Spolupráca s notifikovanou osobou – kedy je nevyhnutná a kedy postačuje modul A

Otázka spolupráce s notifikovanou osobou sa v projekte až príliš často objaví v nesprávnej chvíli. Zvyčajne nie vtedy, keď sa formuje koncepcia výrobku a logika bezpečnosti, ale až pri kompletizácii dokumentácie, príprave EÚ vyhlásenia o zhode alebo tesne pred označením CE. Práve vtedy sa ukáže, že problém sa netýka samotného postupu, ale skorších východísk: klasifikácie výrobku, hraníc zodpovednosti, rozsahu modernizácie alebo integrácie a kvality dôkazových podkladov. Preto správna otázka neznie, či „zapojiť“ notifikovanú osobu, ale kedy je jej účasť bezpodmienečne nevyhnutná a kedy môže výrobca zostať pri module A a samostatne obhájiť celý postup posudzovania zhody.

Najdrahšia chyba vzniká ešte pred auditom

Najnákladnejšie omyly nevyplývajú zo samotného kontaktu s notifikovanou osobou, ale z nesprávneho vyhodnotenia situácie na začiatku projektu. V praxi sa často zamieňajú tri roviny: navrhovanie bezpečnosti, posudzovanie zhody a formálna účasť tretej strany. Sú navzájom prepojené, ale nie sú totožné. Stroj môže byť po technickej stránke navrhnutý správne a napriek tomu nemusí vyžadovať účasť notifikovanej osoby. Na druhej strane výrobok so zložitou architektúrou a zvýšeným technickým rizikom ešte automaticky nepodlieha takémuto postupu len preto, že ho tím považuje za „náročný“. O tom, či je účasť tretej strany nevyhnutná, rozhoduje právna klasifikácia výrobku, jeho zamýšľané použitie, predvídateľné nesprávne použitie a správne zvolený postup posudzovania zhody.

To má priamy vplyv na spôsob vedenia projektu. Otázka notifikovanej osoby je druhoradá voči otázke, čo sa má vlastne uviesť na trh: stroj, zostava strojov, neúplný stroj alebo iný výrobok, na ktorý sa vzťahujú osobitné predpisy. Až po určení tohto základu možno stanoviť, ktoré predpisy sa uplatnia a aký postup posudzovania zhody je prípustný. Napriek tomu sa v mnohých organizáciách modul A prijíma príliš skoro ako predvolený variant, ešte pred ukončením klasifikácie výrobku a pred určením zodpovednosti výrobcu, dovozcu alebo integrátora. Tým sa obracia správne poradie rozhodnutí.

V praxi sa problém zriedkavo odhalí pri prvom rozhovore o zhode. Najčastejšie sa vráti až vtedy, keď je technická koncepcia už uzavretá: mechanický návrh hotový, komponenty objednané, návod pripravený a označenie naplánované. V tomto momente sa ukáže, že zvolený postup posudzovania zhody bol nesprávny alebo neúplný. Dôsledkom nie je len riziko sporu s orgánom dohľadu nad trhom. Oveľa častejšie vznikne potreba prestavať kryty, zmeniť architektúru riadiacich systémov, rozšíriť skúšky, upraviť návod, vyhlásenie a označenia alebo nanovo vybudovať celú technickú argumentáciu odôvodňujúcu bezpečnosť výrobku. Vtedy náklady nevyplývajú zo samotného postupu, ale z návratu k rozhodnutiam, ktoré mali padnúť skôr.

Aby sa tomu predišlo, ešte pred zmrazením technickej koncepcie treba rozhodnúť o štyroch otázkach:

• klasifikácia výrobku a jeho zamýšľané použitie,
• uplatniteľné predpisy,
• správny postup posudzovania zhody,
• či je účasť notifikovanej osoby povinná, alebo modul A zostáva postačujúci.

Až takto nastavené poradie umožňuje posúdiť, či je samostatné posúdenie zhody organizačne a právne bezpečné. V slovenských aj únijných podmienkach nejde o opatrnosť pre opatrnosť samu, ale o to, aby rozhodnutie o zhode bolo ukotvené v projekte, dokumentácii a skutočnom spôsobe používania. Modul A nie je východiskovým bodom. Je výsledkom správne vykonanej klasifikácie výrobku a správne zostavenej technickej dokumentácie.

