Regolamento di esecuzione (UE) n. 402/2013 della Commissione del 30 aprile 2013 relativo al metodo comune di sicurezza per la determinazione e valutazione dei rischi e che abroga il regolamento (CE) n. 352/2009 (Testo rilevante ai fini del SEE)
Testo vigente
ALLEGATO I
ALLEGATO I
1. PRINCIPI GENERALI DEL PROCEDIMENTO DI GESTIONE DEL RISCHIO
1.1. Principi e obblighi generali
1.1.1. Il procedimento di gestione dei rischi ha inizio dalla definizione del sistema da valutare e comprende le seguenti attività:
a) procedimento di valutazione dei rischi, finalizzato ad individuare gli eventi pericolosi, i rischi, le corrispondenti misure di sicurezza e i requisiti di sicurezza risultanti che il sistema da valutare deve soddisfare;
b) dimostrazione della conformità del sistema ai requisiti di sicurezza individuati; nonché
c) gestione di tutti gli eventi pericolosi individuati e misure di sicurezza corrispondenti.
Il procedimento di gestione dei rischi è iterativo ed è illustrato nel grafico dell'appendice. Il procedimento si conclude quando si dimostra che il sistema è conforme a tutti i requisiti di sicurezza necessari affinché risultino accettabili i rischi connessi agli eventi pericolosi individuati.
1.1.2. Il procedimento di gestione dei rischi comprende le opportune attività di garanzia della qualità ed è svolto da personale competente. È valutato in maniera indipendente da uno o più organismi di valutazione.
1.1.3. Il proponente incaricato del procedimento di gestione dei rischi mantiene un registro degli eventi pericolosi a norma del punto 4.
1.1.4. Gli operatori che già dispongono di metodi o strumenti per la valutazione dei rischi possono continuare ad applicarli purché tali metodi o strumenti siano compatibili con le disposizioni del presente regolamento e a condizione che:
a) i metodi o gli strumenti di valutazione dei rischi siano definiti in un sistema di gestione della sicurezza accettato da un'autorità nazionale preposta alla sicurezza a norma dell'articolo 10, paragrafo 2, lettera a), o dell'articolo 11, paragrafo 1, lettera a), della direttiva 2004/49/CE; o
b) i metodi o gli strumenti di valutazione del rischio siano prescritti da una specifica tecnica di interoperabilità (STI) o siano conformi a norme riconosciute e pubblicamente disponibili prescritte nelle norme nazionali notificate.
1.1.5. Fatte salve le disposizioni in materia di responsabilità civile stabilite dalle legislazioni degli Stati membri, il proponente è responsabile per il procedimento di valutazione dei rischi. In particolare, il proponente decide, con l'accordo dei soggetti interessati, chi è incaricato di soddisfare i requisiti di sicurezza risultanti dalla valutazione dei rischi. I requisiti di sicurezza imposti dal proponente a questi operatori non possono andare al di là delle responsabilità e dell'ambito di controllo di tali operatori. Tale decisione dipende dal tipo di misure di sicurezza scelte per contenere il rischio a livelli accettabili. La conformità ai requisiti di sicurezza deve essere dimostrata a norma del punto 3.
1.1.6. Nell'ambito del procedimento di gestione dei rischi il proponente deve, in primo luogo, stilare un documento nel quale individua i compiti dei vari operatori e le rispettive attività di gestione dei rischi. Il proponente opera in stretta collaborazione con i vari operatori interessati, in funzione dei compiti assegnati, al fine di gestire i pericoli e le misure di sicurezza corrispondenti.
1.1.7. L'organismo di valutazione ha il compito di valutare la corretta applicazione del procedimento di gestione dei rischi di cui al presente regolamento.
1.2. Gestione dei punti di interazione
1.2.1. Per ciascun punto d'interazione del sistema da valutare, e fatte salve le specifiche definite nelle specifiche tecniche di interoperabilità relativamente ai punti d'interazione, gli operatori del settore ferroviario cooperano per individuare e gestire congiuntamente gli eventi pericolosi e le relative misure di sicurezza. Il proponente coordina la gestione dei rischi condivisi nei punti di interazione.
