Arbeidsongeval op de productielijn: hoe u de crisis beheerst en na een machinewijziging uw aansprakelijkheid niet vergroot

Een ongeval op de productielijn is al snel meer dan alleen een arbeidsveiligheidsincident. In de praktijk wordt het tegelijk een test van de technische volwassenheid van de fabriek, de kwaliteit van het wijzigingsbeheer en de volledigheid van de machinedocumentatie. Het verdere verloop van de zaak wordt zelden bepaald door het moment van het letsel zelf. Veel vaker is doorslaggevend wat de fabriek enkele uren en enkele dagen later kan aantonen: wat de staat van de machine was, wie wijzigingen heeft doorgevoerd en op welke basis, of technische sporen zijn veiliggesteld en of de documenten daadwerkelijk de configuratie beschrijven waarin de machine op het moment van het incident werkte.

Dat is ook praktisch van belang wanneer eerder de machine of productielijn was aangepast. Na een ongeval komt steeds weer de vraag terug of het nog ging om een reparatie of een gebruikscorrectie, of al om een ingrijpende wijziging die de gebruiker richting de verantwoordelijkheid van een fabrikant schuift. Vanuit hetzelfde perspectief moeten audits van minimale eisen, EU-conformiteitsverklaringen, gebruiksaanwijzingen en de volledige technische documentatie worden beoordeeld, als de fabriek de technische oplossing feitelijk zelf heeft vormgegeven. Daarom mag een crisisprocedure niet eindigen bij het veiligstellen van de plaats van het incident. Die moet leiden tot één antwoord: heeft de organisatie grip op de technische staat, de documentatie en de beslissingen die ertoe hebben geleid dat de machine in deze configuratie draaide.

De eerste uren na het incident

In de eerste uren na een ongeval is een juiste probleemanalyse het belangrijkst. De fabriek heeft niet meer alleen te maken met een storing of uitsluitend met een ongevallenonderzoek. Zij wordt tegelijk geconfronteerd met een technische, bewijsrechtelijke en bestuurlijke crisis. Dat onderscheid helpt om prioriteiten te stellen: eerst de veiligheid van mensen en het stabiliseren van de plaats van het incident, daarna het veiligstellen van technische sporen en gegevens, en pas als laatste beslissingen over het hervatten van de productie.

In deze fase veroorzaken reflexmatige handelingen de meeste schade. Iemand verplaatst onderdelen, reset het besturingssysteem, wist alarmen, start de machine “alleen even voor een test” of probeert het verloop van het incident te reconstrueren op basis van het geheugen van getuigen. Terwijl de meest waardevolle informatie nog is opgeslagen in de controller, het bedieningspaneel, alarmregisters, het visionsysteem, camera’s en de historie van toegangen tot de zone. Latere bevindingen kunnen nog worden bijgesteld. Verloren technische sporen zijn meestal niet meer terug te halen.

Daarom moet in de eerste fase niet worden gehandeld als een team dat een storing verhelpt, maar als een team dat een technisch onderzoek ordent. In de praktijk betekent dit: rollen scheiden en besluitvormingschaos stoppen. Eén persoon moet verantwoordelijk zijn voor de veiligheid van de plaats van het incident en de toegangscontrole, een ander voor een consistente informatiestroom, weer een ander voor het contact met de service van de leverancier, en nog iemand anders voor het veiligstellen van de documentatie en het maken van kopieën van gegevens uit besturingssystemen en bewakingssystemen. Zonder die aanpak ontstaat al snel een situatie waarin de service op afstand verbinding maakt met de machine en de foutgeschiedenis overschrijft, de technische dienst de voeding herstelt en de productieleiding tegelijk aandringt op een gedeeltelijke hervatting van het werk.

