1.1Algemene beschrijving

De risicobenadering in een PGS-richtlijn is een methode waarmee op basis van een risicobeoordeling scenario’s, doelen en maatregelen worden beschreven binnen de scope en context van de PGS-richtlijn, zoals bepaald in de Terms of Reference (ToR). De handreiking generieke risicobenadering (GRB) geeft een methode voor PGS-teams om, gebruikmakend van een systematische beoordeling van risico’s, te komen tot deze scenario’s, doelen en maatregelen. Deze handreiking is bestemd voor de PGS-teams die de bestaande PGS-richtlijnen actualiseren of nieuwe PGS-richtlijnen opstellen.

Het proces van de risicobenadering bestaat uit de volgende stappen:

1. voorbereiding risicobeoordeling;
2. beoordeling risico’s;
3. vaststelling doelen;
4. verkenning van maatregelen;
5. evaluatie van de resultaten.

1.2Doel generieke risicobenadering

Het doel van de GRB is om te borgen dat PGS-richtlijnen op een uniforme en inzichtelijke manier bijdragen tot het veilig produceren, transporteren, opslaan en gebruiken van gevaarlijke stoffen. De PGS-doelen moeten ruimte bieden om dit doel op een effectieve en efficiënte wijze te realiseren. Dit kan door het toepassen van maatregelen die in de PGS-richtlijn zijn opgenomen. Het is echter ook mogelijk om met andere maatregelen het doel te realiseren, zie ook Handreiking Beoordeling Gelijkwaardigheid PGS-maatregelen.

Wat is de GRB wel

1. Een methode voor PGS-teams om te bepalen welke scenario’s relevant zijn voor de PGS-richtlijn.
2. Een kwalitatieve benadering, gebaseerd op expert judgement voor de bepaling van de generieke risico’s voor Nederland als geheel.
3. Een proces om op een gestructureerde wijze de scenario’s, doelen en maatregelen te bepalen.
4. Een methodiek om te bepalen of een aanvaardbaar maatregelenniveau voor de beheersing van de geïdentificeerde risico’s wordt bereikt.

Wat is de GRB niet

1. Een bedrijfsspecifieke risicoanalyse voor alle risico’s die binnen het bedrijf kunnen optreden. Het ontslaat bedrijven niet van een analyse voor hun specifieke situatie of toepassing.
2. Een bepaling van een exact (absoluut) risico. Het is een kwalitatieve beoordeling van een ordegrootte van het risico.

1.3Afbakening risicobeoordeling en schrijffase

Deze handreiking richt zich op het kernpunt van een PGS-richtlijn, de generieke risicobeoordeling, maar dekt niet alle stappen die nodig zijn om tot een PGS-richtlijn te komen. Bij de totstandkoming van een PGS-richtlijn kunnen grofweg drie fasen onderscheiden worden, zie ook Afbeelding 1:

1. fase 1: de risicobeoordeling, stap A t/m D;
2. fase 2: het schrijven van de PGS-richtlijn;
3. fase 3: het evalueren van de resultaten van de risicobeoordeling, stap E.

Voor de laatste stap van de risicobeoordeling, is het noodzakelijk dat de maatregelen en de inhoud daarvan bekend zijn, wat pas na afronding van het schrijven van de PGS-richtlijn (fase 2) is.

2.1Beschrijving proces

De generieke risicobenadering verloopt in een aantal stappen. Deze stappen sluiten aan op de systematiek van de internationale norm voor risicomanagement, NEN-ISO 31000 en daarmee tevens op NTA 8620. Het geeft daarmee een consistente en systematische aanpak. Ook is er een parallel tussen hoe een individueel bedrijf tot beheersmaatregelen kan komen (risicobeheersing/risicobehandeling) en hoe een PGS-team tot generieke doelen en maatregelen komt. Dit bevordert de bruikbaarheid van een PGS-richtlijn in de bedrijfsvoering. De samenhang tussen deze handreiking en NEN-ISO 31000 staat in Bijlage A.

De risicobenadering, weergegeven in Afbeelding 1, bestaat uit de volgende stappen:

1. Voorbereiding risicobenadering
   1. Vertaal de scope en context vanuit de ToR naar typicals en de keuze van ongewenste gebeurtenissen.
   2. Bepaal de noodzaak voor het gebruik van aanvullende methodieken in aanvulling op de BowTie.
   3. Verzamel relevante incidenten.
2. Beoordeel de risico’s
   1. Identificatie: breng mogelijke scenario’s in kaart. Scenario’s beschrijven het verloop van een potentieel incident vanaf de initiërende (ongewenste) gebeurtenis tot en met de daaruit voortvloeiende mogelijke gevolgen voor mens, milieu en omgeving.
   2. Analyse: verdiep per scenario het inzicht in kansen en de (potentiële) gevolgen wanneer het scenario zich voor zou doen.
   3. Classificatie: classificeer de scenario’s (met de risicomatrix, Paragraaf 4.3.2).
   4. Stel vast welke scenario’s relevant zijn voor de PGS.
3. Stel de doelen vast voor het beperken van de geïdentificeerde risico’s
4. Verkenning van maatregelen
   1. Breng mogelijke maatregelen in kaart.
   2. Link maatregelen uit een huidige PGS-richtlijn aan de doelen en scenario’s.
   3. Identificeer best practices voor nieuwe PGS-richtlijnen.
   4. Bepaal welke maatregelen vanuit andere PGS-richtlijnen van toepassing zijn.
5. Evalueer de resultaten
   1. Evalueer de maatregelen.
   2. Beoordeel de geschatte impact van de maatregelen op het voorkomen van de ongewenste gebeurtenis of de effecten daarvan.
   3. Stel vast of de maatregelen nodig en effectief zijn.

Afbeelding 1 – Stroomschema risicobenadering

De raakvlakken tussen de risicobenadering en de schrijffase zijn voor de volledigheid opgenomen in het stroomschema. De onderwerpen die onderdeel zijn van de schrijffase zijn grijs weergegeven.

