Samarbejde med et bemyndiget organ – hvornår det er nødvendigt, og hvornår modul A er tilstrækkeligt

Spørgsmålet om samarbejde med et bemyndiget organ opstår alt for ofte på det forkerte tidspunkt i projektet. Som regel ikke, når produktkonceptet og sikkerhedslogikken bliver fastlagt, men først ved sammenstilling af dokumentationen, udarbejdelse af EU-overensstemmelseserklæringen eller umiddelbart før CE-mærkningen. Det er netop dér, det bliver tydeligt, at problemet ikke handler om selve proceduren, men om tidligere forudsætninger: produktets klassificering, ansvarsgrænser, omfanget af moderniseringen eller integrationen samt kvaliteten af dokumentationsgrundlaget. Derfor er det rigtige spørgsmål ikke, om man skal “involvere” et bemyndiget organ, men hvornår dets medvirken er absolut nødvendig, og hvornår producenten kan blive ved modul A og selv dokumentere hele overensstemmelsesvurderingsforløbet.

Den dyreste fejl opstår før auditten

De mest omkostningstunge fejl skyldes ikke selve kontakten med det bemyndigede organ, men en forkert vurdering af situationen i starten af projektet. I praksis blandes tre forhold ofte sammen: sikkerhedskonstruktion, overensstemmelsesvurdering og den formelle inddragelse af en tredjepart. De hænger sammen, men er ikke det samme. En maskine kan være teknisk veldesignet og alligevel ikke kræve medvirken fra et bemyndiget organ. Omvendt bliver et produkt med kompleks arkitektur og forhøjet teknisk risiko ikke automatisk omfattet af en sådan procedure, blot fordi teamet vurderer det som “vanskeligt”. Om tredjepartens medvirken er nødvendig, afgøres af produktets juridiske klassificering, dets tilsigtede anvendelse, forudsigelig fejlanvendelse og den korrekte procedure for overensstemmelsesvurdering.

Det har direkte betydning for, hvordan projektet styres. Spørgsmålet om et bemyndiget organ er underordnet spørgsmålet om, hvad der faktisk skal bringes på markedet: en maskine, en sammenbygget maskinenhed, en delvist færdig maskine eller et andet produkt, der er omfattet af særskilte regler. Først når dette grundlag er fastlagt, kan man afgøre, hvilke regler der finder anvendelse, og hvilken vej for overensstemmelsesvurdering der er tilladt. Alligevel bliver modul A i mange organisationer alt for tidligt antaget som standardløsning, allerede før produktklassificeringen er afsluttet, og før ansvaret for producent, importør eller integrator er afklaret. Det vender den korrekte beslutningsrækkefølge på hovedet.

I praksis viser problemet sig sjældent ved den første samtale om overensstemmelse. Oftest vender det først tilbage, når det tekniske koncept allerede er låst: det mekaniske design er færdigt, komponenterne er bestilt, instruktionen er udarbejdet, og mærkningen er planlagt. På det tidspunkt viser det sig, at den valgte vej for overensstemmelsesvurdering var forkert eller ufuldstændig. Konsekvensen er ikke kun risikoen for en tvist med markedsovervågningsmyndigheden. Langt oftere opstår der behov for at ombygge afskærmninger, ændre styresystemernes arkitektur, udvide prøvningerne, rette instruktioner, erklæringer og mærkninger eller genopbygge hele den tekniske argumentation, der begrunder produktets sikkerhed. Så skyldes omkostningen ikke selve proceduren, men at man må tilbage til beslutninger, som burde være truffet tidligere.

For at undgå dette skal fire forhold afklares, før det tekniske koncept fastfryses:

• produktets klassificering og dets tilsigtede anvendelse,
• de regler, der finder anvendelse,
• den korrekte procedure for overensstemmelsesvurdering,
• om medvirken fra et bemyndiget organ er obligatorisk, eller om modul A fortsat er tilstrækkeligt.

Kun en sådan rækkefølge gør det muligt at vurdere, om en selvstændig overensstemmelsesvurdering er organisatorisk og juridisk forsvarlig. I en polsk og EU-retlig kontekst handler det ikke om forsigtighed for forsigtighedens skyld, men om at forankre beslutningen om overensstemmelse i projektet, dokumentationen og den faktiske anvendelse. Modul A er ikke udgangspunktet. Det er resultatet af en korrekt gennemført produktklassificering og en korrekt opbygget teknisk dokumentation.

