Yhteistyö ilmoitetun laitoksen kanssa – milloin se on välttämätöntä ja milloin moduuli A riittää

Kysymys yhteistyöstä ilmoitetun laitoksen kanssa nousee liian usein esiin hankkeessa väärässä vaiheessa. Yleensä ei silloin, kun tuotteen konsepti ja turvallisuuslogiikka vasta muotoutuvat, vaan vasta dokumentaatiota koottaessa, EU-vaatimustenmukaisuusvakuutusta valmisteltaessa tai juuri ennen CE-merkintää. Silloin käy ilmi, ettei ongelma liity pelkkään menettelyyn, vaan aiempiin lähtöoletuksiin: tuotteen luokitteluun, vastuun rajoihin, modernisoinnin laajuuteen tai integraatioon sekä todistusaineiston laatuun. Siksi oikea kysymys ei ole, ”otetaanko” ilmoitettu laitos mukaan, vaan milloin sen osallistuminen on ehdottoman välttämätöntä ja milloin valmistaja voi pitäytyä moduulissa A ja perustella koko vaatimustenmukaisuuden arviointipolun itse.

Kallein virhe syntyy ennen auditointia

Kalleimmat virheet eivät johdu itse yhteydenpidosta ilmoitettuun laitokseen, vaan tilanteen virheellisestä tunnistamisesta hankkeen alussa. Käytännössä sekoitetaan usein kolme eri kokonaisuutta: turvallisuussuunnittelu, vaatimustenmukaisuuden arviointi ja kolmannen osapuolen muodollinen osallistuminen. Ne liittyvät toisiinsa, mutta eivät ole sama asia. Kone voi olla teknisesti hyvin suunniteltu eikä silti edellyttää ilmoitetun laitoksen osallistumista. Toisaalta tuote, jonka arkkitehtuuri on monimutkainen ja tekninen riski kohonnut, ei vielä automaattisesti kuulu tällaiseen menettelyyn vain siksi, että tiimi pitää sitä ”vaikeana”. Se, onko kolmannen osapuolen osallistuminen tarpeen, määräytyy tuotteen oikeudellisen luokittelun, sen aiotun käyttötarkoituksen, ennakoitavissa olevan virheellisen käytön sekä oikean vaatimustenmukaisuuden arviointimenettelyn perusteella.

Tällä on suora vaikutus siihen, miten hanketta viedään eteenpäin. Kysymys ilmoitetusta laitoksesta on toissijainen suhteessa siihen, mitä markkinoille tosiasiassa ollaan saattamassa: kone, koneryhmä, osittain valmis kone vai jokin muu erillisten säännösten piiriin kuuluva tuote. Vasta tämän perustan määrittämisen jälkeen voidaan ratkaista, mitä säännöksiä sovelletaan ja mikä vaatimustenmukaisuuden arviointipolku on sallittu. Silti monissa organisaatioissa moduuli A omaksutaan liian varhain oletusvaihtoehdoksi, jo ennen tuotteen luokittelun valmistumista ja ennen kuin valmistajan, maahantuojan tai integraattorin vastuu on ratkaistu. Tämä kääntää päätöksenteon oikean järjestyksen päälaelleen.

Käytännössä ongelma paljastuu harvoin ensimmäisessä vaatimustenmukaisuutta koskevassa keskustelussa. Useimmiten se palaa esiin vasta silloin, kun tekninen konsepti on jo lukittu: mekaaninen suunnittelu valmis, komponentit tilattu, ohjeet laadittu ja merkinnät suunniteltu. Tässä vaiheessa käy ilmi, että valittu vaatimustenmukaisuuden arviointipolku oli virheellinen tai puutteellinen. Seurauksena ei ole pelkästään riski kiistasta markkinavalvontaviranomaisen kanssa. Paljon useammin joudutaan muuttamaan suojuksia, muuttamaan ohjausjärjestelmien arkkitehtuuria, laajentamaan testauksia, korjaamaan ohjeita, vakuutuksia ja merkintöjä tai rakentamaan uudelleen koko tekninen perustelu, jolla tuotteen turvallisuus osoitetaan. Tällöin kustannus ei synny itse menettelystä, vaan paluusta päätöksiin, jotka olisi pitänyt tehdä aiemmin.