2.2Borging proces

Het is zaak dat de risicobeoordeling systematisch plaatsvindt en dat de verschillende stappen volledig worden uitgevoerd. Dit is een voorwaarde om de volgende stappen in het proces goed uit te kunnen voeren. Het is natuurlijk mogelijk om het proces iteratief uit voeren (bijv. door alvast na te denken over mogelijke maatregelen bij een scenario voordat alle scenario’s in kaart zijn gebracht), maar uiteindelijk is het wel zaak dat elke stap volledig is uitgevoerd.

Het is belangrijk dat de tussenresultaten duidelijk worden gedocumenteerd. Dit is ook van belang voor toekomstige actualisaties van PGS-richtlijnen. Het is daarmee duidelijk op basis van welke informatie en uitgangspunten een PGS-richtlijn is opgesteld, zodat een nieuw PGS-team daar weer op kan voortbouwen.

2.3Methodiek

Een PGS-risicobeoordeling wordt uitgevoerd op basis van de BowTie-methode (Afbeelding 2), aangevuld met de SWIFT-methode voor het bepalen van de oorzaken van de ongewenste gebeurtenis. Voor de PGS-richtlijnen worden de escalatiefactoren en de controles hierop niet toegepast.

Afbeelding 2 – Voorbeeld BowTie-diagram

De keuze voor de BowTie-methode is gebaseerd op de volgende criteria:

• Het is een kwalitatieve methode die goed aansluit bij het doel van de generieke risicobenadering en de wijze van analyseren en evalueren van de risico’s in het PGS-proces.
• Een BowTie is een visuele risicoanalyse die goed toepasbaar is door een PGS-team, ook voor teamleden met minder ervaring met de uitvoering van risicoanalyses.
• Er wordt een duidelijk onderscheid gemaakt in oorzaak en gevolg, waardoor:
  1. het aantal scenario’s beperkt wordt doordat geen afzonderlijke scenario’s worden beschreven voor elke combinatie van oorzaak en gevolg;
  2. er bij de doelen, en de daaraan gekoppelde maatregelen, een duidelijk onderscheid wordt gemaakt tussen preventieve en repressieve doelen.
• De BowTie-methode kan gebruikt worden om de inhoud van de PGS-richtlijn op een eenvoudige en toegankelijke manier te communiceren.

Door de combinatie van de BowTie-methode en de SWIFT-methode wordt zekergesteld dat de oorzaakscenario’s op een gestructureerde manier, met vraagcategorieën, worden bepaald. Zie Bijlage B en Bijlage C voor een beschrijving van respectievelijk de BowTie- en de SWIFT-methode.

3.1Scope en context

De scope en context voor de betreffende PGS-richtlijn is vastgelegd in de ToR.

Bewaken deskundigheid PGS-team

De risicobeoordeling wordt begeleid door een daarvoor door het PGS-projectbureau aangewezen facilitator, ondersteund door een projectleider. De samenstelling van het PGS-team zelf wordt vastgesteld in de PGS-stuurgroep. Het is de verantwoordelijkheid van de facilitator in overleg met de voorzitter om te bepalen of er aanvullende kennis of expertise nodig is bij de risicobeoordeling en dit terug te koppelen naar de stuurgroep. Dit kan bijvoorbeeld noodzakelijk zijn bij onvoldoende kennis in het PGS-team op het gebied van arbeidsveiligheid of bij onvoldoende kennis van het ontwerp van de installaties, de stand der techniek, stand der wetenschap en professionele dienstverlening of van recente ontwikkelingen.

3.2Vaststellen van typicals

Om zeker te stellen dat alle relevante scenario’s voor de installaties, activiteiten en stoffen binnen het toepassingsgebied van de PGS-richtlijn worden geïdentificeerd en om de PGS-richtlijn overzichtelijk te houden, kan het noodzakelijk zijn om, op basis van de scope van de PGS-richtlijn, onderscheid te maken in de verschillende onderdelen. Het is voor een opslaginstallatie bijvoorbeeld zinvol om onderscheid te maken in scenario’s die van toepassing zijn voor de opslagtank, voor de leidingen en voor de laad- en losinstallatie.

Daarnaast bepalen de specifieke kenmerken van een installatie, opslag of activiteit en haar omgeving in grote mate welke scenario’s kunnen optreden en welke veiligheidsvoorzieningen en -maatregelen noodzakelijk zijn om de risico’s te beheersen. Een tank gevuld met een acuut toxische stof vergt bijvoorbeeld een hoger beschermingsniveau dan een met water gevulde tank. Het PGS-team definieert de standaardinstallaties, -opslagen en -activiteiten en de omgeving (binnen en buiten de begrenzing van de activiteit) waarmee 80 % tot 90 % van de installaties, opslagen en activiteiten in Nederland worden afgedekt. Ook legt het PGS-team deze vast.

Afhankelijk van de PGS-richtlijn definieert het PGS-team dus typicals waarop daarna afzonderlijk de risicobenadering toegepast wordt. Een typical is een vereenvoudigd voorbeeld van een activiteit, installatie of een onderdeel van een installatie. De typical beschrijft de activiteit of installatie, en welke gevaarlijke stoffen onder welke omstandigheden (druk, temperatuur) daarin aanwezig zijn.

Bij het vaststellen van een typical is het belangrijk om er rekening mee te houden dat de installatie, opslag of activiteit in de praktijk verschillende verschijningsvormen kan hebben, en dat deze verschillen relevant zijn voor de risico’s en de benodigde maatregelen om deze risico’s te beheersen. De meest voorkomende verschijningsvorm betreft dan de basistypical. De (afwijkende) scenario’s kunnen dan als ‘ex-typical’-deelsysteem apart worden onderzocht. Voor het vaststellen van de basistypical kan gebruikgemaakt worden van een simpel processchema. Nadat de risico’s voor de basistypical zijn beoordeeld (geïdentificeerd, geanalyseerd en geclassificeerd), moet worden gekeken of voor andere typen veelvoorkomende installaties (de ex-typicals) die binnen de scope van de PGS-richtlijn vallen, nog andere risico’s van belang kunnen zijn.

