Durante il collaudo, il fabbricante mostra il passaggio giusto del manuale: «Eseguire la pulizia solo dopo aver isolato tutte le fonti di energia. La manutenzione è riservata a personale formato. L’utilizzatore deve predisporre una procedura adeguata». Tre frasi, tre caselle spuntate.
In reparto, però, si scopre che la macchina ha due alimentazioni elettriche, un circuito pneumatico e un accumulatore capace di generare movimento anche dopo l’apertura dell’interruttore generale. La procedura non esiste ancora e per “personale formato” si intende chi lavora lì da più tempo. La sicurezza è stata progettata al futuro.
La Fase 3 della ISO 12100 non consiste nel riversare nel manuale tutto ciò che non è stato risolto nel progetto. Le informazioni per l’uso sono l’ultimo elemento della strategia di riduzione del rischio: arrivano dopo la progettazione intrinsecamente sicura e le misure tecniche di protezione, non al loro posto.
Se era possibile eliminare un pericolo, ridurre l’energia, impedire l’accesso o realizzare una funzione di sicurezza adeguata, il fabbricante non può sostituire questi interventi con un corso, un pittogramma o l’invito a prestare attenzione. Il manuale deve descrivere il rischio che non è stato possibile ridurre a sufficienza, non conservare l’elenco dei problemi rinviati.
È qui che si incontrano fabbricante e utilizzatore. Il primo deve indicare quale rischio rimane, dove e durante quali attività, chiarendo le condizioni di impiego sicuro assunte nella valutazione. Il secondo deve trasformare tali informazioni in procedure, formazione, supervisione, permessi di lavoro, isolamento delle energie, protezioni aggiuntive o dispositivi di protezione individuale. Non è un passaggio di responsabilità: è un passaggio di informazioni senza il quale il lavoro sicuro non può essere organizzato.
1. La terza fase non è la versione economica delle prime due
I tre passaggi di riduzione del rischio non sono opzioni equivalenti. Il progettista non può scegliere tra modificare la macchina, installare una protezione o aggiungere un’avvertenza in base a ciò che pesa meno sul programma di consegna. L’ordine conta.
Prima si verifica se il pericolo può essere eliminato o ridotto mediante la progettazione. Se non basta, si applicano misure di protezione tecniche e complementari. Soltanto per il rischio rimasto dopo questi interventi si preparano le informazioni per l’uso.
Supponiamo che una regolazione richieda di inserire la mano nella zona di movimento. Il fabbricante può spostare il punto di regolazione, modificare la geometria, limitare l’energia, installare un riparo o un interblocco, oppure predisporre una modalità sicura di regolazione. Se scrive subito «operazione riservata a personale formato», non è arrivato alla terza fase: ha saltato le prime due fermate e si stupisce che il treno sia ancora in stazione.
Le informazioni per l’uso non servono a giustificare l’assenza di una misura tecnica possibile. Devono descrivere il rischio che, nonostante gli interventi adottati, non è stato eliminato o ridotto abbastanza. Solo in questo secondo caso si parla davvero di rischio residuo.
Prima di aggiungere un’altra avvertenza, bisogna rispondere a una domanda scomoda: che cosa è stato concretamente modificato nel progetto e nelle protezioni prima di stabilire che l’azione successiva spettasse all’utilizzatore?
Se la risposta comprende l’analisi della soluzione, la misura adottata, il risultato della verifica e la descrizione del rischio rimasto, si può procedere. Se la risposta è «abbiamo aggiunto un punto al manuale», il manuale non rappresenta la terza fase: è una decorazione sopra l’assenza delle prime due.
Il primo passaggio è approfondito nell’articolo sulle soluzioni progettuali intrinsecamente sicure; il secondo in quello dedicato alle misure tecniche di protezione sulle macchine. Solo dopo, l’informazione destinata all’utilizzatore diventa il risultato di un processo ingegneristico, non il suo sostituto letterario.
2. Il fabbricante deve descrivere il rischio, non tranquillizzare la propria coscienza
Un’informazione utile deve consentire un’azione concreta. Se il lettore non capisce che cosa può accadere, durante quale attività e come evitarlo, il fabbricante ha consegnato del testo, non necessariamente un’informazione.
«Prima della manutenzione, isolare la macchina da tutte le fonti di energia» sembra ragionevole. Ma l’interruttore generale non scarica un circuito idraulico, non svuota un serbatoio pneumatico, non sostiene un gruppo sollevato e non elimina l’energia accumulata in una molla. La fisica non firma il verbale di collaudo.
Un’indicazione realmente utilizzabile dovrebbe specificare:
- l’attività durante la quale compare il rischio;
- la posizione della zona pericolosa;
- le persone potenzialmente esposte;
- l’evento possibile e le relative conseguenze;
- le misure applicate dal fabbricante;
- il rischio rimasto nonostante tali misure;
- l’azione richiesta all’utilizzatore;
- le competenze, gli utensili, le procedure e i dispositivi necessari.