Tämän välttämiseksi ennen teknisen konseptin jäädyttämistä on ratkaistava neljä kysymystä:

• tuotteen luokittelu ja sen aiottu käyttötarkoitus,
• sovellettavat säännökset,
• oikea vaatimustenmukaisuuden arviointimenettely,
• onko ilmoitetun laitoksen osallistuminen pakollista vai onko moduuli A edelleen riittävä.

Vasta tällainen järjestys mahdollistaa sen arvioimisen, onko itsenäinen vaatimustenmukaisuuden arviointi organisatorisesti ja oikeudellisesti turvallinen ratkaisu. Puolan ja EU:n toimintaympäristössä kyse ei ole varovaisuudesta varovaisuuden vuoksi, vaan siitä, että vaatimustenmukaisuuspäätös perustuu hankkeeseen, dokumentaatioon ja todelliseen käyttötapaan. Moduuli A ei ole lähtökohta. Se on oikein tehdyn tuoteluokittelun ja asianmukaisesti laaditun teknisen dokumentaation tulos.

Missä moduuli A todella päättyy

Moduulin A raja kulkee siinä, missä valmistaja ei enää kykene itsenäisesti ja vakuuttavasti osoittamaan tuotteen vaatimustenmukaisuutta sisäisen tuotannonvalvonnan puitteissa. Kyse ei ole ”kevyemmästä” menettelystä eikä vastuuta vähentävästä ratkaisusta. Päinvastoin: koska kolmas osapuoli ei osallistu, koko vastuu tuotteen oikeasta luokittelusta, vaatimusten valinnasta, riskien arvioinnista, suojatoimenpiteiden määrittelystä ja todistusaineiston kokoamisesta on valmistajalla. Moduuli A riittää vain silloin, kun tiimi pystyy osoittamaan paitsi sen, että tuote on turvallinen, myös sen, miksi juuri tämä vaatimustenmukaisuuden arviointipolku oli kyseiselle tuotteelle sallittu sen todellisessa käyttötarkoituksessa ja kokoonpanossa.

Suunnittelun näkökulmasta tämä tarkoittaa, ettei vaatimustenmukaisuutta koskevaa päätöstä voida erottaa rakenteellisista ratkaisuista. Koneiden kohdalla merkitystä ei ole vain tuotteen toiminnalla, vaan myös sillä, kuuluuko se luokkiin, joihin sovelletaan erityisiä menettelyvaatimuksia, ja perustuuko valmistajan vaatimustenmukaisuuden osoittaminen todella teknisiin ratkaisuihin, jotka on valittu oikein tunnistettujen vaarojen perusteella. Pelkkä toteamus, että ratkaisut ovat ”standardien mukaisia”, ei riitä. On osoitettava, että ne on valittu tarkoituksenmukaisesti, että ne ovat johdonmukaisia riskianalyysin kanssa ja että ne on tosiasiallisesti toteutettu suunnittelussa, ohjelmistossa, ohjausjärjestelmässä ja käyttöön liittyvässä dokumentaatiossa.

Käytännössä tämä raja näkyy selvimmin tuotteissa, joissa turvatoiminnot on toteutettu epätyypillisesti tai tavalla, joka poikkeaa selvästi kyseisellä toimialalla yleisesti hyväksytyistä ratkaisuista. Valmistaja voi haluta pysyä sisäisessä tuotannonvalvonnassa, koska se tuntee tuotteen, sillä on oma suunnittelutiimi ja dokumentaatio on laadittu. Ongelma syntyy silloin, kun riskianalyysi ei tue suojatoimenpiteiden valintaa loppuun asti, turvatoimintojen kuvaus ei vastaa ohjauksen todellista logiikkaa ja hyväksyttyjen poikkeamien perustelut ovat puutteelliset. Tällaisessa tilanteessa itsenäistä menettelyä on vaikea puolustaa, vaikka ilmoitetun laitoksen osallistumisvelvollisuus ei vielä suoraan seuraisikaan ehdottomasta menettelyvaatimuksesta.

Sama koskee monimutkaisia tuotteita, joihin sovelletaan samanaikaisesti useita vaatimustenmukaisuusjärjestelmiä. Ratkaisun pelkkä tekninen oikeellisuus ei silloin ratkaise, voidaanko pysyä moduulissa A. Merkitystä on myös sillä, miten eri menettelyt limittyvät ja mitä ehtoja kussakin niistä on täytettävä. Juuri tällaisissa tapauksissa on helpointa sekoittaa menettelyllinen itsenäisyys näennäiseen yksinkertaistamiseen, jota dokumentaatio ei myöhemmin kestä.

