TRU, Alm.del - 2013-14 - Bilag 187: Strategi og praksis for tilsyn med luftfartssikkerhed

ForordTrafikstyrelsen ønsker med denne publikation at skabe større gennem-sigtighed for branchen og andre interessenter om tilsynet på luftfart-området.Publikationen beskriver, hvad Trafikstyrelsen vil opnå med sit tilsyn:Målet er at understøtte virksomhedernes evne til at håndtere egne risi-ci – det giver på sigt den højeste og mest robuste luftfartssikkerhed forden givne tilsynsindsats.For at nå dette mål fremlægges en strategi for, hvad Trafikstyrelsen vilgøre i de kommende år. Virksomhedernes egne safety managementsystemer skal opbygges. Styrelsen skal udvikle en transparent, risiko-baseret tilsynsplanlægningsmodel. Og der skal sikres en større ensart-ning og kalibrering af tilsynspraksis på tværs af enkeltpersoner og fag-tekniske områder. Endelig beskrives styrelsens reaktioner/sanktioner,når virksomhederne undtagelsesvist ikke følger krav og anvisninger.Strategien omfatter tilsynet med luftfartssikkerhed (flyvesikkerhed ogsecurity) samt arbejdsmiljøtilsyn i flyene. Trafikstyrelsens økonomisketilsyn har en anden natur og behandles derfor ikke her, ligesom styrel-sens regulerings- og godkendelsesaktivitet heller ikke behandles.Nærværende publikation er en integreret del af det overgribende StateSafety Programme, som Trafikstyrelsen offentliggør i 2014 i henhold tilICAO-retningslinier. Her fastlægges også de overordnede danske sik-kerhedsmål for luftfarten.Publikationen er ikke et juridisk, men et ”levende” dokument. Det erTrafikstyrelsens håb, at den bidrager til at skabe mere klarhed overvores mål og aktiviteter, ligesom vi håber, at branchen vil spille kon-struktivt med for løbende at forbedre tilsynsarbejdet til gavn for luft-fartssikkerheden. Den nyeste version findes altid på hjemmesidenwww.trafikstyrelsen.dk.God læselyst!

4.Tilsynspraksis – når tilsynet er i virksomheden4.1 Retningslinjer for udførelse af tilsyn4.2 Planlægning af tilsyn4.3 Forberedelse4.4 Gennemførelse af tilsyn4.5 Afslutning og rapportering4.6 Ensarting af tilsyn mellem virksomhederne5.Reaktions- og sanktionsmuligheder5.1 Generelt5.2 Reaktioner5.3 Påbud – normalsituationen5.4 Påbud – alvorlig fare for flyvesikkerheden (forbud/begrænsninger ogsuspension)5.5 Opfølgning på påbud5.6 Sanktioner - strafferetlige5.7 Reaktioner og sanktioner ud fra andre observationer end tilsyn

Historisk har luftfarten været kendetegnet ved et omfattende re-gelværk. Tilsynets primære mål har været at sikre regelefterle-velse (compliance) i virksomhederne. Den voksende kompleksi-tet på luftfartsområdet kræver dog en øget indsats i virksomhe-dernes eget sikkerhedsarbejde for at imødegå nye og ”unikke”risici i netop deres organisation, der ikke dækkes fuldt af tekni-ske regler. Trafikstyrelsen vil derfor flytte vægten fra primærtregelefterlevelse i tilsynsindsatsen til at understøtte virksomhe-dernes samlede sikkerhedsarbejde (performance). Denne under-støttelse er tilsynsarbejdets primære formål.1.1 Hvordan kan effekten af tilsynet måles?Udgangspunktet for Trafikstyrelsens tilsynsvirksomhed er at respekte-re og understøtte den rolle- og ansvarsfordeling mellem virksomhe-derne og styrelsen, som er fastsat i national og EU lovgivning. Såledeser det virksomhederne, der har ansvaret for sikkerheden – Trafiksty-relsens tilsynsindsats skal understøtte dette ansvar og betrygges i, atdet løftes tilfredsstillende. Det er eksempelvis Trafikstyrelsens ansvarat tilsikre, at dansk lov og EU lovgivningen stemmer overens og ikkeoverlapper hinanden. Samtidig har virksomhederne ansvar for at holdesig opdateret omkring ny lovgivning. Trafikstyrelsen vejleder løbendeom ny lovgivning, men ansvaret for at have kendskab til den nyestenationale og internationale lovgivning er virksomhedernes.Virksomhederskal i denne publikation forstås i en bred forstand. Detvil sige, at virksomheder forstås som juridiske enheder uanset ejer-skab og certifikatholdere, uanset om disse er ansat i virksomheder el-ler bedriver luftfart som individer.Dette kapitel opstiller langsigtede og kortsigtede effektmål for tilsyns-virksomheden og kæder de forskellige mål sammen. Årlige produkti-onsmål for tilsynets omfang har i mange år været anvendt som nøgle-indikator for Trafikstyrelsens indsats. Opstilling af effektmål for tilsyns-indsatsen er nyt.Opstilling af effektmål har til hensigt at sikre, at Trafikstyrelsens til-synsindsats i sidste instans resulterer i, at samfundet opnår en højluftfartssikkerhed med de gældende tilsynsressourcer. Et af dilemma-5

erne ved at opstille effektmål er, at det kan være meget vanskeligt atisolere den langsigtede effekt af netop styrelsens tilsynsindsats fra an-dre påvirkninger – ikke mindst fra virksomhedernes egen sikkerheds-indsats. Jo tættere tilsynet måles på de udførte tilsynsaktiviteter, de-sto større er den direkte sammenhæng mellem det man gør, og detman vil opnå. Dog risikerer man ved målinger tæt på aktiviteten, attabe perspektivet - det langsigtede formål af syne. Således risikererdet for eksempel at blive et mål i sig selv, at gennemføre flest muligeantal tilsyn – uden skelen til om det også resulterer i mest mulig sik-kerhed.Nedenfor beskrives et målhierarki med forskellige effektmål på lang ogkort sigt samt sammenhængen mellem målene. Denne årsag-virksningskæde opsummeres afslutningsvis i figur 1.2.1.2 Sammenhæng mellem effektmål og konkrete tilsynsaktivi-teter1.2.1 Langsigtede effektmål

Nøgleindikatorer for dette mål er antallet af hændelser ulykker ogdræbte/skadede. Med hændelser menes en begivenhed, som ikke er ethavari, men som indtræffer i forbindelse med anvendelsen af et luftfar-tøj, og som har indflydelse på eller vil kunne få indflydelse på sikker-heden forbundet med luftfartøjets anvendelse.I Danmark har Trafikstyrelsen opgjort disse indikatorer i en længereårrække, og de vil formentlig i lang tid fremover være luftfartssikker-hedens ”Key Performance Indicators” (KPI’ere). Trafikstyrelsen vil fast-sætte konkrete sikkerhedsmål og årligt offentliggøre en rapport, dergiver seneste status på, hvordan det går med luftfartssikkerheden iDanmark, se boks 1.1.

Boks 1.1: Et ”årsregnskab” for luftfartssikkerhedTrafikstyrelsen vil årligt udarbejde en sikkerhedsrapport, der omfatterluftfartssikkerhedens KPI’ere. Denne er offentliggjort på Trafikstyrel-sens hjemmeside, www.trafikstyrelsen.dk, første gang i 2013.Endvidere vil Trafikstyrelsen udforme et State Safety Programme efterICAO-retningslinjer, der beskriver de generelle juridiske rammer ogpolitikker for luftfartssikkerhed, bl.a. sikkerhedsmål for det ønskedesikkerhedsniveau i dansk luftfart. State Safety Programme offentliggø-res i 2014.1.2.2 Kortsigtede effektmål

Det langsigtede effektmål er en ledestjerne, der skal sikre at tilsynetover en flerårlig periode er på ret kurs. Effektmålet er imidlertid ikketilstrækkelig tæt på resultaterne af Trafikstyrelsens konkrete tilsynsak-tiviteter til årligt at evaluere, om tilsynsindsatsen er rigtig, eller omden skal justeres.Eftersom virksomhederne har det konkrete ansvar for sikkerheden påluftfartsområdet er virksomhederne de primære aktører for at sikre ethøjt sikkerhedsniveau. Af samme årsag er det et mål for tilsynsindsat-sen på kortere sigt at være betrygget i, at virksomhederne er i standtil at løfte dette ansvar. Det kortsigtede effektmål er formuleret såle-des:Det kortsigtede effektmål for Trafikstyrelsens tilsynsakti-viteter er at opretholde og gerne øge virksomhedernesevne til at styre egne risici.

