Matryca odpowiedzialności dostawców w projektach dotyczących urządzeń o wysokim stopniu zabezpieczenia: zakresy obowiązków zamawiającego, wykonawcy EPC i dostawcy

Projekty dotyczące urządzeń o wysokim poziomie bezpieczeństwa kończą się niepowodzeniem na etapie integracji, a nie z powodu samych urządzeń. Gdy moduł BSL-3 trafia na miejsce budowy, a wymiary komory wywiewowej nie pasują do instalacji kanałów wentylacyjnych wykonawcy EPC, lub gdy zainstalowano system odkażania ścieków, ale żadna ze stron nie udokumentowała, kto jest odpowiedzialny za walidację ogrzewania rurociągu odpływowego, projekt nie zostaje wstrzymany w celu przeprowadzenia uporządkowanej dyskusji — po prostu utyka w martwym punkcie, podczas gdy zespoły prawne analizują treść umów, a kierownicy projektów szukają winnych. Ten schemat jest przewidywalny i ma swoje źródło wcześniej, niż większość organizacji chce to przyznać: w okresie poprzedzającym zatwierdzenie zamówienia, kiedy sformalizowanie granic zakresu prac wydaje się przedwczesne. Rozwiązaniem tej sytuacji jest dokładna wiedza na temat tego, co musi określać matryca odpowiedzialności – oraz tego, które przydziały zadań, jeśli pozostaną niejasne, przekształcą problem techniczny na styku w spór umowny w najgorszym możliwym momencie.

Pola macierzy odpowiedzialności dla projektów o wysokim poziomie bezpieczeństwa

Macierz odpowiedzialności bez szczegółowych informacji na poziomie kolumn stanowi jedynie listę zamierzeń, a nie dokument służący do kontroli projektu. Rozróżnienie to ma znaczenie, ponieważ projekty o wysokim stopniu złożoności angażują co najmniej trzy strony o częściowo pokrywających się zakresach obowiązków – zamawiającego, wykonawcę EPC oraz dostawcę sprzętu – a w sytuacji presji rozumienie przez każdą ze stron granic swoich zobowiązań będzie się różnić, jeśli dokument na to pozwala. Matryca musi określać dla każdego elementu kontroli lub działania nie tylko to, kto jest odpowiedzialny, ale także, czego konkretnie wymaga ta odpowiedzialność: harmonogramy, kryteria akceptacji oraz nazwy konkretnych działań, a nie tylko ich kategorie.

Struktura czterokolumnowa, która sprawia, że rozwiązanie to jest wykonalne, oddziela kontrolę lub działanie od konkretnej roli każdej ze stron i dodaje kolumnę na wspólne szczegóły, która reguluje mechanizmy przekazywania zadań. “Kontrola dostępu” jako wiersz macierzy jest bezużyteczna z operacyjnego punktu widzenia. “Kwartalne przeglądy dostępu do systemów objętych klasyfikacją bezpieczeństwa, przeprowadzane przez dostawcę, weryfikowane i zatwierdzane przez dział kontroli jakości kupującego” to zadanie możliwe do przypisania i podlegające audytowi. Różnica nie polega na precyzji administracyjnej samej w sobie — jest to różnica między usunięciem odchylenia w ciągu trzech dni a pozostawieniem go otwartego przez sześć tygodni, podczas gdy każda ze stron czeka, aż druga strona podejmie inicjatywę.

Błędem, na który warto tutaj zwrócić uwagę, jest kopiowanie szablonów. Matryca skopiowana z poprzedniego projektu bez dostosowania do rzeczywistego zakresu bieżącego zlecenia stwarza ryzyko, ponieważ zawiera czynności, do których wykonania żadna ze stron nie jest zobowiązana umową. W projektach związanych z zabezpieczeniem środowiskowym objawia się to zazwyczaj w postaci wiersza przypisującego dostawcy zadanie walidacji cyklu odkażania, podczas gdy obecna umowa powierza tę pracę zespołowi uruchomieniowemu EPC — a następnie wiersz ten pozostaje niepodpisany, niekwestionowany i zapomniany aż do fazy realizacji kontroli jakości (IQ).