• Moduuli A on riittävä silloin, kun tuotteen luokittelu, riskianalyysi, teknisten ratkaisujen valinta ja dokumentaatio muodostavat yhtenäisen vaatimustenmukaisuusperustelun.
• Ilmoitetun laitoksen osallistumisen tarve on varmistettava erityisesti silloin, kun tuote kuuluu erityisluokkiin, poikkeaa vakiintuneista teknisistä ratkaisuista tai siihen sovelletaan samanaikaisesti useita järjestelmiä.
• Jos tiimi ei pysty itsenäisesti perustelemaan teknisen dokumentaation täydellisyyttä, moduulissa A pysyminen muuttuu organisatoriseksi riskiksi eikä säästöksi.

Vasta tätä taustaa vasten tarvitaan menettelyllinen viitekehys. Juuri kyseiseen tuotetyyppiin sovellettavat säännökset määrittävät, täyttyvätkö moduulissa A pysymisen edellytykset vai tarvitaanko kolmannen osapuolen osallistumista. Asiaa ei ratkaise tekninen intuitio eikä käsitys siitä, ettei riski ”ole suuri”. Siksi kysymys siitä, voidaanko aloittaa moduulista A ja liittää ilmoitettu laitos mukaan myöhemmin, on usein yksinkertaisesti myöhässä. Jos suunnitteluratkaisuja ja todistusaineistoa ei ole alusta alkaen valmisteltu tätä mahdollisuutta silmällä pitäen, kolmannen osapuolen myöhempi mukaan ottaminen paljastaa yleensä projektin heikkoudet sen sijaan, että poistaisi ne.

Päätös on rakennettava osaksi suunnittelua

Ratkaisu siitä, edellyttääkö tietty tuote ilmoitetun laitoksen osallistumista vai riittääkö sisäisen tuotannonvalvonnan menettely, on suunnittelupäätös. Sitä ei pitäisi tehdä komponentteja tilattaessa eikä juuri ennen lopputarkastusta. Oikea hetki on vaihe, jossa tiimillä on vielä todellinen vaikutus turvallisuusarkkitehtuuriin, tuotteen käyttörajoihin, turvallisuuteen liittyvien toimintojen laajuuteen sekä teknisen dokumentaation rakentamistapaan. Jos päätös siirretään loppuun, organisaatio ajautuu yleensä näennäiseen säästöön: muodollisesti pysytään moduulissa A, mutta tuote suunnitellaan ikään kuin puutteiden myöhempi täydentäminen olisi teknisesti merkityksetöntä. Käytännössä näin ei ole.

Seuraukset ovat ennakoitavia. Vaatimustenmukaisuuden arviointipolun muuttaminen projektin loppuvaiheessa tarkoittaa useimmiten paluuta lähtöoletuksiin, uutta riskinarviointia, ohjausratkaisujen korjaamista, puuttuvan näytön täydentämistä ja kiistaa siitä, kuka organisaatiossa vastasi päätöksestä. Siksi tarvitaan lyhyt mutta kurinalainen sisäinen prosessi, joka käynnistetään ennen konseptin lukitsemista.

Tällaisen prosessin ei tarvitse olla laaja, mutta sen on oltava yksiselitteinen. Ensin tuote on luokiteltava sekä määritettävä sen käyttötarkoitus ja käytön rajat. Sen jälkeen on laadittava luettelo sovellettavista säännöksistä ja tehtävä alustava riskianalyysi, joka riittää tunnistamaan kriittiset turvatoiminnot ja ne kohdat, joissa rakenteelliset valinnat voivat ratkaista vaatimustenmukaisuuden arvioinnin jatkopolun. Vasta tämän perusteella voidaan tehdä menettelypäätös: pysytään moduulissa A tai valmistellaan projekti kolmannen osapuolen osallistumista varten siinä laajuudessa kuin säännökset tai valittu todistusstrategia edellyttävät.

Jotta tämä päätös olisi toteuttamiskelpoinen, sillä on oltava omistaja ja selkeät lähtötiedot suunnittelusta, automaatiosta, turvallisuudesta, vaatimustenmukaisuudesta ja dokumentaatiosta. Muuten asia palaa esiin pahimmalla mahdollisella hetkellä: toimitusajan paineessa tai asiakkaan, maahantuojan tai markkinavalvontaviranomaisen huomautusten jälkeen. Silloin organisaatio ei enää ratkaise vaatimustenmukaisuusongelmaa, vaan paikkaa puuttunutta suunnittelupäätöstä.

