1. PRINCIPES GÉNÉRAUX APPLICABLES AU PROCESSUS DE GESTION DES RISQUES
1. 1. Principes généraux et obligations
1. 1.1. Le processus de gestion des risques commence par la définition du système évalué et comprend les activités suivantes:
a) le processus d’appréciation des risques, qui identifie les dangers, les risques, les mesures de sécurité associées et les exigences de sécurité qui en résultent et qui doivent être satisfaites par le système faisant l’objet de l’évaluation;
b) la démonstration de la conformité du système avec les exigences de sécurité définies; et
c) la gestion de tous les dangers identifiés et des mesures de sécurité associées.
Ce processus de gestion des risques est itératif. Il est décrit dans le diagramme de l’appendice. Le processus prend fin lorsqu’il est démontré que le système est conforme à toutes les exigences de sécurité nécessaires pour accepter les risques liés aux dangers identifiés.
1. 1.2. Le processus de gestion des risques comporte des mesures appropriées d’assurance de la qualité et est mené par du personnel compétent. Il est évalué de façon indépendante par un ou plusieurs organismes d’évaluation.
1. 1.3. Le proposant chargé du processus de gestion des risques tient un registre des dangers conformément au point 4.
1. 1.4. Les acteurs ayant déjà mis en place des méthodes ou des outils d’appréciation des risques peuvent continuer à les utiliser pour autant que ceux-ci soient compatibles avec les dispositions du présent règlement et que les conditions suivantes soient remplies:
a) les méthodes ou les outils d’appréciation des risques sont décrits dans un système de gestion de la sécurité accepté par une autorité nationale de sécurité conformément à l’article 10, paragraphe 2, point a), ou à l’article 11, paragraphe 1, point a), de la directive 2004/49/CE; ou
b) les méthodes ou les outils d’appréciation des risques sont requis par une STI ou sont conformes à des normes publiques reconnues spécifiées dans des règles nationales notifiées.
1. 1.5. Sans préjudice de la responsabilité civile conformément aux exigences juridiques des États membres, le processus d’appréciation des risques relève de la responsabilité du proposant. En particulier, le proposant désigne, en accord avec les acteurs concernés, ceux qui seront chargés de satisfaire aux exigences de sécurité résultant de l’appréciation des risques. Les exigences de sécurité assignées par le proposant auxdits acteurs n’excèdent pas les limites de la responsabilité et de la sphère de contrôle de ces derniers. La décision du proposant dépend du type de mesures de sécurité sélectionnées pour maîtriser les risques de façon à les maintenir à un niveau acceptable. Le respect des exigences de sécurité est démontré conformément au point 3.
1. 1.6. La première étape du processus de gestion des risques consiste, pour le proposant, à établir un document indiquant les tâches des différents acteurs et leurs activités de gestion des risques. Le proposant est chargé de coordonner la collaboration à un niveau étroit entre les différents acteurs concernés, en fonction de leurs tâches respectives, dans le but de gérer les dangers et les mesures de sécurité associées.
1. 1.7. L’évaluation de l’application correcte du processus de gestion des risques relève de la responsabilité de l’organisme d’évaluation.
1. 2. Gestion des interfaces
1. 2.1. Pour chaque interface à prendre en considération pour le système qui fait l’objet de l’évaluation, et sans préjudice des spécifications applicables aux interfaces définies dans les STI pertinentes, les acteurs concernés du secteur ferroviaire coopèrent pour identifier et gérer conjointement les dangers et les mesures de sécurité associées à appliquer à ces interfaces. La gestion des risques partagés aux interfaces est coordonnée par le proposant.
1. 2.2. Si, pour satisfaire à une exigence de sécurité, un acteur estime qu’une mesure de sécurité qu’il ne peut mettre en œuvre lui-même est nécessaire, il s’accorde avec un autre acteur pour transférer à ce dernier la gestion du danger y afférent, conformément au processus décrit au point 4.
1. 2.3. En ce qui concerne le système faisant l’objet d’une évaluation, tout acteur qui découvre qu’une mesure de sécurité est non conforme ou inadéquate a la responsabilité d’en avertir le proposant, qui informe à son tour l’acteur mettant en œuvre la mesure de sécurité.