3.3Keuze ongewenste gebeurtenissen

Centraal in de BowTie-methode staat de ongewenste gebeurtenis. In het kader van de PGS-richtlijn zal Loss of Containment (LOC), het vrijkomen van de gevaarlijke stof, vaak genomen worden als ongewenste gebeurtenis. Maar ook andere ongewenste gebeurtenissen, zoals een interne ontsteking/explosie of een thermal runaway, kunnen relevante ongewenste gebeurtenissen zijn.

De facilitator doet een voorstel voor de ongewenste gebeurtenis(sen) op basis van de ToR. Zie Afbeelding 3 voor voorbeelden van ongewenste gebeurtenissen in een PGS-richtlijn.

Afbeelding 3 – Voorbeelden ongewenste gebeurtenissen

3.4Verzamelen casuïstiek

Een belangrijke informatiebron voor het bepalen en beoordelen van de scenario’s zijn incidenten die hebben plaatsgevonden. Het PGS-team verzamelt bij de start van het risicobenadering informatie over relevante incidentencasuïstiek (op basis van databases, analyses van incidenten, enz.).

Bij het verzamelen van de relevante incidentencasuïstiek wordt een praktische benadering gevolgd. Het doel van het verzamelen van deze informatie is om te bepalen wat de relevante scenario’s zijn voor de PGS-richtlijn (Paragraaf 4.1) en om de risicoanalyse (Paragraaf 4.2) en -evaluatie (Paragraaf 4.3) te onderbouwen. Het is niet de bedoeling om een complete incidentendatabase voor een PGS-richtlijn aan te leggen.

Voor nieuwe activiteiten waarvoor nog geen casuïstiek beschikbaar is, kan het PGS-team besluiten om gebruik te maken van de incidentencasuïstiek van vergelijkbare technieken.

Het PGS-team legt vast welke bronnen zijn geraadpleegd (inclusief gebruikte zoektermen) en maakt een overzicht van de relevante incidenten. Dit overzicht bevat minimaal:

• het jaar;
• de plaats/het land;
• een korte omschrijving;
• de oorzaak (wanneer bekend);
• de gevolgen;
• een verwijzing naar de bron.

4.1Risico-identificatie: breng mogelijke oorzaken en gevolgen in kaart

4.1.1Bepaling scenario’s

De oorzaken en gevolgen worden beschreven met scenario’s. Hierbij beschrijft een scenario het verloop van een incident vanaf de oorzaak, de initiërende gebeurtenis, tot en met de ongewenste gebeurtenis (Paragraaf 4.1.2), of van de ongewenste gebeurtenis tot de daaruit voortvloeiende (mogelijke) gevolgen voor mens, milieu en omgeving (Paragraaf 4.1.3).

De scenario’s worden door het PGS-team gedefinieerd op basis van:

• de risico’s zoals opgenomen in de ToR;
• de verzamelde ongevallenhistorie (casuïstiek);
• eerder uitgevoerde analyses, wanneer beschikbaar;
• kennis en ervaring (expert judgement).

Zoals beschreven in hoofdstuk 3 van de PGS-richtlijnen worden scenario’s die voortkomen uit natuurgeweld (aardbevingen, overstromingen, enz.) en klimaatveranderingen (droogte, extreme regenval, hogere temperatuur, enz.) niet in de PGS opgenomen. De enige uitzondering is blikseminslag. Bedrijven moeten zelf beoordelen of er een verhoogde kans is op natuurgeweld en klimaatveranderingen en ook wat de gevolgen van zo’n gebeurtenis kunnen zijn voor de veiligheid.

Het in kaart brengen van oorzaken en gevolgen zal per installatiedeel/typical (Paragraaf 3.2) worden uitgevoerd. Het resultaat van deze stap is een of meerdere ongewenste gebeurtenissen (BowTies) met de relevante oorzaak- en gevolgscenario’s voor het onderwerp van de PGS-richtlijn (Afbeelding 4).

Afbeelding 4 – BowTie diagram met oorzaken en gevolgen

4.1.2Oorzaakscenario’s

De eerste stap van de risicobeoordeling bestaat uit het in kaart brengen van de mogelijke oorzaken of initiërende gebeurtenissen, die de ontwikkeling van een scenario in gang zetten.

De verschillende typen oorzaken die mogelijk zijn, moeten systematisch worden langsgelopen. Hierbij komen minimaal de directe oorzaken vanuit PGS 6 aan bod (corrosie, erosie, externe belasting, impact, overdruk of onderdruk, lage of hoge temperatuur, trillingen, en menselijke fouten tijdens gebruik, wijziging of onderhoud), waar relevant aangevuld met de vraagcategorieën van de SWIFT-methode (zie Bijlage C). Wanneer nodig, kan mede afhankelijk van het type installatie of de gevaarseigenschappen van de stof(fen) waar de PGS-richtlijn betrekking op heeft, een andere indeling gevolgd worden. Het gaat hierbij om het in kaart brengen van realistische oorzaken, oftewel oorzaken die voorzienbaar zijn. Daarbij is het zaak om specifiek aan te merken en vast te leggen welke oorzaken niet worden beschouwd.

Per oorzaakscenario moet het volgende worden vastgelegd:

• de directe oorzaakcategorie;
• de basisoorzaak/-oorzaken;
• de potentiële gevolgen, gerelateerd aan de gevolgscenario’s (Paragraaf 4.1.3);
• een beschrijving van (het verloop van) het scenario;
• een indicatie van de omvang van het oorzaakscenario (bijv. kleine, middelgrote of grote lekkage).

De scenariobeschrijving moet zo opgesteld zijn dat deze de identificatie van specifieke doelen (Hoofdstuk 5) en bijbehorende preventieve beheersmaatregelen (Hoofdstuk 6) mogelijk maakt.

Zie Afbeelding 5 voor een voorbeeld van een oorzaakscenario.

