Kinh doanh CNG/LNG – HSE / AN TOÀN / RỦI RO (CNG – LNG): Vai trò lãnh đạo trong đánh giá rủi ro. (0040)

Biên giới An toàn là một Hiến pháp Chiến lược, không phải một Bộ quy tắc tuân thủ. Lãnh đạo phải quyết định lúc nào ngừng tăng trưởng để không chết.

Vai trò lãnh đạo trong đánh giá rủi ro không phải là việc ký duyệt các báo cáo hàng quý. Đó là việc thiết lập một Ranh giới An toàn (Safety Boundary) mà KHÔNG MỘT ÁP LỰC KINH DOANH NÀO – dù là OTIF, doanh số, hay dòng tiền – được phép vượt qua. Trong ngành khí hóa lỏng/khí nén (CNG/LNG), rủi ro không phải là sự cố hỏng hóc đơn thuần (hỏng PRU, hỏng van), mà là Rủi ro Thảm họa (Catastrophic Risk): sự cố gây thương vong, mất tài sản lớn, hoặc mất quyền vận hành vĩnh viễn (License to Operate). Quyết định chiến lược an toàn của lãnh đạo nằm ở chỗ: Khi nào hệ thống phải dừng lại, ngay cả khi nó “có vẻ” đang hoạt động hiệu quả và sinh lời. HSE là cơ chế VETO (phủ quyết) trong mọi quyết định.

────────────────────────────────────

A) MỤC LỤC CHIẾN LƯỢC HSE – SAFETY BOUNDARY DOCTRINE

Hiến pháp An toàn này xác định các điều kiện biên và quyền phủ quyết tối thượng nhằm bảo vệ hệ thống khỏi những quyết định hợp lý nhưng có khả năng gây tử vong.

1. Khung Chiến lược An toàn (Strategic Safety Framework)

• Quyền Tối thượng của An toàn: An toàn là điều kiện tồn tại, không phải mục tiêu tối ưu.
• Định nghĩa Sự cố Thảm họa (Catastrophic Event): Sự kiện có xác suất thấp nhưng hậu quả không thể phục hồi (tổn thất trên 10 triệu USD hoặc thương vong).
• Áp dụng Nguyên tắc ALARP (As Low As Reasonably Practicable): Chỉ vận hành khi rủi ro được giảm thiểu đến mức thấp nhất có thể đạt được trong thực tế, bất kể chi phí ngắn hạn.
• Cơ chế Đánh giá Rủi ro Độc lập (Independent Risk Assessment): Tất cả các dự án tăng trưởng, khách hàng mới, hay thay đổi quy trình phải được đánh giá rủi ro bởi đơn vị độc lập với bộ phận Sales và Operations.

2. Ranh giới Vận hành và Quyền Dừng (Operational Boundary & Stop Work Authority)

• Quyền Dừng Việc Tuyệt đối (Stop Work Authority – SWA): Bất kỳ nhân sự nào, từ lái xe, nạp liệu viên, đến kỹ sư trạm, đều có quyền đơn phương dừng mọi hoạt động nếu nhận thấy mối nguy hiểm tức thời.
• Bảo vệ Người Thực hiện SWA: Nghiêm cấm mọi hình thức trả đũa, khiển trách, hoặc giáng cấp đối với người sử dụng SWA, ngay cả khi quyết định dừng hóa ra là sai.
• Giới hạn Thời gian Làm việc Thực tế (Fatigue Limit Policy): Bất kỳ ca làm việc nào vượt quá 12 giờ liên tục (bao gồm cả di chuyển và chờ đợi) đều kích hoạt lệnh dừng nạp/chuyển giao bắt buộc, bất kể cam kết OTIF.
• Quy định Trọng tải Động (Dynamic Load Limit): Giới hạn nạp/tải tối đa phải được điều chỉnh giảm khi thời tiết xấu, áp suất hệ thống dao động, hoặc khi chỉ số mệt mỏi của lái xe đạt ngưỡng R2 (Risk Level 2).

3. Quản lý Thay đổi (Management of Change – MOC) – Cánh cửa Rủi ro

• Định nghĩa Thay đổi Bắt buộc MOC: Bất kỳ thay đổi nào về áp suất, nhiệt độ, hóa chất, thiết bị, quy trình, nhân sự chủ chốt, hoặc lộ trình giao hàng đều cần MOC.
• MOC cho Thay đổi Nhỏ (Minor Change MOC): Thay đổi nhỏ cũng cần MOC rút gọn, cấm tuyệt đối việc bỏ qua MOC vì lý do “quá nhỏ” hoặc “khẩn cấp”.
• Quyền Từ chối Thực hiện Thay đổi: Đội ngũ vận hành có quyền từ chối thực hiện thay đổi nếu MOC không được phê duyệt đầy đủ bởi cả HSE, Ops, và Kỹ thuật.

4. Khách hàng và Điều kiện Biên (Customer & Boundary Conditions)

• Tiêu chuẩn Thẩm định Khách hàng An toàn (Safety Vetting Standard): Cấm tuyệt đối ký hợp đồng với khách hàng mới nếu điểm đánh giá hạ tầng an toàn (HAZID Score) dưới 85%, bất kể volume cam kết.
• Quyền Đơn phương Dừng Cung cấp: Đội ngũ vận hành có quyền đơn phương dừng cung cấp khí ngay lập tức nếu khách hàng vi phạm nghiêm trọng (ví dụ: hút thuốc gần trạm, thao tác sai PRU, thay đổi kết cấu hạ tầng).
• Chính sách Khách hàng Nguy hiểm (Unsafe Customer Policy – UCP): Nếu khách hàng có quá 3 lần Near-miss trong 6 tháng, hoặc từ chối khắc phục 2 lần Non-conformity (NC) lớn, phải kích hoạt quy trình EXIT (chấm dứt hợp đồng), bất kể mức phạt Take-or-Pay.
• Trách nhiệm Dùy trì An toàn: Hợp đồng phải quy định rõ khách hàng chịu trách nhiệm duy trì an toàn trạm nhận, nhưng người giao hàng (lái xe) có trách nhiệm kiểm tra và phủ quyết giao hàng nếu thấy không an toàn.

5. Đánh giá Tích lũy Rủi ro Thiết bị (Cumulative Asset Risk)

• Định nghĩa Lỗi Tích lũy (Cumulative Failure): Tổng số giờ chạy/chu kỳ vượt ngưỡng MTBF, ngay cả khi thiết bị chưa hỏng.
• Lệnh Dừng Khai thác Bắt buộc (Mandatory Decommissioning Order): Bất kỳ thiết bị nào (trailer, PRU, vaporizer, van ESD) vượt quá 95% chu kỳ bảo trì/kiểm định/thay thế theo khuyến nghị của nhà sản xuất hoặc LOPA/HAZOP đều phải dừng khai thác, kể cả khi chưa tìm thấy lỗi.
• Kiểm tra Tình trạng Căng thẳng (Stress State Check): Thiết bị hoạt động trong trạng thái căng thẳng (áp suất cao bất thường, nhiệt độ đỉnh, OTIF gấp) phải được kiểm tra bổ sung ngay sau ca đó.

