Postoji zona u koju operater može posegnuti rukom.
Postoji pokretni element koji može zahvatiti šaku.
Postoji radnja koju će netko stvarno raditi: uklanjanje zastoja, čišćenje, podešavanje, provjera nakon zaustavljanja.
A onda se u tablici pojavi zapis: preostali rizik — informacija u uputama — ne stavljati ruke.
Na papiru izgleda uredno. Opasnost je opisana. Rizik je imenovan. Upute su dopunjene. Samo što u sigurnosti strojeva takav zapis vrlo često ne rješava temu, nego je samo prekrije.
Preostali rizik nije ladica u koju se ubacuje sve što nije riješeno u projektu. Nije ni način da se odgovornost proizvođača prebaci na korisnika. To je rizik koji ostaje nakon odrađenog projektantskog posla: nakon provjere može li se opasnost ukloniti konstrukcijski, nakon odabira tehničkih zaštitnih mjera i nakon procjene smanjuju li ta rješenja stvarno izloženost čovjeka.
Tek tada se pošteno može reći: ovdje nešto još ostaje i korisnik to mora znati.
U praksi se ta granica često zamuti. Proizvođač kaže: „opisali smo u uputama”. Integrator kaže: „korisnik mora obučiti ljude”. Korisnik čuje: „to je sada vaša organizacija rada”. A ISO 12100 i Uredba (EU) 2023/1230 o strojevima postavljaju redoslijed vrlo jasno: prvo projekt, zatim zaštitne mjere, a tek na kraju informacija.
Isti se problem danas vraća kod strojeva povezanih na mrežu. Daljinski pristup, servisni računi, konfiguracija upravljača, ažuriranja i podaci nisu samo stvar IT odjela korisnika ako mogu utjecati na sigurnost stroja. Ni tu nije dovoljno napisati: „korisnik mora zaštititi mrežu”. Proizvođač mora isporučiti stroj koji od početka uzima u obzir takve rizike.
Zato pravo pitanje nije: je li se upozorenje pojavilo u uputama.
Pravo pitanje glasi: što je proizvođač napravio prije nego što je to upozorenje tamo upisao?
Preostali rizik nije slobodno polje u tablici
U ISO 12100 vrijedi zastati kod jedne slike. Ne kod same definicije, ne čak ni kod metode od tri koraka, nego kod prikaza smanjenja rizika iz perspektive projektanta. Ta slika vrlo dobro slaže odgovornosti.
Prvo postoji rizik povezan sa strojem. Zatim dolazi doprinos projektanta. Nakon toga ostaje preostali rizik nakon primjene zaštitnih mjera projektanta. Zatim dolazi doprinos korisnika. Tek na kraju govorimo o preostalom riziku nakon primjene svih zaštitnih mjera.
To nije ukrasni dijagram za prezentaciju. To je granica koju se ne smije brisati.
Na strani projektanta su konstrukcijska rješenja koja su sama po sebi sigurna, tehničke zaštitne mjere, dopunske zaštitne mjere i informacija za uporabu. Na strani korisnika pojavljuju se organizacija rada, postupci, nadzor, sustavi dozvola za rad, dodatne tehničke mjere, osobna zaštitna oprema i osposobljavanje.
To znači da preostali rizik stvarno leži na dodiru proizvođača i korisnika, ali ne u smislu da svatko može tamo upisati što mu odgovara. Proizvođač ne smije u tu zonu gurnuti opasnost koju nije htio riješiti konstrukcijski. Korisnik ne smije glumiti da upute i osposobljavanje nisu važni ako je proizvođač pošteno opisao rizike koje se nije moglo ukloniti na strani projekta.
Upravo zato izraz preostali rizik zna biti opasan. Zvuči tehnički, pa lako prekrije izostanak projektantske odluke. Netko vidi točku zahvata. Netko zna da će operater uklanjati zastoje. Netko zna da pri čišćenju treba rukom ući blizu pokretnog elementa. I svejedno se u tablici pojavi: „preostali rizik — ne stavljati ruke”.
Takav zapis još ne dokazuje da imamo preostali rizik. Dokazuje samo da je netko problem tako nazvao.
