Samarbete med ett anmält organ – när det är nödvändigt och när modul A räcker

Frågan om samarbete med ett anmält organ aktualiseras alltför ofta vid fel tidpunkt i projektet. Vanligtvis inte när produktkonceptet och säkerhetslogiken formas, utan först när dokumentationen ska sammanställas, EU-försäkran om överensstämmelse tas fram eller strax före CE-märkningen. Det är då det blir tydligt att problemet inte gäller själva förfarandet, utan tidigare antaganden: produktens klassificering, ansvarsfördelningen, moderniseringens omfattning eller integrationen samt kvaliteten på underlaget. Därför är den rätta frågan inte om man ska “involvera” ett anmält organ, utan när dess medverkan är absolut nödvändig och när tillverkaren kan stanna vid modul A och självständigt försvara hela vägen för bedömning av överensstämmelse.

Det dyraste felet uppstår före granskningen

De mest kostsamma misstagen beror inte på kontakten med det anmälda organet i sig, utan på en felaktig bedömning av situationen i början av projektet. I praktiken blandas ofta tre olika områden ihop: säkerhetskonstruktion, bedömning av överensstämmelse och en tredje parts formella medverkan. De hänger ihop, men är inte samma sak. En maskin kan vara tekniskt väl konstruerad och ändå inte kräva medverkan av ett anmält organ. Å andra sidan omfattas en produkt med komplex arkitektur och förhöjd teknisk risk inte automatiskt av ett sådant förfarande bara för att teamet uppfattar den som “svår”. Om en tredje parts medverkan är nödvändig avgörs av produktens rättsliga klassificering, dess avsedda användning, rimligen förutsebar felanvändning samt rätt förfarande för bedömning av överensstämmelse.

Detta påverkar direkt hur projektet drivs. Frågan om ett anmält organ är underordnad frågan om vad som faktiskt ska släppas ut på marknaden: en maskin, en sammankopplad maskinenhet, en delvis fullbordad maskin eller en annan produkt som omfattas av separata regler. Först när denna grund är fastställd går det att avgöra vilka regler som gäller och vilken väg för bedömning av överensstämmelse som är tillåten. Ändå behandlas modul A i många organisationer alltför tidigt som standardalternativ, redan innan produktens klassificering är avslutad och innan ansvaret för tillverkare, importör eller integratör har klargjorts. Det vänder på den korrekta beslutsordningen.

I praktiken visar sig problemet sällan vid det första samtalet om överensstämmelse. Oftast återkommer det först när det tekniska konceptet redan är låst: den mekaniska konstruktionen är klar, komponenterna beställda, instruktionen framtagen och märkningen planerad. Då visar det sig att den valda vägen för bedömning av överensstämmelse var felaktig eller ofullständig. Följden är inte bara risken för en tvist med marknadskontrollmyndigheten. Betydligt oftare uppstår behov av att bygga om skydd, ändra arkitekturen i styrsystemen, utöka provningarna, korrigera instruktioner, försäkran och märkningar eller bygga upp hela den tekniska argumentationen som motiverar produktens säkerhet på nytt. Då beror kostnaden inte på själva förfarandet, utan på att man måste gå tillbaka till beslut som borde ha fattats tidigare.

För att undvika detta måste fyra frågor avgöras innan det tekniska konceptet låses:

• produktens klassificering och dess avsedda användning,
• vilka regler som är tillämpliga,
• rätt förfarande för bedömning av överensstämmelse,
• om medverkan av ett anmält organ är obligatorisk eller om modul A fortfarande är tillräcklig.

Först en sådan ordning gör det möjligt att bedöma om en självständig bedömning av överensstämmelse är organisatoriskt och juridiskt säker. I polska och europeiska förhållanden handlar det inte om försiktighet för försiktighetens egen skull, utan om att beslutet om överensstämmelse ska vara förankrat i projektet, dokumentationen och det faktiska användningssättet. Modul A är inte utgångspunkten. Den är resultatet av en korrekt genomförd produktklassificering och en korrekt uppbyggd teknisk dokumentation.