1. 2.4. L’acteur mettant en œuvre la mesure de sécurité informe alors tous les acteurs concernés par le problème soit dans le système évalué, soit, pour autant que l’acteur en ait connaissance, dans d’autres systèmes existants qui appliquent la même mesure de sécurité.
1. 2.5. Lorsqu’un accord ne peut être trouvé entre deux acteurs ou plus, le proposant est tenu de trouver une solution.
1. 2.6. Lorsqu’une exigence prévue par une règle nationale notifiée ne peut pas être remplie par un acteur, le proposant sollicite l’avis de l’autorité compétente concernée.
1. 2.7. Indépendamment de la définition du système faisant l’objet de l’évaluation, le proposant est chargé de veiller à ce que la gestion des risques couvre le système lui-même et son intégration au sein du système ferroviaire dans son ensemble.
2. DESCRIPTION DU PROCESSUS D’APPRÉCIATION DES RISQUES
2. 1. Description générale
2. 1.1. Le processus d’appréciation des risques est le processus global itératif qui comprend:
a) la définition du système;
b) l’analyse de risque, y compris l’identification des dangers;
c) l’évaluation des risques.
Le processus d’appréciation des risques est appliqué en interaction avec la gestion des dangers conformément au point 4.1.
2. 1.2. La définition du système couvre au moins les points suivants:
a) l’objet du système (c’est-à-dire sa finalité);
b) les fonctionnalités et, le cas échéant, les composantes du système (y compris les composantes humaines, techniques et opérationnelles);
c) les limites du système, incluant les autres systèmes en interaction avec celui-ci;
d) les interfaces physiques (telles que les systèmes en interaction) et fonctionnelles (telles que les entrées et sorties fonctionnelles);
e) l’environnement du système (par exemple, les flux énergétiques et thermiques, les chocs, les vibrations, les interférences électromagnétiques, l’exploitation opérationnelle);
f) les mesures de sécurité existantes et, lorsque les itérations nécessaires ont été réalisées, l’établissement des exigences de sécurité définies par le processus d’appréciation des risques;
g) les hypothèses déterminant les limites de l’appréciation des risques.
2. 1.3. Les dangers afférents au système défini sont identifiés conformément au point 2.2.
2. 1.4. L’acceptabilité des risques du système évalué est appréciée en fonction d’au moins un des principes d’acceptation des risques suivants:
a) l’application de règles de l’art (point 2.3);
b) une comparaison avec des systèmes similaires (point 2.4);
c) une estimation explicite des risques (point 2.5).
Conformément au principe visé au point 1.1.5, l’organisme d’évaluation renonce à imposer au proposant le principe d’acceptation des risques qui sera utilisé par ce dernier.
2. 1.5. Le proposant démontre dans l’évaluation des risques que le principe d’acceptation des risques choisi est appliqué correctement. Il vérifie en outre que les principes sélectionnés d’acceptation des risques sont utilisés de manière cohérente.
2. 1.6. L’application des principes susmentionnés d’acceptation des risques permet de définir des mesures de sécurité permettant de rendre acceptables le ou les risques présentés par le système évalué. Parmi ces mesures de sécurité, celles sélectionnées pour maîtriser le ou les risques deviennent les exigences de sécurité que doit respecter le système. Le respect desdites exigences est démontré conformément au point 3.
2. 1.7. Le processus itératif d’appréciation des risques est considéré comme achevé lorsqu’il a été démontré que toutes les exigences de sécurité sont satisfaites et qu’aucun autre danger raisonnablement prévisible n’est à prendre en considération.
2. 2. Identification des dangers
2. 2.1. Le proposant identifie systématiquement, en faisant appel à la vaste expertise d’une équipe compétente, tous les dangers raisonnablement prévisibles pour l’ensemble du système évalué, pour ses fonctions, le cas échéant, et pour ses interfaces.
Tous les dangers identifiés sont portés au registre des dangers conformément au point 4.
2. 2.2. Afin de concentrer l’appréciation des risques sur les risques principaux, les dangers sont classés conformément à l’estimation du risque qu’ils représentent. Si tel est l’avis d’un expert, il n’est pas nécessaire d’analyser davantage les dangers associés à un risque largement acceptable, mais ces derniers doivent être portés au registre des dangers. Leur classification est justifiée de façon à permettre à un organisme d’évaluation de procéder à une évaluation indépendante.