Ako se taj pojam želi koristiti pošteno, mora se pokazati put do zaključka. Što je napravljeno u konstrukciji? Je li se mogla promijeniti geometrija, udaljenost, energija, brzina, pristup ili način podešavanja? Koji su štitnici, blokade, zaključavanje, načini rada ili sigurnosne funkcije razmotreni? Zašto dio rizika stvarno mora biti opisan korisniku?
Tek takav odgovor diže temu s razine „upisali smo u upute” na razinu procjene rizika u skladu s ISO 12100. Norma jasno daje prednost mjerama koje se primjenjuju u fazi projektiranja, jer u pravilu djeluju pouzdanije od mjera koje ovise o ponašanju korisnika. ISO/TR 14121-2 dodatno naglašava da informacija za korisnika mora voditi prema pravilnoj i sigurnoj uporabi stroja te upozoravati na rizike koji ostaju nakon smanjenja kroz projekt i zaštite.
Postupci, osposobljavanje i LOTO imaju svoje mjesto. Ali ne služe za spašavanje onoga što proizvođač nije odradio u konstrukciji. Inače ne govorimo o preostalom riziku. Govorimo o riziku ostavljenom korisniku.
Tri situacije u kojima preostali rizik postaje zgodan alibi
Preostali rizik i rečenica: ne stavljati ruke
Pogledajmo jednostavnu situaciju.
Stroj ima pokretni element. Operater može posegnuti u njegovu blizinu pri uklanjanju zastoja, čišćenju, ručnom dodavanju komada ili podešavanju. U procjeni rizika pojavljuje se opasnost zahvaćanja. U stupcu sa zaštitnim mjerama stoji: „upozorenje u uputama”. A u uputama piše: „ne stavljati ruke u radno područje stroja”.
Zvuči poznato?
Na prvi pogled dokument je popunjen. Opasnost postoji. Rizik postoji. Upozorenje postoji. Samo što sigurnost stroja ne znači da je svako prazno mjesto u tablici dobilo nekakav tekst. Pitanje je drugo: što se dogodilo prije tog upozorenja?
Je li netko pokušao ukloniti točku zahvata promjenom geometrije? Je li ograničena sila, brzina ili energija gibanja? Je li se podešavanje moglo premjestiti izvan opasne zone? Je li predviđen način rada za podešavanje sa smanjenim rizikom? Jesu li odabrani štitnik, blokada, zaključavanje, upravljanje uz stalno držanje komande ili uređaj za odobrenje? Je li provjereno kako će operater stvarno uklanjati zastoj, a ne kako bi to trebao raditi u idealnim uputama?
Ako je odgovor: „ne, ali napisali smo da ne stavlja ruke”, onda još ne razgovaramo o preostalom riziku. Razgovaramo o riziku koji je tako nazvan jer je to bilo najlakše.
Tu se vraćamo na logiku ISO 12100. Doprinos projektanta i doprinos korisnika nisu ista stvar. Zajedničko ne znači neodređeno. Zajedničko ne znači: proizvođač napiše upozorenje, a korisnik će se već nekako snaći. Zajedničko znači: proizvođač pokazuje što je napravio na svojoj strani, što se nije moglo ukloniti i koje informacije predaje korisniku, a korisnik organizira rad u skladu s tim informacijama.
Preostali rizik kod pristupa, podesta i održavanja
Drugi primjer često se ne povezuje odmah s procjenom rizika stroja, ali bi trebao.
Zamislimo stroj na kojem se filtar mijenja svaki tjedan. Senzor se čisti pri svakoj promjeni formata. Točka podmazivanja nalazi se dva metra iznad poda. Neki element treba povremeno izvaditi iz unutrašnjosti stroja. Proizvođač u uputama napiše: „radnje izvoditi uz poštivanje pravila zaštite na radu i koristiti odgovarajuća sredstva pristupa”.
U redu. Ali koja sredstva pristupa?
Ljestve iz hale? Podest koji će dovući održavanje? Penjanje na okvir stroja? Stajanje na konstrukcijskom profilu jer „tako uvijek radimo”? Ili operater jednom rukom drži štitnik, drugom odvija element, a trećom — koju nema — pazi na alat?