Kde sa modul A v skutočnosti končí

Hranica modulu A je tam, kde výrobca už nie je schopný samostatne a presvedčivo preukázať zhodu výrobku v rámci internej kontroly výroby. Nejde o „ľahší“ postup ani o postup, ktorý znižuje zodpovednosť. Práve naopak: keďže sa nezúčastňuje tretia strana, celé bremeno správnej klasifikácie výrobku, výberu požiadaviek, posúdenia rizika, prijatia ochranných opatrení a skompletizovania dôkazových podkladov nesie výrobca. Modul A postačuje len vtedy, keď tím dokáže preukázať nielen to, že výrobok je bezpečný, ale aj prečo bol práve takýto postup posudzovania zhody pre tento výrobok, v jeho skutočnom určení a konfigurácii, prípustný.

Z pohľadu navrhovania to znamená, že rozhodnutie o zhode nemožno oddeliť od konštrukčných rozhodnutí. V oblasti strojov nie je dôležitá len funkcia výrobku, ale aj to, či patrí do kategórií, na ktoré sa vzťahujú osobitné procesné požiadavky, a či výrobca skutočne zakladá preukázanie zhody na technických riešeniach správne zvolených vzhľadom na identifikované nebezpečenstvá. Samotné konštatovanie, že riešenia sú „v súlade s normami“, nestačí. Treba preukázať ich správny výber, súlad s analýzou rizika a skutočné zavedenie v projekte, softvéri, riadiacom systéme a používateľskej dokumentácii.

V praxi sa táto hranica najvýraznejšie ukazuje pri výrobkoch s bezpečnostnými funkciami, ktoré sú realizované neštandardne alebo sa zjavne odchyľujú od riešení bežne prijímaných v danom odvetví. Výrobca môže chcieť zostať pri internej kontrole výroby, pretože výrobok pozná, má vlastný konštrukčný tím a pripravil dokumentáciu. Problém vzniká vtedy, keď analýza rizika nevedie k jednoznačnému výberu ochranných opatrení, opis bezpečnostných funkcií nezodpovedá skutočnej logike riadenia a odôvodnenie prijatých odchýlok je neúplné. V takej situácii sa samostatný postup začína obhajovať len ťažko, aj keď samotná povinnosť účasti notifikovanej osoby ešte nevyplýva priamo z bezpodmienečnej procesnej požiadavky.

Podobne je to pri zložitých výrobkoch, ktoré súčasne podliehajú viacerým režimom posudzovania zhody. Samotná technická správnosť riešenia vtedy nerozhoduje o tom, či možno zostať pri module A. Dôležité je aj to, ako sa jednotlivé postupy navzájom prekrývajú a aké podmienky treba splniť v každom z nich. Práve v takýchto prípadoch sa najľahšie zamieňa procesná samostatnosť za zjednodušenie, ktoré dokumentácia neskôr neunesie.

• Modul A je postačujúci vtedy, keď klasifikácia výrobku, analýza rizika, výber technických riešení a dokumentácia tvoria ucelené odôvodnenie zhody.
• Účasť notifikovanej osoby treba overiť najmä vtedy, keď výrobok patrí do osobitných kategórií, odchyľuje sa od prijatých technických riešení alebo súčasne podlieha viacerým režimom.
• Ak tím nedokáže samostatne obhájiť úplnosť technickej dokumentácie, zotrvanie pri module A sa stáva organizačným rizikom, nie úsporou.

Až na tomto základe má zmysel procesné posúdenie. Práve predpisy vzťahujúce sa na daný typ výrobku určujú, či sú splnené podmienky na zotrvanie pri module A, alebo je nevyhnutná účasť tretej strany. Nerozhoduje o tom technická intuícia ani presvedčenie, že riziko „nie je vysoké“. Preto býva otázka, či možno začať s modulom A a notifikovanú osobu prizvať neskôr, jednoducho položená neskoro. Ak projektové rozhodnutia a dôkazové podklady neboli od začiatku pripravené s ohľadom na takúto možnosť, neskoršie zapojenie tretej strany zvyčajne odhalí slabé miesta projektu, namiesto toho, aby ich odstránilo.

Rozhodnutie treba zabudovať do projektu

Rozhodnutie, či daný výrobok vyžaduje účasť notifikovanej osoby, alebo postačuje postup internej kontroly výroby, je projektovým rozhodnutím. Nemalo by padnúť pri objednávaní komponentov ani tesne pred konečným prevzatím. Správny moment je etapa, v ktorej má tím ešte reálny vplyv na bezpečnostnú architektúru, hranice používania výrobku, rozsah funkcií súvisiacich s bezpečnosťou a spôsob zostavenia technickej dokumentácie. Ak sa rozhodnutie odloží na koniec, organizácia zvyčajne skĺzne do zdanlivej úspory: formálne zostáva pri module A, ale výrobok navrhuje tak, akoby neskoršie doplnenie chýbajúcich náležitostí bolo z technického hľadiska neutrálne. V praxi to tak nie je.