Det kortsigtede effektmål beskriver, hvad Trafikstyrelsen ønsker atopnå indenfor en periode på 3-5 år.Antagelsen er, at når virksomhederne selv har styr på sikkerheden i alderes aktivitet, er det den bedste garant for at mindske sandsynlighe-den for ulykker og alvorlige hændelser. Det kortsigtede effektmål un-derstøtter derved det langsigtede effektmål i en årsags-virkningskæde.De fleste kendte risici – blandt andet kendt fra tidligere ulykker i luft-farten - er i dag regeldækkede. Tilbage står de ukendte og de ”unikke”risici, som opstår i et samspil mellem forhold internt i en given virk-somhed, som måske kun er dækket af generelle regler eller ikke erregeldækkede. For at imødegå disse risici er det ikke tilstrækkeligt blotat ”følge reglerne” – og for tilsynet at tjekke dette. Virksomhederne7

skal aktivt forholde sig til dens eget sikkerhedsbillede og de risici, derkan opstå i dens virke.Det kortsigtede effektmål kan ikke måles umiddelbart med et tal. Derkan dog identificeres to dimensioner, som virksomhedernes risikosty-ring kan måles på.Den første dimension erregelefterlevelse i virksomhederne(complian-ce), hvilket Trafikstyrelsen løbende afdækker. Fraviger en virksomhedvæsentligt og gentagne gange fra reglerne, mindskes styrelsens tillidtil virksomhedens risikostyring. Som en konsekvens heraf øges myn-dighedskontrollen med virksomheden, jf. kapitel 3.Denne afdækning af virksomhedernescompliance,er den klassisketilsynsopgave. Minimering af ukendte og ”unikke” risici afdækkes dogikke, hvis tilsynet primært fokuserer på efterlevelse af teknisk specifik-ke regler og procedurer.Derfor er en anden dimension, læring i virksomhederne, mindst lige såvæsentlig. En kontinuerlig læring og styring vil i sagens natur forbedrevirksomhedernes risikostyring og dermed minimere luftfartssikker-hedsmæssige risici i virksomhederne. I forlængelse heraf vil Trafiksty-relsen gennem tilsynet vurdere, om virksomhedernes egen sikkerheds-ledelse identificerer risici, og at der sker en løbende intern læring vedfejl, hændelser, ulykker mv.Antagelsen er, at der opnås mest sikkerhed for tilsynsindsatsen vedgradvist at styrke tilsynet med og understøttelse af virksomhedernesegen sikkerhedsledelse.For de mindre virksomheder, enkeltmandsfirmaer og fritidsorganisatio-ner, som ikke har sikkerhedsledelsessystem, vil vægten i tilsynet sta-dig være på at sikre regelefterlevelse (compliance).1Samt at vurderestyrken af de personlige kompetencer, der ”bærer” sikkerheden.Skal virksomhederne klare sig godt på både compliance og læring, måvirksomhedernes sikkerhedsindsats være understøttet af effektive, kla-re og let forståelige regler. Derfor skal tilsynet også foretage en løben-devurdering af reglerneseffektivitet. Regelevalueringen udgør engrundlæggende forudsætning for god risikostyring i virksomhederne,1

Vurderingen af det kortsigtede effektmål vil i udgangspunktet værekvalitativt. I de kommende år vil Trafikstyrelsen udvikle målemetodertil mere objektivt at vurdere de tre dimensioner i virksomhedernes ri-sikostyring, jf. boks 1.2.Trafikstyrelsens øgede fokus på virksomhedernes risikostyring hvilerpå en generel international tendens på myndighedssiden. I forlængelseheraf barsler EASA og EU-Kommissionen med et evalueringsredskab tilbrug for tilsyn med virksomhedernes risikostyring. Trafikstyrelsen vilnaturligvis sikre, at det danske arbejde på området er i overensstem-melse med udviklingen på europæisk plan.

Boks 1.2: Udvikling af indikatorer for virksomhedernes evne tilat styre egne risiciTrafikstyrelsen vil i 2014 påbegynde udarbejdelsen af en række målba-re indikatorer for compliance, læring og regelevaluering - de tre di-mensioner i tilsynet med virksomhedernes risikostyring. Vurderinger afom effektmålet vil blive nået – dvs. om der sker forbedringer på de tredimensioner – vil finde sted i en årlig sikkerhedsrapport.Indikatorerne udarbejdes i overensstemmelse med EASA/Europa-Kommissionens bestræbelser med at udvikle evalueringredskaber tilbrug for tilsyn med virksomheders risikostyring.

Skal Trafikstyrelsen kunne understøtte virksomhedernes egen risiko-styring, er det nødvendigt med en løbende dialog mellem styrelsen ogbranchen. Trafikstyrelsen vil oprette/videreføre en række fora, der an-vendes som platform for dialogen med branchen, jf. boks 1.3. Dertiludarbejdes der med jævne mellemrum brugertilfredshedundersøgelser(den seneste undersøgelse blev foretaget i 2012), der giver branchenmulighed for at give respons på Trafikstyrelsens tilsynsindsats. Sådan-ne undersøgelser er et vigtigt redskab for Trafikstyrelsen til at imøde-komme de forventninger branchen har til tilsynsmyndigheden.

tiviteter, som Trafikstyrelsen kan anvende til at understøtte virksom-hedernes evne til at styre egne risici. Eksempelvis et antal vejlednin-ger, møder om udbredelse af best practice, afvikling af et antal work-shops m.v.Trafikstyrelsen har hidtil haft et resultatkrav, der knytter sig til tilsyns-produktionen, og som er blevet opgjort i ”antal tilsyn”. Derudover gø-res resultatkrav på security-området op i såkaldte ”mandedage” ifølgeEU-regler. Det vil sige antal arbejdsdage, der bruges på det enkeltetilsyn. De to måleenheder giver et billede af tilsynsomfanget, men si-ger ikke meget om, hvad tilsynet opnår.Der findes ved de fleste tilsyn et antal fejl/afvigelser (”findings”) i virk-somhederne, som efterfølgende skal korrigeres. Således kunne enstigning i antallet af tilsyn formentlig finde flere fejl. Dog har disse fin-dings meget forskellig alvorsgrad, hvorfor findings ikke selvstændigtkananvendessomkortsigtet effektmål (for eksempel at antallet af findings skal falde overtid). Findings bør dog anvendes som én ud af flere parametre til atmåle virksomhedernes regelefterlevelse.Trafikstyrelsens ”tilsyn” er dog meget forskellige: Mens inspektioner afteknisk regelefterlevelse typisk er relativt korte og hyppige, kan enaudit i en stor virksomhed vare flere dage.2Og i det omfang Trafiksty-relsen anvender en større del af tilsynsressourcerne på at gennemføreaudits af virksomhedernes sikkerhedsledelsessystemer, jf. kapitel 2,ændres ressourceforbruget. Derfor vil ”antal tilsyn” i fremtiden ikkevære et velegnet effektmål for tilsynsarbejdet.

Boks 1.3: Måling af tilsynsproduktionen – fra antal tilsyn til fo-kus på ressourceanvendelsenTrafikstyrelsen vil i 2014 udarbejde en mere hensigtsmæssig måleme-tode for audits og inspektioner, som baserer sig på ressourceforbrugetpå tilsyn (tid og omkostninger fordelt på virksomheder). Det giver etmere retvisende billede af produktionen, og understøtter ønsket om atgøre Trafikstyrelsens tilsynsarbejde mere transparent. Trafikstyrelsenvil også arbejde for, at effektivisere planlægning og opfølgning på til-syn, så den direkte tilsynstid maksimeres, og sagerne afsluttes hur-tigst muligt.

De to sidste led i årsags-virkningskæden eraktivitetoginput. Aktivite-terneer især de forskellige tilsynstyper og -metoder, som Trafikstyrel-sens tilsynsindsats bygger på. Heriblandt 100 % kontrol, stikprøvekon-trol, audits og inspektioner m.v. De vigtigste tilsynsmetoder udfoldes ikapitel 2 og 4.Som beskrevet oven for består tilsynet med dansk luftfart ikke kun afinspektioner og audits, men dækker også over andre aktiviteter såsomløbende dialog, vejledning m.v. Disse ”værktøjer” kan være mindstlige så betydningsfulde for sikkerheden, fx hvis virksomhederne stårover for at skulle implementere komplekse regelsæt.Trafikstyrelsen vejleder løbende om især ny europæisk lovgivning.Sammen med Branchepanelet og diverse ekspertfora vil Trafikstyrelsenløbende vurdere, hvor der er særlige vejledningsbehov, jf. boks 1.4.