To je trenutak u kojem teorija udara u pod proizvodnje. Ako proizvođač predviđa redovitu radnju posluživanja, održavanja, čišćenja ili podešavanja, mora pitati: kako će čovjek tamo sigurno doći, gdje će stati i kako će obaviti posao bez improvizacije?
Ne znači svaka radnja na visini da proizvođač mora izgraditi veliki servisni most. Ali ne smije se otići ni u drugu krajnost i praviti se da je pristup mjestu čestog održavanja isključivo problem korisnika. ISO 12100 upućuje da bi se rutinske radnje posluživanja, podešavanja i održavanja trebale izvoditi s razine poda ako je to moguće. Ako nije moguće, treba predvidjeti siguran pristup: podeste, stepenice, prolaze, ograde ili druga rješenja. Tu se pojavljuje i serija ISO 14122 za stalna sredstva pristupa strojevima.
I tu stvar postaje zanimljiva.
Ako postoji tehnička mjera koja omogućuje sigurnu redovitu zamjenu, regulaciju ili održavanje, zašto odmah pretpostavljamo da korisnik mora sve riješiti organizacijski? Zašto stalni podest nije predviđen u projektu? Zašto upute zahtijevaju tjednu radnju na teško dostupnom mjestu, ali projekt ne daje čovjeku sigurno radno mjesto? Zašto proizvođač opisuje radnju, a ne projektira uvjete za njezino izvođenje?
To nisu akademska pitanja. To su pitanja s preuzimanja stroja, audita i proizvodne hale. Ako korisnik mora redovito obavljati neku radnju, pristup tom mjestu nije dodatak. On je dio sigurnosti stroja ili barem dio instalacijskih zahtjeva koje proizvođač mora jasno odrediti.
Inače se opet pojavljuje zgodna kratica: „preostali rizik — korisnik mora koristiti odgovarajuća sredstva pristupa”. Takva rečenica često ne opisuje preostali rizik. Ona opisuje izostanak projektantske odluke.
Preostali rizik, daljinski pristup i kibernetička sigurnost
Treći primjer izgleda modernije, ali mehanizam je isti.
Stroj ima daljinski pristup. Ima upravljač, HMI, industrijsko računalo, servisne račune, mogućnost ažuriranja, prijenos podataka, ponekad i vezu s nadređenim sustavom. Proizvođač kaže: „korisnik mora zaštititi mrežu”. IT odjel dobije temu nakon preuzimanja. Održavanje želi da se servis može brzo spojiti. Proizvodnja želi da stroj radi. Svatko ima svoje razloge.
Ali postavimo jednostavno pitanje: može li narušavanje tog sloja utjecati na sigurnost stroja?
Ako daljinski pristup omogućuje promjenu parametara, načina rada, logike upravljanja, konfiguracije HMI ili podataka važnih za sigurnosne funkcije, to nije samo stvar tvorničkog vatrozida. Ako stroj dolazi korisniku sa zadanim lozinkama, nejasnim računima, otvorenim daljinskim pristupom ili nedorečenim postupkom ažuriranja, teško je reći da cijeli rizik kibernetičke sigurnosti leži na korisniku.
Korisnik naravno ima svoje obveze. Mora upravljati mrežom, računima, pristupima, sigurnosnim kopijama, ažuriranjima, segmentacijom i postupcima promjena. Ali proizvođač ne može isporučiti stroj u stanju „nekako ćete vi to zaštititi” i nazvati to preostalim rizikom. Posebno nakon Uredbe (EU) 2023/1230 o strojevima, koja kibernetičku sigurnost približava sigurnosti strojeva kada narušavanje hardvera, softvera ili podataka može dovesti do opasne situacije.
I ovdje vrijedi isti redoslijed: prvo projekt, zatim tehničke mjere, a tek onda informacija za korisnika. Ne obrnuto.
Zato se u sva tri primjera — kod zahvaćanja, podesta i kibernetičke sigurnosti — treba vratiti na jedno pitanje: je li proizvođač stvarno smanjio rizik ili ga je samo opisao korisniku?
To pitanje nije ugodno, ali je potrebno. Preostali rizik ne služi tome da se tablica lijepo zatvori. On mora pokazati što stvarno ostaje na strani stroja, na strani organizacije rada i na spoju ta dva područja.
