Řízení rizik v železničním systému Unie. Klíčový je pilíř bezpečnosti

V prvním díle tohoto pojednání o nastavení železničního systému Unie jsme představili jeho základní stavební kameny. Nyní se podrobně zaměříme na proces řízení rizik, který je nedílnou součástí všedního života dopravců, správců infrastruktury i ECM.

V prvním díle  tohoto pojednání o soudobém nastavení železničního systému Unie jsme si představili jeho základní stavební kameny – legislativní nastavení, aktéry železničního trhu i podstatu systémů zajišťování bezpečnosti a systémů údržby.

A na konci textu nechyběla zmínka o tom, že jedním z nosných pilířů systémů zajišťování bezpečnosti i systémů údržby je proces řízení rizik. Protože jde v našich poměrech na železnici (na rozdíl od jiných oblastí podnikání) o téma stále ještě nedostatečně zažité, pojďme si problematiku řízení rizik představit v samostatném článku podrobněji.

Už jen při vyslovení pojmu „management rizik“ naskakuje leckomu husí kůže, ovšem pravou příčinou je obvykle pouze obava z neznámého. Jedná se o zcela samozřejmou a pro firmy s fungujícím „pudem sebezáchovy“ životně důležitou součást jejich všedního života.

A nejde jen o řízení podnikatelských rizik nebo běžnému občanovi bližší řízení rizik z oblasti bezpečnosti práce. Často, aniž by si to sami uvědomovali, provádí třeba i malé firmy diverzifikaci rizik, když se snaží nebýt  závislé jen na jediném dodavateli surovin (jehož výpadek by znamenal zastavení výroby), nebo  se snaží rozšiřovat množství svých produktů, aby opadnutí zájmu zákazníků o „hlavní produkt“ neznamenalo automaticky zánik firmy.

Řízení rizik dělá zcela přirozeně také každý z nás i v soukromém životě. Když si například budete chtít pořídit místo svého malého auta pořádný rodinný vůz, také si určitě napřed změříte průjezdnou šířku brány do dvora a ujistíte se, že podjedete pod roletou do garáže a že v garáži otevřete dveře nového auta tak, abyste je neodřeli a mohli pohodlně vystoupit. Stejně tak si asi nekoupíte elektromobil, když doma nemáte elektrickou zásuvku potřebného příkonu, nebo si nenecháte postavit rodinný dům ve vesnici, kam neexistuje kvalitní spojení veřejnou dopravou, protože není příliš prozíravé být po stránce dopravy odkázán pouze na auto.

Obdobně to funguje také v oblasti bezpečnosti (nejen) železniční dopravy. Protože ale podnikání v dopravě opravdu úzce souvisí s bezpečností a sebemenší selhání s sebou může nést riziko značných materiálových škod i zmařených lidských životů, je systematické řízení rizik pro všechny tři v minulém díle představené hlavní aktéry železničního trhu (tedy dopravce, správce infrastruktury a ECM) povinné a musí být vždy prokazatelné. Kromě nich stanovuje článek 3 odst. 11 prováděcího nařízení Komise (EU) č. 402/2013 povinnost aplikovat proces řízení rizik také výrobcům a obecně žadatelům o změnu strukturálních subsystémů (tj. například vozidel nebo interoperabilních staveb).

Pro ujasnění terminologie si připomeňme, že pod pojmem řízení rizik se souhrnně rozumí trojice úkonů: analýza rizik (zjišťuje se četnost výskytu a následky možných selhání), hodnocení rizik (kategorizace přípustnosti každého z rizik) a usměrnění rizik na přijatelnou úroveň.

Řízení rizik v železničním systému Unie

V předloni novelizovaném zákoně o dráhách, doplněném o formulace transponující požadavky technického pilíře IV. železničního balíčku, najdeme ustanovení o povinnosti řízení rizik pro dopravce v § 35 odst. 2 písm. g, pro správce infrastruktury v § 22 odst. 2 písm. e, pro subjekty odpovědné za údržbu vozidel pak v § 43b odst. 5 písm. e.

