Załącznik I

1. GŁÓWNE ZASADY STOSUJĄCE SIĘ DO PROCESU ZARZĄDZANIA RYZYKIEM

1.1.

Główne zasady i obowiązki

1.1.1. Proces zarządzania ryzykiem rozpoczyna się od zdefiniowania systemu podlegającego ocenie i obejmuje następujące działania:

a) proces oceny ryzyka, w ramach którego identyfikuje się zagrożenia, ryzyko, związane z nimi środki bezpieczeństwa oraz wymogi bezpieczeństwa, które powinien spełniać oceniany system;

b) wykazanie zgodności systemu ze zidentyfikowanymi wymogami bezpieczeństwa; oraz

c) zarządzenie wszystkimi zidentyfikowanymi zagrożeniami oraz związanymi z nimi środkami bezpieczeństwa.

Proces zarządzania ryzykiem ma charakter wieloetapowy, a jego przebieg przedstawiono na schemacie w dodatku. Proces ten kończy się z chwilą wykazania zgodności systemu ze wszystkimi wymogami bezpieczeństwa koniecznymi do zaakceptowania ryzyka związanego ze zidentyfikowanymi zagrożeniami.

1.1.2. Proces zarządzania ryzykiem obejmuje odpowiednie działania w zakresie zapewnienia jakości i przeprowadza go kompetentny personel. Jest on niezależnie oceniany przez jednostkę oceniającą lub jednostki oceniające.

1.1.3. Wnioskodawca odpowiedzialny za proces zarządzania ryzykiem prowadzi rejestr zagrożeń zgodnie z pkt 4.

1.1.4. Podmioty, które stosują już metody lub narzędzia oceny ryzyka, mogą je dalej stosować, o ile takie metody lub narzędzia są zgodne z przepisami niniejszego rozporządzenia i spełniają następujące warunki:

a) metody lub narzędzia oceny ryzyka są opisane w systemie zarządzania bezpieczeństwem zaakceptowanym przez krajowy organ ds. bezpieczeństwa zgodnie z art. 10 ust. 2 lit. a) lub art. 11 ust. 1 lit. a) dyrektywy 2004/49/WE; lub

b) metody lub narzędzia oceny ryzyka są wymagane zgodnie z TSI lub są zgodne z publicznie dostępnymi uznanymi normami określonymi w zgłoszonych przepisach krajowych.

1.1.5. Bez uszczerbku dla odpowiedzialności cywilnej zgodnej z prawnymi wymogami państw członkowskich za proces oceny ryzyka jest odpowiedzialny wnioskodawca. Wnioskodawca, za zgodą zainteresowanych podmiotów, decyduje w szczególności o tym, kto będzie odpowiadał za spełnienie wymogów bezpieczeństwa wynikających z oceny ryzyka. Wymogi bezpieczeństwa określone przez wnioskodawcę dla tych podmiotów nie mogą wykraczać poza zakres ich odpowiedzialności i domenę kontroli. Decyzja ta jest uzależniona od charakteru środków bezpieczeństwa, które zostały wybrane, aby nadzorować ryzyko, utrzymując je na dopuszczalnym poziomie. Zgodność z wymogami bezpieczeństwa wykazuje się zgodnie z pkt 3.

1.1.6. Pierwszy etap procesu zarządzania ryzykiem polega na określeniu przez wnioskodawcę w specjalnym dokumencie zadań poszczególnych podmiotów oraz ich działań z zakresu zarządzania ryzykiem. Wnioskodawca odpowiedzialny za koordynację bliskiej współpracy pomiędzy poszczególnymi zaangażowanymi podmiotami, stosownie do zadań tych podmiotów, w celu zarządzania zagrożeniami i związanymi z nimi środkami bezpieczeństwa.

1.1.7. Za ocenę prawidłowości stosowania procesu zarządzania ryzykiem odpowiada jednostka oceniająca.

1.2.

