Системы, которые убивают: кейс Boeing 737 MAX

29 октября 2018 года, 6:20 утра. Boeing 737 MAX авиакомпании Lion Air взлетает из аэропорта Джакарты с 189 пассажирами на борту. Через три минуты капитан запрашивает разрешение вернуться в аэропорт из-за проблем с управлением. Самолет начинает беспорядочно менять высоту. Пилоты отчаянно борются с невидимой силой, которая раз за разом опускает нос самолета вниз. Через 13 минут после взлета связь обрывается.

Boeing заявляет: это единичный инцидент, проблемы с датчиком и человеческий фактор. Флот 737 MAX продолжает коммерческие полеты.

10 марта 2019 года, 8:38 утра по местному времени. Новый Boeing 737 MAX Ethiopian Airlines, всего несколько месяцев эксплуатации, вылетает из Аддис-Абебы в Найроби, на борту 157 человек. Через сорок четыре секунды после взлета датчик угла атаки начинает передавать ложные данные. Еще через 10 секунд самолёт начинает падать. Пилоты безуспешно пытаются набрать высоту. Еще 5 минут спустя самолет разбивается, пролетев всего 50 километров от аэропорта.

Два крушения новых Boeing с опытными экипажами за четыре с половиной месяца. В обоих случаях одинаковая причина: система MCAS получала ложные данные только от одного датчика угла атаки (из двух имеющихся) и автоматически толкала нос самолета вниз, несмотря на попытки пилотов взять управление на себя. Пилоты даже не знали о системе MCAS, потому что Boeing сознательно не включил информацию о ней в свои инструкции.

Вскоре после второй катастрофы приостанавливается эксплуатация 737 MAX по всему миру. Начинается самое масштабное расследование в истории гражданской авиации.

Это статья о том, как руководствуясь, казалось бы, благими намерениями, была спроектирована система, целью которой стало производить опасные самолеты.

Статья будет разбита на две части. Текущая часть представляет собой разбор конкретного кейса — истории Boeing 737 MAX через призму системного мышления. Ее задача — продемонстрировать механизм, посредством которого организационная архитектура детерминирует поведение участников системы и порождает результаты, являющиеся закономерным итогом настройки этой системы.

Согласно Расселу Акоффу, система — это совокупность взаимосвязанных элементов, организованных для достижения общей цели.

Компания – это социальная система. Будучи социальной системой, она обладает следующими атрибутами: у системы есть цель, ее элементы взаимосвязаны между собой, она обладает эмерджентностью (в ней возникают новые свойства, которых нет у отдельных частей системы), кроме того, в ней есть своя иерархия подсистем (команды, отделы, департаменты) и надсистем (ведомства, регуляторы, государство).

Для целостного рассмотрения компании как системы, я буду применять модель «Звезда Гэлбрейта», которая представляет организацию как согласованную конфигурацию пяти элементов: стратегии, структуры, процессов, вознаграждений и HR-политик. Совокупность и сбалансированность этих компонентов формируют реальные цели системы.

В результате функционирования социальной системы возникает ее эмерджентное свойство “Культура”. Культура — это устойчивая модель поведения, убеждений и норм, которая возникает в организации, как результат сложного взаимодействия ее частей.

Таким образом, культура, как и результаты работы системы, являются прямым следствием той конфигурации, которую образует «Звезда Гэлбрейта».

Поворотный момент случился 1 августа 1997 года, когда Boeing поглотил своего конкурента McDonnell Douglas за $14 миллиардов. McDonnell Douglas была компанией, жестко ориентированной на финансовые показатели. Гарри Стоунсайфер, бывший CEO McDonnell Douglas, стал президентом объединенной компании, а затем — CEO Boeing. Он не скрывал своих намерений: “Это великая инженерная фирма, но люди инвестируют в компанию, потому что хотят зарабатывать деньги”. Это было вполне в духе времени и отвечало идеологии 90х годов в американском корпоративном управлении.

В 2001 году штаб-квартира Boeing из Сиэтла, сердца их инженерной культуры, переехала в Чикаго. Физическое расстояние в 3000 километров между руководством и производством стало олицетворением организационного разрыва. Руководители перестали "ходить по цехам" и общаться с инженерами. Компания Boeing была переориентирована на максимизацию акционерной стоимости.

Парадигма Boeing изменилась с "мы — инженерная компания, которая должна зарабатывать деньги" на "мы — финансовая компания, которая производит самолеты".

Исторически, Boeing выстраивала свою стратегию вокруг фокуса на самом лучшем продукте: производить самые безопасные, технологически передовые и надежные самолеты в мире. До 1997 года инновации были важнейшим приоритетом: Boeing инвестировала ресурсы в R&D, каждая новая модель представляла собой инженерный прорыв. Негласный девиз компании “'If it ain't Boeing, I'm not going” в полной мере отражал этот подход.

После слияния с McDonnell Douglas — стратегия Boeing от продукто-центричности, сместилась в сторону операционной эффективности и минимизации затрат. Однако эта стратегия приняла деструктивную форму: компания безжалостно оптимизировала расходы, удаляя всё, что не обеспечивало немедленный финансовый результат. Были существенно сокращены инженерные подразделения, урезаны бюджеты научных исследований и финансирование систем контроля качества. Все, чтобы снизить расходы и повысить маржинальность.

