Het risico-instrument schiet tekort door de eenzijdige manier waarop het wordt toegepast. Risicoanalist ir. Johan de Knijff pleit voor een breder risicobegrip, dat leidt tot betere besluiten over veiligheid.

We beoordelen gevaarlijke activiteiten alom met behulp van risicoanalyses, maar die lijken steeds minder duidelijkheid te geven. Bij een aantal activiteiten is een hardnekkige controverse over de veiligheid ontstaan.

Zo’n structureel gebrek aan draagvlak in de samenleving voor de bestaande risicoanalyses is ongewenst. Het kan activiteiten onnodig tegenhouden, levert onverklaarbare verschillen in regulering op, grote onrust na een ongeval, en het zorgt voor buitenproportionele voorzorgsmaatregelen. Kernenergie is daarvan een oud, maar nog immer actueel voorbeeld. Bij een aantal nieuwe activiteiten lukt invoering zelfs helemaal niet meer. CO2-opslag onder land is daarvan een markant voorbeeld.

Een aantal nieuwe activiteiten komt zelfs helemaal niet meer van de grond

Risico’s als instrument voor het beoordelen van gevaarlijke activiteiten kent opmerkelijke successen. Zo zijn oeverloze discussies over al dan niet geloofwaardige grote ongevallen vervangen door bepaling van kansen. Via een risicobegrip worden verschillende gevaren vergelijkbaar, in volgorde van ernst aan te pakken en toetsbaar aan een norm. Bij het risico ‘overlijdenskans’ is bijvoorbeeld een hoogte van 10-6 per jaar zo’n norm, een duidelijke grens waarom en wanneer we iets toelaatbaar of niet noemen.

Inmiddels duikt die waarde, oorspronkelijk ingevoerd in het milieubeleid, op in allerlei studies, organisaties en afwegingen. Maar in die nieuwe toepassingen duiken die eerdere successen minder of zelfs niet op. Ook het KIVI constateert: het resultaat van een risicoanalyse is onvoldoende om het publiek te overtuigen.

Die 10-6 presenteert de rijksoverheid als het minimale beschermingsniveau dat voor elke burger ten minste moet worden gehaald. Vervolgens is er ook ruimte voor onzekerheden in berekening en blootstelling en voor een afweging los van voordelen van de activiteit, kosten en dergelijke.

Na dit soort abstracties volgt een inzichtelijk oordeel over een meer of minder gevaarlijke activiteit door het simpelweg vergelijken van een getal met een norm. Maar zo’n vereenvoudiging heeft een prijs: het instrument is voor veel toepassingen niet meer geschikt, iets wat met name bij maatschappelijke veiligheidsvraagstukken aan het licht komt.

Het huidige risico-instrumentarium vertoont dus tekortkomingen. Dat botweg negeren levert toepassingen met inderdaad weinig succes en ­begrijpelijke controverses. Hieronder volgen drie voorbeelden van een toepassing met daarin steeds een illustratie van een specifiek tekort.

 

De toenmalige milieuminister Jacqueline Cramer doet verwoede pogingen bewoners van Barendrecht te overtuigen van de veiligheid van de ondergrondse opslag van CO2. (foto Arco van der Lee)

 

Aardbevingen

Rond het Gronings gasveld zien burgers zich blootgesteld aan een breed scala van ongewenste effecten en verstoorde veiligheid. De commissie-­Meijdam adviseert daarover beleid te ontwikkelen met ‘handelingsperspectief voor Groningen’, in het licht van ‘dagelijkse gevoelens van onzekerheid, onveiligheid, onrechtvaardigheid en machteloosheid’. De rijksoverheid gaat dat invullen via het bestaande overlijdensrisico en een nieuwe norm voor de toelaatbare toename. De kans op overlijden is immers toegenomen doordat mensen in gebouwen verblijven die kunnen instorten.

Het ankerpunt in de keten van geïnduceerde aardbeving naar dodelijk gevolg is door TNO ontleend aan een bijlage van Veiligheids­beoordeling bestaande bouw bij NEN 8700, met daarin: ‘De kans om te overlijden als gevolg van een ongeval is voor Nederlanders ongeveer 10-4 per jaar. De kans om slachtoffer te worden van een constructieve calamiteit in de woonsector zal niet groter mogen zijn. We stellen nu dat de maximaal acceptabele kans om slachtoffer te worden van een woonconstructieve calamiteit in een jaar gelijk is aan 10-5.’ Daarmee wordt een versterkingsoperatie afgebakend, waarbij de prioriteit ligt bij woningen waarin dit risico momenteel 10-4 is en de komende jaren verder zal worden verlaagd tot 10-5.