Ud over det numeriske antal af inspektører er inspektørernes kompe-tencer en mindst lige så afgørende inputfaktor. Tilsynet omfatter enlang række tekniske områder, hvor specialkompetencer skal være tilstede for at give tilsynet dybde og værdi for virksomhederne. Trafik-styrelsen har i 2013 udviklet et kompetencestyringssystem, som nuimplementeres. Ved hjælp af dette system vil Trafikstyrelsen løbendesikre og dokumentere kompetenceopbygning og –styring i nødvendigtomfang.De forskellige led i årsags-virkningskæden gennemgået oven for er vistifigur 1.2.Figur 1.2: Tilsyn med luftfartssikkerhed – fra konkret indsats til langsigtede effekter

Luftfarten har et internationalt system for regler og tilsyn, somdanner rammen for Trafikstyrelsens tilsynsindsats. Det er vigtigt,at tilsynet arbejder inden for denne ramme, således at danskluftfart opnår anerkendelse for høj sikkerhed, når der flyves tilandre lande. Når tilsynet bevæger sig fra primært at kontrollereregelefterlevelse til at vurdere og understøtte virksomhederneseget sikkerhedsarbejde, skifter vægten fra tekniske inspektionerover mod audits af sikkerhedsledelsessystemer. Samtidig vilklassiske inspektioner stadig foregå eller indgå som vigtige dele iaudit-tilsyn.2.1 Luftfarten er international – internationalt system for reglerog tilsynTrafikstyrelsens tilsynsindsats er forankret i et internationalt systemfor regler og tilsyn, hvilket stemmer overens med luftfartens globalenatur.På globalt plan spiller FN-organisationenInternational Civil AviationOrganization(ICAO) en central rolle. Med udgangspunkt i den såkaldteChicago-konvention fra 1944 udsteder organisationen standarder oganbefalinger, som anvendes som grundlaget for international luftfart.Standarderne og anbefalingerne er hovedsageligt indeholdt i anneksertil Chicago-konventionen. Annekserne implementeres sædvanligvis viaeuropæiske og nationale retsakter.Hovedindsatsen i de første 50 år efter ICAOs etablering har gået på atudarbejde globale standarder og anbefalinger, og få dem implemente-ret i national lovgivning og praksis. ICAOs standarder og anbefalingerjusteres fortsat løbende, men den store ”bølge” af tekniske regler ogimplementering er ovre, i al fald i Danmark og beslægtede lande.Historisk har ICAO været omdrejningspunktet i det internationale sy-stem for regler og tilsyn, men i dag spiller EU en stadig større rolle forreguleringen på luftfartsområdet i Danmark.På sikkerhedsområdet er Det Europæiske Luftfartssikkerhedsagentur(EASA), etableret i 2002, en hovedaktør. Europa-Kommissionen er an-14

svarlig for regulering og harmoniseringen af luftfartssikkerhed i EU, ogEASA rådgiver Europa-Kommissionen i forbindelse med udarbejdelse afny luftfartslovgivning Således spiller EASA en hovedrolle, når der fast-sættes nye fælles europæiske krav til luftfartsbranchen og de nationalemyndigheder. Krav som enten er umiddelbart gældende, eller efterføl-gende skal implementeres i den nationale lovgivning. Eksempelvis viadanske bestemmelser (BL’er).Overordnet har regelgrundlaget følgende prioritetsorden3:EU-forordninger (umiddelbart gældende)Lov om Luftfart (umiddelbart gældende)BL’er og bekendtgørelser (umiddelbart gældende)oEU-direktiver skal være implementeret via BL’er og be-kendtgørelser for at gældeoICAOs standarder og anbefalinger (annekser og DOCs)skal være implementeret via BL’er og bekendtgørelser forat gældeoSkandinaviske regler, som fastsat koordineret af de treluftfartsmyndigheder, skal være implementeret via BL’erog bekendtgørelser for at gælde

virksomhederne. En inspektion er en undersøgelse af, hvorvidt sikker-hedsforanstaltninger og –procedurer gennemføres efter de fastlagteregler.Inspektionerne tager således udgangspunkt i specifikke krav, objektereller procedurer, og bruges til at vurdere sikkerheden omkring et kon-kret emne, eksempelvis vedligehold af en given flytype. Hermed me-nes, at en inspektion er en enkeltstående observation af en specifikhændelse/procedure/dokument/aktion etc. med henblik på objektivt atkonstatere, hvorvidt de etablerede procedure og krav følges i det udfø-rende led, og hvorvidt man efterlever de etablerede standarder/regler.Inspektionerne alene udgør dog kun ”stikprøver” og et øjebliksbillede,og giver således ikke et helhedsbillede af virksomheden. Inspektionerer isoleret set ressourcekrævende i forhold til den opnåede effekt påsikkerheden i hele virksomheden.

I forlængelse af ovenstående, fokuserer stadig flere tilsynsmyndighe-der internationalt i stigende grad på virksomhedernes overordnedesikkerhedsledelsessystem (SMS) frem for på enkeltelementerne.SMS defineres af ICAO som“a systematic approach to managing safe-ty, including the necessary organizational structures, accountabilities,policies and procedures.”SMS er et proaktivt system, hvorigennem en virksomheds ledelse ak-tivt styrer risici i deres organisation. Virksomhedsledelsen opstiller sik-kerhedsmål og formår løbende at måle på organisationens præstatio-ner (’performance’). Disse mål for præstationer holdes endvidere opmod relevante indikatorer. Hvis der sker forskydninger i forholdet mel-lem mål og indikatorer foretages der proaktivt korrigerende handlin-ger. Således har SMS et element af forudsigelse, og giver virksomhe-der med et velfungerende SMS mulighed for at komme risici i forkøbet.Ved denne proaktive styring af risici kan virksomhederne udvikleværktøjer til at foretage systematiske analyser af organisationens sik-kerhedsmæssige præstationer samt skabe grundlag for at træffe be-slutninger på baggrund af data.Både ICAO og EASA stiller krav om SMS i virksomhederne. Den primæ-re årsag hertil er, at de fleste risici med fælles årsager efterhånden erdækket ind med konkrete tekniske og proceduremæssige regler. Ude-stående nye risici er i høj grad komplekse eller unikke for den givne16

virksomhed, og kan derfor kun dækkes af et veludviklet SMS ude i denenkelte virksomhed.Dette er anerkendt bredt hos tilsynsmyndigheder i Europa og Nord-amerika. At SMS vinder stadig mere indpas i styringen af sikkerhed imoderne luftfart afspejler sig i eksempelvis i, at ICAO har udgivet etnyt Anneks 19 til Chicago-konventionen, der netop omhandler SMS.Et SMS skal først og fremmest tilpasses den enkelte virksomhed. Kra-vene til virksomhedernes SMS er derfor forskellige alt efter virksomhe-dernes kompleksitet. Der vil eksempelvis være meget forskellige kravom implementeringshastighed og ambition, alt efter om der er tale omet mindre værksted eller et stort luftfartsselskab.Endelig kan der fortsat være aktører, der slet ikke bliver omfattet afkravet om SMS, bl.a. enkeltmandsfirmaer og fritidsorganisationer.Trafikstyrelsen vil inden for de gældende regler i højere grad anvendeaudits i sin tilsynsindsats. Sammenlignet med en inspektion er en auditen mere systematisk undersøgelse, der afdækker, om sikkerhedsrela-terede ordninger samt produkter eller tjenester er i overensstemmelsemed de krævede sikkerhedsrelaterede ordninger, og om de gennemfø-res på en effektiv måde og er egnede til at opnå de forventede resulta-ter.Audits er således rettet mod subjektet: virksomheden. En audit ser påhvordan,ikke blot om, virksomheden håndterer sikkerheden i alle fa-cetter. Således benytter Trafikstyrelsen audits til at afgøre, om sikker-hedsforanstaltningerne og – procedurerne gennemføres fuldt ud ogkontinuerligti virksomheden.Udgangspunktet for en audit er virksomhedens ledelse, kvalitetssy-stem og SMS. I sikkerhedscertifikatets og sikkerhedsgodkendelsensgyldighedsperiode skal audits dække alle virksomhedens processermed relation til sikkerhedsarbejdet, herunder processer vedrørendeteknisk håndtering af vedligehold, ændringer mv. Audits giver derfor etmere fuldstændigt billede af virksomhedens evne til selv at tage an-svar, styre egne risici samt fastholde og udvikle sikkerhedsniveauet ivirksomheden – også på områder der ikke udvælges til dybdegåendeinspektion, eller når tilsynet ikke er til stede.Til forskel fra inspektioner vil audits indeholde et større element afvurderinger (herunder risikovurderinger). Brug af kvalitative vurderin-ger (og anbefalinger) hænger uløseligt sammen med SMS og audits. Et17

SMS skal være tilpasset den konkrete virksomhed, og det vil altid væreen vurdering, hvorvidt virksomhedens SMS passer til dens risikoprofil.Den øget brug af vurderinger stiller større krav om ensartethed i Tra-fikstyrelsens konkrete tilsyn. Dette kræver ændrede og flere kompe-tencer hos Trafikstyrelsens inspektører. Ud over at kunne afgøre ob-jektivt om tekniske regler bliver fulgt, skal inspektører også kunnevurdere om et givent SMS passer til virksomheden som helhed, og omdet er effektivt. Dette kræver nye og flere kompetencer for inspektø-rerne, jf. boks 2.1. Derudover skal der udarbejdes værktøjer og fastesystemer, der kan strukturere audits i relativt faste rammer. Dette ud-foldes i kapitel 3.

