概念地圖・瑞士起司模型
作者 山姆（謝冠生）・喵喵書評創辦人
發布
分類：管理
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
瑞士起司模型：那天，五個洞對齊了
每一份事故報告的最後一行，幾乎都寫著同樣四個字：人為疏失。寫完，那個人被檢討，流程加一條規定，卷宗歸檔。半年後同樣的事又發生一次，換了一個人。心理學家瑞森（James Reason）提出的瑞士起司模型，講的就是這個循環為什麼停不下來：一件事要出錯，得先穿過好幾道防線；每一道防線都像一片瑞士起司，本來就有洞。平常這些洞散落在不同的位置，危害走到一半就被擋下來。出事的那一天，是所有的洞恰好排成了一直線。
五道防線，各自的洞長什麼樣子
把防線列出來只是第一步。真正有用的是把每一層的洞寫出來，還有它什麼時候會變大。
| 這一道防線 | 它在擋什麼 | 它的洞長什麼樣 | 什麼時候洞會變大 |
|---|---|---|---|
| 點餐備註 | 把客人的限制記下來 | 備註欄字小、跟其他要求混在一起 | 訂單量大、外送平台介面改版 |
| 廚房看板 | 讓做的人看見那條備註 | 列印色帶淡、單子被油汙蓋住 | 耗材沒換、尖峰時段疊單 |
| 出餐複誦 | 用嘴巴再確認一次 | 忙的時候直接跳過 | 人手不足、現場太吵 |
| 包裝標籤 | 讓下一手看得到 | 貼紙沒庫存、貼在袋子背面 | 新人不知道要貼 |
| 外送核對 | 最後一道，交付前確認 | 外送員趕時間、沒有核對責任 | 平台計時壓力大 |
最右邊那一欄是整張表的靈魂。列出來之後你會發現一件不太舒服的事：五個洞變大的原因，有三個是同一個——「很忙」。這代表這五層防線的獨立性沒有想像中高，忙碌的那天，它們會一起變薄。
盤點自己的起司之前，先過這四道
這個模型最常見的誤用是拿它畫事後檢討報告。要讓它有預防力，得問四個問題。
一、老實數一數，你真的有幾層。很多流程在圖上看起來有四五層，實際上只有一層——因為每一層都是「某個人記得要做」。人記得，是一種會累、會被打斷、會離職的防線；系統擋住、格式不對就送不出、少一個欄位就不能結案，這些才算另一層。自問：把最資深的那個人請假一週，還剩幾層？
二、檢查各層的洞是不是同一個原因造成的。這是整個模型最容易被忽略、也最致命的一點。如果五層防線在「趕」的時候都會失效，那它們在最需要的那一刻會一起消失，等於只有一層。真正有效的多層防線，要故意選不同性質的機制：一層靠系統擋、一層靠另一個角色的眼睛、一層靠時間差（隔天覆核）。自問：哪一層在最忙的日子仍然完全不受影響？
三、把「洞會變大」寫進日常管理。洞的大小不是固定的，它跟人力、班表、訓練、耗材、系統穩定度綁在一起。缺兩個人的那一週、新人上線的第一個月、系統剛改版的那幾天，所有的洞都在變大。比起在事故後補一條規定，更有用的做法是先辨認出「高風險的日子」，在那幾天多放一層——多一個人在場、暫時關掉某個容易出錯的選項、把出餐量上限調低。自問：我說得出這個月哪幾天風險最高嗎？
四、想辦法看見那些「差一點」。真正出事的次數很少，少到不夠你學到東西；差一點出事的次數多得多。備註漏看但客人自己發現了、標籤貼錯但外送員問了一句、單子被油蓋住但廚師剛好記得——這些近失事件是免費的地圖，它們標出了洞在哪裡。難的地方在於沒有人願意主動說，因為說了會被檢討。所以能不能收到近失回報，幾乎完全取決於回報之後會發生什麼事。自問：上一個主動說「我剛剛差點出錯」的人，後來怎麼了？
