⏱ Tempo di lettura : 10 minuti
Signore e Signori,
Dopo tre decenni trascorsi ad analizzare, cartografare e tentare di padroneggiare i rischi operativi in settori ad alta criticità, devo ammetterlo : pochi dossier mi hanno gelato il sangue quanto quello del Boeing 737 MAX.
346 morti. Più di 20 miliardi di dollari di perdite dirette. Due aerei nuovi precipitati al suolo in pochi minuti. Eppure, tutto era stato sussurrato, scritto, segnalato, anni prima dei crash del volo Lion Air 610 e del volo Ethiopian Airlines 302.
Il MCAS : anatomia di un sistema mal progettato
Nel 2010, Airbus lanciò l’A320neo con nuovi motori più efficienti. La pressione commerciale su Boeing fu immediata e brutale. Il 30 agosto 2011, Boeing approvò il progetto del 737 MAX — con il solo motore CFM LEAP-1B — per recuperare il ritardo. I nuovi motori CFM LEAP-1B, più grandi e più potenti, dovevano essere posizionati più in avanti e più in alto sull’ala per garantire la distanza dal suolo.
Questa modifica alterava le caratteristiche aerodinamiche dell’aereo, aumentando la tendenza a cabrare (far ruotare un velivolo attorno al suo asse trasversale per sollevare il muso (la prua) rispetto alla linea dell’orizzonte, solitamente per iniziare una salita) ad alto angolo di attacco — con il rischio concreto di entrare in stallo.
Boeing scelse una soluzione software invece di riprogettare strutturalmente l’aereo. Una scelta che avrebbe richiesto anni di sviluppo e una nuova certificazione completa. Il MCAS (Maneuvering Characteristics Augmentation System) era programmato per abbassare automaticamente il piano di coda quando il sistema rilevava un angolo di attacco anomalo, riportando il muso verso il basso e compensando così la tendenza alla cabrata.
Un anno prima che il 737 MAX fosse completato, Boeing rese il sistema ancora più aggressivo. Mentre la versione originale si basava sui dati di almeno due sensori diversi, la versione finale ne utilizzava soltanto uno — lasciando il sistema privo di qualsiasi protezione contro i malfunzionamenti di un singolo componente.
La FAA, nel suo rapporto finale del novembre 2020, ha identificato tre safety issue fondamentali legate al MCAS.
Safety Issue #1 — Il sensore unico : il MCAS dipendeva da un unico sensore dell’angolo di attacco (AOA), senza ridondanza né sistema di verifica incrociata. In aviazione, il principio della ridondanza è sacro. Nessun sistema critico dovrebbe dipendere da un singolo punto di guasto. Qui, questa regola fondamentale è stata violata deliberatamente — per ragioni di costo e di calendario.
Safety Issue #2 — La riattivazione ogni 5 secondi : quando il sensore forniva dati errati, il MCAS si attivava ripetutamente, abbassando il muso dell’aereo con forza crescente. I piloti potevano contrastarlo manualmente, ma il sistema si riattivava automaticamente ogni 5 secondi. Il controllo dell’aereo diventava progressivamente impossibile — esattamente quello che è successo sui voli Lion Air 610 e Ethiopian Airlines 302.
Safety Issue #3 — I piloti non sapevano che il MCAS esistesse : Boeing aveva deliberatamente omesso di menzionare il sistema nei manuali di volo originali, per evitare l’obbligo di una formazione aggiuntiva su simulatore. Una formazione che avrebbe aumentato i costi per le compagnie aeree e ridotto l’attrattiva commerciale del 737 MAX rispetto all’A320neo. I piloti si sono trovati a combattere un sistema di cui ignoravano l’esistenza, il funzionamento e le procedure di disattivazione. Questa non è stata una svista tecnica. È stata una scelta deliberata, documentata, validata a tutti i livelli della catena di comando.
I segnali deboli, tutti ignorati
- Le segnalazioni interne soffocate
La pressione commerciale non si limitava ai piani alti del management. Permeava ogni livello dell’organizzazione Boeing — fino agli ingegneri che lavoravano direttamente sul programma 737 MAX.