BeskrivelseEn undersøgelse af, hvorvidt sikker-herhedsforanstaltninger og –procedurer gennemføres efter de fast-lagte regler.Systematisk undersøgelse der afdæk-ker, om sikkerhedsrelaterede ordningersamt produkter eller tjenester er ioverensstemmelse med de krævedesikkerhedsrelaterede ordninger, og omde gennemføres på en effektiv mådeog er egnede til at opnå de forventederesultater.Procesorienteret: subjektet (virksom-heden)”Top-down”FormålSkal skabe klarhed om regelefterle-velse omkring et specifikt emne, oginitiere forbedringer vedr. dette em-ne.Objektiv konstatering af regeloverhol-delseSikre effektiv implementering af virk-somhedens sikkerhedsledelsessystem.

De to tilsynstyper, som er skitseret i figur 2.1, er arketyper, og findessjældent i sin rene form i virkeligheden. Derfor kan de to typer hellerikke adskilles fuldstændigt fra hinanden. Således er inspektioner ofteet supplement til, eller integreret del af, audits. Ved at inspicere sik-kerheden ”nedefra” afdækkes det, om virksomhedens SMS faktisk nårud og dækker udvalgte tekniske og organisatoriske relevante forhold.Med andre ord udgør inspektioner en god lakmustest på, hvorvidt virk-somhedens ledelse er opmærksom på, og virksomhedens kvalitetssy-stem og SMS dækker, sikkerhedskritiske forhold tilstrækkeligt. Om de19

Audits og inspektioner kan enten udføres ved funktionstilsyn i virk-somheder og/eller ved skrivebordstilsyn.Etfunktionstilsyner et besøg i virksomheden, som har til formål atsikre objektivt vidnesbyrd for, at virksomhederne efterlever konkreteregler og/eller det dokumenterede SMS er implementeret.Objektivt vidnesbyrd opnås ved gennemgang af virksomhedens aktivi-teter, stikprøvevis gennemgang af dokumentation for gennemførte ak-tiviteter samt stikprøvevis interview af medarbejderne på forskelligeniveauer. Tilsynet afsluttes med en evaluering i virksomheden. Se ka-pitel 4.Særligt ved audits er det vigtigt at virksomhederne forbereder sig påfunktionstilsynet, idet dette har til hensigt at styrke SMS. Et SMS kanikke opbygges eller demonteres på kort tid og derfor er uanmeldte til-syn som regel en uhensigtsmæssig metode. På den baggrund bestræ-ber Trafikstyrelsen sig på, ved hjælp af en årlig tilsynsplan, at varslealle tilsyn i god tid for virksomheden. Den årlige planlægning af til-synsindsatsen uddybes i kapitel 3.Der kan dog være situationer, hvor tilsynets karakter eller emnets al-vor fordrer, at varslingsperioden vil være meget kort eller at inspektio-nen ikke varsles. Dette gør sig især gældende på security-området,hvor en større del af tilsynsindsatsen udgøres af uanmeldte tilsyn.Funktionstilsyn udføres i henhold til gældende internationale og natio-nale krav på de enkelte fagområder, og gennemføres med intervallerog i et omfang som det fremgår af de gældende bestemmelser for deenkelte fagområder, og således som det er fastlagt af Trafikstyrelsenpå baggrund af erfaringer og udviklingen indenfor luftfartsbranchen.Etskrivebordstilsynforegår som udgangspunkt i Trafikstyrelsen, udenbesøg hos virksomheden, og gennemføres ved at styrelsen rekvirerer20

dokumentation fra den berørte virksomhed. Skrivebordstilsyn benyttesblandt andet i situationer, hvor der skal afdækkes problemstillingermed udgangspunkt i en konkret hændelse, og kan initieres efter enhenvendelse fra offentligheden eller ved Trafikstyrelsens og virksom-hedens egen foranledning.Den konkrete planlægning, gennemførelse og afslutning af tilsyn,til-synspraksissen,vil blive udfoldet i kapitel 4.2.3 Tilsyn i et tillidsfunderet miljø – et pilotprojektOmstillingen fra en tilsynsindsats hovedsageligt baseret påcompliancetilperformancemedfører, at virksomheder, der til stadighed demon-strerer at have høj performance, det vil sige kontrol over deres sikker-hedsrelevante aktiviteter og risici, fremadrettet kan opnå mere selv-forvaltning og mindre myndighedskontrol. I takt med at virksomheder-ne løbende demonstrerer håndtering, overblik og engagement i selvaktivt at forvalte sikkerheden, stiger tilliden mellem virksomhed ogmyndighed. Når tilliden til stadighed underbygges ved konkrete aktivehandlinger i virksomheden, kan tilsynet siges at være tillidsfunderet.Trafikstyrelsen har i 2013 etableret et pilotprojekt med Naviair medhenblik på at tilvejebringe forudsætningerne for at overgå til mereselvforvaltning og mindre myndighedstilsyn i et tillidsfunderet miljø.Formålet med pilotprojektet er at indsamle erfaringer, som kan bredesud til flere aktører. I første omgang til virksomheder, der kontinuerligthar vist over for Trafikstyrelsen, at de både vil og kan løfte deres sik-kerhedsrelevante aktiviteter og styring af risici i organisationen.Et tillidsfunderet tilsyn er ikke ”blåøjet tillid”, ej heller et udtryk for ”la-den stå til”. Tilliden skal kontinuerligt bekræftes, f.eks. gennem fuldgennemsigtighed i virksomhedens interne læring og håndtering af fejlog mangler. Falder tilliden, skrues der op for tilsynet.I en konkurrencepræget økonomi vil et tillidsfunderet tilsyn altid holdeøje med virksomhedens økonomiske ressourcer, idet et økonomiskpres vil kunne true den interne sikkerhedsindsats.

Trafikstyrelsen udarbejder årligt en tilsynsplan, hvori virksomhe-derne kan orientere sig om, hvornår styrelsen planlægger at føretilsyn med dem. Tilsynsplanen skal sikre, at Trafikstyrelsen over-holder internationale regler for myndigheders tilsyn, og at til-synsressourcerne anvendes optimalt. Trafikstyrelsen vil fremad-rettet anvende mere transparent og risikobaseret tilsynsplan-lægning – se på risikoen ved den enkelte virksomhed. I førsteomgang har styrelsen udpeget fire risikoindikatorer, som tilsyns-planlægningen vil tage udgangspunkt i. Disse indikatorer, samtanvendelsen af dem, skal imidlertid udvikles i de næste to år.Trafikstyrelsen vil her trække på erfaringer fra tilsynsmyndighe-der i andre lande, der er længere fremme med risikoanalyser.3.1 Tilsynsplanlægning – internationale krav og optimering afressourcerneHvert efterår udarbejder Trafikstyrelsen entilsynsplanfor det kom-mende år.4Tilsynsplanen offentliggøres på www.trafikstyrelsen.dk ijanuar måned.Der har hidtil været planlagt i størrelsesordenen 500 enkeltståendeudgående funktionstilsyn årligt.Ud over de planlagte funktionstilsyn, foretages der i henhold til EU-regler, en række ikke-planlagte funktionstilsyn med dansk registreredeluftfartøjer. Omfanget af tilsynsindsatsen forventes ikke at ændre sigvæsentligt fremover. Dog vil indsatsen blive målt på anden måde, jf.kapitel 1.Tilsynsplanen afspejler kravene til intensitet og hyppighed af tilsyn,som er fastsat for de forskellige faglige tilsynsområder (vedlighold,uddannelsescentre etc.), typisk af EU-regler. Endvidere medtages erfa-