Zarządzanie interfejsami

1.2.1. Zainteresowane podmioty sektora kolejowego współpracują ze sobą w odniesieniu do wszystkich interfejsów mających znaczenie dla ocenianego systemu (bez uszczerbku dla specyfikacji interfejsów określonych w odpowiednich TSI), aby identyfikować zagrożenia dotyczące tych interfejsów i środki bezpieczeństwa związane z tymi zagrożeniami oraz wspólnie nimi zarządzać. Zarządzanie wspólnym ryzykiem na interfejsach jest koordynowane przez wnioskodawcę.

1.2.2. Jeżeli podmiot stwierdzi, że istnieje potrzeba zastosowania środka bezpieczeństwa, którego nie jest w stanie wdrożyć samodzielnie, podmiot ten, działając w porozumieniu z innym podmiotem, przenosi na niego zarządzanie danym zagrożeniem zgodnie z procedurą określoną w pkt 4.

1.2.3. Każdy podmiot, który stwierdzi, że środek bezpieczeństwa dotyczący ocenianego systemu jest niezgodny lub nieodpowiedni, ma obowiązek zgłosić to wnioskodawcy, który z kolei poinformuje podmiot wprowadzający ten środek bezpieczeństwa.

1.2.4. Podmiot wprowadzający środek bezpieczeństwa poinformuje następnie wszystkie podmioty, których dotyczy problem w ramach ocenianego systemu lub (zgodnie z wiedzą podmiotu) w ramach innych istniejących systemów, w których stosowany jest ten sam środek bezpieczeństwa.

1.2.5. W przypadku niemożności osiągnięcia porozumienia pomiędzy dwoma podmiotami lub większą ich liczbą, za znalezienie rozwiązania odpowiada wnioskodawca.

1.2.6. Jeżeli podmiot nie jest w stanie spełnić wymogu zawartego w zgłoszonym przepisie krajowym, wnioskodawca zwraca się o radę do właściwego organu.

1.2.7. Niezależnie od definicji ocenianego systemu wnioskodawca jest zobowiązany zagwarantować, że zakres zarządzania ryzykiem obejmuje sam system oraz jego integrację z całym systemem kolejowym.

2. OPIS PROCESU OCENY RYZYKA

2.1.

Opis ogólny

2.1.1. Proces oceny ryzyka jest całościowym, wieloetapowym procesem obejmującym:

a) zdefiniowanie systemu;

b) analizę ryzyka, w tym identyfikację zagrożeń;

c) wycenę ryzyka.

Proces oceny ryzyka jest powiązany z zarządzaniem zagrożeniami zgodnie z pkt 4.1.

2.1.2. Definicja systemu musi uwzględniać co najmniej:

a) cel systemu (zamierzone przeznaczenie);

b) funkcje i elementy systemu, jeżeli ma to zastosowanie (w tym element ludzki, techniczny i operacyjny);

c) granicę systemu, z uwzględnieniem innych systemów, z którymi system ten wzajemnie oddziałuje;

d) interfejsy fizyczne (systemy, z którymi system ten wzajemnie oddziałuje) i funkcjonalne (nakłady i efekty dotyczące działania);

e) otoczenie systemu (np. przepływy energii i przepływy termiczne, wstrząsy, wibracje, zakłócenia elektromagnetyczne, przeznaczenie eksploatacyjne);

f) istniejące środki bezpieczeństwa oraz definicja wymogów bezpieczeństwa określonych w drodze procesu oceny ryzyka (na kolejnych koniecznych istotnych etapach);

g) założenia określające progi mające zastosowanie do oceny ryzyka.

2.1.3. Identyfikacja zagrożenia dotyczy zdefiniowanego systemu, zgodnie z pkt 2.2.

2.1.4. Dopuszczalność ryzyka dotyczącego ocenianego systemu jest badana za pomocą jednej lub kilku z poniższych zasad akceptacji ryzyka:

a) stosowanie kodeksów postępowania (pkt 2.3);

b) porównanie z podobnymi systemami (pkt 2.4.);

c) szacowanie jawnego ryzyka (pkt 2.5).