Afbeelding 5 – Voorbeeld oorzaakscenario

4.1.3Gevolgscenario’s

In het verlengde van mogelijke oorzaken van ongewenste gebeurtenissen wordt ook in kaart gebracht wat daarvan de mogelijke gevolgen zijn. De gevolgen moeten geformuleerd worden als scenario’s/gebeurtenissen. Het gaat daarbij om scenario’s die een effect hebben op de mens, het milieu en/of de omgeving. Wanneer van toepassing worden ook de mogelijk escalatiescenario’s benoemd. Het gaat om het vastleggen van realistische scenario’s.

Voorbeelden van mogelijke gevolgen zijn:

• het vrijkomen van de gevaarlijke stof zonder ontsteking;
• de blootstelling aan damp of verspreiding naar de omgeving;
• het vrijkomen van de gevaarlijke stof met ontsteking; brand;
• het vrijkomen van de gevaarlijke stof met ontsteking;
• een explosie;
• de escalatie van een brand of explosie (binnen de locatie en/of naar de omgeving).

Per gevolgscenario moet het volgende worden vastgelegd:

• de potentiële gevolgen, gerelateerd aan mens, milieu en/of omgeving;
• een beschrijving van (het verloop van) het scenario, inclusief het eindeffect.

De scenariobeschrijving moet zo opgesteld zijn dat deze de identificatie van specifieke doelen (Hoofdstuk 5) en bijbehorende repressieve maatregelen (Hoofdstuk 6) mogelijk maakt. Daarnaast is het nodig om de effecten zo goed mogelijk te beschrijven, zodat tijdens de risicoanalyse (Paragraaf 4.2) en de risico-evaluatie (Paragraaf 4.3) het effect van het scenario kan worden bepaald door het PGS-team.

Zie Afbeelding 6 voor een voorbeeld van een gevolgscenario.

Afbeelding 6 – Voorbeeld gevolgscenario

4.2Risicoanalyse: verdiep het inzicht in kansen en gevolgen

De volgende stap is een kwalitatieve analyse van de scenario’s op basis van expert judgement. Een risicoanalyse wordt uitgevoerd op één scenario tegelijk. De risicoanalyse is gericht op het krijgen van meer inzicht in de waarschijnlijkheid van het optreden van het scenario en de ernst van de potentiële gevolgen. Twee aspecten staan centraal:

• Wat is de waarschijnlijkheid van optreden: onder welke condities en hoe vaak kan een scenario zich voordoen?
• Wat zijn de gevolgen: wat is de ernst/ reikwijdte van een scenario?

Wanneer kwantitatieve gegevens beschikbaar zijn, kunnen deze worden meegenomen in de kwalitatieve analyse. Omdat de werkelijkheid vaak complexer is dan wordt aangenomen en in veel gevallen faalgegevens en casuïstiek niet beschikbaar of niet volledig zijn, moet een conservatieve werkwijze worden gehanteerd. Aannames en gebruikte gegevens moeten door het PGS-team kritisch op waarde worden geschat en worden vastgelegd om te komen tot een zo hoog mogelijke reproduceerbaarheid en betrouwbaarheid.

Wanneer een oorzaak- of gevolgscenario niet als realistisch wordt beschouwd, wordt hiervoor de motivatie vastgelegd door de facilitator. Bijvoorbeeld dat er geen persoonlijk letsel kan voorkomen, omdat er niemand aanwezig is, of dat er teveel randvoorwaarden zijn waaraan voldaan moet worden vóór het gevolg optreedt. Het is ook van belang om gevolgen met grote omvang maar zeer kleine kans vast te leggen.

Detaillering en clustering van scenario’s

De wijze van clustering van praktijksituaties bij het opstellen van scenario’s is een belangrijke factor: te weinig clustering kan leiden tot onnodige detaildiscussie, te veel clustering gooit risico’s teveel op één hoop en stapelt daarmee ook maatregelen. Een juiste differentiatie is dus van belang. Voorbeelden van factoren die hierbij een rol spelen zijn:

• de fysische eigenschappen/aard van de producten. De mogelijke gevolgen van een incident bij een installatie met stookolie zijn bijvoorbeeld sterk verschillend van die van een installatie met een vluchtige organische stof met een hoge toxiciteit;
• de hoeveelheden opgeslagen producten;
• de typen installaties en hun externe omgeving;
• de wijze van opereren (bijv. hoge beladingssnelheid of lage beladingssnelheid).

Er zijn situaties denkbaar waarbij het PGS-team op basis van de kwalitatieve beoordeling van de experts niet met de reguliere werkwijze tot consensus is gekomen. In die gevallen zullen de scenario’s concreter en gedetailleerder doorgesproken moeten worden om de risico’s en doelen verder te duiden.

4.3Risicoclassificatie: classificeer de risico’s van de scenario’s

4.3.2Risicomatrix

Deze paragraaf geeft de kwalitatieve risicomatrix die door het PGS-team gebruikt moet worden om de scenario’s te classificeren.

Afbeelding 7 – Risicomatrix PGS

Deze matrix geeft verticaal de omvang van de gevolgen (schaal A t/m E) en horizontaal de kans van optreden van het scenario (schaal 1 t/m 5). In Tabel 1 en Tabel 2 staan de categorieën om tijdens de risico-evaluatie vast te stellen in welk gevolg en in welke kans het scenario past.

Tabel 1 – Gevolgcategorieën

Categorie	Omschrijving
A	Gering	Arboveiligheid: geen verzuim, medische behandeling (EHBO)
		Omgevingsveiligheid: geen of zeer beperkt effect (bijv. zeer kleine lekkage gas/vloeistof)
B	Klein	Arboveiligheid: effect op veiligheid en gezondheid (aangepast werk of ‘lost time injury’), maar geen blijvend effect op de gezondheid
		Omgevingsveiligheid: klein effect (bijv. kleine lekkage gas/vloeistof)
C	Beperkt	Arboveiligheid: effect op veiligheid en gezondheid, en/of blijvend letsel of gezondheidseffect
		Omgevingsveiligheid: lokaal effect (bijv. lekkage gas/vloeistof)
D	Ernstig	Veiligheid: blijvende invaliditeit, één dodelijk slachtoffer
		Omgevingsveiligheid: ernstig effect (bijv. grote lekkage gas/vloeistof)
E	Zeer ernstig	Arboveiligheid: meer dan een dodelijk slachtoffer
		Omgevingsveiligheid: zeer ernstig effect (bijv. zeer grote lekkage gas/vloeistof)