1.2.2. L'operatore che, per adempiere un requisito di sicurezza, ritiene necessaria una misura di sicurezza che non è in grado di applicare personalmente trasferisce ad un altro operatore, previo accordo di quest'ultimo, la gestione del relativo evento pericoloso secondo le modalità definite al punto 4.
1.2.3. Qualsiasi operatore che rilevi la non conformità o l'inadeguatezza di una misura di sicurezza applicata al sistema soggetto a valutazione è tenuto a informare il proponente che, a sua volta, ne informa l'operatore che mette in atto la misura di sicurezza in questione.
1.2.4. L'operatore che mette in atto la misura di sicurezza informa tutti gli operatori interessati dal problema nell'ambito del sistema da valutare o, per quanto ne sia a conoscenza, nell'ambito di altri sistemi che si avvalgono della stessa misura di sicurezza.
1.2.5. Qualora non sia possibile giungere ad un accordo tra due o più soggetti, il proponente è tenuto a trovare una soluzione idonea.
1.2.6. Quando un operatore non è in grado di soddisfare un requisito stabilito in una norma nazionale notificata, il proponente chiede il parere dell'autorità competente.
1.2.7. A prescindere dalla definizione del sistema da valutare, il proponente è tenuto a garantire che la gestione dei rischi si applichi sia al sistema in sé sia al suo inserimento nel sistema ferroviario complessivo.
2. DESCRIZIONE DEL PROCESSO DI VALUTAZIONE DEL RISCHIO
2.1. Descrizione generale
2.1.1. Per procedimento di valutazione dei rischi s'intende il procedimento iterativo generale comprendente:
a) la definizione del sistema;
b) l'analisi dei rischi, compresa l'individuazione degli eventi pericolosi;
c) la determinazione dei rischi.
Il procedimento di valutazione dei rischi interagisce con la gestione degli eventi pericolosi come indicato al punto 4.1.
2.1.2. La definizione del sistema deve riguardare quanto meno i seguenti punti:
a) gli obiettivi del sistema (finalità prevista);
b) le funzioni e gli elementi del sistema, se del caso (compresi, tra gli altri, elementi umani, tecnici ed operativi);
c) la delimitazione del sistema, anche in riferimento ai sistemi che interagiscono con esso;
d) punti d'interazione materiali (sistemi che interagiscono) e funzionali (input ed output funzionali);
e) le condizioni ambientali del sistema (ad esempio, flusso termico ed energetico, urti, vibrazioni, interferenze elettromagnetiche, utilizzo operativo);
f) le misure di sicurezza esistenti e, previe le necessarie iterazioni, la definizione dei requisiti di sicurezza individuati nel corso del procedimento di valutazione dei rischi;
g) le ipotesi che determinano i limiti della valutazione dei rischi.
2.1.3. Relativamente al sistema così definito gli eventi pericolosi sono individuati secondo le modalità definite al punto 2.2.
2.1.4. L'accettabilità dei rischi del sistema da valutare viene determinata sulla base di uno o più dei seguenti criteri di accettazione del rischio:
a) applicazione di codici di buona pratica (punto 2.3);
b) confronto con sistemi analoghi (punto 2.4);
c) stima accurata dei rischi (punto 2.5).
In base al principio generale di cui al punto 1.1.5, l'organismo di valutazione si astiene dal prescrivere al proponente il criterio di accettazione dei rischi da applicare.
2.1.5. Nella determinazione dei rischi il proponente deve dimostrare che il criterio di accettazione dei rischi prescelto è applicato correttamente. Il proponente deve inoltre verificare che i criteri prescelti siano applicati in maniera coerente.
