Prestatiebewaking in een Seveso-VBS: wat, waarom en hoe

"Continu verbeteren" is een term die losjes wordt gebruikt in veiligheidsmanagement. Op een gewone werkvloer is het een houding - een streven om stap voor stap beter te worden. Bij een Seveso-inrichting is het geen houding. Het is een wettelijke verplichting met een naam: prestatiebewaking, het onderdeel van je veiligheidsbeheersysteem (VBS) dat is voorgeschreven in Annex III van de Seveso III-richtlijn (2012/18/EU), in Nederland geïmplementeerd via het Brzo 2015.

Dat onderscheid lijkt subtiel, maar is het niet. Wie prestatiebewaking behandelt als een generieke continu-verbeteroefening, bouwt iets dat productief aanvoelt maar het niet redt bij een inspectie - want een Seveso-VBS wordt niet beoordeeld op de vraag of je "beter wordt". Het wordt beoordeeld op de vraag of je met data kunt aantonen dat je weet hoe je maatregelen ter beheersing van zware ongevallen daadwerkelijk presteren.

Wat prestatiebewaking onder Annex III daadwerkelijk vereist

Annex III van de Seveso III-richtlijn stelt prestatiebewaking niet voor als een goed voornemen, maar als een vast onderdeel van het VBS naast onder meer organisatie, opleiding, procedures voor wijzigingsbeheer en noodplanning. Voor een Nederlandse Arbeidsinspectie-inspecteur die je VBS toetst, betekent dat concreet een aantal dingen.

Ten eerste het onderscheid tussen proactieve en reactieve indicatoren. Reactieve indicatoren - incidenten, bijna-ongevallen, procesafwijkingen - vertellen je wat er al is misgegaan. Proactieve indicatoren - de status van veiligheidskleppen, de naleving van inspectierondes, de tijdigheid van onderhoud aan veiligheidskritische apparatuur - vertellen je of je beheersmaatregelen op dit moment doen wat ze moeten doen. Een VBS dat alleen reactief meet, loopt permanent achter de feiten aan. De richtlijn verwacht beide, met een zwaartepunt op de proactieve kant, omdat dat is waar je nog kunt bijsturen vóórdat er iets misgaat.

Ten tweede trendanalyse op bijna-ongevallen, en dat is iets anders dan registreren. Een logboek met honderd gemelde bijna-ongevallen heeft op zichzelf geen waarde voor prestatiebewaking. Waarde ontstaat pas wanneer je die honderd meldingen clustert naar oorzaak, locatie, installatieonderdeel of dienst, en daarin een patroon herkent - bijvoorbeeld dat afwijkingen bij een bepaalde klep systematisch toenemen, of dat een bepaalde ploeg vaker meldt dan een andere omdat de meldcultuur daar simpelweg beter is. Zonder die trendlaag blijft bijna-ongevallenregistratie administratie in plaats van bewaking.

Ten derde de verificatie dat veiligheidskritische apparatuur presteert zoals ontworpen. Dat is niet hetzelfde als "onderhoud is uitgevoerd". Het gaat om de vraag of een noodstop daadwerkelijk binnen de ontworpen tijd reageert, of een gasdetector binnen de gespecificeerde marge blijft, of een SIS-functie (safety instrumented system) de testfrequentie haalt die het veiligheidsrapport vooronderstelt. Dat vereist het koppelen van testresultaten aan de oorspronkelijke ontwerpeisen - niet alleen het afvinken dat een test heeft plaatsgevonden.

Ten vierde het terugkoppelen van bevindingen naar het beheersysteem zelf. Prestatiebewaking is geen eindstation; de uitkomsten moeten leiden tot aanpassing van procedures, trainingsprogramma's of het wijzigingsbeheer wanneer de data daar aanleiding toe geeft. Een VBS waarin bevindingen in een rapport blijven staan zonder terug te stromen naar de procedures die ze zouden moeten bijsturen, voldoet niet aan de bedoeling van Annex III, ook al staat er "review uitgevoerd" in het document.

Ten slotte moet dit alles resulteren in bewijs dat een bevoegd gezag kan beoordelen. Dat betekent: herleidbare data, consistente definities van indicatoren over tijd, en een aantoonbare lijn van meting naar analyse naar actie. "We bespreken dit maandelijks in het MT" is geen bewijs. Een dataset waarin te zien is wélke afwijkingen zijn opgetreden, hoe ze zijn geanalyseerd en wat ermee is gedaan, is dat wel.