Per sostituire un componente, per esempio, potrebbe essere necessario disinserire una specifica alimentazione, chiudere e bloccare una valvola, scaricare la pressione, verificarne l’assenza e sostenere meccanicamente il gruppo sollevato. Questa descrizione offre materiale concreto per una procedura di isolamento, blocco e segnalazione delle energie, per l’istruzione di manutenzione e per la formazione.
Conta anche il luogo in cui l’informazione viene fornita. Un rischio che richiede una reazione immediata non può essere nascosto soltanto a pagina 143. Possono servire marcature sulla macchina, segnali, dispositivi di avvertimento o messaggi visibili nel punto di intervento. L’operatore non dovrebbe avviare una ricerca bibliografica mentre il circuito sta perdendo pressione.
Non tutto deve assumere la forma di un avvertimento. Le informazioni devono anche definire materiali ammessi, limiti di processo, modalità di installazione, frequenze di controllo, competenze necessarie e operazioni vietate per uno specifico pericolo. Queste condizioni devono derivare dalle ipotesi della valutazione del rischio, non dalla necessità tardiva di riempire il capitolo “Sicurezza”.
Affermare che esiste un rischio residuo della macchina dice ancora poco. L’utilizzatore non gestisce un concetto astratto: gestisce un compito, una persona, un’energia e condizioni di lavoro precise. Una buona informazione porta da «rimane un rischio» a «per questo occorre fare esattamente quanto segue». Le ambiguità occupano tutto lo spazio intermedio, almeno fino al giorno in cui devono essere spiegate dopo un infortunio.
3. Il fabbricante conclude il progetto; l’utilizzatore organizza il lavoro
La figura 2 della ISO 12100 è scomoda per entrambe le parti. Il fabbricante non può chiudere la valutazione scrivendo «le azioni successive sono a carico dell’utilizzatore». L’utilizzatore, a sua volta, non può credere che la marcatura CE abbia automaticamente redatto le procedure, formato i manutentori e verificato come vengono eliminati gli inceppamenti durante il turno di notte.
La norma mostra due livelli distinti di rischio residuo. Il primo rimane dopo le misure previste dal progettista: progettazione intrinsecamente sicura, protezioni tecniche e complementari e informazioni per l’uso. Il fabbricante deve individuarlo, valutarlo e descriverlo. Il secondo considera anche le misure attuate dall’utilizzatore: organizzazione, procedure, supervisione, permessi, protezioni aggiuntive, dispositivi di protezione individuale e formazione.
Non sono due nomi per lo stesso risultato. In mezzo c’è l’attuazione.
| Il fabbricante comunica | L’utilizzatore attua |
|---|---|
| Rischio residuo e scenario | Procedura per svolgere il compito |
| Condizioni di impiego sicuro | Organizzazione coerente con tali condizioni |
| Competenze richieste | Scelta degli addetti e verifica delle competenze |
| Requisiti per l’isolamento delle energie | Procedura di blocco e sistema di autorizzazione |
| Necessità di misure aggiuntive | Scelta, installazione e manutenzione |
| Requisiti relativi ai DPI | Fornitura, impiego e controllo dei DPI |
| Regole di controllo e manutenzione | Pianificazione e registrazione delle attività |
Anche il termine “utilizzatore” va chiarito. Non indica solo l’operatore che preme il pulsante di avvio. Comprende il datore di lavoro che organizza l’attività, il responsabile della manutenzione, il preposto che vigila, il tecnico che interviene e l’operatore che applica le misure e segnala le anomalie.
Ognuno necessita di informazioni diverse. Il responsabile della manutenzione deve conoscere i requisiti di isolamento e controllo delle protezioni. Il preposto deve sapere chi può svolgere determinate operazioni. L’operatore ha bisogno di regole chiare per produzione, regolazione e guasti. Ammassare tutto sotto “Avvertenze generali” non crea un sistema di sicurezza; crea un capitolo che nessuno vuole leggere.
Qui si incontrano anche la valutazione del fabbricante e la valutazione del rischio svolta dal datore di lavoro. Sono collegate, ma non intercambiabili. Il fabbricante valuta la macchina entro i limiti dell’uso previsto e dell’uso scorretto ragionevolmente prevedibile. Il datore di lavoro considera invece la postazione reale, l’ambiente, l’organizzazione, il personale e il processo nel quale la macchina viene inserita.
4. Una procedura funziona soltanto se qualcuno la applica davvero
L’informazione più accurata non chiude una valvola, non applica un lucchetto, non verifica l’assenza di energia e non impedisce il riavvio. Questa parte deve essere organizzata dall’utilizzatore.
Se il fabbricante richiede l’isolamento prima di rimuovere un inceppamento, lo stabilimento deve definire almeno:
- chi può arrestare la macchina;
- quali fonti di energia devono essere isolate;
- dove si trovano i punti di sezionamento;
- come si impedisce la riattivazione;
- come si verifica l’assenza di energia;
- chi può rimuovere i blocchi;
- come viene autorizzato il ritorno in servizio.
