Flussdiagramm Änderungsmanagement (MOC, PSSR, Befristung)
Flussdiagramm für das Änderungsmanagement (MOC) in der Prozesssicherheit: Prüfung auf gleiche Ausführung, Klassifizierung, Gefahrenanalyse, Genehmigung, PSSR vor der Inbetriebnahme und die Befristungsschleife.
Was ist flussdiagramm änderungsmanagement (moc, pssr, befristung)?
Das Änderungsmanagement ist die Schutzmaßnahme, die leise versagt. Niemand schreibt ein MOC-Verfahren (Management of Change), das eine ungeprüfte Änderung erlaubt; was stattdessen geschieht, ist, dass der Prozess umgangen wird: eine kleine Entscheidung nach der anderen. Eine Pumpe wird durch eine leicht andere ersetzt und als baugleich verbucht. Ein Bypass-Schlauch wird bis zum nächsten Stillstand gelegt und hängt vier Jahre später immer noch dort. Eine Änderung wird in der Nachtschicht ausgeführt, und die Unterlagen entstehen in der Woche darauf, um zu beschreiben, was bereits eingebaut ist. Eine Freigabe vor der Inbetriebnahme wird auf Grundlage einer Begehung unterschrieben, die niemand durchgeführt hat, weil die Anlage gebraucht wurde. Untersuchungen schwerer Störfälle landen immer wieder an derselben Stelle: nicht bei einer exotischen, unbekannten Gefahr, sondern bei einem bekannten Verfahren, das auf eine Änderung nie angewandt wurde, weil sie niemand für eine Änderung hielt. Flixborough ist der Fall, der in jeder verfahrenstechnischen Ausbildung vorkommt: eine provisorische Bypass-Leitung zwischen zwei Reaktoren, ohne Zeichnung, ohne Berechnung, ohne Druckprüfung. Deshalb lohnt es sich, ein MOC-Flussdiagramm sauber zu zeichnen. Der Wert liegt nicht in der Reihenfolge der Kästen, die ohnehin alle kennen, sondern in den zwei oder drei Punkten, an denen der Prozess sich weigern muss weiterzulaufen, und darin, diese Punkte für die Schicht sichtbar zu machen, die unter Druck steht, sie zu überspringen.
Dieses Diagramm zeigt das Änderungsmanagement im Sinne der Prozesssicherheit: eine Änderung an Anlage, Verfahren, Stoffen, Betriebsgrenzen, Leit- und Schutzeinrichtungen, Anweisungen oder Organisation an einem Standort, an dem ein Fehler eine Freisetzung, einen Brand oder eine Explosion bedeutet. Es ist nicht das IT-Service-Change-Management, und die beiden sind nicht austauschbar. Der Prozess nach ITIL unter /de/templates/change-management-prozess-itil fragt nach Ausfallzeit, Rollback und Servicerisiko; wer eine Anlagenänderung dort hindurchschickt, erhält eine CAB-Freigabe, ein Änderungsfenster und überhaupt keine Gefahrenanalyse. Die allgemeine Änderungslenkung unter /de/templates/change-control-prozess ist die Variante des Qualitätsmanagementsystems und regelt gelenkte Dokumente und validierte Prozesse. Eine Änderung an einem freigegebenen Produkt, einer Zeichnung oder einer Stückliste ist eine technische Änderung und gehört zum technischen Änderungsantrag unter /de/templates/technischer-aenderungsantrag-ecr, während eine Änderung an Umfang, Kosten oder Terminen eines Projekts beim Änderungsantrag im Projekt unter /de/templates/aenderungsantrag-projekt-prozess liegt. Reparaturen, die den ursprünglichen Zustand tatsächlich wiederherstellen, sind Instandhaltung und laufen über /de/templates/instandhaltungsprozess-anlagen. Die Entscheidung „Ersatz in gleicher Ausführung?“ ist genau die Grenze zwischen beidem. Und wenn die Änderung deshalb erfolgt, weil bereits etwas schiefgegangen ist, steht die Untersuchung, die herausfindet, was zu ändern ist, unter /de/templates/arbeitsunfall-untersuchung-prozess; dieser Prozess sorgt dafür, dass die vereinbarte Abhilfe sicher eingebaut wird.
