Collaborazione con un Organismo Notificato: quando è necessaria e quando è sufficiente il modulo A

La questione del coinvolgimento di un Organismo Notificato emerge troppo spesso nel progetto nel momento sbagliato. Di norma non quando si definiscono il concetto del prodotto e la logica di sicurezza, ma solo nella fase di raccolta della documentazione, di preparazione della dichiarazione UE di conformità o immediatamente prima della valutazione di conformità e della marcatura CE. È proprio allora che diventa evidente che il problema non riguarda solo la procedura, ma presupposti precedenti: la qualificazione del prodotto, i confini di responsabilità, la portata della modernizzazione o dell’integrazione e la qualità degli elementi probatori. Per questo la domanda corretta non è se “coinvolgere” un Organismo Notificato, ma quando il suo intervento sia strettamente obbligatorio e quando, invece, il fabbricante possa restare nel modulo A e sostenere autonomamente l’intero percorso di valutazione della conformità.

L’errore più costoso nasce prima dell’audit

Gli errori più onerosi non derivano dal contatto con l’Organismo Notificato in sé, ma da una valutazione iniziale errata della situazione all’avvio del progetto. Nella pratica si confondono spesso tre piani distinti: la progettazione della sicurezza, la valutazione di conformità e il coinvolgimento formale di una parte terza. Sono aspetti collegati, ma non coincidono. Una macchina può essere progettata bene dal punto di vista tecnico e tuttavia non richiedere l’intervento di un Organismo Notificato. D’altra parte, un prodotto con architettura complessa e rischio tecnico elevato non ricade automaticamente in tale procedura solo perché il team lo considera “difficile”. A stabilire se l’intervento di una parte terza sia necessario sono la qualificazione giuridica del prodotto, il suo uso previsto, l’uso scorretto ragionevolmente prevedibile e la corretta procedura di valutazione della conformità.

Questo incide direttamente sul modo in cui il progetto viene condotto. La domanda sull’Organismo Notificato viene dopo quella fondamentale: che cosa si intende effettivamente immettere sul mercato, una macchina, un insieme di macchine, una quasi-macchina o un altro prodotto soggetto a disposizioni specifiche. Solo dopo aver chiarito questo punto si può determinare quali norme si applicano e quale percorso di valutazione della conformità sia ammesso. Eppure, in molte organizzazioni il modulo A viene assunto troppo presto come opzione predefinita, prima ancora di aver concluso la qualificazione del prodotto e di aver definito le responsabilità del fabbricante, dell’importatore o dell’integratore. Questo inverte il corretto ordine delle decisioni.

Nella pratica il problema raramente emerge al primo confronto sulla conformità. Il più delle volte riaffiora solo quando il concetto tecnico è già stato chiuso: progetto meccanico pronto, componenti ordinati, istruzioni predisposte e marcatura pianificata. A quel punto si scopre che il percorso di valutazione della conformità adottato era errato o incompleto. La conseguenza non è soltanto il rischio di una contestazione da parte dell’autorità di vigilanza del mercato. Molto più spesso si rende necessario riprogettare i ripari, modificare l’architettura dei sistemi di comando, ampliare le prove, correggere istruzioni, dichiarazioni e marcature oppure ricostruire l’intera argomentazione tecnica a supporto della sicurezza del prodotto. In quel momento il costo non deriva dalla procedura in sé, ma dal dover tornare su decisioni che avrebbero dovuto essere prese prima, con effetti simili a quelli descritti per il budgeting della certificazione CE e i costi nascosti evitabili nel progetto.

Per evitarlo, prima di congelare il concetto tecnico occorre chiarire quattro aspetti:

• la qualificazione del prodotto e il suo uso previsto,
• le disposizioni applicabili,
• la corretta procedura di valutazione della conformità,
• se l’intervento dell’Organismo Notificato sia obbligatorio oppure se il modulo A resti sufficiente.

Solo un’impostazione di questo tipo consente di valutare se l’autovalutazione della conformità sia sostenibile sotto il profilo organizzativo e giuridico. Nel contesto polacco ed europeo non si tratta di prudenza fine a sé stessa, ma di fare in modo che la decisione in materia di conformità sia radicata nel progetto, nella documentazione e nelle reali modalità d’uso. Il modulo A non è il punto di partenza. È il risultato di una corretta qualificazione del prodotto e di una documentazione tecnica costruita in modo adeguato.

