Współpraca z Jednostką Notyfikowaną – kiedy jest konieczna, a kiedy wystarcza moduł A

Pytanie o współpracę z Jednostką Notyfikowaną zbyt często pojawia się w projekcie w niewłaściwym momencie. Zwykle nie wtedy, gdy kształtuje się koncepcja wyrobu i logika bezpieczeństwa, lecz dopiero przy kompletowaniu dokumentacji, przygotowaniu deklaracji zgodności UE albo tuż przed oznakowaniem CE. Właśnie wtedy wychodzi na jaw, że problem nie dotyczy samej procedury, ale wcześniejszych założeń: kwalifikacji wyrobu, granic odpowiedzialności, zakresu modernizacji lub integracji oraz jakości materiału dowodowego. Dlatego właściwe pytanie nie brzmi, czy „angażować” Jednostkę Notyfikowaną, lecz kiedy jej udział jest bezwzględnie konieczny, a kiedy producent może pozostać przy module A i samodzielnie obronić całą ścieżkę oceny zgodności.

Najdroższy błąd powstaje przed audytem

Najkosztowniejsze pomyłki nie wynikają z samego kontaktu z Jednostką Notyfikowaną, lecz z błędnego rozpoznania sytuacji na początku projektu. W praktyce często miesza się trzy porządki: projektowanie bezpieczeństwa, ocenę zgodności i formalny udział strony trzeciej. Są ze sobą powiązane, ale nie są tym samym. Maszyna może być technicznie dobrze zaprojektowana i mimo to nie wymagać udziału Jednostki Notyfikowanej. Z drugiej strony wyrób o złożonej architekturze i podwyższonym ryzyku technicznym nie podlega jeszcze automatycznie takiej procedurze tylko dlatego, że zespół uznaje go za „trudny”. O tym, czy udział strony trzeciej jest konieczny, rozstrzyga kwalifikacja prawna wyrobu, jego zamierzone zastosowanie, przewidywalne niewłaściwe użycie oraz właściwa procedura oceny zgodności.

To ma bezpośredni wpływ na sposób prowadzenia projektu. Pytanie o Jednostkę Notyfikowaną jest wtórne wobec pytania, co właściwie ma zostać wprowadzone na rynek: maszyna, zespół maszyn, maszyna nieukończona czy inny wyrób objęty odrębnymi przepisami. Dopiero po ustaleniu tej podstawy można określić, jakie przepisy mają zastosowanie i jaka ścieżka oceny zgodności jest dopuszczalna. Tymczasem w wielu organizacjach moduł A zbyt wcześnie przyjmuje się jako wariant domyślny, jeszcze przed zakończeniem kwalifikacji wyrobu i przed rozstrzygnięciem odpowiedzialności producenta, importera lub integratora. To odwraca właściwą kolejność decyzji.

W praktyce problem rzadko ujawnia się przy pierwszej rozmowie o zgodności. Najczęściej wraca dopiero wtedy, gdy koncepcja techniczna jest już zamknięta: projekt mechaniczny gotowy, komponenty zamówione, instrukcja przygotowana, a oznakowanie zaplanowane. W tym momencie okazuje się, że przyjęta ścieżka oceny zgodności była błędna albo niepełna. Skutkiem nie jest wyłącznie ryzyko sporu z organem nadzoru rynku. Znacznie częściej pojawia się konieczność przebudowy osłon, zmiany architektury układów sterowania, rozszerzenia badań, korekty instrukcji, deklaracji i oznaczeń albo odbudowania całej argumentacji technicznej uzasadniającej bezpieczeństwo wyrobu. Wtedy koszt nie wynika z samej procedury, lecz z powrotu do decyzji, które powinny były zapaść wcześniej.

Żeby tego uniknąć, przed zamrożeniem koncepcji technicznej trzeba rozstrzygnąć cztery kwestie:

• kwalifikację wyrobu i jego zamierzone zastosowanie,
• przepisy mające zastosowanie,
• właściwą procedurę oceny zgodności,
• czy udział Jednostki Notyfikowanej jest obowiązkowy, czy moduł A pozostaje wystarczający.

Dopiero taki porządek pozwala ocenić, czy samodzielna ocena zgodności jest bezpieczna organizacyjnie i prawnie. W realiach polskich i unijnych nie chodzi o ostrożność dla samej ostrożności, lecz o to, by decyzja zgodnościowa była osadzona w projekcie, dokumentacji i rzeczywistym sposobie użytkowania. Moduł A nie jest punktem wyjścia. Jest wynikiem poprawnie przeprowadzonej kwalifikacji wyrobu i poprawnie zbudowanej dokumentacji technicznej.