Zgodnie z zasadą, o której mowa w pkt 1.1.5, jednostka oceniająca nie narzuca wnioskodawcy zasady akceptacji ryzyka, którą powinien stosować.

2.1.5. Wnioskodawca wykazuje w wycenie ryzyka, że wybrana zasada akceptacji ryzyka została odpowiednio zastosowana. Wnioskodawca sprawdza ponadto, czy wybrane zasady akceptacji ryzyka są stosowane konsekwentnie.

2.1.6. Zastosowanie tych zasad akceptacji ryzyka pozwoli zidentyfikować możliwe środki bezpieczeństwa, które sprawią, że ryzyko dotyczące ocenianego systemu stanie się dopuszczalne. Spośród zidentyfikowanych w ten sposób środków bezpieczeństwa zostaną wybrane środki służące do nadzoru ryzyka, które staną się wymogami bezpieczeństwa, które powinien spełniać system. Zgodność z tymi wymogami bezpieczeństwa jest wykazywana zgodnie z pkt 3.

2.1.7. Wieloetapowy proces oceny ryzyka uznaje się za zakończony po wykazaniu, że wszystkie wymogi bezpieczeństwa zostały spełnione i nie istnieje potrzeba uwzględnienia jakichkolwiek dodatkowych, racjonalnie przewidywalnych zagrożeń.

2.2.

Identyfikacja zagrożeń

2.2.1. Wnioskodawca, korzystając z szerokiej wiedzy specjalistycznej kompetentnego zespołu, identyfikuje regularnie wszystkie racjonalnie przewidywalne zagrożenia dotyczące całego ocenianego systemu, jego funkcji (jeżeli ma to zastosowanie) i interfejsów.

Wszystkie zidentyfikowane zagrożenia są umieszczane w rejestrze zagrożeń zgodnie z pkt 4.

2.2.2. Aby w ocenie móc skupić się na najważniejszym ryzyku, zagrożenia należy klasyfikować według wynikającego z nich szacowanego ryzyka. Jeżeli tak wskazuje fachowy osąd, zagrożenia związane z zasadniczo dopuszczalnym ryzykiem nie muszą być głębiej analizowane, należy je jednak umieścić w rejestrze zagrożeń. Klasyfikacja zagrożeń powinna być opatrywana uzasadnieniem, aby umożliwić jednostce oceniającej jej niezależną ocenę.

2.2.3. Ryzyka wynikające z zagrożeń mogą zostać zaklasyfikowane jako zasadniczo dopuszczalne, gdy spełnione jest kryterium, zgodnie z którym ryzyko powinno być na tyle małe, że wprowadzanie jakichkolwiek dodatkowych środków bezpieczeństwa jest nieracjonalne. Podczas fachowego osądu należy zwrócić uwagę, czy suma zasadniczo dopuszczalnego ryzyka nie przekracza określonego udziału w ryzyku całkowitym.

2.2.4. Podczas identyfikacji zagrożeń mogą zostać określone środki bezpieczeństwa. Zagrożenia są umieszczane w rejestrze zagrożeń zgodnie z pkt 4.

2.2.5. Identyfikacji zagrożeń należy dokonywać na poziomie szczegółowości, który jest konieczny, aby określić przypadki, w których środki bezpieczeństwa powinny utrzymywać ryzyko pod kontrolą zgodnie z jedną z zasad akceptacji ryzyka, o których mowa w pkt 2.1.4. Konieczne może być powtarzanie etapów analizy ryzyka i wyceny ryzyka do czasu osiągnięcia dostatecznego poziomu szczegółowości, aby możliwa była identyfikacja zagrożeń.