Dove finisce davvero il modulo A

Il limite del modulo A si colloca nel punto in cui il fabbricante non è più in grado di dimostrare autonomamente e in modo convincente la conformità del prodotto nell’ambito del controllo interno della produzione. Non si tratta di una procedura “più leggera” né di una via che riduce la responsabilità. Al contrario: poiché non interviene una parte terza, l’intero onere della corretta qualificazione del prodotto, della scelta dei requisiti, della valutazione del rischio, dell’adozione delle misure di protezione e della raccolta degli elementi probatori ricade sul fabbricante. Il modulo A è sufficiente solo quando il team è in grado di dimostrare non soltanto che il prodotto è sicuro, ma anche perché proprio quel percorso di valutazione della conformità era ammissibile per quel prodotto, nel suo effettivo uso previsto e nella sua configurazione reale.

Dal punto di vista della progettazione, questo significa che la decisione sulla conformità non può essere separata dalle scelte costruttive. Nel settore delle macchine conta non solo la funzione del prodotto, ma anche se rientra in categorie soggette a requisiti procedurali specifici e se il fabbricante fonda effettivamente la dimostrazione di conformità su soluzioni tecniche scelte correttamente in funzione dei pericoli individuati. Non basta affermare che le soluzioni sono “conformi alle norme”. Occorre dimostrarne la corretta selezione, la coerenza con l’analisi dei rischi e l’effettiva attuazione nel progetto, nel software, nel sistema di comando e nella documentazione per l’uso.

In pratica, questo confine emerge con maggiore chiarezza nei prodotti con funzioni di sicurezza realizzate in modo non standard oppure chiaramente diverse dalle soluzioni comunemente adottate nel settore. Il fabbricante può voler restare nell’ambito del controllo interno della produzione, perché conosce il prodotto, dispone di un proprio team di progettazione e ha predisposto la documentazione. Il problema nasce quando l’analisi dei rischi non consente di chiudere correttamente la scelta delle misure di protezione, la descrizione delle funzioni di sicurezza non corrisponde alla logica reale del comando e la giustificazione degli scostamenti adottati è incompleta. In una situazione del genere, il percorso autonomo diventa difficile da sostenere, anche se l’obbligo di coinvolgere un Organismo Notificato non deriva ancora direttamente da un requisito procedurale inderogabile.

Lo stesso accade con i prodotti complessi, soggetti contemporaneamente a più regimi di conformità. La sola correttezza tecnica della soluzione non basta allora a stabilire se sia possibile restare nel modulo A. Conta anche il modo in cui le singole procedure si sovrappongono e quali condizioni devono essere soddisfatte in ciascuna di esse. È proprio in questi casi che è più facile confondere l’autonomia procedurale con una semplificazione che la documentazione, in seguito, non è in grado di reggere.

• Il modulo A è sufficiente quando la qualificazione del prodotto, l’analisi dei rischi, la scelta delle soluzioni tecniche e la documentazione costituiscono un quadro di conformità coerente.
• Il coinvolgimento dell’Organismo Notificato va verificato in particolare quando il prodotto appartiene a categorie specifiche, si discosta dalle soluzioni tecniche comunemente adottate oppure è soggetto contemporaneamente a più regimi.
• Se il team non è in grado di sostenere autonomamente la completezza della documentazione tecnica, restare nel modulo A diventa un rischio organizzativo, non un risparmio.

Solo in questo contesto diventa necessario il riferimento procedurale. Sono le disposizioni applicabili al tipo di prodotto a stabilire se siano soddisfatte le condizioni per restare nel modulo A oppure se sia necessario il coinvolgimento di una parte terza. Non lo decide né l’intuizione tecnica né la convinzione che il rischio “non sia elevato”. Per questo la domanda se sia possibile iniziare dal modulo A e coinvolgere successivamente l’Organismo Notificato arriva spesso semplicemente troppo tardi. Se le scelte progettuali e gli elementi probatori non sono stati preparati fin dall’inizio tenendo conto di questa eventualità, il successivo coinvolgimento della parte terza di solito mette in luce le debolezze del progetto, invece di eliminarle.

La decisione va integrata nel progetto

Stabilire se un determinato prodotto richieda il coinvolgimento di un Organismo Notificato oppure se sia sufficiente la procedura di controllo interno della produzione è una decisione di progetto. Non dovrebbe essere presa al momento dell’ordine dei componenti né immediatamente prima del collaudo finale. Il momento corretto è la fase in cui il team ha ancora un’influenza reale sull’architettura di sicurezza, sui limiti d’uso del prodotto, sull’estensione delle funzioni legate alla sicurezza e sul modo in cui viene costruita la documentazione tecnica. Se la decisione viene rinviata alla fine, l’organizzazione cade di solito in un falso risparmio: formalmente resta nel modulo A, ma progetta il prodotto come se il successivo completamento delle carenze fosse tecnicamente irrilevante. In pratica non è così.

