Spolupráce s oznámeným subjektem – kdy je nezbytná a kdy postačuje modul A

Otázka spolupráce s notifikovanou osobou se v projektu až příliš často objevuje v nevhodnou chvíli. Obvykle ne tehdy, když se formuje koncepce výrobku a logika bezpečnosti, ale až při kompletaci dokumentace, přípravě EU prohlášení o shodě nebo těsně před označením CE. Právě tehdy vyjde najevo, že problém nespočívá v samotném postupu, ale v dřívějších předpokladech: v klasifikaci výrobku, vymezení odpovědnosti, rozsahu modernizace nebo integrace a v kvalitě důkazních podkladů. Proto správná otázka nezní, zda notifikovanou osobu „zapojit“, ale kdy je její účast bezpodmínečně nutná a kdy může výrobce zůstat u modulu A a samostatně obhájit celý postup posouzení shody.

Nejdražší chyba vzniká před auditem

Nejnákladnější omyly nevyplývají ze samotného kontaktu s notifikovanou osobou, ale z chybného vyhodnocení situace na začátku projektu. V praxi se často směšují tři roviny: návrh bezpečnosti, posouzení shody a formální účast třetí strany. Tyto oblasti spolu souvisejí, ale nejsou totožné. Stroj může být z technického hlediska navržen správně, a přesto nevyžadovat účast notifikované osoby. Naopak výrobek se složitou architekturou a zvýšeným technickým rizikem ještě automaticky nepodléhá takovému postupu jen proto, že jej tým považuje za „obtížný“. O tom, zda je účast třetí strany nutná, rozhoduje právní klasifikace výrobku, jeho zamýšlené použití, předvídatelné nesprávné použití a správně zvolený postup posouzení shody.

To má přímý dopad na způsob vedení projektu. Otázka notifikované osoby je podřízena otázce, co má být vlastně uvedeno na trh: stroj, sestava strojních zařízení, neúplné strojní zařízení nebo jiný výrobek podléhající samostatným předpisům. Teprve po stanovení tohoto základu lze určit, které předpisy se použijí a jaký postup posouzení shody je přípustný. Přesto se v mnoha organizacích modul A příliš brzy považuje za výchozí variantu, ještě před dokončením klasifikace výrobku a před vyjasněním odpovědnosti výrobce, dovozce nebo integrátora. Tím se obrací správné pořadí rozhodnutí.

V praxi se problém zřídka projeví při prvním rozhovoru o shodě. Nejčastěji se vrací až ve chvíli, kdy je technická koncepce již uzavřena: mechanický návrh hotový, komponenty objednané, návod připravený a označení naplánované. V tomto okamžiku se ukáže, že zvolený postup posouzení shody byl chybný nebo neúplný. Důsledkem není jen riziko sporu s orgánem dozoru nad trhem. Mnohem častěji vzniká potřeba přepracovat kryty, změnit architekturu řídicích systémů, rozšířit zkoušky, upravit návod, prohlášení a označení nebo znovu vystavět celou technickou argumentaci odůvodňující bezpečnost výrobku. Náklady pak nevyplývají ze samotného postupu, ale z návratu k rozhodnutím, která měla padnout dříve.

Aby se tomu předešlo, je před zmrazením technické koncepce nutné vyřešit čtyři otázky:

• klasifikaci výrobku a jeho zamýšlené použití,
• použitelné předpisy,
• správný postup posouzení shody,
• zda je účast notifikované osoby povinná, nebo zda modul A zůstává dostačující.

Teprve takové uspořádání umožňuje posoudit, zda je samostatné posouzení shody z organizačního a právního hlediska bezpečné. V polských i unijních podmínkách nejde o opatrnost pro opatrnost samu, ale o to, aby rozhodnutí o shodě vycházelo z projektu, dokumentace a skutečného způsobu používání. Modul A není výchozím bodem. Je výsledkem správně provedené klasifikace výrobku a správně sestavené technické dokumentace.