Som udgangspunkt følges tidsplanen for tilsyn. Dog kan koordinatio-nen med de virksomheder, der skal føres tilsyn med, medføre, at til-synsdatoer flyttes.Tilsynsindsatsen kan også blive justeret på baggrund af forhold, sompeger på nødvendigheden af at iværksætte en særlig eller skærpetindsats på et tilsynsområde. En sådan indsats kan være foranlediget afén eller flere indikationer konstateret i forbindelse med havarier ellerhændelser, risikoanalyser, gennemførte tilsyn, den løbende tværfagligeorientering og koordinering, analyser af forhold indberettet i det obli-gatoriske indberetningssystem, erfaringer indhentet fra andre myndig-heder eller fra luftfartsbranchen eller aktuelle forhold for en specifikvirksomhed.Tilsynsplanen har to udgangspunkter:1. Overholdelse af internationale krav til Trafikstyrelsens tilsyn2. Optimal anvendelse af tilsynsressourcerneAd 1) Overholdelse af internationale krav til Trafikstyrelsens tilsynTrafikstyrelsens tilsynsindsats er forankret i et internationalt systemfor regler og tilsyn. Herunder krav til de nationale myndigheders tilsyn.Der kan f.eks. være krav om et tilsynsbesøg inden for et specifikt om-råde mindst hvert andet år.Til enhver tid er der registreret planlagt tilsyn for hver virksomhed in-denfor en given tilsynsperiode. En tilsynsperiode er givet af de gæl-dende EU-regler, eller fastsat af Trafikstyrelsen, og vil variere mellem12 til 60 måneder. Virksomheder bliver således tilset med forskelligeintervaller indenfor en tilsynsperiode. Alle virksomheder bliver somminimum tilset med de i lovgivningen og procedurer fastsatte interval-ler.Tilsynsplanlægningen understøttes af IT-værktøjer i Trafikstyrelsen.23

Ad 2) Optimal anvendelse af tilsynsressourcerneInden for de rammer, som internationale regler angiver, prioriteresvirksomheder og tilsynets dybde ud fra en vurdering af de forekomnerisici og virksomhedens evne til at håndtere dem. Hidtil har denne pri-oritering været foretaget af Trafikstyrelsens egne eksperter, som ek-spertvurderinger suppleret med objektive data om hændelser i virk-somheden. Branchen er ikke større end man ”kender” virksomhederneog de områder, hvor der typisk er problemer.Trafikstyrelsen ønsker fremover at øge gennemsigtigheden af dissesamlede vurderinger.For det første vil øget gennemsigtighed forbedre den interne tilsyns-planlægning i Trafikstyrelsen, idet en given virksomhed kan drøftesblandt en bredere gruppe inspektører. Herved kan risici i højere gradkaliberes på tværs af virksomheder og fagområder med det mål at an-vende ressourcerne der, hvor de har størst effekt – hvor risici ved virk-somhederne er størst.For det andet vil øget gennemsigtighed udgøre et vigtigt dialogværktøjover for virksomhederne og branchen som helhed. Virksomhedernekan bedre forstå, og respondere på, det risikobillede som tilsynsmyn-digheden har udarbejdet. Således er det Trafikstyrelsens forhåbning,at risikobilledet til stadighed kan udvikles og forfines i takt med løben-de erfaringer og inputs fra branchen selv.Anvendelse af transparent risikoanalyse i tilsynsplanlægningen er etområde, som Trafikstyrelsen vil udvikle på i de kommende år, se ne-denfor.3.2 Risikobaseret tilsynsplanlægningTrafikstyrelsen har endnu kun få erfaringer med transparent, risikoba-seret tilsynsplanlægning på luftfartsområdet. Der findes imidlertid erfa-ringer fra en række andre sektorer, hvorfra der kan drages nytte. Lige-som luftfartsmyndigheder i andre lande benytter sig af såkaldt risiko-baseret planlægning af tilsyn. Blandt andet Canada, Holland og Stor-britannien er langt fremme med risikobaseret planlægning af tilsyn.Eksempelvis har Transport Canada ved en risikobaseret tilgang til de-res tilsynsplanlægning introduceret individuelle frekvenser for de cana-diske virksomheder, frem for at føre tilsyn med faste intervaller, somvi kender det fra EU-landene jf. boks 3.1.24

Boks 3.1: Risikobaseret planlægning af tilsynsindsatsen, Trans-port CanadaTransport Canada tilsynsplanlægning er risikobaseret ud fra en rækkeindikatorer. Det betyder, at de canadiske myndigheder, på baggrund afen risikoanalyse af de enkelte virksomheder, er gået fra at føre tilsynmed faste intervaller til at benytte individuelle frekvenser for virksom-hederne, som er afhængige af deres risikoprofil.Risikoprofilen af en virksomhed har to hovedkomponenter. Henholdsvisrisikoindikatorer (Risk Indicator Level, RIL) og indvirkning (impact) afen given risiko. Den første komponent,RIL,dækker over forhold somtidligere findings og virksomhedens SMS. Den anden komponent,ind-virkning,afgøres ud fra objektive kriterier såsom virksomhedens stør-relse, antal operationer etc.Virksomhederne tildeles point på baggrund af en analyse af de to vari-able. Ud fra den samlede score besluttes det, hvor mange tilsyn somer nødvendig for den enkelte virksomhed.Det er også muligt at planlægge mere risikobaseret inden for rammer-ne af europæisk lovgivning. Blandt EU-landene er de hollandske erfa-ringer med risikobaseret planlægning af tilsyn, at man kan regulere påvolumen af tilsyn ud fra virksomhedernes risikoprofil. Således at enlille risiko giver få tilsyn og omvendt jf. boks 3.2.Boks 3.2: Risikobaseret planlægning af tilsyn i Holland, CAA NLDe hollandske luftfartsmyndigheder, CAA NL, sondrer mellem kvalitati-ve risici og organisatoriske risici. De kvalitative risici dækker over kon-kret regelefterlevelse og virksomhedernes kvalitetssystemer, mens deorganisatoriske risici dækker over sikkerhedskulturen i virksomheder-ne, objektive forhold så som størrelse, antal af operationer etc.Virksomhederne tildeles point på baggrund af en analyse af de to vari-able. Lav score på begge parametre giver få tilsyn og omvendt.I Storbritannien er luftfartsmyndighederne, ligeledes inden for ram-merne af EU-lovgivningen, i gang med at implementere risikobaserettilsyn. Dette i overensstemmelse med brugen af SMS ude i virksomhe-derne. De britiske erfaringer viser, at myndighederne og de enkeltevirksomheder med fordel kan indgå i en løbende dialog om myndighe-dernes risikobillede af virksomhederne jf. boks 3.3. Dette giver et me-25

re retvisende billede af virksomhederne, men kræver øget dialog mel-lem myndigheder og branchen.Boks 3.3: Risikobaseret tilsyn i Storbritannien, Civil AviationAuthorityDe britiske luftfartsmyndigheder er ved at implementere risikobaserettilsyn i Storbritannien. Fremkomsten af risikobaserede tilsyn er tætknyttet til den øget brug af SMS i de britiske virksomheder. Udgangs-punktet for denne tilgang er således virksomhedernes SMS. Fokus ibriternes tilsynsindsats bliver på virksomhederne som helhed og ikkeet løbende tilsyn med enkeltdelene – dog udelukkes ikke tilsynet medenkeltdelene ikke, men vægtningen flyttes fra inspektioner mod audits.Ved risikoanalyse af virksomhederne anvendes en risikomodel, hvorder kigges på SMS, kendte risici, løbende indberetninger af hændelser,inspektionsresultater, safety performance, anden analyse og det kon-krete regelsæt.Myndighederne og de enkelte virksomheder drøfter åbent det risikobil-lede som myndighederne har tegnet, og tilsyn med virksomhedernetager udgangspunkt heri.3.3 RisikoindikatorerUdviklingen af et komplet risikobaseret tilsynsplanlægningssystem eren omfattende opgave. Eksempelvis har Canada udviklet deres modelsiden 2007. Trafikstyrelsen vil starte med en simpel model, som gen-nem erfaringer kan videreudvikles. I arbejdet med risikobaseret tilsyner det væsentligt at have for øje, at datagrundlaget for den enkeltevirksomhed for størsteparten af virsomhederne er meget lille. Derforvil den enkelte virksomhed i en risikobaseret tilgang blive set på somet subjekt i forhold til den samlede branche.Trafikstyrelsen har udpeget fire hovedindikatorer for afdækning af derisici, som kan knyttes til en konkret virksomhed – virksomhedens risi-koprofil. De fire erobjektiv risikoprofil, hændelser, tilsynsresultater(findings) ogkvalitativ vurdering.I det følgende vil de fire indikatorerblive uddybet. Det er her tale om en skitsering og ikke en præcis defi-nition af de enkelte indikatorer. Trafikstyrelsen vil i de kommende årudarbejde en operationel model, der kan implementeres bredt, jf. boks3.5.