Vier Entscheidungen tragen das Diagramm, und die meisten schriftlichen Verfahren lassen mindestens zwei davon offen. „Ersatz in gleicher Ausführung?“ steht ganz vorn, bevor irgendetwas aufgewendet wird, weil sie darüber entscheidet, ob der Prozess überhaupt läuft, und weil sie am häufigsten im Flur beantwortet wird. „Dauerhaft, befristet oder Notfall?“ folgt als Zweites, denn die Klassifizierung bestimmt, wie viel Prozess danach kommt: Eine Notfalländerung erhält eine beschleunigte Gefahrenanalyse und eine Genehmigung in der Schicht mit Befristung, kehrt aber bei „Anweisungen, Zeichnungen und R&I-Fließbilder aktualisieren“ auf den Hauptweg zurück, erreicht weiterhin „Betroffene Beschäftigte schulen“ und steht vor derselben Hürde vor der Inbetriebnahme. „Sicherheitsüberprüfung vor Inbetriebnahme bestanden?“ ist als Schleife gezeichnet und nicht als Unterschriftsfeld: Offene Maßnahmen gehen zurück, werden abgeschlossen, und die Überprüfung wird erneut durchgeführt; nichts geht auf ein Versprechen hin in Betrieb. Die vierte fehlt in den meisten Verfahren ganz. „Zum Ablaufdatum weiterhin erforderlich?“ gibt einer befristeten Änderung zwei mögliche Zukünfte: zurück durch den Prozess als dauerhafte Änderung oder Rückbau mit Wiederherstellung des Ursprungszustands. Einen Zweig für die stillschweigende Verlängerung gibt es bewusst nicht.
Was dieses Flussdiagramm abdeckt
In dieser Vorlage
- Sechs Swimlanes (Antragsteller, MOC-Koordination, Technische Fachverantwortung, Team Gefahrenanalyse, Genehmigende Leitung und Betrieb) über sechs Phasen: Antrag, Vorprüfung, Technische Prüfung, Genehmigung, Vorbereitung und PSSR sowie Umsetzung und Abschluss.
- „Ersatz in gleicher Ausführung?“ als erste Hürde, gestellt nach „Änderung im MOC-Register erfassen“, damit die Feststellung in jedem Fall aktenkundig ist: Ein identischer Ersatz verlässt den Prozess bei „Als Instandhaltung abgewickelt“, alles andere läuft als Änderung weiter.
- Eine dreifache Klassifizierung „Dauerhaft, befristet oder Notfall?“, bei der befristete Änderungen zusätzlich „Ablaufdatum und Rückbauplan festlegen“ durchlaufen und Notfalländerungen über den kurzen Weg aus „Beschleunigte Gefahrenanalyse durchführen“ und „In der Schicht genehmigen und befristen“ wieder auf den Hauptweg kommen.
- Eine am Risiko bemessene Gefahrenanalyse bei „Welche Tiefe der Gefahrenanalyse?“ (Gefahren-Checkliste zur Änderung, What-if-Analyse oder vollständige HAZOP), gefolgt von „Auswirkung auf Schutzeinrichtungen und Grenzwerte prüfen“ und einem dokumentierten Satz an Maßnahmen.
- Genehmigung mit drei möglichen Antworten bei „Auf der erforderlichen Ebene genehmigt?“: genehmigt, abgelehnt zum abschließenden „Änderung abgelehnt und geschlossen“ oder zurück zu „Technische Begründung dokumentieren“ für Nacharbeit.
- Die zwei Hürden, die das Diagramm nicht überspringen lässt: „Sicherheitsüberprüfung vor Inbetriebnahme bestanden?“, die über „PSSR-Maßnahmen abschließen“ so lange schleift, bis sie bestanden ist, und „Zum Ablaufdatum weiterhin erforderlich?“, deren einzige Antworten die Umwandlung in eine dauerhafte Änderung oder der Rückbau mit Wiederherstellung des Ursprungszustands sind.