2.2.6. W każdym przypadku gdy ryzyko jest kontrolowane za pomocą kodeksu postępowania lub systemu odniesienia, identyfikację zagrożeń można ograniczyć do:

a) sprawdzenia, czy kodeks postępowania lub system odniesienia są właściwe w danym przypadku;

b) wskazania niezgodności z kodeksem postępowania lub systemem odniesienia.

2.3.

Korzystanie z kodeksów postępowania przy wycenie ryzyka

2.3.1. Wnioskodawca bada, z pomocą innych zaangażowanych podmiotów, czy zakres odpowiednich kodeksów postępowania obejmuje jedno zagrożenie, kilka zagrożeń lub wszystkie zagrożenia.

2.3.2. Kodeksy postępowania spełniają przynajmniej następujące wymagania:

a) muszą być powszechnie uznane w branży kolejowej. W przeciwnym wypadku kodeksy postępowania należy uzasadnić i powinny one być akceptowalne dla jednostki oceniającej;

b) muszą być istotne z punktu widzenia nadzoru nad rozważanymi zagrożeniami występującymi w ocenianym systemie. Udane zastosowanie kodeksu postępowania dla podobnych przypadków w odniesieniu do zarządzania zmianami i skutecznej kontroli zidentyfikowanych zagrożeń systemu w rozumieniu niniejszego rozporządzenia jest wystarczające do uznania ich za istotne;

c) muszą one być dostępne dla organów oceny na ich żądanie w celu ich oceny lub, w stosownych przypadkach, wzajemnego uznania, zgodnie z art. 15 ust. 5, odpowiedniego stosowania procesu zarządzania ryzykiem oraz jego rezultatów.

2.3.3. W przypadku gdy dyrektywa 2008/57/WE wymaga zgodności z TSI, a odpowiednie TSI nie nakładają obowiązku stosowania procesu zarządzania ryzykiem, który jest przewidziany w niniejszym rozporządzeniu, TSI mogą być uważane za kodeksy postępowania do celów nadzoru nad zagrożeniami, pod warunkiem że spełniony jest wymóg, o którym mowa w pkt 2.3.2 lit. b).

2.3.4. Krajowe przepisy zgłoszone zgodnie z art. 8 dyrektywy 2004/49/WE i art. 17 ust. 3 dyrektywy 2008/57/WE mogą być uważane za kodeksy postępowania, pod warunkiem że spełnione są wymogi, o których mowa w pkt 2.3.2.

2.3.5. Jeżeli zagrożenie lub zagrożenia są kontrolowane za pomocą kodeksów postępowania spełniających wymogi, o których mowa w pkt 2.3.2, ryzyko związane z tymi zagrożeniami uważa się za dopuszczalne. Oznacza to, że:

a) nie istnieje potrzeba głębszego analizowania tego ryzyka;

b) stosowanie kodeksów postępowania zostaje odnotowane w rejestrze zagrożeń jako wymóg bezpieczeństwa w odniesieniu do odpowiednich zagrożeń.

2.3.6. W przypadku gdy podejście alternatywne nie jest w pełni zgodne z kodeksem postępowania, wnioskodawca musi wykazać, że zastosowanie alternatywnego podejścia zapewnia co najmniej taki sam poziom bezpieczeństwa.

2.3.7. Jeżeli ryzyko dotyczące określonego zagrożenia nie może zostać zredukowane do dopuszczalnego poziomu przez zastosowanie kodeksu postępowania, należy określić dodatkowe środki bezpieczeństwa za pomocą jednej z dwóch pozostałych zasad akceptacji ryzyka.

2.3.8. Jeżeli wszystkie zagrożenia są kontrolowane za pomocą kodeksów postępowania, proces zarządzania ryzykiem można ograniczyć do:

a) identyfikacji zagrożeń zgodnie z pkt 2.2.6;

b) odnotowania faktu stosowania kodeksu postępowania w rejestrze zagrożeń zgodnie z pkt 2.3.5;

c) udokumentowania stosowania procesu zarządzania ryzykiem zgodnie z pkt 5;

d) niezależnej oceny zgodnie z art. 6.