Wymagania określone przez nabywcę oraz punkty zatwierdzenia

Rola nabywcy nie polega na biernym zatwierdzaniu. W projekcie o wysokim poziomie izolacji nabywca jest właścicielem specyfikacji wymagań użytkownika (URS) jako dokumentu podlegającego ciągłym aktualizacjom, a kryteria akceptacji zawarte w tym dokumencie stanowią próg, względem którego ocenia się każdy dostarczony system. Jeśli kryteria te są niedostatecznie sprecyzowane na początku projektu — jeśli wydajność izolacji opisano jako “spełnia wymagania BSL-3” bez odniesienia do konkretnych różnic ciśnień, objętości przepływu powietrza lub wartości progowych alarmów — wówczas każdy protokół FAT i SAT sporządzony na podstawie tej specyfikacji URS odzwierciedla tę niejasność.

Do obowiązków zamawiającego, które muszą zostać wyraźnie wymienione w matrycy, należą: ostateczne zatwierdzenie wszystkich protokołów testowych przed ich realizacją, uprawnienia do zatwierdzania na każdym etapie odbioru (FAT, SAT, IQ, OQ, PQ) oraz prawo do odrzucenia każdego pakietu dokumentacji, który nie jest zgodny z URS. Norma ASTM E2500-25 traktuje opracowanie URS i planowanie weryfikacji jako podstawowe działania, które definiują, co oznacza “przydatność do celu” dla danego systemu — co oznacza, że nabywca nie może zlecić tej definicji dostawcy, a następnie oczekiwać, że proces odbioru przebiegnie bez problemów.

Konsekwencje wynikające z niepełnego przejęcia odpowiedzialności przez nabywcę na tym etapie ujawniają się na etapie IQ. Jeśli nabywca nie określił na piśmie, które parametry eksploatacyjne wymagają weryfikacji przez stronę trzecią, a które – zatwierdzenia wewnętrznego, faza realizacji w ramach IQ często wiąże się z renegocjowaniem tych decyzji pod presją czasu, po tym jak sprzęt został już zainstalowany, a harmonogram projektu jest w toku.

Zakłady energetyczne należące do EPC oraz zainstalowane interfejsy

Odpowiedzialność wykonawcy EPC w projektach o wysokim stopniu izolacji często wiąże się z największą niejasnością, ponieważ to właśnie wykonawca EPC łączy dostarczony sprzęt z systemami budynku, od których zależy, czy sprzęt ten będzie działał zgodnie z projektem. Jakość zasilania, przepływy powietrza w systemach HVAC, wymiarowanie przewodów odprowadzających, nośność konstrukcji oraz okablowanie blokad między systemami zarządzania budynkiem a sprzętem izolowanym to elementy, w których zakres obowiązków wykonawcy EPC i projekt sprzętu dostawcy muszą być precyzyjnie zharmonizowane przed rozpoczęciem montażu.

Ryzyko nie polega na tym, że podmioty EPC nie rozumieją swojej pracy — chodzi o to, że określenia “dostarczone przez EPC” i “zweryfikowane przez EPC” nie oznaczają tego samego, a matryca musi je rozróżniać. EPC może być odpowiedzialny za montaż przyłącza wywiewnego do izolatora OEB4/OEB5, nie będąc jednocześnie odpowiedzialnym za sprawdzenie, czy ciśnienie statyczne dostarczane do tego przyłącza jest zgodne z wymaganiami projektowymi izolatora. Jeśli zadanie to nie zostanie przypisane konkretnemu podmiotowi, prawdopodobnie ujawni się ono jako nierozwiązana rozbieżność podczas uruchamiania instalacji.