Ako je proizvođač napravio svoj dio posla, korisnik mora informacije shvatiti ozbiljno. Mora osposobljavati ljude, održavati zaštitne mjere, organizirati rad i ne zaobilaziti štitnike, blokade i sigurnosne funkcije. Ali ako proizvođač taj posao nije napravio, upute ne popravljaju projekt.
Kada je rizik stvarno preostali rizik?
Iz ovih primjera vidi se jedna stvar: ne zaslužuje svaki rizik koji je ostao uz stroj naziv preostali rizik.
Jer što znači „ostao”?
Ostao nakon promjene konstrukcije? Ostao nakon štitnika, blokade, zaključavanja ili načina rada za podešavanje? Ostao nakon premještanja točke podmazivanja izvan opasne zone? Ostao nakon projektiranja stalnog pristupa mjestu održavanja? Ili je ostao zato što ga nitko nije htio dirati pa je najlakše bilo dopisati upozorenje?
To su dvije potpuno različite situacije.
ISO 12100 tu temu razdvaja vrlo precizno. Imamo preostali rizik nakon mjera koje je primijenio projektant i preostali rizik nakon primjene svih mjera, dakle i onih na strani korisnika. Između njih je područje u kojem informacija proizvođača mora biti stvarno provedena kroz organizaciju rada korisnika.
Zato se preostali rizik ne smije tretirati kao labava rubrika. To nije mjesto za rečenicu: „korisnik će biti oprezan”. To je mjesto za konkretan zaključak nakon obavljenog projektantskog posla.
| Pitanje | Ako je odgovor da | Ako je odgovor ne |
|---|---|---|
| Je li opasnost opisana konkretno: gdje, kada, tko je izložen i pri kojoj radnji? | Može se dalje procjenjivati govorimo li o preostalom riziku. | To još nije procjena rizika, nego opći opis opasnosti. |
| Je li proizvođač provjerio može li se opasnost ukloniti konstrukcijski? | Ide se logikom ISO 12100. | Upozorenje u uputama pojavilo se prerano. |
| Jesu li razmotrene tehničke zaštitne mjere: štitnici, blokade, zaključavanje, načini rada, upravljanje uz stalno držanje, ograničenje energije, brzine ili sile? | Može se obrazložiti zašto dio rizika ipak ostaje. | Rizik vjerojatno nije preostali, nego nedorađen. |
| Je li proizvođač pokazao zašto određena mjera nije primijenjena? | Dokumentacija pokazuje inženjersku odluku. | Postoji rupa. Rupa ne postaje preostali rizik samo zato što ju je netko tako nazvao. |
| Je li informacija za korisnika konkretna? | Korisnik zna što mora učiniti: kada, kako, čime i u kojim uvjetima. | „Biti oprezan” ili „ne stavljati ruke” nije dovoljno. |
| Ima li korisnik stvaran utjecaj na tu mjeru? | To može biti područje korisnika: osposobljavanje, LOTO, nadzor, postupak, održavanje, osobna zaštitna oprema, organizacija rada. | Ne smije se glumiti da korisnik preuzima nešto što ne može učinkovito kontrolirati. |
| Može li se mjera na strani korisnika održati u praksi? | Može se govoriti o zajedničkoj odgovornosti. | Ako mjera traži stalno „čuvanje ljudi”, a mogla se primijeniti tehnička mjera, problem se vraća proizvođaču. |
| Je li nakon primjene zaštitne mjere provjereno nije li nastao novi rizik? | Procjena rizika ima zatvorenu petlju. | Proces nije završen. ISO/TR 14121-2 podsjeća da nakon uvođenja mjera treba provjeriti je li rizik stvarno smanjen i jesu li nastale nove opasnosti. |
Ova tablica nije formalni algoritam. Ona je filtar zdravog razuma. Ako nakon prolaska kroz nju ostane samo rečenica „operater mora paziti”, prerano smo stali. Još nismo došli do preostalog rizika.