2.4.

Korzystanie z systemu odniesienia przy wycenie ryzyka

2.4.1. Wnioskodawca bada, z pomocą innych zaangażowanych podmiotów, czy w podobnym systemie, który można wykorzystać jako system odniesienia, odpowiednio uwzględniono jedno zagrożenie, kilka zagrożeń lub wszystkie zagrożenia.

2.4.2. System odniesienia spełnia przynajmniej następujące wymagania:

a) sprawdził się już w praktyce jako system o dopuszczalnym poziomie bezpieczeństwa i dlatego również obecnie spełniłby warunki wymagane do jego zatwierdzenia w państwie członkowskim, w którym ma być wprowadzona zmiana;

b) ma podobne funkcje i interfejsy jak oceniany system;

c) jest eksploatowany w podobnych warunkach eksploatacji jak oceniany system;

d) jest eksploatowany w podobnych warunkach środowiskowych jak oceniany system.

2.4.3. Jeżeli system odniesienia spełnia wymogi wymienione w pkt 2.4.2, oznacza to, że w przypadku ocenianego systemu:

a) ryzyko związane z zagrożeniami uwzględnionymi w systemie odniesienia uważa się za dopuszczalne;

b) wymogi bezpieczeństwa dotyczące zagrożeń uwzględnionych w systemie odniesienia można wywieść z analiz dotyczących bezpieczeństwa lub z oceny zapisów dotyczących bezpieczeństwa systemu odniesienia;

c) określone w ten sposób wymogi bezpieczeństwa odnotowuje się w rejestrze zagrożeń jako wymogi bezpieczeństwa dotyczące odpowiednich zagrożeń.

2.4.4. Jeżeli występują różnice pomiędzy ocenianym systemem a systemem odniesienia, wycena ryzyka powinna wykazać za pomocą innego systemu odniesienia lub jednej z dwóch pozostałych zasad akceptacji ryzyka, że oceniany system cechuje co najmniej taki sam poziom bezpieczeństwa jak system odniesienia. W takim przypadku ryzyko związane z zagrożeniami uwzględnionymi w systemie odniesienia uważa się za dopuszczalne.

2.4.5. Jeżeli niemożliwie jest wykazanie co najmniej takiego samego poziomu bezpieczeństwa jak w przypadku systemu odniesienia, należy określić, za pomocą jednej z dwóch pozostałych zasad akceptacji ryzyka, dodatkowe środki bezpieczeństwa w odniesieniu do różnic między systemami.

2.5.

Szacowanie i wycena jawnego ryzyka

2.5.1. W przypadku gdy zagrożenia nie są objęte jedną z dwóch zasad akceptacji ryzyka określonych w pkt 2.3 i 2.4, dopuszczalność ryzyka jest udowadniana za pomocą szacowania i wyceny jawnego ryzyka. Ryzyko wynikające z tych zagrożeń powinno być szacowane jakościowo albo ilościowo lub – w razie konieczności – zarówno ilościowo, jak i jakościowo, z uwzględnieniem istniejących środków bezpieczeństwa.

2.5.2. Dopuszczalność szacowanego ryzyka jest badana za pomocą kryteriów akceptacji ryzyka, które są wywodzone z wymogów zawartych w prawodawstwie unijnym lub w zgłoszonych przepisach krajowych albo bazują na tych wymogach. W zależności od kryteriów akceptacji ryzyka dopuszczalność ryzyka może być badana pojedynczo, w odniesieniu do każdego powiązanego zagrożenia, lub zbiorczo, w odniesieniu do kombinacji wszystkich zagrożeń rozważanych w szacowaniu jawnego ryzyka.

Jeżeli szacowane ryzyko nie jest dopuszczalne, należy określić i wdrożyć dodatkowe środki bezpieczeństwa, aby zredukować ryzyko do dopuszczalnego poziomu.