2. 2.3. Il est possible d’appliquer le critère selon lequel les risques résultant des dangers peuvent être classés comme largement acceptables lorsque le risque est si faible qu’il n’y a aucune raison de mettre en œuvre des mesures de sécurité supplémentaires. Pour rendre son avis, l’expert tient compte du fait que la part de tous les risques largement acceptables ne doit pas dépasser une proportion déterminée du risque global.
2. 2.4. Au cours de l’identification des dangers, des mesures de sécurité peuvent être définies. Elles sont portées au registre des dangers conformément au point 4.
2. 2.5. L’identification des dangers ne doit être effectuée qu’au niveau de détail nécessaire pour déterminer les points où des mesures de sécurité sont requises afin de maîtriser les risques conformément à l’un des principes d’acceptation des risques visés au point 2.1.4. Il peut être nécessaire de procéder à des itérations entre les phases d’analyse de risque et d’évaluation des risques, jusqu’à ce qu’un niveau de détail suffisant soit atteint pour permettre l’identification des dangers.
2. 2.6. Lorsque des règles de l’art ou un système de référence sont utilisés pour maîtriser le risque, l’identification des dangers peut être limitée à:
a) la vérification de la pertinence des règles de l’art ou du système de référence;
b) le repérage des écarts par rapport aux règles de l’art ou au système de référence.
2. 3. Utilisation des règles de l’art et évaluation des risques
2. 3.1. Le proposant évalue, avec l’aide des autres acteurs concernés, si un, plusieurs ou l’ensemble des dangers sont adéquatement couverts par l’application des règles de l’art correspondantes.
2. 3.2. Les règles de l’art répondent au minimum aux exigences suivantes:
a) elles sont largement reconnues dans le domaine ferroviaire. Si tel n’est pas le cas, les règles de l’art doivent être justifiées et être considérées comme acceptables par l’organisme d’évaluation;
b) elles sont pertinentes pour la maîtrise des dangers pris en compte dans le système évalué. L’application réussie de règles de l’art dans des cas similaires pour gérer des changements et maîtriser efficacement les dangers identifiés d’un système au sens du présent règlement suffit pour considérer qu’elles sont pertinentes;
c) sur demande, elles doivent être mises à la disposition des organismes d’évaluation pour que ces derniers évaluent si le processus de gestion des risques a été convenablement appliqué et si ses résultats sont corrects, ou, le cas échéant, procèdent à la reconnaissance mutuelle de ces situations, conformément à l’article 15, paragraphe 5.
2. 3.3. Lorsque la directive 2008/57/CE requiert la conformité avec les STI et que la STI applicable n’impose pas le processus d’appréciation des risques établi par le présent règlement, les STI peuvent être considérées comme des règles de l’art pour la maîtrise des dangers, à condition que l’exigence du point 2.3.2 b) soit satisfaite.
2. 3.4. Les règles nationales notifiées conformément à l’article 8 de la directive 2004/49/CE et à l’article 17, paragraphe 3, de la directive 2008/57/CE peuvent être considérées comme des règles de l’art à condition que les exigences du point 2.3.2 soient satisfaites.
2. 3.5. Si un ou plusieurs dangers sont maîtrisés par l’application de règles de l’art conformes aux exigences du point 2.3.2, les risques liés à ces dangers sont considérés comme acceptables. Cela signifie:
a) qu’il n’est pas nécessaire d’analyser davantage ces risques;
b) que les règles de l’art utilisées doivent être inscrites dans le registre des dangers en tant qu’exigences de sécurité pour les dangers concernés.
2. 3.6. Lorsqu’une approche différente est suivie et qu’elle n’est pas pleinement conforme à des règles de l’art, le proposant démontre qu’elle aboutit au moins au même niveau de sécurité.
2. 3.7. Si le risque lié à un danger spécifique ne peut pas être rendu acceptable par l’application de règles de l’art, des mesures de sécurité supplémentaires sont définies en appliquant l’un des deux autres principes d’acceptation des risques.