Gdzie naprawdę kończy się moduł A

Granica modułu A przebiega tam, gdzie producent przestaje być w stanie samodzielnie i przekonująco wykazać zgodność wyrobu w ramach wewnętrznej kontroli produkcji. Nie jest to procedura „lżejsza” ani zmniejszająca odpowiedzialność. Przeciwnie: skoro nie uczestniczy strona trzecia, cały ciężar prawidłowej kwalifikacji wyrobu, doboru wymagań, oceny ryzyka, przyjęcia środków ochronnych i skompletowania materiału dowodowego spoczywa na producencie. Moduł A wystarcza tylko wtedy, gdy zespół potrafi wykazać nie tylko, że wyrób jest bezpieczny, ale również dlaczego właśnie taka ścieżka oceny zgodności była dopuszczalna dla tego wyrobu, w jego rzeczywistym przeznaczeniu i konfiguracji.

Z punktu widzenia projektowania oznacza to, że decyzji zgodnościowej nie da się oddzielić od decyzji konstrukcyjnych. W obszarze maszyn znaczenie ma nie tylko funkcja wyrobu, ale również to, czy mieści się on w kategoriach objętych szczególnymi wymaganiami proceduralnymi oraz czy producent rzeczywiście opiera wykazanie zgodności na rozwiązaniach technicznych dobranych prawidłowo do rozpoznanych zagrożeń. Samo stwierdzenie, że rozwiązania są „zgodne z normami”, nie wystarcza. Trzeba wykazać ich trafny dobór, spójność z analizą ryzyka i rzeczywiste wdrożenie w projekcie, oprogramowaniu, układzie sterowania i dokumentacji użytkowej.

W praktyce granica ta najlepiej ujawnia się przy wyrobach z funkcjami bezpieczeństwa zrealizowanymi niestandardowo albo wyraźnie odbiegającymi od rozwiązań powszechnie przyjmowanych w danej branży. Producent może chcieć pozostać przy wewnętrznej kontroli produkcji, bo zna wyrób, ma własny zespół konstrukcyjny i przygotował dokumentację. Problem pojawia się wtedy, gdy analiza ryzyka nie domyka doboru środków ochronnych, opis funkcji bezpieczeństwa nie odpowiada rzeczywistej logice sterowania, a uzasadnienie przyjętych odstępstw jest niepełne. W takiej sytuacji samodzielna ścieżka zaczyna być trudna do obrony, nawet jeśli sam obowiązek udziału Jednostki Notyfikowanej nie wynika jeszcze wprost z bezwzględnego wymogu proceduralnego.

Podobnie dzieje się przy wyrobach złożonych, podlegających kilku reżimom zgodności jednocześnie. Sama techniczna poprawność rozwiązania nie rozstrzyga wtedy, czy można pozostać przy module A. Znaczenie ma również to, jak nakładają się na siebie poszczególne procedury i jakie warunki trzeba spełnić w każdej z nich. To właśnie w takich przypadkach najłatwiej pomylić samodzielność proceduralną z uproszczeniem, którego dokumentacja później nie wytrzymuje.

• Moduł A jest wystarczający wtedy, gdy kwalifikacja wyrobu, analiza ryzyka, dobór rozwiązań technicznych i dokumentacja tworzą spójny wywód zgodności.
• Udział Jednostki Notyfikowanej trzeba zweryfikować szczególnie wtedy, gdy wyrób należy do kategorii szczególnych, odbiega od przyjętych rozwiązań technicznych lub podlega kilku reżimom jednocześnie.
• Jeżeli zespół nie potrafi samodzielnie obronić kompletności dokumentacji technicznej, pozostanie przy module A staje się ryzykiem organizacyjnym, a nie oszczędnością.

Dopiero na tym tle potrzebne jest odniesienie proceduralne. To przepisy właściwe dla danego rodzaju wyrobu wyznaczają, czy warunki pozostania przy module A są spełnione, czy też konieczny jest udział strony trzeciej. Nie rozstrzyga o tym intuicja techniczna ani przekonanie, że ryzyko „nie jest wysokie”. Dlatego pytanie, czy można zacząć od modułu A, a później dołączyć Jednostkę Notyfikowaną, bywa po prostu spóźnione. Jeżeli wybory projektowe i materiał dowodowy nie były od początku przygotowane z myślą o takiej ewentualności, późniejsze włączenie strony trzeciej zwykle ujawnia słabości projektu, zamiast je usuwać.