Za nepraktikování procesu řízení rizik nebo nepřijetí potřebných opatření ke známým rizikům stanovuje zákon také pokuty, a to až v řádech miliónů korun.

Stejně tak jsou v zákoně o dráhách uvedeny také požadavky na to, že dopravci, správci infrastruktury a ECM odpovídají za výběr takových subdodavatelů služeb nebo věcí (typicky náhradních dílů), kteří praktikují procesy řízení rizik a ustanovení o tom musejí být zároveň zakotvena do uzavíraných dodavatelských smluv. To samozřejmě v případech, kdy se smlouva vztahuje na věci či služby, které mají dopad do bezpečnosti.

V prvním díle tohoto pojednání bylo také uvedeno že, způsob analyzování a řízení rizik je pro železniční prostředí předepsán prováděcím nařízením Komise (EU) č. 402/2013, které definuje společnou bezpečnostní metodu pro hodnocení a posuzování rizik (CSM). I když je tato společná bezpečností metoda nejmodernějším postupem pro řízení rizik, principiálně vychází z už více než 30 let v jiných odvětvích užívaných postupů popsaných v normách CENELEC. Rozdíly jsou pouze v zavedení kategorizace závažností změn s tím, že u těch bezpečnostně nejzávažnějších je povinnost nechat celý provedený postup řízení rizik přezkoumat nezávislým subjektem pro posuzování bezpečnosti (AsBo).

Za realizaci řízení rizik je odpovědný její navrhovatel, což je firma, která hodlá změnu zavést, a to až do úrovně jejího managementu. V tomto případě musíme zmínit významný precedens, jehož důsledkem bylo urychlení zavedení ECM do údržby vozidel. Tím se 29. 6. 2009 stala závažná železniční nehoda u italského města Viareggio, v důsledku, které zahynulo 32 lidí a řada dalších byla zraněna. Za nehodu byli dodnes trvajícími nepodmíněnými tresty potrestáni nejen ti, kteří měli přímo na starost (zanedbávanou) údržbu nákladních vozů, jejichž selhání bylo příčinou této katastrofické nehody, ale také vrcholoví manažeři firem, včetně bývalého ředitele italských drah, kteří nesli odpovědnost za chybné nastavení svého systému údržby.

V souladu s Článkem 2 prováděcího nařízení Komise (EU) č. 402/2013 může mít každá změna systému povahu buďto technickou, provozní nebo organizační. A každá z nich buďto může nebo nemusí mít dopad do bezpečnosti.

Pokud je změna označena za změnu mající dopad do bezpečnosti, prochází v souladu prováděcím nařízením Komise (EU) č. 402/2013 odborným posouzením na základě kritérií: důsledek selhání, nový prvek, složitost změny, sledování změny, doplňkovost a vratnost změny.

Bez bližší znalosti postupu to asi takto napsané vypadá neproniknutelně, ale v podstatě jde pouze o zvážení 4 možných scénářů ze 6 výše uvedených kritérií. Je však nutné se na řešenou problematiku naučit dívat více „z nadhledu“ a v širších souvislostech.

S ohledem na to, že řízení rizik je téma, které zasahuje prakticky do všech úrovní podnikání na železnici a u kterého lze stále ještě v řadě firem pozorovat určité obavy, představme si níže rámcově několik konkrétních příkladů řízení rizik. Snad z nich bude zřejmé, že kromě nového „obalu“ nejde o něco vyloženě nového, pouze o systematické zpracování a průkazné zaznamenání toho, co ve zdravě uvažujících firmách stejně musí při každé změně proběhnout.