2.5.3. Jeżeli ryzyko związane z zagrożeniem lub kombinacją kilku zagrożeń jest uważane za dopuszczalne, zidentyfikowane środki bezpieczeństwa zostają odnotowane w rejestrze zagrożeń.

2.5.4.

Wnioskodawca nie ma obowiązku przeprowadzania dodatkowego szacowania jawnego ryzyka w odniesieniu do ryzyka, które zostało już uznane za dopuszczalne w związku ze stosowaniem kodeksów postępowania lub wykorzystaniem systemów odniesienia.

2.5.5.

Jeżeli zagrożenia wynikają z awarii funkcji systemu technicznego, w odniesieniu do takich awarii stosuje się – bez uszczerbku dla przepisów ujętych w pkt 2.5.1 i 2.5.4 – poniższe zharmonizowane wymagania projektowe:

a) w przypadku gdy zachodzi wiarygodne prawdopodobieństwo, że bezpośrednim wynikiem danej awarii będzie katastrofa, związane z tym ryzyko nie musi być dalej redukowane, jeżeli wykazano, że wystąpienie takiej awarii funkcji systemu jest bardzo mało prawdopodobne;

b) w przypadku gdy zachodzi wiarygodne prawdopodobieństwo, że bezpośrednim wynikiem danej awarii będzie wypadek krytyczny, związane z tym ryzyko nie musi być dalej redukowane, jeżeli wykazano, że wystąpienie takiej awarii funkcji systemu jest mało prawdopodobne.

Wyboru między definicją w pkt 23 a definicją w pkt 35 należy dokonywać ma podstawie tego, która niebezpieczna konsekwencja awarii wystąpi z najbardziej wiarygodnym prawdopodobieństwem.

2.5.6.

Nie naruszając przepisów ujętych w pkt 2.5.1 i 2.5.4, przy projektowaniu elektrycznych, elektronicznych oraz programowalnych elektronicznych systemów technicznych należy stosować się do zharmonizowanych wymagań projektowych określonych w pkt 2.5.5. Wymagania te muszą stanowić najbardziej rygorystyczne wymagania projektowe, jakie mogą obowiązywać do celów wzajemnego uznania.

Nie należy ich wykorzystywać ani jako ogólnych wymogów ilościowych w odniesieniu do całego systemu kolei państwa członkowskiego, ani do projektowania czysto mechanicznych systemów technicznych.

W przypadku mieszanych systemów technicznych składających się z części czysto mechanicznej i części elektrycznej, elektronicznej i programowalnej elektronicznej identyfikację zagrożeń przeprowadza się zgodnie z pkt 2.2.5. Zharmonizowanych wymagań projektowych określonych w pkt 2.5.5 nie stosuje się do nadzorowania zagrożeń wynikających z czysto mechanicznej części.

2.5.7.

Ryzyko związane z awariami funkcji systemu technicznego, o których mowa w pkt 2.5.5, uważa się za dopuszczalne, jeżeli spełnione są również następujące wymagania:

a) wykazano zgodność ze stosownymi zharmonizowanymi wymaganiami projektowymi;

b) powiązane awarie systematyczne i wady systemowe są nadzorowane zgodnie z procesami zarządzania bezpieczeństwem i jakością, które są współmierne do zharmonizowanego wymagania projektowego w odniesieniu do ocenianego systemu technicznego i zostały określone w stosownych powszechnie uznanych normach;

c) należy określić warunki stosowania na potrzeby bezpiecznej integracji ocenianego systemu technicznego w systemie kolei i odnotować je w rejestrze zagrożeń zgodnie z pkt 4. Zgodnie z pkt 1.2.2 warunki stosowania należy przekazać podmiotowi odpowiedzialnemu za wykazanie bezpiecznej integracji.;

2.5.8.

