di Danilo Celleno
Il paradosso della colpa individuale – Come la filosofia del diritto tradizionale ostacola la sicurezza nei sistemi complessi
Quando un aereo cade, una sala operatoria sbaglia paziente, un ponte crolla, la domanda che risuona nelle aule giudiziarie italiane è sempre la stessa: chi è il colpevole? Ma questa domanda, radicata nella nostra tradizione giuridica, potrebbe essere il vero ostacolo alla costruzione di sistemi davvero sicuri. Mentre l’Europa si muove verso la just culture e l’analisi sistemica, l’Italia resta ancorata a un paradigma che individua responsabilità personali senza comprendere le dinamiche organizzative. Un divario che non è solo culturale, ma formativo: magistrati e periti giudicano eventi complessi con strumenti concettuali nati per un mondo che non esiste più.
La filosofia del diritto e l’ossessione per il colpevole
Il diritto penale italiano affonda le sue radici in una tradizione millenaria che ha come pilastro centrale l’attribuzione della responsabilità individuale. Dal diritto romano alla codificazione napoleonica, dalla scuola classica di Francesco Carrara al positivismo di Cesare Lombroso, il filo conduttore è sempre stato lo stesso: individuare il soggetto che ha violato la norma, misurare il grado della sua colpa o del suo dolo, stabilire la sanzione proporzionata.
Questa impostazione ha garantito per secoli certezza del diritto, prevedibilità delle conseguenze, tutela contro l’arbitrio. Ma è nata in un contesto storico profondamente diverso da quello attuale: un mondo dove l’artigiano lavorava da solo nella sua bottega, dove il medico visitava il paziente senza tecnologie intermedie, dove le responsabilità erano lineari e facilmente attribuibili.
Le categorie giuridiche che ancora oggi utilizziamo — condotta, colpa, nesso causale, violazione di regole cautelari — sono state costruite per questo mondo. Sono strumenti raffinati, ma pensati per sistemi semplici, dove un errore ha una causa identificabile e una responsabilità chiara.
Il mondo è cambiato, il diritto no.
Oggi lavoriamo in sistemi socio-tecnici complessi. Un paziente in sala operatoria non è curato da un medico, ma da un’équipe di professionisti che interagiscono con macchinari sofisticati, protocolli standardizzati, cartelle elettroniche, farmaci somministrati da dispositivi automatici. Un aereo non è pilotato da un singolo comandante, ma da un sistema che integra umani, computer, procedure, comunicazioni radio, controllo del traffico aereo, manutenzione.
In questi sistemi, gli incidenti raramente hanno una causa singola. Sono il risultato di interazioni complesse tra fattori umani, organizzativi, tecnologici, procedurali. Quello che James Reason, padre della moderna scienza della sicurezza, ha chiamato il “modello del formaggio svizzero”: ogni strato di difesa ha delle falle, e l’incidente si verifica quando queste falle si allineano.
Come scrive Reason: “Non possiamo cambiare la natura umana, ma possiamo cambiare le condizioni in cui gli esseri umani lavorano.” Ma il diritto italiano continua a concentrarsi sull’errore dell’individuo, non sulle condizioni che lo hanno reso possibile.
Sidney Dekker, tra i massimi esperti mondiali di analisi degli incidenti, lo esprime con una frase che dovrebbe campeggiare in ogni tribunale: “Quando giudichiamo le persone senza comprendere il sistema, puniamo la parte sbagliata del problema.”
Il divario tra cultura giuridica e cultura della sicurezza
In Italia convivono due universi paralleli che raramente comunicano. Da un lato c’è la cultura della sicurezza, sviluppata negli ultimi decenni nell’aviazione, nell’energia nucleare, nella sanità ad alto rischio. Questa cultura chiede trasparenza, segnalazione proattiva degli errori, analisi sistemica, apprendimento continuo. Il suo obiettivo è prevenire, non punire.
