Kwantitatieve risicoanalyse – QRA

## Wat speelt hier Een kwantitatieve risicoanalyse (QRA) brengt in getallen uit hoe groot de kans is op een ongewenste gebeurtenis met gevaarlijke stoffen, en welk effect dat heeft op de omgeving en op mensen die er werken of in de buurt verblijven. Bij brandveiligheid gaat het dan om scenario's zoals een plasbrand, een fakkelbrand na een lekkage, een explosie van een opslagtank of een BLEVE bij verhitting van een drukhouder. Deze scenario's komen voor bij bedrijven die met brandbare gassen, vloeistoffen of chemicaliën werken, zoals opslagterreinen, tankparken, procesinstallaties en sommige logistieke locaties. Het risico dat de organisatie moet beheersen is tweeledig: het omgevingsrisico voor mensen buiten de inrichting en het arbeidsveiligheidsrisico voor eigen medewerkers en derden op het terrein. Zonder een goed uitgevoerde risicoanalyse blijft onduidelijk welke maatregelen daadwerkelijk nodig zijn om de kans op een brand of explosie te verkleinen en de gevolgen te beperken. Dat leidt tot situaties waarin bouwkundige voorzieningen, blussystemen of vluchtroutes niet zijn afgestemd op het werkelijke risico, met als gevolg dat bij een incident de schade en de kans op slachtoffers groter zijn dan nodig. Op de werkplek zelf uit dit zich in installaties waar onvoldoende afstand is tussen opslag en bemande ruimten, in onduidelijkheid over welke brandscenario's leidend zijn voor het ontwerp van blussystemen, en in het ontbreken van een koppeling tussen de uitkomsten van de risicoanalyse en de daadwerkelijk getroffen maatregelen op de locatie. ## Wat u moet doen - Inventariseer welke installaties, opslagen en processen een reëel brand- of explosiegevaar met zich meebrengen en breng deze in kaart op een actuele plot van het terrein. - Laat een kwantitatieve risicoanalyse uitvoeren door een deskundige partij, gebaseerd op de daadwerkelijke procescondities, hoeveelheden en opstelling van installaties. - Bepaal op basis van de uitkomsten eerst welke bronmaatregelen nodig zijn, zoals het beperken van hoeveelheden, het vergroten van afstanden of het toepassen van inherent veiligere procesvoering. - Vertaal de resterende risico's naar collectieve en technische maatregelen, zoals brandwerende constructies, automatische detectie en blussystemen, en zorg dat deze zijn afgestemd op de scenario's uit de analyse. - Leg organisatorische maatregelen vast, zoals een werkvergunningensysteem, onderhoudsschema's en een noodplan dat aansluit op de geïdentificeerde scenario's. - Voorzie in persoonlijke beschermingsmiddelen en vluchtvoorzieningen als laatste laag, afgestemd op de restrisico's die na de andere maatregelen overblijven. - Instrueer leidinggevenden en medewerkers over de uitkomsten van de analyse en de reden achter de getroffen maatregelen. - Actualiseer de risicoanalyse bij wijzigingen in proces, hoeveelheden of opstelling en controleer periodiek of de maatregelen nog aansluiten op de actuele situatie. ## Toetsbare aspecten - **Actuele risicoanalyse** — een QRA-rapportage die aansluit op de huidige procesconditie en opstelling. Bewijs: gedateerde rapportage met versiebeheer. Frequentie: bij wijziging en minimaal periodiek herbeoordelen. - **Scenario-onderbouwing** — vastgelegde brand- en explosiescenario's die aan de basis liggen van de analyse. Bewijs: scenario-overzicht in het QRA-rapport, herleidbaar naar installatieonderdelen. Frequentie: bij elke herziening van de analyse. - **Koppeling maatregelen-scenario's** — elke getroffen maatregel is herleidbaar naar een scenario uit de analyse. Bewijs: maatregelenoverzicht met verwijzing naar het bijbehorende scenario. Frequentie: jaarlijkse controle. - **Bronmaatregelen zichtbaar** — aanwezigheid van maatregelen die de oorzaak beperken, zoals hoeveelheidsbeperking of veiligere procesvoering. Bewijs: procesbeschrijving en ontwerpdocumentatie. Frequentie: bij ontwerpwijziging. - **Technische beveiligingen functioneel** — detectie- en blussystemen aanwezig en operationeel op de locaties die uit de analyse volgen. Bewijs: onderhouds- en keuringsrapporten van de installaties. Frequentie: volgens onderhoudsschema, minimaal jaarlijks gecontroleerd. - **Werkvergunningensysteem operationeel** — procedure voor risicovolle werkzaamheden wordt daadwerkelijk gevolgd. Bewijs: ingevulde en ondertekende werkvergunningen. Frequentie: bij elke risicovolle werkzaamheid. - **Noodplan afgestemd op scenario's** — het noodplan bevat de scenario's uit de risicoanalyse en de bijbehorende response. Bewijs: noodplandocument met scenario-verwijzing. Frequentie: jaarlijkse toetsing en oefening. - **Instructie en kennis leidinggevenden** — leidinggevenden kunnen de uitkomsten van de analyse en de genomen maatregelen toelichten. Bewijs: instructieverslag of trainingsregistratie. Frequentie: bij indiensttreding en periodieke opfrissing. - **Actualisatie bij wijziging** — vastgelegde procedure om de analyse te herzien bij wijzigingen in installatie of proces. Bewijs: wijzigingsbeheerprocedure met logboek van herzieningen. Frequentie: bij elke relevante wijziging. ## Veelvoorkomende knelpunten - De risicoanalyse ligt in een rapport, maar de maatregelen op de werkvloer zijn niet aantoonbaar afgestemd op de uitkomsten. - Wijzigingen in proces of opslag worden niet gevolgd door een herziening van de analyse, waardoor deze verouderd is. - Leidinggevenden kennen de scenario's en achterliggende redenen van maatregelen niet, waardoor instructie aan medewerkers oppervlakkig blijft. - Ingeleend personeel en derden op het terrein worden niet meegenomen in de noodprocedures die op de scenario's zijn gebaseerd. - Onderhoud en keuring van technische beveiligingen worden wel uitgevoerd, maar de koppeling met de oorspronkelijke risicoanalyse ontbreekt in de administratie. - Na een incident of bijna-incident wordt de analyse niet opnieuw beoordeeld, waardoor lessen niet doorwerken in de maatregelen. ## Hoe u het borgt De verantwoordelijkheid voor het actueel houden van de risicoanalyse en de daaraan gekoppelde maatregelen ligt bij een aangewezen functionaris, die periodiek toetst of proceswijzigingen, incidenten of nieuwe inzichten aanleiding geven tot herziening. Nieuwe medewerkers en derden op het terrein worden bij aanvang geïnstrueerd over de relevante scenario's en de bijbehorende maatregelen, en deze instructie wordt herhaald bij wijzigingen. Periodieke oefeningen en interne controles laten zien of de maatregelen in de praktijk werken zoals bedoeld, en afwijkingen worden vastgelegd en opgevolgd met een concrete actie en termijn. Zo blijft de risicoanalyse geen eenmalig document, maar een levend instrument dat continu is verbonden met de daadwerkelijke situatie op de locatie.

Risico's

• Aanwezige personen en blootstellingslocaties zijn onjuist gemodelleerd — Een QRA geeft een misleidend beeld wanneer aantallen personen, hun verblijfsduur of hun locaties niet overeenkomen met de feitelijke bedrijfsvoering. Dit kan werknemers, contractors, chauffeurs, bezoekers, hulpverleners en andere aanwezigen raken. Denk aan niet-gemodelleerde controlekamers, kantoren, werkplaatsen, laadplaatsen, wachtruimten, tijdelijke werkplekken en loop- of vluchtroutes binnen het invloedsgebied van een brand- of explosiescenario. Ook ploegwisselingen, onderhoudsstops, projecten, piekbezetting en personen met extra ondersteuning bij het vluchten kunnen het blootstellingsbeeld veranderen. Door onjuiste invoer kunnen risicocontouren en berekende groepsrisico’s niet aansluiten op de werkelijke aanwezigheid. Daardoor kunnen bemande ruimten op een ongeschikte plaats blijven staan, brandmelding en bestrijding onvoldoende worden gedimensioneerd of vluchtwegen en nooduitgangen niet passen bij het maximumaantal aanwezigen. De werkgever kan dan ten onrechte aannemen dat bestaande maatregelen voldoende zijn. Controleer daarom de QRA tegen actuele plattegronden, personeels- en bezoekersgegevens, werkvergunningen en waarnemingen tijdens representatieve diensten. Leg aannamen, databronnen, onzekerheden en conservatieve keuzes vast. Herbeoordeel het personenmodel na wijzigingen in gebouwen, bezetting, werktijden, routes, processen of tijdelijk werk, zodat maatregelen blijven aansluiten op de feitelijke blootstelling.