Příklad první – ze života ECM

Na úvod prvního příkladu si připomeňme, že ECM je kromě jiného odpovědný také za stanovení proběhů/lhůt vozidel do předepsaných stupňů údržby (viz část III odst. 3 Přílohy II prováděcího nařízení Komise (EU) 2019/779 ) a jejich předání dopravci (viz článek 5 odst. 3 prováděcího nařízení Komise (EU) 2019/779. Pokud by to neudělal, ohrožuje své Osvědčení subjektu odpovědného za údržbu.
Dopravce pak je povinen provozovat pouze takové vozidlo, které nemá překročené lhůty proběhů do předepsané údržby – viz kap. 4.2.2.5.2 bod b) Prováděcího nařízení Komise (EU) 2019/773
– pokud by takové vozidlo provozoval, ohrožuje své Osvědčení o bezpečnosti dopravce.

Všichni ale cítíme, že pouze skutečnost, že konkrétní vozidlo má ujeto např. 50 000 km od minulé údržby, tedy hodnotu, kterou ECM (potažmo výrobce) stanovil jako hraniční pro přistavení vozidla do další údržby, nijak neřeší jeho skutečný technický stav. Jinými slovy – je rozdíl, zda např. motorový vůz řady 8xx těch 50 000 km najezdí sólo provozem na nenáročné rovinaté lokálce s volnými jízdními dobami, nebo se s několika vozy denně lopotí po sklonově náročné trati s napjatými jízdními dobami. U prvně zmíněného případu lze předpokládat, že jeho opotřebení bude významně menší a mohlo by tedy být možné (např. v situaci, kdy máme přeplněnou dílnu) jeho plánovanou údržbu odložit nebo redukovat její rozsah. Každý ECM má svrchované právo takto rozhodnout, ale je to samozřejmě na jeho plnou odpovědnost.

Protože jde o odchylku oproti zavedenému systému údržby (v tomto případě reprezentovaného plánem údržby dané řady vozidla), přistupuje se k ní jako k jednorázové změně systému. Dobu odložení plánované údržby ale nelze stanovit jen tak odhadem. ECM by měl v prvé řadě nechat předmětné vozidlo prohlédnout a prověřit zejména bezpečnostně významné komponenty, jako jsou např. dvojkolí, prvky pojezdu, tažné a narážecí ústrojí nebo např. dveře.

Protože odložení proběhu vozidla do předepsané údržby bezesporu je změnou s dopadem do bezpečnosti a dost možná i změnou významnou, určitě je nutné se pustit do analýzy možných rizik dle postupu stanoveného v prováděcím nařízení Komise (EU) č. 402/2013 [ //eur-lex.europa.eu/legal-content/cs/TXT/?uri=CELEX%3A32013R0402 ]. V rámci analýzy si navrhovatel musí projít všechny předepsané úkony pro odkládaný stupeň údržby a posoudit, jaký nejhorší dopad může mít odložení každého z nich. Výstupem analýzy bude soupis tzv. nebezpečí, která – pokud by nastala – by mohla být přímým ohrožením bezpečnosti provozu.

Takové ohrožení ale samozřejmě nesmíme připustit, jinak bychom porušili podmínku, že systém musí být i po realizaci změny minimálně stejně bezpečný, jako před změnou. Na každé zjištěné nebezpečí tedy musí navrhovatel vymyslet „záplatu“, neboli bezpečnostní opatření, které sníží možné riziko na přijatelnou úroveň.

Výsledkem aplikace celé bezpečnostní metody pak v tomto konkrétním případě nejspíš bude zjištění, že zatímco drtivou většinu plánovaných úkonů předepsané úrovně údržby je možné bez nutnosti opatření odložit, najde se také několik bodů, které odložit nelze (např. výměna maziva v ložiscích, provedení defektoskopie prvků pojezdu apod.), nebo je lze odložit jen za určitých podmínek (např. četnější prohlídky některých dílů, snížení nějakého výkonnostního parametru vozidla apod.). Tyto úkony, které se i přes odložení ostatních bodů údržby budou muset vykonat nebo některým prvkům vozidla nastavíme „přísnější“ režim provozu, budou vlastně usměrněním rizik plynoucích z odložení údržby daného stupně na přijatelnou úroveň.