Tabel 2 – Kanscategorieën

Kanscategorie	Omschrijving
1	Zeer onwaarschijnlijk	Nooit van gehoord binnen industrie en/of Er is een theoretische kans dat het scenario zich ontwikkelt
2	Onwaarschijnlijk	Bekend binnen industrie sector/branche en/of Het is voorstelbaar dat het scenario zich voordoet binnen de branche, maar niet vanzelfsprekend dat het zich gedurende de levensduur van de installatie of het uitvoeren van de activiteit zal voordoen
3	Denkbaar maar ongewoon	Is wel eens gebeurd in vergelijkbaar bedrijf en/of Het is voorzienbaar dat het scenario zich gedurende de levensduur van de installatie of het uitvoeren van de activiteit zal voordoen
4	Zeer wel mogelijk	Gebeurt meerdere keren per jaar in een vergelijkbaar bedrijf en/of Het is voorzienbaar dat het scenario zich gedurende de levensduur van de installatie of het uitvoeren van de activiteit meerdere keren zal voordoen
5	Zeer waarschijnlijk	Gebeurt meerdere keren per jaar in een bedrijf en/of Het is voorzienbaar dat het scenario zich jaarlijks meerdere keren zal voordoen bij het gebruik van de installatie of het uitvoeren van de activiteit
Bij de beschrijving van ‘industrie’ gaat het om bedrijven in binnen- en buitenland, die zijn gebouwd en opereren met een vergelijkbaar niveau van engineering practice.

De combinatie van gevolg en kans van een scenario bepaalt de positie in de matrix en daarmee het risiconiveau. Tabel 3 beschrijft de risiconiveaus die gebruikt worden binnen de PGS-richtlijn.

Tabel 3 – Risiconiveau

Kleur	Risiconiveau	Omschrijving
Groen	Laag risiconiveau	Scenario valt buiten de scope van de PGS-richtlijn omdat het niet kan leiden tot ernstige gevolgen en/of omdat de kans op optreden gering is Dit betreft de cellen in de risicomatrix voorzien van een kruis
Geel	Gemiddeld risiconiveau	Scenario wordt opgenomen in de PGS-richtlijn, inclusief formulering van doelen en maatregelen
Oranje	Hoog risiconiveau
Rood	Zeer hoog risiconiveau

Voor de bepaling welke scenario’s relevant zijn voor de PGS-richtlijn, is een conservatieve benadering toegepast. Een scenario met een C2-waardering is opgenomen in de PGS-richtlijn omdat dit gelijk is aan meldingswaardige ongevallen volgens art 9 van de Arbowet, ondanks dat dit niet helemaal consistent is omdat de cellen A4, B3 en D1 hetzelfde risiconiveau (kleur) hebben.

Scenario’s met een zeer ernstig effect en kleine kans - E1

Scenario’s met het hoogste effect maar een hele kleine kans, E1-waardering, moeten apart beschouwd worden. Deze scenario’s worden niet per definitie opgenomen in de PGS-richtlijn. Tijdens de risicobeoordeling kan het namelijk voorkomen dat PGS-teams zuiver theoretische scenario’s benoemen die niet relevant zijn voor de PGS-richtlijn. Aan de andere kant kan het zijn dat scenario’s in deze categorie toch relevant zijn, omdat:

1. het relevant is in het kader van beschouwing van een rampscenario vanwege de grote effecten;
2. het onderwerp van de PGS-richtlijn een nieuwe techniek of activiteit betreft waarover nog onvoldoende kennis is over de kans van optreden en dat het PGS-team het zinvol vindt om doelen en maatregelen te formuleren.

Om deze redenen is E1-waardering niet voorzien van een kruis in de risicomatrix.

Het resultaat van de bovenstaande stappen is dat per scenario in kaart is gebracht wat de inschatting is van het gevolg en de kans van optreden. Op deze manier helpt de risicomatrix het PGS-team om meer inzicht te krijgen in de relatieve omvang van risico’s voor het prioriteren en bepalen van doelen en maatregelen voor de scenario’s. Het maakt ook transparant op basis van welke over- en afwegingen scenario’s worden opgenomen in een PGS-richtlijn.

4.4Stel vast welke scenario’s behandeld worden in de betreffende PGS

In deze stap wordt vastgesteld welke scenario’s wel en welke niet meegenomen worden in een PGS-richtlijn. Volgens het besluit van het Bestuurlijk Omgevingsberaad VTH (BOb) van april 2015 richt de PGS zich op het voorkomen van scenario’s met een (zeer) hoog of gemiddeld risico en het beperken van de gevolgen daarvan. Laagrisicoscenario’s worden niet meegenomen in een PGS-richtlijn. Het is van belang hierbij een conservatieve benadering te volgen. Met name wanneer er een discussie is of een scenario wel of niet gewaardeerd wordt als een laag risico (cel in de risicomatrix voorzien van een kruis). Het kan immers zijn dat voor een dergelijk scenario het toch relevant is om doelen en maatregelen op te nemen in de PGS-richtlijn, mede omdat de kwalitatieve benadering geen absoluut risico geeft.

Scenario’s met potentieel minder ernstige gevolgen (risicoklasse A en risicoklasse B2 en B3) vallen buiten het toepassingsgebied van een PGS-richtlijn. Voor deze scenario’s gelden wel andere wettelijke verplichtingen, zoals de risico-inventarisatie en -evaluatie en de zorgplicht van het bedrijf richting mens en milieu.

Daarnaast richt de PGS zich alleen op scenario’s die ‘voorzienbaar’ zijn. Oorzaken die een zeer kleine kans hebben zich voor te doen, vallen normaliter buiten de scope. Hierbij kan bijvoorbeeld gedacht worden aan een vliegtuig dat op de installatie valt.

