Risk Score-methode: wanneer helpt de score?

Betekent een score van 99 dat een machine veilig is? Nee. Betekent het dat de machine onveilig is? Ook niet altijd. En precies daar begint het probleem met de Risk Score-methode, een van de meest gebruikte manieren voor risicobeoordeling van machines.

De methode is handig. Je kunt haar uitleggen in een training. Je maakt een tabel, kiest waarden, telt of vermenigvuldigt parameters en krijgt een getal. Laag, middel, hoog. Groen, oranje, rood. Het ziet er technisch uit. Soms zelfs indrukwekkend.

Maar wat zegt dat getal echt? Als niet duidelijk is waar het vandaan komt, dan weinig. Een score is geen meting zoals temperatuur of massa. Het is een vastlegging van hoe een team een gevaarlijke situatie heeft begrepen: de ernst van de mogelijke schade, de blootstelling, de waarschijnlijkheid van een gevaarlijke gebeurtenis en de mogelijkheid om schade te vermijden.

Daar zit het verschil tussen een bruikbare methode en een mooie tabel die gebrek aan denken afdekt. Excel kan er professioneel uitzien. Excel bewijst niets.

Risk Score-methode: benoem eerst het scenario

De slechtste manier om de Risk Score-methode te gebruiken? Een algemeen gevaar invullen en meteen gaan rekenen.

Bijvoorbeeld: gevaar: bewegende delen. Daarna S = 3, F = 4, O = 3, A = 5. Uitkomst: 15, 60 of 180, afhankelijk van de formule. Maar dat is nog geen risico-inschatting. Dat is gokken in een tabel.

ISO 12100 vraagt om een eerdere stap. Eerst moet je begrijpen wat je beoordeelt. Alleen het gevaar noemen is te weinig. Een bewegend mes is een gevaar. Maar risico ontstaat pas wanneer een mens in een gevaarlijke situatie kan komen waarin dat gevaar schade kan veroorzaken.

Daarom moet je eerst een paar nuchtere vragen stellen.

Wie wordt blootgesteld? De operator? Iemand van onderhoud? Een schoonmaker? Een monteur? Iemand die alleen langs de machine loopt?

Wanneer is die persoon blootgesteld? Tijdens normale productie? Bij reinigen? Bij instellen? Bij het verwijderen van een storing? Bij proefdraaien na afstelling? Bij geopende afscherming? Bij een stilstaande machine met opgeslagen energie in het systeem?

Wat kan er gebeuren? Onverwacht starten? Verlies van controle over een werkstuk? Intrekken van een mouw? Breuk van een leiding? Wegslingeren van een onderdeel? Neervallen van een zware component? Betreden van de gevarenzone voordat de beweging stilstaat?

Welke schade kan ontstaan? Een snijwond? Een breuk? Geplette vingers? Amputatie? Dodelijk letsel? Gehoorverlies na jaren blootstelling? Longschade door stof?

Pas daarna kun je zinvol gaan beoordelen. De Risk Score-methode hoort niet het algemene etiket “bewegende delen” te beoordelen. Zij hoort een concreet scenario te beoordelen.

• De operator verwijdert een blokkade in de invoerzone bij een gedeeltelijk geopende afscherming, waarna een gevaarlijke beweging kan optreden bij herstart.
• Een onderhoudsmonteur stelt een sensor af bij een aandrijving, waarna een actuator plotseling kan bewegen zodra de druk terugkomt.
• De operator voert handmatig een product in bij het gereedschap, waarna het product kan worden gegrepen en de hand richting een roterend deel kan trekken.

Dat zijn scenario’s. En pas voor zulke scenario’s krijgt de score betekenis.

Dezelfde machine kan voor dezelfde bron van gevaar meerdere totaal verschillende scores hebben. Waarom? Omdat de taak anders is. De blootgestelde persoon anders is. De frequentie anders is. De mogelijkheid om schade te vermijden anders is. De machinestatus anders is. De beschermende maatregel anders werkt.