Vrijedi odmah razdvojiti odgovornosti.
| Područje | Što mora napraviti proizvođač | Što realno preuzima korisnik |
|---|---|---|
| Zahvaćanje, gnječenje, kontakt s gibanjima | Projekt, geometrija, ograničenje energije, štitnici, blokade, načini rada, sigurnosne funkcije i jasan opis rizika koji se nije mogao ukloniti. | Osposobljavanje, nadzor, održavanje štitnika i blokada, postupci uklanjanja zastoja, zabrana zaobilaženja zaštitnih mjera. |
| Čišćenje, podešavanje, održavanje | Uključiti te radnje u procjenu rizika, ograničiti pristup opasnim zonama, predvidjeti servisne načine rada, točke podešavanja izvan zone opasnosti i siguran pristup. | Organizacija rada, kvalifikacije osoblja, LOTO, plan održavanja, provjera stanja zaštitnih mjera. |
| Pristup na visini, podesti, prolazi | Procijeniti je li radnja česta i predvidiva; projektirati ili definirati zahtjeve za stalno sredstvo pristupa ako je potrebno. | Održavanje pristupa, red i čistoća, dopuštanje rada odgovarajućem osoblju, primjena postupaka i mjera koje je naveo proizvođač. |
| Kibernetička sigurnost i daljinski pristup | Sigurna arhitektura, ograničenje pristupa, kontrola računa, opis sučelja, pravila ažuriranja, zaštita podataka i softvera važnih za sigurnost. | Segmentacija mreže, upravljanje računima, postupci promjena, sigurnosne kopije, nadzor servisnog pristupa. |
| Informacija u uputama | Konkretna upozorenja, opis rizika, uvjeti sigurne uporabe, potrebne mjere na strani korisnika, zabrane i ograničenja uporabe. | Provedba informacija u praksi: osposobljavanje, radne upute, nadzor i provođenje pravila. |
I tu je srž.
Preostali rizik može biti zajednički. Ali zajednički ne znači nečitljiv. Zajednički ne znači: „proizvođač je napisao, korisnik odgovara”. Zajednički ne znači: „služba zaštite na radu će napisati postupak, pa je projekt u redu”.
Zajednički znači nešto zahtjevnije: proizvođač mora pokazati što je napravio na strani stroja, a korisnik mora preuzeti ono što stvarno ovisi o organizaciji rada, nadzoru, održavanju i uvjetima uporabe.
Preostali rizik mora biti zaključak, ne zadnja daska spasa
U dobroj procjeni rizika stavka „preostali rizik” ne bi trebala biti zadnja daska spasa. Trebala bi biti kraj poštenog razmišljanja.
Ovdje je bila opasnost. Toliko smo napravili u projektu. Toliko smo napravili tehnički. Ovo se više ne može razumno ukloniti bez stvaranja većeg problema. Ovakvu informaciju i ovakve zahtjeve predajemo korisniku.
Tek tada preostali rizik zvuči kao zaključak procjene rizika.
A ne kao pokrivač za odluke koje su izostale.
Tablica pomaže, ali ne zamjenjuje stvarni opis posla
Podjela odgovornosti izgleda dobro tek kad se spusti s općih fraza na razinu stvarne radnje na stroju. Lako je napisati: „korisnik osigurava organizaciju rada”, „korisnik koristi odgovarajuća sredstva pristupa”, „korisnik štiti mrežu”. Teže je provjeriti je li korisnik dobio stroj koji se može sigurno posluživati, čistiti, održavati i servisirati.
Uzmimo servisni podest.
Na nacrtu sve izgleda ispravno. Čelična konstrukcija, rešetka, ograda, ulaz. Pristup predviđen? Predviđen. Tema zatvorena? Ne nužno.
Prvo pitanje glasi: za koji posao taj podest služi?
Ako radnik jednom godišnje ode gore očitati pokazivač ili provjeriti pločicu, imamo jednu situaciju. Ako se s istog podesta redovito mijenja motor, reduktor, cilindar, valjak, glava, filtar ili drugi potrošni dio, više ne govorimo samo o pristupu. Govorimo o servisnom radnom mjestu.
Tada opća rečenica u uputama nije dovoljna.
Tko ide gore? Jedan radnik ili dvoje ljudi iz održavanja? Što nose sa sobom: kutiju s alatom, moment-ključ, priveznice, rezervni dio? Što demontiraju: poklopac od 20 kg, motoreduktor od 80 kg, prijenosnik od 150 kg ili motor od 500 kg? Gdje će odložiti element nakon odvijanja? Na podest? Na kolica? Na ovjes? Jesu li predviđeni transportna vrata, točka ovješenja, dizalica, putanja izvlačenja elementa i radni prostor za dvije osobe? Obuhvaća li nosivost podesta samo čovjeka ili i alat, dijelove, lokalno opterećenje i sile koje nastaju pri demontaži?