2.1.6. I criteri di accettazione dei rischi indicati devono permettere di individuare le possibili misure di sicurezza che rendano accettabili i rischi del sistema da valutare. Le misure di sicurezza selezionate, fra quelle possibili, al fine di contenere il rischio o i rischi costituiscono i requisiti di sicurezza che il sistema deve soddisfare. La conformità a tali requisiti deve esser dimostrata a norma del punto 3.
2.1.7. Il procedimento iterativo di valutazione dei rischi è considerato concluso quando risulti dimostrata la conformità a tutti i requisiti di sicurezza e non ci siano ulteriori eventi pericolosi da prendere in considerazione.
2.2. Individuazione degli eventi pericolosi
2.2.1. Il proponente ricorre alle ampie competenze di un gruppo di esperti per individuare sistematicamente tutti gli eventi pericolosi cui potrebbe essere soggetto l'intero sistema oggetto della valutazione, all'occorrenza le funzionalità dello stesso, nonché i relativi punti d'interazione. Tutti gli eventi pericolosi così individuati sono inseriti nell'apposito registro secondo le modalità indicate al punto 4.
2.2.2. Al fine di incentrare la valutazione dei rischi sui rischi principali, gli eventi pericolosi devono essere classificati in funzione dei rischi stimati che da essi derivano. Gli eventi pericolosi che, previa consulenza tecnica, si considerano associati ad un rischio globalmente accettabile non devono essere esaminati più a fondo, ma devono comunque essere inseriti nel registro degli eventi pericolosi. La loro classificazione deve essere motivata per consentire una valutazione indipendente da parte di un organismo di valutazione.
2.2.3. In linea di principio il rischio connesso ad un evento pericoloso può considerarsi globalmente accettabile se è talmente esiguo da non giustificare la messa in atto di alcuna misura di sicurezza supplementare. La consulenza tecnica deve verificare che tutti i rischi ritenuti globalmente accettabili non superino, cumulativamente, una determinata quota del rischio complessivo.
2.2.4. All'atto dell'individuazione degli eventi pericolosi possono altresì essere determinate le misure di sicurezza. Tali misure sono inserite nell'apposito registro degli eventi pericolosi secondo le modalità indicate al punto 4.
2.2.5. L'individuazione degli eventi pericolosi deve essere realizzata con il livello di dettaglio necessario per determinare se le misure di sicurezza sono in grado di controllare i rischi sulla base di uno dei criteri di accettazione dei rischi indicati al punto 2.1.4. Può pertanto essere necessario reiterare le fasi dell'analisi e della determinazione dei rischi fino a quando non si raggiunga il livello di dettaglio sufficiente per l'individuazione degli eventi pericolosi.
2.2.6. Qualora ai fini del controllo dei rischi si faccia ricorso a codici di buona pratica o a un sistema di riferimento, l'individuazione degli eventi pericolosi può limitarsi a quanto segue:
a) verifica della pertinenza del codice di buona pratica o del sistema di riferimento interessato;
b) individuazione delle deviazioni rispetto al codice di buona pratica o al sistema di riferimento.
2.3. Utilizzo di codici di buona pratica e determinazione dei rischi
2.3.1. Il proponente esamina, con la collaborazione di altri operatori interessati, se uno, più o tutti gli eventi pericolosi individuati sono adeguatamente disciplinati da codici di buona pratica pertinenti.
2.3.2. I codici di buona pratica devono quanto meno:
a) godere di un ampio riconoscimento nel settore ferroviario; in caso contrario, tali codici devono essere corredati delle necessarie motivazioni e devono essere ritenuti accettabili dall'organismo di valutazione;
b) essere pertinenti ai fini del controllo degli eventi pericolosi considerati nel sistema da valutare. La corretta applicazione di un codice di buona pratica per casi simili per gestire i cambiamenti e controllare adeguatamente gli eventi pericolosi individuati di un sistema ai sensi del presente regolamento è sufficiente affinché il codice in questione sia considerato pertinente;
c) su richiesta, devono essere resi disponibili agli organismi di valutazione affinché valutino o, se del caso, riconoscano reciprocamente, in conformità con l'articolo 15, paragrafo 5, l'idoneità dell'applicazione del procedimento di gestione dei rischi e dei suoi risultati.