Neem een eenvoudig voorbeeld. Een bewegend onderdeel zit achter een vaste afscherming. Tijdens normale productie kan de operator er niet bij. De blootstelling is klein of praktisch afwezig. Maar tijdens onderhoud wordt die afscherming verwijderd. De monteur werkt met de handen dicht bij de aandrijving. Soms moet hij het mechanisme handmatig verdraaien. Soms kan iemand anders de voeding inschakelen. Soms blijft energie in het systeem aanwezig.

Is dat nog dezelfde score? Dat zou het niet moeten zijn. Het gevaar kan hetzelfde zijn, maar de gevaarlijke situatie is anders.

De juiste volgorde is hard en simpel: eerst het scenario, dan de parameters, pas daarna de score. Niet andersom.

Zegt ISO 12100 hoe je de Risk Score-methode berekent?

Nee. En dat is belangrijk.

ISO 12100 zegt niet: tel de parameters op. De norm zegt ook niet: vermenigvuldig ze. Niet: gebruik een schaal van 1 tot 5. Niet: alles boven 100 wordt rood.

ISO 12100 zegt iets fundamentelers: risico hangt af van de ernst van de mogelijke schade en de waarschijnlijkheid dat die schade optreedt. Die waarschijnlijkheid is niet één willekeurig gekozen gevoel. Zij kan afhangen van hoe vaak een mens aan het gevaar wordt blootgesteld, of een gevaarlijke gebeurtenis kan optreden en of die mens technisch en praktisch schade kan vermijden of beperken.

Daarom kom je in de praktijk verschillende uitvoeringen van de Risk Score-methode tegen. De ene organisatie gebruikt twee parameters: ernst maal waarschijnlijkheid. Een andere gebruikt drie: ernst, blootstelling en waarschijnlijkheid. Weer een andere splitst waarschijnlijkheid op in frequentie van blootstelling, mogelijkheid van een gevaarlijke gebeurtenis en mogelijkheid om schade te vermijden.

Is dat automatisch strijdig met ISO 12100? Nee. Zolang de methode nog steeds beoordeelt wat zij moet beoordelen: de ernst van de mogelijke schade en de waarschijnlijkheid dat die schade optreedt.

Als je waarschijnlijkheid opsplitst in blootstelling, gevaarlijke gebeurtenis en vermijdbaarheid, kan dat prima zijn. Als de parameterdefinities helder zijn, kan dat prima zijn. Als je dezelfde logica gebruikt vóór en na risicoreductie, kan dat prima zijn. Als je kunt uitleggen wat een beschermende maatregel daadwerkelijk heeft veranderd, kan dat prima zijn.

Maar als je willekeurige parameters toevoegt omdat ze toevallig in een oud Excelbestand stonden, heb je een probleem. Als F de ene keer het aantal keren per week in de gevarenzone betekent en de andere keer een algemene indruk van de beoordelaar, heb je een probleem. Als A afhankelijk is van geloof in het reactievermogen van de operator, heb je een probleem. En als iemand na plaatsing van een afscherming de ernst verlaagt terwijl contact met hetzelfde gereedschap nog steeds amputatie kan veroorzaken, heb je ook een probleem.

De Risk Score-methode is niet goed omdat zij vier kolommen heeft. Niet omdat er een formule onder staat. Niet omdat de uitkomst een kleur krijgt. Zij is goed wanneer zij eerlijk helpt beantwoorden: wat is er werkelijk veranderd in het risico?

Numerical scoring in ISO/TR 14121-2: voorbeeld, geen toverformule

Als ISO 12100 niet voorschrijft hoe je moet rekenen, waar komt de puntenscore dan vandaan? Uit de praktijk. En uit ondersteunende documenten die voorbeelden geven voor risico-inschatting.

