Flussdiagramm Änderungsmanagement (MOC, PSSR, Befristung)

So funktioniert es

1. Benennen Sie die Bahnen nach Ihrem Standort

   Ersetzen Sie Antragsteller, MOC-Koordination, Technische Fachverantwortung, Team Gefahrenanalyse, Genehmigende Leitung und Betrieb durch die Rollen, die es bei Ihnen wirklich gibt. Die meisten Standorte teilen die technische Fachverantwortung nach Gewerken auf — Verfahrenstechnik, Maschinentechnik, Elektrotechnik, Mess-, Steuer- und Regelungstechnik —, also entscheiden Sie, ob daraus eine Bahn wird oder mehrere. Halten Sie die Koordination von der Fachverantwortung getrennt: Die eine führt den Prozess und hält das Register nach, die andere verantwortet das technische Urteil. Wenn auch Fremdfirmen Änderungen anstoßen, schreiben Sie das hin — eine Bahn namens Antragsteller, die stillschweigend nur eigene Beschäftigte meint, ist der Weg, auf dem Änderungen von Fremdfirmen am Prozess vorbeilaufen.

2. Schreiben Sie die Prüfung auf gleiche Ausführung auf

   „Ersatz in gleicher Ausführung?“ ist der einzige Kasten, der eine Änderung ganz aus dem Prozess nehmen kann, also braucht er schriftliche Kriterien statt Bauchgefühl. Definieren Sie gleiche Ausführung als identisch in Spezifikation, Werkstoff, Auslegungsdaten, konstruktiver Absicht des Herstellers und Einbausituation, und benennen Sie, wer diese Prüfung fachkundig anwenden darf — ein gleichwertig aussehendes Ersatzteil im Lagersystem zu finden, ist keine ingenieurmäßige Feststellung. An der Obsoleszenz verlieren die meisten Standorte den Faden: Sobald das Originalteil nicht mehr gebaut wird, ist das nächstliegende aktuelle Modell des Lieferanten eine Änderung, und das Formular sollte das sagen, statt es der Person unter dem größten Zeitdruck zu überlassen.

3. Legen Sie die Regel für die Prüftiefe fest

   Machen Sie aus „Welche Tiefe der Gefahrenanalyse?“ eine Tabelle statt eines Gesprächs. Geringes Risiko kann eine dokumentierte Änderungs-Checkliste sein, ausgefüllt von zwei fachkundigen Personen. Mittleres Risiko ist eine What-if-Analyse, gern strukturiert und mit Checkliste. Hohes Risiko — alles, was einen Stoff, eine Verriegelung, ein Druckentlastungssystem, eine Regelphilosophie oder eine sichere Betriebsgrenze berührt — geht in eine moderierte HAZOP, mit der ursprünglichen Studie offen vor dem Team. Benennen Sie, wer die Stufe festlegt, und verlangen Sie, dass die Begründung neben der Entscheidung dokumentiert wird.

4. Veröffentlichen Sie die Genehmigungsmatrix

   Die Genehmigung soll der Gefahr folgen und nicht den Kosten. Schreiben Sie auf, wer eine dauerhafte Änderung mit geringem Risiko genehmigen darf, wer alles genehmigen muss, was eine sicherheitsgerichtete Funktion, einen Auslegungsfall der Druckentlastung oder eine Betriebsgrenze betrifft, und wer eine Änderung zeichnet, die den Sicherheitsbericht berührt. Geben Sie der Antwort „Nacharbeit nötig“ echtes Gewicht: Sie schickt die Änderung zurück zu „Technische Begründung dokumentieren“, statt als bedingte Freigabe durchgewinkt zu werden, deren Bedingungen hinterher niemand verantwortet.

5. Machen Sie die PSSR zur Begehung mit geschlossener Maßnahmenliste

   Eine Sicherheitsüberprüfung vor der Inbetriebnahme, die sich am Schreibtisch abschließen lässt, ist keine. Die Checkliste soll bestätigen, dass die Ausführung der Planung entspricht, dass Betriebs-, Instandhaltungs- und Notfallanweisungen vorliegen und aktuell sind, dass die Personen geschult sind, die die Änderung fahren werden, und dass die Maßnahmen aus der Gefahrenanalyse erledigt und nicht nur zugewiesen sind. Legen Sie fest, wer das Bestehen erklären darf, halten Sie diese Person außerhalb des Teams, das die Änderung gebaut hat, und führen Sie jede offene Maßnahme über „PSSR-Maßnahmen abschließen“ zurück. Die betreiberinterne PSSR ersetzt dabei keine vorgeschriebene Prüfung vor Inbetriebnahme durch eine befähigte Person oder eine zugelassene Überwachungsstelle — sie ist die Hürde davor.