Vanwege de zeer ernstige gevolgen moet een PGS-team de scenario’s in de E1-cel apart beschouwen, ook al bestaat er slechts een zeer kleine kans van optreden (‘niet bekend in de industrie’). Vanwege de zeer ernstige gevolgen kan het soms toch nodig zijn om ook voor dit scenario maatregelen op te nemen in een PGS-richtlijn. Zie ook de toelichting met betrekking tot E1-scenario’s in Paragraaf 4.3.2.

In Afbeelding 7 staat welke scenario’s niet meegenomen worden in een PGS-richtlijn doordat de betreffende cellen zijn voorzien van een kruis.

5.1Criteria en functie van doelen

Volgende stap in de risicobenadering is het vaststellen van de doelen voor de midden- en hoogrisico's zoals bepaald in Stap B. Hierbij gelden de volgende criteria:

• Een doel moet specifiek zijn voor de scenario’s waarvoor het van toepassing is.
• Een doel moet concreet zijn geformuleerd, zodat het een handvat biedt voor het identificeren en uiteindelijk vaststellen van maatregelen.
• Bij het formuleren van het doel wordt er aangesloten bij maatregelen die vereist zijn op basis van het wettelijk kader en algemeen toegepaste industriële standaarden (volgens Paragraaf 3.1).
• Alle scenario’s moeten minimaal één doel bevatten.

De functie van een doel is om de beheersing van risico’s voor mens, milieu en omgeving te borgen. Door te voldoen aan de maatregelen zoals opgenomen in de PGS-richtlijn, wordt vervolgens voldaan aan het doel en is het aanvaardbare veiligheidsniveau behaald.

Het is ook mogelijk dat een bedrijf via andere maatregelen, onderbouwd en gemotiveerd, aan het doel invulling heeft gegeven. Zie ook Handreiking Beoordeling gelijkwaardigheid PGS-maatregelen. Om dit te kunnen beoordelen, is het noodzakelijk dat het doel ‘toetsbaar’ wordt beschreven. Er moet eenduidig kunnen worden vastgesteld of een situatie al dan niet aan het doel voldoet. Globale omschrijvingen, zoals ‘zoveel mogelijk’, ‘redelijkerwijs’ of ‘er moet worden gestreefd naar vallen hier dus niet onder.

5.2Bepaling van doelen

Bij de bepaling van de benodigde doelen worden de scenario’s op een gestructureerde manier van links naar rechts doorlopen, waarbij wordt bepaald hoe het scenario onderbroken kan worden. Dit kunnen zowel preventieve doelen zijn, doelen die de ongewenste gebeurtenis voorkomen, als repressieve doelen, doelen die de gevolgen van de ongewenste gebeurtenis voorkomen of beperken.

Oorzaakscenario’s

Voor oorzaakscenario’s zijn er twee soorten doelen mogelijk:

1. doelen gericht op het voorkomen of beperken van de oorzaak zelf;
2. doelen gericht op het voorkomen van de centrale gebeurtenis.

In het voorbeeld in Afbeelding 8 wordt met het eerste doel voorkomen dat de oorzaak, een te hoge warmtebelasting, kan optreden. Een veel voorkomende maatregel in PGS-richtlijnen die invulling geeft aan dit doel is een interne veiligheidsafstand.

Het tweede doel verandert niks aan de oorzaak. Het doel zorgt dat, wanneer het scenario zich voordoet, voorkomen wordt dat de installatie faalt en dat daardoor de gevaarlijke stof vrijkomt. Een veel voorkomende maatregel in PGS-richtlijnen voor dit doel is een drukontlasting.

Afbeelding 8 – Voorbeeld vaststelling doelen oorzaakscenario

Het PGS-team zal per oorzaakscenario moeten bepalen of beide soorten preventieve doelen van toepassing zijn of slechts een van beide. Dit is afhankelijk van het scenario, het risico en of dit (technisch) mogelijk is. Het kan dus voorkomen dat er slechts één doel voor een scenario bepaald wordt, maar omgekeerd kunnen er ook meerdere doelen van dezelfde soort vastgesteld worden voor een scenario en dat er dus meer dan twee doelen bepaald worden voor een scenario.

Gevolgscenario’s

Voor de repressieve doelen zijn er ook in principe twee soorten doelen mogelijk:

1. doelen gericht op het voorkomen van het gevolgscenario zelf;
2. doelen gericht op het voorkomen/beperken van de impact.

In het voorbeeld in Afbeelding 9 wordt met het eerste doel voorkomen dat het gevolgscenario, de brand, plaatsvindt. Een veel voorkomende maatregel in PGS-richtlijnen die invulling geeft aan dit doel is ventilatie om te zorgen dat er geen brandbare/explosieve dampwolk kan ontwikkelen.

Het tweede doel voorkomt het gevolgscenario niet. Het doel zorgt dat, wanneer het scenario zich voordoet, de effecten van het scenario zoveel mogelijk beperkt worden. Veel voorkomende maatregelen in PGS-richtlijnen voor dit doel zijn blussystemen, bluswatervoorzieningen en de bereikbaarheid voor de brandweer.

Afbeelding 9 – Voorbeeld vaststelling doelen gevolgscenario

Net als voor de oorzaakscenario’s zal het PGS-team moeten bepalen of beide soorten preventieve doelen van toepassing zijn of slechts een van beide. Dit is afhankelijk van het scenario, het risico en of dit (technisch) mogelijk is. Het kan dus voorkomen dat er slechts één doel voor een scenario bepaald wordt, maar omgekeerd kunnen er ook meerdere doelen van dezelfde soort vastgesteld worden voor een scenario en dat er dus meer dan twee doelen bepaald worden voor een scenario.

5.3Onafhankelijkheid van doelen

Het moet worden voorkomen dat er een groot aantal doelen benoemd wordt die ieder een subfunctie beschrijven. Een doel in een PGS-richtlijn kan worden gezien als een LOD zoals bedoeld in PGS 6. Om te kunnen worden aangemerkt als doel, moet een LOD:

• effectief zijn in het voorkomen van consequenties wanneer het werkt zoals ontworpen;
• onafhankelijk zijn van de basisoorzaak en (van de componenten) van ieder doel aangemerkt voor het hetzelfde scenario;
• verifieerbaar/te valideren zijn.