Hvor modul A reelt slutter

Grænsen for modul A går dér, hvor producenten ikke længere selvstændigt og overbevisende kan dokumentere produktets overensstemmelse inden for rammerne af intern produktionskontrol. Det er ikke en “lettere” procedure og reducerer ikke ansvaret. Tværtimod: når der ikke medvirker en tredjepart, ligger hele ansvaret for korrekt produktklassificering, valg af krav, risikovurdering, valg af beskyttelsesforanstaltninger og sammenstilling af sikkerhedsdokumentation hos producenten. Modul A er kun tilstrækkeligt, når teamet kan dokumentere ikke blot, at produktet er sikkert, men også hvorfor netop denne vej for overensstemmelsesvurdering var tilladt for dette produkt, i dets faktiske anvendelse og konfiguration.

Set fra et konstruktionsperspektiv betyder det, at beslutningen om overensstemmelse ikke kan adskilles fra de konstruktive valg. På maskinområdet er det ikke kun produktets funktion, der er afgørende, men også om det falder inden for kategorier med særlige procedurekrav, og om producenten faktisk bygger dokumentationen for overensstemmelse på tekniske løsninger, der er valgt korrekt i forhold til de identificerede farer. Det er ikke nok blot at fastslå, at løsningerne er “i overensstemmelse med standarderne”. Man skal kunne dokumentere, at de er valgt korrekt, hænger sammen med risikovurderingen og reelt er implementeret i designet, softwaren, styresystemet og brugerdokumentationen.

I praksis bliver denne grænse tydeligst ved produkter med sikkerhedsfunktioner, som er udført på en ikke-standardiseret måde eller klart afviger fra de løsninger, der normalt anvendes i den pågældende branche. Producenten kan ønske at blive ved intern produktionskontrol, fordi virksomheden kender produktet, har sit eget konstruktionsteam og har udarbejdet dokumentationen. Problemet opstår, når risikovurderingen ikke giver et tilstrækkeligt grundlag for valget af beskyttelsesforanstaltninger, beskrivelsen af sikkerhedsfunktionerne ikke svarer til den faktiske styrelogik, og begrundelsen for de valgte afvigelser er ufuldstændig. I en sådan situation bliver det vanskeligt at forsvare en selvstændig procedure, selv hvis kravet om deltagelse af et notificeret organ endnu ikke følger direkte af et ubetinget procedurekrav.

Det samme gælder for komplekse produkter, som samtidig er omfattet af flere overensstemmelsesregimer. Den tekniske korrekthed af løsningen afgør i sig selv ikke, om man kan blive ved modul A. Det har også betydning, hvordan de enkelte procedurer overlapper hinanden, og hvilke betingelser der skal opfyldes i hver af dem. Det er netop i sådanne tilfælde, at det er lettest at forveksle proceduremæssig selvstændighed med en forenkling, som dokumentationen senere ikke kan bære.

• Modul A er tilstrækkeligt, når produktklassificering, risikovurdering, valg af tekniske løsninger og dokumentation tilsammen udgør en sammenhængende dokumentation for overensstemmelse.
• Deltagelse af et notificeret organ skal især vurderes, når produktet tilhører særlige kategorier, afviger fra de accepterede tekniske løsninger eller samtidig er omfattet af flere regimer.
• Hvis teamet ikke selv kan forsvare, at den tekniske dokumentation er fuldstændig, bliver det at fastholde modul A en organisatorisk risiko og ikke en besparelse.

Først på den baggrund er en proceduremæssig vurdering nødvendig. Det er reglerne for den pågældende produkttype, der afgør, om betingelserne for at blive ved modul A er opfyldt, eller om det er nødvendigt at inddrage en tredjepart. Det afgøres ikke af teknisk intuition eller af en antagelse om, at risikoen “ikke er høj”. Derfor er spørgsmålet om, hvorvidt man kan begynde med modul A og senere inddrage et notificeret organ, ofte ganske enkelt stillet for sent. Hvis designvalg og dokumentationsgrundlag ikke fra starten er forberedt med denne mulighed for øje, vil en senere inddragelse af tredjepart som regel blot afdække projektets svagheder i stedet for at afhjælpe dem.

Beslutningen skal indarbejdes i projektet

Afklaringen af, om et givent produkt kræver deltagelse af et notificeret organ, eller om proceduren med intern produktionskontrol er tilstrækkelig, er en designbeslutning. Den bør ikke træffes ved bestilling af komponenter eller lige før den endelige overtagelse. Det rigtige tidspunkt er den fase, hvor teamet stadig har reel indflydelse på sikkerhedsarkitekturen, grænserne for produktets anvendelse, omfanget af sikkerhedsrelaterede funktioner samt måden, den tekniske dokumentation opbygges på. Hvis beslutningen udsættes til sidst, ender organisationen som regel i en tilsyneladende besparelse: formelt holder man sig til modul A, men produktet konstrueres, som om en senere udfyldning af manglerne var teknisk uden betydning. I praksis er det ikke tilfældet.