ISO/TR 14121-2 beschrijft verschillende hulpmiddelen: risicomatrix, risicograaf, numerical scoring en hybride methoden. Dat onderscheid is belangrijk. ISO 12100 beschrijft het proces van risicobeoordeling. ISO/TR 14121-2 laat voorbeelden zien van manieren om dat proces praktisch uit te voeren.

Numerical scoring is dus niet de enige juiste methode. Het is ook geen verplichte normcalculator. Het is een benadering waarbij waarden worden toegekend aan risicoparameters en daarna worden gecombineerd tot een score.

In een eenvoudige uitvoering heb je bijvoorbeeld twee parameters: ernst van de schade en waarschijnlijkheid van schade. Je kent aan beide een waarde toe, combineert die waarden en krijgt een score.

Klinkt simpel? Ja. Daarom is de methode populair. In een training werkt het lekker. In Excel loopt de formule meteen. In een rapport oogt het strak. Maar numerical scoring is niet waardevol omdat het een getal produceert. Het is waardevol als dat getal terugleidt naar de aannames.

Stel: de mogelijke schade is zeer ernstig en de waarschijnlijkheid is hoog. Dan wordt de score hoog. Geen verrassing. De belangrijke vragen zijn: waarom is de schade als zeer ernstig beoordeeld? Waarom is de waarschijnlijkheid hoog? Gaat het om dagelijkse toegang door de operator? Om regelmatig storingen verwijderen? Om de mogelijkheid om een afscherming te overbruggen? Om een beweging die plotseling optreedt, waardoor reactie te laat komt?

Zonder die onderbouwing ziet de score eruit als analyse, maar draagt zij nauwelijks inhoud.

Je kunt in een methode bijvoorbeeld uitkomen op 175 punten en de klasse “hoog risico”. Betekent 175 dat iemand het risico met laboratoriumnauwkeurigheid tot op één punt heeft gemeten? Nee. Het betekent dat deze situatie, met deze schaal, deze drempels en deze parameterwaarden, in de klasse hoog risico valt.

Dat is eerlijk. Het gaat fout wanneer iemand 175 behandelt alsof het een meetwaarde is. Nog erger: wanneer een score uit de ene organisatie wordt vergeleken met dezelfde score uit een andere organisatie, terwijl de schalen, drempels en definities verschillend zijn. Dan doet het getal alsof er een gemeenschappelijke taal is. Die is er dan niet.

Daarom moet je drie dingen scheiden: formule, schaal en definities. De formule kun je in vijf minuten kopiëren. Een schaal kun je uit een sjabloon halen. Maar definities moet je begrijpen. Wat is “frequente blootstelling”? Wat is een “waarschijnlijke gevaarlijke gebeurtenis”? Wat is “mogelijkheid om schade te vermijden”? Wat is “ernstige schade”?

Als de definities zwak zijn, is de methode zwak. Ook met een professioneel ogende formule. Als de definities sterk zijn, kan zelfs een eenvoudige puntentelling een scherpe technische discussie opleveren.

Parameters in de Risk Score-methode: hier begint de fout

In de praktijk wordt de Risk Score-methode vaak samengevat tot een paar letters. S, F, O, A. Of S, E, P, A. Of S, F, Pr, Av. Op zichzelf is dat geen probleem. Het probleem begint wanneer niemand in het team precies kan uitleggen wat die parameters betekenen.

Als S de ernst van de schade is, moet duidelijk zijn welke schade je beoordeelt. De meest waarschijnlijke? De zwaarste denkbare? De zwaarste schade die redelijkerwijs voorzienbaar is binnen dit scenario?

Als F of E staat voor frequentie of blootstelling, moet duidelijk zijn of je kijkt naar normale productie, onderhoud, reinigen, instellen, storingen verwijderen of alle situaties waarin een mens daadwerkelijk in de gevarenzone komt.

Als O of Pr de mogelijkheid van een gevaarlijke gebeurtenis beschrijft, moet je weten waarover je praat: technische storing, menselijke fout, overbrugging van een afscherming, verlies van controle over een product, onverwacht starten of iets anders.

