Primjer procjene rizika prema ISO 12100 ima smisla samo ako pokazuje proces, a ne samo rezultat. Najgora procjena rizika nije kaotična. Najgora izgleda profesionalno: ima tablicu, bodovanje, norme, komentare i završni PDF zbog kojeg tim stekne ugodan osjećaj da je tema zatvorena. Problem je jednostavan i neugodan. ISO 12100 ne ocjenjuje ljepotu dokumenta. Ocjenjuje je li netko stvarno proveo procjenu rizika i može li dokazati logiku svojih odluka.
Tu većina timova upadne u zamku. Radni list ne čuva logiku. Ne tjera vas da krenete od ograničenja stroja pa do stvarnih zadataka i stvarnih opasnih situacija. Ne podsjeća vas da nakon svake zaštitne mjere morate provjeriti pojavljuje li se sekundarni rizik. Ne drži trag odluka. Ne pokazuje tko je prihvatio početni rizik, tko je promijenio završnu procjenu i na temelju čega je netko upisao da sigurnosna funkcija mora biti baš PL d.
Primjer procjene rizika prema ISO 12100: gdje tablica završava, a inženjerstvo počinje
Pravo pitanje danas nije može li se procjena rizika raditi u Excelu. Naravno da može. U Excelu možete složiti i dokument koji na prvi pogled izgleda uvjerljivo. Pravo pitanje glasi drukčije: može li taj alat osigurati proces koji ćete sutra moći braniti tehnički, logički i tijekom nadzora? Tu prestaje tablica, a počinje inženjerstvo.
ISO 12100 ne traži Excel. ISO 12100 traži dokumentaciju procjene rizika. To nije ista stvar. Radni list može biti bilježnica, nacrt, pomoć timu. Može skupljati unose. Može čak izgledati vrlo uredno. Ali ako ne može pretvoriti niz odluka u dokument koji se može rekonstruirati, pratiti, provjeriti i braniti, onda je to i dalje samo radni alat.
Dobra dokumentacija procjene rizika mora pokazati više od popisa opasnosti i rezultata bodovanja. Mora jasno prikazati:
- iz kojih pretpostavki je analiza krenula
- koja su ograničenja stroja
- koji su zadaci i koje opasne situacije analizirane
- koji su opasni događaji uzeti u obzir
- kako je procijenjen početni rizik
- koje su zaštitne mjere odabrane i kojim redoslijedom
- je li se nakon mjere pojavio sekundarni rizik
- kako je procijenjen preostali rizik
- tko je donio ključne odluke i kada
Ovdje mnogi naprave još jednu klasičnu pogrešku. Preskoče logiku smanjenja rizika koju traži ISO 12100 i skoče izravno s opasnosti na štitnik, proceduru ili uputu. Kao da je trostupanjska logika norme ukras, a ne temelj. Nije. Ako ne pokažete zašto opasnost nije uklonjena konstrukcijom, zašto je potrebna zaštitna tehnička mjera i što ostaje za informacije za uporabu, onda ne vodite procjenu rizika. Samo popunjavate polja.
Excel nije dokumentacija procjene rizika
Vrijedi to reći bez uvijanja: problem s Excelom nije u tome što je prejednostavan. Problem je gori. Excel prelagano dopušta da glumite kako je dokumentacija već nastala, iako je u stvarnosti nastao samo uredno složen radni list. To izgleda profesionalno, ali nije isto.
Zašto? Zato što radni list odlično čuva završno stanje, a slabo čuva put do njega. Možete prebrisati ćeliju. Možete promijeniti opis. Možete korigirati procjenu. Možete dodati komentar. Nakon tjedan dana više nitko ne zna je li to bio razvoj analize, uredničko sređivanje dokumenta ili kasnije prilagođavanje rezultata zaključku koji je netko već želio dobiti.
A to je opasno. Ne zato što auditor voli birokraciju. Nego zato što se u sigurnosti strojeva upravo na tim sitnim prijelazima najčešće gubi logika: zašto je nešto prihvaćeno, zašto je nešto poslano na smanjenje rizika, zašto je zaštitna mjera tehnička, a ne samo organizacijska, zašto je preostali rizik procijenjen kao prihvatljiv.
Sekundarni rizik: trenutak kada zaštitna mjera prestaje biti očit plus
Može li zaštitna mjera stvoriti novi problem? Naravno da može. I upravo zato ozbiljna procjena rizika ne završava onog trena kad netko dopiše štitnik, blokadu, ručni reset ili proceduru. Zaštitna mjera ne zatvara proces. Zaštitna mjera mijenja cijeli raspored rizika u odnosu čovjek-stroj-energija-proces.