6. Báo cáo Rủi ro và Sự cố (Incident & Risk Reporting)

• Chính sách Báo cáo Near-Miss Không Hình Phạt (No-Blame Near-Miss Reporting): Bắt buộc nhân viên báo cáo tất cả các sự cố cận nguy, cam kết không trừng phạt người báo cáo nếu sự cố đó không gây hậu quả và không phải hành vi cố ý vi phạm.
• Yêu cầu Phân tích Nguyên nhân Gốc (Root Cause Analysis – RCA): Mọi sự cố, dù nhỏ (drip, leak, rung lắc), đều phải được RCA, cấm tuyệt đối kết luận nguyên nhân gốc là “ý thức kém” hoặc “thiếu tập trung”.
• Giới hạn Tỷ lệ Báo cáo Thấp (Low Reporting Threshold): Tỷ lệ báo cáo Near-miss thấp là tín hiệu cảnh báo nguy hiểm (người lao động sợ báo cáo), không phải tín hiệu an toàn tốt.

7. Văn hóa An toàn Lãnh đạo (Leadership Safety Culture)

• Cam kết Tài trợ Rủi ro: Lãnh đạo phải phê duyệt ngân sách khắc phục rủi ro được xác định bởi LOPA/HAZOP, ngay cả khi việc này làm giảm Biên gộp (Gross Margin) của quý.
• Tần suất Kiểm tra An toàn Bất ngờ (Unannounced Safety Audit): Ban lãnh đạo cấp cao (CEO/COO) phải đích thân thực hiện kiểm tra an toàn tại hiện trường (trạm nạp, trạm khách hàng) ít nhất 1 lần/tháng.
• Tiêu chí Dừng Tăng trưởng: Nếu việc mở rộng tuyến/khách hàng mới làm giảm đáng kể Tỷ lệ Kiểm soát An toàn (Safety Control Ratio – SCR) hoặc tăng Tỷ lệ Mệt mỏi (Fatigue Rate), phải dừng tăng trưởng.

────────────────────────────────────

B) ĐỊNH VỊ HSE – SAFETY IS A STRATEGIC BOUNDARY

Trong kinh doanh CNG/LNG, việc đánh giá rủi ro không thể đặt ngang hàng với các quy trình kinh doanh khác. HSE ở đây mang tính định nghĩa sự tồn tại.

HSE trong CNG/LNG LÀ:

1. Một hệ thống quản trị rủi ro thảm họa (Catastrophic Risk Management System). Chúng ta không quản lý rủi ro đơn thuần, chúng ta quản lý khả năng một sai sót nhỏ có thể dẫn đến việc toàn bộ hệ thống phát nổ, gây chết người, và làm mất thị trường hàng tỷ đồng. Nhiệt độ của LNG là -162°C, áp suất của CNG lên tới 250 bar. Sai sót ở đây là không thể sửa chữa.
2. Một ranh giới không thể thương lượng cho tăng trưởng và doanh thu. Ranh giới này được gọi là Safety Margin. Giả sử hệ thống (PRU, vaporizer, đường ống) được thiết kế để chịu 150% công suất danh định. Việc lãnh đạo cho phép tăng tải lên 140% để thỏa mãn yêu cầu OTIF của khách hàng lớn là một quyết định chiến lược an toàn tồi, vì nó tiêu hao nhanh chóng Safety Margin.
3. Một cơ chế veto chiến lược trong các quyết định có áp lực OTIF, Sales, dòng tiền. Bộ phận HSE và Ops có quyền phủ quyết (veto) quyết định của Commercial/Finance. Ví dụ: Commercial ký hợp đồng với điều khoản giao hàng 24/7/365 mà không có Safety Buffer về nhân sự và thiết bị, dẫn đến nhân viên phải làm việc quá sức. HSE phải phủ quyết thỏa thuận đó, hoặc buộc Commercial phải trả chi phí cao hơn gấp 3 lần cho nhân sự dự phòng, khiến thỏa thuận không còn hấp dẫn về mặt tài chính.

HSE KHÔNG PHẢI:

4. ESG (Môi trường, Xã hội, Quản trị). ESG là tập hợp các tiêu chuẩn quản lý rủi ro danh tiếng và bền vững dài hạn. HSE là quản trị rủi ro chết người ngắn hạn. Chúng ta không thể nói về giảm phát thải (E trong ESG) khi chúng ta chưa kiểm soát được việc van áp suất xả khí methane ra môi trường do lỗi vận hành (HSE).
5. Ops (Vận hành). Vận hành tập trung vào hiệu suất (Performance) và chi phí (Cost). HSE tập trung vào Hậu quả (Consequence) và Xác suất (Probability). Ops muốn rút ngắn thời gian nạp để tăng OTIF; HSE buộc phải duy trì checklist 45 phút, ngay cả khi thời gian nạp thực tế chỉ mất 20 phút.
6. Bộ quy trình huấn luyện an toàn cơ bản. Huấn luyện chỉ là một phần nhỏ của bức tranh. Chúng ta không chết vì thiếu poster an toàn, chúng ta chết vì bỏ qua logic hệ thống.

Sự thật đau đớn là: Doanh nghiệp CNG/LNG không chết vì thiếu quy trình HSE, mà chết vì bỏ qua HSE trong những quyết định “rất logic” (logic về mặt kinh tế). Logic đó là: “Khách hàng đang cần, chúng ta phải giao. Chúng ta có thể bỏ qua bước kiểm tra nhỏ này để tiết kiệm 15 phút.” 15 phút đó có thể là ranh giới giữa an toàn và thảm họa.

────────────────────────────────────

C) HSE KHÔNG BAO GIỜ ĐỨNG ĐỘC LẬP – NHƯNG KHÔNG ĐƯỢC HÒA TAN

HSE chỉ phát huy tác dụng khi nó đối lập với áp lực kinh doanh. Nếu HSE hòa tan vào Ops, nó sẽ biến thành một bộ phận hỗ trợ sản xuất, và Safety Margin sẽ bị tiêu hao dần cho hiệu suất.

Logic vận hành và hệ quả rủi ro:

• Quyết định Tăng Khối lượng Phục vụ → Áp lực Tăng Công suất Nạp/Giao → Rủi ro Tăng Tốc độ Nạp → HSE buộc phải can thiệp (Giảm áp suất nạp/giảm lưu lượng hoặc tăng thời gian nạp), làm chậm OTIF, nhưng đảm bảo không vượt quá giới hạn thiết kế của đường ống/van.
• Quyết định Ký Hợp đồng Giá Rẻ (Low Margin Contract) → Áp lực Giảm Chi phí Vận hành (Cost Reduction) → Rủi ro Kéo dài Chu kỳ Bảo trì/Tái sử dụng Phụ tùng cũ → HSE buộc phải can thiệp (Duy trì chi phí bảo trì định kỳ theo chuẩn MTBF/MBTR), khiến hợp đồng giá rẻ đó trở nên lỗ vốn.
• Quyết định Mua Thiết bị Rẻ/Cũ (Cost-efficient Sourcing) → Áp lực Tiết kiệm Đầu tư → Rủi ro Chất lượng Thiết bị không đồng bộ (Van không có chứng nhận chống cháy/ESD hoạt động chậm) → HSE buộc phải can thiệp (Yêu cầu MOC, HAZID nghiêm ngặt cho thiết bị không đạt chuẩn NFPA 59A), trì hoãn hoặc buộc phải thay đổi nhà cung cấp, làm chậm tiến độ dự án.

Lãnh đạo phải hiểu rằng, khi một CFO hỏi: “Tại sao chúng ta phải chi 50.000 USD để thay van ESD này khi nó vẫn hoạt động?”, câu trả lời của HSE không phải là “vì quy định,” mà là “vì LOPA của chúng ta chỉ ra rằng nếu van này thất bại sau 5 năm sử dụng liên tục (vượt MTBF), xác suất rò rỉ khí độc gây thương vong sẽ vượt ngưỡng Rủi ro Chấp nhận được (Tolerable Risk).” Chi 50.000 USD là để mua lại khả năng tồn tại.