Als A of Av de mogelijkheid om schade te vermijden beschrijft, moet je stoppen met doen alsof “de operator let op” een beschermende maatregel is.

Deze tabel is belangrijker dan de formule. De formule verwerkt alleen waarden. Die waarden komen uit menselijke keuzes.

Met zwakke definities wordt de score zwak, ook als het werkblad er professioneel uitziet. Met goede definities verandert de discussie. Het team praat dan niet over “geven we een 3 of een 4 zodat de kleur beter wordt?”. Het team praat over het scenario: komt de operator hier echt elke dienst? Kan de gevaarlijke gebeurtenis plotseling optreden? Beperkt de afscherming de toegang, of verplaatst zij het probleem naar het reinigen? Is na de beschermende maatregel de blootstelling veranderd, de waarschijnlijkheid, de mogelijkheid om schade te vermijden, of alleen de kleur in de tabel?

Dan doet de Risk Score-methode wat zij moet doen. Zij vervangt het denken niet. Zij ordent het.

Kunnen verschillende versies van de Risk Score-methode correct zijn?

Ja. Mits ze de kern van de risicobeoordeling niet kwijtraken.

ISO 12100 legt geen vaste formule op. De norm eist dat je de ernst van de mogelijke schade en de waarschijnlijkheid van optreden beoordeelt. Hoe je die waarschijnlijkheid verder opsplitst, kan verschillen.

Een andere formule maakt een methode niet automatisch fout. Fout wordt het wanneer onduidelijk is wat de parameters betekenen. Fout wordt het wanneer de eindscore het scenario vervangt. Fout wordt het wanneer het team na een beschermende maatregel waarden verandert, maar niet kan uitleggen welk deel van het risico daadwerkelijk is veranderd.

Het doel is niet dat elke organisatie identiek rekent. Het doel is dat elke organisatie bewust rekent.

Waarom alleen een eindscore te weinig zegt

In de praktijk eindigt de Risk Score-methode vaak met één woord: laag, middel of hoog. Of met één getal. Maar dat ene getal zegt nog niet welk probleem je voor je hebt.

Stel dat een beoordeling deze waarden oplevert: S = 2, F = 3, O = 3, A = 3. De som is 11. Categorie: middel risico. Dat kan prima zijn. Maar het belangrijkste is niet de 11. Het belangrijkste is dat je ziet waar die 11 vandaan komt.

Want dezelfde eindscore kan uit totaal verschillende situaties komen. Wiskundig gelijk. Technisch totaal anders.

Dezelfde score. Drie verschillende gesprekken.

In het eerste geval kijk je misschien naar het beperken van blootstelling of het verlagen van de waarschijnlijkheid van de gevaarlijke gebeurtenis. In het tweede geval mag je de ernst niet negeren omdat de som toevallig gelijk is. Als dodelijk letsel mogelijk is, moet de onderbouwing van alle lage waarden zeer sterk zijn. In het derde geval zit het probleem mogelijk niet in de ernst, maar in herhaalde kleine letsels of hinder door voortdurende blootstelling.

Er zijn nog scherpere voorbeelden. Denk aan 4 + 1 + 1 + 1 = 7. In veel tabellen wordt dat laag risico. Op het eerste gezicht lijkt alles rustig: zeldzame blootstelling, lage waarschijnlijkheid, schade vermijden lijkt mogelijk. Maar S = 4 betekent dodelijke of catastrofale gevolgen.

Ben je echt bereid dat risico te accepteren omdat de som laag uitvalt? Als iemand stelt dat een risico met potentieel dodelijke gevolgen laag is, moet hij uitstekend kunnen uitleggen waarom de andere parameters zo gunstig zijn. Is blootstelling werkelijk sporadisch? Is de gevaarlijke gebeurtenis echt zo onwaarschijnlijk? Kan de mens de gevolgen werkelijk vermijden?

