Bij de oplevering wijst de fabrikant op drie keurige zinnen in de gebruiksaanwijzing: ‘Reiniging uitsluitend na het uitschakelen van alle energiebronnen. Onderhoud mag alleen worden uitgevoerd door getraind personeel. De gebruiker moet hiervoor een geschikte procedure opstellen.’
Drie zinnen, drie afgevinkte punten. Op de werkvloer blijkt de machine echter twee elektrische voedingen, een pneumatische installatie en een energieopslag te hebben die ook na uitschakeling van de hoofdschakelaar nog een beweging kan veroorzaken. De procedure bestaat nog niet en met ‘getraind personeel’ wordt vooral de medewerker bedoeld die er het langst werkt.
De machine is beveiligd met de toekomstige tijd.
Stap 3 ISO 12100 betekent niet dat alles wat tijdens het ontwerp onopgelost bleef, in de gebruiksaanwijzing mag worden geparkeerd. Gebruiksinformatie is het laatste onderdeel van de risicoreductiestrategie. Ze volgt op inherent veilig ontwerpen en technische beschermingsmaatregelen; ze vervangt die maatregelen niet.
Kon een gevaar worden weggenomen, de energie worden beperkt, de toegang onmogelijk worden gemaakt of een passende veiligheidsfunctie worden toegepast, dan mag de fabrikant dat niet vervangen door een training, pictogram of oproep om extra voorzichtig te zijn. De gebruiksaanwijzing moet het risico beschrijven dat na serieuze technische maatregelen werkelijk overblijft.
Dat maakt deze stap niet tot een administratief sluitstuk. Hier raken het werk van fabrikant en gebruiker elkaar. De fabrikant bepaalt welk risico resteert, waar en tijdens welke taak het optreedt en welke gebruiksvoorwaarden zijn aangenomen. De gebruiker vertaalt dit naar procedures, instructie, toezicht, werkvergunningen, energie-isolatie, aanvullende beveiligingen en persoonlijke beschermingsmiddelen.
De kernvraag is dus: wat moet de fabrikant overdragen, wat moet de gebruiker organiseren en hoe stel je vast dat het geheel ook buiten de opleverruimte werkt?
1. Stap 3 van ISO 12100 is geen goedkopere versie van stap 1 en 2
De drie stappen van risicoreductie zijn geen gelijkwaardige keuzemogelijkheden. Een constructeur mag niet kiezen tussen een ontwerpwijziging, een beveiliging of een waarschuwing op basis van wat het gemakkelijkst in planning en budget past. De volgorde doet ertoe.
Eerst wordt onderzocht of het gevaar door inherent veilig ontwerp kan worden weggenomen of beperkt. Is dat onvoldoende, dan volgen technische en aanvullende beschermingsmaatregelen. Pas voor het risico dat daarna resteert, wordt gebruiksinformatie opgesteld.
Neem een afstelling waarvoor iemand met een hand in het bewegingsgebied moet komen. De fabrikant kan het afstelpunt verplaatsen, de geometrie wijzigen, energie en snelheid beperken, een afscherming met vergrendeling toepassen of een veilige instelmodus ontwerpen. Wie meteen schrijft dat ‘alleen getraind personeel’ de afstelling mag uitvoeren, heeft stap 3 niet bereikt. Hij heeft twee eerdere haltes overgeslagen en kijkt verbaasd toe terwijl de trein nog op het perron staat.
Wat is concreet aan het ontwerp en de beveiligingen gedaan voordat werd besloten dat de gebruiker verdere maatregelen moet nemen?
Een bruikbaar antwoord noemt het onderzochte scenario, de toegepaste maatregel, het verificatieresultaat en het resterende risico. Luidt het antwoord alleen ‘we hebben een waarschuwing toegevoegd’, dan is de gebruiksaanwijzing geen derde stap. Ze is decoratie voor het ontbreken van de eerste twee.
Gebruiksinformatie is bovendien niet bedoeld om achteraf te rechtvaardigen waarom een haalbare technische maatregel niet is toegepast. Alleen risico dat ondanks passende maatregelen onvoldoende kon worden verminderd, is werkelijk restrisico.
De technische basis ligt daarom eerst bij inherent veilige ontwerpoplossingen en vervolgens bij technische beschermingsmaatregelen aan machines. Pas daarna wordt informatie voor de gebruiker het resultaat van engineering in plaats van een tekstuele vervanging daarvan.