En grundlæggende indikator for risiko er virksomhedernesobjektiverisikoprofil.Det dækker over objektive forhold som størrelse, antaloperationer, virksomhedens type, passagerer, fragt, privatfly etc. Der-til skelnes mellem virksomheder med og uden SMS. De objektive for-hold angiver kompleksiteten i virksomheden og udgør fundamentet forTrafikstyrelsens risikoanalyse.Den objektive risikoprofil er i høj grad bestemmende for antal/omfangaf tilsyn og audit af den enkelte virksomhed. Antal/omfang af tilsyn ogaudit (ressourceforbrug) afhænger særligt af, hvorvidt en virksomhedhar et SMS eller ej.3.3.2 Hændelser (data fra virksomhed/branche)

Når Trafikstyrelsen skal tegne et mere præcist billede af risici forbun-det med en virksomhed, inddrages hændelser. Det vil sige data fraenkeltvirksomhederne samt fra branchen som helhed. Her medtagesbåde nylige hændelser samt underliggende tendenser.I den forbindelse spillerBL 8-10 Bestemmelser om obligatorisk indbe-retning af flyvesikkerhedsmæssige begivenhederen afgørende rolle.Bestemmelserne er fundamentet i det obligatoriske indberetningssy-stem, hvor virksomhederne skal indberette hændelser til Trafikstyrel-sen. De er gældende for lufttrafik med luftfartøjer, der er dansk regi-streret, samt for udenlandske luftfartøjer, der opererer på en danskdriftstilladelse, for luftfartsvirksomheder/organisationer, hvis hovedfor-retningssted er beliggende inden for dansk område, samt for udøvelseaf lufttrafiktjeneste inden for dansk område og inden for områder, hvorDanmark i henhold til internationale aftaler, er forpligtet til at udøvelufttrafiktjeneste.Derudover betyder en ny forordning om indberetning af begivenhederinden for civil luftfart, som forventes at træde i kraft i 2014, at Trafik-styrelsen har forpligtet sig til at oprette et frivilligt indberetningssy-stem, som kan anvendes af alle aktører.Det overordnede formål er, at hjælpe både EU's medlemslande ogvirksomheder med at styre sikkerhedsrisici inden for luftfarten. Medforordningen vil der blive mere udvekslingen af information omkringbegivenheder inden for den civile luftfart – både i den enkelte virk-somhed, mellem EU-landene og EU’s insitutioner.Hændelser indberettet gennem dette system vil også kunne anvendestil at udarbejde vurderinger.27

Samlet set er Danmark langt fremme, når det kommer til at indhentedata fra virksomhederne og branchen, idet man i Danmark har indhen-tet disse oplysninger via det obligatoriske indberetningssystem siden2000.En svaghed ved hændelsesdata er, at omfanget af hændelser godt kanvære meget lille for den enkelte virksomhed, og at data derfor er forskrøbelige til at give et meningsfuldt risikobillede. Endvidere afhængertallenes validitet af de enkelte virksomheders indberetningskultur.Derfor kan det være hensigtsmæssigt at trække på branchedata ellerEU-data for det givne segment for at få et mere dækkende og robustrisikobillede. Det giver ikke et billede af den enkelte virksomhed, mendog af det segment, den tilhører.De kvantitative analyser af hændelesdata skal suppleres med kvalitati-ve analyser af hændelsernes og ulykkernes art.3.3.3 Tilsynsresultater (afvigelser - findings)

Den fjerde og sidste indikator erkvalitativ vurdering.Indikatoren eren vurdering af de mere ”bløde” dele af virksomheden og dens SMS,primært på baggrund af erfaringer fra audits. Det kan omfatte: Virk-somhedernes opfølgning på egne interne audits, ledelsesevalueringer,opstilling af sikkerhedsmål, økonomiske nøgletal, kompetencer i nøgle-funktioner etc.I den kvalitative vurdering er der særligt fokus på virksomhedernesevne til at styre egne risici, herunder ikke mindst styre risici i regi af etSMS. Der skal være en vis struktur omkring sådanne kvalitative vurde-ringer, så ensartethed tilsikres. Trafikstyrelsen vil med inspiration fraandre sektorer se på, hvordan ”modenhedsmodeller” for risikostyringkan anvendes i luftfarten, jf. boks 3.4. I modenhedsmodeller tages derblandt andet højde for opstilling af egne sikkerhedsmål, virksomhe-dernes evne til at håndtere hændelser, evaluering i virksomhedensledelse m.v. En veludviklet modenhedsmodel kan være et godt dialog-værktøj mellem myndighed og virksomheder.

Boks 3.5: Udvikling af risikoindikatorer til tilsynsplanlægningenTrafikstyrelsen vil på fagområdet luftfartsoperationer (OPS) anvenderisikoindikatorer ved udarbejdelsen af tilsynsplanen for 2014.Med udgangspunkt i erfaringerne på luftfartsoperationsområdet, vilTrafikstyrelsen gradvist udbrede anvendelsen af risikoindikatorer tiløvrige områder, således at indikatorsystemet indgår på flere fagområ-der i takt med implementeringen af ny international lovgivning.Trafikstyrelsen foretager en foreløbig evaluering af arbejdet med risi-koindikatorer sammen med branchen efter et par års virke.

I udgangspunktet varsles et funktionstilsyn i en virksomhed.Herefter sker planlægning og forberedelse samt en dokument-gennemgang i virksomheden. Trafikstyrelsen fastlægger checkli-ster og afholder et indledende møde. Herefter foregår en ind-samling og verifikation af observationer samt identifikation afafvigelser. Tilsynet afsluttes med et møde med en foreløbig præ-sentation af resultatet samt udarbejdelse af en tilsynsrapport,afslutning og rapportering. Det er vigtigt, at funktionstilsynenegennemføres så ensartet som muligt – at de er kalibrerede. Tra-fikstyrelsen vil styrke denne kalibrering i de kommende år.4.1 Retningslinjer for udførelse af tilsynI dette kapitel udfoldes den mest almindelige tilsynsmetode – funkti-onstilsyn – i virksomhederne. Teksten beskriver, hvordan funktionstil-syn udføres på luftfartsområdet i dag. Med overgangen mod mere risi-kobaseret tilsyn vil praksissen tilsvarende skulle udvikles. Den kom-mende udvikling er skitseret i de grønne bokse.Funktionstilsynene har i dag primært til formål at tilse virksomheder-nes kvalitetssystem. Med kvalitetssystem menes de strukturer og pro-cesser, der skal sikre en ensartet kvaltiet i forhold til de fastlagte stan-darder.For de fleste virksomheder er der krav om et kvalitetssystem: luft-fartsselskaber, lufthavne/flyvepladser, flyveskoler, leverandører af luft-fartstjenester og værksteder. Her omfatter funktionstilsynet en under-søgelse af, om virksomhedens kvalitetssystem fungerer i det dagligeog er med til at sikre, at virksomheden i sin daglige drift lever op tilgrundlaget for tilladelsen, jf. kapitel 2.Kvalitetssystemet i den enkelte virksomhed skal således sikre,at myndighedskrav til operationelle og tekniske forhold ef-terleves,at forholdsregler er effektivt implementeret og har den for-ventede effekt, og31

I de tilfælde, hvor det i grundlaget for en given tilladelse indgår, atvirksomhedens kvalitetsstyringssystem er accepteret af Trafikstyrel-sen, vil virksomhedens egne beskrivelser – eksempelvis i ”OperationsManual”, ”Driftshåndbog”, ”Sikkerhedsplan” el. lign. – danne referencefor inspektion eller auditering.Funktionstilsyn udføres oftest som et anmeldt fysisk tilsyn af virksom-heden. Tilsynet omfatter fire faser: 1) planlægning af tilsyn, 2) forbe-redelse, 3) gennemførelse af tilsyn og 4) afslutning og rapportering.De fire faser er illustreret i figur 4.1. Disse faser for et tilsyn er stortset identisk med den måde EASA fører tilsyn med Trafikstyrelsen på. Idet følgende vil faserne blive udfoldet.