Результатом такой стратегии стало накопление скрытых рисков и уязвимостей, ожидающих внешнего триггера — ситуация, типичная для систем, оптимизированных исключительно под краткосрочные финансовые показатели.

В 2011 году Airbus запустил A320neo — более экономичный самолёт с новыми двигателями. Southwest Airlines, крупнейший клиент Boeing, начал переговоры с Airbus. И Boeing оказался перед выбором: потратить десятилетие и миллиарды долларов на разработку нового самолёта с нуля или быстро модифицировать старый 737, установив на раннюю модель новые двигатели.

Оптимизация затрат победила: Boeing решает создать самолет 737 MAX — модификацию 50-летней конструкции. Главным изменением стали двигатели CFM LEAP-1B, которые были экономичнее, но, вместе с тем, крупнее, что потребовало их иного расположения. А это, в свою, очередь, изменило аэродинамику самолета: появилась тенденция к питчу вверх (nose-up pitch) из-за нежелательного подъёма, создаваемого обтекателем двигателя.

Инженерное решение требовало переработки всей конструкции самолета. А новая финансовая парадигма — быстрого и дешевого “компромисса”.

MCAS (Maneuvering Characteristics Augmentation System) должна была автоматически опускать нос самолета, компенсируя, аэродинамическую нестабильность автоматикой. Цель была в том, чтобы избежать требования о переобучении пилотов на симуляторах, что повлекло бы задержку начала продаж. Более того, Boeing даже не включил информацию о MCAS в документацию, чтобы уйти от лишних вопросов.

Декларируемая стратегия после слияния звучала примерно так: "Максимизировать прибыль через снижение затрат”.

Реальная стратегия была: “Повысить стоимость акций даже ценой повышения рисков для пассажиров".

И, стоит отметить, 20 лет система работала отлично: группа из 50 ТОП-менеджеров заработала более $3 млрд на бонусах и опционах за этот период.

Для разработки 737 MAX выделили отдельный Program Office с программным менеджером и главным инженером проекта. Менеджеры программы 737 MAX отвечали перед вице-президентом коммерческого блока. Все инженерные команды стали отчитываться перед программным менеджером и вице-президентом коммерческого блока, а не перед независимым Chief Engineer Office.

Технические решения согласовывались через Program Management Review — собрания, где финансовые метрики (стоимость, сроки, маржа) доминировали над инженерными рисками.

До слияния с McDonnell Douglas инженеры Boeing отчитывались перед главным инженером. Главный инженер обладал исключительными полномочиями: мог сказать "нет" любому топ-менеджеру, если видел угрозу безопасности.

После слияния структура изменилась. Инженеры, ответственные за разработку 737 MAX, стали отчитываться перед руководителями бизнес-подразделений, чья премия зависела от финансовых показателей.

В результате информация проходила через фильтр бизнеса и его приоритетов. То, что создавало проблемы для бюджета и/или графика, застревало на уровне бизнес-подразделения. И главный инженер слышал то, что бизнес решал ему сказать.

Позднее, главный инженер проекта 737 MAX Майкл Тил под присягой заявлял, что не знал ключевых особенностей системы MCAS, включая ее зависимость от одного датчика угла атаки.

Невозможно иметь культуру безопасности, когда структура подчиняет инженеров менеджерам, чей доход прямо зависит от экономии, скорости и прибыли, и чьи компетенции ограничиваются финансовыми аспектами бизнеса.

Совет директоров Boeing не имел постоянного комитета, ответственного за безопасность. Безопасность не была регулярным пунктом повестки дня заседаний совета. Более того, совет не имел механизмов для получения внутренней обратной связи о безопасности, да и не стремился ее получать.

У Boeing была политика "Seek, Speak & Listen", призывающая сотрудников высказываться о проблемах. Но расследование показало: сотрудники не понимали, о каких проблемах можно сообщать через портал, и не верили, что конфиденциальность будет сохранена.

В результате получается ситуация, когда инженер, работающий над системой безопасности, видит проблему. Его непосредственный руководитель — бизнес-менеджер, чей бонус зависит от сроков и экономии, — не хочет эскалировать проблему, потому что рискует потерять личный доход. Проблема застревает на уровне мидл-менеджмента и эскалация откладывается с надеждой на исправление с помощью очередной “заплатки”.

Кроме того, расследование выявило массовые свидетельства возмездия против тех, кто поднимал вопросы безопасности. Сэм Салехпур, инженер по качеству, рассказывал, как его изолировали, перевели на другую должность и угрожали после того, как он сообщил о дефектах производства 787 Dreamliner. Джон Барнетт, другой информатор, был внесён в список "Quality Managers to Get Rid Of" (“Менеджеры по качеству от которых стоит избавиться”) и ушёл на досрочную пенсию по медицинским показаниям из-за хронического стресса.