To su pitanja iz hale, ne iz prezentacije.
Ako upute kažu da se motor mase 500 kg mijenja s podesta, podest mora odgovarati takvom poslu. Ne poslu „operater s ključem”, nego stvarnom zadatku: dva radnika, alat, demontirani sklop, manevriranje, zaštita od pada, transport dijela i sigurno spuštanje na razinu poda.
Bez toga imamo privid rješenja. Podest postoji, ali ne rješava zadatak. Pristup postoji, ali ne osigurava sigurno održavanje. Upute opisuju radnju, ali projekt ne daje uvjete za njezino izvođenje.
I sada najvažnije pitanje: je li to preostali rizik?
Ako je proizvođač predvidio redovitu servisnu radnju, ali nije predvidio način njezina sigurnog izvođenja, teško je govoriti o pošteno opisanom preostalom riziku. To je prije nedovršena koncepcija održavanja stroja. Korisnik odgovara za organizaciju rada, kvalifikacije ljudi, LOTO, nadzor i održavanje podesta u ispravnom stanju. Ali ne bi nakon preuzimanja trebao otkriti da za zamjenu teškog sklopa treba improvizaciju.
Vrlo slično izgleda kibernetička sigurnost.
Stroj stigne sa servisnim računom. Prijava: admin. Lozinka: admin. Daljinski pristup radi jer se „servis mora nekako spojiti”. Dokumentacija kaže da korisnik treba zaštititi mrežu. IT odjel dobije temu nakon puštanja u rad. Održavanje ne želi blokirati pristup jer stroj mora proizvoditi. Servis želi brzo reagirati. Svatko ima argumente.
Ali pitanje je jednostavno: je li proizvođač predao stroj u sigurnoj zadanoj konfiguraciji?
Ne radi se o tome da proizvođač odgovara za cijelu tvorničku mrežu korisnika. To bi bilo odvojeno od stvarnosti. Korisnik mora upravljati pristupima, segmentacijom, sigurnosnim kopijama, postupcima promjena, računima, ažuriranjima i nadzorom servisnih veza.
Ali proizvođač ne može predati stroj s očitom slabošću i reći: „to je sada vaš IT”. Ako daljinski pristup, računi, softver, konfiguracija HMI ili podaci mogu utjecati na ponašanje stroja, taj sloj pripada procjeni sigurnosti. Isto kao štitnik, blokada ili servisni način rada.
Admin/admin nije sitnica. To je digitalni ekvivalent podesta koji navodno postoji, ali nema nosivost za stvarni posao. U dokumentaciji nešto stoji. U stvarnosti korisnik dobiva problem koji mora popravljati.
Zato dobra informacija za korisnika ne glasi: „zaštititi mrežu”. Dobra informacija kaže koji računi postoje, koje su uloge pristupa predviđene, što treba promijeniti pri prvom pokretanju, kako radi daljinski servis, tko smije ažurirati softver, koji dijelovi konfiguracije imaju značenje za sigurnost, kako se vraćaju postavke i koje je mrežne uvjete proizvođač pretpostavio za siguran rad stroja.
Tek tada se pošteno može razgovarati o odgovornosti korisnika. Tada korisnik zna što preuzima. Tada preostali rizik stvarno leži na dodiru stroja i organizacije rada.
Bez toga imamo samo prebacivanje problema.
Upravo zato pojam preostali rizik ne smije se koristiti olako. On ne služi zatvaranju neugodnih pitanja. Mora pokazati što ostaje kod proizvođača, što prelazi na korisnika i koje uvjete obje strane moraju ispuniti da bi stroj ostao siguran tijekom normalne uporabe.
Stroj ne završava na izjavi o sukladnosti.
On nastavlja raditi: pri preinakama, čišćenju, održavanju, kvarovima, ažuriranjima, servisnim pristupima i zamjeni teških sklopova.
Ako projekt ne predviđa te situacije, upute ih neće popraviti.