Risicobeoordeling van wet- en regelgeving volgens ISO met het bowtie-model

Transcriptie

1 Risicobeoordeling van wet- en regelgeving volgens ISO met het bowtie-model De definitieve richtlijn ISO is eind 2014 gepubliceerd. Deze richtlijn voor compliance management geeft een organisatie een extra handvat om zo goed mogelijk te voldoen aan wet- en regelgeving en aan normen die de onderneming zichzelf stelt. Een belangrijk onderdeel van de nieuwe richtlijn is de risicobeoordeling. Op basis hiervan kan een organisatie prioriteiten stellen. Zo kan de meeste aandacht uitgaan naar verplichtingen met de grootste risico s bij het niet naleven. Het bowtie-model is een bijzonder bruikbare methode om deze risicobeoordeling uit te voeren. Michiel Bareman, ERC Management Advies en mede-eigenaar Panoptys, software voor compliance Over compliance management in het kader van ISO en OHSAS heeft de Stichting Coördinatie Certificatie Milieu- en Arbomanagementsystemen (SCCM) negen praktische stappen uitgewerkt in het informatieblad naleving van wet- en regelgeving met milieu- en arbomanagementsysteem (zie kader). In de praktijk worstelen veel bedrijven met de uitvoering van deze negen stappen. Dit heeft verschillende redenen. Op de eerste plaats is het een tijdrovend proces. Er zijn heel veel documenten die in het register wet- en regelgeving thuishoren. Het uitwerken van al die verplichtingen in consequenties voor het bedrijf en het vaststellen en uitvoeren van daarbij behorende taken is een forse inspanning. Op de tweede plaats vergt de grote hoeveelheid nieuwe en veranderende regelgeving uit Den Haag en Brussel een Negen stappen in compliance management volgens SCCM 1. Commitment tot naleving 2. Bepalen relevante wet- en regelgeving 3. Bijhouden wijzigingen wet- en regelgeving 4. Consequenties wettelijke eisen 5. Uitvoeren maatregelen voor compliance 6. Borging maatregelen om compliance te realiseren 7. Eigen beoordeling voldoen aan wet en regelgeving 8. Interne audit 9. Directiebeoordeling voortdurende actualisering van het compliance managementsysteem. Ook dat kost veel werk. Bedrijven slagen er niet altijd in om daarvoor de tijd beschikbaar te maken. Risicobenadering in ISO De nieuwe norm ISO Compliance managementsysteem - Richtlijnen geeft compliance management verdere invulling. Een nieuw onderdeel is de risicobeoordeling die moet worden uitgevoerd (zie kader op de volgende pagina). De vraag dringt zich op wat het nut is van een risicobenadering bij wettelijke eisen. Iedere wettelijke verplichting moet immers worden nageleefd. Eerst moet de vraag beantwoord worden of het risico beoordeeld moet worden op het niet naleven van een wet of regeling als geheel, of op ieder voorschrift uit die wet afzonderlijk. Het eerste lijkt niet de bedoeling van ISO en in het laatste geval is de praktische uitvoerbaarheid in het geding. Een register wet- en regelgeving bevat regelmatig 100 of meer documenten met ieder gemiddeld 100 voorschriften. Dat betekent dat er zo n compliance obligations zijn! Het uitvoeren van een risicoassessment over zo n enorme hoeveelheid verplichtingen is feitelijk ondoenlijk. In 2006 hebben de provincie Zeeland, de VROM-Inspectie en Thermphos in de Pilot Compliance Management hierover afgesproken dat de risicobeoordeling gericht moet zijn op het vinden van een adequaat niveau van borging. Het is namelijk onwerkbaar om op elke wettelijke verplichting een even zwaar borgingsmechanisme te zetten. Dit geeft 30

