Samenwerking met een Aangemelde Instantie – wanneer is die verplicht en wanneer volstaat module A

De vraag of er moet worden samengewerkt met een Aangemelde Instantie komt in een project vaak veel te laat aan de orde. Meestal niet op het moment dat productconcepten en de veiligheidslogica worden uitgewerkt, maar pas bij het samenstellen van de documentatie, het opstellen van de EU-conformiteitsverklaring of vlak vóór de CE-markering. Juist dan blijkt dat het probleem niet in de procedure zelf zit, maar in eerdere uitgangspunten: de kwalificatie van het product, de afbakening van verantwoordelijkheden, de omvang van de modernisering of integratie en de kwaliteit van het bewijsmateriaal. Daarom is de juiste vraag niet óf u een Aangemelde Instantie moet “inschakelen”, maar wanneer haar betrokkenheid absoluut verplicht is en wanneer de fabrikant kan volstaan met module A en het volledige traject van de conformiteitsbeoordeling zelfstandig kan onderbouwen.

De duurste fout ontstaat vóór de audit

De kostbaarste fouten vloeien niet voort uit het contact met een Aangemelde Instantie zelf, maar uit een verkeerde inschatting van de situatie aan het begin van het project. In de praktijk worden drie zaken vaak met elkaar verward: veiligheidsontwerp, conformiteitsbeoordeling en de formele betrokkenheid van een derde partij. Ze hangen met elkaar samen, maar zijn niet hetzelfde. Een machine kan technisch goed zijn ontworpen en toch geen betrokkenheid van een Aangemelde Instantie vereisen. Omgekeerd valt een product met een complexe architectuur en een verhoogd technisch risico niet automatisch onder zo’n procedure alleen omdat het team het als “moeilijk” beschouwt. Of de betrokkenheid van een derde partij noodzakelijk is, wordt bepaald door de juridische kwalificatie van het product, het beoogde gebruik, voorzienbaar verkeerd gebruik en de juiste procedure voor conformiteitsbeoordeling.

Dat heeft directe gevolgen voor de manier waarop het project wordt aangestuurd. De vraag naar een Aangemelde Instantie is ondergeschikt aan de vraag wat er precies op de markt wordt gebracht: een machine, een samenstel van machines, een niet-voltooide machine of een ander product dat onder afzonderlijke regelgeving valt. Pas nadat deze basis is vastgesteld, kan worden bepaald welke voorschriften van toepassing zijn en welk traject voor conformiteitsbeoordeling is toegestaan. Toch wordt in veel organisaties module A te vroeg als standaardoptie aangenomen, nog voordat de productkwalificatie is afgerond en voordat duidelijk is of de verantwoordelijkheid bij de fabrikant, importeur of integrator ligt. Daarmee wordt de juiste volgorde van besluiten omgedraaid.

In de praktijk wordt het probleem zelden zichtbaar tijdens het eerste gesprek over conformiteit. Meestal komt het pas terug wanneer het technische concept al is vastgelegd: het mechanisch ontwerp is gereed, componenten zijn besteld, de handleiding is voorbereid en de markering is ingepland. Op dat moment blijkt dat het gekozen traject voor conformiteitsbeoordeling onjuist of onvolledig was. Het gevolg is niet alleen het risico op een geschil met de markttoezichthouder. Veel vaker ontstaat de noodzaak om afschermingen aan te passen, de architectuur van besturingssystemen te wijzigen, beproevingen uit te breiden, handleidingen, verklaringen en markeringen te corrigeren, of de volledige technische onderbouwing van de productveiligheid opnieuw op te bouwen. Dan komen de kosten niet voort uit de procedure zelf, maar uit het terugdraaien van beslissingen die eerder hadden moeten worden genomen.

