Der Betreiber muss im Rahmen der Covid-19 Prävention einen fortlaufenden Prozess festlegen, dokumentieren und aufrechterhalten, um die verbundenen Gefährdungen zu identifizieren, die damit verbundenen Risiken einzuschätzen und zu bewerten, diese Risiken zu beherrschen und die Wirksamkeit der Beherrschung zu überwachen. Dieser Prozess muss folgende Elemente enthalten:

• Risikoanalyse;
• Risikobewertung;
• Risikobeherrschung.

Die oberste Leitung, in der Regel der Betreiber, muss den Nachweis ihrer Verpflichtung zum Risikomanagement-Prozess liefern durch:

• Sicherstellung der Verfügbarkeit geeigneter Ressourcen
• Sicherstellung der Beauftragung qualifizierten Personals für das Risikomanagement

Die Beteiligung der obersten Leitung ist von entscheidender Bedeutung für die Wirksamkeit eines Risikomanagement-Prozesses. Die betreffenden Personen sollten die Verantwortung für die Gesamtleitung des Risikomanagement-Prozesses übernehmen.

Weil im Rahmen dieser vorgestellten Methodik keine Werte für die Annehmbarkeit von Risiken festgelegt werden kann, ist die oberste Leitung aufgefordert, eine Politik zu erarbeiten, wie vertretbare Risiken bestimmt werden. Das Risikomanagement ist ein sich entwickelnder Prozess und regelmäßige Überprüfungen der Maßnahmen des Risikomanagements sind erforderlich, um festzustellen, ob diese ordnungsgemäß durchgeführt werden, um eventuelle Schwachstellen auszumerzen, Verbesserungen umzusetzen und um Anpassungen an Veränderungen vorzunehmen.

Personen, die Aufgaben des Risikomanagements bearbeiten, müssen das Wissen und die Erfahrung haben, das für die ihnen erteilten Aufgaben angemessen ist. Es sind geeignete Aufzeichnungen über die Qualifikation zu führen.

Es ist von größter Bedeutung, Personal mit der erforderlicher Erfahrung für die Durchführung von Aufgaben des Risikomanagements einzusetzen. Im Allgemeinen sind hierfür mehrere Vertreter unterschiedlicher Funktionsgebiete erforderlich, die jeder ihr jeweiliges Spezialwissen einbringen. Der gegenseitige Ausgleich und der Zusammenhang zwischen Personen, die Aufgaben des Risikomanagements durchführen, sollten berücksichtigt werden.

Tätigkeiten des Risikomanagements müssen geplant werden. Deshalb muss der Betreiber einen Risikomanagementplan entsprechend dem Risikomanagement-Prozess erarbeiten und dokumentieren. Ggf. muss für unterschiedliche Organisationseinheiten ein individueller Risikomanagementplan erarbeitet werden. Der Risikomanagementplan muss Teil der Risikomanagementakte sein.

Dieser Plan muss mindestens Folgendes enthalten:

1. den Aufgabenbereich der geplanten Tätigkeiten des Risikomanagements für jedes Element des Plans festzulegen und zu beschreiben;
2. die Zuordnung von Verantwortlichkeiten und Befugnissen;
3. Anforderungen an die Überprüfung der Tätigkeiten des Risikomanagements;
4. Kriterien für die Akzeptanz der Risiken auf der Grundlage der Politik des Betreibers zur Festlegung akzeptabler Risiken, einschließlich der Kriterien für die Akzeptanz von Risiken, wenn die Wahrscheinlichkeit des Auftretens eines Schadens nicht eingeschätzt werden kann;
5. Tätigkeiten der Verifizierung.

Für die jeweilige betrachtete Organisationseinheit muss der Betreiber eine Risikomanagementakte anlegen und aufrechterhalten. Die Risikomanagementakte muss für jede festgestellte Gefährdung die Rückverfolgbarkeit auf folgende Punkte ermöglichen:

• die Risikoanalyse;
• die Risikobewertung;
• die Implementierung und Verifizierung der Maßnahmen zur Risikobeherrschung;
• die Beurteilung der Akzeptanz jedes Restrisikos.

Die Risikoanalyse ist für jeweilige betrachtete Organisationseinheit wie in beschrieben durchzuführen. Die Implementierung der geplanten Tätigkeiten zur Risikoanalyse und deren Ergebnisse sind in der Risikomanagementakte zu dokumentieren.