2 Identificatie, analyse en evaluatie van compliance risico s volgens ISO Compliance risk can be characterized by the likelihood of occurrence and the consequences of noncompliance with the organization s compliance obligations. The organization should identify and evaluate its compliance risks. This evaluation can be based on a formal compliance risk assessment or conducted via alternative approaches. Compliance risk assessment constitutes the basis for the implementation of the compliance management system and the planned allocation of appropriate and adequate resources and processes to manage identified compliance risks. The organization should identify compliance risks by relating its compliance obligations to its activities, products, services and relevant aspects of its operations in order to identify situations where noncompliance can occur. The organization should identify the causes for and consequences of noncompliance. The organization should analyse compliance risks by considering causes and sources of noncompliance and the severity of their consequences, as well as the likelihood that noncompliance and associated consequences can occur. Bron: ISO 19600:2014 problemen met de beschikbare mankracht. 1 Deze aanpak wordt nu bevestigd in ISO Risicobeoordeling in normen en wetgeving In de managementsysteemnormen zoals ISO en OHSAS 18001, en ook volgens de nieuwe HLS, was altijd al een risicobeoordeling verplicht. Hierbij gaat het niet om compliance obligations, maar om een risicobeoordeling voor respectievelijk het milieu of de in- en externe medewerkers in het bedrijf. In principe staat deze risicobeoordeling los van de wettelijke eisen en de naleving daarvan, maar in de praktijk blijkt er een grote overlap te zijn. Soms is deze overlap zelf wettelijk vastgelegd. Het Besluit risico s zware ongevallen (Brzo), het Besluit externe veiligheid buisleidingen (Bevb) en de Arbowet zijn hier goede voorbeelden van. In deze regelingen wordt een risicobeoordeling verplicht, inclusief een managementsysteem om de maatregelen uit de risicobeoordeling te implementeren en te borgen. Terwijl andere richtlijnen juist alleen maar middelvoorschriften bevatten. PGS 29 2 is hiervan een goed voorbeeld. Deze verschillende benaderingen in wet- en regelgeving zorgen ervoor dat een Brzo-bedrijf met opslag van gevaarlijke stoffen in een opslagtank enerzijds een risicobeoordeling moet uitvoeren op basis van het Brzo en anderzijds gewoonweg de middelvoorschriften uit PGS 29 moet opvolgen. 3 Veel bedrijven ervaren dit vanwege de discrepantie als onwenselijk en soms onmogelijk. Door de wettelijke eisen en de bedrijfsrisico s in samenhang te beoordelen, ontstaat een meer praktische en efficiënte benadering, die ook goed werkt voor de risicobeoordeling als bedoeld in ISO De risicoanalysemethode bowtie (zie hieronder) biedt hiervoor een uitstekende mogelijkheid. Daarbij is het niet noodzakelijk gebruik te maken van software, zoals in de voorbeelden hierna gebeurt. Bowtie: een krachtig instrument voor risicoanalyse De bowtie-methode geeft op een systematische en efficiënte manier een beeld van de risico s in een organisatie en van mogelijke preventieve en mitigerende maatregelen. Bowtie gaat uit van verschillende scenario s. Het model combineert risico s, bedreigingen, en preventieve en mitigerende maatregelen in één model. Dat maakt het tot een krachtig instrument. Het model kan een beeld geven van de manier waarop (in complexe systemen) risico s worden beheerst en gemanaged. Hierbij kan een directe koppeling worden gemaakt met specifieke organisatorische factoren, zoals risicoperceptie, gedrag, cultuur en aanwezige middelen en competenties. Het plaatje (de bowtie ) geeft een eenvoudig beeld van een complexe risicoanalyse. Begrijpelijk voor zowel het (hoger) management als de mensen op de werkvloer. Zie verder: The BowTie method in 5 minutes. KAMNieuwsbrief 4 /