• tuotteen kuvaus, sen käyttötarkoitus ja käytön rajat,
• alustava riskianalyysi sekä kriittisten turvatoimintojen tunnistaminen,
• luettelo sovellettavista säännöksistä ja päätös vaatimustenmukaisuuden arviointimenettelystä,
• todistusaineistosuunnitelma, mukaan lukien toimittajien ja integraattorin vastuut.

Tämä näkyy selvästi modernisoinneissa, tuotantolinjojen integroinnissa ja koneiden uudelleenkonfiguroinnissa. Uuden tuotteen kohdalla on yleensä helpompi osoittaa valmistaja ja vastuu koko konseptista. Olemassa oleviin järjestelmiin tehtävissä muutoksissa tilanne on vaikeampi, koska vaatimustenmukaisuuden arviointimenettelyn valinnan lisäksi on ratkaistava, synnyttääkö muutoksen laajuus uuden valmistajavastuun. Jos muutos koskee ohjauslogiikkaa, turvallisuustoimintoja, koneiden keskinäistä yhteistoimintaa tai käyttötarkoitusta, arviota siitä, että kyse on ”vain modernisoinnista”, ei enää voi pitää itsestään selvänä. Tällöin kysymys ilmoitetusta laitoksesta ei ole erillinen muodollisuus, vaan osa laajempaa päätöstä siitä, edellyttääkö muutosten laajuus koko turvallisuuskonseptin uudelleenarviointia ja riittävätkö toimittajilta ja integraattoreilta saadut tiedot lopputuotteen perusteluun.

Jos organisaatio harkitsee yhteistyötä ilmoitetun laitoksen kanssa, sille on oltava selkeä tavoite. Tavoitteena voi olla sen varmistaminen, että kolmannen osapuolen osallistuminen on pakollista, tarkasti rajatun laajuuden arviointi, todistusaineiston jäsentäminen tai teknisiä ratkaisuja koskevan erimielisyyden riskin pienentäminen. Tällaisella keskustelulla on arvoa vain silloin, kun tiimi pystyy jo esittämään omat perusteensa: miksi se on pitänyt moduulia A riittävänä, mitä teknisiä ratkaisuja on valittu, mitä poikkeamia on hyväksytty ja kuka nämä päätökset on hyväksynyt. Vaatimustenmukaisuutta ei voi uskottavasti lisätä jälkikäteen. Se on suunniteltava rinnakkain tuotteen kanssa.

Esimerkki ensin, säädökset vasta sen jälkeen

Yleisin virhe on se, että päätös ilmoitetusta laitoksesta pelkistetään kysymykseksi menettelyn kustannuksista tai totutuksi käytännöksi: ”näin on tähän asti tehty moduulissa A”. Käytännössä kyse on kuitenkin ensisijaisesti tuotteen luokittelua ja suunnittelun lähtöoletusten laatua koskevasta päätöksestä. Jos nämä kaksi tekijää eivät ole keskenään johdonmukaisia, kiista itse menettelystä on vain seuraus aiemmasta ongelmasta. Tiimi, joka pitää moduulia A liian varhain itsestään selvänä valintana, huomaa puutteen yleensä vasta teknistä dokumentaatiota koottaessa, EU-vaatimustenmukaisuusvakuutusta valmisteltaessa tai CE-merkintää edeltävässä tarkastelussa. Silloin käy ilmi, ettei puutu ulkoinen vahvistus vaan perusteluketjun jatkuvuus.

Projektin kannalta tällä on hyvin konkreettinen seuraus: tekninen tiimi suunnittelee oletusten varaan, joita kukaan ei ole muodollisesti varmistanut, ja tuotteen markkinoille saattamisesta vastaavat henkilöt saavat asiakirjat, joita on vaikea puolustaa tarkastuksessa tai asiakkaan kysymysten yhteydessä. Siksi kustannuksia on arvioitava laajemmin kuin pelkän menettelyn näkökulmasta. Myöhempien korjausten riski koskee ohjausjärjestelmiä, suojuksia, toimintalogiikkaa, ohjeita, merkintöjä ja EU-vaatimustenmukaisuusvakuutuksen sisältöä. Tästä syystä tuotteen luokittelun varhainen tarkastelu on usein edullisempaa kuin projektin pelastaminen myöhemmin, vaikka lopputulos vahvistaisikin, ettei ilmoitetun laitoksen osallistumista vaadita.