Mehanički primjer: štitnik koji smanjuje jedan rizik, a pogoršava servis
Na radnom mjestu postoji rizik kontakta s opasnim gibanjem tijekom uklanjanja zastoja. Tim dodaje pomični štitnik s blokadom. Na papiru sve izgleda ispravno: pristup opasnoj zoni tijekom automatskog rada ograničen je. Ali nakon izmjene operater pri čišćenju i uklanjanju zastoja mora posezati dublje u stroj, raditi s rukom u skučenom prostoru i koristiti uži servisni otvor. Glavni mehanički rizik jest smanjen, ali otvara se novo pitanje: je li zaštitna mjera stvorila problem pristupa, vidljivosti i ergonomije?
To nije akademska fusnota. Ako to ne provjerite, dokumentacija procjene rizika pokazat će samo polovicu istine. U gorem slučaju novi raspored rada može biti skloniji pogrešci nego stanje prije uvođenja mjere.
Primjer iz automatike: dobra sigurnosna funkcija, loše ponašanje sustava u praksi
Na stanici se doda sigurnosna blokada na štitniku, ručni reset i zabrana automatskog ponovnog pokretanja nakon otvaranja. Sama sigurnosna funkcija može biti potpuno ispravna. Problem počinje kada nova sekvenca produži svaku intervenciju, prekine ritam operatera i poveća broj koraka za nastavak rada. Ako logika nije usklađena sa stvarnim načinom rada, pojavljuje se sekundarni rizik organizacijskog i ponašajnog tipa: refleksno potvrđivanje resetiranja, izostanak stvarne provjere zone prije pokretanja, pokušaji premošćivanja zaštitnih uređaja, pritisak da se proces ubrza mimo sigurnosne logike.
Drugim riječima, pogreška nije nužno u sigurnosnoj funkciji. Pogreška je u tome što nitko nije provjerio kako će ta funkcija djelovati na čovjeka i na stvarni tijek intervencije.
Električni primjer: djelomična dorada koja pogorša sliku cjeline
Zamislite da netko želi poboljšati električnu sigurnost pa izvede dodatno izjednačavanje potencijala samo na jednom dijelu stroja. Namjera je dobra. Ali ako je mjera provedena parcijalno, samo na jednom segmentu sklopa, može nastati situacija u kojoj jedan dio stroja ima drukčiji referentni potencijal od ostatka. U prijelaznom stanju ili kod kvara raste rizik razlike potencijala, a čovjek koji istodobno dodiruje dva dijela sustava završava u opasnijem scenariju nego prije dorade.
To je sekundarni rizik u čistom obliku. Zaštitna mjera formalno izgleda kao poboljšanje, a u stvarnosti pogoršava sliku sustava jer je uvedena bez pogleda na cjelinu.
Što povezuje ove primjere? U sva tri slučaja netko je napravio nešto što na prvi pogled izgleda razumno: dodao štitnik, popravio logiku upravljanja, doradio električku zaštitu. Problem nije u tome što zaštitna mjera postoji. Problem je u tome što nitko nije provjerio što je ta mjera učinila ostatku sustava čovjek-stroj-energija-proces.
Primjer procjene rizika prema ISO 12100 na automatiziranoj pakirnoj stanici
Da ne ostanemo na teoriji, uzmimo jedan stvaran obrazac razmišljanja za automatiziranu pakirnu stanicu. Ne apstraktni stroj, nego sustav u kojem postoje opasna gibanja, intervencije operatera, uklanjanje zastoja, radovi održavanja, pristup električnoj i pneumatskoj energiji te sigurnosne funkcije ovisne o logici upravljanja. Upravo na takvom primjeru vidi se zašto se procjena rizika prema ISO 12100 ne može pošteno svesti na kratak popis opasnosti.
U toj analizi nije bilo dva ili tri opća unosa. Nastalo je šesnaest odvojenih opasnih situacija: trinaest scenarija zadataka i tri opasna događaja prema logici ISO 12100. Zasebno su procijenjene male intervencije tijekom rada, uklanjanje zastoja, podešavanje zaštitnih uređaja, funkcionalna ispitivanja, odvajanje energije, zamjena potrošnih dijelova, dijagnostika kvarova te događaji kao što su nenamjerno pokretanje, izbacivanje predmeta i oslobađanje pneumatske energije.
To je važna razlika. U dobro vođenoj analizi ne procjenjuje se stroj općenito. Procjenjuje se odnos čovjeka i stroja u konkretnom zadatku, u konkretnoj zoni i pod konkretnim uvjetima pristupa. Tek tada slika postane poštena. Sve prije toga često izgleda uredno, ali skriva ono što je doista kritično.
Primjer procjene rizika prema ISO 12100: što je analiza stvarno pokazala
Prvo, glavni problem nije proizlazio samo iz prisutnosti opasnog gibanja. Glavni problem bio je pristup čovjeka toj zoni tijekom intervencije, uklanjanja zastoja i dijagnostike kvara. To je tipičan obrazac na mnogim strojevima: sam pogon nije najveći problem, problem je trenutak kada čovjek mora unutra.
