Sodelovanje s priglašenim organom – kdaj je potrebno in kdaj zadošča modul A

Vprašanje sodelovanja s priglašenim organom se v projektu prepogosto pojavi ob nepravem času. Običajno ne takrat, ko se oblikujeta zasnova izdelka in varnostna logika, temveč šele ob kompletiranju dokumentacije, pripravi izjave EU o skladnosti ali tik pred oznako CE. Prav takrat postane jasno, da težava ni v samem postopku, ampak v predhodnih predpostavkah: razvrstitvi izdelka, mejah odgovornosti, obsegu posodobitve ali integracije ter kakovosti dokaznega gradiva. Zato pravo vprašanje ni, ali »vključiti« priglašeni organ, temveč kdaj je njegovo sodelovanje nujno in kdaj lahko proizvajalec ostane pri modulu A ter samostojno utemelji celotno pot ocenjevanja skladnosti in oznako CE.

Najdražja napaka nastane pred presojo

Najdražje napake ne izhajajo iz samega stika s priglašenim organom, temveč iz napačne ocene položaja na začetku projekta. V praksi se pogosto mešajo tri ravni: načrtovanje varnosti, ocenjevanje skladnosti in formalna udeležba tretje strani. Med seboj so povezane, vendar niso isto. Stroj je lahko tehnično dobro zasnovan, pa kljub temu ne zahteva sodelovanja priglašenega organa. Po drugi strani pa izdelek s kompleksno arhitekturo in povečanim tehničnim tveganjem še ne spada samodejno v tak postopek zgolj zato, ker ga ekipa ocenjuje kot »zahtevnega«. O tem, ali je sodelovanje tretje strani potrebno, odločajo pravna razvrstitev izdelka, njegova predvidena uporaba, razumno predvidljiva nepravilna uporaba ter ustrezen postopek ocenjevanja skladnosti.

To neposredno vpliva na način vodenja projekta. Vprašanje priglašenega organa je drugotnega pomena v primerjavi z vprašanjem, kaj naj bi se sploh dalo na trg: stroj, sklop strojev, delno dokončan stroj ali drug izdelek, za katerega veljajo ločeni predpisi. Šele ko je ta osnova določena, je mogoče opredeliti, kateri predpisi se uporabljajo in katera pot ocenjevanja skladnosti je dopustna. Kljub temu se v številnih organizacijah modul A prehitro sprejme kot privzeta možnost, še preden je zaključena razvrstitev izdelka in razmejena odgovornost proizvajalca, uvoznika ali integratorja. S tem se obrne pravilen vrstni red odločitev.

V praksi se težava redko pokaže že ob prvem pogovoru o skladnosti. Najpogosteje se vrne šele takrat, ko je tehnična zasnova že zaključena: mehanski projekt je pripravljen, komponente naročene, navodila izdelana, označevanje pa načrtovano. Takrat se izkaže, da je bila izbrana pot ocenjevanja skladnosti napačna ali nepopolna. Posledica ni le tveganje spora z organom za nadzor trga. Veliko pogosteje se pojavi potreba po predelavi varoval, spremembi arhitekture krmilnih sistemov in varnostne logike, razširitvi preskusov, popravku navodil, izjav in oznak ali ponovni vzpostavitvi celotne tehnične argumentacije, ki utemeljuje varnost izdelka. Takrat strošek ne izhaja iz samega postopka, temveč iz vračanja k odločitvam, ki bi morale biti sprejete že prej.

Da bi se temu izognili, je treba pred zamrznitvijo tehnične zasnove razrešiti štiri vprašanja:

• razvrstitev izdelka in njegova predvidena uporaba,
• predpisi, ki se uporabljajo,
• ustrezen postopek ocenjevanja skladnosti,
• ali je sodelovanje priglašenega organa obvezno ali pa modul A še vedno zadostuje.

Šele takšen vrstni red omogoča presojo, ali je samostojno ocenjevanje skladnosti organizacijsko in pravno varno. V poljskih in evropskih razmerah ne gre za previdnost zaradi previdnosti same, temveč za to, da je odločitev o skladnosti zasidrana v projektu, dokumentaciji in dejanskem načinu uporabe. Modul A ni izhodišče. Je rezultat pravilno izvedene razvrstitve izdelka in pravilno pripravljene tehnične dokumentacije.