Om dit te voorkomen, moeten vóór het bevriezen van het technische concept vier zaken worden vastgesteld:

• de kwalificatie van het product en het beoogde gebruik,
• de toepasselijke voorschriften,
• de juiste procedure voor conformiteitsbeoordeling,
• of de betrokkenheid van een Aangemelde Instantie verplicht is, of dat module A toereikend blijft.

Alleen in deze volgorde kan worden beoordeeld of een zelfstandige conformiteitsbeoordeling organisatorisch en juridisch verantwoord is. In de Poolse en Europese praktijk gaat het niet om voorzichtigheid om de voorzichtigheid zelf, maar erom dat de conformiteitsbeslissing is verankerd in het project, de documentatie en de werkelijke gebruikswijze. Module A is geen vertrekpunt. Het is het resultaat van een correct uitgevoerde productkwalificatie en een zorgvuldig opgebouwde technische documentatie.

Waar module A in werkelijkheid ophoudt

De grens van module A ligt daar waar de fabrikant niet langer in staat is om de conformiteit van het product binnen de interne productiecontrole zelfstandig en overtuigend aan te tonen. Het is geen “lichtere” procedure en vermindert de verantwoordelijkheid niet. Integendeel: juist omdat er geen derde partij bij betrokken is, rust de volledige last van een juiste productkwalificatie, de keuze van de eisen, de risicobeoordeling, het vaststellen van beschermingsmaatregelen en het samenstellen van het bewijsmateriaal op de fabrikant. Module A is alleen toereikend wanneer het team niet alleen kan aantonen dát het product veilig is, maar ook waarom juist dit traject voor conformiteitsbeoordeling voor dit product, in zijn werkelijke bestemming en configuratie, was toegestaan.

Vanuit ontwerpoogpunt betekent dit dat een conformiteitsbeslissing niet los kan worden gezien van constructieve keuzes. Bij machines telt niet alleen de functie van het product, maar ook of het binnen categorieën valt waarvoor bijzondere procedurele eisen gelden en of de fabrikant het aantonen van conformiteit daadwerkelijk baseert op technische oplossingen die passend zijn gekozen voor de vastgestelde gevaren. Alleen stellen dat oplossingen “aan de normen voldoen” is niet genoeg. Er moet worden aangetoond dat de keuzes passend zijn, aansluiten op de risicoanalyse en daadwerkelijk zijn doorgevoerd in het ontwerp, de software, het besturingssysteem en de gebruikersdocumentatie.

In de praktijk wordt deze grens het duidelijkst zichtbaar bij producten met veiligheidsfuncties die op een niet-standaard manier zijn uitgevoerd of duidelijk afwijken van oplossingen die in de betreffende branche gebruikelijk zijn. Een fabrikant kan bij de interne productiecontrole willen blijven, omdat hij het product kent, over een eigen ontwerpteam beschikt en de documentatie heeft opgesteld. Het probleem ontstaat wanneer de risicoanalyse geen sluitende onderbouwing geeft voor de keuze van beschermingsmaatregelen, de beschrijving van de veiligheidsfuncties niet overeenkomt met de feitelijke besturingslogica en de motivering van de gekozen afwijkingen onvolledig is. In zo’n situatie wordt de zelfstandige route moeilijk verdedigbaar, ook als de verplichting om een Aangemelde Instantie te betrekken nog niet rechtstreeks voortvloeit uit een dwingende procedurele eis.

Hetzelfde speelt bij complexe producten die tegelijk onder meerdere conformiteitsregimes vallen. De technische juistheid van de oplossing alleen bepaalt dan niet of men bij module A kan blijven. Ook van belang is hoe de afzonderlijke procedures op elkaar inwerken en aan welke voorwaarden in elk daarvan moet worden voldaan. Juist in zulke gevallen wordt procedurele zelfstandigheid het gemakkelijkst verward met een vereenvoudiging die de documentatie later niet kan dragen.