Dall’altro lato c’è la cultura giuridica, che chiede di individuare la condotta colposa, di stabilire se il singolo professionista ha violato le regole dell’arte, di accertare il nesso causale tra la sua azione e il danno. Il suo obiettivo è attribuire responsabilità, sanzionare, ristorare.
Questo non è un conflitto ideologico. È una distanza epistemologica: due modi diversi di leggere la realtà, con linguaggi, metodi, finalità inconciliabili. E le conseguenze sono drammatiche.
La spirale della difensività
Quando ogni errore può trasformarsi in una colpa penale, i professionisti smettono di segnalare. Nascondono gli errori, non per malafede, ma per autodifesa. La medicina difensiva è l’esempio più evidente: esami inutili, ricoveri non necessari, terapie eccessive. Non per curare meglio, ma per proteggersi da eventuali accuse.
Un sistema che non vede i propri errori è un sistema cieco. Non può imparare, non può migliorare, non può evolvere. La sicurezza reale richiede trasparenza, e la trasparenza richiede fiducia: la certezza che segnalare un errore non significherà finire sotto processo.
La just culture: un cambio di paradigma
In molti Paesi europei, dagli anni Duemila si è affermato il concetto di just culture, o cultura della giusta responsabilità. Non si tratta di abolire la responsabilità penale o di creare zone franche dove tutto è permesso. Si tratta di distinguere tra:
Errore umano: lo slip, il lapsus, la svista involontaria che chiunque, anche il professionista più esperto, può commettere in determinate condizioni. Questo non va sanzionato penalmente, va compreso e prevenuto attraverso il ridisegno del sistema.
Violazione procedurale: la deviazione consapevole da una regola, spesso per ragioni che sembrano ragionevoli sul momento (risparmiare tempo, aggirare un vincolo percepito come eccessivo). Qui serve formazione, revisione delle procedure, eventualmente sanzioni disciplinari.
Comportamento doloso o gravemente colposo: l’azione deliberatamente pericolosa, la negligenza consapevole, l’incuria sistematica. Solo in questi casi è giustificata la sanzione penale.
La just culture non elimina la responsabilità individuale, ma la inserisce in un contesto più ampio che riconosce il peso delle responsabilità organizzative. Se un infermiere sbaglia dosaggio perché il sistema informatico ha un’interfaccia confusa, se un pilota commette un errore dopo 12 ore di volo consecutive, se un operaio si infortuna perché i dispositivi di sicurezza erano rotti da mesi, la responsabilità non può ricadere solo sull’individuo.
Il problema della formazione: giudicare senza capire
Il nodo centrale della questione italiana sta nella formazione di chi indaga e giudica. Magistrati, periti, consulenti tecnici hanno una preparazione eccellente nelle loro discipline di origine — diritto, medicina, ingegneria. Ma mancano completamente gli strumenti concettuali per analizzare sistemi complessi.
Nei corsi di formazione per magistrati italiani, materie come fattori umani, ergonomia cognitiva, teoria dei sistemi complessi, analisi degli errori non punitiva sono praticamente assenti. Si studia diritto penale, procedura, giurisprudenza. Ma non si studia come funziona davvero il lavoro umano nei sistemi reali.
Il risultato è che chi deve giudicare un incidente in sala operatoria non ha mai studiato come la stanchezza influenza le performance cognitive, come le interruzioni compromettono l’attenzione, come le interfacce mal progettate inducono errori sistematici. Chi deve analizzare un incidente ferroviario non conosce i modelli di Rasmussen sui livelli di controllo cognitivo, o la teoria delle violazioni di Reason.
L’illusione retrospettiva: quando sapere l’esito distorce il giudizio
Senza una formazione specifica sui fattori umani e sulla psicologia cognitiva, chi giudica cade inevitabilmente nella trappola del hindsight bias, il pregiudizio del senno di poi. È uno dei bias cognitivi più studiati e più pervasivi: una volta che conosciamo l’esito di un evento, diventa quasi impossibile ricostruire mentalmente come le cose apparivano prima che l’esito fosse noto.