Waarom generiek verbeteradvies hier tekortschiet

Kaizen, PDCA, "moedig meldingen aan", "betrek iedereen" - dit zijn bruikbare ideeën voor een reguliere werkvloer, en niemand beweert dat ze waardeloos zijn. Het probleem is dat ze zijn ontworpen voor een andere inzet dan die van een Seveso-inrichting.

Op een gewone werkvloer is het doel het geleidelijk verlagen van een ongevallenpercentage. Bij een Seveso-inrichting is het doel het voorkomen van een zwaar ongeval met potentieel dodelijke, grootschalige of grensoverschrijdende gevolgen. Dat verschil in inzet verandert wat "goed genoeg" betekent. Een generieke verbetercyclus die halfjaarlijks terugkijkt en bijstuurt, is voor een productievloer een redelijk tempo. Voor de bewaking van veiligheidskritische apparatuur bij een Brzo-inrichting is het te traag en te vrijblijvend om afwijkingspatronen op tijd te herkennen.

De verplichting onder Annex III is bovendien niet aspirationeel maar voorschrijvend. "Streef naar continue verbetering" is een ambitie; "monitor de prestaties van je veiligheidsbeheersysteem en van de technische middelen die betrokken zijn bij de beheersing van zware gevaren" is een eis waarop getoetst wordt. Het verschil zit in de bewijslast: bij een ambitie volstaat goede wil, bij een eis moet je kunnen laten zien wat je hebt gemeten, wanneer, en wat de uitkomst was.

Informele tracking overleeft een inspectie niet. Een Excel-bestand dat per site anders is ingericht, een los actiepuntenlijstje uit een MT-overleg, een "we weten het wel, het zit in de hoofden van de mensen" - dat zijn allemaal vormen van kennis die niet systematisch, niet herleidbaar en niet vergelijkbaar over tijd zijn. Een inspecteur van de Nederlandse Arbeidsinspectie vraagt niet of je continu verbetert; die vraagt om het trendoverzicht van de afgelopen achttien maanden, uitgesplitst naar installatieonderdeel. Als dat overzicht niet bestaat omdat de onderliggende data verspreid over mailboxen en spreadsheets staat, dan bestaat de prestatiebewaking in de praktijk niet, ongeacht hoeveel goede intenties er zijn.

Ten slotte stopt generiek advies systematisch bij "evalueer regelmatig" en gaat het niet in op trendherkenning op schaal. Bij één locatie met een handvol veiligheidskritische systemen is handmatige trendanalyse nog te doen. Bij meerdere sites, honderden inspectiepunten en jaren aan historische data wordt dat een schaalprobleem dat "regelmatig evalueren" niet oplost. Precies dat schaalprobleem is waar een Seveso-VBS in de praktijk op vastloopt als de bewaking niet gestructureerd is opgezet.

De link met inspectie- en auditsoftware

Dit is waar gestructureerde software een reëel verschil maakt, niet omdat software toverkracht heeft, maar omdat het de vier bovenstaande eisen ondersteunt op een manier die handmatig moeilijk vol te houden is.

Gestructureerde, herhaalbare dataregistratie zorgt ervoor dat elke inspectie, ronde of test op dezelfde manier wordt vastgelegd - met dezelfde velden, dezelfde definities, ongeacht wie de inspectie uitvoert of op welke site. Dat is de voorwaarde voor trendanalyse: je kunt pas patronen herkennen in data die consistent is opgebouwd.

Een live corrigerende-actielus koppelt een geconstateerde afwijking direct aan een actie, een eigenaar en een deadline, in plaats van dat de bevinding in een rapport blijft staan tot iemand het weer oppakt. Dat is precies het terugkoppelmechanisme dat Annex III veronderstelt: bevindingen die het beheersysteem daadwerkelijk beïnvloeden.

Trendzichtbaarheid over sites en tijd heen maakt het mogelijk om te zien of een afwijking bij één klep op één locatie een incident is, of een patroon dat zich over meerdere installaties herhaalt. Zonder die zichtbaarheid blijft elke afwijking een geïsoleerd datapunt in plaats van een signaal.

En het resultaat is een auditklaar dossier: op het moment dat een inspecteur om onderbouwing vraagt, is het antwoord een export, geen reconstructie achteraf van wat er "ergens" is gebeurd.

Kernpunt

Prestatiebewaking is geen mindset. Het is een gedocumenteerd proces dat bewijs oplevert - over leidende en volgende indicatoren, over trends in bijna-ongevallen, over de werkelijke prestaties van veiligheidskritische apparatuur, en over hoe die bevindingen het beheersysteem daadwerkelijk bijsturen. Wie dat proces behandelt als een kwestie van instelling in plaats van als een systematische verplichting onder Annex III, zal merken dat het bij de eerstvolgende toetsing niet standhoudt.