Konsekvenserne er forudsigelige. En ændring af overensstemmelsesvurderingsforløbet sent i projektet betyder som regel, at man må tilbage til forudsætningerne, gennemføre en ny risikovurdering, korrigere styreløsningerne, supplere manglende dokumentation og diskutere, hvem i organisationen der havde ansvaret for beslutningen. Derfor er der behov for en kort, men stringent intern proces, som sættes i gang, før konceptet lukkes.

En sådan proces behøver ikke være omfattende, men den skal være entydig. Først skal produktet klassificeres, og dets tilsigtede anvendelse og anvendelsesgrænser skal fastlægges. Derefter skal der udarbejdes en oversigt over de relevante regler og gennemføres en indledende risikovurdering, som er tilstrækkelig til at identificere kritiske sikkerhedsfunktioner og de steder, hvor konstruktive valg kan blive afgørende for den videre overensstemmelsesvurdering. Først på dette grundlag kan der træffes en proceduremæssig beslutning: enten bliver vi ved modul A, eller også forberedes projektet til inddragelse af tredjepart i det omfang, der følger af reglerne eller af den valgte dokumentationsstrategi.

For at denne beslutning kan gennemføres i praksis, skal den have en ansvarlig ejer og klare input fra konstruktion, automation, sikkerhed, overensstemmelse og dokumentation. Uden dette vender emnet tilbage på det værst tænkelige tidspunkt: under tidspres op til levering eller efter bemærkninger fra kunden, importøren eller markedsovervågningsmyndigheden. På det tidspunkt løser organisationen ikke længere et overensstemmelsesproblem, men indhenter en manglende designbeslutning.

• beskrivelse af produktet, dets tilsigtede anvendelse og anvendelsesgrænser,
• indledende risikovurdering samt identifikation af kritiske sikkerhedsfunktioner,
• oversigt over relevante regler og beslutning om proceduren for overensstemmelsesvurdering,
• plan for dokumentationsgrundlaget, herunder leverandørers og integratorens ansvar.

Det ses tydeligt ved modernisering, integration af linjer og rekonfiguration af maskiner. For et nyt produkt er det som regel lettere at fastslå, hvem producenten er, og hvem der har ansvaret for det samlede koncept. Ved ændringer i eksisterende anlæg er situationen mere kompleks, fordi man ud over at vælge vejen for overensstemmelsesvurdering også skal afklare, om indgrebets omfang skaber et nyt producentansvar. Hvis ændringen omfatter styrelogik, sikkerhedsfunktioner, måden maskinerne samarbejder på eller den tilsigtede anvendelse, er det ikke længere oplagt at vurdere det som “kun en modernisering”. Så er spørgsmålet om et bemyndiget organ ikke en særskilt formalitet, men en del af en bredere beslutning om, hvorvidt ændringernes omfang kræver en ny vurdering af hele sikkerhedskonceptet, og om oplysningerne fra leverandører og integratorer er tilstrækkelige til at underbygge det endelige produkt.

Hvis organisationen overvejer at samarbejde med et bemyndiget organ, bør det ske med et klart formål. Det kan være at få bekræftet, at en procedure med deltagelse af tredjepart er obligatorisk, at få vurderet et nøje afgrænset omfang, at få struktureret dokumentationsgrundlaget eller at reducere risikoen for tvist om de valgte tekniske løsninger. En sådan dialog har kun værdi, hvis teamet allerede kan fremlægge sine forudsætninger: hvorfor man vurderede modul A som tilstrækkeligt, hvilke tekniske løsninger man valgte, hvilke afvigelser man accepterede, og hvem der godkendte disse beslutninger. Overensstemmelse kan ikke troværdigt tilføjes bagefter. Den skal indarbejdes sideløbende med produktudviklingen.

Eksempel først, derefter reglerne

Den mest almindelige fejl er, at beslutningen om et bemyndiget organ reduceres til et spørgsmål om omkostningerne ved proceduren eller til en vane: “hidtil har vi gjort det i modul A”. I praksis er det imidlertid først og fremmest en beslutning om produktets klassificering og om kvaliteten af projektforudsætningerne. Hvis disse to elementer ikke hænger sammen, er en diskussion om selve proceduren kun en følge af et tidligere problem. Et team, der for tidligt anser modul A for det oplagte valg, opdager som regel først hullet ved sammenstilling af den tekniske dokumentation, udarbejdelse af EU-overensstemmelseserklæringen eller under gennemgangen før CE-mærkning. Så viser det sig, at det ikke er en ekstern bekræftelse, der mangler, men en sammenhængende begrundelse.