Kje se modul A v resnici konča

Meja modula A je tam, kjer proizvajalec ni več sposoben samostojno in prepričljivo dokazati skladnosti izdelka v okviru notranje kontrole proizvodnje. To ni »lažji« postopek in ne zmanjšuje odgovornosti. Nasprotno: ker tretja stran ne sodeluje, celotno breme pravilne razvrstitve izdelka, izbire zahtev, ocene tveganja, določitve zaščitnih ukrepov in priprave dokaznega gradiva nosi proizvajalec. Modul A zadostuje le takrat, ko ekipa zna dokazati ne le, da je izdelek varen, temveč tudi, zakaj je bila prav ta pot ocenjevanja skladnosti dopustna za ta izdelek, v njegovem dejanskem namenu in konfiguraciji.

Z vidika projektiranja to pomeni, da odločitve o skladnosti ni mogoče ločiti od konstrukcijskih odločitev. Pri strojih ni pomembna le funkcija izdelka, temveč tudi to, ali spada v kategorije, za katere veljajo posebne postopkovne zahteve, ter ali proizvajalec dokazovanje skladnosti dejansko opira na tehnične rešitve, pravilno izbrane glede na prepoznana tveganja. Sama trditev, da so rešitve »skladne s standardi«, ne zadostuje. Treba je dokazati njihovo ustrezno izbiro, usklajenost z analizo tveganja ter dejansko izvedbo v projektu, programski opremi, krmilnem sistemu in uporabniški dokumentaciji.

V praksi se ta meja najjasneje pokaže pri izdelkih z varnostnimi funkcijami, izvedenimi nestandardno ali tako, da očitno odstopajo od rešitev, ki so v posamezni panogi splošno uveljavljene. Proizvajalec lahko želi ostati pri notranji kontroli proizvodnje, ker izdelek pozna, ima lastno konstrukcijsko ekipo in pripravljeno dokumentacijo. Težava nastane, ko analiza tveganja ne omogoča zaključene izbire zaščitnih ukrepov, opis varnostnih funkcij ne ustreza dejanski logiki krmiljenja, utemeljitev sprejetih odstopanj pa je nepopolna. V takem primeru je samostojno izbrano postopanje vse težje zagovarjati, tudi če sama obveznost vključitve priglašenega organa še ne izhaja neposredno iz brezpogojne postopkovne zahteve.

Podobno je pri kompleksnih izdelkih, za katere hkrati velja več režimov ugotavljanja skladnosti. Sama tehnična pravilnost rešitve takrat še ne odloča o tem, ali je mogoče ostati pri modulu A. Pomembno je tudi, kako se posamezni postopki med seboj prekrivajo in katere pogoje je treba izpolniti v vsakem od njih. Prav v takih primerih je najlažje zamenjati postopkovno samostojnost s poenostavitvijo, ki je dokumentacija pozneje ne zdrži.

• Modul A zadostuje takrat, ko razvrstitev izdelka, analiza tveganja, izbira tehničnih rešitev in dokumentacija tvorijo skladen dokazni niz o skladnosti.
• Vključitev priglašenega organa je treba posebej preveriti zlasti takrat, ko izdelek spada v posebne kategorije, odstopa od uveljavljenih tehničnih rešitev ali hkrati spada pod več režimov.
• Če ekipa ne zna samostojno zagovarjati popolnosti tehnične dokumentacije, vztrajanje pri modulu A postane organizacijsko tveganje, ne pa prihranek.

Šele v tem okviru je potrebna postopkovna presoja. Predpisi, ki veljajo za določeno vrsto izdelka, določajo, ali so pogoji za uporabo modula A izpolnjeni ali pa je nujna vključitev tretje strani. O tem ne odloča tehnična intuicija niti prepričanje, da tveganje »ni visoko«. Zato je vprašanje, ali je mogoče začeti z modulom A in pozneje vključiti priglašeni organ, pogosto preprosto postavljeno prepozno. Če projektne odločitve in dokazno gradivo od začetka niso pripravljeni z mislijo na takšno možnost, poznejša vključitev tretje strani praviloma razkrije slabosti projekta, namesto da bi jih odpravila.

Odločitev je treba vgraditi v projekt

Odločitev, ali določen izdelek zahteva vključitev priglašenega organa ali pa zadostuje postopek notranje kontrole proizvodnje, je projektna odločitev. Ne bi smela biti sprejeta ob naročanju komponent ali tik pred končnim prevzemom. Pravi trenutek je faza, v kateri ima ekipa še dejanski vpliv na varnostno arhitekturo, meje uporabe izdelka, obseg funkcij, povezanih z varnostjo, ter način priprave tehnične dokumentacije. Če se odločitev odloži do konca, organizacija običajno zapade v navidezen prihranek: formalno ostane pri modulu A, izdelek pa projektira tako, kot da bi bilo poznejše dopolnjevanje manjkajočega tehnično nepomembno. V praksi ni tako.