Dôsledky sú predvídateľné. Zmena postupu posudzovania zhody a označovania CE pre stroje na konci projektu najčastejšie znamená návrat k východiskovým predpokladom, opätovné posúdenie rizika, úpravu riešení riadenia, doplnenie chýbajúcich dôkazov a spor o to, kto v organizácii za rozhodnutie zodpovedal. Práve preto je potrebný krátky, ale dôsledný interný proces spustený ešte pred uzavretím koncepcie.

Takýto proces nemusí byť rozsiahly, ale mal by byť jednoznačný. Najprv treba výrobok klasifikovať a určiť jeho účel a hranice používania. Následne je potrebné vypracovať zoznam uplatniteľných predpisov a vykonať predbežnú analýzu rizika, dostatočnú na zachytenie kritických bezpečnostných funkcií a miest, v ktorých môžu konštrukčné rozhodnutia predurčiť ďalší postup posudzovania zhody. Až na tomto základe možno prijať procesné rozhodnutie: zostávame pri module A alebo pripravujeme projekt na účasť tretej strany v rozsahu vyplývajúcom z predpisov alebo z prijatej dôkazovej stratégie.

Aby bolo toto rozhodnutie vykonateľné, musí mať vlastníka a jasne definované vstupy z konštrukcie, automatizácie, bezpečnosti, zhody a dokumentácie. Bez toho sa téma vracia v najhoršom možnom momente: pod tlakom termínu dodania alebo po pripomienkach zákazníka, dovozcu či orgánu dohľadu nad trhom. Vtedy už organizácia nerieši problém zhody, ale dobieha chýbajúce projektové rozhodnutie.

• opis výrobku, jeho účelu a hraníc používania,
• predbežná analýza rizika a identifikácia kritických bezpečnostných funkcií,
• zoznam uplatniteľných predpisov a rozhodnutie o postupe posudzovania zhody,
• plán dôkazových podkladov vrátane zodpovedností dodávateľov a integrátora.

Dobre to vidno pri modernizácii, integrácii liniek a rekonfigurácii strojov. Pri novom výrobku je zvyčajne jednoduchšie určiť výrobcu a zodpovednosť za celú koncepciu. Pri zmenách existujúcich systémov je situácia zložitejšia, pretože okrem voľby postupu posudzovania zhody treba rozhodnúť aj o tom, či rozsah zásahu nevytvára novú zodpovednosť výrobcu. Ak zmena zahŕňa logiku riadenia, bezpečnostné funkcie, spôsob spolupráce strojov alebo zamýšľané použitie, posúdenie, že ide „len o modernizáciu“, už nie je samozrejmé. Vtedy otázka notifikovanej osoby nie je samostatným formalizmom, ale súčasťou širšieho rozhodnutia o tom, či rozsah zmien vyžaduje opätovné posúdenie celej koncepcie bezpečnosti a či údaje od dodávateľov a integrátorov postačujú na obhájenie konečného výrobku.

Ak organizácia zvažuje spoluprácu s notifikovanou osobou, mala by to robiť s konkrétnym cieľom. Môže ním byť potvrdenie, že je povinný postup s účasťou tretej strany, posúdenie presne vymedzeného rozsahu, usporiadanie dôkazových podkladov alebo zníženie rizika sporu o prijaté technické riešenia. Takáto diskusia má hodnotu len vtedy, keď tím už vie preukázať svoje východiská: prečo považoval modul A za postačujúci, aké technické riešenia prijal, aké odchýlky pripustil a kto tieto rozhodnutia schválil. Zhodu nemožno dôveryhodne doplniť dodatočne. Treba ju navrhovať súbežne s výrobkom.

Najprv príklad, až potom predpisy

Najčastejšia chyba spočíva v tom, že rozhodnutie o notifikovanej osobe sa zúži na otázku ceny postupu alebo na zaužívaný prístup: „doteraz sme to robili v module A“. V praxi je to však predovšetkým rozhodnutie o klasifikácii výrobku a o kvalite projektových východísk. Ak tieto dva prvky nie sú v súlade, spor o samotný postup je len dôsledkom skoršieho problému. Tím, ktorý príliš skoro považuje modul A za samozrejmú voľbu, zvyčajne odhalí medzeru až pri kompletizácii technickej dokumentácie, príprave EÚ vyhlásenia o zhode alebo počas kontroly pred označením CE. Vtedy sa ukáže, že nechýba externé potvrdenie, ale kontinuita odôvodnenia.