Quando un giudice o un perito analizza un incidente, conosce già il finale della storia. Sa che il paziente è morto, che il treno è deragliato, che l’edificio è crollato. E con questa conoscenza, riguardando all’indietro, ogni segnale di pericolo sembra ovvio, ogni errore appare evidente, ogni decisione sbagliata risulta incomprensibile.
“Ma era chiarissimo!” si pensa. “Come ha fatto a non vedere il pericolo?” Il bias del senno di poi ci fa credere che ciò che è evidente ora lo fosse anche allora. Che i segnali che vediamo adesso, connessi dalla catena causale che porta all’incidente, fossero altrettanto visibili e connessi nel momento dell’azione.
Ma non è così. Nel momento dell’azione, quella persona operava in una situazione completamente diversa da quella che vediamo ora dall’esterno:
Incertezza informativa: non aveva tutte le informazioni che abbiamo noi. Alcune informazioni critiche erano nascoste, ambigue, contraddittorie, o semplicemente non ancora disponibili. Giudicare la sua decisione con le informazioni complete che abbiamo oggi è profondamente ingiusto.
Pressione temporale: noi possiamo analizzare l’evento con calma, prenderci settimane o mesi per studiare le perizie. Lei doveva decidere in secondi o minuti, sotto pressione, con l’orologio che correva, con vite che dipendevano da quella decisione immediata.
Carico cognitivo: mentre leggiamo la ricostruzione, ci concentriamo solo su quell’evento. Lei, in quel momento, stava gestendo contemporaneamente sei pazienti, tre allarmi, due telefonate, una carenza di personale, uno strumento malfunzionante. Il suo carico cognitivo era al limite, la sua attenzione frammentata tra molteplici priorità concorrenti.
Interferenze organizzative: noi vediamo solo la sequenza degli eventi. Lei operava dentro una rete di vincoli organizzativi che condizionavano ogni sua scelta: procedure contraddittorie, strumenti inadeguati, cultura aziendale che premiava la velocità sulla sicurezza, pressioni economiche che riducevano il personale.
Rumore di fondo: nella ricostruzione, isoliamo il segnale — quella serie di eventi che ha portato all’incidente. Ma lei operava immersa nel rumore — centinaia di stimoli, informazioni, richieste, la maggior parte delle quali irrilevanti o fuorvianti. Distinguere il segnale dal rumore è facile dopo, praticamente impossibile durante.
Facciamo un esempio concreto. Un pilota non vede un segnale di allarme sul cruscotto e l’aereo ha un problema. La perizia conclude: “Il pilota ha omesso di verificare il parametro X, violando la procedura Y.” Sembra ovvio. Ma ricostruiamo il contesto reale:
Il pilota era al dodicesimo giorno consecutivo di volo, con turni ai limiti del regolamentare. Il cruscotto aveva 247 spie e indicatori. In quel momento stavano gestendo una situazione meteo complessa, con comunicazioni continue con il controllo traffico. Il sistema di allarme aveva dato tre falsi allarmi nelle ultime due ore, creando alarm fatigue. L’interfaccia del computer di bordo richiedeva sei passaggi per verificare quel parametro, e l’ultima volta che lo avevano controllato (otto minuti prima) era normale.
In questo contesto, l’omissione del controllo era ragionevole. Non giusta, non corretta, ma ragionevole dato il carico cognitivo, le priorità concorrenti, le informazioni disponibili, lo stato psicofisico. Era il tipo di errore che qualunque essere umano, anche il più esperto, avrebbe potuto commettere in quelle condizioni.
Ma la perizia, scritta mesi dopo in un ufficio tranquillo, con tutte le informazioni a disposizione, senza pressione temporale, senza alarm fatigue, non cattura questo contesto. E il giudice, leggendo la perizia, vede solo l’omissione. “Come ha fatto a non controllare?”