• Deskundigheid, rolverdeling en onafhankelijke review zijn niet geborgd — Een QRA kan richting geven aan keuzes over brandbestrijding, alarmering, vluchtwegen en noodvoorzieningen. Wanneer niet is vastgesteld welke deskundigheid voor het opstellen, controleren en goedkeuren nodig is, kunnen invoergegevens, scenario’s, rekenkeuzes en conclusies verkeerd worden geïnterpreteerd. Het risico neemt toe als één persoon zowel uitgangspunten bepaalt als berekeningen uitvoert en goedkeurt, of als verantwoordelijkheden tussen werkgever, installatiebeheerder en externe adviseur onduidelijk blijven. Een inhoudelijk onafhankelijke review ontbreekt dan of wordt slechts als administratieve controle uitgevoerd. Hierdoor kunnen fouten en onrealistische aannamen onopgemerkt blijven en kunnen maatregelen worden gebaseerd op een onderschat brand- of explosiescenario. Dit raakt werknemers, contractors, bezoekers en andere aanwezigen die afhankelijk zijn van passende brandbestrijdingsmiddelen, tijdige alarmering, bruikbare vluchtwegen en adequate noodverlichting. Mogelijke gevolgen zijn onvoldoende beschermde werkplekken, ongeschikte vluchtroutes, een te late waarschuwing of een brandbeveiligingsconcept dat niet aansluit op de feitelijke gevaren. De werkgever moet daarom vooraf eisen aan deskundigheid vastleggen, taken en beslissingsbevoegdheden scheiden en een aantoonbaar onafhankelijke inhoudelijke beoordeling organiseren. Bevindingen uit die beoordeling moeten worden opgelost voordat QRA-uitkomsten worden gebruikt voor ontwerp-, bedrijfs- of veiligheidsbesluiten.
• Invloedsgebied en omgevingsgegevens zijn onjuist of onvolledig — Een QRA geeft alleen een bruikbaar beeld wanneer het invloedsgebied en de omgeving rond de onderzochte installaties correct zijn vastgelegd. Verouderde terreinplattegronden, foutieve bronlocaties, ontbrekende gebouwen of onjuiste afstanden kunnen de berekende effecten van brand, warmtestraling, explosiedruk of een incident met gevaarlijke stoffen verkeerd positioneren. Ook wijzigingen buiten het terrein, zoals nieuwe bebouwing, wegen of verblijfsplaatsen, kunnen de beoordeling beïnvloeden. Daardoor kunnen bemande ruimten, werkplekken van contractors, verzamelplaatsen, vluchtwegen en nooduitgangen ten onrechte buiten een effectgebied vallen. Omgekeerd kan de analyse risico’s toeschrijven aan locaties waar niemand aanwezig is, waardoor aandacht en middelen verkeerd worden verdeeld. Dit raakt werknemers, bezoekers, onderhoudspersoneel, hulpverleners en personen in de directe omgeving. Als de werkgever maatregelen op een onbetrouwbare analyse baseert, kunnen branddetectie, alarmering, brandbestrijdingsmiddelen, noodverlichting en evacuatievoorzieningen onvoldoende aansluiten op de werkelijke situatie. Bij een incident kan vervolgens te laat worden gealarmeerd, kan een vluchtroute door een gevaarlijk gebied lopen of kan een verzamelplaats onvoldoende bescherming bieden. De werkgever moet daarom de geografische invoer aantoonbaar controleren, wijzigingen tijdig verwerken en de gevolgen voor vluchtveiligheid en brandbestrijding opnieuw beoordelen.