Zusätzlich zu den bereits geforderten Aufzeichnungen muss die Dokumentation über die Durchführung und die Ergebnisse der Risikoanalyse mindestens Folgendes enthalten:

1. eine Beschreibung und Identifizierung der Organisationseinheit, die analysiert wurde;
2. die Identität der Person(en) und der Organisationseinheit, die die Risikoanalyse durchführte(n);
3. Aufgabenstellung und Datum der Risikoanalyse.

(Einige Hilfsmittel der Risikoanalyse werden im Anhang beschrieben)

Die Einhaltung der Anforderungen wird durch Inspektion in die Risikomanagementakte überprüft.

Der Betreiber muss eine Dokumentation über bekannte und vorhersehbare Gefährdungen zusammenstellen, die mit dem Betrieb sowohl unter Normal- wie unter Fehlerbedingungen in Zusammenhang stehen. Diese Dokumentation ist in der Risikomanagementakte aufrechtzuerhalten. Beispiele möglicher Gefährdungen können als Anleitung zur Einführung in die Identifizierung von Gefährdungen verwendet werden.

Die Einhaltung der Anforderungen wird durch Inspektion in die Risikomanagementakte überprüft.

Vernünftigerweise vorhersehbare Abfolgen oder Kombinationen von Ereignissen, die eine Gefährdungssituation bewirken können, müssen berücksichtigt und die sich so ergebenden Gefährdungssituationen aufgezeichnet werden. Für jede identifizierte Gefährdungssituation ist das zugehörige Risiko bzw. sind die zugehörigen Risiken unter Verwendung verfügbarer Informationen oder Daten einzuschätzen. Für Gefährdungssituationen, bei denen die Wahrscheinlichkeit des Auftretens eines Schadens nicht eingeschätzt werden kann, ist eine Aufstellung der möglichen Auswirkungen zur Verwendung bei der Risikobewertung und Risikobeherrschung zu erarbeiten.

Die Ergebnisse dieser Tätigkeiten müssen in der Risikomanagementakte aufgezeichnet werden. ( Jedes System, das für die qualitative oder quantitative Einteilung der Wahrscheinlichkeit des Auftretens oder des Schweregrades eines Schadens benutzt wird, muss in der Risikomanagementakte aufgezeichnet werden).

Die Einschätzung des Risikos schließt eine Analyse der Wahrscheinlichkeit des Auftretens und der Auswirkungen ein. Abhängig von der Anwendung ist es möglich, dass nur bestimmte Elemente des Prozesses der Risikoeinschätzung berücksichtigt werden müssen.

Die Risikoeinschätzung erfolgt qualitativ.

Informationen oder Daten für die Risikoeinschätzungen können zum Beispiel entnommen werden aus:

1. veröffentlichten Normen, Verordnungen, Gesetzen oder anderen Behördlichen Anweisungen
2. wissenschaftlich-technischen Daten;
3. Marktdaten
4. Erfahrungsberichten mit typischen Kunden;
5. Ergebnissen geeigneter Untersuchungen;
6. Gutachten;
7. externen Qualitätsbeurteilungsprogrammen.

Für jede identifizierte Gefährdungssituation muss der Betreiber unter Anwendung der im Risikomanagementplan festgelegten Kriterien entscheiden, ob eine Risikominderung erforderlich ist. Die Ergebnisse dieser Risikobewertung müssen in der Risikomanagementakte aufgezeichnet werden.

Wenn eine Risikominderung erforderlich ist, müssen Aktivitäten zur Risikobeherrschung durchgeführt werden.

Der Betreiber muss eine oder mehrere Maßnahmen der Risikobeherrschung festlegen, die sich eignen, um das Risiko bzw. die Risiken auf einen akzeptablen Bereich zu mindern.

Der Betreiber muss eine oder mehrere der folgenden Wahlmöglichkeiten für die Risikobeherrschung in der aufgeführten Reihenfolge benutzen:

1. integrierte Sicherheit durch Anpassung von Prozessabläufen oder konstruktiver, ggf. baulicher Art.
2. Informationen zur Sicherheit.

Maßnahmen der Risikobeherrschung können entweder den Schweregrad des Schadens oder die Wahrscheinlichkeit seines Auftretens mindern oder beides bewirken.

Die ausgewählten Maßnahmen der Risikobeherrschung müssen in der Risikomanagementakte aufgezeichnet werden. Wenn der Hersteller während der Analyse der Wahlmöglichkeiten feststellt, dass die geforderte Minderung des Risikos nicht realisierbar ist, muss der Hersteller eine Risiko-Nutzen-Analyse für das Restrisiko durchführen.

Die Einhaltung der Anforderungen wird durch Inspektion in die Risikomanagementakte überprüft.