2. De fabrikant moet het risico beschrijven, niet zijn geweten sussen
Gebruiksinformatie moet tot een concrete handeling leiden. Als na het lezen nog steeds onduidelijk is wat kan gebeuren, tijdens welke taak en hoe dat moet worden voorkomen, heeft de fabrikant tekst geleverd, maar nog geen bruikbare informatie.
‘Koppel de machine vóór onderhoud los van alle energiebronnen’ klinkt verstandig. Toch ontlast de hoofdschakelaar geen hydraulisch circuit, leegt hij geen persluchtvat, ondersteunt hij geen geheven machinegroep en neemt hij geen veerenergie weg. Natuurkunde ondertekent het opleveringsrapport niet.
Bruikbare informatie vermeldt ten minste:
- tijdens welke taak en levensfase het risico optreedt;
- waar de gevarenzone ligt en wie eraan kan worden blootgesteld;
- welke gevaarlijke gebeurtenis kan plaatsvinden en met welke gevolgen;
- welke maatregelen de fabrikant al heeft toegepast;
- welk risico desondanks resteert;
- wat de gebruiker precies moet doen;
- welke competenties, hulpmiddelen, procedures of beschermingsmiddelen nodig zijn.
Voor de vervanging van een onderdeel kan bijvoorbeeld nodig zijn dat een specifieke voeding wordt uitgeschakeld, een afsluiter wordt gesloten en vergrendeld, druk wordt afgelaten en gecontroleerd en een geheven deel mechanisch wordt ondersteund. Dat geeft de gebruiker materiaal voor een echte LOTO-procedure, onderhoudsinstructie en training.
Ook de plaats van de informatie telt. Een risico dat direct handelen vraagt, hoort niet uitsluitend op pagina 143 van de handleiding thuis. Afhankelijk van de situatie zijn markeringen op de machine, waarschuwingssignalen of meldingen op de bedieningsplaats nodig. Een operator hoort geen bibliotheekonderzoek te doen terwijl een systeem druk verliest.
Niet elke aanwijzing hoeft een waarschuwing te zijn. De fabrikant moet ook veilige gebruiksvoorwaarden vastleggen, zoals toegestane materialen, procesgrenzen, installatievoorwaarden, inspectie-intervallen en vereiste competenties. Die voorwaarden moeten voortkomen uit de risicobeoordeling, niet uit de latere behoefte om het hoofdstuk ‘Veiligheid’ te vullen.
Alleen schrijven dat er restrisico aan de machine bestaat, helpt nauwelijks. De gebruiker beheert geen abstract begrip, maar een taak, een persoon, aanwezige energie en concrete arbeidsomstandigheden. Goede informatie maakt de stap mogelijk van ‘er resteert risico’ naar ‘daarom moet exact dit gebeuren’.
3. De fabrikant rondt het ontwerp af; de gebruiker organiseert het werk
Figuur 2 van ISO 12100 is voor beide partijen ongemakkelijk. De fabrikant kan zijn beoordeling niet beëindigen met ‘verdere maatregelen door de gebruiker’. De gebruiker kan evenmin aannemen dat de CE-markering automatisch procedures heeft opgesteld, monteurs heeft getraind en heeft gecontroleerd hoe de nachtdienst storingen verhelpt.
De norm laat twee niveaus van restrisico zien. Het eerste blijft over na de maatregelen van de ontwerper: inherent veilig ontwerp, technische en aanvullende beschermingsmaatregelen en gebruiksinformatie. De fabrikant moet dit herkennen, beoordelen en beschrijven.