Come scrive Sidney Dekker in uno dei suoi lavori più influenti: “L’errore in retrospettiva è sempre evidente. Ma le persone non lavorano in retrospettiva. Lavorano in una situazione dinamica, incerta, pressante, con informazioni incomplete e tempo limitato. Giudicare le loro decisioni dalla prospettiva sicura del senno di poi non è solo ingiusto: è inutile. Perché non ci dice nulla su come prevenire il prossimo errore in condizioni simili.”
Per questo i Paesi più avanzati nella sicurezza formano i magistrati a riconoscere e contrastare il hindsight bias. Insegnano tecniche specifiche: ricostruire il “punto di vista locale” dell’operatore, documentare le informazioni disponibili momento per momento, cronometrare i tempi decisionali reali, simulare il carico cognitivo, intervistare con tecniche che evitano la ricostruzione post-hoc razionalizzata.
In Italia, tutto questo è assente dalla formazione giuridica. E così, il senno di poi trasforma errori umani comprensibili in colpe penali evidenti, operatori sotto stress in professionisti negligenti, vittime di sistemi mal progettati in imputati colpevoli.
L’Europa come modello: formazione e just culture
In Paesi come Olanda, Regno Unito, Svezia, Danimarca, la formazione di magistrati e investigatori include sistematicamente i fattori umani e l’analisi sistemica. Esistono corsi specifici, protocolli condivisi, linee guida basate sulla ricerca scientifica.
L’Olanda ha sviluppato il “Prosecutorial Guidelines for Medical Errors”, che distingue chiaramente tra errori da investigare penalmente e errori da analizzare solo in sede disciplinare o organizzativa. Il Regno Unito ha istituito la Healthcare Safety Investigation Branch, un organismo indipendente che indaga gli incidenti sanitari con metodo scientifico, separando nettamente l’analisi dalla ricerca di colpevoli.
In questi Paesi, chi indaga un incidente conosce modelli come l’Accident Causation Model di Reason, il Systems-Theoretic Accident Model (STAMP) di Leveson, i principi della Resilience Engineering. Conosce la differenza tra errori basati su skill, rule e knowledge. Sa riconoscere le latent conditions, le condizioni latenti che attendono solo il momento giusto per manifestarsi.
Le conseguenze dell’immobilismo italiano
Il mancato aggiornamento della formazione giuridica produce conseguenze concrete e misurabili:
Medicina difensiva: secondo la Federazione nazionale degli Ordini dei Medici, oltre l’80% dei medici italiani pratica medicina difensiva, con costi stimati tra 10 e 13 miliardi di euro annui. Esami ridondanti, ricoveri cautelativi, consulenze multiple non per curare meglio, ma per difendersi da eventuali denunce.
Sottostima dei near miss: gli eventi sentinella, gli “quasi incidenti” che potrebbero insegnare molto, vengono sistematicamente nascosti. In aviazione, un settore dove la just culture è consolidata, i near miss sono considerati oro: ogni segnalazione migliora la sicurezza di tutti. In Italia, in molti settori, segnalare un near miss significa rischiare un procedimento.
Fuga dei talenti: medici, ingegneri, professionisti della sicurezza guardano all’estero, dove lavorare in sistemi ad alto rischio non significa vivere con la spada di Damocle di un processo penale per ogni errore involontario.
Mancato apprendimento organizzativo: la spirale dell’ignoranza sistemica
Questa è forse la conseguenza più grave e meno visibile. Ogni incidente viene immediatamente trasformato in un procedimento giudiziario, e da quel momento l’obiettivo non è più capire cosa è successo, ma dimostrare chi ha sbagliato o, dal lato della difesa, chi non ha sbagliato. Il sistema si chiude, si irrigidisce, si difende.