De aangetroffen toestand heeft juist vóór het “opruimen” van de werkplek de grootste waarde. Daarom moet niet alleen naar de machine worden gekeken vanuit de schade, maar ook vanuit de feitelijke veiligheidsconfiguratie en de manier van werken. Van belang zijn de positie en toestand van afschermingen, de bedrijfsmodus die op schakelaars is ingesteld, eventuele omzeilingen van beveiligingsfuncties, de toestand van sensoren en actuatoren, ingestelde parameters, de wijzigingsgeschiedenis van het besturingsprogramma, registraties in het onderhoudssysteem en de laatste service-interventies. Verklaringen van getuigen zijn nodig, maar hebben een ondersteunend karakter: na een incident is het geheugen vaak fragmentarisch en door stress vertekend.

Vanuit operationeel oogpunt is het antwoord op de vraag hoe ver men na het incident in de machine mag ingrijpen eenvoudig: alleen voor zover dat nodig is om mensen te redden, een direct gevaar weg te nemen en de plaats veilig te stellen, met gelijktijdige documentatie van elke wijziging. Elke proefstart, demontage van een afscherming, het wissen van een alarm of vervanging van een onderdeel vóórdat de aangetroffen toestand is vastgelegd, moet worden behandeld als een beslissing met een hoog risico.

• mensen beveiligen en de incidentzone isoleren zonder de machine weer in bedrijf te nemen,
• de aangetroffen toestand vastleggen: foto’s, posities van onderdelen, paneelindicaties, alarmen en meldingen,
• kopieën van gegevens maken en externe en lokale toegang stoppen die de historie zou kunnen overschrijven,
• één eigenaar aanwijzen voor beslissingen over stillegging of gedeeltelijke hervatting van het werk.

Pas nadat de feiten zo zijn geordend, kan worden overgegaan naar vragen over conformiteit en verantwoordelijkheid. Dan kan betrouwbaar worden beoordeeld of de machine volgens haar bestemming is gebruikt, of na wijzigingen het vereiste veiligheidsniveau behouden is gebleven, en of er actuele bewijzen van conformiteitsbeoordeling, volledige technische documentatie en gebruiksdocumenten bestaan die overeenkomen met de werkelijke toestand. Dat is ook het moment waarop moet worden vastgesteld of de fabriek uitsluitend gebruiker blijft, of door de omvang van de wijzigingen al in de rol is gekomen van de partij die verantwoordelijk is voor de technische oplossing.

Waar kosten en verantwoordelijkheid echt oplopen

Na een ongeval vloeit het risico vaak niet meer voort uit het incident zelf, maar uit de voorgeschiedenis van eerdere technische beslissingen. In de praktijk ontstaan de grootste problemen zelden door een machine die nog in de fabrieksconfiguratie werkt. Veel vaker draait het geschil om een toegevoegde aanvoerunit, een vervangen grijper, aangepaste besturingslogica, het overbruggen van een afscherming, integratie met een andere werkpost of een wijziging van de bedrijfsmodus onder druk van de productiviteit. Vanuit productieoogpunt kunnen zulke ingrepen rationeel lijken. Na een incident telt echter niet de intentie, maar of de organisatie de ontwerpgrondslag van de wijziging kan aantonen, het verloop van de risicobeoordeling van de machine, de keuze van beschermingsmaatregelen en wie de oplossing voor gebruik heeft vrijgegeven.

Precies hier komt de vraag naar een ingrijpende wijziging naar voren. Het gaat er niet om wie de machine feitelijk heeft gerepareerd of aangepast. Doorslaggevend is of de omvang van de wijzigingen niet zó groot was dat het bedrijf niet langer uitsluitend als gebruiker handelde, maar verantwoordelijkheden overnam die horen bij de partij die voor de technische oplossing instaat. Die grens wordt het makkelijkst over het hoofd gezien wanneer wijzigingen verspreid zijn over technisch onderhoud, automatisering, procesengineering en productie, en elk daarvan afzonderlijk op een kleine correctie lijkt. Het karakter van de wijziging wordt echter niet bepaald door de interne benaming, maar door de werkelijke invloed op de functie van de machine, de wijze van besturen, de gevarenzones, de werkvolgorde, de omstandigheden waaronder mensen ingrijpen en voorzienbare bedieningsfouten.