Wann Sie diese Vorlage verwenden sollten
- Sie schreiben ein MOC-Verfahren für einen Betriebsbereich nach der Störfall-Verordnung neu und wollen Vorprüfung, Prüftiefen und Genehmigungsmatrix in einem einzigen Bild haben.
- Ihr Register ist voll befristeter Änderungen ohne Ablaufdatum, und die Entscheidung zwischen Rückbau und Umwandlung soll im Prozess verankert sein statt in einer jährlichen Aufräumaktion.
- Notfalländerungen werden in der Schicht ausgeführt und hinterher aufgeschrieben, und Sie wollen den beschleunigten Weg gezeichnet sehen, damit er innerhalb des Prozesses läuft und nicht daran vorbei.
- Ihre Sicherheitsüberprüfungen vor der Inbetriebnahme werden mit offenen Maßnahmen unterschrieben, und diese Hürde soll als Schleife erscheinen, die die Änderung zurückschickt, statt als Kästchen, das abgehakt wird.
- Sie schulen Ingenieurinnen und Ingenieure, Schichtleitungen und Anlagenfahrer darauf, was tatsächlich als Änderung zählt, und wollen die Prüfung auf gleiche Ausführung aus demselben Diagramm vermitteln wie den Rest des Prozesses.
So funktioniert es
Benennen Sie die Bahnen nach Ihrem Standort
Ersetzen Sie Antragsteller, MOC-Koordination, Technische Fachverantwortung, Team Gefahrenanalyse, Genehmigende Leitung und Betrieb durch die Rollen, die es bei Ihnen wirklich gibt. Die meisten Standorte teilen die technische Fachverantwortung nach Gewerken auf (Verfahrenstechnik, Maschinentechnik, Elektrotechnik, Mess-, Steuer- und Regelungstechnik), also entscheiden Sie, ob daraus eine Bahn wird oder mehrere. Halten Sie die Koordination von der Fachverantwortung getrennt: Die eine führt den Prozess und hält das Register nach, die andere verantwortet das technische Urteil. Wenn auch Fremdfirmen Änderungen anstoßen, schreiben Sie das hin: eine Bahn namens Antragsteller, die stillschweigend nur eigene Beschäftigte meint, ist der Weg, auf dem Änderungen von Fremdfirmen am Prozess vorbeilaufen.
Schreiben Sie die Prüfung auf gleiche Ausführung auf
„Ersatz in gleicher Ausführung?“ ist der einzige Kasten, der eine Änderung ganz aus dem Prozess nehmen kann, also braucht er schriftliche Kriterien statt Bauchgefühl. Definieren Sie gleiche Ausführung als identisch in Spezifikation, Werkstoff, Auslegungsdaten, konstruktiver Absicht des Herstellers und Einbausituation, und benennen Sie, wer diese Prüfung fachkundig anwenden darf: ein gleichwertig aussehendes Ersatzteil im Lagersystem zu finden, ist keine ingenieurmäßige Feststellung. An der Obsoleszenz verlieren die meisten Standorte den Faden: Sobald das Originalteil nicht mehr gebaut wird, ist das nächstliegende aktuelle Modell des Lieferanten eine Änderung, und das Formular sollte das sagen, statt es der Person unter dem größten Zeitdruck zu überlassen.
Legen Sie die Regel für die Prüftiefe fest
Machen Sie aus „Welche Tiefe der Gefahrenanalyse?“ eine Tabelle statt eines Gesprächs. Geringes Risiko kann eine dokumentierte Änderungs-Checkliste sein, ausgefüllt von zwei fachkundigen Personen. Mittleres Risiko ist eine What-if-Analyse, gern strukturiert und mit Checkliste. Hohes Risiko (alles, was einen Stoff, eine Verriegelung, ein Druckentlastungssystem, eine Regelphilosophie oder eine sichere Betriebsgrenze berührt) geht in eine moderierte HAZOP, mit der ursprünglichen Studie offen vor dem Team. Benennen Sie, wer die Stufe festlegt, und verlangen Sie, dass die Begründung neben der Entscheidung dokumentiert wird.
