Risk Score-metoden: når tallet hjælper og snyder

Betyder et resultat på 99 efter Risk Score-metoden, at maskinen er sikker?

Nej.

Betyder det, at maskinen er farlig?

Heller ikke altid.

Og lige dér starter problemet med en af de mest brugte metoder til risikovurdering af maskiner. Metoden er nem at vise på et kursus. Nem at putte i et regneark. Nem at farvelægge. Man vælger værdier, lægger sammen eller ganger, sætter grænser for lav, middel og høj risiko, og til sidst står der et tal, som ser meget teknisk ud.

Men hvad siger tallet egentlig?

Hvis du ikke kan forklare, hvor det kommer fra, siger det næsten ingenting.

Et Risk Score-resultat er ikke en måling af risiko. Det er ikke temperatur målt med et termometer. Det er ikke vægt på en kalibreret vægt. Det er et spor efter, hvordan vurderingsteamet har forstået en konkret farlig situation: hvor alvorlig skaden kan blive, hvor ofte et menneske er eksponeret, hvor sandsynlig en farlig hændelse er, og om personen reelt har mulighed for at undgå skade.

Forskellen mellem en god metode og en flot tabel ligger ikke i farverne. Den ligger i definitionerne.

Risk Score-metoden starter med scenariet – ikke tallet

Den dårligste måde at bruge Risk Score-metoden på?

At skrive en fare og straks begynde at regne.

Fare: bevægelige dele.

S = 3. F = 4. O = 3. A = 5. Resultat: 15, 60 eller 180 – alt efter hvilken variant virksomheden bruger.

Men det er ikke en risikovurdering. Det er gætteri i en tabel.

ISO 12100 kræver et tidligere trin. Først skal vi forstå, hvad vi faktisk vurderer. Selve faren er ikke nok. En roterende kniv er en fare, ja. Men risikoen opstår først, når et menneske kan befinde sig i en situation, hvor kniven kan forårsage skade.

Derfor skal de praktiske spørgsmål stilles, før der sættes point:

Hvem er eksponeret? Operatøren? Vedligeholdsteknikeren? Rengøringspersonalet? En servicetekniker? En person, der bare passerer maskinen?

Hvornår er personen eksponeret? Under normal drift? Ved rengøring? Ved indstilling? Ved fjernelse af fastklemte emner? Ved prøvekørsel efter justering? Med åben afskærmning? Ved standset maskine, men med oplagret energi i systemet?

Hvad kan ske? Uventet opstart? Tab af kontrol over emnet? Indtrækning af ærme? Brud på slange? Udkast af materiale? Fald af tung komponent? Indtræden i fareområdet, før bevægelsen er stoppet?

Hvilken skade kan opstå? Snitsår? Knoglebrud? Knusning af fingre? Amputation? Død? Høretab efter mange års drift? Luftvejssygdom på grund af støv?

Først dér giver det mening at vurdere.

Risk Score-metoden bør ikke bedømme overskriften “bevægelige dele”. Den bør bedømme et konkret scenarie:

• Operatøren fjerner et stop i indføringszonen ved delvist åben afskærmning, og farlig bevægelse kan opstå ved genstart.
• Vedligeholdsteknikeren justerer en føler ved et drev, og aktuatoren kan lave en pludselig bevægelse, når trykket kommer tilbage.
• Operatøren indfører manuelt et emne i værktøjszonen, og emnet kan blive grebet og trække hånden mod en roterende del.

Det er scenarier. Og først for scenarier begynder et Risk Score-resultat at have betydning.

Den samme maskine kan have flere helt forskellige resultater for den samme farekilde. Hvorfor? Fordi opgaven er forskellig. Personen er forskellig. Eksponeringen er forskellig. Muligheden for at undgå skade er forskellig. Maskinens tilstand er forskellig. Beskyttelsesforanstaltningerne er forskellige.

Tag et enkelt eksempel. En bevægelig del sidder bag en fast afskærmning. Under normal drift har operatøren ikke adgang. Eksponeringen er minimal eller findes næsten ikke. Men under vedligehold fjernes afskærmningen. Teknikeren har hænderne tæt på drevet. Nogle gange skal mekanismen drejes manuelt. Nogle gange kan en anden person genindkoble energien. Nogle gange står der stadig energi i systemet.

Er det stadig samme Risk Score-resultat?