Czynnikiem decydującym o zmianie zalecenia w tym przypadku jest zależność od systemu zabezpieczającego. W przypadku każdego przyłącza instalacyjnego, w którym tryb awarii ma bezpośredni wpływ na integralność systemu zabezpieczającego — kaskadowe obniżenie ciśnienia, przepływ powietrza wywiewanego do modułu BSL-3, podłączenie odpływu ścieków do systemu EDS — matryca powinna przypisywać konkretnemu podmiotowi obowiązek aktywnej weryfikacji, a nie bierną odpowiedzialność za instalację. Różnica ta ma znaczenie dla zespołu przeprowadzającego uruchomienie, a później także dla organu kontrolnego weryfikującego dokumentację kwalifikacyjną.

Sprzęt należący do dostawcy oraz dokumentacja, którą należy dostarczyć

Zakres dostawy dostawcy sprzętu wykracza znacznie poza sam fizyczny system. W przypadku urządzeń o wysokim stopniu zabezpieczenia oraz sprzętu o kluczowym znaczeniu dla zgodności z GMP pakiet dokumentacji stanowi podstawę do przeprowadzenia kwalifikacji, a braki w tym pakiecie opóźniają realizację kwalifikacji instalacyjnej (IQ) równie nieuchronnie, jak wady sprzętowe. Do elementów, za które dostawca musi ponosić odpowiedzialność — i które muszą być wyraźnie wymienione w matrycy — należą: pakiet dokumentacji kwalifikacji projektowej, protokoły testów odbiorczych w fabryce oraz podpisane raporty, dokumentacja pomocnicza dotycząca kwalifikacji instalacyjnej, a także instrukcje obsługi i konserwacji w formacie zgodnym z wymaganiami zamawiającego w zakresie zarządzania dokumentacją.

Punktem, w którym zazwyczaj dochodzi do niepowodzenia, nie jest pominięcie, lecz niejasność dotycząca rozróżnienia między autorstwem a zatwierdzeniem. Matryca musi określać nie tylko fakt istnienia protokołu IQ, ale także to, kto go sporządza, kto go weryfikuje i kto zatwierdza przed rozpoczęciem realizacji. W załączniku 15 do tomu 4 EudraLex cyklus kwalifikacji traktowany jest jako uporządkowana sekwencja udokumentowanych czynności — nie nakazuje się jednak, aby to dostawca sporządzał protokół IQ. Przydzielenie tego zadania jest decyzją projektową, a jeśli nie zostanie ono wyraźnie określone, zarówno dostawca, jak i zespół walidacyjny zamawiającego mogą sporządzić odrębne wersje, a następnie poświęcić czas na ich uzgodnienie w okresie, gdy zasoby przeznaczone na uruchomienie są już nadmiernie obciążone.

W przypadku projektów dotyczących złożonych systemów —Modułowe systemy laboratoryjne klasy BSL-3/BSL-4 lub izolatory zabezpieczające z wbudowanym układem sterującym — zakres dokumentacji jest na tyle obszerny, że warto sporządzić harmonogram dostarczania dokumentacji, do którego odwołuje się macierz, i dołączyć go do umowy jako załącznik. Bez niego wiersz macierzy dotyczący “dokumentacji dostawcy” sprowadza się do tej samej kategorii niejasnych zobowiązań, której miał właśnie zapobiegać.

Typowe punkty awarii podczas testów odbiorczych

Wspólne obowiązki to pozycje o najwyższym ryzyku w każdej macierzy projektu ograniczania ryzyka, a schemat niepowodzeń jest zawsze ten sam: gdy obowiązek jest opisany jako wspólny bez określenia szczegółów realizacji, każda ze stron zakłada, że to druga strona zajmuje się jego faktyczną realizacją. Konsekwencją tego podczas testów odbiorczych nie jest spór — jest to opóźnienie, ponieważ testy utknęły w martwym punkcie, gdy ktoś przybywa, by być świadkiem protokołu, który nie został sfinalizowany, lub gdy odchylenie zostaje zarejestrowane bez przypisania właściciela i pozostaje otwarte do końca okresu testów FAT.