Veröffentlichen Sie die Genehmigungsmatrix
Die Genehmigung soll der Gefahr folgen und nicht den Kosten. Schreiben Sie auf, wer eine dauerhafte Änderung mit geringem Risiko genehmigen darf, wer alles genehmigen muss, was eine sicherheitsgerichtete Funktion, einen Auslegungsfall der Druckentlastung oder eine Betriebsgrenze betrifft, und wer eine Änderung zeichnet, die den Sicherheitsbericht berührt. Geben Sie der Antwort „Nacharbeit nötig“ echtes Gewicht: Sie schickt die Änderung zurück zu „Technische Begründung dokumentieren“, statt als bedingte Freigabe durchgewinkt zu werden, deren Bedingungen hinterher niemand verantwortet.
Machen Sie die PSSR zur Begehung mit geschlossener Maßnahmenliste
Eine Sicherheitsüberprüfung vor der Inbetriebnahme, die sich am Schreibtisch abschließen lässt, ist keine. Die Checkliste soll bestätigen, dass die Ausführung der Planung entspricht, dass Betriebs-, Instandhaltungs- und Notfallanweisungen vorliegen und aktuell sind, dass die Personen geschult sind, die die Änderung fahren werden, und dass die Maßnahmen aus der Gefahrenanalyse erledigt und nicht nur zugewiesen sind. Legen Sie fest, wer das Bestehen erklären darf, halten Sie diese Person außerhalb des Teams, das die Änderung gebaut hat, und führen Sie jede offene Maßnahme über „PSSR-Maßnahmen abschließen“ zurück. Die betreiberinterne PSSR ersetzt dabei keine vorgeschriebene Prüfung vor Inbetriebnahme durch eine befähigte Person oder eine zugelassene Überwachungsstelle. Sie ist die Hürde davor.
Geben Sie jedem Ablaufdatum einen Eigner, gehen Sie das Diagramm durch und veröffentlichen Sie es
Geben Sie jeder befristeten Änderung einen namentlichen Eigner und ein Datum, das das Register vorher anstößt und nicht hinterher meldet. Einigen Sie sich anschließend darauf, wie lange eine befristete Änderung höchstens bestehen darf und ob eine Notfalländerung in Tagen oder in Wochen in den vollständigen Prozess zurückkehrt. Gehen Sie das fertige Diagramm zum Schluss mit einer Betriebsschicht, einer Instandhaltungsaufsicht, der technischen Fachverantwortung und den Genehmigenden durch, korrigieren Sie es auf das, was diese tatsächlich tun, und veröffentlichen Sie diese Fassung unter Beibehaltung der älteren, damit später erkennbar ist, welche Version jemand vor sich hat.
Häufig gestellte Fragen
Welche Schritte umfasst ein Änderungsmanagement (MOC)?