• Module A is toereikend wanneer de productkwalificatie, risicoanalyse, keuze van technische oplossingen en documentatie samen een consistent conformiteitsdossier vormen.
• De betrokkenheid van een Aangemelde Instantie moet vooral worden getoetst wanneer het product tot bijzondere categorieën behoort, afwijkt van gangbare technische oplossingen of tegelijk onder meerdere regimes valt.
• Als het team de volledigheid van de technische documentatie niet zelfstandig kan onderbouwen, wordt vasthouden aan module A een organisatorisch risico in plaats van een besparing.

Pas tegen deze achtergrond is een procedurele toets nodig. De voorschriften die voor het betreffende type product gelden, bepalen of aan de voorwaarden om bij module A te blijven is voldaan, of dat betrokkenheid van een derde partij noodzakelijk is. Dat wordt niet beslist op basis van technische intuïtie of de overtuiging dat het risico “niet hoog” is. Daarom is de vraag of men met module A kan beginnen en later alsnog een Aangemelde Instantie kan inschakelen, vaak simpelweg te laat gesteld. Als ontwerpkeuzes en bewijsmateriaal niet vanaf het begin met die mogelijkheid in gedachten zijn voorbereid, legt het later betrekken van een derde partij meestal de zwakke punten van het project bloot in plaats van ze weg te nemen.

De beslissing moet in het ontwerp worden ingebouwd

De beslissing of voor een bepaald product de betrokkenheid van een Aangemelde Instantie nodig is, of dat de procedure van interne productiecontrole volstaat, is een ontwerpbeslissing. Die hoort niet te worden genomen bij het bestellen van componenten of vlak voor de eindoplevering. Het juiste moment is de fase waarin het team nog daadwerkelijk invloed heeft op de veiligheidsarchitectuur, de gebruiksgrenzen van het product, de omvang van veiligheidsgerelateerde functies en de manier waarop de technische documentatie wordt opgebouwd. Als die beslissing tot het einde wordt uitgesteld, vervalt de organisatie meestal in een schijnbesparing: formeel houdt men vast aan module A, maar het product wordt ontworpen alsof het later aanvullen van tekortkomingen technisch zonder gevolgen blijft. In de praktijk is dat niet zo.

De gevolgen zijn voorspelbaar. Een wijziging van de route voor conformiteitsbeoordeling en CE-markering aan het einde van het project betekent meestal dat men moet terugkeren naar de uitgangspunten, de risicoanalyse opnieuw moet uitvoeren, besturingsoplossingen moet aanpassen, ontbrekend bewijsmateriaal moet aanvullen en moet uitzoeken wie binnen de organisatie verantwoordelijk was voor de beslissing. Juist daarom is een kort maar strikt intern proces nodig dat wordt gestart voordat de conceptfase wordt afgesloten.

Zo’n proces hoeft niet uitgebreid te zijn, maar moet wel eenduidig zijn. Eerst moet het product worden gekwalificeerd en moeten het beoogde gebruik en de gebruiksgrenzen worden vastgesteld. Vervolgens moet een overzicht van de toepasselijke voorschriften worden opgesteld en moet een voorlopige risicoanalyse worden uitgevoerd, voldoende om kritische veiligheidsfuncties te identificeren en de punten te signaleren waar ontwerpkeuzes bepalend kunnen zijn voor het verdere traject van conformiteitsbeoordeling. Pas op die basis kan een procedurele beslissing worden genomen: we blijven bij module A of we bereiden het project voor op betrokkenheid van een derde partij, voor zover dat uit de voorschriften of uit de gekozen bewijsstrategie voortvloeit.

Om die beslissing uitvoerbaar te maken, moet er een eigenaar zijn en moeten er duidelijke inputgegevens komen vanuit constructie, automatisering, veiligheid, conformiteit en documentatie. Zonder dat komt het onderwerp terug op het slechtst mogelijke moment: onder druk van de levertermijn of na opmerkingen van de klant, de importeur of de markttoezichthouder. Dan lost de organisatie geen conformiteitsprobleem meer op, maar probeert zij het ontbreken van een ontwerpbeslissing te herstellen.