Celý proces řízení rizik se formálně uzavírá vydáním prohlášení navrhovatele změny, které dokládá, že se touto změnou systému někdo vážně zabýval a zvážil/ošetřil možné důsledky. Přílohou prohlášení pak vždy musí být veškerá dokumentace, která při provádění analýzy a řízení rizik vznikla.

Musíme si uvědomit, že prakticky žádná rizika nelze odstranit stoprocentně. Důležité však je udělat prokazatelně vše, co je jen možné, pro jejich snížení na přijatelnou úroveň.

Příklad druhý – ze života dopravce

Ve druhém příkladu si představíme zcela běžnou situaci, že dopravce bude potřebovat nasadit do provozu modernizovaný osobní vůz – první svého typu. Došlo např. jen k lehké obnově interiéru, dosazení výkonnější klimatizace, vakuových WC a změně systému zavírání nástupních dveří.
Uvedenou modernizaci už posoudil jako technickou změnu ten, kdo vůz modernizoval a jeho změny nechával schvalovat (obvykle výrobce, popřípadě ECM vozidla). Bylo by však mylné se domnívat, že tím je hotovo a není už kolem vozidla dál co řešit.

ECM tohoto modernizovaného vozu si dle podkladů od dodavatele rekonstrukce musí taktéž udělat analýzu rizik a zmapovat, jaké dopady má uvedená technická změna do jeho systému údržby. Z pohledu ECM půjde o změnu provozní, protože se změní některé postupy při údržbě, možná i s nároky na pořízení nějakých nových diagnostických přístrojů, měřidel, přípravků, nářadí či nutnost proškolení personálu údržby. Analýza rizik, která samozřejmě musí proběhnout ještě před zařazením modernizovaného vozu do systému údržby, má v tomto případě za úkol hlavně předejít tomu, že vůz přijede na dílnu a její personál s hrůzou zjistí, že na jeho předepsanou údržbu nemá nářadí a potřebné přípravky, že potřebná nastavení software nikdo z dílny oficiálně neumí (a není znám ani externí dodavatel), nebo že na nezbytné zásahy do elektrické výstroje nemá nikdo z dílny kvalifikaci.

Stejně jako ECM, musí ze svého úhlu pohledu změny týkající se vozidla posoudit také dopravce, který bude vozidlo používat. I z jeho pohledu půjde o změnu provozní, protože jejím důsledkem bude změna způsobu obsluhy třeba zmíněné klimatizace a dveří, což s sebou nese změnu návodu k obsluze vozidla a tedy také nutnost (samozřejmě prokazatelného) proškolení provozního personálu dopravce z obsluhy vozidla.

Při analýze rizik by se měly zvážit všechny známé aspekty až do takových detailů, jako jsou dopady do technologických procesů na straně dopravce (např. zajištění odsávání jímek WC či potřeba častějšího dobíjení vozových baterií z externího zdroje kvůli vyšší spotřebě nově instalovaných zařízení), nebo plnění legislativních požadavků – v tomto případě může jít např. o vyhovění § 35 odst. 2 písm. l zákona o dráhách [ //www.zakonyprolidi.cz/cs/1994-266 ], který po dopravcích výslovně požaduje s alespoň dvouměsíčním předstihem oznámit Drážnímu úřadu zahájení provozování veřejné drážní dopravy prostřednictvím dosud neprovozovaného typu drážních vozidel nebo s využitím nových funkcí zaměstnanců a následně neprodleně jakoukoliv podstatnou změnu těchto údajů.

Jinou situací, kdy lze na straně dopravce odůvodněně očekávat zpracování analýz rizik, jsou změny vozebních ramen jeho vlaků či nasazení „nových“ vozidel na tratě, kde tato dosud nejezdila – ať už jde o nasazení dočasné (např. z důvodu výluk) nebo trvalé (např. při změně grafikonu).

Opět ale podotkněme, že uvedené platí pouze v případě, že postup definující tyto záležitosti není součástí předpisů dopravce, tj. nastavení jeho systému zajišťování bezpečnosti. Protože v opačném případě už byly tyto postupy z hlediska možných rizik analyzovány v době budování systému a není důvod (ba naopak je nepřípustné) je posuzovat znovu.