2.3.3. Quando, ai sensi della direttiva 2008/57/CE, è prescritta la conformità alle specifiche tecniche di interoperabilità e la specifica tecnica di interoperabilità di cui trattasi non richiede il procedimento di gestione dei rischi previsto dal presente regolamento, le specifiche tecniche di interoperabilità possono essere considerate codici di buona pratica per il contenimento degli eventi pericolosi purché venga soddisfatto il requisito di cui al punto 2.3.2, lettera b).
2.3.4. Le norme nazionali notificate ai sensi dell'articolo 8 della direttiva 2004/49/CE e dell'articolo 17, paragrafo 3, della direttiva 2008/57/CE possono essere considerate codici di buona pratica purché siano soddisfatti i requisiti di cui al punto 2.3.2.
2.3.5. Se uno o più eventi pericolosi individuati sono controllati da codici di buona pratica conformi ai requisiti di cui al punto 2.3.2, i rischi ad essi associati devono considerarsi accettabili. Ciò implica che:
a) non è necessario analizzare ulteriormente tali rischi;
b) l'applicazione dei codici di buona pratica deve essere annotata nel registro degli eventi pericolosi come requisito di sicurezza per gli eventi pericolosi di cui trattasi.
2.3.6. Il proponente deve dimostrare che un'alternativa non interamente conforme al codice di buona pratica, ma eventualmente prescelta, garantisca almeno lo stesso livello di sicurezza.
2.3.7. Se l'applicazione dei codici di buona pratica non permette di rendere accettabile il rischio connesso ad un determinato evento pericoloso, occorre individuare altre misure di sicurezza applicando uno degli altri due criteri di accettazione dei rischi.
2.3.8. Quando tutti gli eventi pericolosi sono controllati con l'applicazione di codici di buona pratica, il procedimento di gestione dei rischi può limitarsi:
a) all'individuazione degli eventi pericolosi a norma del punto 2.2.6;
b) alla registrazione dell'applicazione dei codici di buona pratica nel registro degli eventi pericolosi ai sensi del punto 2.3.5;
c) alla documentazione riguardante l'applicazione del procedimento di gestione dei rischi ai sensi del punto 5;
d) a una valutazione indipendente a norma dell'articolo 6.
2.4. Uso del sistema di riferimento e determinazione del rischio
2.4.1. Il proponente esamina, con la collaborazione di altri operatori, se uno, più o tutti gli eventi pericolosi individuati sono adeguatamente disciplinati in un sistema analogo che possa essere adottato come sistema di riferimento.
2.4.2. Un sistema di riferimento deve almeno:
a) avere già dimostrato, nella pratica, di garantire un livello di sicurezza accettabile e poter pertanto essere approvato nello Stato membro in cui deve essere introdotta la modifica;
b) presentare funzionalità e punti di interazione analoghi a quelli del sistema da valutare;
c) essere utilizzato in circostanze operative analoghe a quelle del sistema da valutare;
d) essere utilizzato in condizioni ambientali analoghe a quelle del sistema da valutare.
2.4.3. Se il sistema di riferimento soddisfa i requisiti del punto 2.4.2, ai fini del sistema da valutare:
a) i rischi associati agli eventi pericolosi disciplinati dal sistema di riferimento si considerano accettabili;
b) i requisiti di sicurezza per gli eventi pericolosi disciplinati dal sistema di riferimento possono essere ricavati dalle analisi della sicurezza o dalla valutazione dei registri di sicurezza del sistema di riferimento;
c) tali requisiti di sicurezza devono essere inseriti nel registro degli eventi pericolosi in qualità di requisiti di sicurezza per gli eventi pericolosi di cui trattasi.