Tyypillinen esimerkki liittyy tuotantolinjan modernisointiin, jota pidettiin aluksi vain olemassa olevien koneiden tavanomaisena integrointina. Tiimi piti moduulia A luontevana valintana, koska käytössä oli valmiita osakokonaisuuksia ja toimittajat ilmoittivat laitteidensa olevan vaatimustenmukaisia. Vasta todistusaineistoa järjestettäessä kävi ilmi, että todellinen puuttuminen oli huomattavasti syvempää: työasemien yhteistyölogiikkaa muutettiin, yhteisiä turvallisuustoimintoja lisättiin, pysäytys- ja käynnistyssekvenssejä rakennettiin uudelleen, ja vastuu kokonaisuuden lopullisesta toiminnasta oli tosiasiallisesti siirtynyt integraattorille. Ongelma ei siis ollut ilmoitetun laitoksen sivuuttaminen sinänsä, vaan epäjohdonmukaisten lähtöoletusten omaksuminen.

Dokumentaatiosta puuttui johdonmukainen riskianalyysi koko järjestelmästä, modernisoinnin rajaukselle ei ollut perusteluja, ja turvallisuustoimintojen parametrit sekä arkkitehtuuri oli kuvattu hajanaisesti, pääasiassa viittaamalla komponenttitoimittajien asiakirjoihin. Kun esiin nousi kysymys oikeasta vaatimustenmukaisuuden arviointimenettelystä, tiimin oli palattava ei lomakkeisiin vaan projektiin: selkeytettävä tuotteen luokittelu, täydennettävä todistusaineistoa ja joskus muutettava teknisiä ratkaisuja. Tämä on tällaisten tapausten keskeinen opetus. Ilmoitetun laitoksen osallistuminen voi jäsentää muodollisen menettelyn ja täsmentää arvioinnin laajuutta, mutta se ei korjaa heikkoa suunnittelua, korvaa huolellista riskianalyysiä, suojaustoimenpiteiden oikeaa valintaa eikä johdonmukaista dokumentaatiota.

Vasta tällaisen selvityksen jälkeen on mielekästä tarkastella oikeudellista kehystä. Juuri tiettyyn tuotteeseen sovellettavat säädökset ja niissä sille määrätyt vaatimustenmukaisuuden arviointimenettelyt ratkaisevat, onko ilmoitetun laitoksen osallistuminen pakollista vai voidaanko pysyä moduulissa A. Valmistaja, maahantuoja, integraattori tai asiakas eivät voi vapaasti valita näiden vaihtoehtojen välillä, jos tuotteen luokittelu ja sovellettava säädös johtavat toiseen ratkaisuun. Toisaalta ilmoitetun laitoksen mukanaolo ei siirrä vastuuta EU-vaatimustenmukaisuusvakuutuksen sisällöstä eikä siitä, vastaako CE-merkintä todellista vaatimustenmukaisuuden arviointimenettelyä. Vastuu tästä säilyy sillä toimijalla, joka saattaa tuotteen markkinoille.

Käytännön johtopäätös on yksinkertainen. Edullisin päätös ilmoitetun laitoksen tarpeesta on sellainen, joka tehdään ajoissa: tuotteen luokittelun jälkeen, modernisoinnin tai integraation laajuuden tarkistamisen jälkeen, todistusaineiston laadun arvioinnin jälkeen, mutta ennen projektin päättämistä sekä vaatimustenmukaisuusvakuutuksen ja CE-merkinnän kokoamista. Jos dokumentaatiossa näkyy varoitusmerkkejä — tuotteen rajojen ristiriitainen kuvaus, riskianalyysille nimetyn yhden vastuutahon puuttuminen, liiallinen tukeutuminen toimittajien vakuutuksiin tai epäselvyys siitä, kuka vastaa turvallisuustoimintojen kokonaisuudesta — tarvitaan tarkastus jo ennen lopullista vaatimustenmukaisuuden arviointia. Sen tarkoitus ei ole muodollisuuksien täyttäminen. Tavoitteena on varmistaa, että vaatimustenmukaisuuden arviointimenettely vastaa todellista tuotetta eikä oletusta, joka on omaksuttu liian varhain ja jota pidetään yllä vain siksi, että projekti on jo lähes valmis.