Naast het basisbeschermingsniveau dat zomaar wordt verlaten (elders geldt immers 10-6), gaat het hier ook om tal val andere ongewenste gevolgen: het mogelijk moeten opgeven van de woning, esthetisch verlies, herstelwerk bij her­haling, het ervaren van klein letsel, vrees voor ­erger, en al dat soort ongewenste gevolgen die de bewoners ervaren als voor hen relevante verstoringen. Zelfs wie zou stellen dat men aan bijzaken een overdreven belang hecht, kan toch moeilijk onderbouwen dat overlijden hier de maatgevende indicator is. Met overlijdensrisico ­worden dus niet alle gevaren meegenomen.

In de afwegingsfase van een risico zien we de gevolgen van een ­andere vereenvoudiging. Wanneer één getal de toelaatbaarheid van een activiteit bepaalt, dan worden voor realisatie van dat minimale beschermingsniveau op die ene plek de euro’s uitgegeven waarmee elders veelal meer doden zijn te voorkomen. Veiligheidsbeleid kan dus niet zonder een of andere vorm van kosten- en batenanalyse. Bij een ge­geven (beperkt) veiligheidsbudget volgen dan díe maatregelen waarvan de euro per vermeden dode optimaal is.

 

Orgaantekorten

Zo’n utilistische afweging voorkomt inderdaad doorschieten met overlijdensrisico. Maar utiliteit is geen volwaardig alternatief, want het ­introduceert andere, bepaald niet kleinere, problemen.

Een paar ­voorbeelden met simpele kosten- en baten ter verduidelijking. We spenderen probleemloos tienduizend euro per DALY (disability adjusted life year, een wat verfijnder maat dan kosten per dode) aan preventieve gezondheidszorg, terwijl een vaccinatie in een ontwikkelingsland ­dezelfde DALY voor een euro levert. Dat scheelt een factor tien­duizend, maar we noemen zo’n vergelijking niet rationeel, hooguit onrechtvaardig.

Tussen Nederlanders dan: de overheid dient op de pensioendatum organen op te eisen, zodat jongeren niet aan de orgaantekorten overlijden. Het hart uit een 65-jarige (de huidige donatiegrens) in een 20-jarige levert netto immers DALY’s op. Of, met een iets minder fataal voorbeeld voor de volgende voorlichtingscampagne: hier met die nier! Net zoals overlijdens­risico mist dus ook kosten- en batenanalyse iets wezenlijks voor een goede omgang met risico’s.

 

Het risicobeleid bleek niet bestand tegen een ramp als die met vuurwerk in Enschede. Vrijwel direct daarna werden allerhande aanvullende maatregelen getroffen.

 

De derde tekortkoming ontstaat in de vertaling van risicoresultaten naar voldoende veiligheid. De overheid gebruikt deze stap bijvoorbeeld om activiteiten met potentieel grote ongevallen toe te staan. Dat gaat goed, totdat zo’n beleid niet houdbaar blijkt, zoals na de vuurwerkramp in Enschede in 2000. Vrijwel uit het niets ontstond toen een complete directie risicobeleid, een Besluit externe veiligheid inrichtingen, en efféctbeleid (zonder risico’s) voor vuurwerk. Dat dit niet het gevolg is van specifiek Nederlandse keuzes in risicobegrippen of normen blijkt uit vergelijkbare gevallen in het buitenland, zoals de Duitse Atom­austieg na de kernramp in Fukushima in 2011.

Het huidige beleid kan slecht tegen ongevallen

Dat risicobeleid slecht tegen ongevallen kan, heeft een fundamentele oorzaak: modellering. In het bovenstaande levert het risicomodel een gemiddelde, dat betekenisloos is bij een ongeval. Eveneens een modelleringsfout staat in de volgende redenering. Wanneer de risico’s voldoende laag zijn, is het voldoende veilig, zijn verdere maatregelen of verboden niet nodig. Immers, via de overlijdenskans of via verloren levensjaren worden allerlei gevaren niet weergegeven die in de maatschappelijke werkelijkheid wel relevant zijn.

In zo’n toepassing kan niet gesproken worden van ‘het’ risico. Zo’n incomplete risicobeoordeling levert geen duidelijk stempel ‘veilig’. Met een positieve uitkomst van een risicoanalyse van een mogelijk gevaarlijke activiteit toch beweren dat het veilig is, zal de controverse alleen maar aanwakkeren en helpt nieuwe activiteiten evenmin.

 

Clusters

We hebben dus te maken met drie tekorten. Nu vormt een risicoanalyse een keten, die start met representatieve gevaren en pas eindigt bij een voldoende veiligheidsniveau, dus één tekortkoming maakt het ­beoogde eindpunt al onhaalbaar. Om niet aan te koersen op een besluit dat in een controverse blijkt steken, zijn dus drie aanvullingen nood­zakelijk: het toegepaste risicobegrip neem de relevante gevaren voldoende mee, sluit aan bij normatieve beginselen in besluitvorming, en gebruikt een geldige redenering voor (voldoende) veiligheid.