• QRA-plicht of noodzaak is niet tijdig vastgesteld — Bij een nieuwe installatie, uitbreiding, wijziging of verandering in de opslag van gevaarlijke stoffen moet tijdig worden vastgesteld of een kwantitatieve risicoanalyse verplicht of uit veiligheidsoogpunt noodzakelijk is. Deze beoordeling moet plaatsvinden voordat ontwerpkeuzes, terreinindeling en investeringen onomkeerbaar worden. Wordt dit beslismoment overgeslagen, dan kunnen brand- en explosiescenario’s te laat in beeld komen. Daardoor sluiten afstanden tot bemande ruimten, vluchtmogelijkheden, brandmelding, noodverlichting en brandbestrijdingsmiddelen mogelijk niet aan op de aanwezige gevaren en personen. Dit raakt eigen werknemers, contractors, bezoekers en, afhankelijk van het invloedsgebied, mensen buiten het terrein. Ook kan onduidelijk blijven welke installaties, opslagen, stoffen, hoeveelheden en bedrijfscondities in een eventuele QRA moeten worden betrokken. Een late analyse kan vervolgens leiden tot kostbare aanpassingen, vertraging of tijdelijke bedrijfsbeperkingen. De werkgever moet daarom een gedocumenteerde voortoets organiseren en de uitkomst koppelen aan de RI&E, het wijzigingsproces en het ontwerpbesluit. De aangeleverde artikelen over vluchtwegen, noodverlichting en brandbestrijding stellen eisen aan de arbeidsplaats, maar bevatten op zichzelf geen algemene QRA-plicht. Ook artikel 6.4, het vaste primaire artikel in deze kaart, gaat over het weren van rechtstreeks zonlicht en vormt inhoudelijk geen QRA-criterium. Of een specifieke QRA-plicht geldt, moet daarom afzonderlijk worden vastgesteld aan de hand van de daadwerkelijk toepasselijke regels en projectvoorwaarden.
• QRA-scope en toetsingskader zijn vooraf onvoldoende afgebakend — Het Arbobesluit stelt nadere eisen aan vluchtwegen, nooduitgangen, noodverlichting en passende voorzieningen voor brandmelding en brandbestrijding. Om deze voorzieningen te kunnen afstemmen op de aanwezige gevaren, moet vooraf duidelijk zijn welk terrein, welke installaties, activiteiten, stoffen, personen en brand- of explosiescenario’s de QRA omvat en aan welk toetsingskader de uitkomsten worden beoordeeld. Als deze afbakening ontbreekt, kunnen relevante bronnen of ongevalsscenario’s buiten beeld blijven, terwijl niet-relevante onderdelen juist onevenredig veel aandacht krijgen. Ook kan onduidelijk blijven of de analyse ziet op werknemers en derden op het terrein, personen buiten de locatie of beide groepen. Hierdoor zijn uitkomsten van verschillende berekeningen niet goed vergelijkbaar en kunnen uitgangspunten tijdens het onderzoek ongemerkt wijzigen. Voor werknemers, contractors, bezoekers en personen in de omgeving kan dit betekenen dat afstanden, bezetting, vluchtroutes, alarmering, noodverlichting of brandbestrijdingsvoorzieningen niet op de maatgevende scenario’s zijn afgestemd. De werkgever moet daarom vóór opdrachtverlening een schriftelijke scope en toetsingsbasis vaststellen, laten controleren door de betrokken disciplines en wijzigingen traceerbaar beheren. Artikel 6.4 over het weren van rechtstreeks invallend zonlicht bevat op zichzelf geen inhoudelijk QRA-toetsingskader.