Posledice so predvidljive. Sprememba poti ugotavljanja skladnosti in označevanja CE proti koncu projekta najpogosteje pomeni vrnitev k izhodiščem, ponovno oceno tveganja, popravek rešitev krmiljenja, dopolnitev manjkajočih dokazov in spor o tem, kdo je bil v organizaciji odgovoren za odločitev. Prav zato je potreben kratek, vendar strog notranji postopek, ki se sproži pred zaključkom koncepta.

Tak postopek ni nujno obsežen, mora pa biti nedvoumen. Najprej je treba izdelek opredeliti ter določiti njegov namen in meje uporabe. Nato je treba pripraviti seznam veljavnih predpisov in izvesti začetno analizo tveganja, ki zadostuje za prepoznavo kritičnih varnostnih funkcij in mest, kjer lahko konstrukcijske odločitve odločilno vplivajo na nadaljnjo pot ugotavljanja skladnosti. Šele na tej podlagi je mogoče sprejeti postopkovno odločitev: ostanemo pri modulu A ali pa projekt pripravimo za vključitev tretje strani v obsegu, ki izhaja iz predpisov ali iz sprejete dokazne strategije.

Da bi bila ta odločitev izvedljiva, mora imeti lastnika in jasne vhodne podatke iz konstrukcije, projektiranja, varnosti, skladnosti in dokumentacije. Brez tega se tema vrne v najslabšem trenutku: pod pritiskom roka dobave ali po pripombah kupca, uvoznika ali organa za nadzor trga. Takrat organizacija ne rešuje več vprašanja skladnosti, temveč nadomešča manjkajočo projektno odločitev.

• opis izdelka, njegovega namena in meja uporabe,
• začetna analiza tveganja ter opredelitev kritičnih varnostnih funkcij,
• seznam veljavnih predpisov in odločitev o postopku ugotavljanja skladnosti,
• načrt dokaznega gradiva, vključno z odgovornostmi dobaviteljev in integratorja.

To se jasno pokaže pri posodobitvah, integraciji linij in rekonfiguraciji strojev. Pri novem proizvodu je praviloma lažje določiti proizvajalca in odgovornost za celoten koncept. Pri spremembah obstoječih sistemov je položaj zahtevnejši, saj je treba poleg izbire poti ocenjevanja skladnosti in oznake CE presoditi tudi, ali obseg posega ne ustvarja nove odgovornosti proizvajalca. Če sprememba zajema logiko krmiljenja, varnostne funkcije, način medsebojnega delovanja strojev ali predvideno uporabo, ocena, da gre »zgolj za posodobitev«, ni več samoumevna. V takem primeru vprašanje o priglašenem organu ni ločen formalizem, temveč del širše odločitve o tem, ali obseg sprememb zahteva ponovno presojo celotnega varnostnega koncepta in ali podatki dobaviteljev ter integratorjev zadostujejo za utemeljitev končnega proizvoda.

Če organizacija razmišlja o sodelovanju s priglašenim organom, mora to početi z jasnim ciljem. Ta je lahko potrditev, da je obvezna pot s sodelovanjem tretje strani, presoja natančno opredeljenega obsega, ureditev dokaznega gradiva ali zmanjšanje tveganja spora glede sprejetih tehničnih rešitev. Tak pogovor ima vrednost le, če ekipa že zna pokazati svoja izhodišča: zakaj je modul A ocenila kot zadosten, katere tehnične rešitve je sprejela, katera odstopanja je dopustila in kdo je te odločitve odobril. Skladnosti ni mogoče verodostojno dopisati za nazaj. Zasnovati jo je treba vzporedno z izdelkom.

Najprej primer, šele nato predpisi

Najpogostejša napaka je, da se odločitev o priglašenem organu skrči na vprašanje stroška postopka ali na navado: »doslej smo to delali v modulu A«. V praksi pa gre najprej za odločitev o razvrstitvi izdelka in o kakovosti projektnih izhodišč. Če ta dva elementa nista usklajena, je spor o samem postopku le posledica predhodne težave. Ekipa, ki modul A prehitro razglasi za očitno izbiro, vrzel navadno odkrije šele pri pripravi tehnične dokumentacije, izjave EU o skladnosti ali med pregledom pred oznako CE. Takrat se izkaže, da ne manjka zunanja potrditev, temveč neprekinjena veriga utemeljitev.