────────────────────────────────────

D) 6 TRỤC CHIẾN LƯỢC HSE BẮT BUỘNG

1. HSE & QUYỀN DỪNG VẬN HÀNH (STOP WORK AUTHORITY – SWA)

SWA là trái tim của hệ thống an toàn chiến lược. Nó không phải là một khẩu hiệu, mà là một quyền lực được bảo vệ bởi CEO.

Khi nào Ops có quyền nói “KHÔNG”:

• Khi Driver/Nạp liệu viên phát hiện bất kỳ hỏng hóc nào của van, áp kế, nhiệt kế mà không nằm trong danh sách lỗi chấp nhận được (Tolerable Defect List – TD).
• Khi điều kiện thời tiết tại trạm nhận vượt ngưỡng an toàn (sấm sét, bão, ngập lụt).
• Khi Driver phát hiện khách hàng không tuân thủ quy tắc PCCC cơ bản (ví dụ: không có bình chữa cháy, vật liệu dễ cháy gần trạm, thao tác thiếu người giám sát).

Trong môi trường OTIF khốc liệt, áp lực từ Dispatch là cực lớn: “Phải giao hàng trước 8 giờ sáng, nếu không khách hàng ngừng sản xuất.” Quyền SWA cho phép lái xe, sau khi kiểm tra tại chỗ, gọi điện thoại trực tiếp cho cấp quản lý cao nhất (không phải Dispatcher) và nói: “Tôi dừng nạp vì rủi ro rò rỉ ở khớp nối ống mềm (hose coupling) của khách hàng. Tôi cần kiểm tra kỹ hơn 30 phút, hoặc yêu cầu khách hàng thay khớp nối.” Nếu CEO không bảo vệ quyết định này, SWA sẽ chết.

Vấn đề cốt lõi: SWA thường bị vô hiệu hóa bởi văn hóa sợ hãi. Nếu người dừng việc bị ghi nhận là “gây chậm trễ” thay vì “ngăn chặn sự cố,” không ai còn dám sử dụng SWA nữa. Đây là điểm gãy đầu tiên của hệ thống an toàn.

2. HSE & FATIGUE / HUMAN ERROR (MỆT MỎI VÀ LỖI CON NGƯỜI)

Lỗi con người là nguyên nhân trực tiếp của hầu hết các tai nạn, nhưng mệt mỏi là nguyên nhân gốc của lỗi con người. Trong ngành CNG/LNG, việc điều độ (Dispatching) thường đẩy nhân viên vào trạng thái quá tải do áp lực giao hàng đúng giờ (OTIF pressure).

Mối liên hệ giữa mệt mỏi và tai nạn:

CNG/LNG yêu cầu sự tập trung tuyệt đối khi thao tác kết nối, xả áp, làm lạnh đường ống, và giám sát nạp/xả. Những thao tác này không thể thực hiện bằng phản xạ. Mệt mỏi (Fatigue) làm giảm khả năng ra quyết định, làm tăng MTTR (Mean Time To Respond) đối với các sự cố bất ngờ (ví dụ: van xì, áp suất tăng đột ngột).

Ví dụ cụ thể:

Lái xe liên tục 16 tiếng (12 tiếng lái, 4 tiếng chờ nạp/giao) sẽ có xác suất quên kiểm tra van xả áp hoặc lắp sai khớp nối tăng lên gấp nhiều lần. Một tai nạn “nhỏ” (near-miss rò rỉ khí) nhìn lại thường có dấu hiệu mệt mỏi trước đó:

• Ghi chép sổ ca sai.
• Quên kiểm tra chốt an toàn.
• Thời gian nạp/xả chậm hơn 20% so với trung bình nhưng không báo cáo.

Chỉ số Mệt mỏi (Fatigue Indicator) phải được theo dõi từ dữ liệu GPS và ERP:

• Giờ làm việc liên tục (continuous working hours).
• Số ca đêm liên tục (consecutive night shifts).
• Thời gian nghỉ ngơi giữa hai ca (rest period).
• Nguồn dữ liệu: GPS (thời gian di chuyển và dừng), ERP (thời gian nạp/xả), Sổ ca (thời gian bắt đầu/kết thúc).

3. HSE & KHÁCH HÀNG NGUY HIỂM (THE UNACCEPTABLE RISK CUSTOMER)

Trong kinh doanh khí, bạn không chỉ bán khí, bạn còn “bán” rủi ro tiềm tàng của khí cho khách hàng. Nếu hạ tầng và văn hóa an toàn của khách hàng kém, rủi ro thảm họa của họ trở thành rủi ro thảm họa của bạn.

Vì sao có khách bắt buộc phải EXIT, dù volume và giá tốt:

• A. Hạ tầng không đạt chuẩn: Ví dụ, khách hàng dùng vật liệu không chống cháy cho mái che trạm, lắp đặt thiết bị điện không chống nổ (non-Ex proof) gần khu vực PRU/Vaporizer, hoặc không có hàng rào bảo vệ (fence) chống xe bên ngoài đâm vào.
• B. Thao tác sai lặp lại: Khách hàng cho nhân viên tự ý điều chỉnh áp suất, thay van mà không có chuyên môn, hoặc cố ý bypass các khóa an toàn (interlock).
• C. Văn hóa an toàn thấp: Khách hàng không cho phép nhân viên của bạn thực hiện checklist an toàn đầy đủ, gây áp lực về thời gian, hoặc từ chối cung cấp chứng chỉ kiểm định PCCC/môi trường.

Điều kiện an toàn tối thiểu để tiếp tục phục vụ:

• Khách hàng phải có ESD (Emergency Shutdown Device) tại trạm, được kiểm tra định kỳ 6 tháng.
• Khách hàng phải có đội ngũ ứng phó sự cố tại chỗ (mặc dù sự cố thuộc về bên cung cấp khí).
• Khách hàng phải đồng ý để bên cung cấp (bạn) thực hiện kiểm tra an toàn bất ngờ (unannounced safety audit) ít nhất 1 lần/quý.

Nếu khách hàng vi phạm và từ chối khắc phục, dù họ là khách hàng Take-or-Pay lớn nhất, lãnh đạo phải kích hoạt quy trình UCP (Unsafe Customer Policy) và sẵn sàng chấp nhận mất doanh thu, thậm chí đối mặt với kiện tụng. Rủi ro của một vụ nổ tại cơ sở khách hàng sẽ tốn kém hơn chi phí kiện tụng và đền bù hợp đồng gấp 100 lần.

4. HSE & THIẾT BỊ / TÀI SẢN (EQUIPMENT INTEGRITY)

“Thiết bị còn chạy được” KHÔNG đồng nghĩa “còn an toàn”. Điều này đặc biệt đúng với các thành phần chịu áp suất và nhiệt độ cực đoan như van, ống mềm (hose) và các thiết bị điều áp (PRU).

Rủi ro tích lũy (Accumulated Risk) là gì?

Một chiếc Trailer chở LNG/CNG được thiết kế để chịu hàng ngàn chu kỳ nạp/xả. Mỗi chu kỳ tạo ra áp lực vật lý lên mối hàn, gioăng, và van. Ngay cả khi thiết bị vẫn vượt qua kiểm định định kỳ, tuổi thọ thực tế của các bộ phận cơ khí đã giảm dần.

• MTBF (Mean Time Between Failures): Thời gian trung bình giữa các lần hỏng hóc.
• MTTR (Mean Time To Repair): Thời gian trung bình để sửa chữa.

HSE phải làm việc ngược lại với Ops và Finance. Finance muốn kéo dài tuổi thọ tài sản để tối ưu hóa khấu hao. Ops muốn thiết bị luôn sẵn sàng (availability cao). HSE buộc phải đưa ra ngưỡng dừng dựa trên LOPA (Layer of Protection Analysis).