Drugo, nisu sve opasne situacije bile jednake. Dio scenarija mogao se procijeniti kao nizak rizik i prihvatiti bez dodatnih mjera, ali ne zato što je brojčani rezultat ispao povoljan. Nego zato što se moglo dokazati sljedeće:
- izloženost je rijetka
- zadatak je ograničenog opsega
- predvidiva posljedica je mala
- uvjeti rada su kontrolirani
- uloga korisnika je jasno definirana
Treće, nekoliko scenarija odmah je pokazalo da ih nije moguće braniti upisom tipa štitnik plus uputa. To se odnosilo na intervencije tijekom rada u zaštićenoj zoni, uklanjanje zastoja, nenamjerno pokretanje, pristup električnim dijelovima pri odvajanju energije i dijagnostiku na električnoj opremi. Tu je trebalo opisati što sigurnosna funkcija stvarno radi, kada blokira opasno gibanje, kako izgleda logika ponovnog pokretanja, kada je potreban ručni reset i zašto je baš ovdje potrebna određena razina pouzdanosti.
Četvrto, tek puni trag odluka pokazao je tko je i zašto neke scenarije proglasio prihvatljivima, a druge poslao u smanjenje rizika. Bez toga završni dokument izgleda uredno, ali ne govori najvažnije: kako je tim došao do zaključka.
Peto, analiza je još jednom razbila čestu iluziju da se stroj može pošteno procijeniti općenito. Ne može. Pošteno se mogu procijeniti samo konkretne relacije čovjek-stroj: pri točno određenoj radnji, u točno određenoj zoni, uz točno određen izvor opasnosti i pod točno određenim uvjetima pristupa.
Trag odluka nije dodatak nego dokaz
Je li trag odluka u procjeni rizika doista toliko važan? Da. I važniji je nego što mnogi misle. U praksi problem rijetko nastaje zato što u dokumentaciji nema nikakvog rezultata. Rezultat obično postoji. Tablica postoji. Zaštitna mjera postoji. Problem počinje kad nakon mjesec dana nitko više ne zna tko je što promijenio, zašto je rizik proglašen prihvatljivim ili na temelju čega je određena sigurnosna funkcija dobila baš zahtjev PL d prema ISO 13849.
Završni dokument pokazuje ishod. Trag odluka pokazuje put do ishoda. A upravo je taj put u procjeni rizika presudan. On pokazuje jesu li odluke bile dosljedne, je li se tim vraćao na početne pretpostavke, je li nakon uvođenja zaštitne mjere provedena nova procjena, je li sekundarni rizik uočen, je li netko prebrzo prihvatio nešto što je zapravo trebalo ići u smanjenje rizika.
Evo tri tipična primjera gdje bez traga odluka dokumentacija puca pod prvim ozbiljnim pitanjem:
- netko promijeni procjenu jedne opasne situacije sa srednje na nisku, ali kasnije se više ne zna je li razlog nova zaštitna mjera, nova pretpostavka ili samo kozmetika da bi se dokument zatvorio
- netko prihvati nizak rizik, ali ne ostavi objašnjenje je li to zbog rijetke izloženosti, male težine posljedice, osposobljenog osoblja ili samo zato što je brojčani rezultat ispao zgodan
- netko upiše sigurnosna funkcija, ISO 13849 i PL d, ali ne ostavi logiku: što funkcija prati, što isključuje, koji scenarij pokriva i zašto je zahtjev upravo takav
Bez toga nema obrane procesa. Branite samo zadnju verziju dokumenta. A to je premalo.
Kako izgleda dokumentacija procjene rizika koju možete braniti
Ako želite brz test, postavite si nekoliko neugodnih pitanja. Možete li iz dokumenta jasno iščitati ograničenja stroja, korisnike i granice uporabe? Možete li razdvojiti opasnu situaciju od opasnog događaja? Možete li pratiti početni rizik, odluku o potrebi smanjenja, odabranu zaštitnu mjeru, provjeru sekundarnog rizika i završnu procjenu preostalog rizika? Možete li pokazati tko je donio odluku i zašto?
Ako je odgovor ne, onda možda imate uredan radni list, ali nemate dokumentaciju procjene rizika. To nije ista stvar. I upravo tu nastaje najveća zabuna u praksi.
Dobra dokumentacija procjene rizika ne pokušava impresionirati brojem polja ni debljinom PDF-a. Ona mora omogućiti da netko drugi, nakon vremena i bez pogađanja, može rekonstruirati tijek razmišljanja tima. Mora se vidjeti veza između izvora opasnosti, opasne situacije, zaštitne mjere, sigurnosne funkcije, sekundarnog rizika i preostalog rizika. Kad se ta veza vidi, dokument živi. Kad se ne vidi, ostaje samo lijep prilog.
Zato je najbolji Primjer procjene rizika prema ISO 12100 onaj koji ne završava na tablici. Mora pokazati ograničenja stroja, stvarne zadatke, stvarne scenarije pristupa, logiku smanjenja rizika, posljedice uvedenih mjera i jasan trag odluka. Sve ostalo može izgledati profesionalno. Ali izgled ovdje nije dokaz. Dokaz je samo to može li se proces pratiti, provjeriti i braniti kad stvari postanu ozbiljne.