• QRA-uitkomsten leiden niet aantoonbaar tot passende veiligheidsmaatregelen — Een kwantitatieve risicoanalyse heeft pas veiligheidswaarde wanneer de uitkomsten aantoonbaar worden vertaald naar concrete maatregelen op de arbeidsplaats. Het risico ontstaat als berekende brand- en explosiescenario’s, effectafstanden of kwetsbare locaties alleen in een rapport blijven staan en niet doorwerken in het ontwerp, de bedrijfsvoering en de noodorganisatie. Daardoor kunnen opslagplaatsen, procesinstallaties, bemande ruimten, brandbestrijdingsvoorzieningen en vluchtroutes onvoldoende zijn afgestemd op de vastgestelde scenario’s. Werknemers, contractors, bezoekers en hulpverleners kunnen dan bij een lekkage, brand of explosie worden blootgesteld aan warmtestraling, drukbelasting, rook, giftige verbrandingsproducten of een onveilige vluchtweg. Ook kan een incident escaleren doordat detectie, alarmering, insluiting of bestrijding niet past bij de aard en omvang van het scenario. De werkgever moet daarom per relevante QRA-uitkomst vastleggen welk risico wordt aanvaard, welke maatregel wordt getroffen, wie daarvoor verantwoordelijk is en wanneer de uitvoering en werking worden gecontroleerd. Daarbij moet eerst worden onderzocht of het gevaar kan worden weggenomen of verkleind. Daarna volgen technische en organisatorische voorzieningen. Als maatregelen ontbreken, niet op het berekende scenario aansluiten of na veranderingen niet opnieuw zijn beoordeeld, blijft onvoldoende aantoonbaar dat werknemers zich bij direct gevaar snel in veiligheid kunnen stellen en dat passende brandmelding en brandbestrijding beschikbaar zijn.
• Scenario-afbakening, frequenties en modelaannamen zijn onvoldoende geborgd — Een QRA geeft alleen een bruikbaar beeld wanneer de gekozen brand- en explosiescenario’s, faalfrequenties en modelaannamen aantoonbaar passen bij de werkelijke installatie. Het risico ontstaat als geloofwaardige lekkages, ontstekingsmogelijkheden, escalatie of domino-effecten buiten beschouwing blijven, of als frequenties zonder herleidbare onderbouwing worden gebruikt. Ook aannamen over uitstroming, verdamping, ontsteking, weersomstandigheden, afscherming en de werking van beveiligingen kunnen de berekende effecten sterk beïnvloeden. Een te gunstige aanname kan risico’s onderschatten; een onnodig conservatieve aanname kan leiden tot maatregelen die niet op de belangrijkste gevaren zijn gericht. Hierdoor kunnen branddetectie, alarmering, brandbestrijdingsmiddelen, noodverlichting en vluchtmogelijkheden onvoldoende aansluiten op het feitelijke incidentverloop. Dit raakt operators, onderhoudsmedewerkers, chauffeurs, contractors, bedrijfshulpverleners en andere aanwezigen op of nabij het terrein. Bij een incident kunnen zij worden blootgesteld aan warmtestraling, rook, gevaarlijke verbrandingsproducten, overdruk of rondvliegende delen. Wanneer aannamen en frequenties niet versiebeheerd, gevalideerd en herleidbaar zijn, is bovendien niet vast te stellen of wijzigingen aan installaties of bedrijfsvoering in de analyse zijn verwerkt. De werkgever kan dan onvoldoende onderbouwen dat de aanwezige voorzieningen en noodmaatregelen passend zijn voor de aard van het werk, de gevaren en het aantal aanwezige personen.
• Stofgegevens en veiligheidsinformatie zijn onbetrouwbaar of verouderd — Een QRA kan alleen bruikbare uitkomsten geven als de ingevoerde stofgegevens en veiligheidsinformatie betrouwbaar, actueel en herleidbaar zijn. Verouderde veiligheidsinformatiebladen, onjuiste stofidentificaties of gegevens die niet passen bij de werkelijke samenstelling kunnen de berekende effecten van brand, warmtestraling, explosie of het vrijkomen van gevaarlijke stoffen vertekenen. Ook kan informatie over fysische eigenschappen, ontvlambaarheid, ontleding, reactieproducten en geschikte brandbestrijding ontbreken of uit verschillende bronnen tegenstrijdig zijn. Hierdoor worden scenario’s mogelijk onjuist geselecteerd en kunnen effectafstanden te klein of te groot worden berekend. Dit raakt werknemers, contractors, bezoekers, hulpverleners en personen in de omgeving van de locatie. Op het terrein kunnen brandbestrijdingsmiddelen, alarmering, noodverlichting en vluchtvoorzieningen daardoor niet aansluiten op de aard van het daadwerkelijke gevaar en het aantal aanwezige personen. Een onderschatting vergroot de kans op ernstig letsel bij een incident; een overschatting kan leiden tot ongerichte maatregelen en een verkeerd veiligheidsbeeld. De werkgever moet daarom vóór gebruik in de QRA controleren of stofgegevens bij de feitelijk aanwezige stoffen en mengsels horen, uit een herleidbare bron komen en volgens een vast wijzigingsproces actueel blijven.