2.4.4. Se il sistema da valutare si discosta dal sistema di riferimento, la determinazione dei rischi deve dimostrare che il sistema soggetto a valutazione presenta quanto meno lo stesso livello di sicurezza del sistema di riferimento, applicando un altro sistema di riferimento o uno degli altri due criteri di accettazione dei rischi. In tal caso, i rischi associati agli eventi pericolosi disciplinati dal sistema di riferimento sono considerati accettabili.
2.4.5. Se non è possibile dimostrare che il sistema raggiunge quanto meno lo stesso livello di sicurezza del sistema di riferimento, è necessario individuare ulteriori misure di sicurezza per gli elementi che si discostano, applicando uno degli altri due criteri di accettazione dei rischi.
2.5. Stima e determinazione accurata dei rischi
2.5.1. Se gli eventi pericolosi non sono coperti dall'applicazione dei due criteri di accettazione dei rischi indicati ai punti 2.3 e 2.4, l'accettabilità dei rischi deve essere dimostrata mediante una stima e una determinazione accurate dei rischi stessi. I rischi derivanti da questi eventi pericolosi devono essere stimati sotto il profilo quantitativo o qualitativo o, se necessario, sia quantitativo che qualitativo, tenendo conto delle misure di sicurezza in essere.
2.5.2. L'accettabilità dei rischi stimati è valutata in base ai criteri di accettazione dei rischi ricavati dai o fondati sui requisiti stabiliti dalla normativa dell'Unione o dalle norme nazionali notificate. In funzione dei criteri di accettazione dei rischi, l'accettabilità dei rischi può essere valutata individualmente per ciascun evento pericoloso o complessivamente per la combinazione di tutti gli eventi pericolosi considerati nella stima accurata dei rischi. Se il rischio stimato non è accettabile devono essere individuate e messe in atto misure di sicurezza supplementari per ridurre il rischio ad un livello accettabile.
2.5.3. Quando il rischio associato ad un evento pericoloso o ad una combinazione di eventi pericolosi è considerato accettabile, le misure di sicurezza individuate devono essere registrate nel registro degli eventi pericolosi.
2.5.4. Il proponente non è tenuto a effettuare un'ulteriore stima accurata dei rischi per i rischi che sono già considerati accettabili dall'uso di codici di buona pratica o di sistemi di riferimento.
2.5.5. Quando gli eventi pericolosi derivano da un guasto delle funzioni di un sistema tecnico, fatti salvi i punti 2.5.1 e 2.5.4, i seguenti obiettivi di progetto armonizzati si applicano a tali guasti:
a) quando un guasto è potenzialmente idoneo a produrre direttamente un incidente catastrofico, il rischio associato non deve essere ulteriormente ridotto se si è dimostrato che la frequenza del guasto della funzione è estremamente improbabile;
b) quando un guasto è potenzialmente idoneo a produrre direttamente conseguenze critiche, il rischio associato non deve essere ulteriormente ridotto se si è dimostrato che la frequenza del guasto della funzione è improbabile.
La scelta tra la definizione 23) e la definizione 35) dipende dalla conseguenza del guasto più probabile in termini di diminuzione della sicurezza.
2.5.6. Fatti salvi i punti 2.5.1 e 2.5.4, gli obiettivi di progetto armonizzati di cui al punto 2.5.5 sono usati per la progettazione di sistemi tecnici elettrici, elettronici ed elettronici programmabili. Questi sono gli obiettivi di progetto più rigorosi che possono essere richiesti per il riconoscimento reciproco. Tali obiettivi non devono essere usati né come obiettivi quantitativi generali per l'intero sistema ferroviario di uno Stato membro, né per la progettazione di sistemi tecnici puramente meccanici. Per i sistemi tecnici misti composti da una parte puramente meccanica e da una parte elettrica, elettronica e elettronica programmabile, l'individuazione degli eventi pericolosi deve essere effettuata conformemente al punto 2.2.5. Gli eventi pericolosi derivanti dalla parte puramente meccanica non devono essere controllati utilizzando gli obiettivi di progetto armonizzati di cui al punto 2.5.5.