Die Änderung vorschlagen und im MOC-Register erfassen; sie gegen die Prüfung auf gleiche Ausführung stellen, damit identische Ersatzteile als Instandhaltung ausscheiden; den Rest als dauerhaft, befristet oder Notfall klassifizieren und den befristeten ein Ablaufdatum und einen Rückbauplan geben; die technische Begründung dokumentieren; eine am Risiko bemessene Gefahrenanalyse durchführen, von der Änderungs-Checkliste über die What-if-Analyse bis zur vollständigen HAZOP; die Auswirkung auf Schutzeinrichtungen, Betriebsgrenzen und den Sicherheitsbericht bewerten und die Maßnahmen festhalten; auf der Ebene genehmigen, die die Gefahr verlangt; Anweisungen, Zeichnungen und R&I-Fließbilder aktualisieren; alle Betroffenen schulen, einschließlich Instandhaltung und Fremdfirmen; die Sicherheitsüberprüfung vor der Inbetriebnahme bestehen; umsetzen und anfahren; und dann mit archivierten Nachweisen abschließen oder, bei einer befristeten Änderung, zum Ablaufdatum entscheiden, ob sie in eine dauerhafte Änderung umgewandelt oder zurückgebaut wird. Anhang III der Störfall-Verordnung verlangt vom Sicherheitsmanagementsystem ausdrücklich Verfahren für die Planung von Änderungen an bestehenden Anlagen und für die Auslegung neuer Anlagen. Die inhaltliche Mindestliste einer Änderungsakte (technische Begründung, Auswirkung auf Sicherheit und Gesundheit, Anpassung der Anweisungen, Geltungsdauer der Änderung und Genehmigungsanforderungen) stammt aus dem US-amerikanischen Standard für Process Safety Management und hat sich international durchgesetzt. Dieses Diagramm ist genau diese Liste, übersetzt in einen Weg mit Hürden.
Was gilt als Ersatz in gleicher Ausführung?
Ein Ersatz in gleicher Ausführung ist ein Teil, das dem ersetzten in Spezifikation, Werkstoff, Auslegungsdaten und konstruktiver Absicht entspricht: dasselbe Teil, nach derselben Zeichnung, gleich eingebaut. Alles andere ist eine Änderung und läuft in den MOC-Prozess, so klein oder billig es auch aussieht. Die Unterscheidung ist wichtig, weil sie der einzige legitime Ausgang aus dem Prozess ist, und die Stelle, an der die meisten MOC-Systeme lecken. Häufige Beispiele, die trotz gegenteiliger Auskunft aus dem Lager keine gleiche Ausführung sind: eine Pumpe mit anderem Laufraddurchmesser oder anderer Dichtungsanordnung, eine Dichtung aus einem Ersatzwerkstoff, eine Armatur mit anderer Garnitur oder anderer Sicherheitsstellung, ein auf einen neuen Druck eingestelltes Sicherheitsventil, ein Messgerät mit anderem Messbereich oder anderem Fehlerverhalten sowie ein Firmware- oder Softwarestand in einer Steuerung. Zwei Regeln helfen in der Praxis: Verlangen Sie, dass die Feststellung mit dem Namen der fachkundigen Person dokumentiert wird, und auditieren Sie die Entscheidungen für gleiche Ausführung und nicht nur die Änderungen, denn die Fälle, die nie in den Prozess gelangt sind, sieht sich sonst niemand an.
Was ist eine PSSR und wann ist sie erforderlich?
Eine PSSR (Pre-Startup Safety Review), also die Sicherheitsüberprüfung vor der Inbetriebnahme, ist die letzte Kontrolle, bevor eine neue oder geänderte Anlage in Betrieb geht. Sie bestätigt vier Dinge: dass Ausführung und Ausrüstung der Auslegung entsprechen, dass Betriebs-, Instandhaltungs- und Notfallanweisungen vorliegen und angemessen sind, dass die Gefahrenanalyse abgeschlossen und ihre Empfehlungen erledigt oder umgesetzt sind, und dass alle geschult sind, die die Änderung fahren oder instand halten werden. Im US-amerikanischen Standard für Process Safety Management ist sie für neue Anlagen und für geänderte Anlagen vorgeschrieben, sofern die Änderung eine Anpassung der sicherheitsrelevanten Angaben erforderte; in Deutschland verlangt die Betriebssicherheitsverordnung für überwachungsbedürftige Anlagen eine Prüfung vor der Inbetriebnahme und nach prüfpflichtigen Änderungen. Die betreiberinterne PSSR ersetzt diese Prüfung nicht, sondern geht ihr voraus. Dass sie hier als Entscheidung mit Schleife und nicht als Unterschriftsfeld gezeichnet ist, hat einen Grund: Das ist die Hürde unter dem größten wirtschaftlichen Druck, denn die Änderung ist gebaut, der Stillstand ist vorbei und die Anlage wird gebraucht. In diesem Diagramm kehrt eine Überprüfung mit offenen Maßnahmen zu „PSSR-Maßnahmen abschließen“ zurück und wird erneut durchgeführt. Der einzige Weg nach vorn führt hindurch.