Als eerste: in een voldoende compleet risicobegrip moeten alle relevante gevaren zijn verwoord. Met name blootgestelde burgers komen dan met een flinke lijst, die de vakliteratuur hanteerbaar presenteert door clustering. Een voorbeeld van zo’n concrete uitwerking is het model van Slovic (zie de referenties), die een twintigtal gevaaraspecten samenbrengt tot twee à drie clusters. Het cluster beheersbaarheid omvat aspecten als oncontroleerbaar, catastrofaal, fataal, noodlottig, niet in de hand te houden, onafwendbaar, allesomvattend. In het cluster onzichtbaarheid (voor de blootgestelde) staan onbekend, niet vertrouwd, niet waarneembaar, vertraagd, nieuw en wetenschappelijk onbekend. Een derde cluster verwoordt effectgrootte, zoals het aantal betrokkenen bij een ongeval. Met die twee of drie clusters beschikken we over een aanzienlijk adequater risicobegrip dan overlijdenskans voor bijvoorbeeld door gaswinning veroorzaakte aardbevingen in bewoond gebied.

Vermijd het gebruik van niet te onderbouwen uitspraken als ‘feitelijke gevaren’ en ‘werkelijke risico’s’ in discussies

De oplossing voor het tweede tekort is dat het goed toepassen van risico tot en met besluitvorming drie normatieve uitgangspunten vergt: plichten, utilisme en deugden. Het minimale beschermings­niveau is een invulling van zo’n plicht door de overheid. De eerder genoemde kosten- en batenanalyse is een utiliteit. Een kernachtige illustratie van het gemis van een deugd: de vele regels ter vervanging van onvoldoende vertrouwen dat een bank ‘goed handelt’. Alle drie normatieve uitgangspunten zijn noodzakelijk en ook toereikend. Een nadere uitleg inclusief operationele aanzet voor veiligheidsdiscussies is te vinden in het essay Waarom burgers risico’s accepteren en waarom bestuurders dat niet zien(zie de referenties). Een risicoresultaat dat met deze drie normen rekening houdt, maakt een goede afweging mogelijk.

Dan over het derde tekort: de logisch denkende risicoanalist weet dat het complement van een ­risico alleen ‘veilig’ oplevert wanneer het risico compleet is, en dat ‘voldoende veilig’ een elders gefundeerde norm eist. Het zijn meestal anderen die met het resultaat van de risicoanalyse aan de haal gaan en ver buiten de modelgrenzen spreken van ‘veilig’.

De oplossing ligt voor de hand: met ­ingenieurscompetenties niet te onderbouwen uitspraken als ‘feitelijke gevaren’, ‘werkelijke risico’s’, ‘objectieve veiligheid’ in discussies vermijden, expliciet in rapporten de modellering, normhoogtes, en soortgelijke randvoorwaarden opnemen die ­‘representatief risico’, ‘risicowaarde’ en ‘voldoende laag’ onderbouwen, en alleen bij goed afgebakende toepassingen en aangevuld risico-instrumentarium iets beweren over veiligheid.

De nieuwe benadering van overstromingsveiligheid is een voorbeeld van hoe het wel moet

Ter afronding een voorbeeld waarin de drie gesignaleerde tekortkomingen alle worden ­onderkend. In het nieuwe beleid overstromingsveiligheid zitten zowel een locatiegebonden over­lijdensrisico en het gebruik van een economische afweging als een procesbewaking; het bereiken van het gewenste veiligheidsniveau vergt immers nog tientallen jaren. Ook dit voorbeeld maakt zichtbaar dat een risico-uitkomst sec (het getal) niet min of meer op de automaat (vergelijken met de norm) tot een besluit (al dan niet toereikende veiligheid) kan leiden.

Op basis van het voorafgaande moeten we vrezen dat over tal van gevaarlijke activiteiten besluiten zijn genomen met behulp van risico­begrippen die zowel in verwoording als verantwoording onvolledig zijn. Op z’n best is op die ­manier een indicatie voor gevaargrootte meegewogen; in het ergste geval zijn relevante gevaren geheel genegeerd en ontbreekt een goede onderbouwing voor voldoende veiligheid. Het resultaat is dat met name bij maatschappelijk gevoelige activiteiten risico’s niet overtuigen en controverses zelfs bevorderen. Dat is onnodig, want het risico-­instrument is met bekende en voorhanden aanpassingen aan te scherpen.

 

Ir. Johan de Knijff is zelfstandig risicoanalist. De genoemde referenties en achtergrondmateriaal zijn hier te vinden.