2. 3.8. Lorsque tous les dangers sont maîtrisés par l’application de règles de l’art, le processus de gestion des risques peut être limité à:
a) l’identification des dangers conformément au point 2.2.6;
b) l’inscription des règles de l’art utilisées dans le registre des dangers conformément au point 2.3.5;
c) la documentation relative à l’application du processus de gestion des risques conformément au point 5;
d) une évaluation indépendante conformément à l’article 6.
2. 4. Utilisation du système de référence et évaluation des risques
2. 4.1. Le proposant examine, avec l’aide des autres acteurs concernés, si l’un, plusieurs ou l’ensemble des dangers sont couverts adéquatement par un système similaire qui pourrait servir de système de référence.
2. 4.2. Tout système de référence remplit au moins les exigences suivantes:
a) il a déjà été prouvé lors de son utilisation qu’il présente un niveau de sécurité acceptable, et il pourrait donc encore être accepté dans l’État membre où le changement doit être introduit;
b) ses fonctions et ses interfaces sont semblables à celles du système évalué;
c) il est utilisé dans des conditions opérationnelles semblables à celles du système évalué;
d) il est utilisé dans des conditions environnementales semblables à celles du système évalué.
2. 4.3. Si un système de référence satisfait aux exigences énumérées au point 2.4.2, alors, en ce qui concerne le système faisant l’objet d’une évaluation:
a) les risques liés aux dangers couverts par le système de référence sont considérés comme acceptables;
b) les exigences de sécurité relatives aux dangers couverts par le système de référence peuvent être tirées des analyses de sécurité ou d’une évaluation des performances de sécurité du système de référence;
c) ces exigences de sécurité sont portées au registre des dangers en tant qu’exigences de sécurité pour les dangers concernés.
2. 4.4. Si le système évalué s’écarte du système de référence, l’évaluation des risques doit démontrer que le système évalué atteint au moins le même niveau de sécurité que le système de référence, à l’aide d’un autre système de référence ou de l’un des deux autres principes d’acceptation des risques. Les risques liés aux dangers couverts par le système de référence sont, dans ce cas, considérés comme acceptables.
2. 4.5. S’il ne peut pas être démontré qu’un niveau de sécurité au moins équivalent à celui du système de référence est atteint, des mesures de sécurité supplémentaires sont définies pour les écarts constatés, à l’aide de l’un des deux autres principes d’acceptation des risques.
2. 5. Estimation et évaluation explicites des risques
2. 5.1. Si les dangers ne sont pas couverts par l'un des deux principes d'acceptation des risques fixés aux points 2.3 et 2.4, l'acceptabilité des risques est démontrée par l'estimation et l'évaluation explicites des risques. Les risques liés à ces dangers sont estimés quantitativement ou qualitativement, ou au besoin quantitativement et qualitativement, compte tenu des mesures de sécurité existantes.
2. 5.2. L’acceptabilité des risques estimés est évaluée au moyen de critères d’acceptation des risques tirés de la législation de l’Union ou des règles nationales notifiées, ou fondés sur certaines de leurs exigences. En fonction des critères d’acceptation des risques, l’acceptabilité du risque peut être évaluée soit séparément pour chaque danger associé, soit pour la combinaison de tous les dangers pris en compte dans l’estimation explicite des risques.
Si le risque estimé n’est pas acceptable, des mesures de sécurité supplémentaires sont définies et mises en œuvre afin de ramener le risque à un niveau acceptable.
2. 5.3. Si le risque associé à un danger ou à une combinaison de dangers est considéré comme acceptable, les mesures de sécurité définies sont inscrites dans le registre des dangers.
2. 5.4. Le proposant n'est pas tenu d'effectuer une estimation explicite des risques supplémentaire pour les risques qui sont déjà considérés comme acceptables en raison du recours à des codes de pratique ou à des systèmes de référence.
2. 5.5. Sans préjudice des points 2.5.1 et 2.5.4, lorsque les dangers résultent de défaillances de fonctions d'un système technique, on applique à ces défaillances les objectifs de conception harmonisés suivants:
a) lorsqu'une défaillance présente un potentiel crédible d'être directement à l'origine d'un accident catastrophique, il n'est pas nécessaire de réduire davantage le risque associé s'il a été établi que la défaillance de la fonction est hautement improbable;
b) lorsqu'une défaillance présente un potentiel crédible d'être directement à l'origine d'un accident critique, il n'est pas nécessaire de réduire davantage le risque associé s'il a été établi que la défaillance de la fonction est improbable.