In de praktijk herhaalt dit mechanisme zich vaak. Om stilstand te verkorten, wordt lokaal de volgorde van cilinderbewegingen aangepast, een aanwezigheidsensor voor het product toegevoegd en werken met open afscherming in instelmodus toegestaan, omdat de operator het proces moet kunnen zien. Na verloop van tijd wordt die oplossing dagelijkse praktijk. Als er dan een ongeval gebeurt, kan niemand eenduidig aangeven wie de wijziging heeft goedgekeurd, welke veiligheidsuitgangspunten zijn gehanteerd, of de beschermingsfuncties na de aanpassing zijn gecontroleerd, of het personeel is opgeleid en of de instructies overeenkomen met de werkelijke situatie. Dan lopen de kosten abrupt op, niet alleen omdat de lijn stilstaat, maar ook omdat het bedrijf een samenhangende technische verdedigingsbasis verliest.

In zulke zaken tellen niet mondelinge verklaringen, maar sporen van wijzigingsbeheer. Als die ontbreken, wordt elk volgend antwoord ad hoc en vatbaar voor betwisting.

• een wijzigingsverzoek met beschrijving van doel, omvang en invloed op de veiligheid,
• technische goedkeuringen en aanwijzing van de verantwoordelijkheid voor vrijgave voor gebruik,
• resultaten van tests, opleveringen en verificatie van beschermingsmaatregelen,
• updates van instructies, procedures voor energie-isolatie en bevestigingen van trainingen.

De tweede risicodimensie betreft de relatie tussen de minimale eisen voor gebruikte machines en de verplichtingen die kunnen ontstaan na ombouw, integratie of heringebruikname in een gewijzigde configuratie. Het enkele argument dat de machine al jarenlang draait, vervangt geen bewijs uit audits, conformiteitsbeoordelingen en een actuele beoordeling van de configuratie waarin zij vandaag wordt gebruikt. De oorspronkelijke EU-conformiteitsverklaring van de fabrikant kan nog steeds relevant zijn, maar geeft niet automatisch antwoord op de vraag of zij na ombouw van de lijn of wijziging van de besturingslogica nog de feitelijke situatie beschrijft. Juist daarom moet na een ongeval nauwkeurig worden vastgesteld of het om een reparatie ging of om een ingrijpende wijziging van de machine, en of de analyse betrekking heeft op één machine of op de lijn als samenstel van machines.

Beslissingen die de situatie ordenen

Na het onder controle brengen van het incident moet men niet beginnen met de vraag hoe snel de productie weer kan worden opgestart. Eerst moet worden vastgesteld volgens welke logica de verdere beslissingen worden genomen. In de praktijk betekent dit een parallelle beoordeling van drie lagen: de feitelijke technische staat van de machine, de volledigheid en samenhang van de documenten en de geschiedenis van constructieve, besturingstechnische en organisatorische wijzigingen. Pas zo ontstaat een basis voor een geloofwaardige risicobeoordeling.

Als ook maar één van deze lagen ontbreekt, ziet het team slechts een deel van het geheel. Een storing op zichzelf verklaart nog niet of de technische oplossing heeft gefaald, het gebruik de oorzaak was of een eerdere wijziging waarvan de gevolgen nooit formeel zijn beoordeeld. Om dezelfde reden hoeft een beslissing tot stillegging zich niet altijd tot één werkpost te beperken. Als identieke beschermingsmaatregelen, dezelfde besturing of een vergelijkbare wijziging ook elders in de lijn voorkomen, moet de reikwijdte van de stillegging ruimer worden bepaald voordat zich een tweede incident voordoet.