L’inchiesta della Commissione Trasporti della Camera degli Stati Uniti, durata 18 mesi e basata su oltre 600.000 documenti interni, ha rivelato un quadro agghiacciante. I dipendenti Boeing erano sotto una pressione costante per rispettare i calendari di produzione e consegna. La fretta era simboleggiata da “orologi con conto alla rovescia” appesi sui muri delle sale conferenze — un messaggio implicito ma potentissimo: il tempo conta più della sicurezza.
In questo clima, diversi ingegneri avevano espresso preoccupazioni concrete sulla progettazione del MCAS.
Le loro segnalazioni riguardavano tre punti precisi:
- la sottovalutazione della criticità del sistema
- la dipendenza da un unico sensore AOA
- l’assenza di formazione dedicata per i piloti.
Queste segnalazioni non sono andate perdute per caso. Sono state sistematicamente marginalizzate. La decisione di non accogliere le modifiche proposte non è stata dettata da incompetenza, bensì dalla consapevolezza che la loro implementazione avrebbe comportato un rallentamento del programma, la necessità di una nuova certificazione e l’obbligo di imporre una formazione su simulatore alle compagnie aeree. Tale scelta avrebbe comportato una perdita di miliardi di dollari e avrebbe consentito all’A320neo di Airbus di guadagnare terreno sul mercato.
La dichiarazione più rivelatrice è emersa durante le indagini del Congresso americano nel 2020. Un ingegnere Boeing aveva descritto internamente il MCAS come “progettato da clown, supervisionati da scimmie”. Una frase brutale — ma che nascondeva qualcosa di più profondo di una semplice frustrazione. Era la voce di un professionista che vedeva compromessi standard di sicurezza fondamentali, e che sapeva che nessuno stava ascoltando.
La dichiarazione dell’Amministratore FAA Michael Whitaker davanti al Senato americano nel settembre 2024 ha confermato che questo problema culturale non era limitato ai crash del 2018-2019. Boeing “deve mantenere robusti programmi di segnalazione della sicurezza e promuovere una cultura di segnalazione sicura e proattiva all’interno delle proprie organizzazioni”. Sei anni dopo, il regolatore imponeva ancora a Boeing quello che avrebbe dovuto essere il punto di partenza.
In gestione dei rischi operativi, esiste un principio fondamentale:
- un’organizzazione in cui chi segnala un rischio viene percepito come un ostacolo al business — e non come un garante della sicurezza — ha già scelto, inconsapevolmente, il suo prossimo disastro.
Boeing lo ha dimostrato due volte. In cinque mesi.
Il costo dell’accecamento
Quando i segnali di rischio vengono ignorati sistematicamente, il conto finale non si paga solo in denaro. Si paga in:
- vite umane
- in reputazione distrutta
- in organizzazioni decimate
- sanzioni.
l caso Boeing 737 MAX ha prodotto uno dei bilanci più devastanti della storia dell’aviazione commerciale.
Il costo umano
346 persone hanno perso la vita in cinque mesi. Non in due incidenti separati — ma nello stesso incidente, ripetuto due volte. Il volo Lion Air 610 del 29 ottobre 2018 e il volo Ethiopian Airlines 302 del 10 marzo 2019 hanno seguito la stessa sequenza di eventi, prodotto dallo stesso sistema difettoso, ignorato dalle stesse persone.
Dietro ogni statistica si cela un individuo, una famiglia, una vita irrecuperabile.
Il costo finanziario
Il 737 MAX è rimasto a terra per 20 mesi — dal marzo 2019 al novembre 2020 — il blocco più lungo nella storia dell’aviazione commerciale. Il costo totale per Boeing è stato stimato in oltre 20 miliardi di dollari, tra risarcimenti alle famiglie delle vittime, rimborsi alle compagnie aeree, perdita di ordini, costi di riprogettazione e di ricertificazione.
Nel gennaio 2021, Boeing ha raggiunto un accordo con il Dipartimento di Giustizia americano per 2,5 miliardi di dollari — riconoscendo di aver ingannato la FAA durante il processo di certificazione del MCAS. Nel settembre 2022, Boeing è stata condannata a pagare una multa aggiuntiva di 200 milioni di dollari alla SEC per dichiarazioni fuorvianti agli investitori sugli incidenti.