Khi nào tài sản phải dừng khai thác vì rủi ro tích lũy:

• Khi một van chịu áp suất đã đạt 90% tuổi thọ thiết kế (Dựa trên số chu kỳ đóng/mở ghi nhận trên SCADA), nó phải được thay thế, không phải đợi nó hỏng.
• Khi các phép đo siêu âm (UT) định kỳ chỉ ra độ mỏng thành ống vượt quá 5% so với lần đo trước, dù vẫn nằm trong giới hạn an toàn danh nghĩa.
• Khi có sự gia tăng đột biến về tỷ lệ sự cố cận nguy (Near-miss) liên quan đến một nhóm thiết bị (ví dụ: 3 sự cố rò rỉ khí ở khớp nối loại A trong 2 tháng).

HSE phải có quyền ra lệnh Decommissioning Order (lệnh dừng khai thác) dựa trên dữ liệu tích lũy rủi ro (Cumulative Risk Data), không chỉ dựa trên việc thiết bị có còn hoạt động hay không.

5. HSE & QUẢN LÝ THAY ĐỔI (MANAGEMENT OF CHANGE – MOC)

Tai nạn thảm khốc trong ngành khí thường bắt nguồn từ những thay đổi tưởng chừng “rất nhỏ” nhưng lại làm hỏng cơ chế bảo vệ kép (Layer of Protection). MOC là quy trình đảm bảo mọi thay đổi đều được đánh giá rủi ro trước khi thực hiện.

Những thay đổi “rất nhỏ” nhưng gây tai nạn lớn:

• Đổi nhà cung cấp ống mềm (hose): Ống mới có áp suất danh định bằng ống cũ, nhưng chất lượng vật liệu kém hơn, dễ bị giòn khi nhiệt độ thay đổi đột ngột.
• Đổi lịch điều độ: Thay vì giao hàng vào ban ngày, Dispatch đổi sang giao ban đêm để tránh kẹt xe, nhưng trạm khách hàng thiếu ánh sáng, tăng rủi ro thao tác sai.
• Đổi người vận hành: Một lái xe mới chưa được đào tạo đầy đủ về quy trình xả áp (depressurizing) phức tạp của một loại PRU đặc biệt.

MOC bị bypass trong thực tế như thế nào:

1. Bypass vì Khẩn cấp (Emergency Bypass): “Khách hàng sắp hết khí, không thể đợi MOC phê duyệt 3 ngày.” → Thao tác thay đổi áp suất vận hành được thực hiện ngay lập tức.
2. Bypass vì Thiếu nhận thức: Người vận hành coi việc thay đổi tuyến đường tránh kẹt xe là thay đổi vận hành bình thường, không nhận ra nó ảnh hưởng đến Fatigue Level và thời gian phản ứng sự cố.
3. Bypass vì Văn hóa: Không ai muốn là người “làm khó” công việc của người khác, nên MOC bị coi là thủ tục hành chính thay vì công cụ đánh giá rủi ro.

Lãnh đạo phải tạo ra một môi trường mà việc bypass MOC, dù trong trường hợp khẩn cấp, đều là hành vi không thể chấp nhận được. Nếu khẩn cấp, MOC phải được thực hiện với các biện pháp giảm thiểu rủi ro bổ sung (Interim Measures), và phải có phê duyệt cấp cao ngay lập tức.

6. HSE & CHI PHÍ ẨN (HIDDEN COST OF INCIDENTS)

Tai nạn không chỉ là chi phí y tế và đền bù injury (thương tật). Chi phí ẩn là thứ giết chết doanh nghiệp CNG/LNG.

Các chi phí ẩn:

• Downtime Vận hành (Operational Downtime): Toàn bộ trạm nạp có thể bị đóng cửa để điều tra sự cố trong 2 tuần, khiến bạn mất khả năng phục vụ tất cả khách hàng khác.
• Mất Quyền Vận hành (Loss of License to Operate – LTO): Nếu sự cố gây ảnh hưởng đến cộng đồng xung quanh, chính quyền địa phương có thể rút giấy phép vận hành hoặc áp đặt các lệnh hạn chế vĩnh viễn.
• Mất Niềm tin Địa phương (Community Trust): Việc xây dựng lại niềm tin này mất nhiều năm và hàng triệu USD chi phí quan hệ công chúng (PR).
• Tăng Chi phí Bảo hiểm (Insurance Premium Spike): Sau một sự cố lớn, phí bảo hiểm thảm họa (Catastrophe Coverage) có thể tăng gấp 3-5 lần, hoặc bị từ chối bảo hiểm.
• Ảnh hưởng Tới Lợi thế Cạnh tranh (Carbon Intensity vs. Safety): Nếu sự cố là rò rỉ methane lớn (fugitive emission), nó ảnh hưởng tiêu cực đến chỉ số Carbon Intensity (được các nhà đầu tư theo dõi), cản trở việc huy động vốn cho các dự án ESG.

Tính toán Cost-to-Serve (CTS) phải bao gồm Chi phí Rủi ro Dự phòng (Risk Provisioning Cost). Đây là lý do vì sao An toàn luôn rẻ hơn Tai nạn gấp nhiều lần. Một khoản đầu tư 100.000 USD vào hệ thống phát hiện rò rỉ khí (Gas Detector) và tự động dừng (ESD) có thể ngăn chặn tổn thất 50 triệu USD nếu xảy ra thảm họa.

────────────────────────────────────

E) CASE STUDY HSE – PHẢI LÀ CASE “AN TOÀN THẬT”

Hai tình huống sau đây làm rõ cách hệ thống kinh doanh tạo áp lực và cách HSE can thiệp bằng cách ra quyết định dừng/từ chối.

TÌNH HUỐNG 1: Near-miss tại Trạm nạp (Root Cause là áp lực OTIF)

BỐI CẢNH VẬN HÀNH:

• Loại khách: 03 nhà máy gạch/gốm sứ (VLXD) tuyến Hà Nội – Hải Phòng.
• Quy mô: 120.000 Sm³/ngày.
• Tuyến: 24/7, 4 trailer CNG (Type III, 250 bar), 2 tài xế/xe (4 ca/ngày).
• Thách thức: Tải hệ thống liên tục 100%. Khách hàng VLXD có mức phạt OTIF rất cao (10.000 USD/giờ chậm trễ cung cấp). Dispatch bị áp lực phải tối ưu hóa thời gian quay vòng (turnaround time).

TÌNH HUỐNG THỰC TẾ:

Vào ca đêm (3:00 sáng), tại trạm nạp (Loading bay 3), Nạp liệu viên A (người đã làm việc 14 giờ liên tục) thực hiện thao tác nạp trailer. Do muốn tiết kiệm thời gian (áp lực OTIF của 2 chuyến xe đang chờ), A đã bỏ qua bước kiểm tra áp suất dư (Residual Pressure Check) của trailer trước khi kết nối. A kết nối ống nạp khi van xả của trailer chưa đóng hoàn toàn (lỗi nhỏ nhưng hiếm). Trong quá trình nạp, áp suất bên trong trailer tăng quá nhanh, vượt qua 260 bar (thiết kế 250 bar). Hệ thống an toàn (relief valve) kích hoạt, xả một lượng lớn khí CNG (chủ yếu là methane) ra môi trường trong 15 giây. Đây là một Near-miss (sự cố cận nguy), không gây thương tật, nhưng nếu có nguồn đánh lửa, hậu quả là thảm họa.