Het tweede niveau houdt ook rekening met maatregelen van de gebruiker, zoals werkorganisatie, procedures, toezicht, vergunningstelsels, aanvullende beveiligingen, persoonlijke beschermingsmiddelen en training. Tussen beide niveaus staat geen handtekening, maar daadwerkelijke invoering.
| De fabrikant draagt over | De gebruiker voert in |
|---|---|
| Beschrijving van het resterende risico en het scenario | Een uitvoerbare werkwijze voor de taak |
| Voorwaarden voor veilig gebruik | Werkorganisatie die aan die voorwaarden voldoet |
| Vereiste competenties | Selectie van medewerkers en bevestiging van hun bekwaamheid |
| Eisen aan energie-isolatie | LOTO-procedure, vergrendelingen en zo nodig een werkvergunning |
| Noodzaak van aanvullende maatregelen | Selectie, installatie, controle en onderhoud daarvan |
| Eisen aan persoonlijke beschermingsmiddelen | Beschikbaar stellen, gebruiken en controleren van passende middelen |
| Inspectie- en onderhoudseisen | Planning en aantoonbare uitvoering |
Met ‘gebruiker’ wordt niet alleen de operator bij de startknop bedoeld. Aan gebruikerszijde staan ook de werkgever die het werk organiseert, de verantwoordelijke voor de technische dienst, de leidinggevende die toezicht houdt en de monteur die een interventie uitvoert. Iedere rol heeft andere informatie nodig.
De technische dienst moet weten hoe energie wordt geïsoleerd en beveiligingen worden gecontroleerd. De leidinggevende moet bepalen wie welke taak mag uitvoeren. De operator heeft heldere regels nodig voor productie, afstelling, reiniging en storingen. Alles onderbrengen in één hoofdstuk ‘Algemene opmerkingen’ levert vooral een hoofdstuk op dat niemand graag leest.
Hier komen bovendien twee processen samen: de risicobeoordeling van de machinefabrikant en de risico-inventarisatie en -evaluatie van de werkgever. Ze zijn verbonden, maar vervangen elkaar niet. De fabrikant beoordeelt de machine binnen het bedoelde gebruik en redelijkerwijs voorzienbaar verkeerd gebruik. De werkgever beoordeelt de werkelijke opstelling, omgeving, organisatie, medewerkers en het proces waarin de machine is opgenomen.
Samenwerking betekent dus niet dat verantwoordelijkheden met één gezamenlijke handtekening door twee worden gedeeld. Iedere partij moet haar eigen werk uitvoeren, terwijl de informatie van de fabrikant de gebruiker in staat moet stellen dat bewust en aantoonbaar te doen.
4. Een procedure werkt alleen als iemand haar werkelijk gebruikt
Zelfs perfecte informatie sluit geen afsluiter, brengt geen hangslot aan, controleert geen energieloosheid en voorkomt geen onverwachte herstart. Dat moet de gebruiker organiseren.
Als een storing alleen na energie-isolatie mag worden verholpen, moet minimaal zijn vastgelegd:
- wie de machine mag stoppen;
- welke energiebronnen moeten worden geïsoleerd;
- waar de isolatiepunten zich bevinden;
- hoe opnieuw inschakelen wordt verhinderd;
- hoe de afwezigheid van energie wordt gecontroleerd;
- wie vergrendelingen mag verwijderen;
- onder welke voorwaarden de machine wordt vrijgegeven.
Zonder die afspraken is ‘LOTO toepassen’ de naam van een procedure, niet de procedure zelf.
De werkwijze moet ook passen bij de echte taak. Als een blokkade twintig keer per dienst voorkomt terwijl de voorgeschreven aanpak telkens twintig minuten stilstand vraagt, is het vervolg voorspelbaar. Eerst ontstaat een verkorte route, daarna een mondelinge praktijk die alleen ervaren medewerkers kennen en uiteindelijk wordt een beveiliging vastgezet omdat die ‘in de weg zit’.
Dat is geen argument om veiligheid uit de procedure te schrappen. Veelvuldig ingrijpen kan juist aantonen dat het ontwerp, de procesbetrouwbaarheid of de technische beveiliging opnieuw moet worden beoordeeld. Een goed uitgewerkte derde stap brengt praktijkervaring terug naar de risicobeoordeling.
Hetzelfde geldt voor training. Een presentielijst bewijst dat mensen tegelijk in één ruimte zaten. Ze bewijst niet dat zij een afstelling, reiniging of onderhoudsingreep veilig kunnen uitvoeren. Training moet echte taken, aanwezige gevaren, het juiste gebruik van beveiligingen en afwijkende situaties behandelen. Bekwaamheid moet in de praktijk worden gecontroleerd en opnieuw worden beoordeeld na relevante wijzigingen aan machine, proces, procedure of takenpakket.