Det bør det ikke være.

Faren kan være den samme. Den farlige situation er ikke den samme.

Rækkefølgen er derfor afgørende: først scenariet, så parametrene, til sidst resultatet. Ikke omvendt.

Risk Score-metoden og ISO 12100: ingen magisk formel

Siger ISO 12100, hvordan Risk Score-metoden skal beregnes?

Nej.

Og det er vigtigt.

ISO 12100 siger ikke, at parametre skal lægges sammen. Standarden siger ikke, at de skal ganges. Den siger ikke, at skalaen skal være fra 1 til 5. Den siger heller ikke, at alt over 100 skal være rødt.

ISO 12100 siger noget vigtigere: Risiko afhænger af skadens alvorlighed og sandsynligheden for, at skaden opstår.

Den sandsynlighed er ikke én tilfældig mavefornemmelse. Den kan afhænge af, hvor ofte personen er eksponeret for faren, om en farlig hændelse kan opstå, og om personen teknisk og praktisk har mulighed for at undgå eller begrænse skaden.

Derfor ser man forskellige versioner i praksis. Nogle virksomheder bruger to parametre: skadens alvorlighed × sandsynlighed. Andre bruger tre: alvorlighed × eksponering × sandsynlighed. Andre igen deler sandsynligheden op i flere elementer: skadens alvorlighed, eksponeringsfrekvens, mulighed for farlig hændelse og mulighed for at undgå skade.

Er det automatisk i konflikt med ISO 12100?

Nej. Ikke hvis metoden stadig vurderer det, den skal: skadens mulige alvorlighed og sandsynligheden for, at skaden opstår.

Hvis du deler sandsynlighed op i eksponering, farlig hændelse og mulighed for at undgå skade, kan det være stærkt. Hvis parametrene er klart defineret, kan det være stærkt. Hvis samme logik bruges før og efter risikonedsættelse, kan det være stærkt. Hvis du kan vise, hvad den valgte beskyttelsesforanstaltning faktisk ændrede, kan det være stærkt.

Men hvis parametre er tilføjet, fordi “sådan stod det i Excel-arket”, er der et problem.

Hvis eksponering én dag betyder antal adgangssituationer pr. uge og næste dag betyder vurderingsteamets løse indtryk, er der et problem.

Hvis mulighed for at undgå skade afhænger af, om nogen tror på operatørens reflekser, er der et problem.

Hvis man efter montering af afskærmning sænker skadens alvorlighed, selv om kontakt med det samme værktøj stadig vil give samme alvorlige skade, er der også et problem.

Metoden er ikke god, fordi den har fire kolonner. Den er ikke god, fordi den har en formel. Den er ikke god, fordi resultatet får en farve.

Den er god, når den hjælper teamet med ærligt at svare på spørgsmålet: Hvad ændrede sig faktisk i risikoen?

Numerisk pointgivning i ISO/TR 14121-2: eksempel, ikke facitliste

Når ISO 12100 ikke giver en beregningsformel, hvor kommer pointmetoden så fra?

Fra praksis. Og fra hjælpedokumenter, der viser eksempler på værktøjer til risikoskøn.

ISO/TR 14121-2 beskriver blandt andet risikomatrix, risikograf, numerisk pointgivning og hybride metoder. Det er en vigtig skelnen. ISO 12100 fastlægger processen for risikovurdering. ISO/TR 14121-2 viser eksempler på, hvordan processen kan gennemføres i praksis.

Numerisk pointgivning er altså ikke den eneste rigtige metode. Det er heller ikke en obligatorisk standardberegner. Det er et eksempel på en tilgang, hvor risikoparametre får talværdier, som bagefter kombineres til et resultat.

Det lyder enkelt.

Ja. Og netop derfor er metoden populær.

På kursus fungerer den godt. I et regneark virker den med det samme. I en rapport ser den teknisk ud. I en tabel skaber den orden.

Men en talbaseret metode er ikke god, fordi den giver et tal. Den er god, når tallet fører tilbage til antagelserne.

Hvis skaden kan være meget alvorlig, og sandsynligheden også er høj, bliver resultatet højt. Det overrasker ingen. Det vigtige spørgsmål er: Hvorfor blev skaden vurderet som meget alvorlig? Hvorfor blev sandsynligheden vurderet som høj? Handler det om daglig adgang? Hyppige stop? Mulighed for at omgå afskærmningen? Pludselig bevægelse uden reaktionstid?