6. Geben Sie jedem Ablaufdatum einen Eigner, gehen Sie das Diagramm durch und veröffentlichen Sie es

   Geben Sie jeder befristeten Änderung einen namentlichen Eigner und ein Datum, das das Register vorher anstößt und nicht hinterher meldet. Einigen Sie sich anschließend darauf, wie lange eine befristete Änderung höchstens bestehen darf und ob eine Notfalländerung in Tagen oder in Wochen in den vollständigen Prozess zurückkehrt. Gehen Sie das fertige Diagramm zum Schluss mit einer Betriebsschicht, einer Instandhaltungsaufsicht, der technischen Fachverantwortung und den Genehmigenden durch, korrigieren Sie es auf das, was diese tatsächlich tun, und veröffentlichen Sie diese Fassung unter Beibehaltung der älteren, damit später erkennbar ist, welche Version jemand vor sich hat.

Häufig gestellte Fragen

Welche Schritte umfasst ein Änderungsmanagement (MOC)?

Die Änderung vorschlagen und im MOC-Register erfassen; sie gegen die Prüfung auf gleiche Ausführung stellen, damit identische Ersatzteile als Instandhaltung ausscheiden; den Rest als dauerhaft, befristet oder Notfall klassifizieren und den befristeten ein Ablaufdatum und einen Rückbauplan geben; die technische Begründung dokumentieren; eine am Risiko bemessene Gefahrenanalyse durchführen, von der Änderungs-Checkliste über die What-if-Analyse bis zur vollständigen HAZOP; die Auswirkung auf Schutzeinrichtungen, Betriebsgrenzen und den Sicherheitsbericht bewerten und die Maßnahmen festhalten; auf der Ebene genehmigen, die die Gefahr verlangt; Anweisungen, Zeichnungen und R&I-Fließbilder aktualisieren; alle Betroffenen schulen, einschließlich Instandhaltung und Fremdfirmen; die Sicherheitsüberprüfung vor der Inbetriebnahme bestehen; umsetzen und anfahren; und dann mit archivierten Nachweisen abschließen oder, bei einer befristeten Änderung, zum Ablaufdatum entscheiden, ob sie in eine dauerhafte Änderung umgewandelt oder zurückgebaut wird. Anhang III der Störfall-Verordnung verlangt vom Sicherheitsmanagementsystem ausdrücklich Verfahren für die Planung von Änderungen an bestehenden Anlagen und für die Auslegung neuer Anlagen. Die inhaltliche Mindestliste einer Änderungsakte — technische Begründung, Auswirkung auf Sicherheit und Gesundheit, Anpassung der Anweisungen, Geltungsdauer der Änderung und Genehmigungsanforderungen — stammt aus dem US-amerikanischen Standard für Process Safety Management und hat sich international durchgesetzt. Dieses Diagramm ist genau diese Liste, übersetzt in einen Weg mit Hürden.

Was gilt als Ersatz in gleicher Ausführung?

Ein Ersatz in gleicher Ausführung ist ein Teil, das dem ersetzten in Spezifikation, Werkstoff, Auslegungsdaten und konstruktiver Absicht entspricht — dasselbe Teil, nach derselben Zeichnung, gleich eingebaut. Alles andere ist eine Änderung und läuft in den MOC-Prozess, so klein oder billig es auch aussieht. Die Unterscheidung ist wichtig, weil sie der einzige legitime Ausgang aus dem Prozess ist — und die Stelle, an der die meisten MOC-Systeme lecken. Häufige Beispiele, die trotz gegenteiliger Auskunft aus dem Lager keine gleiche Ausführung sind: eine Pumpe mit anderem Laufraddurchmesser oder anderer Dichtungsanordnung, eine Dichtung aus einem Ersatzwerkstoff, eine Armatur mit anderer Garnitur oder anderer Sicherheitsstellung, ein auf einen neuen Druck eingestelltes Sicherheitsventil, ein Messgerät mit anderem Messbereich oder anderem Fehlerverhalten sowie ein Firmware- oder Softwarestand in einer Steuerung. Zwei Regeln helfen in der Praxis: Verlangen Sie, dass die Feststellung mit dem Namen der fachkundigen Person dokumentiert wird, und auditieren Sie die Entscheidungen für gleiche Ausführung und nicht nur die Änderungen — denn die Fälle, die nie in den Prozess gelangt sind, sieht sich sonst niemand an.

Was ist eine PSSR und wann ist sie erforderlich?