• beschrijving van het product, het beoogde gebruik en de gebruiksgrenzen,
• voorlopige risicoanalyse en identificatie van kritische veiligheidsfuncties,
• overzicht van de toepasselijke voorschriften en beslissing over de procedure voor conformiteitsbeoordeling,
• plan voor het bewijsmateriaal, inclusief verantwoordelijkheden van leveranciers en de integrator.

Dat wordt vooral duidelijk bij modernisering, lijnintegratie en herconfiguratie van machines. Bij een nieuw product is het meestal eenvoudiger om de fabrikant aan te wijzen en de verantwoordelijkheid voor het totale concept vast te leggen. Bij wijzigingen aan bestaande systemen ligt dat lastiger, omdat naast de keuze van de conformiteitsbeoordelingsroute ook moet worden beoordeeld of de omvang van de ingreep geen nieuwe verantwoordelijkheid van de fabrikant doet ontstaan. Als de wijziging betrekking heeft op de besturingslogica, veiligheidsfuncties, de manier waarop machines samenwerken of het beoogde gebruik, is de conclusie dat het “slechts een modernisering” betreft niet langer vanzelfsprekend. De vraag naar een Aangemelde Instantie is dan geen losstaand formalisme, maar onderdeel van een bredere beslissing: vereist de omvang van de wijzigingen een herbeoordeling van het volledige veiligheidsconcept en zijn de gegevens van leveranciers en integratoren voldoende om het eindproduct te kunnen onderbouwen.

Als een organisatie samenwerking met een Aangemelde Instantie overweegt, moet dat met een concreet doel gebeuren. Dat kan zijn: bevestigen dat een route met betrokkenheid van een derde partij verplicht is, een strikt afgebakende scope laten beoordelen, het bewijsmateriaal ordenen of het risico op discussie over de gekozen technische oplossingen beperken. Zo’n gesprek heeft alleen waarde als het team zijn uitgangspunten al kan toelichten: waarom module A als voldoende is beschouwd, welke technische oplossingen zijn gekozen, welke afwijkingen zijn toegestaan en wie die beslissingen heeft goedgekeurd. Conformiteit kun je niet geloofwaardig achteraf toevoegen. Die moet parallel aan het product worden ontworpen.

Eerst het voorbeeld, daarna pas de regels

De meest voorkomende fout is dat de beslissing over een Aangemelde Instantie wordt teruggebracht tot de vraag naar de kosten van de procedure of tot gewoonte: “tot nu toe deden we dit in module A”. In de praktijk is het echter in de eerste plaats een beslissing over de kwalificatie van het product en de kwaliteit van de ontwerpuitgangspunten. Als die twee elementen niet op elkaar aansluiten, is de discussie over de procedure zelf slechts het gevolg van een eerder probleem. Een team dat module A te vroeg als vanzelfsprekende keuze aanmerkt, ontdekt de lacune meestal pas bij het samenstellen van de technische documentatie, het opstellen van de EU-conformiteitsverklaring of tijdens de controle voorafgaand aan de CE-markering. Dan blijkt niet dat externe bevestiging ontbreekt, maar dat de onderbouwing niet consistent is.

Voor het project heeft dat een heel concrete consequentie: het technische team ontwerpt op basis van aannames die niemand formeel heeft geverifieerd, terwijl de personen die verantwoordelijk zijn voor het op de markt brengen van het product documenten ontvangen die bij een controle of vragen van een klant moeilijk te verdedigen zijn. Daarom moeten kosten breder worden beoordeeld dan alleen vanuit de procedure zelf. Het risico van latere correcties raakt besturingssystemen, afschermingen, werkingslogica, de handleiding, markeringen en de inhoud van de EU-conformiteitsverklaring. Daarom is een vroegtijdige beoordeling van de productkwalificatie soms goedkoper dan het later moeten redden van het project, zelfs als uiteindelijk wordt bevestigd dat betrokkenheid van een Aangemelde Instantie niet vereist is.