Le choix entre la définition 23) et la définition 35) dépend de la conséquence dangereuse la plus crédible de la défaillance.
2. 5.6. Sans préjudice des points 2.5.1 et 2.5.4, les objectifs de conception harmonisés énoncés au point 2.5.5 sont utilisés pour la conception des systèmes techniques électriques, électroniques et électroniques programmables. Ces objectifs de conception sont les plus stricts que l'on puisse exiger aux fins de la reconnaissance mutuelle.
Ils ne sont utilisés ni comme objectifs quantitatifs généraux pour l'ensemble du système ferroviaire d'un État membre, ni pour la conception de systèmes techniques purement mécaniques.
Pour les systèmes techniques mixtes, comprenant à la fois une composante purement mécanique et une composante électrique, électronique et électronique programmable, l'identification des dangers est effectuée conformément au point 2.2.5. Les dangers liés à la composante purement mécanique ne sont pas maîtrisés à l'aide des objectifs de conception harmonisés définis au point 2.5.5.
2. 5.7. Le risque lié aux défaillances de fonctions de systèmes techniques visées au point 2.5.5 est considéré comme acceptable si les conditions suivantes sont également remplies:
a) la conformité avec les objectifs de conception harmonisés qui s'appliquent a été démontrée;
b) les défaillances et pannes systématiques associées sont maîtrisées conformément aux procédures de sécurité et de qualité, proportionnellement à l'objectif de conception harmonisé applicable au système technique évalué et défini dans les normes pertinentes communément reconnues;
c) les conditions d'application pour une intégration sans danger, dans le système ferroviaire, du système technique évalué sont répertoriées et inscrites dans le registre des dangers conformément au point 4. Conformément au point 1.2.2, ces conditions d'application sont transférées à l'acteur chargé de démontrer la sûreté de l'intégration.
2. 5.8. Les définitions spécifiques suivantes s'appliquent aux objectifs quantitatifs de conception harmonisés des systèmes techniques:
a) le terme «directement» signifie que la défaillance de la fonction a le potentiel d'aboutir au type d'accident visé au point 2.5.5, sans que d'autres défaillances doivent nécessairement se produire;
b) le terme «potentiel» signifie que la défaillance de la fonction peut aboutir au type d'accident visé au point 2.5.5.
2. 5.9. Lorsque la défaillance d'une fonction du système technique évalué n'aboutit pas directement au risque considéré, l'application d'objectifs de conception moins stricts est autorisée à condition que le proposant puisse démontrer que l'utilisation de dispositifs de sécurité, tels que définis à l'article 3, point 34), permet d'assurer le même niveau de sécurité.
2. 5.10. Sans préjudice de la procédure énoncée à l'article 8 de la directive 2004/49/CE ou à l'article 17, paragraphe 3, de la directive 2008/57/CE du Parlement européen et du Conseil, un objectif de conception plus strict que les objectifs de conception harmonisés définis au point 2.5.5 peut être requis, via une règle nationale notifiée, pour le système technique évalué, de façon à maintenir le niveau de sécurité existant dans l'État membre concerné. Dans le cas des autorisations supplémentaires de mise en service de véhicules, les procédures prévues aux articles 23 et 25 de la directive 2008/57/CE s'appliquent.
2. 5.11. Lorsqu'un système technique est conçu sur la base des exigences fixées au point 2.5.5, le principe de reconnaissance mutuelle s'applique conformément à l'article 15, paragraphe 5.
Toutefois, si le proposant peut démontrer, pour un danger donné, que le niveau de sécurité existant dans l'État membre où le système est appliqué peut être maintenu avec un objectif de conception moins strict que l'objectif de conception harmonisé, cet objectif moins strict peut être utilisé à la place de l'objectif de conception harmonisé.