3 Sectorspecifiek Figuur 1 - Bowtie-model met middel- en doelvoorschriften Doel- en middelvoorschriften in wetgeving Wetgeving kan worden gezien als een maatschappelijke risicobeoordeling met daaraan gekoppeld doelvoorschriften en/of middelvoorschriften. De wetgever bepaalt hierbij welke situatie hij wil voorkomen (doelvoorschriften) en welke maatregelen om die reden moeten worden genomen (middelvoorschriften). Doelvoorschriften zijn ofwel de maximaal toegestane consequenties ofwel de Top event (ook wel Loss of Control genoemd) die moet(en) worden voorkomen. Middelvoorschriften kunnen in het bowtie-model worden gezien als beheersmaatregelen (zie figuur 1). Over het algemeen zijn er meer maatregelen die op een gelijkwaardige manier invulling geven aan het doelvoorschrift. Vaak wordt dit niet onderkend in wetgeving gebaseerd Figuur 2 - Risico s van brand voor diverse dimensies, voor en na het treffen van beheersmaatregelen op middelvoorschriften en worden er geen alternatieven geboden. Door de mogelijke consequenties met behulp van een risicomatrix te beoordelen, kan het risico voor iedere consequentie worden bepaald met behulp van de formule Risico = Kans x Effect. Het risico is dan gelijk aan de kans dat een consequentie optreedt vermenigvuldigd met de ernst van deze consequentie. Voor iedere consequentie kunnen de risico s voor meerdere aspecten worden bepaald, bijvoorbeeld milieu, veiligheid, kwaliteit en financiën. In figuur 2 zijn de inherente risico s voor de consequentie brand voor vier verschillende dimensies aan de bovenzijde getoond (E3 D4). Onderaan worden de risico s getoond als er beheersmaatregelen getroffen zijn (C1 B2). Naarmate het inherente risico hoger is ( rood of oranje ), moeten de beheersmaatregelen talrijker en/of betrouwbaarder zijn. De doelen van een wettelijke regeling kunnen we vertalen naar consequenties of een top event in het bowtie-model. Vervolgens kunnen we per consequentie of top event de risico s inschatten met de risicomatrix. Omdat middelvoorschriften altijd nageleefd moeten worden, nemen we ze direct als beheersmaatregelen op in het bowtiemodel. Afhankelijk van het risico dat het optreden van een consequentie met zich meebrengt, kunnen we ook andere beheersmaatregelen implementeren. Of we kunnen met een hogere onderhouds- of beoordelingsfrequentie de betrouwbaarheid verhogen van de reeds opgenomen beheersmaatregel (in casu het middelvoorschrift). 32

4 Sectorspecifiek De bowtie en PGS 29 Aan de hand van PGS 29 werken we dit uit in een voorbeeld. In figuur 3 zijn in een bowtie de bedreigingen en de consequenties voor het top event van PGS 29, vrijkomen tankinhoud weergegeven. Figuur 3 - Bowtie voor topevent vrijkomen van tankinhoud Paragraaf 2.2 van richtlijn PGS 29 geeft als algemeen doel: het verkleinen van veiligheidsrisico s. PGS 29 kent 275 verschillende voorschriften, vrijwel allemaal middelvoorschriften, zowel preventief als repressief. Op grond van de verschillende paragrafen kan het bovenstaande bowtiemodel worden gemaakt met de LOC (Loss Of Containment) vrijkomen tankinhoud en de consequenties brand, explosie, bodemverontreiniging, vrijkomen H 2 S en vrijkomen VOS (Vluchtige Organische Stoffen). De LOC en de vijf consequenties worden geanalyseerd met behulp van een risicomatrix. De hoogte van de risico s is vervolgens bepalend voor de gewenste bedrijfszekerheid, en dus de borging, van de verschillende verplichte beheermaatregelen. In figuur 4 is dit uitgelicht voor de bedreiging overvullen en het gevolg brand. Opgenomen zijn alleen maatregelen uit PGS 29. Als een bedrijf andere beheersmaatregelen wil nemen dan de maatregelen opgenomen in PGS 29, dan kan dat onder voorwaarden 3. De bowtie geeft daarbij een goed overzicht om de alternatieven te bespreken met de overheid. Een andere mogelijkheid is dat de middelvoorschriften uit PGS 29 wel worden getroffen maar een lagere borging