Eine PSSR (Pre-Startup Safety Review), also die Sicherheitsüberprüfung vor der Inbetriebnahme, ist die letzte Kontrolle, bevor eine neue oder geänderte Anlage in Betrieb geht. Sie bestätigt vier Dinge: dass Ausführung und Ausrüstung der Auslegung entsprechen, dass Betriebs-, Instandhaltungs- und Notfallanweisungen vorliegen und angemessen sind, dass die Gefahrenanalyse abgeschlossen und ihre Empfehlungen erledigt oder umgesetzt sind, und dass alle geschult sind, die die Änderung fahren oder instand halten werden. Im US-amerikanischen Standard für Process Safety Management ist sie für neue Anlagen und für geänderte Anlagen vorgeschrieben, sofern die Änderung eine Anpassung der sicherheitsrelevanten Angaben erforderte; in Deutschland verlangt die Betriebssicherheitsverordnung für überwachungsbedürftige Anlagen eine Prüfung vor der Inbetriebnahme und nach prüfpflichtigen Änderungen. Die betreiberinterne PSSR ersetzt diese Prüfung nicht, sondern geht ihr voraus. Dass sie hier als Entscheidung mit Schleife und nicht als Unterschriftsfeld gezeichnet ist, hat einen Grund: Das ist die Hürde unter dem größten wirtschaftlichen Druck, denn die Änderung ist gebaut, der Stillstand ist vorbei und die Anlage wird gebraucht. In diesem Diagramm kehrt eine Überprüfung mit offenen Maßnahmen zu „PSSR-Maßnahmen abschließen“ zurück und wird erneut durchgeführt — der einzige Weg nach vorn führt hindurch.

Wie lange darf eine befristete Änderung bestehen bleiben?

Nur so lange wie das bei der Genehmigung vereinbarte Ablaufdatum, und genau deshalb wird das Datum bei der Klassifizierung gesetzt und nicht später nachgereicht. Viele Standorte begrenzen befristete Änderungen auf den nächsten geplanten Stillstand oder auf einen festen Zeitraum wie sechs Monate und verlangen für alles, was diese Grenze überschreitet, eine erneute Genehmigung als dauerhafte Änderung über den vollständigen Prozess. Das Versagensmuster ist bekannt und immer gleich: Eine provisorische Änderung wird unter Druck eingebaut, der Druck lässt nach, niemand verantwortet den Rückbau, die Zeichnungen zeigen weiterhin den Ursprungszustand, und Jahre später plant jemand eine Absperrung anhand einer Zeichnung, die die Anlage nicht mehr beschreibt. Zwei Dinge verhindern das: Jede befristete Änderung hat einen namentlichen Eigner statt einer zuständigen Abteilung, und das Register stößt die Überprüfung vor dem Ablaufdatum an, statt die Überschreitung hinterher zu melden. In diesem Diagramm hat „Zum Ablaufdatum weiterhin erforderlich?“ genau zwei Zweige — Umwandlung in eine dauerhafte Änderung oder Rückbau mit Wiederherstellung des Ursprungszustands. Die stillschweigende Verlängerung gehört nicht zu den Optionen.

Worin unterscheidet sich das MOC vom IT-Change-Management?

Sie teilen ein Wort und sonst fast nichts, und das eine als Ersatz für das andere zu nehmen, ist eine echte Gefahr. Das IT-Change-Management im Sinne von ITIL, gezeichnet im Flussdiagramm unter /de/templates/change-management-prozess-itil, regelt Änderungen an einem Produktivservice. Es fragt, ob die Änderung einen Ausfall verursacht, ob sie sich zurückrollen lässt, wann das Änderungsfenster liegt und ob das CAB zugestimmt hat. Das Änderungsmanagement im Sinne der Prozesssicherheit regelt Änderungen an Anlage, Stoffen, Betriebsgrenzen, Leit- und Schutzeinrichtungen, Anweisungen und Personaleinsatz an einem Standort, an dem Menschen zu Schaden kommen können. Es fragt, ob die Änderung eine Gefahr verändert, ob ein Auslegungsfall der Druckentlastung oder eine Verriegelung weiterhin trägt, ob der Sicherheitsbericht noch gültig ist und ob die Anlagenfahrer vor dem Anfahren geschult wurden. Ein CAB ist für keine dieser Fragen fachlich zuständig. An einer Stelle überschneiden sich beide Prozesse allerdings, und die ist es wert, benannt zu werden: Eine Änderung an einem Prozessleitsystem oder an einer sicherheitsgerichteten Einrichtung wird oft in einer IT- oder Automatisierungswarteschlange angemeldet und muss zusätzlich durch das MOC laufen. Wo das vorkommt, ist das MOC die maßgebliche Instanz und der IT-Datensatz das Terminierungsartefakt — nicht umgekehrt.