De eindcategorie kan de waakzaamheid laten inslapen. “Middel” is te weinig. “Laag” is vaak ook te weinig. Je moet de opbouw van de score zien.

Dat geldt ook na risicoreductie. Als de score daalt van 15 naar 9, is de vraag niet: is het groen geworden? De vraag is: wat is veranderd?

Heeft een afscherming de toegang tot de gevarenzone beperkt? Heeft een vergrendelende afscherming de waarschijnlijkheid van gevaarlijke beweging bij geopende afscherming verlaagd? Heeft snelheidsreductie de mogelijkheid om schade te vermijden verbeterd? Heeft een constructiewijziging de ernst van mogelijk letsel echt verlaagd? Of heeft iemand gewoon waarden aangepast zodat de tabel er beter uitziet?

Een goede score verstopt zich niet achter het eindgetal. Zij toont de verdeling van de parameters. Niet als bewijs van veiligheid, maar als spoor van technische besluitvorming.

Risk Score-methode in SafetySoftware: een score moet onderbouwd zijn

In Excel kun je alles berekenen. Kolommen voor S, F, O en A. Waarden invullen. Formule toevoegen. Kleuren instellen. Het oogt professioneel.

Maar het probleem bij risicobeoordeling is zelden dat iemand vier getallen niet kan optellen. Het echte probleem komt een maand later. Of een jaar later. Of na een incident. Dan vraagt iemand: waarom zijn precies deze waarden gekozen?

Waarom is de ernst op 2 gezet en niet op 4? Waarom is blootstelling “soms” genoemd terwijl de operator meerdere keren per dienst storingen verwijdert? Waarom is schade vermijden als mogelijk beoordeeld terwijl de beweging plotseling start? Waarom is na plaatsing van een afscherming de ernst verlaagd in plaats van de blootstelling?

Daarom heeft de Risk Score-methode discipline nodig. De score mag geen los getal zijn. Zij moet gekoppeld zijn aan het volledige scenario:

• welk gevaar is geïdentificeerd;
• in welke zone van de machine speelt het;
• tijdens welke taak ontstaat de gevaarlijke situatie;
• wie wordt blootgesteld;
• welke gevaarlijke gebeurtenis kan optreden;
• welke schade kan ontstaan;
• welke parameterwaarden zijn gekozen;
• welke score volgt daaruit;
• welke beschermende maatregel is gekozen;
• welke score volgt na risicoreductie;
• welk restrisico blijft over.

Dan begint het getal te werken. Niet als versiering in een rapport. Niet als kleur in een tabel. Niet als argument “het is middel, dus klaar”. Maar als onderdeel van een technische beslissing.

Dat is vooral belangrijk na het toepassen van beschermende maatregelen. Plaats je een vaste afscherming, dan verandert meestal niet de ernst van de mogelijke schade. Contact met een snijgereedschap blijft ernstig. Wat verandert, is de blootstelling: de operator kan er tijdens normale productie niet meer vrij bij.

Plaats je een vergrendelende afscherming, dan kan de waarschijnlijkheid van een gevaarlijke gebeurtenis veranderen, omdat het openen van de afscherming de gevaarlijke beweging moet stoppen of voorkomen.

Verlaag je de snelheid in instelmodus, dan kan de mogelijkheid om schade te vermijden verbeteren. De mens krijgt meer tijd om te reageren.

Wijzig je de constructie en verwijder je een knelpunt, dan kan de ernst dalen of kan het gevaar zelfs verdwijnen.

Dat is het verschil tussen goede risicobeoordeling en punten herschrijven. In een goede beoordeling verlaag je de score niet omdat “er iets aan beveiliging is toegevoegd”. Je laat zien welk element van het risico daadwerkelijk is veranderd.