4.2 Planlægning af tilsynI planlægningen fastlægges hvilke bestemmelser, som skal omfattes aftilsynet samt hvilke fokusområder fra tidligere tilsyn, der skal kontrol-leres. Desuden fastlægges eventuelt fokus på problemområder, som erkonstateret siden tidligere tilsyn på baggrund af hændelsesrapporte-ring (BL 8-10 indberetninger).Tilsyn vil for de fleste fagområders vedkommende oftest være varslet,og virksomheden vil således inden tilsynet modtage en forhåndsorien-tering, der som minimum indeholder oplysninger om aftalt tid og stedfor tilsynet, formålet med tilsynet, hvilke virksomheder, det drejer sig32

om, hvilken metode, der vil blive anvendt, interview, besigtigelse, testo.l., hvilke regelsæt der vil blive anvendt, hvem der deltager i tilsynetfra Trafikstyrelsens side, samt hvem der skal være til stede fra virk-somhedens side.Netop fordi de fleste tilsyn varsles, vil Trafikstyrelsen i højere grad for-søge at koordinere forskellige faglige tilsyn.Eksempelvis inden for detoperative område og Flight Crew Licensing.Boks 4.1: Koordinering af tilsynTrafikstyrelsen vil fremadrettet planlægge og koordinere de forskelligefaglige tilsyn med virksomheden, så de sker samtidigt, hvis det erhensigtsmæssigt for virksomheden.4.3 ForberedelseInden for de enkelte fagområder har Trafikstyrelsen udarbejdet speci-fikke procedurer for, hvorledes tilsynet skal foregå. Procedurerne erforankret i Trafikstyrelsens kvalitetssystem.For at sikre gennemgang af samtlige tilsynsaktiviteter og et højt fagligtniveau er der tillige udarbejdet tilsynsskemaer/checklister, som an-vendes i forbindelse med tilsynets gennemførelse.Med henblik på at øge gennemsigtigheden i tilsynet og understøttevirksomhedernes sikkerhedsarbejde vil styrelsen offentliggøre de pro-cedurer, tilsynsskemaer og checklister, der knytter sig til tilsynsindsat-sen på luftfartsområdet.Boks 4.2: Styrket transparens – offentliggørelse af tilsynspro-cedurer og checklisterTrafikstyrelsen vil i 2014 offentliggøre de procedurer, tilsynsskemaerog checklister i Trafikstyrelsens kvalitetssystem, der knytter sig til til-synsindsatsen. Dog vil der være visse procedurer for fx tilsyn med se-curity, der ikke offentliggøres.Udfyldelsen af disse skemaer danner baggrunden for den tilsynsrap-port, som efterfølgende udarbejdes og fremsendes til virksomheden.Tilsynsskemaerne indeholder alle de for inspektøren relevante oplys-ninger.33

Skemaerne baserer sig i vid udstrækning på internationale regler oganbefalinger, og de afspejler det enkelte områdes særlige kompleksitetog typiske problemstillinger.Udover de i lovgivningen fastsatte terminer, kan tilsyn initieres påbaggrund af offentlige informationer, en begivenhed eller en henven-delse fra anden myndighed, virksomheden selv eller en privatperson. Idisse situationer vil Trafikstyrelsen i hvert enkelt tilfælde tage stillingtil, om der skal gennemføres et tilsyn – en inspektion – for at afdækkeden rejste problemstilling.Omfanget af tilsynet tilpasses den enkelte situation og kan blive gen-nemført som enten skrivebords- eller som funktionstilsyn.4.4 Gennemførelse af tilsynSelv om virksomheden på forhånd er orienteret om tilsynet, vil dernormalt ved tilsynets start blive holdt et kort formøde, hvor den frem-sendte orientering gennemgås, og hvor repræsentanter for virksomhe-den gives mulighed for at stille opklarende spørgsmål.Herefter gennemføres tilsynet i tæt dialog med repræsentanter forvirksomheden.Ved afslutningen af tilsynet afholdes et afsluttende møde, hvor det fo-reløbige resultat af tilsynet gennemgås. Som udgangspunkt foregårkommunikationen med virksomhederne via de personer, som Trafik-styrelsen på baggrund af den aktuelle tilladelse har autoriseret elleraccepteret. Det er derfor disse personer, som bør deltage i det afslut-tende møde.Det tilstræbes, at der kan ske en foreløbig og sammenfattende overle-vering til virksomheden om de indsamlede observationer ved afslut-ningen af selve tilsynet. Nogle af de indsamlede observationer kan dogkræve en nærmere analyse og vurdering, hvilket der gøres opmærk-som på overfor virksomheden, således at de først medtages i denskriftlige rapport, der fremsendes efter tilsynet.En afvigelse kan i sjældne tilfælde være så sikkerhedsmæssig alvorlig,at inspektøren på stedet eller umiddelbart efter hjemkomsten, må be-slutte at gribe ind samt eventuelt at foreslå en reaktion eller en sankti-on, se kapitel 5 om reaktions- og sanktionsmuligheder.34

Meddelelse til virksomheden om et sådant indgreb skal ikke afventefærdiggørelse af den endelige rapport, men vil finde sted i et selv-stændigt dokument, der i relevant omfang indeholder oplysninger omminimumskrav til korrigerende handlinger, herunder eventuelle umid-delbare påbud eller andre reaktioner eller sanktioner.4.5 Afslutning og rapporteringTrafikstyrelsen vil sikre, at korrigerende og forbyggende tiltag medtilhørende tidsfrister, der iværksættes i forbindelse med konstateredeafvigelser, er acceptable for flyvesikkerheden og i øvrigt i overens-stemmelse med de internationale regler herfor. Styrelsens afgørelsersker på baggrund af konkrete kvalitative vurderinger af de enkelte for-hold.Terminerne fastsættes under hensyntagen til afvigelsens karakter,eventuelle normer derom, eksempelvis ifølge EU/EASA, regler og enrealistisk vurdering af tidsforbrug til afhjælpningen.Forlængelse af fastlagte tidsfrister for konstaterede afvigelser vil nor-malt ikke finde sted, medmindre virksomheden umiddelbart efter mod-tagelse af tilsynsrapporten angiver grunde hertil, og afvigelsen ikkehar umiddelbar risiko for flyvesikkerheden.Hvis en virksomhed imod forventning vurderer, at den ikke kan over-holde en fastlagt frist, kan virksomheden skriftligt anmode om forlæn-gelse. Anmodningen skal begrundes med, hvorfor fristen ikke kanoverholdes, herunder skal der redegøres for, hvilke eventuelle kom-penserende tiltag der iværksættes, indtil forholdet er bragt i orden in-den den nye tidsfrists udløb.Imødekommes anmodningen om fristforlængelse, meddeles virksom-heden dette skriftligt med angivelse af den nye tidsfrist og eventuellevilkår forbundet med fristforlængelsen.Hvis virksomheden fortsat ikke overholder fristforlængelsen afgøresdet videre sagsbehandlingsforløb, herunder eventuelle reaktionerog/eller sanktioner, jf. kapitel 5.

Afrapporteringen fra funktionstilsyn fremsendes til virksomheden se-nest 14 dage efter tilsynet har fundet sted, og skal som minimum in-deholde følgende oplysninger:tid og sted for tilsynets gennemførelse,deltagelse i tilsynet fra Trafikstyrelsen side,deltagere fra virksomhedens side,genstand for og formål med det aktuelle tilsyn,anvendte regelsæt,fundne afvigelser, oghvilke uafklarede spørgsmål, der henstår, f.eks. manglendedokumentation.Ud for hver enkelt afvigelse angives det, hvilken bestemmelse, der ik-ke er overholdt. Derpå fastsættes en tidsfrist for gennemførelse af kor-rigerende handling. I det omfang tidsfristen er fastlagt via internatio-nale regler, er disse som udgangspunkt ufravigelige.I tilknytning til tilsyn vil Trafikstyrelsen gerne vejlede virksomhederne,komme med anbefalinger m.v. I forbindelse med vejledningsaktiviteterer det imidlertid væsentligt at understrege, at vejledningen ikke må gåover og blive decideret rådgivning. Havner Trafikstyrelsens inspektøreri en rådgiversrolle, vil det kompromittere styrelsens rolle som tilsyns-myndighed.4.6 Ensartning af tilsyn mellem virksomhederneSom følge af at Trafikstyrelsen ønsker at bevæge sig i retning mod fle-re audits, vil inspektørernes vurderinger komme til at fylde mere set iforhold til objektive ”checklister”. Det åbner en risiko for, at tilsynetmed den enkelte virksomhed i for høj grad kommer til at bygge påden enkelte inspektørs vurderinger med tilhørende uenigheder oglangstrakt debat med virksomheden..Trafikstyrelsen vil imødegå denne risiko på to måder. For det førsteved at bruge/udvikle systemer og modeller til at understøtte vurderin-gerne, jf. kapitel 3. For det andet vil styrelsen have fokus på at sikreensartethed – kalibrering – i inspektørernes tilsyn på tværs af virk-somhederne. Således er det et særligt fokusområde for Trafikstyrelsen,at mindske det personbårne element. Det vil dog aldrig forsvinde helt,da inspektørerne har variation i faglighed, erfaring mv.36