Il costo di non aver ascoltato gli ingegneri che sollevavano preoccupazioni? Una frazione di questi numeri.
Il costo reputazionale
Boeing era un’icona dell’ingegneria americana. Un simbolo di precisione, affidabilità, eccellenza tecnica. Il caso 737 MAX ha incrinato questa reputazione in modo duraturo.
La fiducia del pubblico nell’aviazione commerciale è stata scossa. Le compagnie aeree hanno dovuto gestire passeggeri che rifiutavano di imbarcarsi su un 737 MAX. Alcuni piloti hanno chiesto formalmente di non essere assegnati a quel tipo di velivolo. Un marchio costruito in decenni è stato danneggiato in pochi mesi.
Il costo operativo e sistemico
Le catene di approvvigionamento sono state destabilizzate. I fornitori che dipendevano dai programmi Boeing hanno subito perdite enormi. Il CdA è stato decimato — il CEO Dennis Muilenburg è stato licenziato nel dicembre 2019.
Ma il costo più profondo, quello che non appare nei bilanci, è il costo culturale. Come ha dichiarato l’Amministratore FAA Michael Whitaker davanti al Senato americano nel settembre 2024, sei anni dopo i disastri Boeing deve ancora essere obbligata ad “incoraggiare i propri dipendenti a parlare senza timore di ritorsioni”. Un’organizzazione in cui il silenzio è ancora la norma non ha ancora pagato il conto più importante.
Quello della cultura.
Conclusione
Il Boeing 737 MAX non è crollato per una falla tecnica improvvisa. È crollato per una catena di scelte deliberate, documentate, validate a tutti i livelli di un’organizzazione che aveva smesso di ascoltare.
I segnali esistevano. Gli ingegneri avevano parlato. I quasi-incidenti erano stati registrati. Il sensore unico era un’eresia nota. I piloti non sapevano che il MCAS esistesse.
Eppure, nulla è cambiato — finché due aerei non si sono schiantati al suolo in cinque mesi.
Quello che questo caso ci insegna, con una brutalità rara, è che il rischio operativo non è una funzione di supporto. È una questione di sopravvivenza. Un sistema di gestione dei rischi degno di questo nome non si limita a cartografare i rischi su una tabella. Garantisce la trasmissione non filtrata dei segnali deboli. Protegge chi alza la voce. Impone una reale indipendenza del controllo. E — soprattutto — rifiuta di subordinare la sicurezza alla performance finanziaria.
Come ha dichiarato l’Amministratore FAA Michael Whitaker davanti al Senato americano nel settembre 2024 — sei anni dopo i crash — Boeing deve ancora essere obbligata a costruire una cultura in cui i dipendenti possano segnalare i rischi senza timore di ritorsioni. Sei anni. Due disastri. 346 morti. E la lezione non è ancora stata completamente appresa.
Quando ascolti “è sotto controllo” oppure “non bisogna preoccuparsi” o frasi simili, ponetevi sempre tre domande: chi lo dice, con quale prova, e sotto quale angolo cieco?
I più grandi disastri operativi non vengono dall’ignoto. Vengono da rischi identificati, documentati — e deliberatamente messi da parte.
Rimanere in ascolto. Ascoltare la base. Trattare ogni segnale come un precursore di crisi potenziale. Questo è il DNA del risk manager.
Il giorno in cui si smette di farlo, il prezzo si conta in vite umane e in miliardi.
Rodolfo Liuzzi, CEO Wrm
Fonti : FAA Summary of the Review of the Boeing 737 MAX (novembre 2020) — ITAFSC, Boeing B737 MAX: The SMS Would Have Avoided Two Fatal Accidents (maggio 2021) — Il Sole 24 Ore, Le vicissitudini del Boeing 737 MAX (gennaio 2024) — Rapporto della Commissione Trasporti della Camera USA (settembre 2020) — U.S. Department of Transportation, FAA Oversight of Boeing’s Broken Safety Culture, Dichiarazione di Michael Whitaker, Amministratore FAA, Senato USA (settembre 2024).