Trzy wspólne działania, w których ten schemat pojawia się najczęściej w projektach o wysokim poziomie zabezpieczeń, to udział w testach FAT i SAT, wsparcie w zakresie protokołów oraz zamykanie odstępstw. W przypadku udziału w testach FAT dotyczących sprzętu podlegającego zabezpieczeniom, przed ustaleniem terminu testów FAT należy rozstrzygnąć, kto uda się do zakładu dostawcy w celu obserwacji testów, kto dokona formalnego zatwierdzenia oraz co stanowi wynik pozytywny. W przypadku wsparcia w zakresie protokołów słowo “wspólne” nie implikuje odpowiedzi na pytanie, kto sporządza, weryfikuje i zatwierdza protokół testowy – oraz kto dostarcza środki testowe, wzorce odniesienia lub próbki referencyjne.”

Zamknięcie odchylenia to obszar, w którym koszty wynikające z niejasnego podziału obowiązków są najbardziej widoczne. Odchylenie zarejestrowane podczas testów FAT, któremu nie przypisano osoby prowadzącej dochodzenie ani nie określono łańcucha zatwierdzania zamknięcia, zazwyczaj podąża jedną z dwóch ścieżek: zostaje zamknięte bez odpowiedniej dokumentacji dotyczącej przyczyny źródłowej, a następnie kwestionowane podczas kontroli organów regulacyjnych, albo pozostaje otwarte i blokuje harmonogram testów SAT, podczas gdy strony negocjują, komu należy się za nie odpowiedzialność. Matryca musi wyznaczyć jedną stronę odpowiedzialną za zarejestrowanie odchylenia, jedną stronę odpowiedzialną za zbadanie przyczyny źródłowej oraz jedną stronę odpowiedzialną za zatwierdzenie zamknięcia — a także musi określić etap komunikacji, w ramach którego wszystkie strony zostaną poinformowane o zakończeniu sprawy.

Aby uzyskać dodatkowe informacje na temat tego, w jaki sposób sekwencje uruchamiania współdziałają z tymi decyzjami dotyczącymi przekazywania zadań, Przewodnik krok po kroku dotyczący uruchomienia laboratorium BSL-3 opisuje, w jaki sposób etapy testów akceptacyjnych wpisują się w szerszy cykl kwalifikacji.

Zasada odpowiedzialności za każde wymaganie krytyczne

Macierz nabiera znaczenia operacyjnego, gdy każdy kluczowy wymóg — integralność systemu zabezpieczającego, działanie kaskady ciśnieniowej, walidacja cyklu odkażania, oczyszczanie ścieków — ma dokładnie jednego odpowiedzialnego właściciela i jednego wyznaczonego właściciela wspierającego, zanim zostanie podpisana zgoda na zamówienie. Nie jest to jedynie strukturalna preferencja dotycząca przejrzystej dokumentacji. Jest to praktyczny próg, który wymusza rozmowę na temat luk w zakresie projektu i gotowości obiektu na takim etapie projektu, na którym można je jeszcze rozwiązać bez konieczności ponownej pracy.

Kompromis jest realny: im więcej szczegółów dotyczących granic w matrycy, tym wcześniej pojawiają się niewygodne pytania. EPC, który nie potwierdził gotowości konstrukcyjnej do montażu ciężkiego systemu zabezpieczającego, lub nabywca, którego zespół ds. zapewnienia jakości nie przeznaczył odpowiednich zasobów na fazę przeglądu protokołu, zauważy te luki dopiero podczas uzupełniania matrycy, a nie w momencie dostarczenia systemu na miejsce budowy. Organizacje często odkładają doprecyzowanie tych kwestii, ponieważ wydaje im się to przedwczesne — a właśnie to odłożenie sprawia, że kwestia, którą można by rozwiązać w ramach rozsądnego zakresu prac, przeradza się w opóźnienie uruchomienia.