For projektet har det en helt konkret konsekvens: Det tekniske team projekterer ud fra forudsætninger, som ingen formelt har verificeret, og de personer, der er ansvarlige for at bringe produktet på markedet, får dokumenter, som er vanskelige at forsvare ved en kontrol eller ved spørgsmål fra kunden. Derfor skal omkostninger vurderes bredere end alene ud fra selve proceduren. Risikoen ved senere korrektioner omfatter styresystemer, afskærmninger, driftslogik, brugsanvisning, mærkning og indholdet af EU-overensstemmelseserklæringen. Derfor kan en tidlig gennemgang af produktets klassificering være billigere end senere at skulle redde projektet, selv hvis den i sidste ende bekræfter, at et bemyndiget organs medvirken ikke er påkrævet.

Et typisk eksempel er modernisering af en linje, som i første omgang blev behandlet som en almindelig integration af eksisterende maskiner. Teamet valgte modul A som det naturlige valg, fordi der blev anvendt standardkomponenter, og leverandørerne erklærede, at deres udstyr var i overensstemmelse med kravene. Først da dokumentationsgrundlaget blev systematiseret, kom det frem, at det faktiske indgreb var langt mere omfattende: logikken for samspillet mellem stationerne blev ændret, der blev tilføjet fælles sikkerhedsfunktioner, sekvenserne for stop og opstart blev ombygget, og ansvaret for helhedens endelige funktion var reelt flyttet til integratoren. Problemet var derfor ikke, at man som sådan havde undladt at inddrage et bemyndiget organ, men at man havde lagt usammenhængende forudsætninger til grund.

I dokumentationen manglede der en sammenhængende risikovurdering for hele anlægget, der manglede en begrundelse for grænserne for moderniseringen, og parametrene samt arkitekturen for sikkerhedsfunktionerne var kun beskrevet fragmentarisk, hovedsageligt ved henvisning til dokumenter fra komponentleverandørerne. Da spørgsmålet om den korrekte vej for overensstemmelsesvurdering opstod, måtte teamet ikke gå tilbage til formularerne, men til projektet: få styr på produktets klassificering, supplere dokumentationsgrundlaget og i nogle tilfælde ændre de tekniske løsninger. Det er den vigtigste læring fra sådanne tilfælde. Et bemyndiget organs medvirken kan strukturere den formelle proces og præcisere vurderingens omfang, men det kan ikke rette op på et svagt projekt, ikke erstatte en grundig risikovurdering, et korrekt valg af beskyttelsesforanstaltninger eller en sammenhængende dokumentation.

Først efter en sådan afklaring giver det mening at forholde sig til de retlige rammer. Det er de regler, der gælder for det konkrete produkt, og de procedurer for overensstemmelsesvurdering, der er fastsat for det, som afgør, om et bemyndiget organs medvirken er obligatorisk, eller om man kan blive ved modul A. Producenten, importøren, integratoren eller kunden kan ikke frit vælge mellem disse veje, hvis produktets klassificering og den relevante retsakt peger på en anden løsning. Omvendt overfører selve tilstedeværelsen af et bemyndiget organ ikke ansvaret for indholdet af EU-overensstemmelseserklæringen eller for, om CE-mærkningen svarer til den faktisk anvendte vej for overensstemmelsesvurdering. Ansvaret for dette forbliver hos den aktør, der bringer produktet på markedet.

Den praktiske konklusion er enkel. Den billigste beslutning om et notificeret organ er den, der træffes tidligt: efter kvalificering af produktet, efter kontrol af moderniseringens eller integrationens omfang, efter vurdering af kvaliteten af sikkerhedens dokumentationsgrundlag, men før projektet lukkes, og før erklæringen om overensstemmelse og CE-mærkning samles. Hvis der i dokumentationen optræder advarselstegn — en modstridende beskrivelse af produktets grænser, manglende entydigt ejerskab for risikovurderingen, for stor afhængighed af leverandørernes erklæringer eller uklarhed om, hvem der har ansvaret for sikkerhedsfunktionerne som helhed — er der behov for en gennemgang allerede før den endelige overensstemmelsesvurdering. Formålet er ikke formalisme. Det handler om, at vejen til overensstemmelsesvurdering svarer til det faktiske produkt og ikke til en antagelse, der blev lagt fast for tidligt og kun fastholdes, fordi projektet næsten er færdigt.