Kde modul A skutečně končí

Hranice modulu A leží tam, kde výrobce přestává být schopen samostatně a přesvědčivě prokázat shodu výrobku v rámci interní kontroly výroby. Nejde o „lehčí“ postup ani o postup, který snižuje odpovědnost. Právě naopak: pokud se neúčastní třetí strana, nese výrobce plnou odpovědnost za správnou klasifikaci výrobku, výběr požadavků, posouzení rizik, přijetí ochranných opatření a kompletaci důkazních podkladů. Modul A postačuje pouze tehdy, když je tým schopen prokázat nejen to, že je výrobek bezpečný, ale také proč byl právě tento postup posouzení shody pro daný výrobek, v jeho skutečném určení a konfiguraci, přípustný.

Z hlediska návrhu to znamená, že rozhodnutí o shodě nelze oddělit od konstrukčních rozhodnutí. U strojních zařízení není důležitá jen funkce výrobku, ale také to, zda spadá do kategorií podléhajících zvláštním procesním požadavkům a zda výrobce skutečně opírá prokázání shody o technická řešení správně zvolená s ohledem na identifikovaná nebezpečí. Samotné tvrzení, že řešení jsou „v souladu s normami“, nestačí. Je nutné prokázat jejich správnou volbu, návaznost na analýzu rizik a skutečné zavedení v návrhu, softwaru, řídicím systému i uživatelské dokumentaci.

V praxi se tato hranice nejlépe ukazuje u výrobků s bezpečnostními funkcemi realizovanými nestandardně nebo zřetelně odlišně od řešení běžně přijímaných v daném odvětví. Výrobce může chtít zůstat u interní kontroly výroby, protože výrobek zná, má vlastní konstrukční tým a připravil dokumentaci. Problém nastává tehdy, když analýza rizik nevede k jednoznačné volbě ochranných opatření, popis bezpečnostních funkcí neodpovídá skutečné logice řízení a odůvodnění přijatých odchylek je neúplné. V takové situaci se samostatný postup začíná obhajovat jen obtížně, i když samotná povinnost účasti notifikované osoby ještě nevyplývá přímo z bezpodmínečného procesního požadavku.

Podobně je tomu u složitých výrobků, které současně podléhají několika režimům posuzování shody. Samotná technická správnost řešení tehdy nerozhoduje o tom, zda lze zůstat u modulu A. Důležité je také to, jak se jednotlivé postupy vzájemně překrývají a jaké podmínky je třeba splnit v každém z nich. Právě v takových případech je nejsnazší zaměnit procesní samostatnost za zjednodušení, které dokumentace později neustojí.

• Modul A je dostačující tehdy, když klasifikace výrobku, analýza rizik, volba technických řešení a dokumentace tvoří ucelené odůvodnění shody.
• Účast notifikované osoby je třeba ověřit zejména tehdy, když výrobek patří do zvláštních kategorií, odchyluje se od přijatých technických řešení nebo současně podléhá několika režimům.
• Jestliže tým nedokáže samostatně obhájit úplnost technické dokumentace, setrvání u modulu A se stává organizačním rizikem, nikoli úsporou.

Teprve v tomto kontextu je nutné procesní posouzení. Předpisy příslušné pro daný typ výrobku určují, zda jsou splněny podmínky pro setrvání u modulu A, nebo zda je nutná účast třetí strany. Nerozhoduje o tom technická intuice ani přesvědčení, že riziko „není vysoké“. Proto bývá otázka, zda lze začít modulem A a později přizvat notifikovanou osobu, jednoduše položena příliš pozdě. Pokud konstrukční volby a důkazní podklady nebyly od počátku připravovány s ohledem na tuto možnost, pozdější zapojení třetí strany obvykle odhalí slabiny návrhu, místo aby je odstranilo.

Rozhodnutí je nutné zabudovat do projektu

Rozhodnutí, zda daný výrobek vyžaduje účast notifikované osoby, nebo zda postačuje postup interní kontroly výroby, je projektovým rozhodnutím. Nemělo by padnout až při objednávání komponent ani těsně před konečnou přejímkou. Správný okamžik je ve fázi, kdy má tým ještě reálný vliv na architekturu bezpečnosti, meze použití výrobku, rozsah funkcí souvisejících s bezpečností i způsob vytvoření technické dokumentace. Pokud se rozhodnutí odloží až na konec, organizace obvykle sklouzne ke zdánlivé úspoře: formálně zůstává u modulu A, ale výrobek navrhuje tak, jako by pozdější doplnění chybějících podkladů bylo technicky bezvýznamné. V praxi tomu tak není.