2.5.7. I rischi associati ai guasti di funzioni dei sistemi tecnici di cui al punto 2.5.5 sono considerati accettabili se anche i seguenti requisiti sono soddisfatti:
a) conformità dimostrata con gli obiettivi di progetto armonizzati applicabili;
b) i guasti sistematici e gli errori sistematici associati sono controllati in conformità ai procedimenti di qualità e di sicurezza commisurati all'obiettivo di progetto armonizzato applicabile al sistema tecnico sottoposto a valutazione e definiti negli standard pertinenti generalmente riconosciuti;
c) le condizioni di applicazione per l'integrazione in condizioni di sicurezza del sistema tecnico sottoposto a valutazione nel sistema ferroviario sono identificate e inserite nel registro degli eventi pericolosi conformemente al punto 4. Conformemente al punto 1.2.2, queste condizioni di applicazione sono trasferite all'operatore responsabile della dimostrazione dell'integrazione in condizioni di sicurezza.
2.5.8. Le seguenti definizioni specifiche si applicano in riferimento agli obiettivi di progetto quantitativi armonizzati dei sistemi tecnici:
a) il termine «direttamente» significa che il guasto della funzione può potenzialmente causare la tipologia di incidente di cui al punto 2.5.5, senza che si verifichino ulteriori guasti;
b) il termine «potenzialmente» significa che il guasto della funzione può causare la tipologia di incidente di cui al punto 2.5.5;
2.5.9. Se il guasto di una funzione del sistema tecnico sottoposto a valutazione non causa direttamente il rischio in esame, l'applicazione di obiettivi di progetto meno rigorosi è autorizzata se il proponente è in grado di dimostrare che l'uso delle barriere di cui all'articolo 3, paragrafo 34, consente di raggiungere lo stesso livello di sicurezza.
2.5.10. Fatta salva la procedura di cui all'articolo 8 della direttiva 2004/49/CE, o all'articolo 17, paragrafo 3, della direttiva 2008/57/CE del Parlamento europeo e del Consiglio6, è possibile richiedere un obiettivo di progetto più rigoroso degli obiettivi di progetto armonizzati di cui al punto 2.5.5 per il sistema tecnico sottoposto a valutazione, mediante una norma nazionale notificata, al fine di mantenere il livello di sicurezza esistente nello Stato membro. Nel caso delle autorizzazioni supplementari per la messa in servizio di veicoli, si applicano le procedure degli articoli 23 e 25 della direttiva 2008/57/CE.
2.5.11. Se il sistema tecnico viene sviluppato sulla base dei requisiti di cui al punto 2.5.5, si applica il principio del riconoscimento reciproco conformemente all'articolo 15, paragrafo 5. Tuttavia se per un pericolo specifico il proponente è in grado di dimostrare che il livello di sicurezza esistente nello Stato membro in cui il sistema viene utilizzato può essere mantenuto con un obiettivo di progetto meno rigoroso di quello armonizzato, allora tale obiettivo di progetto meno rigoroso può essere usato al posto di quello armonizzato.
2.5.12. La stima e la determinazione accurata dei rischi devono soddisfare quanto meno i seguenti requisiti:
a) i metodi impiegati per la stima accurata dei rischi devono rappresentare fedelmente il sistema sottoposto a valutazione e i rispettivi parametri (comprese tutte le modalità operative);
b) i risultati devono essere sufficientemente precisi da costituire una solida base decisionale. Modifiche minime nelle ipotesi o nei prerequisiti non devono determinare requisiti notevolmente diversi.
3. DIMOSTRAZIONE DELLA CONFORMITÀ AI REQUISITI DI SICUREZZA
3.1.
Prima dell'accettazione di sicurezza della modifica deve essere dimostrata, sotto la vigilanza del proponente, la conformità ai requisiti di sicurezza risultanti dalla fase di valutazione dei rischi.
3.2.
