여러 방어 장치가 동시에 뚫릴 때 사고가 발생한다고 보는 관점에서 도출되는 대응은?

사고는 한 사람의 실수가 아니라 여러 방어 단계의 결함이 겹칠 때 발생하므로 각 단계의 구멍을 찾아 메워야 한다. 개인 처벌 중심 접근은 보고를 위축시켜 시스템의 약점을 더 보이지 않게 만든다.

스위스 치즈 모델(Swiss Cheese Model)의 핵심 관점
문제에서 말하는 ‘여러 방어 장치가 동시에 뚫릴 때 사고가 발생한다’는 시각은 James Reason의 스위스 치즈 모델을 가리킵니다. 이 모델에서 각 방어층(defense layer)은 구멍이 뚫린 치즈 조각처럼 불완전하며, 평소에는 각 층이 오류를 걸러내지만 여러 층의 구멍이 우연히 일직선으로 정렬되면 사고가 환자에게 도달합니다^[1][2]. 중요한 점은 이 구멍이 ‘개인의 부주의’가 아니라 장비 성능, 소프트웨어 알고리즘, 작업 절차, 팀 의사소통, 환경 요인 등 시스템 전반에 걸친 잠재적 취약점(latent vulnerability)에서 비롯된다는 것입니다^[2][3].

오답이 놓치고 있는 것
1번 ‘사고를 낸 개인을 지목해 재교육’은 개인 기반 접근(person-based approach)으로, 스위스 치즈 모델이 비판하는 대표적인 사고 대응 방식입니다. 오류를 낸 사람을 처벌하거나 재교육하면 겉으로는 대응한 것처럼 보이지만, 그 사람이 빠진 자리를 다른 사람이 메우더라도 동일한 시스템 결함이 남아 있으면 같은 유형의 사고가 반복될 수 있습니다^[3]. 2번 ‘경고문 부착’은 일회성 주의 환기에 그칠 뿐, 오류가 발생한 경로의 구조적 결함을 바꾸지 않습니다. 4번 ‘보고 건수 축소’는 오히려 위해에 가까운 접근입니다. 보고가 줄어든 것이 실제 안전이 좋아졌다는 뜻은 아니며, 오류 정보가 시스템 개선에 반영될 통로를 막아 방어층의 구멍을 더 키우게 됩니다. 5번 ‘근무자 수 축소’는 확인 절차를 줄여 방어층 자체를 제거하는 것이므로, 치즈 조각을 한 장 덜어내는 것과 같습니다.

정답 3번이 시스템적 대응인 이유
정답은 “오류가 통과한 여러 단계를 확인해 이중 확인과 시스템 개선을 설계한다”입니다. 스위스 치즈 모델에서는 사고가 났다는 사실을 ‘여러 방어층이 동시에 실패했다’는 신호로 해석합니다. 따라서 대응도 개인 한 명을 겨냥하는 대신, 오류가 어떤 단계들을 순서대로 통과했는지 경로를 추적하고 각 단계에서 왜 그 오류를 걸러내지 못했는지를 분석해야 합니다^[1][2]. 예컨대 산과 응급 상황에서 구급대원의 대처가 늦어진 사건이 있었다면, ‘구급대원의 지식 부족’으로만 돌리지 않고 출동 지시 단계, 현장 판단 도구, 병원 이송 연계, 의료지도 체계 등 여러 방어층에서 어떤 구멍이 동시에 열렸는지를 확인하는 것입니다^[1]. 그런 다음 특정 단계에 이중 확인(double-check)이나 강제적 절차를 추가해 한 층의 구멍이 뚫리더라도 다음 층에서 반드시 걸러지도록 설계를 바꿉니다.

임상·실무 적용 포인트
병동에서 투약 오류가 발생했다고 가정해 보겠습니다. 개인 기반 접근은 “담당 간호사가 주의가 부족했다”며 해당 간호사만 재교육하는 것입니다. 반면 시스템 기반 접근은 처방 입력, 약국 조제, 병동 수령, 투약 전 확인, 투약 기록까지 5단계의 방어층을 놓고, 각 단계에서 어떤 조건이 겹쳐 오류가 끝까지 통과했는지를 추적합니다. 예를 들어 처방 시스템에 용량 경고가 없었고, 약국 조제 시 유사 포장 약품이 구분되지 않았으며, 투약 전 이중 확인이 바쁜 시간대에 생략되는 문화가 있었다면, 이 세 구멍이 한 줄로 정렬된 것입니다. 대응은 경고 기능 추가, 유사 포장 약품 분리 보관, 이중 확인이 물리적으로 강제되는 절차 도입처럼 각 층을 독립적으로 보강하는 방향이어야 합니다. AI 기반 의료기기의 오류도 같은 틀로 접근할 수 있는데, 알고리즘 편향, 학습 데이터 문제, 사용자 인터페이스, 임상 적용 시점의 판단 등 여러 층을 함께 점검해야 한다는 논의가 이에 해당합니다^[3].