Le conseguenze sono prevedibili. Cambiare il percorso di valutazione della conformità e la marcatura CE alla fine del progetto significa, nella maggior parte dei casi, tornare alle ipotesi iniziali, riesaminare i rischi, correggere le soluzioni di comando, integrare le prove mancanti e discutere su chi, all’interno dell’organizzazione, fosse responsabile della decisione. Proprio per questo serve un processo interno breve ma rigoroso, da avviare prima della chiusura del concetto progettuale, come avviene in una gestione efficace dei progetti.

Un processo di questo tipo non deve essere complesso, ma deve essere univoco. Per prima cosa occorre qualificare il prodotto e definirne la destinazione d’uso e i limiti di impiego. Successivamente bisogna predisporre l’elenco delle disposizioni applicabili ed eseguire un’analisi preliminare dei rischi, sufficiente a individuare le funzioni di sicurezza critiche e i punti in cui le scelte costruttive possono determinare il successivo percorso di valutazione della conformità. Solo su questa base si può prendere una decisione procedurale: restare nel modulo A oppure preparare il progetto al coinvolgimento di una parte terza, nella misura risultante dalle disposizioni applicabili o dalla strategia probatoria adottata.

Perché questa decisione sia attuabile, deve avere un responsabile e dati di ingresso chiari provenienti da progettazione, automazione, sicurezza, conformità e documentazione. In mancanza di ciò, il tema riemerge nel momento peggiore: sotto la pressione della data di consegna oppure a seguito delle osservazioni del cliente, dell’importatore o dell’autorità di vigilanza del mercato. A quel punto l’organizzazione non risolve più un problema di conformità, ma recupera l’assenza di una decisione progettuale. In situazioni del genere, anche il ruolo di chi coordina il lavoro assume il peso che ha un Project Manager nel successo dei progetti di ingegneria.

• descrizione del prodotto, della sua destinazione d’uso e dei limiti di impiego,
• analisi preliminare dei rischi e individuazione delle funzioni di sicurezza critiche,
• elenco delle disposizioni applicabili e decisione sulla procedura di valutazione della conformità,
• piano degli elementi probatori, comprese le responsabilità dei fornitori e dell’integratore.

Questo emerge con particolare chiarezza negli interventi di ammodernamento, nell’integrazione di linee e nella riconfigurazione delle macchine. In un prodotto nuovo, di norma, è più semplice individuare il fabbricante e attribuire la responsabilità dell’intera concezione. Quando invece si interviene su sistemi esistenti, la situazione è più complessa, perché oltre a scegliere il percorso di valutazione della conformità occorre stabilire se l’entità dell’intervento non determini una nuova responsabilità del fabbricante. Se la modifica riguarda la logica di comando, le funzioni di sicurezza, le modalità di interazione tra macchine oppure l’uso previsto, non è più così evidente considerarla “solo un ammodernamento”. In questo caso, la questione dell’Organismo Notificato non è un formalismo a sé stante, ma parte di una decisione più ampia: capire se l’estensione delle modifiche richieda una nuova valutazione dell’intero concetto di sicurezza e se i dati forniti da fornitori e integratori siano sufficienti a sostenere il prodotto finale.

Se un’organizzazione sta valutando il coinvolgimento di un Organismo Notificato, dovrebbe farlo con un obiettivo preciso. Può trattarsi di confermare che è obbligatorio un percorso con l’intervento di una parte terza, di valutare un ambito rigorosamente definito, di mettere ordine nel materiale probatorio oppure di ridurre il rischio di contestazioni sulle soluzioni tecniche adottate. Un confronto di questo tipo ha valore solo se il team è già in grado di presentare le proprie motivazioni: perché ha ritenuto sufficiente il modulo A, quali soluzioni tecniche ha adottato, quali scostamenti ha ammesso e chi ha approvato tali decisioni. La conformità non si può aggiungere in modo credibile a posteriori. Va progettata parallelamente al prodotto.

Prima l’esempio, poi le disposizioni

L’errore più frequente consiste nel ridurre la decisione sull’Organismo Notificato a una domanda sul costo della procedura oppure a un’abitudine: “finora abbiamo sempre fatto così, con il modulo A”. In pratica, invece, si tratta anzitutto di una decisione sulla qualificazione del prodotto e sulla qualità delle ipotesi di progetto. Se questi due elementi non sono coerenti, la discussione sulla sola procedura è soltanto la conseguenza di un problema precedente. Il team che considera troppo presto il modulo A come una scelta ovvia, di solito scopre la lacuna solo quando prepara la documentazione tecnica, la dichiarazione di conformità UE oppure durante la verifica che precede la valutazione della conformità e la marcatura CE. A quel punto si scopre che non manca una conferma esterna, ma la continuità della motivazione.