Uden den forklaring ligner resultatet en analyse. Men det bærer ingen viden.

Man kan se eksempler, hvor resultatet bliver 175 point og klassificeres som høj risiko. Betyder 175, at nogen har målt risikoen med en præcision på ét point?

Nej.

Det betyder, at situationen med den valgte skala, de valgte grænser og de valgte definitioner lander i klassen høj risiko. Det er fair. Problemet starter, når nogen behandler 175 som en laboratoriemåling. Eller endnu værre: sammenligner 99 fra én virksomhed med 99 fra en anden, selv om skalaer, grænser og definitioner er forskellige.

Så holder tallet op med at skabe orden. Det begynder at lade som om, der findes et fælles sprog, som i virkeligheden ikke findes.

Parametre i Risk Score-metoden: her starter fejlene

I praksis reduceres Risk Score-metoden ofte til korte koder.

S. F. O. A.

Eller S. E. P. A.

Eller noget tredje, afhængigt af virksomhed, kursus, regneark eller software.

Koderne er ikke problemet. Problemet starter, når teamet ikke kan forklare, hvad parametrene præcist betyder.

Hvis S betyder skadens alvorlighed, skal I beslutte, hvilken skade I vurderer. Den mest sandsynlige? Den værste mulige? Den værste, som med rimelighed kan forudses i det konkrete scenarie?

Hvis F eller E betyder frekvens eller eksponering, skal I beslutte, om I ser på normal drift, rengøring, indstilling, vedligehold, fjernelse af stop – eller alle de situationer, hvor en person reelt kan komme ind i fareområdet.

Hvis O eller Pr handler om mulighed for en farlig hændelse, skal I beslutte, hvad hændelsen er. Teknisk fejl? Menneskelig fejl? Omgåelse af afskærmning? Tab af kontrol over emnet? Uventet opstart?

Hvis A eller Av handler om mulighed for at undgå skade, skal I holde op med at lade som om “operatøren passer på” er en beskyttelsesforanstaltning.

Den tabel er vigtigere end selve formlen.

Formlen behandler kun værdierne. Værdierne kommer fra menneskelige beslutninger. Hvis definitionerne er svage, bliver Risk Score-resultatet svagt, selv om regnearket ser professionelt ud. Hvis definitionerne er gode, kan selv en simpel pointmetode føre til en seriøs samtale om risiko.

Så diskuterer teamet ikke, om man skal give 3 eller 4 for at få et pænere resultat. Teamet diskuterer scenariet: Er operatøren virkelig eksponeret dagligt? Kan hændelsen opstå pludseligt? Begrænser afskærmningen adgangen, eller flytter den bare problemet til rengøring? Har beskyttelsesforanstaltningen ændret eksponering, sandsynlighed, mulighed for at undgå skade – eller kun farven i tabellen?

Først dér gør metoden det, den skal. Den erstatter ikke tænkning. Den strukturerer den.

Kan forskellige versioner af Risk Score-metoden være rigtige?

Ja.

På én betingelse: De må ikke tabe meningen med risikovurderingen.

ISO 12100 kræver ikke én bestemt formel. Standarden kræver, at risikovurderingen tager højde for skadens alvorlighed og sandsynligheden for, at skaden opstår. Derfor kan flere varianter være teknisk forsvarlige, hvis de er defineret, konsekvente og anvendt med samme logik før og efter risikonedsættelse.

At en metode har en anden formel, gør den ikke forkert. Den bliver forkert, når ingen ved, hvad parametrene betyder. Den bliver forkert, når slutresultatet erstatter scenariet. Den bliver forkert, når teamet ændrer tal efter en beskyttelsesforanstaltning, men ikke kan forklare, hvilket element i risikoen der faktisk ændrede sig.

Pointen er ikke, at alle virksomheder skal regne ens. Pointen er, at de skal regne bevidst.

Hvorfor det endelige resultat ikke er nok

I praksis ender Risk Score-metoden alt for ofte med ét ord.

Lav. Middel. Høj.

Eller ét tal.

Men et tal fortæller ikke alene, hvilket problem der ligger foran os.