Software kan de beslissing niet overnemen van de constructeur. Zij kan de machine niet magisch veilig verklaren. Wat zij wel moet doen: de logica vasthouden. Methode. Parameters. Definities. Score vóór risicoreductie. Beschermende maatregel. Score na risicoreductie. Restrisico. Onderbouwing.

Dat is de echte waarde van de Risk Score-methode. Niet het getal zelf, maar de mogelijkheid om te laten zien waar het getal vandaan komt en wat er na een ontwerpbeslissing is veranderd.

Wanneer helpt de Risk Score-methode en wanneer misleidt zij?

De Risk Score-methode helpt wanneer zij het team dwingt om gestructureerd te denken. Zij helpt wanneer je veel gevaarlijke situaties moet vergelijken. Zij helpt bij prioriteren. Zij helpt om het verschil te laten zien tussen de toestand vóór risicoreductie en de toestand na beschermende maatregelen.

Zij helpt ook om zichtbaar te maken dat het probleem niet altijd de ernst van de schade is. Soms is het probleem te frequente blootstelling. Soms de mogelijkheid om een afscherming te overbruggen. Soms het ontbreken van reactietijd. Soms het feit dat de operator een taak moet uitvoeren op een plaats waar hij helemaal niet zou moeten zijn.

Maar de methode misleidt wanneer zij het denken vervangt. Zij misleidt wanneer waarden worden ingevuld zonder scenario. Zij misleidt wanneer het team de parameters niet begrijpt. Zij misleidt wanneer de eindscore wordt behandeld als bewijs van veiligheid.

Zij misleidt wanneer na een beschermende maatregel waarden worden verlaagd alleen omdat het resultaat er beter uit moet zien. Zij misleidt wanneer een lage som zeer ernstige mogelijke schade afdekt. Zij misleidt wanneer “mogelijkheid om schade te vermijden” gebaseerd is op geloof in de reflexen van de operator. Zij misleidt wanneer “lage waarschijnlijkheid” alleen betekent dat er tot nu toe geen ongeval is gebeurd.

Daarom vraagt de Risk Score-methode geen grote wiskunde. Zij vraagt discipline.

Eerst het scenario benoemen. Dan de parameters definiëren. Dan dezelfde logica toepassen vóór en na risicoreductie. Dan controleren of de beschermende maatregel echt iets aan het risico verandert. En daarna documentatie achterlaten die begrijpelijk is zonder de persoon die haar heeft opgesteld.

Want een goede risicobeoordeling wordt niet alleen geschreven voor de dag waarop het rapport wordt ondertekend. Zij wordt ook geschreven voor de dag waarop iemand vraagt: waarom vonden jullie dat dit risico voldoende is gereduceerd?

Conclusie: het getal is niet het doel

De Risk Score-methode is populair omdat zij eenvoudig is. Dat is haar kracht. Maar diezelfde eenvoud is ook de valkuil.

Je kunt rekenen verwarren met risicobeoordeling. Je kunt een kleur verwarren met een beslissing. Je kunt een score verwarren met bewijs. En precies dat moet je voorkomen.

In ISO 12100 gaat het er niet om dat de tabel er goed uitziet. Het gaat erom dat de fabrikant kan aantonen dat gevaren zijn geïdentificeerd, risico’s zijn ingeschat, beschermende maatregelen zijn gekozen, het effect van risicoreductie is beoordeeld en het restrisico is vastgelegd.

De Risk Score-methode kan daarbij sterk helpen. Op één voorwaarde: het getal mag niet op zichzelf gaan leven.

Een score van 11, 14 of 99 zegt nog niet of een machine veilig is. Zij zegt alleen dat bepaalde waarden zijn gekozen. Pas wanneer duidelijk is waarom die waarden zijn gekozen, krijgt de score betekenis.

De belangrijkste vraag is dus niet: welke score kwam eruit?

De belangrijkste vraag is: kun je de waarden verdedigen die tot die score hebben geleid?

Als dat kan, helpt de methode. Als dat niet kan, doet zij alleen alsof er orde is.