一間連鎖早餐店，週末那個早上發生的事
阿慧管三家連鎖早餐店。某個週六早上九點二十分，一份外送餐送到客人手上，客人對花生過敏，備註寫得清清楚楚，餐點裡有花生醬。事後她坐下來把那個早上的五層防線一層一層拆開。
- 第一層・點餐備註：平台的備註欄裡寫著「花生過敏」，夾在「不要小黃瓜、醬少一點」中間。洞：致命限制與口味偏好混在同一欄
- 第二層・廚房看板：出單機色帶快沒了，字很淡。洞：耗材前一天就該換
- 第三層・出餐複誦：那天店長請假，代班的是到職第三週的工讀生。洞：複誦這件事沒人帶就會消失
- 第四層・包裝標籤：過敏提醒貼紙在抽屜最裡面，工讀生不知道有這東西。洞：東西存在，但不在動線上
- 第五層・外送核對：平台計時倒數，外送員拿了就走。洞：這一層從來就不屬於她能管的範圍
- 五個洞的共同推手：週末尖峰、少一個人、新人。同一天，同一個原因，五層一起變薄
阿慧後來改了三件事，刻意讓三層各自獨立。第一，跟平台反映後把「過敏」在店內系統獨立成一個欄位，一旦有值，出單機就自動印一張紅底貼紙——這一層靠系統，不靠人記得。第二，紅貼紙的位置從抽屜移到出餐台正上方的掛勾，伸手就拿得到——這一層靠動線，不靠訓練。第三，出餐複誦改成只針對有紅貼紙的單子念一句固定台詞：「這單過敏，你確認過了嗎」——這一層靠另一個人的耳朵，而且只在少數單子上啟動，忙的時候不會被整包跳過。她說最大的體悟是這樣：她原本以為自己有五層防線，那天才知道，五層都掛在同一根釘子上。以上僅為說明結構用的示意情境。
這幾片起司，什麼時候會誤導你
瑞士起司是安全管理裡流傳最廣的圖，也因此累積了不少誤用。三個要留意的地方。
- 它很會解釋，不太會預測。任何一次事故發生之後，你都可以回頭把它畫成一張漂亮的起司圖，每個洞都對得起來。問題在於，事前你面對的是幾十個洞、無數種可能的排列，這張圖並不會告訴你哪一種組合明天會發生。所以它比較適合當成盤點工具與溝通語言，而不是風險預測模型。真正提高預測力的，通常是把它跟近失事件的資料放在一起用——那些「差一點」會告訴你哪幾個洞正在變大。
- 它很容易被讀成「所以沒有人要負責」。把焦點從個人移到系統，本意是讓檢討停止追獵代罪羔羊、開始修結構。但同一句話很容易被翻譯成免責聲明：既然是系統問題，那大家都沒有錯。瑞森本人對這種讀法有過相當直接的批評。比較站得住的立場是兩件事並存：個別的行為仍然要被檢視，而檢視的目的在於找出「為什麼在當時的條件下，這個行為是合理的」。一個新人在尖峰時段跳過複誦，通常是因為那個環境正在獎勵他跳過。
- 多加一層，未必真的多一層。加規定是事故後最省力的反應，卻常常帶來三種副作用：新規定與舊規定衝突、流程變長讓人開始找捷徑、以及所有新層都掛在「人記得」這根釘子上。判斷有沒有真的多一層，可以問一個很具體的問題：新加的這一層，在最忙、最累、人最少的那天還會運作嗎。答案是否定的話，那層起司在最需要它的時刻並不存在。有時候把某一層刪掉、換成一個做不到就過不去的裝置，比再加三條規定有效得多。
用痛點的眼光，再看一次這幾片起司
把這張圖轉九十度，它就變成另一件事的剖面圖：客戶的痛，怎麼一路穿過你的公司都沒被接住。