I SafetySoftware bør Risk Score-resultatet ikke kun vise slutværdien. Det bør vise bestanddelene. Brugeren vælger værdier for parametrene, og systemet viser, hvordan risikotallet er opstået.

Eksempel:

• S = 2 — alvorlig, men reversibel skade
• F = 3 — eksponering forekommer af og til
• O = 3 — farlig hændelse er mulig
• A = 3 — mulighed for at undgå skade er mulig

Resultat: 2 + 3 + 3 + 3 = 11. Kategori: middel risiko.

Det kan være helt i orden. Men det vigtigste er ikke tallet 11. Det vigtigste er, at man kan se, hvor det kommer fra.

Matematisk er resultatet det samme. Teknisk er det tre helt forskellige samtaler.

I første tilfælde bør man spørge, om en beskyttelsesforanstaltning kan begrænse eksponering eller mindske sandsynligheden for den farlige hændelse. I andet tilfælde må man ikke overse skadens alvorlighed, bare fordi summen ser moderat ud. Hvis mulig skade er dødelig, skal de lave værdier for de øvrige parametre være ekstremt godt begrundet. I tredje tilfælde ligger problemet måske ikke i alvorligheden, men i konstant eksponering for mindre, gentagne skader eller belastninger.

Forestil dig også: 4 + 1 + 1 + 1 = 7.

I mange tabeller ender det som lav risiko. På overfladen ser det pænt ud. Sjælden eksponering. Lav sandsynlighed. Mulighed for at undgå skade.

Men S = 4 betyder død eller katastrofale følger.

Så det praktiske spørgsmål er brutalt: Er vi virkelig klar til at acceptere risikoen, bare fordi summen blev lav?

Hvis nogen kalder en mulig dødsulykke for lav risiko, skal de kunne forklare de øvrige parametre uden at ryste på hånden. Er eksponeringen virkelig sporadisk? Er hændelsen virkelig så usandsynlig? Har personen virkelig mulighed for at undgå konsekvensen?

Slutkategorien kan bedøve opmærksomheden. Det er farligt.

Omvendt findes situationer, hvor retningen er næsten åbenlys. Hvis resultatet er 2 + 5 + 4 + 3 = 14, er hovedproblemet ikke skadens alvorlighed. Hovedproblemet er, at personen er eksponeret meget ofte, og at den farlige hændelse er forholdsvis sandsynlig. Hvis operatøren flere gange pr. skift skal have hånden ind i fareområdet, giver løsningen sig ofte selv: Fjern behovet for adgang. Brug automatisk indføring. Flyt justeringspunktet ud af fareområdet. Monter afskærmning med blokering.

Her behøver man ikke dyrke matematikken længe. Man kan se, hvilken parameter der skal forbedres, og hvilken beskyttelsesforanstaltning der sandsynligvis giver størst effekt.

Risk Score-metoden i SafetySoftware: tallet skal kunne forsvares

I Excel kan man beregne hvad som helst. Kolonner for S, F, O og A. Værdier. Formel. Farver. En tabel, der ser professionel ud.

Men problemet i risikovurdering er sjældent, at nogen ikke kan lægge fire tal sammen. Problemet er, om nogen efter en måned, et år eller en ulykke kan svare på det enkle spørgsmål:

Hvorfor blev netop de værdier valgt?

Hvorfor blev skadens alvorlighed sat til 2 og ikke 4? Hvorfor blev eksponeringen kaldt “af og til”, når operatøren fjerner stop flere gange pr. skift? Hvorfor blev mulighed for at undgå skade vurderet som mulig, når bevægelsen starter pludseligt? Hvorfor blev skadens alvorlighed sænket efter montering af afskærmning i stedet for eksponeringen?

Det er her, Risk Score-metoden har brug for disciplin.

I SafetySoftware bør tallet hænge sammen med hele scenariet:

• hvilken fare der vurderes,
• hvilken maskinzone det handler om,
• hvilken opgave der udføres,
• hvem der er eksponeret,
• hvilken farlig hændelse der kan opstå,
• hvilken skade der kan blive resultatet,
• hvilke parameterværdier der er valgt,
• hvilket resultat der opstår før risikonedsættelse,
• hvilke beskyttelsesforanstaltninger der er valgt,
• hvilket resultat der opstår efter risikonedsættelse,
• hvilken restrisiko der stadig findes.