Następujące szczególne definicje mają zastosowanie do zharmonizowanych ilościowych wymagań projektowych dotyczących systemów technicznych:

a) termin „bezpośredni wynik” oznacza, iż zachodzi prawdopodobieństwo, iż dana awaria funkcji doprowadzi do rodzaju wypadku, o którym mowa w pkt 2.5.5, bez wystąpienia innych awarii;

b) termin „prawdopodobieństwo” oznacza, że dana awaria funkcji może prowadzić do rodzaju wypadku, o którym mowa w pkt 2.5.5.

2.5.9.

W przypadku gdy w bezpośrednim wyniku awarii funkcji ocenianego systemu technicznego nie powstaje przedmiotowe ryzyko, dopuszcza się stosowanie mniej rygorystycznych wymagań projektowych, jeżeli wnioskodawca może wykazać, że stosowanie barier określonych w art. 3 ust. 34 umożliwia osiągnięcie takiego samego poziomu bezpieczeństwa.

2.5.10.

Bez uszczerbku dla procedury określonej w art. 8 dyrektywy 2004/49/WE albo dla art. 17 ust. 3 dyrektywy Parlamentu Europejskiego i Rady 2008/57/WE (

6

), w zgłoszonym przepisie krajowym można przewidzieć w odniesieniu do ocenianego systemu technicznego bardziej rygorystyczne wymaganie projektowe niż zharmonizowane wymaganie projektowe określone w pkt 2.5.5, w celu utrzymania dotychczasowego poziomu bezpieczeństwa w danym państwie członkowskim. W przypadku dodatkowych zezwoleń na dopuszczenie do eksploatacji pojazdów stosuje się procedury określone w art. 23 i 25 dyrektywy 2008/57/WE.

2.5.11.

W odniesieniu do systemu technicznego, który został opracowany w oparciu o wymagania określone w pkt 2.5.5, zasadę wzajemnego uznania stosuje się zgodnie z art. 15 ust. 5.

Jeżeli wnioskodawca może jednak wykazać w odniesieniu do danego zagrożenia, że dotychczasowy poziom bezpieczeństwa w państwie członkowskim, w którym dany system jest eksploatowany, można utrzymać również przy zastosowaniu wymagania projektowego, które jest mniej rygorystyczne niż zharmonizowane wymaganie projektowe, to wspomniane mniej rygorystyczne wymaganie projektowe może być stosowane zamiast zharmonizowanego.

2.5.12.

Przy szacowaniu i wycenie jawnego ryzyka należy spełnić przynajmniej następujące wymogi:

a) metody stosowane do celów szacowania jawnego ryzyka muszą być prawidłowo dobrane do ocenianego systemu i jego parametrów (w tym wszystkich trybów pracy);

b) wyniki muszą być dostatecznie dokładne, aby stanowić solidne podstawy do podejmowania decyzji. Niewielkie zmiany w założeniach wejściowych lub warunkach wstępnych nie mogą stanowić podstawy do znaczących zmian wymogów.

3. WYKAZYWANIE ZGODNOŚCI Z WYMOGAMI BEZPIECZEŃSTWA

3.1.

Przed odbiorem zmiany w zakresie bezpieczeństwa należy wykazać pod nadzorem wnioskodawcy, że spełnia ona wymogi bezpieczeństwa określone na etapie oceny ryzyka.

3.2.

Do wykazania zgodności zobowiązany jest każdy podmiot odpowiedzialny za spełnienie wymogów bezpieczeństwa, stosownie do pkt 1.1.5.

3.3.

Jednostka oceniająca dokonuje niezależnej oceny podejścia przyjętego do celów wykazania zgodności z wymogami bezpieczeństwa oraz samego wykazania.

3.4.

