gắng” vận hành thiết bị bị lỗi.
13. Rủi ro bị đánh giá thấp: Trong các cuộc họp đánh giá rủi ro, mọi người có xu hướng đánh giá xác suất sự cố (Likelihood) thấp hơn mức thực tế vì đã “làm như vậy nhiều lần rồi, có sao đâu.”
14. Lái xe liên tục yêu cầu bảo dưỡng gấp: Lái xe báo cáo lỗi chỉ khi xe gần hỏng hoàn toàn, thay vì trong quá trình kiểm tra định kỳ (dấu hiệu sợ downtime).
15. Không ai truy vấn về lỗi kỹ thuật: Hệ thống báo lỗi kỹ thuật (ví dụ: quá áp) nhưng Ops Manager tự ý xóa cảnh báo mà không tiến hành điều tra.

H) POLICY SNIPPET RIÊNG CHO HSE – Stop Work Authority Policy (Chiết đoạn)

Điều 3: Phạm vi và Quyền lực

• 3.1. Quyền Dừng Việc (SWA) là quyền lực cao nhất được trao cho mọi nhân viên (Employee) và nhà thầu (Contractor) làm việc tại các cơ sở hoặc trên các phương tiện của Công ty. Quyền này không phụ thuộc vào kinh nghiệm, cấp bậc hoặc chức năng nhiệm vụ.
• 3.2. SWA được kích hoạt khi có nhận định hợp lý rằng việc tiếp tục công việc sẽ dẫn đến rủi ro thương tích nghiêm trọng, tử vong, hoặc thiệt hại tài sản thảm khốc (Catastrophic Loss).
• 3.3. Các tình huống kích hoạt SWA bao gồm nhưng không giới hạn: rò rỉ khí áp lực cao/nhiệt độ thấp, thiết bị an toàn bị lỗi/bypass, vi phạm rõ ràng khoảng cách an toàn, hoặc nhân sự có dấu hiệu mệt mỏi/thiếu năng lực thực hiện nhiệm vụ.

Điều 4: Quy trình và Bảo vệ

• 4.1. Kích hoạt SWA phải được thực hiện ngay lập tức bằng cách ngừng công việc và thông báo cho người giám sát gần nhất.
• 4.2. Sau khi SWA được kích hoạt, công việc phải dừng. Việc xác minh rủi ro sẽ được tiến hành bởi ít nhất 02 nhân sự cấp quản lý độc lập (01 Ops, 01 HSE) trước khi quyết định tiếp tục.
• 4.3. Nhân sự kích hoạt SWA sẽ được bảo vệ tuyệt đối khỏi bất kỳ hành động trả đũa nào liên quan đến chậm trễ giao hàng (OTIF), mất doanh thu, hoặc chi phí phát sinh. Việc cố ý trừng phạt hoặc gây áp lực lên người thực hiện SWA là vi phạm chính sách cấp độ 1 và có thể dẫn đến chấm dứt hợp đồng lao động.
• 4.4. Mỗi lần kích hoạt SWA thành công sẽ được ghi nhận là một thành tích an toàn (Safety Achievement) và được đưa vào đánh giá hiệu suất (Performance Review) của nhân viên.

I) RANH GIỚI CUỐI – SAFETY BOUNDARY

HSE là ranh giới không thương lượng. Trong ngành CNG/LNG, sự sống còn của doanh nghiệp được định nghĩa bằng ranh giới này.

• Không OTIF nào đổi bằng tai nạn: Mọi dispatcher phải được đào tạo rằng nếu hệ thống điều độ không thể đáp ứng OTIF mà không buộc lái xe hoặc nhân viên nạp/xả vi phạm SOP (ví dụ: làm việc quá giờ, bỏ qua checklist), thì OTIF phải thất bại. Thất bại OTIF là chi phí kinh doanh, tai nạn là chi phí hủy diệt.
• Ops có quyền veto vì an toàn: Quyền lực này phải được chính thức hóa. Khi Ops Manager (hoặc thậm chí là lái xe) nói “Tôi không làm điều này vì nó vi phạm chính sách mệt mỏi/áp suất/nhiệt độ,” CEO và CFO phải chấp nhận.
• CEO/CFO không được ép vượt ranh giới này: Lỗi con người ở cấp độ hệ thống thường xuất phát từ việc cấp lãnh đạo tạo ra áp lực tài chính/thị trường không thể đáp ứng bằng nguồn lực an toàn hiện có. Ví dụ: Đặt mục tiêu tăng trưởng 50% trong một năm mà không tăng CapEx cho thiết bị an toàn và nhân sự HSE tương ứng. Đây là hành vi chấp nhận rủi ro thảm họa.

Tóm lại, nhận diện mối nguy từ con người trong CNG/LNG là nhận diện những lỗ hổng trong hệ thống quản trị, nơi áp lực kinh doanh (OTIF, Sales Target, Cost Reduction) được chuyển hóa thành sự mệt mỏi, vội vàng, hoặc sự thiếu tập trung của nhân viên tuyến đầu. Giải pháp không nằm ở việc giám sát con người chặt chẽ hơn, mà nằm ở việc xây dựng các rào cản kỹ thuật (Interlocks, SCADA, Robust Assets) và rào cản chính sách (SWA, Unsafe Customer Policy) đủ mạnh để con người không thể phạm sai lầm thảm khốc, ngay cả khi họ đang mệt mỏi.