順序幾乎一模一樣。客服接到抱怨，寫成一句「已安撫」；業務聽到同樣的話，判斷成「這個客戶比較挑」；產品收到彙整後的第三手描述，看起來像個小需求；老闆在季會上看到的那張表，那件事已經被壓縮成一個沒有情緒的百分比。每一層都有洞，每一層的洞在忙的時候都會變大，而穿過去的東西是一個真實的痛——它最後穿到的地方叫做「客戶默默走掉」。P.A.I.N. 這把尺一直在問「誰在痛、痛在哪」，多數公司的困難在於，答案沒有辦法完整地走完全程。今晚可以做的一件小事：挑最近一個流失的客戶，把他第一次抱怨到最後離開之間經過的每一個環節列出來，然後在每一層旁邊寫下那句話被改成了什麼樣子。看完那條路徑，你會知道自己的哪一片起司該補。
關於瑞士起司模型，常被問到的幾件事
它跟五個為什麼，差在哪裡？
用的時機不同。五個為什麼是一條垂直往下挖的線，適合追一個具體問題的根因；瑞士起司是一張橫向的剖面圖，適合看「有幾道防線、各自漏在哪」。實務上兩者常搭配：先用起司圖列出防線與洞的位置，再對其中最關鍵的那個洞用五個為什麼往下追。單用五個為什麼容易挖出一條很深卻很窄的解釋，單用起司圖則容易停在描述層次，不夠具體。
到底要幾層才夠？
真正決定強度的是獨立性，而不是層數。三層彼此獨立（系統擋、他人看、時間差覆核），通常勝過七層全部依賴同一批人在同一個時段的注意力。實務上有個粗略的檢查：把最可能同時發生的壞條件寫下來——尖峰、缺人、新人、系統剛改版——然後看在那個組合下，你的每一層還剩幾層活著。剩下兩層以上大致算穩，剩下一層就要重新設計，剩下零層代表你目前的安全全靠運氣。
為什麼「人為疏失」這個結論幾乎都不夠？
因為它把調查停在最後一個接觸到問題的人身上，而那個人通常只是最後一片起司。更有訊息量的問法是：在那個當下的條件下（多忙、多累、資訊長什麼樣子、系統給了什麼提示），一個正常表現的人有多大機率會做出同樣的事。如果答案是「換誰來都很可能」，那真正的問題在條件裡。另外，寫下「人為疏失」還有一個很實際的壞處：它讓同一個洞留在原地，下一個踩到的人已經在路上了。
我們公司很小，也需要畫這個嗎？
小公司更需要，理由有點反直覺：規模小的時候，很多層防線其實是同一個人兼的，獨立性天生就低。三個人的團隊裡，「寫的人」「審的人」「送出去的人」常常是同一位，任何一層都擋不住他自己的盲點。這種情況下，最划算的投資通常是用工具製造一層真正獨立的防線——自動檢查、範本必填欄位、發送前的延遲寄出。不必畫得很正式，把三層寫在白板上，標出各自的洞，二十分鐘就有效果。
近失事件沒有人願意回報，怎麼辦？
關鍵在於回報之後發生什麼。如果第一個誠實說「我剛剛差點送錯」的人被當眾檢討，這個制度就結束了，之後所有人都會等到真的出事再說。比較能運作的做法有三個共同點：回報的對象與考績脫鉤、回報的內容聚焦在條件而不是人、以及每一次回報都要有可見的回應——就算只是「這條我們下週改」。另外，把回報的門檻壓到極低也很重要，一句話、一張照片就好，填表格式的制度通常在第三週就沒人用了。
想把某一個洞往下追到底，五個為什麼提供的是一條垂直的挖法；想在事情還沒發生前先集體想像它怎麼失敗，可以往事前驗屍走一趟。若想讀一本把「防線怎麼設計才擋得住」講得很具體的書，《清單革命》的拆書是最直接的入口。
同一個概念，站上還有別的講法——
拆給你聽：一個日期打錯，為什麼四道防線全沒擋下？喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。