Gdy środki bezpieczeństwa, dzięki którym powinny zostać spełnione wymogi bezpieczeństwa, okażą się nieodpowiednie lub gdy podczas wykazywania zgodności z wymogami bezpieczeństwa odkryte zostaną nowe zagrożenia, wnioskodawca dokonuje ponownej oceny i wyceny powiązanego ryzyka zgodnie z pkt 2. Nowe zagrożenia są umieszczane w rejestrze zagrożeń zgodnie z pkt 4.

4. ZARZĄDZANIE ZAGROŻENIAMI

4.1.

Proces zarządzania zagrożeniami

4.1.1. Podczas etapu planowania i wdrażania, przed odbiorem zmiany albo przedłożeniem raportu w sprawie oceny bezpieczeństwa wnioskodawca tworzy rejestr lub rejestry zagrożeń, a jeżeli taki rejestr lub rejestry już istnieją, aktualizuje je. W rejestrze zagrożeń rejestrowane są postępy w monitorowaniu ryzyka związanego ze zidentyfikowanymi zagrożeniami. Po odbiorze systemu i rozpoczęciu jego eksploatacji rejestr zagrożeń jest dalej prowadzony przez zarządcę infrastruktury lub przedsiębiorstwo kolejowe odpowiedzialne za eksploatację ocenianego systemu, jako integralny element systemu zarządzania bezpieczeństwem tego zarządcy lub przedsiębiorstwa.

4.1.2. Rejestr zagrożeń obejmuje wszystkie zagrożenia oraz wszystkie związane z nimi środki bezpieczeństwa i założenia dotyczące systemu, które zostały określone podczas procesu oceny ryzyka. Rejestr ten wyraźnie wskazuje źródło zagrożeń i wybrane zasady akceptacji ryzyka oraz podmiot lub podmioty odpowiedzialne za nadzór nad każdym zagrożeniem.

4.2.

Wymiana informacji

Wszystkie zagrożenia i związane z nimi wymogi bezpieczeństwa, których nie jest w stanie samodzielnie nadzorować jeden podmiot, są zgłaszane innemu właściwemu podmiotowi w celu wspólnego opracowania odpowiedniego rozwiązania. Zagrożenia figurujące w rejestrze zagrożeń prowadzonym przez podmiot, który dokonuje przeniesienia zagrożeń, uważa się za nadzorowane tylko wówczas, gdy wycena ryzyka związanego z tymi zagrożeniami została dokonana przez inny podmiot, a rozwiązanie zostało uzgodnione przez wszystkie zainteresowane strony.

5. DOWODY WYNIKAJĄCE ZE STOSOWANIA PROCESU ZARZĄDZANIA RYZYKIEM

5.1.

Proces zarządzania ryzykiem stosowany do celów oceny poziomów bezpieczeństwa i zgodności z wymogami bezpieczeństwa jest dokumentowany przez wnioskodawcę w taki sposób, że wszystkie niezbędne dowody świadczące o prawidłowości stosowania procesu zarządzania ryzykiem i jego wyników są dostępne dla jednostki oceniającej.

5.2.

Dokumentacja przedstawiona przez wnioskodawcę zgodnie z pkt 5.1 obejmuje co najmniej:

a) opis organizacji i specjalistów wyznaczonych do przeprowadzenia procesu oceny ryzyka;

b) wyniki poszczególnych etapów oceny ryzyka oraz wykaz wszystkich wymogów bezpieczeństwa, których dopełnienie jest konieczne, aby nadzorować ryzyko, utrzymując je na dopuszczalnym poziomie;

c) dowody zgodności z wszystkimi koniecznymi wymogami bezpieczeństwa;

d) wszystkie założenia istotne dla integracji, eksploatacji lub utrzymania systemu przyjęte podczas definiowania i projektowania systemu oraz oceny ryzyka dotyczącej systemu.

5.3.

Jednostka oceniająca przedstawia swoje wnioski w raporcie w sprawie oceny bezpieczeństwa zdefiniowanym w załączniku III.

Dodatek

Proces zarządzania ryzykiem i niezależna ocena