Op managementniveau moeten vragen over gebruik ook worden gescheiden van vragen over conformiteit. Eerst moet worden vastgesteld in welke rol de organisatie optreedt ten opzichte van de machine of het samenstel van machines. Als zij gebruiker blijft, moet zij op zijn minst kunnen aantonen dat zij beschikt over de met de machine meegeleverde documenten en over bewijs van veilig gebruik in de actuele werksituatie. Als de omvang van de ombouw, integratie of wijziging van de werkingslogica haar echter in de richting van feitelijk fabrikant verschuift, ligt het vereiste niveau van onderbouwing duidelijk hoger. Dan is uitgebreidere technische documentatie nodig die de gekozen veiligheidsoplossingen, de selectie van beschermingsmaatregelen, de testresultaten en de grondslag van de gehanteerde risicobeoordeling toelicht.

Een eenvoudige matrix voor documentbeoordeling is hierbij nuttig: het document bestaat, is actueel, stemt niet overeen met de toestand van de machine of ontbreekt. Zo’n indeling laat snel zien of het probleem formeel van aard is, of dat het wijst op verlies van controle over de technische oplossing. In de praktijk moeten enkele basisvragen worden beantwoord: is er een EU-conformiteitsverklaring en heeft die betrekking op de huidige configuratie, is de gebruiksaanwijzing na wijzigingen bijgewerkt, zijn schema’s, overzichten van veiligheidscomponenten, testrapporten, resultaten van audits van minimale eisen, registraties van inspecties, energie-isolatie en opleidingen beschikbaar. Het ontbreken van één document betekent niet altijd dat de machine blijvend buiten bedrijf moet worden gesteld, maar het gelijktijdig ontbreken van meerdere cruciale bewijsstukken betekent meestal dat het bedrijf noch de wijze van gebruik, noch de beslissing tot heringebruikname kan onderbouwen.

• EU-conformiteitsverklaring en gebruiksaanwijzing — beschrijven die de actuele toestand van de machine,
• schema’s, risicobeoordeling, opleverings- en testrapporten — onderbouwen die de toegepaste beschermingsmaatregelen,
• wijzigingsregister, auditresultaten, registraties van inspecties en opleidingen — bevestigen die een veilige exploitatie na modificaties.

Een veelgemaakte fout is dat het verhelpen van een storing gelijk wordtgesteld aan het wegnemen van de oorzaak. Het vervangen van een lichtscherm, een vergrendeling van een afscherming of een veiligheidsmodule sluit de zaak niet af als niet duidelijk is waarom de beveiliging haar functie niet meer vervulde of waarom het bedrijf werken onder gewijzigde omstandigheden heeft toegestaan. Hervatting van het werk vereist daarom niet alleen herstel, maar ook aantoonbaar bewijs dat de technische en organisatorische oorzaak is weggenomen en dat de gekozen wijze van gebruik overeenkomt met de actuele toestand van de machine, de besturing en de beschermingsmaatregelen.

In een deel van de gevallen volstaat het om de exploitatie te ordenen en de beschermingsmaatregelen vóór herstart te verifiëren. In andere gevallen is een bredere beoordeling van de volledige machine-installatie, een externe audit of een uitgebreidere conformiteitsanalyse nodig, vooral wanneer de wijzigingen veiligheidsfuncties, samenwerkende systemen of installaties hebben geraakt die onder afzonderlijke technische regimes vallen, zoals drukinstallaties. Vanuit normatief oogpunt gaat het hier vooral niet om het opstapelen van rechtsgronden, maar om het vermogen om zorgvuldigheid bij de conformiteitsbeoordeling en het gebruik van de machine aan te tonen.

Hoe u niet terugvalt in hetzelfde ongeval

De waardevolste conclusie na een ongeval heeft zelden betrekking op één fout van de operator. Meestal legt zij bloot hoe de organisatie beslissingen neemt over technische, organisatorische en softwarematige wijzigingen. Als de invloed van een wijziging op de veiligheid pas na invoering wordt gecontroleerd, hoeft het volgende incident zich niet op dezelfde machine te herhalen. Het keert terug op een andere plaats in de lijn, bij een ander team en onder een andere projectnaam.