Een typisch voorbeeld is de modernisering van een lijn die aanvankelijk werd behandeld als een gewone integratie van bestaande machines. Het team beschouwde module A als een logische keuze, omdat gebruik werd gemaakt van kant-en-klare componenten en leveranciers de conformiteit van hun apparatuur verklaarden. Pas bij het ordenen van het bewijsmateriaal kwam aan het licht dat de feitelijke ingreep veel verder ging: de logica van de samenwerking tussen stations was gewijzigd, er waren gemeenschappelijke veiligheidsfuncties toegevoegd, de stop- en opstartsequenties waren aangepast en de verantwoordelijkheid voor het uiteindelijke gedrag van het geheel was in feite naar de integrator verschoven. Het probleem lag dus niet in het overslaan van de Aangemelde Instantie als zodanig, maar in het hanteren van inconsistente uitgangspunten.

In de documentatie ontbrak een samenhangende risicoanalyse voor het volledige systeem, ontbrak een onderbouwing van de grenzen van de modernisering en waren de parameters en architectuur van de veiligheidsfuncties slechts fragmentarisch beschreven, vooral via verwijzingen naar documenten van componentleveranciers. Toen de vraag naar de juiste route voor de conformiteitsbeoordeling en CE-markering opkwam, moest het team niet terug naar formulieren, maar naar het ontwerp: de productkwalificatie op orde brengen, het bewijsmateriaal aanvullen en soms de technische oplossingen aanpassen. Dat is de kernles uit dit soort gevallen. De betrokkenheid van een Aangemelde Instantie kan de formele route structureren en de beoordelingsscope verduidelijken, maar herstelt geen zwak ontwerp, vervangt geen degelijke risicoanalyse, geen juiste keuze van beschermingsmaatregelen en ook geen consistente documentatie.

Pas na zo’n analyse is het zinvol om naar het juridische kader te kijken. De voorschriften die op het concrete product van toepassing zijn en de daarvoor voorziene conformiteitsbeoordelingsprocedures bepalen of de betrokkenheid van een Aangemelde Instantie verplicht is, of dat men bij module A kan blijven. De fabrikant, importeur, integrator of klant kiest niet vrij tussen deze routes als de productkwalificatie en de toepasselijke regelgeving tot een andere uitkomst leiden. Omgekeerd verschuift de enkele aanwezigheid van een Aangemelde Instantie de verantwoordelijkheid voor de inhoud van de EU-conformiteitsverklaring niet, noch voor de vraag of de CE-markering overeenkomt met de daadwerkelijk gevolgde conformiteitsbeoordelingsroute. Die verantwoordelijkheid blijft bij de partij die het product op de markt brengt.

De praktische conclusie is eenvoudig. De goedkoopste beslissing over de Aangemelde Instantie is een beslissing die vroeg wordt genomen: na de kwalificatie van het product, na controle van de omvang van de modernisering of integratie, na beoordeling van de kwaliteit van het bewijsmateriaal, maar vóór de afronding van het project en het opstellen van de conformiteitsverklaring en de CE-markering. Als er in de documentatie waarschuwingssignalen opduiken — een tegenstrijdige beschrijving van de productgrenzen, het ontbreken van één eigenaar van de risicoanalyse, een te sterke afhankelijkheid van leveranciersverklaringen of onduidelijkheid over wie verantwoordelijk is voor het geheel van de veiligheidsfuncties — is een beoordeling nodig nog vóór de definitieve conformiteitsbeoordeling. Het doel daarvan is niet formalisme. Het gaat erom dat het traject van de conformiteitsbeoordeling aansluit op het werkelijke product, en niet op een aanname die te vroeg is gemaakt en alleen wordt aangehouden omdat het project al bijna is afgerond.