Důsledky jsou předvídatelné. Změna cesty posuzování shody na konci projektu nejčastěji znamená návrat k výchozím předpokladům, nové posouzení rizik, úpravu řešení řízení, doplnění chybějících důkazů a spor o to, kdo v organizaci za rozhodnutí odpovídal. Právě proto je potřeba krátký, ale důsledný interní proces spuštěný ještě před uzavřením koncepce.

Takový proces nemusí být rozsáhlý, ale měl by být jednoznačný. Nejprve je třeba výrobek klasifikovat a stanovit jeho účel a meze použití. Následně je nutné sestavit seznam použitelných předpisů a provést předběžnou analýzu rizik, která postačí k odhalení kritických bezpečnostních funkcí a míst, kde mohou konstrukční volby rozhodnout o dalším postupu posuzování shody. Teprve na tomto základě lze přijmout procesní rozhodnutí: zůstáváme u modulu A, nebo připravujeme projekt na účast třetí strany v rozsahu vyplývajícím z předpisů nebo zvolené důkazní strategie.

Aby bylo toto rozhodnutí proveditelné, musí mít vlastníka a jasně definované vstupy z konstrukce, automatizace, bezpečnosti, shody a dokumentace. Bez toho se téma vrací v nejhorší možný okamžik: pod tlakem termínu dodání nebo po připomínkách zákazníka, dovozce či orgánu dozoru nad trhem. Organizace pak už neřeší problém shody, ale dohání chybějící projektové rozhodnutí.

• popis výrobku, jeho účelu a mezí použití,
• předběžná analýza rizik a identifikace kritických bezpečnostních funkcí,
• seznam použitelných předpisů a rozhodnutí o postupu posuzování shody,
• plán důkazních podkladů, včetně odpovědností dodavatelů a integrátora.

To je dobře vidět při modernizacích, integraci linek a rekonfiguraci strojů. U nového výrobku je obvykle snazší určit výrobce i odpovědnost za celou koncepci. U změn stávajících sestav je situace složitější, protože vedle volby postupu posouzení shody je nutné rozhodnout i o tom, zda rozsah zásahu nevytváří novou odpovědnost výrobce. Pokud změna zasahuje do logiky řízení, bezpečnostních funkcí, způsobu spolupráce strojů nebo do zamýšleného použití, přestává být závěr, že jde „jen o modernizaci“, samozřejmý. Otázka notifikované osoby pak není samostatnou formalitou, ale součástí širšího rozhodnutí, zda rozsah změn vyžaduje nové posouzení celé bezpečnostní koncepce a zda podklady od dodavatelů a integrátorů postačují k obhájení konečného výrobku.

Pokud organizace zvažuje spolupráci s notifikovanou osobou, měla by k tomu mít konkrétní cíl. Může jím být potvrzení, že je povinný postup za účasti třetí strany, posouzení přesně vymezeného rozsahu, uspořádání důkazních podkladů nebo omezení rizika sporu o přijatá technická řešení. Taková konzultace má hodnotu jen tehdy, když tým už umí doložit své východisko: proč považoval modul A za dostačující, jaká technická řešení přijal, jaké odchylky připustil a kdo tato rozhodnutí schválil. Shodu nelze věrohodně doplnit až zpětně. Musí se navrhovat souběžně s výrobkem.

Nejprve příklad, teprve potom předpisy

Nejčastější chyba spočívá v tom, že se rozhodnutí o notifikované osobě zúží na otázku ceny postupu nebo na zvyk: „dosud jsme to dělali v modulu A“. V praxi je to přitom především rozhodnutí o klasifikaci výrobku a o kvalitě projektových předpokladů. Pokud tyto dva prvky nejsou v souladu, spor o samotný postup je jen důsledkem dřívějšího problému. Tým, který příliš brzy považuje modul A za samozřejmou volbu, obvykle odhalí mezeru až při kompletaci technické dokumentace, přípravě EU prohlášení o shodě nebo při kontrole před označením CE. Tehdy se ukáže, že nechybí vnější potvrzení, ale návaznost odůvodnění.