Var modul A faktiskt upphör att räcka

Gränsen för modul A går där tillverkaren inte längre självständigt och övertygande kan visa produktens överensstämmelse inom ramen för intern tillverkningskontroll. Det är inte ett “enklare” förfarande och det minskar inte ansvaret. Tvärtom: eftersom ingen tredje part medverkar vilar hela ansvaret för korrekt produktklassificering, val av krav, riskbedömning, val av skyddsåtgärder och sammanställning av underlag på tillverkaren. Modul A är tillräcklig endast när teamet kan visa inte bara att produkten är säker, utan också varför just denna väg för bedömning av överensstämmelse var tillåten för denna produkt, i dess faktiska avsedda användning och konfiguration.

Ur ett konstruktionsperspektiv innebär detta att beslutet om överensstämmelse inte kan skiljas från konstruktionsbesluten. Inom maskinområdet är det inte bara produktens funktion som har betydelse, utan också om den faller inom kategorier som omfattas av särskilda procedurkrav och om tillverkaren faktiskt grundar sin verifiering av överensstämmelse på tekniska lösningar som har valts korrekt utifrån identifierade risker. Det räcker inte att enbart konstatera att lösningarna är “i enlighet med standarder”. Man måste visa att de har valts på rätt grunder, att de är förenliga med riskanalysen och att de faktiskt har införts i konstruktionen, programvaran, styrsystemet och användardokumentationen.

I praktiken blir denna gräns tydligast för produkter med säkerhetsfunktioner som har utformats på ett icke-standardiserat sätt eller som tydligt avviker från lösningar som är allmänt vedertagna i den aktuella branschen. Tillverkaren kan vilja stanna vid intern tillverkningskontroll, eftersom man känner produkten, har ett eget konstruktionsteam och har tagit fram dokumentationen. Problemet uppstår när riskanalysen inte ger ett tillräckligt underlag för valet av skyddsåtgärder, när beskrivningen av säkerhetsfunktionerna inte motsvarar den faktiska styrlogiken och när motiveringen till de avvikelser som har accepterats är ofullständig. I en sådan situation blir det svårt att försvara en självständig väg, även om kravet på att ett anmält organ ska medverka ännu inte direkt följer av ett ovillkorligt procedurkrav.

På samma sätt ser det ut för komplexa produkter som samtidigt omfattas av flera regelverk för överensstämmelse. Att en lösning är tekniskt korrekt avgör då inte i sig om det går att stanna vid modul A. Det har också betydelse hur de olika procedurerna överlappar varandra och vilka villkor som måste uppfyllas inom var och en av dem. Det är just i sådana fall som det är lättast att förväxla processmässig självständighet med en förenkling som dokumentationen senare inte håller för.

• Modul A är tillräcklig när produktklassificeringen, riskanalysen, valet av tekniska lösningar och dokumentationen tillsammans bildar en sammanhängande motivering för överensstämmelse.
• Medverkan av ett anmält organ måste särskilt verifieras när produkten tillhör särskilda kategorier, avviker från vedertagna tekniska lösningar eller samtidigt omfattas av flera regelverk.
• Om teamet inte själv kan försvara att den tekniska dokumentationen är fullständig blir det en organisatorisk risk att hålla fast vid modul A, inte en besparing.

Först mot denna bakgrund behövs den procedurmässiga hänvisningen. Det är de regler som gäller för den aktuella produkttypen som avgör om villkoren för att stanna vid modul A är uppfyllda eller om en tredje part måste medverka. Det avgörs inte av teknisk intuition eller av en uppfattning om att risken “inte är hög”. Därför är frågan om man kan börja med modul A och senare koppla in ett anmält organ ofta helt enkelt ställd för sent. Om konstruktionsvalen och bevisunderlaget inte från början har förberetts med en sådan möjlighet i åtanke, brukar ett senare deltagande av tredje part snarare blottlägga projektets svagheter än undanröja dem.

Beslutet måste byggas in i projektet

Avgörandet om en viss produkt kräver medverkan av ett anmält organ eller om det räcker med intern tillverkningskontroll är ett konstruktionsbeslut. Det bör inte fattas när komponenter beställs eller strax före slutgodkännandet. Rätt tidpunkt är det skede då teamet fortfarande har ett verkligt inflytande över säkerhetsarkitekturen, gränserna för produktens användning, omfattningen av säkerhetsrelaterade funktioner samt hur den tekniska dokumentationen ska byggas upp. Om beslutet skjuts upp till slutet hamnar organisationen vanligtvis i en skenbar besparing: formellt håller man sig till modul A, men produkten utformas som om senare komplettering av brister vore tekniskt neutral. I praktiken är det inte så.