Příklad třetí – ze života správce infrastruktury

Za správce infrastruktury si jako příklad vezměme třeba situaci, kdy v rámci modernizace trati chceme konkrétní stanici zbavit dopravních zaměstnanců a převést ji do režimu dálkového řízení.

Vlastní rekonstrukce stanice je jednoznačně změnou technickou, kterou posuzuje a zjištěná nebezpečí usměrňuje na přijatelnou úroveň dodavatel rekonstrukce. Pro správce infrastruktury však půjde zároveň o provozní změnu, jejímž charakteristickým rysem je vyvolaná změna předpisů či provozních postupů – v tomto případě staničního řádu, tabulek traťových poměrů, přípojových provozních řádů zaústěných vleček a dalších dokumentů. A mimo to půjde také o změnu organizační, protože se změní organizační schéma, resp. odpovědnosti zaměstnanců. A to jak přímo ve stanici, kde všechna či většina míst zanikne, tak také na centrálním dispečerském pracovišti, odkud bude stanice dálkově řízena.

Analýza a (v tomto případě zcela jistě) usměrnění rizik organizační změny by se tak měly zaměřovat hlavně na ošetření plánovaného stavu odpovědností, nadřízeností/podřízeností a zastupitelnosti zaměstnanců – navrhovatel změny bude podrobně zkoumat jednotlivé body pracovních náplní rušených zaměstnanců a prověřovat, zda jsou všechny činnosti adekvátně zajištěny jiným (a minimálně stejně bezpečným) způsobem.

V případě provozní změny se budou řešit hlavně otázky chodu stanice jako takové, zachování její funkčnosti po stránce možnosti křižování a předjíždění vlaků, obsluhy vleček nebo také ochrany majetku, jehož poškození by mohlo negativně ovlivnit bezpečnost provozu (krádeže kabelů či prvků zabezpečovacího zařízení).

Hlavním důvodem, proč se o obou typech změn takto rozepisujeme a proč jsme vlastně i zvolili tento příklad, je především ukázat, že se jednotlivé posuzované body obou druhů změn mohou velmi úzce prolínat. Ne vždy je zcela zřejmé, do které kategorie změn (technická/provozní/organizační) která řešená problematika patří. V tomto případě však není ono rozčlenění tolik důležité, na rozdíl od řádného zmapování celé šíře posuzované problematiky.

Vezměme si například plnění požadavku §20 vyhlášky č. 173/1995  Sb., který stanovuje správci infrastruktury povinnost sledovat jízdu drážních vozidel osobami řídícími a podílejícími se na řízení drážní dopravy a zároveň i povinnost učinit opatření k odvrácení případného zjištěného nebezpečí, vč. informování dopravce. Sledování vlaků provozními zaměstnanci infrastruktury je velmi důležitý bezpečnostní prvek v železničním provozu a ne nadarmo povinnost, která je dána i legislativně – mimo jiné se jedná o naplňování požadavků Článku 5 nařízení o ECM popisujícího nutné toky informací o technickém stavu železničních vozidel mezi dopravcem, správcem infrastruktury a ECM.

V rámci popisované organizační změny je nutné tuto činnost, která je mimo jiné náplní práce zaměstnanců ve stanici s rušenou osádkou, převést na někoho jiného. Ale je vůbec možné ji bez snížení bezpečnosti převést např. na dispečerské pracoviště? Případný požár na vlaku či chybějící koncovky možná uvidí dispečer CDP i přes kamerové systémy, ale na řadu závad na jedoucím vlaku upozorňují třeba také akustické signály.