Om te zorgen dat een doel volledig is en de totale functie beschrijft, kan gebruikgemaakt worden van het SDA-model (zie ook Paragraaf 7.2.2.2), waarbij:

• sensor staat voor de detectie van het scenario;
• decision staat voor de opvolging van de detectie;
• action staat voor de uiteindelijke actie en functie of werking van het doel.

Voor het doel ‘Zeker stellen dat een brand beheerst/geblust kan worden’ uit Afbeelding 9 zijn er dus een aantal subfuncties noodzakelijk:

• detectie van een brand;
• opvolging van de detectie (bijv. automatische activering blusinstallatie of doormelding naar een alarmcentrale);
• het daadwerkelijk bestrijden en beheersen van een brand, inclusief de beschikbaarheid van water, bereikbaarheid voor de brandweer, aanwezigheid van brandkranen, enz.

Deze subfuncties zijn dus geen doelen op zich en worden dus niet als doel opgenomen. Over het algemeen zal het aantal doelen voor een oorzaakscenario beperkt zijn tot twee tot drie doelen en voor een gevolgscenario beperkt tot twee tot vier doelen.

7.1Doelen en maatregelen - afbakening risicobeoordeling en schrijffase

Het beschrijven van de doelen en maatregelen is onderdeel van de schrijffase. Vanuit de risicobenadering zijn echter wel aandachtspunten die hierbij in acht genomen moeten worden. Hierdoor wordt gezorgd dat:

1. de maatregelen goed aansluiten bij de methodiek en structuur van de risicobenadering;
2. de evaluatie van de risicobenadering, Hoofdstuk 8, uitgevoerd kan worden.

7.2Aandachtspunten bij het uitwerken van doelen en maatregelen

7.2.2Soort maatregelen

7.2.2.1Preventieve en repressieve maatregelen

Het is van belang om het onderscheid tussen preventieve en repressieve maatregelen te maken.

Preventieve maatregelen zijn gekoppeld aan preventieve doelen en een oorzaakscenario. Deze maatregelen zijn gericht op het voorkomen van de ongewenste gebeurtenis.

Repressieve maatregelen zijn gekoppeld aan repressieve doelen en gevolgscenario’s. Deze maatregelen zijn gericht op het beperken van het gevolg van een ongewenste gebeurtenis.

Zowel preventieve als repressieve maatregelen kunnen van bouwkundige, technische, organisatorische/procedurele of planologische (afstanden) aard zijn.

7.2.2.2Type maatregelen

Een onderscheid in het type maatregel is van belang, met name omdat de werking en betrouwbaarheid van maatregelen, afhankelijk van het type maatregel, kunnen verschillen. Hierbij is het uitgangspunt dat een technische maatregel meestal een hogere betrouwbaarheid heeft dan een organisatorische/procedurele maatregel. Bij instrumentele beveiligingen wordt de betrouwbaarheid tot uitdrukking gebracht in het ‘safety integrity level’ (SIL)-niveau. Voor organisatorische beveiligingen is het vaak lastig om een hoger SIL-niveau dan SIL-1 te kunnen borgen.

Van welk type een maatregel is, wordt bepaald door de wijze waarop deze zijn functie levert in relatie tot het scenario. Het model dat in deze handreiking gebruikt wordt voor het bepalen van het type maatregel is het SDA-model, Afbeelding 10, waarbij:

• Sensor staat voor de detectie van het scenario.
• Decision staat voor de opvolging van de detectie.
• Action staat voor de uiteindelijke actie en functie of werking van het doel.

Afbeelding 10 – SDA-model

Er kunnen de volgende typen maatregelen worden onderscheiden:

• Technische maatregel - passief: dit type maatregel levert zijn functie door zijn aanwezigheid en hoeft niet geactiveerd te worden als het scenario zich voordoet. Voorbeelden hiervan zijn een aanrijdbeveiliging of een brandwerende constructie. Een bijzondere groep van maatregelen die ook bij dit type maatregel hoort, is de groep van zogenaamde continue hardware. Deze groep maatregelen is voor het functioneren wel afhankelijk van nutsvoorzieningen, zoals elektriciteit, maar hoeft niet te reageren op een scenario dat zich voordoet. Een voorbeeld hiervan is het op overdruk houden van een controlekamer of cabine van een machine.
• Technische maatregel - actief: bij dit type maatregel worden alle drie de componenten (S, D en A) ingevuld door technische middelen (instrumenten, besturingscomputers, kleppen, apparaten, enz.) en is er geen menselijke interactie nodig voor de werking of het functioneren van de maatregel. Voorbeelden hiervan zijn een automatische overvulbeveiliging of een automatische blusinstallatie.
• Organisatorische/procedurele maatregel: voor de werking of het functioneren van deze maatregel is voor een of meer componenten van het SDA-model menselijk handelen noodzakelijk. Generieke maatregelen (bijv. onderhoud of een werkvergunningensysteem) betreffen werkprocessen waarvan een beschermende werking uitgaat zonder dat er een sensor nodig is om ze te activeren.

Opmerking: het type maatregel is alleen relevant voor de sturende maatregelen, zie Paragraaf 7.2.2.3. Ondersteunende maatregelen zijn per definitie organisatorisch, omdat deze gaan over onderhoud, inspectie, enz.

7.2.2.3Sturende en ondersteunende maatregelen

Bij de bepaling van maatregelen wordt gezorgd dat er een complete set van maatregelen wordt vastgesteld om de volledige LOD-functie van het doel te bereiken.

Dit betreft:

• sturende maatregelen: deze geven aan wat er aanwezig moet zijn of wat er gedaan moet worden, zoals:
  • een opslagtank is voorzien van een hoogniveaubeveiliging;
  • een opslagvoorziening heeft een wbdbo van 60 min;
  • er is toezicht tijdens laden en lossen;

• ondersteunende maatregelen: deze regelen de betrouwbaarheid en beschikbaarheid van maatregelen, zoals:
  • de hoogniveaubeveiling:
    • voldoet aan de volgende norm(en);
    • moet periodiek getest worden;
  • de wbdbo:
    • moet bepaald worden volgens de volgende norm;
    • doorvoeringen en openingen mogen geen afbreuk doen aan de wbdbo;
  • toezicht tijdens laden en lossen:
    • wordt gedaan door competent personeel.