Pro projekt to má velmi konkrétní důsledek: technický tým navrhuje podle předpokladů, které nikdo formálně neověřil, a osoby odpovědné za uvedení výrobku na trh dostávají dokumenty, které se při kontrole nebo při dotazech zákazníka obtížně obhajují. Proto je třeba náklady posuzovat šířeji než jen optikou samotného postupu. Riziko pozdějších úprav se týká řídicích systémů, krytů, pracovní logiky, návodu, značení i obsahu EU prohlášení o shodě. Z tohoto důvodu bývá dřívější přezkum klasifikace výrobku levnější než pozdější záchrana projektu, i když nakonec potvrdí, že účast notifikované osoby není vyžadována.

Typickým příkladem je modernizace linky, která byla zpočátku posouzena jako běžná integrace stávajících strojů. Tým přijal modul A jako přirozenou volbu, protože používal hotové podsestavy a dodavatelé deklarovali shodu svých zařízení. Teprve při uspořádání důkazních podkladů vyšlo najevo, že skutečný zásah byl podstatně hlubší: změnila se logika spolupráce pracovišť, byly doplněny společné bezpečnostní funkce, přepracovaly se sekvence zastavení a spuštění a odpovědnost za výsledné chování celku se fakticky přesunula na integrátora. Problém tedy nespočíval v samotném opomenutí notifikované osoby, ale v přijetí nesourodých předpokladů.

V dokumentaci chyběla ucelená analýza rizik pro celý systém, chybělo zdůvodnění hranic modernizace a parametry i architektura bezpečnostních funkcí byly popsány jen částečně, převážně formou odkazů na dokumentaci dodavatelů komponent. Když pak vyvstala otázka správného postupu posouzení shody, musel se tým vrátit ne k formulářům, ale k projektu: uspořádat klasifikaci výrobku, doplnit důkazní podklady a někdy i změnit technická řešení. To je hlavní poučení z podobných případů. Účast notifikované osoby může zpřehlednit formální postup a upřesnit rozsah posouzení, ale nenapraví slabý projekt, nenahradí poctivou analýzu rizik, správnou volbu ochranných opatření ani konzistentní dokumentaci.

Teprve po takovém vyhodnocení má smysl obrátit se k právnímu rámci. O tom, zda je účast notifikované osoby povinná, nebo zda lze zůstat u modulu A, rozhodují předpisy vztahující se na konkrétní výrobek a postupy posouzení shody, které jsou pro něj stanoveny. Výrobce, dovozce, integrátor ani zákazník si mezi těmito cestami nemohou volně vybírat, pokud klasifikace výrobku a příslušný právní předpis vedou k jinému řešení. Na druhou stranu samotná přítomnost notifikované osoby nepřenáší odpovědnost za obsah EU prohlášení o shodě ani za to, zda označení CE odpovídá skutečně použitému postupu posouzení shody. Odpovědnost za to zůstává na subjektu, který výrobek uvádí na trh.

Praktický závěr je jednoduchý. Nejlevnější rozhodnutí ohledně notifikované osoby je to, které padne včas: po klasifikaci výrobku, po ověření rozsahu modernizace nebo integrace, po posouzení kvality podkladů a ověření bezpečnosti stroje, ale ještě před uzavřením projektu a kompletací prohlášení o shodě a označení CE. Pokud se v dokumentaci objevují varovné signály — rozporný popis hranic výrobku, chybějící jednoznačný vlastník analýzy rizik, nadměrné spoléhání na prohlášení dodavatelů nebo nejasnost v tom, kdo odpovídá za celek bezpečnostních funkcí — je potřeba provést přezkum ještě před finálním posouzením shody a označením CE pro stroje. Jeho cílem není formalismus. Jde o to, aby cesta posouzení shody odpovídala skutečnému výrobku, nikoli předpokladu přijatému příliš brzy a udržovanému jen proto, že projekt je už téměř hotový.