CHẨN ĐOÁN NGUYÊN NHÂN GỐC (RCA):

• Nguyên nhân trực tiếp: Nạp liệu viên A bỏ qua checklist an toàn nạp liệu.
• Nguyên nhân hệ thống (Root Cause): Áp lực OTIF quá lớn và thất bại của Chính sách Quản lý Mệt mỏi (Fatigue Management Policy).
• 1. Thất bại trong Demand Forecasting: Bộ phận Commercial ký hợp đồng 100% capacity mà không có Safety Buffer, dẫn đến việc Dispatch phải ép tải 24/7.
• 2. Nạp liệu viên A bị Fatigue: 14 giờ làm việc liên tục (vượt giới hạn 12 giờ của Policy 2.3). Mệt mỏi khiến người đó ra quyết định loại bỏ bước kiểm tra chỉ mất 2 phút.
• 3. Thất bại của MOC ngầm: Quy trình nạp đã bị rút gọn “ngầm” trong 2 tuần trước đó để đáp ứng thời gian quay vòng 45 phút/xe, thay vì 60 phút theo SOP gốc.

GIẢI PHÁP TRIỂN KHAI (4 TUẦN):

• 1. Dừng khẩn cấp (SWA): Ngừng hoạt động Loading Bay 3, giảm tải 20% toàn trạm nạp trong 48 giờ để đánh giá lại quy trình.
• 2. Kỹ thuật: Hiệu chỉnh SCADA để tự động khóa van nạp nếu áp suất dư trong trailer (đọc từ sensor) không nằm trong ngưỡng an toàn cho phép, buộc người vận hành phải xác nhận thủ công.
• 3. Nhân sự: Thêm 02 Nạp liệu viên, đảm bảo không ai làm việc quá 10 giờ liên tục.

KẾT QUẢ ĐỊNH LƯỢNG (SAU 12 TUẦN):

• OTIF (On-Time, In-Full): Giảm từ 98.5% xuống 95.0% (Chấp nhận Trade-off).
• Downtime Loading Bay 3: 48 giờ.
• Cost per Sm³ (Tăng): Tăng 1.5% (do tăng chi phí nhân công và điện cho thời gian nạp dài hơn).
• Năng suất nạp/giờ: Giảm 20% (quay lại SOP 60 phút/xe).
• Boil-off rate (LNG, tính tương đương cho xả CNG): Tăng 0.05% trong thời gian xảy ra sự cố, sau đó giảm 0.02% so với baseline do kiểm soát áp suất tốt hơn.
• Tỷ lệ Sự cố Cận nguy (Near-miss frequency): Tăng 150% (Tăng là TỐT, vì nhân viên đã tin tưởng báo cáo).
• Fatigue Indicator (Giờ làm việc > 12h): Giảm từ 15% xuống 0.5%.

TÌNH HUỐNG 2: Quyết định Exit Khách hàng (Veto tài chính vì HSE)

BỐI CẢNH VẬN HÀNH:

• Loại khách: Nhà máy Thép lớn (Thép X), cam kết volume 50.000 Sm³/ngày (LNG).
• Quy mô: Khách hàng lớn thứ 2 về volume.
• Thách thức: Khách hàng cần áp suất cung cấp liên tục, trạm nhận khí đặt sát khu vực nung chảy kim loại, giao thông nội bộ phức tạp.
• Hợp đồng: Ký 5 năm, điều khoản Take-or-Pay 80%.

TÌNH HUỐNG THỰC TẾ:

Trong quá trình thẩm định an toàn ban đầu (HAZID), Trưởng nhóm HSE đã ghi nhận 3 vấn đề lớn:

1. Trạm Vaporizer và PRU của khách hàng đặt quá gần khu vực xe nâng vận chuyển phôi thép (chỉ 2m, tiêu chuẩn là 5m).
2. Tường chắn (blast wall) của khu vực tiếp nhận LNG (LNG reception) không đạt chuẩn chịu lực.
3. Nhân viên khách hàng liên tục hút thuốc trong khu vực được đánh dấu cấm hút thuốc (Non-Compliance Record 5 lần/tháng).

Áp lực tài chính: CFO và Commercial cực kỳ muốn giữ hợp đồng này vì nó đảm bảo dòng tiền ổn định (DSO tốt, EBITDA cao). Họ lập luận: “Khách hàng Thép X là đối tác lớn, họ sẽ khắc phục dần.”

QUYẾT ĐỊNH PHỦ QUYẾT CHIẾN LƯỢC:

Trưởng nhóm HSE kích hoạt UCP (Unsafe Customer Policy – Policy 4.3), yêu cầu dừng hợp đồng. Phân tích LOPA (Layer of Protection Analysis) của HSE chỉ ra:

• Nếu xe nâng đâm vào đường ống dẫn LNG (xác suất cao do giao thông phức tạp và khoảng cách gần), nó có thể phá hủy Layer 1 (Physical barrier) và Layer 2 (Van chặn cơ khí).
• Nếu rò rỉ LNG xảy ra, khí lạnh sẽ tạo thành đám mây dễ cháy. Nguồn đánh lửa từ khu vực nung chảy kim loại là cực kỳ cao.
• Khả năng xảy ra Sự cố Thảm họa (explosion/fire) là 1/10.000 năm vận hành, vượt ngưỡng chấp nhận được (Tolerable Risk, thường là 1/100.000 năm vận hành).

Trưởng nhóm HSE đã trình bày rõ ràng: Rủi ro xảy ra sự cố thảm họa tại Thép X không chỉ làm mất trạm này mà còn làm mất LTO (License to Operate) của công ty tại toàn bộ khu vực công nghiệp đó.

GIẢI PHÁP VÀ KẾT QUẢ TÀI CHÍNH:

• Quyết định: Kích hoạt quy trình EXIT hợp đồng, chấp nhận bị phạt 3.5 triệu USD theo điều khoản Take-or-Pay (tính theo 20% volume cam kết còn lại của năm đầu tiên).
• Hành động: Công ty mất doanh thu ngắn hạn 3.5 triệu USD, nhưng loại bỏ rủi ro tiềm tàng được định lượng ở cấp độ 50–100 triệu USD (bao gồm tổn thất tài sản, kiện tụng, và chi phí phục hồi LTO).
• Kết quả định lượng:
• EBITDA (ngắn hạn): Giảm 15% trong quý đó.
• Rủi ro Catastrophic (LOPA Score): Giảm về ngưỡng chấp nhận được (Tolerable Risk).
• Tồn kho an toàn (Safety Stock): Giảm (do không phải phân bổ gas cho khách hàng rủi ro).
• Tỷ lệ Sự cố PCCC của Khách hàng: Giảm 100%.
• Biên gộp ròng: Tăng nhẹ trong dài hạn (do không phải đầu tư chi phí giám sát an toàn bổ sung cho khách hàng này).

Đây là minh chứng cho việc Lãnh đạo cấp cao (CEO/CFO) phải chấp nhận rằng: An toàn không phải là một trung tâm chi phí, mà là một cơ chế quản trị rủi ro tài chính và pháp lý tối thượng.

────────────────────────────────────

F) KPI HSE – ĐO ĐÚNG ĐỂ DỪNG ĐÚNG

Việc đo lường HSE trong kinh doanh CNG/LNG phải tập trung vào các chỉ số hàng đầu (Leading Indicators) – những thứ cảnh báo trước tai nạn – thay vì chỉ số hàng sau (Lagging Indicators) – những thứ đo lường sau khi tai nạn đã xảy ra (ví dụ: Tỷ lệ tai nạn mất thời gian làm việc LTIF).