Decyzję trzeba wbudować w projekt

Rozstrzygnięcie, czy dany wyrób wymaga udziału Jednostki Notyfikowanej, czy wystarcza procedura wewnętrznej kontroli produkcji, jest decyzją projektową. Nie powinno zapadać przy zamawianiu komponentów ani tuż przed odbiorem końcowym. Właściwy moment to etap, na którym zespół ma jeszcze realny wpływ na architekturę bezpieczeństwa, granice użytkowania wyrobu, zakres funkcji związanych z bezpieczeństwem oraz sposób zbudowania dokumentacji technicznej. Jeżeli decyzję odłoży się na koniec, organizacja zwykle wpada w pozorną oszczędność: formalnie trzyma się modułu A, ale projektuje wyrób tak, jakby późniejsze uzupełnienie braków było technicznie obojętne. W praktyce tak nie jest.

Skutki są przewidywalne. Zmiana ścieżki oceny zgodności pod koniec projektu oznacza najczęściej powrót do założeń, ponowną ocenę ryzyka, korektę rozwiązań sterowania, uzupełnianie brakujących dowodów i spór o to, kto w organizacji odpowiadał za decyzję. To właśnie dlatego potrzebny jest krótki, ale rygorystyczny proces wewnętrzny uruchamiany przed zamknięciem koncepcji.

Taki proces nie musi być rozbudowany, ale powinien być jednoznaczny. Najpierw trzeba zakwalifikować wyrób oraz ustalić jego przeznaczenie i granice użytkowania. Następnie należy sporządzić wykaz mających zastosowanie przepisów i wykonać wstępną analizę ryzyka, wystarczającą do wychwycenia krytycznych funkcji bezpieczeństwa i miejsc, w których wybory konstrukcyjne mogą przesądzić o dalszej ścieżce oceny zgodności. Dopiero na tej podstawie można podjąć decyzję proceduralną: pozostajemy przy module A albo przygotowujemy projekt pod udział strony trzeciej w zakresie wynikającym z przepisów lub z przyjętej strategii dowodowej.

Żeby ta decyzja była wykonalna, potrzebuje właściciela i jasnych danych wejściowych z konstrukcji, automatyki, bezpieczeństwa, zgodności i dokumentacji. Bez tego temat wraca w najgorszym momencie: pod presją terminu dostawy albo po uwagach klienta, importera lub organu nadzoru rynku. Wtedy organizacja nie rozwiązuje już problemu zgodności, lecz nadrabia brak decyzji projektowej.

• opis wyrobu, jego przeznaczenia i granic użytkowania,
• wstępna analiza ryzyka oraz identyfikacja krytycznych funkcji bezpieczeństwa,
• wykaz przepisów mających zastosowanie i decyzja o procedurze oceny zgodności,
• plan materiału dowodowego, w tym odpowiedzialności dostawców i integratora.

Dobrze widać to przy modernizacji, integracji linii i rekonfiguracji maszyn. W nowym wyrobie zwykle łatwiej wskazać producenta i odpowiedzialność za całość koncepcji. Przy zmianach istniejących układów sytuacja jest trudniejsza, bo oprócz wyboru ścieżki oceny zgodności trzeba rozstrzygnąć, czy skala ingerencji nie tworzy nowej odpowiedzialności producenta. Jeżeli zmiana obejmuje logikę sterowania, funkcje bezpieczeństwa, sposób współdziałania maszyn albo zamierzone zastosowanie, ocena, że jest to „tylko modernizacja”, przestaje być oczywista. Wtedy pytanie o Jednostkę Notyfikowaną nie jest odrębnym formalizmem, lecz częścią szerszej decyzji o tym, czy zakres zmian wymaga ponownej oceny całej koncepcji bezpieczeństwa i czy dane od dostawców oraz integratorów wystarczają do obrony wyrobu końcowego.

Jeżeli organizacja rozważa współpracę z Jednostką Notyfikowaną, powinna robić to z konkretnym celem. Może nim być potwierdzenie, że obowiązkowa jest ścieżka z udziałem strony trzeciej, ocena ściśle określonego zakresu, uporządkowanie materiału dowodowego albo ograniczenie ryzyka sporu co do przyjętych rozwiązań technicznych. Taka rozmowa ma wartość tylko wtedy, gdy zespół potrafi już pokazać swoje przesłanki: dlaczego uznał moduł A za wystarczający, jakie rozwiązania techniczne przyjął, jakie odstępstwa dopuścił i kto te decyzje zatwierdził. Zgodności nie da się wiarygodnie dopisać po fakcie. Trzeba ją zaprojektować równolegle z wyrobem.

Przykład, a dopiero potem przepisy

Najczęstszy błąd polega na tym, że decyzję o Jednostce Notyfikowanej sprowadza się do pytania o koszt procedury albo do nawyku: „dotąd robiliśmy to w module A”. Tymczasem w praktyce jest to najpierw decyzja o kwalifikacji wyrobu i o jakości założeń projektowych. Jeżeli te dwa elementy są niespójne, spór o samą procedurę jest tylko skutkiem wcześniejszego problemu. Zespół, który zbyt wcześnie uzna moduł A za oczywisty wybór, zwykle odkrywa lukę dopiero przy kompletowaniu dokumentacji technicznej, przygotowaniu deklaracji zgodności UE albo podczas przeglądu przed oznakowaniem CE. Wtedy okazuje się, że nie brakuje zewnętrznego potwierdzenia, lecz ciągłości uzasadnienia.