Podpisana lub potwierdzona macierz stanowi dokument, który przekształca te przydziały z interpretacji jednej ze stron w wiążące zobowiązanie projektowe. Niepodpisana matryca — nawet dobrze skonstruowana — nie ma mocy prawnej w przypadku sporu. Wytyczne ICH Q9(R1) potwierdzają zasadę, że zarządzanie ryzykiem jakości wymaga jasnego przypisania odpowiedzialności za środki kontroli ryzyka, jednak podpisana matryca stanowi mechanizm zarządzania projektem, a nie wymóg regulacyjny. Jej wartość ma charakter praktyczny: wypełnia lukę między tym, za co każda ze stron zakładała, że jest odpowiedzialna, a tym, do czego faktycznie się zobowiązała.

Kontrola przed zatwierdzeniem zamówienia jest prosta: należy przejrzeć każdy wiersz macierzy pod kątem podania jednej osoby odpowiedzialnej, upewnić się, że wskazano właściciela wspierającego, oraz sprawdzić, czy w żadnym wierszu nie widnieje wpis “wspólne” bez kolumny zawierającej szczegółowe informacje wyjaśniające zasady funkcjonowania. Każdy wiersz, który nie przejdzie tej kontroli, stanowi zalążek przyszłego sporu.

Matryca odpowiedzialności znajduje swoje miejsce w projekcie o wysokim poziomie zabezpieczeń nie jako dokument służący wyłącznie zapewnieniu zgodności z przepisami, ale jako dokument, który przekształca założenia projektowe w konkretne zobowiązania, zanim założenia te doprowadzą do konieczności ponownej pracy. Pytania, na które powinna ona odpowiedzieć przed zatwierdzeniem zamówienia, są konkretne: która strona opracowuje każdy protokół kwalifikacyjny, kto go zatwierdza, kto uczestniczy w każdym wydarzeniu związanym z odbiorem, kto rejestruje i zamyka odchylenia oraz które interfejsy mediów wymagają aktywnej weryfikacji, a które – pasywnej instalacji. W przypadku projektów obejmujących systemy, w których skuteczność izolacji zależy zarówno od dostarczonego sprzętu, jak i od zainstalowanej infrastruktury budowlanej — kaskada ciśnieniowa, ciągłość wywiewu, podłączenie do oczyszczalni ścieków — granica między zakresem dostawcy a zakresem EPC stanowi linię najwyższego ryzyka w macierzy i zasługuje na najbardziej jednoznaczne ujęcie.

Zanim projekt przejdzie od etapu wyboru dostawcy do złożenia zamówienia, należy sprawdzić matrycę pod kątem trzech kryteriów: czy za każdy kluczowy wymóg odpowiada jedna osoba; czy w każdym wspólnym wierszu określono, kto wykrywa, bada i zamyka daną sprawę; oraz czy wszystkie strony podpisały dokument lub formalnie potwierdziły jego przyjęcie. Jeśli warunki te nie są spełnione, matryca pozostaje jedynie szablonem — a projekt narażony jest na związane z tym ryzyko.

Często zadawane pytania

Pytanie: A co, jeśli nasz projekt nie obejmuje umowy EPC? Artykuł zakłada strukturę trójstronną, ale my sami bezpośrednio zarządzamy instalacją.
O: Matryca odpowiedzialności nadal się sprawdza — należy jednak włączyć kolumnę EPC do zakresu obowiązków zamawiającego oraz jeszcze wyraźniej określić punkty przekazania obowiązków między wewnętrznym zespołem instalacyjnym a dostawcą sprzętu. Obowiązuje ten sam scenariusz awarii: nieudokumentowane założenia dotyczące weryfikacji mediów, autorstwa protokołów i obecności podczas testów odbiorczych ujawnią się później, z tą różnicą, że spór będzie miał miejsce między własną grupą a dostawcą, a nie między EPC a dostawcą. Logika czterokolumnowej matrycy nie wymaga istnienia EPC; wymaga natomiast, aby żadne interfejsy nie pozostawały przedmiotem domysłów, niezależnie od liczby zaangażowanych stron.