Senza queste regole, «applicare la procedura LOTO» è il nome di una procedura, non una procedura.
Il documento deve inoltre adattarsi al compito reale. Se un inceppamento si verifica quindici volte per turno e la procedura impone venti minuti di fermo dell’intera linea, il destino è prevedibile: prima nasce una scorciatoia, poi una pratica informale nota solo agli esperti, infine qualcuno fissa un interblocco con il nastro adesivo perché “dà fastidio”.
Non è un motivo per semplificare sacrificando la sicurezza. Interventi frequenti possono indicare la necessità di rivedere il progetto, l’affidabilità del processo o le protezioni tecniche. Le informazioni raccolte durante l’uso devono poter rientrare nella valutazione del rischio.
Lo stesso vale per la formazione. Il foglio firme dimostra che alcune persone erano nella stessa stanza, non che sappiano regolare, pulire o manutenere la macchina in sicurezza. La formazione deve affrontare compiti reali, pericoli presenti, uso delle protezioni e situazioni anomale. La competenza va verificata sul campo e aggiornata dopo modifiche rilevanti alla macchina, al processo, alla procedura o alle mansioni.
La vigilanza non può limitarsi alle firme. Deve comprendere l’osservazione del lavoro, il controllo delle procedure, la reazione all’elusione delle protezioni e l’analisi delle ragioni che spingono alle scorciatoie. Un interblocco escluso può dipendere dall’errore di un operatore. Cinque interblocchi esclusi sulla stessa linea raccontano qualcosa anche sul progetto e sull’organizzazione produttiva.
Anche i DPI richiedono precisione. «Usare guanti protettivi» non chiarisce il rischio, le prestazioni necessarie né l’eventuale pericolo aggiuntivo di trascinamento vicino a parti mobili. L’utilizzatore deve scegliere il dispositivo in funzione del compito e delle condizioni concrete. Una scheda plastificata può restare perfetta per anni, soprattutto se nessuno la tocca.
5. Una buona terza fase lascia una traccia
Al collaudo, il progettista ricorda perché il manuale richiede il sostegno meccanico di un gruppo. Sei mesi dopo, la documentazione è gestita da un’altra persona, la macchina lavora su una linea diversa e l’autore della valutazione segue già un nuovo progetto.
Rimane la frase: «Eseguire la manutenzione solo dopo aver bloccato meccanicamente il gruppo». Ma perché serve il sostegno? Quale movimento può verificarsi? Quali misure sono già state applicate? Quale elemento va sostenuto e in quale posizione? Le risposte probabilmente esistono, se qualcuno riesce a trovare il file definitivo corretto tra tutte le versioni “finali”.
L’informazione per l’uso deve derivare da uno scenario preciso e restare rintracciabile dal pericolo iniziale, attraverso le misure progettuali e tecniche, fino al rischio residuo e all’azione richiesta all’utilizzatore.
Una traccia completa può comprendere:
- compito e fase del ciclo di vita della macchina;
- fonte del pericolo ed evento possibile;
- persone esposte e conseguenze prevedibili;
- misure di riduzione applicate e relativa verifica;
- descrizione del rischio residuo;
- informazione riportata nel manuale o sulla macchina;
- azione richiesta all’utilizzatore e relativo responsabile;
- prova dell’attuazione e verifica dell’efficacia.
La prova non deve essere per forza un altro rapporto monumentale. Può consistere in una procedura approvata, nell’esito di una prova funzionale, in un verbale di misura, nella conferma delle competenze, in una registrazione di manutenzione, nella fotografia di una marcatura o in una decisione tecnica motivata. Deve però corrispondere a un requisito preciso, non limitarsi ad affermare che «la sicurezza è stata discussa».
Una cartella piena di documenti non garantisce la rintracciabilità. Cento file affiancati possono ancora non spiegare perché sia stata presa una decisione. Conta il collegamento tra scenario, misura, verifica, informazione per l’uso e intervento successivo.
La traccia deve inoltre sopravvivere alle modifiche. Un materiale diverso, un nuovo utensile, l’aumento della velocità, lo spostamento della macchina o un altro metodo di pulizia possono invalidare le ipotesi originarie. L’utilizzatore deve poter identificare quali scenari richiedono una nuova valutazione. Rileggere tutto dalla prima pagina è certamente un metodo, come cercare una perdita aspettando che finisca la pressione.
In Safety Software, questa catena non dovrebbe interrompersi con la generazione del rapporto. Scenario, misura adottata, verifica, rischio residuo e prove devono restare parti dello stesso processo. In questo modo è possibile ricostruire non solo che cosa è stato scritto, ma chi ha deciso, su quale base e quali azioni sono state poi eseguite.
La verifica finale è semplice: una persona che non ha partecipato al progetto riesce, leggendo la documentazione, a capire quale rischio è rimasto e quale azione deve essere svolta?
Se sì, il fabbricante ha trasmesso un’informazione. Se no, ha consegnato all’utilizzatore un enigma tecnico con allegati.