2. 5.12. L'estimation et l'évaluation explicites des risques satisfont au moins aux exigences suivantes:
a) les méthodes utilisées pour l'estimation explicite des risques reflètent correctement le système évalué et ses paramètres (y compris tous les modes opérationnels);
b) les résultats sont suffisamment précis pour fournir une base solide à la prise de décision. Des modifications légères dans les hypothèses de base ou les prérequis n'aboutissent pas à des exigences sensiblement différentes.
3. DÉMONSTRATION DE LA CONFORMITÉ AVEC LES EXIGENCES DE SÉCURITÉ
3. 1.
Préalablement à l’acceptation de la sécurité du changement, il est démontré, sous le contrôle du proposant, que les exigences de sécurité résultant de la phase d’appréciation des risques sont satisfaites.
3. 2.
Cette démonstration est effectuée par chacun des acteurs tenus de satisfaire aux exigences de sécurité en vertu du point 1.1.5.
3. 3.
L’approche choisie pour démontrer le respect des exigences de sécurité ainsi que la démonstration elle-même sont évaluées indépendamment par un organisme d’évaluation.
3. 4.
Toute inadéquation des mesures de sécurité destinées à assurer le respect des exigences de sécurité ou tout danger découvert au cours de la démonstration de la conformité avec les exigences de sécurité imposent au proposant de procéder une nouvelle fois à l’appréciation et à l’évaluation des risques associés, conformément au point 2. Les nouveaux dangers sont portés au registre des dangers conformément au point 4.
4. GESTION DES DANGERS
4. 1. Processus de gestion des dangers
4. 1.1. Durant les phases de conception et de mise en œuvre, le proposant établit ou met à jour (lorsqu’ils existent déjà) un ou plusieurs registres des dangers, jusqu’à ce que le changement soit accepté ou que le rapport d’évaluation de la sécurité soit remis. Le registre des dangers fait état de l’avancement de la surveillance des risques liés aux dangers identifiés. Une fois le système accepté et mis en service, le gestionnaire de l’infrastructure ou l’entreprise ferroviaire chargé(e) de l’exploitation du système évalué continue de mettre à jour le registre des dangers en tant que partie intégrante de son système de gestion de la sécurité.
4. 1.2. Le registre des dangers comporte tous les dangers identifiés, ainsi que toutes les mesures de sécurité et les hypothèses systémiques associées à ceux-ci, qui ont été définies au cours du processus d’appréciation des risques. Il contient une référence claire à l’origine des dangers et aux principes sélectionnés d’acceptation des risques, et il désigne clairement l’acteur ou les acteurs chargés de la maîtrise de chacun des dangers.
4. 2. Échange d’informations
Tous les dangers qui ne peuvent pas être maîtrisés et toutes les exigences de sécurité associées qui ne peuvent pas être satisfaites par un seul acteur sont communiqués à un autre acteur concerné dans le but de trouver conjointement une solution adéquate. Les dangers inscrits dans le registre des dangers de l’acteur qui les transfère ne sont considérés comme maîtrisés que lorsque l’évaluation des risques liés à ces dangers est effectuée par l’autre acteur et que la solution est approuvée par tous les acteurs concernés.
5. PREUVE DE L’APPLICATION DU PROCESSUS DE GESTION DES RISQUES
5. 1.
Le processus de gestion des risques utilisé pour évaluer les niveaux de sécurité et la conformité avec les exigences de sécurité est documenté par le proposant de manière à ce qu’un organisme d’évaluation puisse accéder à toutes les preuves nécessaires démontrant l’application correcte du processus de gestion des risques et la fiabilité de ses résultats.
5. 2.
La documentation établie par le proposant conformément au point 5.1 comporte au minimum:
a) une description de l’organisation et des experts désignés pour mener à bien le processus d’appréciation des risques;
b) les résultats des différentes phases de l’appréciation des risques et une liste de toutes les exigences de sécurité à satisfaire pour maîtriser les risques de façon à les maintenir à un niveau acceptable;
c) la preuve de la conformité avec toutes les exigences de sécurité requises;
d) toutes les hypothèses pertinentes pour l’intégration, l’exploitation et l’entretien du système qui ont été formulées lors de la définition et de la conception du système et lors de l’appréciation des risques présentés par celui-ci.
5. 3.
L’organisme d’évaluation présente ses conclusions dans un rapport d’évaluation de la sécurité, tel que défini à l’annexe III.