Toezicht is meer dan handtekeningen controleren. Observeer het werk, reageer op omzeilde beveiligingen en onderzoek waarom medewerkers sluiproutes kiezen. Eén overbrugde vergrendeling kan een individuele fout zijn. Vijf overbrugde vergrendelingen op dezelfde lijn zeggen ook iets over het machineontwerp en de productieorganisatie.
Ook persoonlijke beschermingsmiddelen vragen om precisie. ‘Draag veiligheidshandschoenen’ zegt niet waartegen die moeten beschermen of welke eigenschappen nodig zijn. Handschoenen kunnen bij bewegende delen zelfs een extra gevaar door meesleuren veroorzaken. De gebruiker moet het middel dus kiezen voor de concrete taak en werkomstandigheden.
Een maatregel werkt pas wanneer hij uitvoerbaar en begrijpelijk is, medewerkers er tijd voor krijgen en iemand het gebruik controleert. Een gelamineerde instructie kan jarenlang onberispelijk blijven, vooral als niemand haar aanraakt.
5. Een goede derde stap laat een spoor achter
Bij de oplevering weet de ontwerper nog waarom mechanische ondersteuning nodig is. Zes maanden later beheert iemand anders de documentatie, draait de machine op een andere lijn en werkt de auteur van de beoordeling alweer aan een volgend project.
Over blijft de zin: ‘Onderhoud uitsluitend nadat de eenheid mechanisch is geborgd.’ Maar welke beweging kan optreden? Welk onderdeel moet in welke positie worden ondersteund? Welke andere maatregelen zijn toegepast? De antwoorden staan vermoedelijk ergens in het bestand DEFINITIEF_risicobeoordeling_v8_na_correcties_2.xlsx.
Gebruiksinformatie moet herleidbaar zijn tot een concreet risicoscenario: van gevaar en gevaarlijke gebeurtenis, via ontwerp- en beschermingsmaatregelen, naar het restrisico en de vereiste handeling van de gebruiker. Een risicoscore zonder die samenhang is slechts een getal.
Een bruikbaar spoor omvat bijvoorbeeld:
- taak en levensfase van de machine;
- bron van het gevaar en mogelijke gevaarlijke gebeurtenis;
- blootgestelde personen en verwachte gevolgen;
- toegepaste risicoreducerende maatregelen;
- resultaat van verificatie of beproeving;
- omschrijving van het resterende risico;
- informatie in de handleiding of op de machine;
- vereiste actie van de gebruiker en de verantwoordelijke persoon;
- bewijs van uitvoering en controle op doeltreffendheid.
Dat bewijs hoeft geen nieuw dik rapport te zijn. Een goedgekeurde procedure, testresultaat, meetrapport, competentiebeoordeling, inspectieregistratie, foto van een markering of technisch besluit met onderbouwing kan voldoende zijn. Het bewijs moet wel bij de concrete eis horen. De mededeling dat ‘veiligheid is besproken’ bewijst vrijwel niets.
Een map vol documenten biedt evenmin automatisch traceerbaarheid. Honderd bestanden naast elkaar verklaren niet waarom een besluit is genomen. De waarde zit in de verbinding tussen scenario, maatregel, verificatie, gebruiksinformatie en uitvoering.
Dat spoor moet wijzigingen overleven. Een ander materiaal, nieuw gereedschap, hogere snelheid, verplaatsing van de machine of gewijzigde reinigingsmethode kan eerdere aannames ongeldig maken. De gebruiker moet dan kunnen vaststellen welke scenario’s opnieuw moeten worden beoordeeld. De complete documentatie vanaf pagina één doorzoeken is óók een methode, net zoals wachten tot de druk wegvalt om een lekkage te vinden.
In goede veiligheidssoftware eindigt de keten daarom niet bij het genereren van een rapport. Risicoscenario, maatregel, verificatie, restrisico en bewijs blijven onderdelen van één proces. Zo is later niet alleen zichtbaar wat werd vastgelegd, maar ook wie het besluit nam, waarop dat was gebaseerd en wat vervolgens is uitgevoerd.
Kan iemand die niet aan het ontwerp heeft meegewerkt uit de documentatie afleiden welk risico resteert en welke handeling nog moet worden uitgevoerd?
Zo ja, dan heeft de fabrikant bruikbare informatie overgedragen. Zo nee, dan heeft de gebruiker een technisch raadsel met bijlage ontvangen.