• Subselectie van installaties en bronnen is onvolledig of niet onderbouwd — Bij een QRA bepaalt de subselectie welke installaties, opslagen, leidingen, laad- en losplaatsen en andere bronnen verder worden doorgerekend. Wanneer deze selectie onvolledig is of niet met controleerbare gegevens en keuzes is onderbouwd, kunnen relevante brand- en explosiescenario’s buiten beeld blijven. Dit kan bijvoorbeeld gebeuren wanneer alleen vergunde situaties worden gebruikt, wijzigingen niet zijn verwerkt, tijdelijke opstellingen ontbreken of gekoppelde installatieonderdelen afzonderlijk worden beoordeeld. De uitkomsten geven dan een te gunstig of onvolledig beeld van de mogelijke effecten op werknemers, contractors, bezoekers en personen in de omgeving. Ook kunnen bemande ruimten, vluchtwegen, nooduitgangen, noodverlichting, alarmering en brandbestrijdingsvoorzieningen op verkeerde scenario’s worden afgestemd. Bij een incident kan daardoor te laat worden gewaarschuwd, kan een vluchtroute door hitte, rook of druk onbruikbaar worden en kunnen aanwezigen ernstig letsel oplopen. De werkgever moet daarom de selectie herleidbaar maken tot een actuele terrein- en installatie-inventarisatie, met vastgelegde selectiecriteria, brongegevens, uitsluitingen en motiveringen. De QRA mag pas als basis voor veiligheidsmaatregelen worden gebruikt nadat is gecontroleerd dat alle relevante bronnen zijn beschouwd en dat wijzigingen consequent zijn verwerkt.
• Werkelijke hoeveelheden en procescondities ontbreken in de QRA-invoer — Een QRA die is gebaseerd op vergunde maxima, ontwerpwaarden of oude inventarislijsten kan sterk afwijken van de feitelijke bedrijfsvoering. Het model bevat dan bijvoorbeeld niet de werkelijke vulgraden, doorzetten, drukken, temperaturen, samenstellingen, leidinginhouden en gelijktijdig aanwezige hoeveelheden gevaarlijke stoffen. Ook tijdelijke opslag, afwijkende bedrijfsfasen, onderhoudssituaties en voorzienbare procesafwijkingen kunnen buiten beeld blijven. Daardoor worden mogelijke uitstroomhoeveelheden en de gevolgen van brand, explosie of verhitting van een drukhouder te laag of op de verkeerde locatie berekend. Dit kan ertoe leiden dat afstanden tot bemande ruimten, branddetectie, brandbestrijdingsmiddelen, alarmering, noodverlichting en vluchtmogelijkheden niet aansluiten op de werkelijke gevaren. Werknemers, contractors, bezoekers en personen op nabijgelegen arbeidsplaatsen kunnen hierdoor onvoldoende zijn beschermd. Voor bedrijven waarop de bepalingen over grote ongevallen met gevaarlijke stoffen van toepassing zijn, zijn de werkelijke of redelijkerwijs te verwachten aanwezigheid en de relevante hoeveelheden bovendien bepalend voor de beoordeling. De werkgever moet daarom aantoonbaar vaststellen welke gegevens de actuele bedrijfsvoering vertegenwoordigen, afwijkingen tussen ontwerp en praktijk verklaren en de QRA actualiseren voordat de uitkomsten voor veiligheidsbesluiten worden gebruikt.