Sledování projíždějících vlaků je zároveň i provozní úlohou stanice, která bez zaměstnanců bude těžko moci tuto úlohu plnit. Kdybychom v tomto případě řešili samostatně provozní i organizační změnu, ve většině případů bychom došli ke stejným bezpečnostním opatřením – celá stanice bude pod dohledem kamer (a hlavně dostatečného počtu zaměstnanců „za nimi“), výměny výhybek (které nebude mít v zimě kdo vymetat) bude nutno vyhřívat, odhrnování sněhu z nástupišť v zimním období zajistíme externí službou a bezpečnostní sledování vlaku v odpovídající kvalitě zajistí nedaleké okolní stanice. Pokud by mělo být za sebou na dálkově řízené trati více stanic bez personálu, je možné si vypomoci indikátorem nekorektnosti jízdy. Protože ale zatím nemáme technické řešení např. pro sledování konců vlaků, přečnívajícího nákladu či otevřených dveří vlaku, stejně nakonec při sérii více opouštěných stanic za sebou vyjde z řízení rizik nutnost alespoň v některých ze stanic zaměstnance správce infrastruktury ponechat.

Co z uvedeného příkladu pro posuzování změn systému plyne? Hlavně to, že navrhovateli nic nebrání posuzovat i více kategorií změn společně jediným postupem. V praxi je totiž v podstatě jedno, zda je prováděná změna provozní nebo organizační. Podstatné je především opravdu pojmenovat všechny aspekty zamýšlené změny a usměrnit veškerá z ní vyplývající rizika na přijatelnou úroveň.

Další vhodná uplatnění CSM

Až doposud jsme popisovali ze zákona povinné uplatnění CSM v oblasti řízení bezpečnosti železniční dopravy. Tím ovšem nemusí využití CSM z daleka končit!

Společné bezpečnostní metody lze relativně snadno využít například i pro řízení spolehlivosti železničního provozu – tedy minimalizaci negativních dopadů z mimořádností v provozu na koncové zákazníky, kvůli kterým tu vlastně celá železnice je (a stále se bavíme nejen o osobní, ale také o nákladní dopravě). A přiznejme si, že právě spolehlivost provozu je jedním z nejslabších míst současné železnice.

Takováto „spolehlivostní“ mutace CSM by vedla správce infrastruktury ve spolupráci s dopravci např. k přípravě krizových scénářů na různé mimořádnosti v provozu s jednoznačným cílem eliminace (často zbytečných) prostojů při odchylkách od referenčního provozního stavu infrastruktury i vozidel.

Má-li totiž soudobá železnice v pomyslném boji o zákazníka obstát a nebýt jen bohatě dotovaným systémem, který nikdo nevyužívá, nemůže si dovolit přešlapy, jako jsou několikahodinová přerušení provozu na páteřních tratích bez možnosti odklonové jízdy, ujeté klíčové přípoje nebo třeba uvíznutí vlaku v beznapěťovém úseku, jedná-li se o situaci (např. plánovanou napěťovou výluku), při které lze provozní problémy předpokládat.

Závěr

Cílem tohoto dvoudílného pojednání rozhodně nebylo popsat stávající nastavení železničního systému Unie vyčerpávajícím způsobem, ale připomenout Vám, čtenářům, alespoň ta nejzákladnější fakta, která je dobré mít na paměti, když třeba budete s někým diskutovat o událostech ze současného dění na kolejích. Zároveň jsme chtěli připomenout existenci povinného řízení rizik, které stále významná část veřejnosti nebere v potaz a poukazuje na nebezpečnost mnohých změn v železničním systému. Dnes už si však můžete být jisti, že každá provedená změna na železnici prochází procesem posuzování rizik, ke kterému někde existuje dokumentace a pod každou změnou je podepsán někdo, kdo se i před zákonem zaručil, že změnu vymyslel a nastavil správně a bezpečně.

Tento základ už sám o sobě dává významnou naději, že se do budoucna opravdu bude železnice vyvíjet směrem k vyšší bezpečnosti. Podstatné však je, aby byly systémy zajišťování bezpečnosti a systémy údržby nejen dobře nastaveny a spravovány, ale také aby bylo jejich nastavení ctěno a v praxi dodržováno. Tedy i s tím, že pokud dojde k nějakému selhání, musí být toto řádně prošetřeno, vyhodnoceno a musí být nastavena nezbytná nápravná opatření ke zlepšení celého systému.