Konsekvenserna är förutsägbara. Att byta väg för bedömning av överensstämmelse sent i projektet innebär oftast att man måste gå tillbaka till grundantagandena, göra en ny riskbedömning, korrigera lösningarna i styrsystemets arkitektur, komplettera saknade bevis och reda ut vem i organisationen som ansvarade för beslutet. Det är just därför det behövs en kort men rigorös intern process som startas innan konceptet låses.

En sådan process behöver inte vara omfattande, men den bör vara entydig. Först måste produkten klassificeras och dess avsedda användning samt användningsgränser fastställas. Därefter ska en förteckning över tillämpliga regler tas fram och en inledande riskanalys genomföras, tillräcklig för att fånga upp kritiska säkerhetsfunktioner och de punkter där konstruktionsval kan bli avgörande för den fortsatta vägen för bedömning av överensstämmelse. Först på denna grund kan ett procedurbeslut fattas: vi stannar vid modul A eller förbereder projektet för medverkan av tredje part i den omfattning som följer av reglerna eller av den valda bevisstrategin.

För att detta beslut ska vara genomförbart krävs en ansvarig och tydliga indata från konstruktion, automation, säkerhet, överensstämmelse och dokumentation. Utan detta återkommer frågan i sämsta möjliga läge: under tidspress inför leverans eller efter synpunkter från kund, importör eller marknadskontrollmyndighet. Då löser organisationen inte längre ett problem med överensstämmelse, utan försöker i efterhand kompensera för att något konstruktionsbeslut aldrig fattades.

• beskrivning av produkten, dess avsedda användning och användningsgränser,
• inledande riskanalys samt identifiering av kritiska säkerhetsfunktioner,
• förteckning över tillämpliga regler och beslut om förfarandet för bedömning av överensstämmelse,
• plan för bevisunderlaget, inklusive leverantörernas och integratörens ansvar.

Det märks tydligt vid moderniseringar, integration av linjer och maskinsystem samt omkonfigurering av maskiner. För en ny produkt är det oftast enklare att fastställa vem som är tillverkare och vem som bär ansvaret för helheten i konceptet. När befintliga system ändras blir situationen mer komplicerad, eftersom man utöver valet av väg för bedömning av överensstämmelse också måste avgöra om ingreppets omfattning skapar ett nytt tillverkaransvar. Om ändringen omfattar styrlogik, säkerhetsfunktioner, hur maskiner samverkar eller den avsedda användningen, är det inte längre självklart att bedöma det som “bara en modernisering”. Då är frågan om ett anmält organ inte en separat formalitet, utan en del av ett bredare beslut om huruvida ändringarnas omfattning kräver en ny bedömning av hela säkerhetskonceptet och om underlaget från leverantörer och integratörer räcker för att kunna försvara slutprodukten.

Om organisationen överväger att samarbeta med ett anmält organ bör det ske med ett tydligt syfte. Det kan handla om att bekräfta att en väg med tredjepartsmedverkan är obligatorisk, att bedöma ett strikt avgränsat område, att strukturera bevisunderlaget eller att minska risken för tvist om de tekniska lösningar som valts. En sådan dialog har bara värde om teamet redan kan visa vilka utgångspunkter man har haft: varför man ansåg att modul A var tillräcklig, vilka tekniska lösningar som valdes, vilka avvikelser som tilläts och vem som godkände dessa beslut. Överensstämmelse kan inte trovärdigt läggas till i efterhand. Den måste utformas parallellt med produkten.

Exempel först, reglerna sedan

Det vanligaste felet är att beslutet om ett anmält organ reduceras till en fråga om kostnaden för förfarandet eller till en vana: “hittills har vi gjort detta enligt modul A”. I praktiken handlar det däremot först och främst om hur produkten klassificeras och om kvaliteten i projektets grundantaganden. Om dessa två delar inte hänger ihop är tvisten om själva förfarandet bara en följd av ett tidigare problem. Ett team som alltför tidigt utgår från att modul A är det självklara valet upptäcker vanligtvis bristen först när den tekniska dokumentationen ska sammanställas, när EU-försäkran om överensstämmelse ska förberedas eller vid granskningen inför CE-märkning. Då visar det sig att det inte är extern bekräftelse som saknas, utan kontinuitet i motiveringen.