Za projekt ima to zelo konkretno posledico: tehnična ekipa projektira na podlagi predpostavk, ki jih nihče formalno ni preveril, osebe, odgovorne za dajanje izdelka na trg, pa dobijo dokumente, ki jih je ob inšpekcijskem nadzoru ali ob vprašanjih kupca težko zagovarjati. Zato je treba strošek presojati širše kot zgolj skozi prizmo samega postopka. Tveganje poznejših popravkov zajema krmilne sisteme, zaščite, delovno logiko, navodila, označevanje in vsebino izjave EU o skladnosti. Zato je zgodnejši pregled razvrstitve izdelka lahko cenejši kot poznejše reševanje projekta, tudi če na koncu potrdi, da sodelovanje priglašenega organa ni potrebno.

Tipičen primer zadeva posodobitev linije, ki je bila sprva obravnavana kot običajna integracija obstoječih strojev. Ekipa je modul A sprejela kot naravno izbiro, ker so bili uporabljeni gotovi podsestavi, dobavitelji pa so izjavljali skladnost svojih naprav. Šele pri urejanju dokaznega gradiva se je pokazalo, da je bil dejanski poseg bistveno globlji: spremenjena je bila logika sodelovanja delovnih mest, dodane so bile skupne varnostne funkcije, preoblikovana so bila zaporedja zaustavljanja in zagona, odgovornost za končno delovanje celote pa se je dejansko prenesla na integratorja. Težava torej ni bila v tem, da bi bil priglašeni organ kot tak izpuščen, temveč v sprejetih neusklajenih predpostavkah.

V dokumentaciji je manjkala usklajena analiza tveganja za celoten sistem, manjkala je utemeljitev meja posodobitve, parametri in arhitektura krmilnih sistemov ter varnostna logika pa so bili opisani le delno, predvsem s sklicevanjem na dokumente dobaviteljev komponent. Ko se je pojavilo vprašanje o pravilni poti ocenjevanja skladnosti, se ekipa ni mogla vrniti k obrazcem, temveč k projektu: urediti je morala razvrstitev izdelka, dopolniti dokazno gradivo, včasih pa tudi spremeniti tehnične rešitve. To je bistveno sporočilo takšnih primerov. Sodelovanje priglašenega organa lahko uredi formalno pot in natančneje določi obseg presoje, ne more pa popraviti slabega projekta, nadomestiti skrbne analize tveganja, pravilne izbire zaščitnih ukrepov ali usklajene dokumentacije.

Šele po takšni presoji se je smiselno sklicevati na pravni red. Predpisi, ki veljajo za konkretni izdelek, in zanj predvideni postopki ocenjevanja skladnosti odločajo o tem, ali je sodelovanje priglašenega organa obvezno ali pa je mogoče ostati pri modulu A. Proizvajalec, uvoznik, integrator ali naročnik med tema potema ne izbirajo poljubno, če razvrstitev izdelka in ustrezen pravni akt vodita do drugačne rešitve. Po drugi strani sama prisotnost priglašenega organa ne prenaša odgovornosti za vsebino izjave EU o skladnosti niti za to, ali oznaka CE ustreza dejansko uporabljeni poti ocenjevanja skladnosti. Odgovornost za to ostaja na strani subjekta, ki izdelek daje na trg.

Praktični sklep je preprost. Najcenejša odločitev glede priglašenega organa je tista, ki je sprejeta dovolj zgodaj: po opredelitvi izdelka, po preveritvi obsega posodobitve ali integracije, po oceni kakovosti dokaznega gradiva, vendar še pred zaključkom projekta ter pripravo izjave o skladnosti in označevanja CE. Če se v dokumentaciji pojavijo opozorilni znaki — neusklajen opis meja izdelka, odsotnost enega odgovornega nosilca analize tveganja, pretirano zanašanje na izjave dobaviteljev ali nejasnost glede tega, kdo je odgovoren za celoto varnostnih funkcij — je potreben pregled še pred končno oceno skladnosti. Njegov namen ni formalizem. Gre za to, da pot ocenjevanja skladnosti ustreza dejanskemu izdelku, ne pa predpostavki, sprejeti prezgodaj in ohranjeni zgolj zato, ker je projekt že skoraj dokončan.