Các chỉ số quan trọng và Khung tính:

1. Near-miss Frequency (Tần suất Cận nguy):
   • Ý nghĩa: Đo lường mức độ chủ động báo cáo và nhận diện mối nguy của nhân viên.
   • Công thức: (Tổng số Near-miss báo cáo / Tổng số giờ làm việc) * 200.000 (hoặc theo quy mô).
   • Dữ liệu lấy từ: Incident & Near-miss Reporting System.
   • Lưu ý Vận hành: Nếu chỉ số này TĂNG, đó là TÍN HIỆU TỐT. Nó chứng tỏ văn hóa an toàn cởi mở, nhân viên không sợ bị phạt khi báo lỗi. Nếu chỉ số này BẰNG KHÔNG hoặc GIẢM liên tục, đó là cảnh báo nguy hiểm (người ta đang che giấu rủi ro).
2. Unsafe Act / Unsafe Condition Ratio (Tỷ lệ Hành vi/Điều kiện không an toàn):
   • Ý nghĩa: Mức độ tuân thủ quy trình và trạng thái thiết bị thực tế.
   • Công thức: Tổng số vi phạm / Tổng số giờ giám sát an toàn.
   • Dữ liệu lấy từ: Báo cáo kiểm tra hiện trường (Spot Check Report), Audit HSE.
   • Quyết định Vận hành: Nếu tỷ lệ này cao, cần kích hoạt ngay chương trình tái đào tạo hoặc tăng cường giám sát.
3. Fatigue Indicator (Chỉ số Mệt mỏi):
   • Ý nghĩa: Xác định nhân viên đang hoạt động vượt quá giới hạn an toàn.
   • Công thức: % Nhân viên vượt quá 12 giờ làm việc liên tục / Tổng số ca làm việc.
   • Dữ liệu lấy từ: GPS (thời gian lái xe và dừng), ERP (thời gian nạp/xả), Sổ ca.
   • Cảnh báo: Phải được gắn trực tiếp vào hệ thống Dispatch. Nếu chỉ số đạt ngưỡng (ví dụ: > 10% ca làm việc), Dispatcher phải bị cảnh cáo và hệ thống điều độ bị điều chỉnh.
4. Equipment Overdue Inspection Rate (Tỷ lệ Thiết bị trễ hạn kiểm tra):
   • Ý nghĩa: Mức độ tuân thủ bảo trì định kỳ, phản ánh rủi ro tích lũy.
   • Công thức: (Số thiết bị vượt quá hạn kiểm định / Tổng số thiết bị cần kiểm định) * 100%.
   • Dữ liệu lấy từ: Hệ thống CMMS (Computerized Maintenance Management System).
   • Quyết định Tài chính: Chỉ số này không được phép vượt 5%. Nếu vượt, phải bổ sung ngay ngân sách khẩn cấp để thuê ngoài hoặc tăng ca bảo trì, ngay cả khi làm giảm dòng tiền.
5. Permit-to-work Violation Rate (Tỷ lệ Vi phạm Giấy phép Làm việc):
   • Ý nghĩa: Mức độ nghiêm túc khi thực hiện các công việc nguy hiểm (Hot work, Cold work, Work at height, Working in confined space).
   • Công thức: Số Permit-to-work bị phát hiện vi phạm / Tổng số Permit đã cấp.
   • Dữ liệu lấy từ: HSE Audit Report.
   • Rủi ro Hệ thống: Vi phạm PTW là dấu hiệu rõ ràng của việc bỏ qua MOC và quy trình an toàn cơ bản, thường dẫn đến sự cố.
6. Stop Work Activation Count (Số lần Kích hoạt Quyền Dừng Việc):
   • Ý nghĩa: Mức độ sử dụng quyền lực tối thượng của nhân viên, phản ánh sức khỏe của văn hóa an toàn.
   • Công thức: Tổng số lần SWA được sử dụng/tháng.
   • Dữ liệu lấy từ: Báo cáo SWA.
   • Lưu ý Vận hành: Chỉ số này TĂNG là TÍN HIỆU CỰC KỲ TỐT. Nó cho thấy nhân viên cảm thấy được trao quyền và an toàn để ngăn chặn rủi ro. Lãnh đạo phải công khai khen thưởng những người kích hoạt SWA.

Bảng Tham chiếu Chỉ số Kỹ thuật (Tối thiểu 10 chỉ số)

chỉ số	ý nghĩa vận hành	nguồn dữ liệu	khung tính
OTIF	Độ tin cậy giao hàng	ERP + POD	(Số đơn giao đúng giờ/Tổng đơn) * 100%
cost per Sm³	Chi phí thực trên mỗi Sm³	ERP + SCADA	(Tổng chi phí Ops + Log / Tổng Sm³ đã giao)
Năng suất nạp/giờ	Hiệu suất nạp tại trạm	SCADA	Sm³ đã nạp / Giờ nạp
km rỗng	Tỷ lệ quãng đường không tải	GPS + Dispatch System	Tổng km rỗng / Tổng km có tải
boil-off rate	Tỷ lệ hao hụt khí lỏng	SCADA + Cân nặng	% khối lượng mất do bốc hơi
MTBF (Vaporizer)	Độ bền thiết bị	CMMS	Tổng giờ hoạt động / Số lần hỏng hóc
DSO (Days Sales Outstanding)	Tốc độ thu hồi nợ	ERP (Finance)	Trung bình số ngày thu nợ
Carbon Intensity	Phát thải CO2e/đơn vị năng lượng	Phòng Môi trường (Scope 1/2)	Tấn CO2e / MWh năng lượng cung cấp
Unsafe Customer Ratio	Tỷ lệ khách hàng rủi ro cao	HAZID Scorecard + UCP Log	Số khách hàng UCP / Tổng số khách hàng
Permit Violation Rate	Mức độ tuân thủ công việc nguy hiểm	HSE Audit	(Số vi phạm PTW / Tổng PTW) * 100%

Hệ thống quản lý dữ liệu: Dữ liệu về áp suất, nhiệt độ, lưu lượng (SCADA) phải được tích hợp với dữ liệu di chuyển (GPS) và dữ liệu tài chính (ERP) để tính toán CoV (Cost of Violation) real-time khi có sự cố.

────────────────────────────────────

G) TÍN HIỆU SỚM HSE – RIÊNG, SẮC, KHÔNG CHUNG

Các tín hiệu sớm dưới đây là những dấu hiệu tinh vi của sự suy thoái văn hóa an toàn, không phải là các chỉ số tài chính hay thị trường. Lãnh đạo phải học cách đọc những tín hiệu này để can thiệp trước khi near-miss xảy ra.