För projektet innebär detta en mycket konkret konsekvens: det tekniska teamet projekterar utifrån antaganden som ingen formellt har verifierat, och de personer som ansvarar för att släppa ut produkten på marknaden får dokument som är svåra att försvara vid en kontroll eller vid frågor från kunden. Därför måste kostnaden bedömas bredare än enbart utifrån själva förfarandet. Risken för senare korrigeringar omfattar styrsystem, skydd, arbetslogik, instruktioner, märkning och innehållet i EU-försäkran om överensstämmelse. Av den anledningen är en tidig granskning av produktens klassificering ibland billigare än att rädda projektet i efterhand, även om den i slutänden bekräftar att medverkan av ett anmält organ inte krävs.

Ett typiskt exempel gäller modernisering av en linje, som inledningsvis behandlades som en vanlig integration av befintliga maskiner. Teamet utgick från modul A som ett naturligt val, eftersom man använde färdiga komponenter och leverantörerna deklarerade att deras utrustning uppfyllde kraven. Först när bevisunderlaget skulle struktureras blev det tydligt att det faktiska ingreppet var betydligt mer långtgående: logiken för stationernas samverkan ändrades, gemensamma säkerhetsfunktioner lades till, sekvenser för stopp och start byggdes om, och ansvaret för helhetens slutliga beteende hade i praktiken förskjutits till integratören. Problemet bestod alltså inte i att ett anmält organ som sådant hade utelämnats, utan i att man hade utgått från antaganden som inte var samstämmiga.

I dokumentationen saknades en sammanhållen riskanalys för hela systemet, det saknades en motivering till gränserna för moderniseringen, och parametrar samt arkitektur för säkerhetsfunktionerna beskrevs fragmentariskt, främst genom hänvisningar till dokument från komponentleverantörer. När frågan om rätt väg för bedömning av överensstämmelse väl uppstod, behövde teamet inte gå tillbaka till formulären utan till projektet: reda ut produktens klassificering, komplettera bevisunderlaget och ibland ändra de tekniska lösningarna. Det är den viktigaste lärdomen från sådana fall. Medverkan av ett anmält organ kan strukturera den formella processen och precisera bedömningens omfattning, men den kan inte reparera ett svagt projekt, inte ersätta en tillförlitlig riskanalys, ett korrekt val av skyddsåtgärder eller en sammanhållen dokumentation.

Först efter en sådan genomgång är det meningsfullt att hänvisa till den rättsliga ordningen. Det är de regler som gäller för den aktuella produkten och de förfaranden för bedömning av överensstämmelse som föreskrivs för den som avgör om medverkan av ett anmält organ är obligatorisk eller om man kan stanna vid modul A. Varken tillverkare, importör, integratör eller kund väljer fritt mellan dessa vägar om produktens klassificering och den tillämpliga rättsakten leder till en annan lösning. Å andra sidan innebär inte själva närvaron av ett anmält organ att ansvaret för innehållet i EU-försäkran om överensstämmelse eller för att CE-märkningen motsvarar den faktiska vägen för bedömning av överensstämmelse övergår till någon annan. Ansvaret ligger kvar hos den aktör som släpper ut produkten på marknaden.

Den praktiska slutsatsen är enkel. Det billigaste beslutet när det gäller ett anmält organ är ett beslut som fattas tidigt: efter att produkten har klassificerats, efter att omfattningen av moderniseringen eller integrationen har kontrollerats, efter att kvaliteten på bevisunderlaget har bedömts, men innan projektet avslutas och bedömningen av överensstämmelse, CE-märkningen samt försäkran om överensstämmelse sammanställs. Om det finns varningssignaler i dokumentationen — motstridiga beskrivningar av produktens gränser, avsaknad av en tydlig ansvarig för riskanalysen, alltför stort beroende av leverantörsdeklarationer eller oklarhet kring vem som ansvarar för säkerhetsfunktionerna som helhet — behövs en genomgång redan före den slutliga bedömningen av överensstämmelse. Syftet är inte formalism. Det handlar om att vägen för bedömning av överensstämmelse ska motsvara den faktiska produkten, och inte ett antagande som fastställdes för tidigt och hålls kvar enbart därför att projektet redan är nästan färdigt.