Per il progetto questo comporta una conseguenza molto concreta: il team tecnico progetta sulla base di presupposti che nessuno ha verificato formalmente, mentre chi è responsabile dell’immissione del prodotto sul mercato si ritrova con documenti difficili da sostenere in caso di controllo o di domande da parte del cliente. Per questo il costo va valutato in modo più ampio, non limitandosi alla sola procedura. Il rischio di una correzione successiva può riguardare i sistemi di comando, i ripari, la logica di funzionamento, le istruzioni, la marcatura e il contenuto della dichiarazione di conformità UE. Per questo motivo, una verifica preliminare della qualificazione del prodotto può risultare meno onerosa del tentativo di recuperare il progetto in una fase successiva, anche se alla fine conferma che il coinvolgimento dell’Organismo Notificato non è richiesto.

Un esempio tipico riguarda l’ammodernamento di una linea, inizialmente trattato come una semplice integrazione di macchine esistenti. Il team aveva assunto il modulo A come scelta naturale, perché venivano utilizzati componenti già pronti e i fornitori dichiaravano la conformità delle proprie apparecchiature. Solo nel momento in cui si è iniziato a riordinare il materiale probatorio è emerso che l’intervento reale era molto più profondo: era stata modificata la logica di cooperazione tra le postazioni, erano state aggiunte funzioni di sicurezza comuni, erano state ricostruite le sequenze di arresto e avviamento, e la responsabilità del comportamento finale dell’insieme si era di fatto spostata sull’integratore. Il problema, quindi, non consisteva nell’aver omesso l’Organismo Notificato in quanto tale, ma nell’aver adottato presupposti incoerenti.

Nella documentazione mancava un’analisi dei rischi coerente per l’intero sistema, mancava una giustificazione chiara dei limiti dell’ammodernamento e i parametri e l’architettura delle funzioni di sicurezza erano descritti in modo frammentario, soprattutto mediante rinvii ai documenti dei fornitori dei componenti. Quando è emersa la domanda sul corretto percorso di valutazione della conformità, il team ha dovuto tornare non ai moduli, ma al progetto: riordinare la qualificazione del prodotto, integrare il materiale probatorio e, in alcuni casi, modificare le soluzioni tecniche. Questa è la lezione fondamentale che si ricava da casi di questo tipo. Il coinvolgimento dell’Organismo Notificato può mettere ordine nel percorso formale e precisare l’ambito della valutazione, ma non rimedia a un progetto debole, non sostituisce un’analisi dei rischi svolta con rigore, una corretta scelta delle misure di protezione né una documentazione coerente.

Solo dopo questa analisi ha senso richiamare il quadro giuridico. Sono le disposizioni applicabili al prodotto specifico e le procedure di valutazione della conformità previste per esso a stabilire se il coinvolgimento dell’Organismo Notificato sia obbligatorio oppure se si possa restare nel modulo A. Il fabbricante, l’importatore, l’integratore o il cliente non possono scegliere liberamente tra questi percorsi se la qualificazione del prodotto e l’atto giuridico applicabile conducono a una soluzione diversa. D’altra parte, la sola presenza dell’Organismo Notificato non trasferisce la responsabilità del contenuto della dichiarazione di conformità UE né del fatto che la marcatura CE corrisponda al reale percorso di valutazione della conformità. Tale responsabilità resta in capo al soggetto che immette il prodotto sul mercato, con implicazioni che si riflettono anche nei casi di responsabilità penale e civile del management per macchine prive di marcatura CE.

La conclusione pratica è semplice. La decisione meno costosa in merito all’Organismo Notificato è quella presa per tempo: dopo la qualificazione del prodotto, dopo aver verificato il perimetro della modernizzazione o dell’integrazione, dopo aver valutato la qualità delle evidenze disponibili, ma prima di chiudere il progetto e predisporre la dichiarazione di conformità e la marcatura CE. Se nella documentazione compaiono segnali d’allarme — una descrizione incoerente dei confini del prodotto, l’assenza di un unico responsabile dell’analisi dei rischi, un affidamento eccessivo sulle dichiarazioni dei fornitori oppure l’incertezza su chi risponda dell’insieme delle funzioni di sicurezza — è necessario un riesame prima della valutazione finale di conformità. Il suo scopo non è il formalismo. Si tratta di fare in modo che il percorso di valutazione della conformità corrisponda al prodotto reale, e non a un’ipotesi adottata troppo presto e mantenuta solo perché il progetto è ormai quasi concluso.