1. Dispatcher quá tải: Dispatcher là người điều phối áp lực OTIF. Nếu Dispatcher liên tục phải giải quyết mâu thuẫn giữa lái xe (muốn nghỉ ngơi) và Commercial (muốn giao), người đó sẽ cắt giảm thời gian kiểm tra an toàn hoặc ép nhân viên làm thêm giờ.
2. Lái xe ngại báo lỗi: Lái xe báo cáo hỏng hóc nhỏ (drip, rung lắc) và bị Dispatch/Ops khiển trách vì làm chậm lịch giao hàng. Kết quả là lần sau họ sẽ giấu lỗi.
3. Sổ ca “bình thường” quá đều: Mọi người ghi chép thời gian nạp/xả chính xác đến từng phút, không có bất kỳ ghi chú nào về các vấn đề nhỏ (áp suất dao động, tiếng ồn lạ). Điều này chứng tỏ người vận hành đang ghi chép đối phó, không thực hiện quan sát sâu.
4. Kiểm tra hình thức: Các báo cáo kiểm tra (Pre-trip/Post-trip Inspection) được điền rất nhanh (ví dụ: mất 3 phút để kiểm tra 50 mục).
5. Giao ca vội, không bàn giao rủi ro: Ca trước kết thúc và ca sau tiếp nhận tài sản (trailer/trạm) mà không có quy trình bàn giao rủi ro 15 phút nghiêm ngặt, chỉ đơn giản là trao chìa khóa.
6. Nhân viên không biết số điện thoại SWA: Nhân viên chỉ biết gọi cho cấp quản lý trực tiếp (người tạo áp lực OTIF), không biết gọi cho người giám sát HSE độc lập hoặc đường dây nóng SWA.
7. Thiếu vật tư tiêu hao an toàn: Không có đủ O-ring, gioăng, hoặc phụ kiện thay thế nhanh tại trạm nạp, buộc nhân viên phải tái sử dụng vật tư.
8. Tiêu chuẩn 5S tại trạm nạp giảm: Các dụng cụ lộn xộn, dầu mỡ rớt, không dọn vệ sinh đường ống sau ca làm việc.
9. Tỷ lệ sửa chữa đột xuất (Unscheduled Maintenance) tăng đột biến: Cho thấy bảo trì định kỳ (Scheduled Maintenance) thất bại, và thiết bị đang được khai thác đến ngưỡng hỏng hóc.
10. Thay đổi nhân sự HSE cấp trung liên tục: Đội ngũ HSE cấp trung là người chịu áp lực từ cả dưới (hiện trường) và trên (lãnh đạo). Nếu họ bị thay đổi liên tục, đó là dấu hiệu của sự xung đột chiến lược giữa HSE và Commercial.
11. Ngân sách đào tạo HSE bị cắt giảm (đặc biệt là đào tạo PCCC chuyên sâu và ứng phó rò rỉ khí).
12. Sự chậm trễ trong việc đóng các NC (Non-Conformity): Các vấn đề được ghi nhận trong audit nhưng bị trì hoãn khắc phục quá 30 ngày.
13. Bỏ qua việc sử dụng thiết bị bảo hộ cá nhân (PPE) chuyên dụng cho LNG (quần áo chống lạnh, găng tay cryo) trong các thao tác ngắn.
14. Phản ứng thờ ơ của nhân viên khi thấy người khác vi phạm an toàn.
15. Quản lý sử dụng thiết bị bằng niềm tin: Tin tưởng rằng thiết bị “vẫn tốt” thay vì dựa vào dữ liệu vận hành (SCADA, CMMS).

────────────────────────────────────

H) POLICY SNIPPET RIÊNG CHO HSE – CHÍNH SÁCH QUYỀN DỪNG VIỆC

Chính sách này củng cố vai trò lãnh đạo trong việc trao quyền cho nhân viên cấp dưới để bảo vệ hệ thống, bất chấp chi phí kinh doanh.

TIÊU ĐỀ CHÍNH SÁCH: CHÍNH SÁCH QUYỀN DỪNG VẬN HÀNH (STOP WORK AUTHORITY – SWA)

Mục đích: Đảm bảo mọi nhân viên đều có quyền và nghĩa vụ dừng mọi hoạt động nếu nhận diện mối nguy hiểm tiềm tàng có thể dẫn đến thương vong, tổn thất tài sản nghiêm trọng, hoặc ảnh hưởng môi trường. SWA là quyền lực cao nhất của Ops, được bảo vệ khỏi mọi hình thức trả đũa kinh doanh.

Điều 1: Định nghĩa Mối nguy Cận kề (Imminent Danger)

Mối nguy Cận kề bao gồm, nhưng không giới hạn: rò rỉ khí (LNG/CNG), hỏa hoạn, lỗi thiết bị an toàn (ESD, van xả áp), vi phạm quy trình nạp/xả nghiêm trọng, hoặc tình trạng mệt mỏi quá mức của nhân sự.

Điều 2: Phạm vi Áp dụng Quyền Dừng Việc

Quyền Dừng Việc áp dụng cho mọi hoạt động liên quan đến khí (nạp, xả, vận chuyển, bảo trì, lắp đặt), tại mọi địa điểm (trạm nạp, trạm khách hàng, lộ trình vận chuyển). Bất kỳ nhân sự nào, bao gồm cả nhân sự hợp đồng, đều có quyền kích hoạt SWA.

Điều 3: Quy trình Kích hoạt SWA

• 3.1. Dừng Ngay Lập Tức: Người nhận diện mối nguy phải ngay lập tức dừng công việc bằng hành động rõ ràng (ví dụ: nhấn nút ESD, đóng van chính, hét lên “Stop Work”).
• 3.2. Thông báo Cấp Cao: Ngay sau khi dừng, người đó phải thông báo cho cấp quản lý trực tiếp VÀ ĐƠN VỊ HSE ĐỘC LẬP trong vòng 5 phút, bằng kênh ưu tiên (ví dụ: đường dây nóng SWA).
• 3.3. Bảo vệ Tài sản: Sau khi dừng công việc, nhân sự phải thực hiện các biện pháp giảm thiểu rủi ro (ví dụ: cách ly khu vực, sơ tán người) nếu an toàn.

Điều 4: Điều tra và Khởi động Lại Hoạt động

• 4.1. Điều tra Khẩn cấp: Hoạt động chỉ được khởi động lại sau khi Đội Ứng phó Sự cố/HSE hoàn tất điều tra nguyên nhân gốc và xác nhận mối nguy đã được loại bỏ hoặc giảm thiểu về mức chấp nhận được.
• 4.2. Phê duyệt Khởi động: Việc khởi động lại phải được phê duyệt bởi Trưởng Bộ phận HSE (hoặc người đại diện được ủy quyền cao hơn Trưởng Ops), không được phê duyệt bởi Commercial hay Dispatch.

Điều 5: Bảo vệ Nhân sự

Công ty cam kết tuyệt đối không có hình thức trả đũa nào (bao gồm: giảm lương, sa thải, khiển trách, đánh giá hiệu suất kém) đối với nhân sự sử dụng SWA một cách thiện chí, ngay cả khi sau điều tra xác định việc dừng là không cần thiết (Good Faith Exercise). Bất kỳ quản lý nào vi phạm Điều 5 sẽ bị kỷ luật nghiêm khắc.

────────────────────────────────────

I) RANH GIỚI CUỐI – SAFETY BOUNDARY

HSE là ranh giới không thương lượng. Sự an toàn của một nhân viên và 1.000 tấn LNG luôn đặt trên EBITDA Quý.

Nếu không có Ranh giới An toàn này, doanh nghiệp sẽ rơi vào trạng thái trượt dốc rủi ro (Risk Drift). Risk Drift xảy ra khi các tiêu chuẩn an toàn bị nới lỏng dần theo thời gian để đáp ứng các mục tiêu kinh doanh ngày càng tham vọng.

Ví dụ:

• Năm 1: Kiểm tra an toàn trước nạp 60 phút (Tiêu chuẩn).
• Năm 2: Áp lực OTIF tăng, thời gian kiểm tra giảm xuống 45 phút (Nới lỏng 1).
• Năm 3: Cần tăng trưởng, tuyển thêm khách hàng xa, thời gian lái xe tăng, nhân viên mệt mỏi, thời gian kiểm tra thực tế chỉ còn 30 phút (Nới lỏng 2).
• Năm 4: Sự cố Near-miss xảy ra.

Vai trò của Lãnh đạo là bảo vệ 60 phút kiểm tra đó bằng mọi giá.