Daarom betekent het afsluiten van een crisis niet dat er één verbod aan de instructie wordt toegevoegd. Het gaat om het herzien van de beslisregels: wie mag een wijziging opdragen, wie beoordeelt de invloed ervan op beschermingsmaatregelen, wie is verantwoordelijk voor de risicobeoordeling en wie geeft formeel toestemming voor verder gebruik van de machine. Dat is de kern van wijzigingsbeheer. Hier wordt beslist of het bedrijf daadwerkelijk leert van het incident, of alleen de schijn van een reactie in stand houdt.

In de praktijk is een model nodig dat eenvoudig is, maar zonder uitzonderingen wordt toegepast. Elke technische wijziging moet dezelfde volgorde doorlopen: beoordeling van de invloed op de veiligheid, aanwijzing van de eigenaar van de beslissing, vaststelling van de vereiste tests en opleveringen, actualisering van de documentatie en formele toestemming voor gebruik. Het gaat niet om uitgebreide bureaucratie, maar om een beslisspoor dat na een maand en na een ongeval kan worden gereconstrueerd. Als de modificatie betrekking heeft op de besturing, afschermingen, de gevarenzone, de logica van de samenwerking tussen machines of de manier waarop de mens in het proces ingrijpt, mag zij niet als een gewone reparatie worden behandeld. Bij modificatie van een machine in relatie tot minimale eisen is dat onderscheid van wezenlijk belang.

Na een incident wordt ook meteen zichtbaar of machineveiligheid in audits van minimale eisen een werkelijk instrument was om de gebruiksomstandigheden te beheersen, of slechts een archiefformulier. Goede audits maken het mogelijk snel vast te stellen welke afschermingen en beveiligingsvoorzieningen op de machine aanwezig moeten zijn, welke afwijkingen eerder zijn vastgesteld, wie die heeft geaccepteerd en of corrigerende maatregelen zijn afgerond. Zwakke audits eindigen in algemeenheden zonder bewijskracht. Daarom is het na een ongeval zinvol om niet alleen terug te gaan naar de plaats van het incident, maar ook naar vergelijkbare modificaties in het bedrijf en te controleren of hetzelfde beslismechanisme breder voorkomt.

Een afzonderlijke bron van problemen blijft de relatie met leveranciers, integratoren en servicepartijen. Externe ondersteuning kan technisch noodzakelijk zijn, maar verplaatst de verantwoordelijkheid voor wat uiteindelijk in het bedrijf draait niet naar buiten. Als de organisatie niet duidelijk kan vaststellen wat er is gewijzigd, wie de omvang van de werkzaamheden heeft goedgekeurd, waar de grenzen van de verantwoordelijkheid van de opdrachtnemer lagen en of de documentatie in bruikbare staat is overgedragen, blijft zij na een ongeval zonder eigen beslisbasis achter. Dan keert de moeilijkste vraag terug: is de gebruiker nog steeds alleen gebruiker, of is hij door de omvang en de wijze van de aangebrachte wijzigingen een partij geworden die verantwoordelijk is voor de technische oplossing, en moet hij dus niet alleen over gebruikersdocumentatie beschikken, maar in de praktijk over uitgebreidere documentatie die past bij de gekozen oplossingen.

De eindconclusie is eenvoudig. Na een ongeval ligt het voordeel niet in de snelheid van verklaringen, maar in de kwaliteit van het bewijsmateriaal en de discipline in de besluitvorming. Die bepalen of de crisis beperkt blijft tot één incident en één stilstand, of uitgroeit tot een langdurig probleem van aansprakelijkheid na een ongeval met een machine, discussies over de reikwijdte van wijzigingen en nieuwe stilstanden. Een organisatie die een logische keten kan aantonen — wijziging, kwalificatie, test, actualisering van de documentatie, formele vrijgave voor gebruik — heeft een reële basis voor verweer. Een organisatie die vertrouwt op het geheugen van medewerkers en op de aanname dat het slechts om een kleine aanpassing van de machine ging, krijgt te maken met hetzelfde type ongeval, zelfs wanneer het zich niet in exact dezelfde vorm herhaalt.