Pytanie: Po wdrożeniu podpisanej tabeli podziału odpowiedzialności, jakie jest najbliższe działanie, które należy podjąć przed wystawieniem zamówienia?
O: Zgodziłem harmonogram dostarczania dokumentacji z matrycą i załączyłem go do umowy. Matryca określa, kto sporządza, weryfikuje i zatwierdza dokumenty kwalifikacyjne; bez harmonogramu z konkretnymi terminami, który dokładnie wymienia, jakie dokumenty muszą zostać dostarczone do poszczególnych etapów, wiersz “dokumentacja dostawcy” pozostaje niejasnym zobowiązaniem. Jest to etap, na którym matryca przestaje być jedynie dokumentem regulującym przebieg projektu, a staje się praktycznym załącznikiem określającym zakres prac, którego przestrzegania może egzekwować dział zamówień.

Pytanie: Przy jakiej skali projektu lub jakim poziomie ryzyka szczegółowa matryca odpowiedzialności dostawców staje się zbędna?
O: Gdy sprzęt działa poza granicami krytycznymi dla GMP lub dla hermetyczności — na przykład w przypadku standardowego modułu mediów ogólnego przeznaczenia, który nie wpływa na jakość produktu ani bezpieczeństwo biologiczne. Jeśli awaria na styku nie spowoduje zgłoszenia regulacyjnego, dochodzenia w sprawie wpływu na produkt ani naruszenia hermetyczności, często wystarcza uproszczony podział zadań w umowie. Kryterium decydującym jest zależność od izolacji: gdy podłączenie instalacji użytkowej ma bezpośredni wpływ na podciśnienie, oczyszczanie ścieków lub integralność granic aseptycznych, poziom szczegółowości matrycy przestaje być kwestią administracyjną, a staje się elementem kontroli ryzyka.

Pytanie: Jakie są różnice między stosowaniem formalnej matrycy odpowiedzialności a opieraniem się wyłącznie na dobrze sformułowanych postanowieniach dotyczących zakresu umowy?
O: Umowa rozdziela obowiązki; podpisana matryca odpowiedzialności określa nie tylko, co ma zrobić każda ze stron, ale także kto podejmuje działania, kto je kończy oraz co oznacza “zakończenie” dla każdego działania wykraczającego poza granice. Sformułowania umowne zazwyczaj nakazują wykonawcy EPC “zapewnienie połączenia wywiewowego z izolatorem”, ale nie wskazują strony, która ma zweryfikować, czy dostarczone ciśnienie statyczne spełnia specyfikację projektową. Matryca przekształca zobowiązania na poziomie umowy w konkretne działania, za które odpowiada jedna strona — i właśnie ta różnica zapobiega opóźnieniom w zatwierdzaniu protokołu, wynikającym z tego, że strony czekają, aż ktoś inny wykona pierwszy krok.

Pytanie: Czy czas potrzebny na wynegocjowanie i wypełnienie szczegółowej matrycy jest uzasadniony w przypadku pojedynczego elementu wyposażenia zabezpieczającego, takiego jak jeden izolator, czy też opłaca się to tylko w przypadku dużych, zintegrowanych systemów?
O: Nawet w przypadku pojedynczego urządzenia, takiego jak Izolator OEB4/OEB5, matryca wnosi wartość dodaną, ponieważ punkty styku — wyrównanie kanałów wywiewnych, okablowanie blokad systemu BMS, podłączenie odpływów, odpowiedzialność za protokoły kwalifikacyjne — nie znikają wraz ze spadkiem liczby systemów. Pojedynczy izolator nadal łączy się z instalacjami budynku, nadal wymaga podjęcia decyzji dotyczących obecności podczas testów FAT/SAT oraz nadal generuje pakiety dokumentacji, które ktoś musi przejrzeć i zatwierdzić. Nakład pracy maleje wraz z liczbą systemów, ale ryzyko, że niepodpisany wiersz “wspólny” spowoduje opóźnienie uruchomienia, nie zmniejsza się tylko dlatego, że lista urządzeń jest krótka.