Ops có quyền veto vì an toàn: Nếu Dispatch yêu cầu vận chuyển một trailer có chỉ số rung lắc bất thường (ghi nhận từ hệ thống giám sát tình trạng), Trưởng Ops có quyền phủ quyết quyết định đó, bất chấp khách hàng đang đối mặt với nguy cơ ngừng sản xuất. Quyết định Veto này phải được thể hiện rõ ràng trong Biên bản Veto An toàn Chiến lược, và CEO phải là người bảo vệ Biên bản đó trước HĐQT.

CEO/CFO không được ép vượt ranh giới này: Khi CFO hỏi: “Nếu chúng ta dừng nạp khách hàng Thép X, chúng ta mất 3.5 triệu USD. Ai chịu trách nhiệm?” Câu trả lời phải là: “Tôi chịu trách nhiệm về quyết định bảo vệ công ty khỏi rủi ro 50 triệu USD.” Về cơ bản, bộ phận HSE không tạo ra doanh thu, nhưng nó đảm bảo rằng doanh thu được tạo ra không bị xóa sổ bởi một sự cố duy nhất.

Sự an toàn của 1.000 tấn LNG luôn đặt trên EBITDA Quý. Đây là chân lý sống còn của ngành Khí.

────────────────────────────────────

J) ACTIONABLE TAKEAWAYS CHO LÃNH ĐẠO VÀ CÁC CHỨC NĂNG

Hệ thống an toàn là một khoản đầu tư chiến lược, không phải một gánh nặng chi phí.

CEO / COO (Lãnh đạo Chiến lược và Vận hành)

• Thiết lập Ranh giới An toàn (Safety Boundary) công khai: Công bố rằng HSE là điều kiện tồn tại, không thể thương lượng.
• Bảo vệ Quyền Dừng Việc (SWA): Cá nhân CEO phải trực tiếp khen thưởng người đã kích hoạt SWA, đặc biệt là khi SWA gây ra chậm trễ kinh doanh.
• Yêu cầu MOC cho mọi thay đổi nhỏ: Không chấp nhận MOC Bypass vì lý do “khẩn cấp” hay “quá nhỏ.” Mọi MOC khẩn cấp phải được phê duyệt bởi tối thiểu 3 cấp quản lý khác nhau trong 2 giờ.
• Áp dụng UCP (Unsafe Customer Policy): Sẵn sàng từ chối khách hàng đạt điểm HAZID thấp hoặc vi phạm an toàn lặp lại, bất kể volume.
• Đầu tư vào Leading Indicators: Chuyển trọng tâm từ đo lường tai nạn (LTIF) sang đo lường Tần suất Near-miss và Stop Work Activation Count. Sai lầm thường gặp: Coi KPI an toàn tốt là KPI thấp.

CFO (Tài chính và Rủi ro)

• Định giá Chi phí Rủi ro Thảm họa: Yêu cầu mô hình hóa LOPA/HAZOP để định lượng rủi ro Catastrophic (ví dụ: 1/10.000 năm vận hành có thể tốn 50 triệu USD).
• Không Cắt giảm Ngân sách Bảo trì Định kỳ: Bảo trì theo lịch trình (Scheduled Maintenance) phải được ưu tiên tài chính hơn sửa chữa đột xuất (Unscheduled Maintenance). Sai lầm thường gặp: Kéo dài chu kỳ khấu hao thiết bị an toàn để tối ưu hóa P&L ngắn hạn.
• Phê duyệt Ngân sách Độc lập cho HSE: Ngân sách khắc phục Non-conformity (NC) phải được phê duyệt nhanh chóng, không bị ràng buộc bởi ngân sách phòng ban Ops hay Commercial.
• Tính Fatigue Cost: Tính chi phí làm thêm giờ (OT) và rủi ro mệt mỏi vào mô hình định giá (Pricing Model) để Commercial không thể bán giá rẻ mà vẫn yêu cầu thời gian giao hàng vô lý.
• Đảm bảo Bảo hiểm Rủi ro Thảm họa: Rà soát lại bảo hiểm (Liability Insurance) để đảm bảo chi trả đủ cho các sự cố thảm họa đặc trưng của LNG/CNG.

Sales / Commercial (Kinh doanh)

• Đưa Tiêu chuẩn An toàn vào Hợp đồng: Điều khoản về hạ tầng an toàn của khách hàng phải là điều kiện tiên quyết trong hợp đồng, không chỉ là cam kết miệng.
• Cam kết OTIF Cần Bù trừ An toàn: Mọi cam kết giao hàng nhanh (OTIF) phải đi kèm với Safety Buffer về thời gian quay vòng (turnaround time) và nhân sự dự phòng, và phải phản ánh vào giá bán.
• Tuyệt đối Không Gây Áp lực Thời gian cho Ops/Driver: Tránh dùng các từ ngữ gây áp lực như “khẩn cấp,” “phải xong trước…” khi giao tiếp với đội ngũ hiện trường, trừ khi được phê duyệt SWA khẩn cấp. Sai lầm thường gặp: Dùng Sales Escalation để ép Ops bypass quy trình.
• Thẩm định Rủi ro Khách hàng (Vetting): Bắt buộc tham gia thẩm định HSE của khách hàng mới, hiểu rõ các rủi ro, và sẵn sàng từ chối khách hàng nếu điểm HAZID dưới ngưỡng.

Ops / Dispatch (Vận hành và Điều độ)

• Vận hành theo Fatigue Management Policy: Không điều độ nhân sự vượt quá 12 giờ làm việc liên tục (hoặc 8 giờ ca đêm). Yêu cầu điều kiện áp dụng: Phải có hệ thống GPS/ERP tích hợp để đo lường giờ làm việc thực tế.
• Xem xét lại Kịch bản Stress State: Thường xuyên mô phỏng điều độ trong trạng thái căng thẳng (ví dụ: 50% xe hỏng, khách hàng đòi tăng tải đột ngột) và xem nó ảnh hưởng đến quyết định an toàn như thế nào.
• Sử dụng SCADA cho Asset Integrity: Dùng dữ liệu áp suất, nhiệt độ, chu kỳ đóng mở van từ SCADA để tính toán tuổi thọ còn lại (Remaining Life) của thiết bị, thay vì chỉ dựa vào kiểm định hàng năm.
• Không Chấp nhận Giấy phép Làm việc Bị Vi phạm: Trưởng Ops phải có quyền hủy bỏ PTW nếu thấy bất kỳ vi phạm nào, không chờ HSE.

HSE (An toàn và Môi trường)

• Trực tiếp báo cáo CEO: Đảm bảo chức năng HSE báo cáo trực tiếp cho CEO/COO về các vấn đề rủi ro chiến lược, không bị cấp quản lý Ops/Commercial chặn lại.
• Thúc đẩy Báo cáo Near-miss không bị trừng phạt: Đảm bảo cơ chế No-Blame Reporting vận hành hiệu quả. Điều kiện áp dụng: Chỉ áp dụng cho các hành vi sai sót không cố ý hoặc do lỗi hệ thống.
• Thực hiện HAZOP/LOPA định kỳ: Mọi thay đổi lớn về thiết bị, tuyến đường, hoặc quy trình phải được đánh giá rủi ro chuyên sâu (LOPA/HAZOP) bởi các chuyên gia độc lập.
• Thường xuyên Audit UCP: Định kỳ kiểm tra lại tất cả các khách hàng có điểm HAZID từ 85%–90% (vùng rủi ro xám) để đảm bảo họ không trượt về vùng nguy hiểm.
• Đào tạo về Quyền Veto Chiến lược: Đào tạo đội ngũ HSE về cách đưa ra quyết định từ chối/dừng việc một cách có cơ sở dữ liệu và logic tài chính rõ ràng, để có thể đối thoại ngang hàng với CFO.