Dla projektu oznacza to bardzo konkretną konsekwencję: zespół techniczny projektuje pod założenia, których nikt formalnie nie zweryfikował, a osoby odpowiedzialne za wprowadzenie wyrobu na rynek dostają dokumenty, których trudno bronić w razie kontroli lub pytań klienta. Dlatego koszt trzeba oceniać szerzej niż tylko przez pryzmat samej procedury. Ryzyko późniejszej korekty obejmuje układy sterowania, osłony, logikę pracy, instrukcję, oznakowanie i treść deklaracji zgodności UE. Z tego powodu wcześniejszy przegląd kwalifikacji wyrobu bywa tańszy niż późniejsze ratowanie projektu, nawet jeśli ostatecznie potwierdzi, że udział Jednostki Notyfikowanej nie jest wymagany.

Typowy przykład dotyczy modernizacji linii, początkowo potraktowanej jako zwykła integracja istniejących maszyn. Zespół przyjął moduł A jako naturalny wybór, ponieważ korzystano z gotowych podzespołów, a dostawcy deklarowali zgodność swoich urządzeń. Dopiero przy porządkowaniu materiału dowodowego wyszło na jaw, że rzeczywista ingerencja była znacznie głębsza: zmieniono logikę współpracy stanowisk, dodano wspólne funkcje bezpieczeństwa, przebudowano sekwencje zatrzymania i uruchamiania, a odpowiedzialność za końcowe zachowanie całości faktycznie przesunęła się na integratora. Problem nie polegał więc na pominięciu Jednostki Notyfikowanej jako takiej, lecz na przyjęciu niespójnych założeń.

W dokumentacji brakowało spójnej analizy ryzyka dla całego układu, brakowało uzasadnienia granic modernizacji, a parametry i architektura funkcji bezpieczeństwa opisano fragmentarycznie, głównie przez odesłanie do dokumentów dostawców komponentów. Gdy pojawiło się pytanie o właściwą ścieżkę oceny zgodności, zespół musiał wrócić nie do formularzy, lecz do projektu: uporządkować kwalifikację wyrobu, uzupełnić materiał dowodowy, a czasem zmienić rozwiązania techniczne. To jest zasadnicza lekcja płynąca z takich przypadków. Udział Jednostki Notyfikowanej może uporządkować formalną ścieżkę i doprecyzować zakres oceny, ale nie naprawi słabego projektu, nie zastąpi rzetelnej analizy ryzyka, właściwego doboru środków ochronnych ani spójnej dokumentacji.

Dopiero po takim rozpoznaniu warto odnieść się do porządku prawnego. To przepisy mające zastosowanie do konkretnego wyrobu oraz przewidziane dla niego procedury oceny zgodności rozstrzygają, czy udział Jednostki Notyfikowanej jest obowiązkowy, czy można pozostać przy module A. Producent, importer, integrator ani klient nie wybierają dowolnie między tymi ścieżkami, jeżeli kwalifikacja wyrobu i właściwy akt prawny prowadzą do innego rozwiązania. Z drugiej strony sama obecność Jednostki Notyfikowanej nie przenosi odpowiedzialności za treść deklaracji zgodności UE ani za to, czy oznakowanie CE odpowiada rzeczywistej drodze oceny zgodności. Odpowiedzialność za to pozostaje po stronie podmiotu wprowadzającego wyrób na rynek.

Wniosek praktyczny jest prosty. Najtańsza decyzja w sprawie Jednostki Notyfikowanej to decyzja podjęta wcześnie: po kwalifikacji wyrobu, po sprawdzeniu zakresu modernizacji lub integracji, po ocenie jakości materiału dowodowego, ale przed zamknięciem projektu i kompletowaniem deklaracji zgodności oraz oznakowania CE. Jeżeli w dokumentacji pojawiają się sygnały ostrzegawcze — rozbieżny opis granic wyrobu, brak jednego właściciela analizy ryzyka, nadmierne oparcie się na deklaracjach dostawców albo niejasność co do tego, kto odpowiada za całość funkcji bezpieczeństwa — potrzebny jest przegląd jeszcze przed finalną oceną zgodności. Jego celem nie jest formalizm. Chodzi o to, by ścieżka oceny zgodności odpowiadała rzeczywistemu wyrobowi, a nie założeniu przyjętemu zbyt wcześnie i utrzymywanemu wyłącznie dlatego, że projekt jest już niemal gotowy.