La conformità deve essere dimostrata da ciascuno dei soggetti responsabili per la conformità ai requisiti di sicurezza, designati a norma del punto 1.1.5.
3.3.
Il metodo scelto per dimostrare la conformità ai requisiti di sicurezza nonché la dimostrazione stessa devono essere valutati in maniera indipendente da un organismo di valutazione.
3.4.
Se, nel corso della dimostrazione della conformità ai requisiti di sicurezza, viene rilevata un'inadeguatezza nelle misure di sicurezza intese ad adempiere i requisiti di sicurezza oppure emerge un nuovo evento pericoloso, il proponente deve procedere ad una nuova valutazione e determinazione dei correlativi rischi secondo quanto indicato al punto 2. I nuovi eventi pericolosi così individuati sono inseriti nell'apposito registro secondo le modalità indicate al punto 4.
4. GESTIONE DEGLI EVENTI PERICOLOSI
4.1. Procedimento di gestione degli eventi pericolosi
4.1.1. Il proponente costituisce uno o più registri degli eventi pericolosi o aggiorna quelli esistenti durante la fase di progettazione e di applicazione e fino all'accettazione della modifica o alla consegna del rapporto di valutazione di sicurezza. Un registro conserva traccia dei progressi compiuti nel monitoraggio dei rischi associati agli eventi pericolosi individuati. Una volta che il sistema è stato accettato ed in esercizio, il registro degli eventi pericolosi deve essere tenuto dal gestore dell'infrastruttura o dall'impresa ferroviaria incaricata dell'esercizio del sistema da valutare e considerato parte integrante del sistema di gestione della sicurezza.
4.1.2. Il registro deve contenere tutti gli eventi pericolosi, nonché tutte le relative misure di sicurezza e i presupposti di sistema individuati nell'ambito del procedimento di valutazione dei rischi. In particolare, il registro deve contenere un chiaro riferimento all'origine degli eventi pericolosi e ai criteri di accettazione dei rischi individuati e indicare chiaramente l'operatore o gli operatori incaricati di controllare ciascun evento pericoloso.
4.2. Scambio di informazioni
Gli eventi pericolosi e i relativi requisiti di sicurezza che non possono essere gestiti da un unico operatore devono essere comunicati ad un altro operatore competente ai fini di un'adeguata soluzione congiunta. Gli eventi pericolosi registrati nell'apposito registro dell'operatore che li trasferisce saranno considerati «controllati» solo nel momento in cui la determinazione dei rischi ad essi associati sia stata effettuata dall'altro operatore e la soluzione abbia ottenuto il consenso di tutti gli interessati.
5. PROVE OGGETTIVE DERIVANTI DALL'APPLICAZIONE DEL PROCEDIMENTO DI GESTIONE DEL RISCHIO
5.1.
Il proponente deve documentare il procedimento di gestione dei rischi utilizzato per valutare i livelli di sicurezza e la conformità ai requisiti di sicurezza in modo che tutti i documenti necessari per dimostrare sia la corretta applicazione del procedimento di gestione dei rischi sia i risultati di tale applicazione siano a disposizione dell'organismo di valutazione.
5.2.
La documentazione che il proponente deve produrre a norma del punto 5.1 comprende quanto meno:
a) una descrizione delle caratteristiche dell'organizzazione e degli esperti nominati per il procedimento di valutazione dei rischi;
b) i risultati delle varie fasi della valutazione dei rischi e l'elenco di tutti i requisiti di sicurezza da soddisfare per controllare i rischi entro livelli accettabili;
c) prove della conformità con tutti i necessari requisiti di sicurezza;
d) tutti i presupposti pertinenti per l'integrazione, l'esercizio o la manutenzione del sistema, stabiliti nel corso della definizione, della progettazione e della valutazione dei rischi del sistema stesso.
5.3.
L'organismo di valutazione formula le proprie conclusioni nell'ambito di una relazione di valutazione della sicurezza ai sensi dell'allegato III.