Først dér begynder tallet at arbejde. Ikke som pynt i rapporten. Ikke som en farve i tabellen. Ikke som argumentet “det blev middel, så vi er færdige”. Men som en del af en teknisk beslutning.

Det er især vigtigt efter beskyttelsesforanstaltninger.

Monterer du en fast afskærmning, ændrer skadens alvorlighed sig normalt ikke. Kontakt med den skærende del kan stadig give alvorlig skade. Det, der ændrer sig, er eksponeringen: personen har ikke længere fri adgang under normal drift.

Monterer du en blokerende afskærmning, kan sandsynligheden for en farlig hændelse ændre sig, fordi åbning af afskærmningen skal stoppe den farlige bevægelse.

Sænker du hastigheden i indstillingstilstand, kan mulighed for at undgå skade ændre sig, fordi personen får mere tid til at reagere.

Ændrer du konstruktionen og fjerner et knusepunkt, kan skadens alvorlighed ændre sig – eller faren kan være elimineret.

Det er forskellen på en god risikovurdering og ren pointflytning. I en god risikovurdering sænker vi ikke resultatet, fordi “der er tilføjet sikkerhed”. Vi viser, hvilket element i risikoen der faktisk blev ændret.

Hvornår hjælper Risk Score-metoden, og hvornår snyder den?

Risk Score-metoden hjælper, når den tvinger teamet til at strukturere tænkningen.

Den hjælper, når mange farlige situationer skal sammenlignes. Den hjælper, når prioriteringer skal besluttes. Den hjælper, når forskellen mellem før og efter risikonedsættelse skal dokumenteres. Den hjælper, når den viser, at problemet ikke altid er skadens alvorlighed. Nogle gange er problemet hyppig eksponering. Nogle gange er det mulighed for at omgå en afskærmning. Nogle gange er det manglende reaktionstid. Nogle gange er det, at operatøren tvinges til at arbejde et sted, hvor vedkommende aldrig burde være.

Men metoden snyder, når den erstatter tænkning.

Den snyder, når værdier skrives ind uden scenarie. Den snyder, når teamet ikke forstår parametrene. Den snyder, når slutresultatet behandles som bevis for sikkerhed. Den snyder, når tal sænkes efter en beskyttelsesforanstaltning, bare så farven bliver pænere. Den snyder, når en lav sum dækker over en meget alvorlig mulig skade. Den snyder, når “mulighed for at undgå skade” bygger på troen på operatørens reflekser. Den snyder, når “lav sandsynlighed” kun betyder, at der endnu ikke har været en ulykke.

Derfor kræver Risk Score-metoden disciplin. Ikke stor matematik. Disciplin.

Navngiv scenariet. Definér parametrene. Brug samme logik før og efter risikonedsættelse. Kontroller, om beskyttelsesforanstaltningen faktisk ændrede risikoen, eller om den bare gjorde tabellen grønnere. Og efterlad dokumentation, som kan forstås uden den person, der skrev den.

For en god risikovurdering skrives ikke kun til dagen, hvor rapporten underskrives. Den skrives også til dagen, hvor nogen spørger: Hvorfor mente I, at risikoen var reduceret tilstrækkeligt?

Konklusion: tallet er ikke målet

Risk Score-metoden er populær, fordi den er enkel. Det er dens styrke.

Men enkelheden er også fælden. Det er alt for let at forveksle beregning med risikovurdering. Let at forveksle farver med beslutninger. Let at forveksle resultatet med dokumentation.

ISO 12100 handler ikke om, at tabellen skal se godt ud. Den handler om, at producenten kan vise, at farer er identificeret, risiko er vurderet, beskyttelsesforanstaltninger er valgt, effekten af risikonedsættelse er kontrolleret, og restrisiko er beskrevet.

Risk Score-metoden kan hjælpe meget med det. Men kun hvis den ikke begynder at leve sit eget liv.

Et resultat på 11, 14 eller 99 fortæller ikke alene, om en maskine er sikker. Det fortæller kun, at bestemte værdier er valgt. Først når du kan forklare, hvor værdierne kommer fra, får tallet betydning.

Derfor er det vigtigste spørgsmål ikke: Hvilket resultat kom der ud?

Det vigtigste spørgsmål er: Kan du forsvare de værdier, der førte til resultatet?

Hvis ja, hjælper metoden.

Hvis nej, udgiver den sig bare for at være orden.