Le perizie tecniche diventano armi accusatorie o difensive, non strumenti di comprensione. I testimoni vengono preparati dagli avvocati a raccontare una versione coerente con la linea difensiva, non a ricostruire onestamente cosa è accaduto. I documenti vengono selezionati, interpretati, contestualizzati in chiave processuale. La verità processuale — quella che emerge dall’aula — diventa qualcosa di molto diverso dalla verità sistemica, quella che permetterebbe di prevenire il prossimo incidente.
Facciamo un esempio concreto. In un ospedale si verifica uno scambio di farmaci con esito tragico. L’approccio giudiziario tradizionale cercherà di stabilire se l’infermiere ha violato il protocollo, se il medico ha controllato, se la cartella era compilata correttamente. Individuerà responsabilità, colpe, omissioni.
Ma l’approccio sistemico farebbe domande diverse: perché due farmaci con nomi simili erano conservati vicini? Perché il sistema informatico non ha segnalato l’incongruenza? Perché quella sera c’erano tre infermieri per quaranta pazienti invece dei cinque previsti? Perché l’interfaccia del dispositivo di somministrazione è così confusa? Perché l’organizzazione del turno non prevede momenti di pausa cognitiva?
Queste domande non vengono poste in aula. E quindi le risposte — quelle che potrebbero salvare il prossimo paziente — non emergono mai. Il processo si conclude, il colpevole viene condannato o assolto, e l’ospedale resta identico a com’era. Pronto a produrre lo stesso errore, con una persona diversa, in condizioni simili.
Nei Paesi dove vige la just culture, ogni incidente grave produce un report pubblico, dettagliato, anonimizzato, che identifica le condizioni sistemiche che lo hanno reso possibile. Questi report vengono studiati in tutte le organizzazioni simili, diventano casi di studio nei corsi di formazione, generano modifiche procedurali, riprogettazione di interfacce, revisioni organizzative.
Un incidente in un ospedale di Oslo migliora la sicurezza di un ospedale di Bergen. Un quasi-incidente ferroviario nei Paesi Bassi genera una modifica procedurale che protegge i passeggeri in tutto il paese. L’errore diventa patrimonio collettivo, conoscenza condivisa, occasione di crescita.
In Italia, invece, ogni incidente muore nel segreto istruttorio. I dettagli tecnici emergono solo nelle perizie, che restano riservate fino alla sentenza. Quando finalmente diventano pubblici, sono passati anni, l’attenzione mediatica si è spenta, e comunque sono formulati in linguaggio giuridico, non in termini di lezioni apprese.
Così, l’organizzazione non impara. E peggio ancora: le altre organizzazioni non imparano. Un errore mortale in una sala operatoria di Napoli non produce nessun cambiamento nelle sale operatorie di Milano, Torino, Bologna. Ognuno continua a lavorare con le stesse procedure, gli stessi strumenti, le stesse criticità organizzative che hanno causato l’incidente altrove.
Questa è la vera tragedia: non solo punire la persona sbagliata, ma sprecare l’opportunità di proteggere tutte le persone future. Trasformare un evento terribile in una sterile battaglia legale invece che in un’occasione di apprendimento collettivo.
Costruire ponti tra due culture: proposte per il futuro
La buona notizia è che l’Italia ha tutte le competenze per compiere questo salto culturale. Abbiamo eccellenti scuole di ingegneria della sicurezza, centri di ricerca sui fattori umani, esperti riconosciuti a livello internazionale. Non manca la conoscenza: manca il ponte tra queste competenze e il mondo giuridico. Costruire questo ponte richiede il contributo attivo della magistratura stessa, che può guidare un processo di arricchimento culturale reciproco.
Arricchire gli strumenti cognitivi della magistratura: offrire alla Scuola Superiore della Magistratura percorsi formativi avanzati — non obbligatori, ma attrattivi — su fattori umani, analisi sistemica degli incidenti, ergonomia cognitiva. Non per sostituire il diritto, ma per integrarlo con strumenti che permettano di leggere la complessità dei sistemi moderni. Magistrati che comprendono i fattori umani prendono decisioni più informate, più giuste, più efficaci.