Процессы, особенно в области сертификации и управления рисками, оказались критически слабыми. Тут стоит оговориться: Boeing не существовал в вакууме. Компания действовала внутри регуляторной надсистемы — FAA (Federal Aviation Administration — Федеральное управление гражданской авиации США), которая в значительной степени повлияла на случившиеся события.

Boeing использовал гос. программу, реализованную от Управления гражданской авиации США – ODA (Organizational Designation Authorization), которая делегировала Boeing право на самосертификацию своих продуктов. Это создало колоссальный конфликт интересов, поскольку инженеры Boeing могли оценивать сами себя. Процесс сертификации 737 MAX, ожидаемо, проходил максимально быстро и поверхностно, чтобы сэкономить время и деньги.

Система вознаграждений формирует реакцию на проблемы. Если бонус привязан к срокам и экономии, менеджер заинтересован преуменьшить масштаб проблемы, найти временное решение и недооценивать риски. Исправление откладывается "на очередную срочную доработку". Люди действуют рационально в рамках заданных правил.

Переменная оплата руководителей Boeing была привязана к операционной прибыли и цене акций. До 2024 года 75% годового бонуса зависело от финансовых показателей, остальные 25% делились на различные операционные метрики, которые включали качество, безопасность продукта, безопасность сотрудников, климат, разнообразие и инклюзивность — все с равным весом.

Структура вознаграждений определяет, что организация ценит на самом деле. Вот Boeing ценил скорость и прибыль. Безопасность была далеко не на первом месте.

Руководители и инженеры были квалифицированными профессионалами, часто – с десятилетиями опыта. Но они были помещены в систему, где аккуратное поведение наказывалось, а опасное вознаграждалось.

Эд Пирсон, бывший старший менеджер завода Boeing в Рентоне, пытался предупредить руководство о проблемах производства 737 MAX до катастроф. Он написал письмо генеральному директору завода, заявив, что впервые в жизни он колеблется посадить свою семью на самолёт Boeing. Его проигнорировали. После первой катастрофы 737 MAX, он ушел из компании.

Инженеры и тестовые пилоты знали о проблемах с MCAS, но боялись говорить. Потому, что в их системе не существовало безопасной среды для открытого транслирования проблем. Любое сообщение о проблеме могло быть воспринято как препятствие для достижения финансовых целей руководства и привести к карьерным последствиям.

Поведение людей — продукт системы. Культура, созданная системой, не поощряла открытость и критическое мышление, а подавляла их. Люди адаптировались к системе, которой были подчинены, и действовали в соответствии с ее правилами.

Ориентированную на максимизацию прибыли и опережение Airbus любой ценой. Что отлично удавалось новому руководству: бонусы и опционы топ-менеджеров росли каждый год, пока компания снижала издержки, проводила обратный выкуп акций и наращивала операционную маржу. Вместе с тем, в системе наблюдалось снижение приоритета инженерного качества и безопасности, поощрялись дешевые и компромиссные решения, возражения от инженеров на местах игнорировались. Обратная связь о проблемах с безопасностью не доходила до лиц, принимающих решения, и обесценивалась на всех уровнях. Специалистов, не вписывающихся в новую культуру, вытесняли. Инженеры и линейные руководители, делающие упор на безопасность, оказывались маргинализированы и/или покидали компанию, уступая место тем, кто умел закрывать глаза на риски.

Итоговую цель системы точно отражает принцип POSIWID (Purpose of a System Is What It Does), сформулированный Стаффордом Биром: настоящая цель системы — это то, что она делает в действительности, вне зависимости от ее декларируемых намерений.

Подобная формулировка звучит шокирующе, однако именно такой результат демонстрирует рассмотренная система в сухом остатке. И, ключевой момент — на 95% эти последствия являются результатом того, как система была спроектирована, а не следствием персональных качеств ее участников.

Люди — инженеры, менеджеры, руководители — были квалифицированными профессионалами. Многие из них имели десятилетний опыт. Но они находились в системе, которая создала определенную логику действий. Система породила эмерджентное свойство — культуру, то есть устойчивую модель поведения, убеждений и норм, возникающую из взаимодействия структуры, процессов, вознаграждений и кадровой политики. Люди адаптировались к новым правилам игры, потому что альтернатива была экономически невыгодна или карьерно опасна. Таким образом, рациональное поведение в рамках правил, заданных системой, привело к иррациональным и трагическим результатам.

Кейс Boeing 737 MAX — это наглядная демонстрация того, что системы функционируют независимо от моральных оценок. Они подчинены логике взаимодействия своих элементов и производят результаты в соответствии с этой логикой.

Из этого следует важный вывод: если результаты системы определяются ее архитектурой, то переопределение архитектуры может изменить результаты и реальную цель системы. Иными словами, любая повторяющаяся организационная проблема, может быть решена через редизайн системы.

В следующей части мы обратимся к практическому применению полученных выводов через рассмотрение принципа POSIWID как инструмента диагностики скрытых целей социальных систем, анализу концепции креативного напряжения как катализатора организационной трансформации и различию между локальными оптимизациями и системной работой над улучшениями. А так же обсудим переход от реактивного управления проблемами к проактивному комплексному редизайну. От лидера-вдохновителя к лидеру-архитектору системы.