krijgen in verband met de niet-voorgeschreven maatregelen die het bedrijf zelf al heeft geïmplementeerd. De bowtie en risicobeoordeling volgens ISO Zoals eerder beschreven is van belang dat de bowtiemethode vooral als gedachtegang een goede richting kan geven voor het uitvoeren van de risicobeoordeling conform ISO Het is in veel gevallen niet noodzakelijk om software te hebben om een bowtie uit te werken. Het gaat erom dat de volgende stappen gevolgd worden: 1. Onderscheid maken in middel- en doelvoorschriften; 2. De doelvoorschriften vertalen naar consequenties en top events en beoordelen op de omvang van het risico aan de hand van een risicomatrix; 3. Middelvoorschriften relateren aan de consequenties en top events; Figuur 4 - Uitwerking beheersmaatregelen voor onderdeel van de bowtie KAMNieuwsbrief 4 /

5 4. Volgens de bedrijfsrisicomatrix bepalen of meer consequenties en top events onderscheiden moeten worden; 5. Bij alle consequenties en top events bepalen of eigen beheersmaatregelen nodig zijn naast of in plaats van de middelvoorschriften uit de wet- en regelgeving; 6. Afhankelijk van de risico s van de consequenties en top events een onderhouds- of beoordelingsfrequentie bepalen bij de beheersmaatregelen (zowel de voorgeschreven beheersmaatregelen als de eigen beheersmaatregel). Conclusies Op basis van het voorafgaande kunnen de volgende conclusies worden getrokken: 1. De risicobeoordeling in ISO met behulp van de bowtie is een waardevolle toevoeging om compliance management praktisch uitvoerbaar te maken omdat het helpt om een goede inschatting te maken van de urgentie en zwaarte van beheersmaatregelen; 2. Door de risicobeoordeling uit ISO uit te voeren met de bowtie methode, kan de wettelijke verplichte risicobeoordeling (zoals Brzo, Bevb), risicobeoordeling volgens ISO 14001, OHSAS 18001, ISO enzovoort en de risicobeoordeling volgens ISO in één model worden uitgevoerd; 3. De beschreven methode geeft bij richtlijnen waar van de beschreven middelvoorschriften mag worden afgeweken een goed kader voor bedrijf en overheid om af te wegen of deze alternatieven een zelfde borging geven; 4. Tot slot maakt de beschreven werkwijze helder dat wet- en regelgeving gebaseerd op middelvoorschriften kan worden verbeterd door eerst helder de doelen en bedreigingen te beschrijven en voor de middelvoorschriften meerdere alternatieven op te nemen. Meer informatie Voor meer informatie kunt u contact opnemen met Michiel Bareman, telefoon , michiel.bareman@erc-management.nl. 1 Eindrapport Pilot Compliance Management Frontoffice Chemie Juni Redactie: VROM 2 Richtlijn voor bovengrondse opslag van brandbare vloeistoffen in verticale cilindrische tanks 3 PGS 29 staat in principe andere oplossingen toe, zie 2.3 PGS 29, maar in de praktijk blijkt daarover moeilijk overeenstemming te krijgen met het bevoegd gezag. 4 Als de betreffende wet of regeling alternatieven toelaat Michiel Bareman is werktuigbouwkundige en heeft zich gedurende zijn carrière ontwikkeld tot allround adviseur op het gebied van milieu, risicomanagement en compliance. Jarenlang adviseerde hij gemeenten en provincies over handhaving en vergunningverlening. De laatste 10 jaar adviseert hij Brzo en Bevb bedrijven over vergunningen, compliance en de implementatie van een Integraal managementmentsysteem waaronder ISO 14001, en OHSAS Voor de implementatie van een Veiligheidsmanangementsysteem maakt hij oa gebruik van BowtieXP. In 2012 startte Michiel het bureau ERC Management Advies. Sinds 2012 werkt hij 3 dagen per week voor het BRZO bedrijf Abengoa als HSE consultant. In 2013 nam Michiel samen met Trin-It het initiatief om VMS van het adviesbureau MWH over te nemen en uit te bouwen tot Panoptys, een software systeem voor compliance management. 34