Valorizzare l’expertise multidisciplinare dei periti: creare albi di consulenti tecnici con competenze certificate non solo nelle discipline tradizionali, ma anche in safety science, human factors, resilience engineering. Un medico perito che conosce l’ergonomia cognitiva, un ingegnere che padroneggia l’analisi sistemica degli incidenti: questi sono gli esperti che possono davvero illuminare i casi complessi, offrendo alla magistratura gli elementi per una giustizia più profonda.
Sviluppare linee guida elaborate dai magistrati stessi: creare gruppi di lavoro dove magistrati con esperienza in casi complessi — incidenti sanitari, ferroviari, industriali — collaborino con esperti di sicurezza per elaborare protocolli investigativi. Sul modello olandese, ma italiano: linee guida scritte da chi indaga, per chi indaga. Criteri condivisi su quando l’errore umano richiede un’indagine penale e quando invece è sintomo di un sistema da riprogettare.
Creare spazi di investigazione scientifica indipendente: istituire, come in UK e Scandinavia, organismi tecnici dedicati all’analisi non punitiva degli incidenti nei settori ad alto rischio. Queste agenzie non sostituiscono la magistratura, ma la affiancano: producono analisi sistemiche rigorose che la magistratura può utilizzare per comprendere il contesto, distinguere responsabilità organizzative da quelle individuali, costruire un quadro più completo.
Facilitare la contaminazione tra saperi: promuovere occasioni strutturate di dialogo — corsi congiunti, pubblicazioni a quattro mani, tavoli permanenti — dove magistrati, avvocati, periti, esperti di sicurezza, professionisti di settori ad alto rischio possano confrontarsi alla pari. Non conferenze occasionali, ma percorsi di formazione reciproca che costruiscano un linguaggio comune, una comprensione condivisa, una cultura della sicurezza che dialoghi con il diritto senza snaturarlo.
Conclusione: il coraggio di cambiare prospettiva
Cambiare paradigma non è facile. Significa mettere in discussione certezze consolidate, rinunciare all’illusione rassicurante del colpevole unico, accettare che la complessità non si riduce a categorie giuridiche tradizionali.
Ma è necessario. Non per abolire la responsabilità, ma per renderla più intelligente, più giusta, più efficace. Non per proteggere i negligenti, ma per distinguere la negligenza dall’errore umano inevitabile in sistemi mal progettati.
L’Europa ha già intrapreso questa strada. Paesi con tradizioni giuridiche simili alla nostra hanno dimostrato che è possibile coniugare rigore giuridico e analisi sistemica, responsabilità individuale e comprensione organizzativa, giustizia e sicurezza.
L’Italia ha tutte le competenze per farlo. Serve solo il coraggio di cambiare prospettiva: dalla ricerca ossessiva del colpevole alla comprensione profonda del sistema. Perché, come ci ricorda la scienza della sicurezza, solo comprendendo i sistemi possiamo davvero renderli più sicuri.
E alla fine, non è questo l’obiettivo ultimo del diritto? Proteggere, prevenire, costruire una società più giusta e sicura per tutti. Non attraverso la punizione simbolica del singolo, ma attraverso il miglioramento continuo dei sistemi in cui tutti noi viviamo e lavoriamo.
Box di approfondimento – I pilastri della just culture
Trasparenza e non punizione degli errori onesti: creare un ambiente dove segnalare errori e near miss è incoraggiato, non sanzionato.
Distinzione tra tipi di errore: differenziare slip involontari, violazioni procedurali e comportamenti dolosi, con risposte proporzionate.
Analisi sistemica: andare oltre il singolo evento per comprendere le condizioni organizzative, tecnologiche e procedurali che lo hanno reso possibile.
Apprendimento continuo: trasformare ogni incidente in un’opportunità di miglioramento, non in un caso giudiziario.
Responsabilità condivisa: riconoscere che la sicurezza è responsabilità di tutta l’organizzazione, non solo del singolo operatore.