J) ACTIONABLE TAKEAWAYS – BẢN CHỈ DẪN HÀNH ĐỘNG HỆ THỐNG AN TOÀN

CEO / COO (Lãnh đạo Chiến lược và Vận hành)

• Xác định rõ HSE là chức năng Veto, không phải chức năng hỗ trợ Ops. Điều kiện áp dụng: Bất kể volume khách hàng lớn đến đâu. Sai lầm thường gặp: Coi HSE Director là cấp dưới của COO, khiến HSE mất đi tính độc lập.
• Thiết lập Safety Charter (Mục A) và đảm bảo mọi hợp đồng có điều khoản “Termination for Safety Breach” (Chấm dứt vì vi phạm an toàn). Điều kiện áp dụng: Áp dụng ngay khi ký hợp đồng đầu tiên. Sai lầm thường gặp: Chỉ mua bảo hiểm trách nhiệm mà không xây dựng quỹ dự phòng rủi ro nội bộ.

CFO (Tài chính và Đầu tư)

• Tính toán Cost-to-Serve (Chi phí phục vụ) bao gồm chi phí rủi ro thảm họa (Risk Provision Cost), không chỉ là OpEx và CapEx thông thường. Điều kiện áp dụng: Khi đánh giá biên gộp của khách hàng Rủi ro Cao. Sai lầm thường gặp: Thúc ép Ops trì hoãn bảo trì để cải thiện dòng tiền (cash flow), dẫn đến rủi ro tích lũy.
• Ưu tiên CapEx cho các dự án giảm thiểu lỗi con người (ví dụ: SCADA interlocks, Automation of safety checks) thay vì CapEx tăng công suất đơn thuần. Điều kiện áp dụng: Khi phê duyệt ngân sách hàng năm. Sai lầm thường gặp: Chỉ đầu tư vào compressor/vaporizer lớn hơn để tăng throughput, bỏ qua thiết bị đo lường/kiểm soát an toàn.

Sales / Commercial (Kinh doanh và Hợp đồng)

• Cấp quyền cho HSE/Ops để thực hiện Pre-delivery HAZOP chi tiết trước khi ký bất kỳ hợp đồng Take-or-Pay nào. Điều kiện áp dụng: Áp dụng cho mọi khách hàng mới, đặc biệt khách hàng có tiêu thụ trên 10.000 Sm³/ngày. Sai lầm thường gặp: Hứa hẹn với khách hàng về thời gian go-live nhanh chóng mà bỏ qua quy trình an toàn bắt buộc.
• Đưa điều khoản về Tiêu chuẩn An toàn Tối thiểu (Minimum Safety Standard) của khách hàng vào Phụ lục Hợp đồng, và sử dụng điều này làm cơ sở pháp lý để Veto hoặc Exit. Điều kiện áp dụng: Mọi hợp đồng. Sai lầm thường gặp: Chỉ tập trung vào điều khoản giá, penalty OTIF, mà bỏ qua rủi ro thảm họa do Scope 3 gây ra.

Ops / Dispatch (Điều độ và Vận hành)

• Triển khai nghiêm ngặt chính sách Stop Work Authority (SWA) và bảo vệ tuyệt đối nhân sự thực hiện SWA. Điều kiện áp dụng: Khi có bất kỳ nghi ngờ nào về an toàn. Sai lầm thường gặp: Coi SWA là lỗi thất bại cá nhân, dẫn đến văn hóa giấu lỗi.
• Tự động hóa các checklist an toàn quan trọng (ví dụ: kiểm tra van trước nạp/xả) bằng hệ thống interlock (khóa liên động) để ngăn chặn lỗi con người do mệt mỏi. Điều kiện áp dụng: Các thao tác critical trong Loading/Unloading Bay. Sai lầm thường gặp: Tiếp tục dùng checklist giấy, đổ lỗi cho lái xe khi họ quên.
• Giám sát Fatigue Indicator (giờ làm việc, thời gian nghỉ) của Dispatcher và Lái xe như một KPI sống còn, và dừng điều độ nếu vượt ngưỡng. Điều kiện áp dụng: Đặc biệt trong ca đêm và các đợt cao điểm tải. Sai lầm thường gặp: Chỉ theo dõi thời gian lái xe, bỏ qua áp lực tâm lý của dispatcher.

HSE (An toàn, Sức khỏe và Môi trường)

• Thay đổi mục tiêu KPI từ giảm số lượng sự cố (Lagging) sang tăng tần suất báo cáo (Leading Indicators: Near-miss, SWA). Điều kiện áp dụng: Ngay lập tức, thay đổi văn hóa báo cáo. Sai lầm thường gặp: Đổ lỗi cho nhân viên khi họ báo cáo near-miss, dẫn đến chỉ số an toàn giả tạo.
• Đảm bảo mọi cuộc điều tra sự cố (RCA) phải truy ngược lên cấp độ áp lực hệ thống (Dispatch/Sales/Finance), không được phép dừng lại ở “lỗi con người.” Điều kiện áp dụng: Bất kỳ Incident/Near-miss cấp độ 3 trở lên. Sai lầm thường gặp: Kết thúc RCA bằng “cần đào tạo lại ý thức.”
• Định kỳ 6 tháng tổ chức đánh giá MOC Audit để kiểm tra xem có MOC nào bị bỏ qua hoặc làm tắt do áp lực thời gian hay không. Điều kiện áp dụng: Bắt buộc, không phụ thuộc vào tình trạng vận hành ổn định hay không. Sai lầm thường gặp: Chỉ kiểm tra MOC khi có sự cố xảy ra.
• Thiết lập danh sách khách hàng Rủi ro Cao (High Risk Customer List) dựa trên chỉ số Unsafe Act/Condition tại địa điểm của họ và khuyến nghị chiến lược Exit nếu không khắc phục. Điều kiện áp dụng: Hàng quý. Sai lầm thường gặp: Để Sales quyết định có Exit khách hàng đó hay không.