Pre projekt to znamená veľmi konkrétny dôsledok: technický tím navrhuje podľa predpokladov, ktoré nikto formálne neoveril, a osoby zodpovedné za uvedenie výrobku na trh dostávajú dokumenty, ktoré sa pri kontrole alebo otázkach zákazníka ťažko obhajujú. Preto treba náklady posudzovať širšie než len cez samotný postup. Riziko neskoršej korekcie sa týka riadiacich systémov, krytov, pracovnej logiky, návodu, označenia aj obsahu EÚ vyhlásenia o zhode. Z tohto dôvodu býva skoršie preverenie klasifikácie výrobku lacnejšie než neskoršia záchrana projektu, aj keď napokon potvrdí, že účasť notifikovanej osoby nie je potrebná.

Typický príklad sa týka modernizácie linky, ktorá bola spočiatku posudzovaná ako bežná integrácia existujúcich strojov. Tím prijal modul A ako prirodzenú voľbu, pretože sa používali hotové podsystémy a dodávatelia deklarovali zhodu svojich zariadení. Až pri usporadúvaní dôkazových podkladov vyšlo najavo, že skutočný zásah bol podstatne hlbší: zmenila sa logika spolupráce pracovísk, doplnili sa spoločné bezpečnostné funkcie, prestavali sa sekvencie zastavenia a spúšťania a zodpovednosť za konečné správanie celku sa v skutočnosti presunula na integrátora. Problém teda nespočíval v samotnom vynechaní notifikovanej osoby, ale v prijatí nesúladných predpokladov.

V dokumentácii chýbala ucelená analýza rizík pre celý systém, chýbalo odôvodnenie hraníc modernizácie a parametre aj architektúra bezpečnostných funkcií boli opísané len čiastkovo, najmä odkazmi na dokumenty dodávateľov komponentov. Keď sa objavila otázka správneho postupu posudzovania zhody, tím sa nemusel vrátiť k formulárom, ale k projektu: usporiadať klasifikáciu výrobku, doplniť dôkazové podklady a niekedy aj zmeniť technické riešenia. To je hlavné ponaučenie z takýchto prípadov. Účasť notifikovanej osoby môže usporiadať formálny postup a spresniť rozsah posúdenia, ale nenapraví slabý projekt, nenahradí dôslednú analýzu rizík, správny výber ochranných opatrení ani konzistentnú dokumentáciu.

Až po takomto posúdení má zmysel odvolávať sa na právny rámec. O tom, či je účasť notifikovanej osoby povinná, alebo či možno zostať pri module A, rozhodujú predpisy uplatniteľné na konkrétny výrobok a postupy posudzovania zhody, ktoré sú preň stanovené. Výrobca, dovozca, integrátor ani zákazník si medzi týmito postupmi nemôžu ľubovoľne vyberať, ak klasifikácia výrobku a príslušný právny akt vedú k inému riešeniu. Na druhej strane samotná prítomnosť notifikovanej osoby neprenáša zodpovednosť za obsah EÚ vyhlásenia o zhode ani za to, či označenie CE zodpovedá skutočne zvolenému postupu posudzovania zhody. Zodpovednosť za to zostáva na strane subjektu, ktorý uvádza výrobok na trh.

Praktický záver je jednoduchý. Najlacnejšie rozhodnutie vo veci notifikovanej osoby je to, ktoré sa prijme včas: po kvalifikácii výrobku, po overení rozsahu modernizácie alebo integrácie, po posúdení kvality dôkazových podkladov, ale ešte pred uzavretím projektu a kompletizáciou posúdenia zhody a označenia CE pre stroje. Ak sa v dokumentácii objavia varovné signály — nejednotný opis hraníc výrobku, chýbajúci jediný vlastník analýzy rizík, nadmerné spoliehanie sa na vyhlásenia dodávateľov alebo nejasnosť v tom, kto zodpovedá za celok bezpečnostných funkcií — je potrebná revízia ešte pred finálnym posúdením zhody. Jej cieľom nie je formalizmus. Ide o to, aby cesta posúdenia zhody zodpovedala skutočnému výrobku, a nie predpokladu prijatému príliš skoro a udržiavanému len preto, že projekt je už takmer hotový.