Sturende en ondersteunende maatregelen kunnen separaat worden opgenomen of worden samengevoegd in één maatregel die al deze aspecten beschrijft.

8.1Algemeen

Voor deze stap van de risicobeoordeling is het noodzakelijk dat de maatregelen bekend zijn, wat pas na afronding van de schrijffase van de PGS-richtlijn (fase 2) is en zodra er een concepttekst beschikbaar is. Het doel van deze stap is om te bepalen of met de PGS-richtlijn een aanvaardbaar maatregelenniveau voor de beheersing van de geïdentificeerde risico’s wordt bereikt.

De evaluatie wordt uitgevoerd door de facilitator op basis van zijn of haar expertise, waarbij de volgende stappen worden doorlopen:

1. een update van de risicobeoordeling op basis van de concepttekst zoals opgesteld tijdens de schrijffase;
2. een kwalitatieve beoordeling van de resultaten, zie Paragraaf 8.2;
3. een classificatie van de scenario’s met de geïdentificeerde maatregelen, zie Paragraaf 8.3;
4. het bespreken van de resultaten met het PGS-team en, indien nodig, een update van de concepttekst van de PGS-richtlijn, zie Paragraaf 8.4.

8.2Kwalitatieve beoordeling van de resultaten

De kwalitatieve beoordeling van de resultaten door de facilitator vindt plaats op basis van de volgende aspecten:

• er is minimaal één maatregel per doel;
• er is minimaal één sturende maatregel per doel (Paragraaf 7.2.2.3);
• de volledige LOD-functie van het doel wordt gerealiseerd door de maatregel(en) en alle componenten van het SDA-model (Afbeelding 10), zijn aanwezig;
• er is voldoende aandacht voor zowel preventieve als repressieve maatregelen (Paragraaf 7.2.2.1);
• er is een goede combinatie van typen maatregelen (Paragraaf 7.2.2.2);
• de mate van onafhankelijkheid van de maatregelen is geborgd;
• waar mogelijk is er een voorkeursvolgorde van maatregelen (Paragraaf 7.2.3).

8.3Classificatie van de scenario’s met de geïdentificeerde maatregelen

Na de kwalitatieve beoordeling wordt door de facilitator bepaald wat de invloed is van de geïdentificeerde maatregel(en) op het risico van het scenario. Hierbij geldt dat:

• preventieve maatregelen de kans van optreden verlagen:
• repressieve maatregelen de ernst van de gevolgen beperken.

Bij de beoordeling van de gezamenlijke risicoreductie door een set van maatregelen wordt rekening gehouden met eventuele gezamenlijke faaloorzaken, waardoor de maatregelen in een bepaalde mate afhankelijk van elkaar kunnen zijn. Bij een gezamenlijke faaloorzaak wordt geen nadere risicoreductie toegepast.

Vervolgens wordt het risico met toepassing van de maatregel(en) geclassificeerd in de risicomatrix (Afbeelding 7). Dit verschaft inzicht in de effectiviteit van de maatregel(en):

• hoe ver dringen de maatregelen het risico terug?
• wat is het restrisico na toepassing van de PGS-maatregelen?

De resultaten van de classificatie van de scenario’s met geïdentificeerde maatregelen wordt vervolgens meegenomen in de overwegingen of:

• de geïdentificeerde maatregelen voldoende zijn (bijv. het is een laag restrisico of de maatregelen zijn de stand der techniek/SWPD);
• er meer maatregelen nodig zijn (bijv. het is een midden of hoog restrisico of de maatregelen zijn niet de stand der techniek/SWPD);
• er minder maatregelen nodig zijn (bijv. zonder de maatregel is het restrisico al laag of de maatregelen gaan verder dan de stand der techniek/SWPD).

De beoordeling van de risico’s met geïdentificeerde maatregelen wordt toegevoegd aan de risicobeoordeling.

8.4Bespreken van de resultaten met het PGS-team

De facilitator stelt op basis van de resultaten uit Paragraaf 8.2 en Paragraaf 8.3 een evaluatie op, inclusief de bevindingen en voorstellen tot aanpassing van de concepttekst van de PGS-richtlijn.

Deze evaluatie wordt met het PGS-team besproken, waarbij wordt bepaald op welke punten de concepttekst moet worden aangepast. Voor de bevindingen en voorstellen tot aanpassing die niet worden overgenomen door het team wordt de onderbouwing vastgelegd.

Verschillen van inzicht binnen het PGS-team

Het kan gebeuren dat na deze stap binnen een PGS-team sprake is van verschillende meningen over de noodzaak van bepaalde maatregelen. Zo kan het gebeuren dat deelnemers op basis van de stand der techniek/SWPD aanvullende maatregelen noodzakelijk achten die andere deelnemers niet nodig achten, omdat ze van mening zijn dat ook zonder deze maatregelen risico’s al voldoende ver zijn teruggebracht. Zo’n verschil in inzicht (non-consensus) kan zich zowel voordoen bij nieuwe als bij bestaande situaties.

In zo’n situatie heeft het PGS-team tot taak om de beschikbare gegevens systematisch en transparant te documenteren. Het gaat dan met name om:

• inzichten over scenario’s’s die kunnen optreden zonder de aanvullende maatregel (wat zijn kansen van optreden? wat zijn de mogelijke gevolgen?);
• technische en economische aspecten van de maatregel (in welke situaties is deze toepasbaar? wat zijn de kosten?);
• inzichten over het effect van de additionele maatregel (hoeveel reduceert deze maatregel de kansen van optreden en/of mogelijke gevolgen?);
• de beschrijving die de betreffende maatregel zou krijgen.

Een non-consensus binnen het PGS-team wordt behandeld volgens bijlage A van de Governance PGS-beheerorganisatie.