Wie lange darf eine befristete Änderung bestehen bleiben?
Nur so lange wie das bei der Genehmigung vereinbarte Ablaufdatum, und genau deshalb wird das Datum bei der Klassifizierung gesetzt und nicht später nachgereicht. Viele Standorte begrenzen befristete Änderungen auf den nächsten geplanten Stillstand oder auf einen festen Zeitraum wie sechs Monate und verlangen für alles, was diese Grenze überschreitet, eine erneute Genehmigung als dauerhafte Änderung über den vollständigen Prozess. Das Versagensmuster ist bekannt und immer gleich: Eine provisorische Änderung wird unter Druck eingebaut, der Druck lässt nach, niemand verantwortet den Rückbau, die Zeichnungen zeigen weiterhin den Ursprungszustand, und Jahre später plant jemand eine Absperrung anhand einer Zeichnung, die die Anlage nicht mehr beschreibt. Zwei Dinge verhindern das: Jede befristete Änderung hat einen namentlichen Eigner statt einer zuständigen Abteilung, und das Register stößt die Überprüfung vor dem Ablaufdatum an, statt die Überschreitung hinterher zu melden. In diesem Diagramm hat „Zum Ablaufdatum weiterhin erforderlich?“ genau zwei Zweige: Umwandlung in eine dauerhafte Änderung oder Rückbau mit Wiederherstellung des Ursprungszustands. Die stillschweigende Verlängerung gehört nicht zu den Optionen.
Worin unterscheidet sich das MOC vom IT-Change-Management?
Sie teilen ein Wort und sonst fast nichts, und das eine als Ersatz für das andere zu nehmen, ist eine echte Gefahr. Das IT-Change-Management im Sinne von ITIL, gezeichnet im Flussdiagramm unter /de/templates/change-management-prozess-itil, regelt Änderungen an einem Produktivservice. Es fragt, ob die Änderung einen Ausfall verursacht, ob sie sich zurückrollen lässt, wann das Änderungsfenster liegt und ob das CAB zugestimmt hat. Das Änderungsmanagement im Sinne der Prozesssicherheit regelt Änderungen an Anlage, Stoffen, Betriebsgrenzen, Leit- und Schutzeinrichtungen, Anweisungen und Personaleinsatz an einem Standort, an dem Menschen zu Schaden kommen können. Es fragt, ob die Änderung eine Gefahr verändert, ob ein Auslegungsfall der Druckentlastung oder eine Verriegelung weiterhin trägt, ob der Sicherheitsbericht noch gültig ist und ob die Anlagenfahrer vor dem Anfahren geschult wurden. Ein CAB ist für keine dieser Fragen fachlich zuständig. An einer Stelle überschneiden sich beide Prozesse allerdings, und die ist es wert, benannt zu werden: Eine Änderung an einem Prozessleitsystem oder an einer sicherheitsgerichteten Einrichtung wird oft in einer IT- oder Automatisierungswarteschlange angemeldet und muss zusätzlich durch das MOC laufen. Wo das vorkommt, ist das MOC die maßgebliche Instanz und der IT-Datensatz das Terminierungsartefakt, nicht umgekehrt.
Wo dieser Prozess einzuordnen ist
In den meisten Unternehmen folgt dieser Prozess auf Flussdiagramm Unfalluntersuchung: von der Unfallstelle zur Maßnahme.
Kommt davor
- Flussdiagramm Unfalluntersuchung: von der Unfallstelle zur Maßnahme — Flussdiagramm zur Untersuchung von Arbeitsunfällen: Unfallstelle sichern, mögliche Schwere einstufen, Unfallanzeige erstatten, Beweise sichern, Zeugen befragen, organisatorische Ursachen erreichen, Maßnahmen überprüfen.