Boks 4.3: Indsats for større ensartethed i tilsynTrafikstyrelsen vil skabe større ensartethed i tilsyn via en række initia-tiver:Trafikstyrelsen vil med mellemrum samle flere inspektører på sam-me tilsyn. Det vil sikre øget kalibrering i tilsynetog gensidig læringmellem inspektørerne.Trafikstyrelsen vil skabe mere ensartethed ved løbende at roterevirksomhederne mellem de enkelte inspektører, således at den enkelteinspektører får kendskab til en bred kreds af virksomheder inden forvedkommendes fagområde.Trafikstyrelsen vil styrke den interne læring om virksomhedernemellem inspektører på tværs af fagområder.Trafikstyrelsen vil styrke ensartetheden i tilsyn gennem generel ef-teruddannelse, bl.a. ved at alle inspektører uddannes som enten audi-tor eller lead auditor, jf. boks 2.1.Tilsynenes ensartethed evalueres med branchen i 2015.

Trafikstyrelsen har i forbindelse med tilsyn og andre observatio-ner en række muligheder for at reagere på konstaterede uregel-mæssigheder og afvigelser i virksomheder. De reaktioner, somTrafikstyrelsen gennemfører for at sikre efterlevelse af regler,skal stå i rimeligt forhold til de sikkerhedsmæssige risici og al-vorligheden af den afvigelse, som konstateres (proportionalitet).Trafikstyrelsen vil operere med en mere transparent ”sanktions-stige”, så det bliver tydeligere, hvad der sker, hvis en virksom-hed til stadighed ikke efterlever kravene.5.1 GenereltTrafikstyrelsens opererer med to begreber ved opfølgning på konstate-rede afvigelser og overtrædelser af gældende regler:1.Reaktioner:En reaktion er en tilsynsmæssig opfølgning på enkonstateret afvigelse (”finding”) fra gældende regler, og anven-des i form af påbud om at bringe forholdet i orden, og/eller enindskrænkelse eller inddragelse (suspension) af virksomhedenstilladelse afhængigt af, hvor alvorlig den konstaterede afvigelseer. Ovennævnte kan eventuelt suppleres med en påta-le/advarsel.2.Sanktioner:En sanktion er en straf, der typisk anvendes hvisgrundlæggende bestemmelser er overtrådt eller der i øvrigt ertale om alvorlige, skærpende eller gentagne tilsidesættelser aflovgivningen. En sanktion har form af en advarsel/påtale, bøde,frihedsstraf. Endvidere kan der ske frakendelse af certifikat ellerretten til at drive virksomhed afhængig af, hvor alvorlig over-trædelsen er.

tilfældet, er der normalt ikke behov for egentlige strafferetlige sanktio-ner.I det følgende fokuseres der derfor primært påreaktioner,som opfølg-ning på en ”finding”. I særlige situationer vil der være behov for at føl-ge en reaktion op med en egentlig strafferetligsanktion.I figur 5.1 er Trafikstyrelsens reaktions- og sanktionsmuligheder illu-streret samt relationen mellem de forskellige elementerFigur 5.1: Trafikstyrelsen reaktionsmuligheder – fra konstatering af findings til eventu-el straffesag, hvor der kan springes mellem de forskellige reaktioner og/eller sanktio-ner

5.2 ReaktionerTrafikstyrelsen anvender differentierede og gennemsigtige reaktionersom opfølgning på tilsyn, hvor der er konstateret afvigelser (”fin-dings”) i forhold til gældende regler. Den reaktion der skal anvendes idet konkrete tilfælde, afhænger navnlig af, hvilken betydning afvigel-sen har i relation til flyvesikkerheden (niveau 1 eller 2). Reaktionen måikke være mere indgribende end nødvendigt for at opnå formålet medreaktionen,nemlig at forholdet bringes i orden og dermed i overens-stemmelse med reglerne (proportionalitet).Reaktioner inddeles i følgende tre niveauer:-Niveau 1:Ved afvigelser (”findings”) afafgørende og væsentligbetydning for flyvesikkerheden,(alvorlig konkret fare) ind-skrænkes (forbud) eller om nødvendigt suspenderes virksomhe-dens driftstilladelse, indtil den pågældende afvigelse (”finding”)er korrigeret og forholdet er bragt i orden.Niveau 2:Ved afvigelser (”findings”), der harpotentiel flyve-sikkerhedsmæssig betydning(potentiel fare) skal virksomhedeneller certifikatindehaveren foretage korrigerende handlinger ogbringe forholdet i orden inden for en rimelig tidsfrist (påbud).Niveau 3:Ved observationer, som ikke er en egentlig afvigelse(”finding”), bliver virksomheden gjort opmærksom på, at der erforhold som kan være uhensigtsmæssige,og som virksomhedenderfor skal forholde sig til.

5.3 Påbud – normalsituationen (niveau 2 afvigelser)Når Trafikstyrelsen ved sit tilsyn konstaterer en afvigelse (”finding”),følger Trafikstyrelsen op herpå med enreaktion.Dette gøres ved, atden pågældende virksomhed skriftligt bliver bedt om at bringe forhol-det i orden (korrigerende handlinger) typisk inden for en nærmere be-stemt frist, men efter omstændighederne også ”straks”, hvis der eralvorlig fare for flyvesikkerheden. Der er juridisk set tale om at udste-de etpåbud,og dette skal der være hjemmel til i lovgivningen.Konkret er påbuddet indeholdt i den tilsynsrapport, som Trafikstyrelsenudfærdiger i forbindelse med tilsynet, og som sendes til virksomheden.Der henvises heri til de bestemmelser i luftfartsloven (§ 150 e, stk. 1)og/eller den pågældende forordning, der giver hjemmel hertil. Påbud-det skal tillige indeholde en beskrivelse af den konstaterede afvigelse(”finding”) med en henvisning til de regler, som ikke er blevet fulgt,således at det er klart for virksomheden, hvad der skal bringes i orden.Trafikstyrelsen skal dog ikke rådgive om, hvordan dette skal gøres.5.4 Påbud – alvorlig fare for flyvesikkerheden -forbud/begrænsninger og suspension(niveau 1 afvigelser)Hvis den konstaterede afvigelse (”finding”) er af afgørende og væsent-lig betydning for flyvesikkerheden, og således udgør en alvorlig fareherfor, skal virksomhedens driftstilladelse indskrænkes (forbud modvisse operationer) og om nødvendigt suspenderes indtil forholdet erbragt i orden. Dette gøres konkret ved, at der, som i normalsituatio-nen, udstedes et påbud (indeholdt i tilsynsrapporten) til den pågæl-dende virksomhed om at bringe forholdet i orden inden for en bestemtfrist. Eventuelle indskrænkninger i eller suspension af virksomhedenstilladelse vil typisk ske ved en e-mail til virksomheden. Tiltagene skalbegrundes, og der skal henvises til de bestemmelser, der konkret giverhjemmel hertil.Når Trafikstyrelsen har konstateret, at afvigelserne (”findings”) erbragt i orden (påbuddet efterkommet), ophæver Trafikstyrelsen even-tuelle indskrænkninger (forbud) og suspensioner af virksomhedenstilladelse.5.5 Opfølgning på påbudVirksomheden skal opfylde Trafikstyrelsens påbud inden for tidsfristen.Fristen fastsættes, så der tages hensyn til afvigelsens (”findingens”)41

karakter og den tid, der vurderes at være nødvendig for at bringe for-holdet i orden samt eventuelle terminer som følger af internationalebestemmelser (EU/EASA eller ICAO). Når påbuddet er efterkommet(forholdene er bragt i orden) udarbejder Trafikstyrelsen et ”lukkebrev”,ofte elektronisk, til virksomheden, om at ”findingen” er lukket.Normalt vil Trafikstyrelsen ikke forlænge tidsfristen, medmindre virk-somheden - så snart den modtager påbuddet - retter henvendelse tilTrafikstyrelsen med anmodning om en fristforlængelse. Virksomhedenskal begrunde anmodningen, og der skal være særlige grunde til, atfristen ikke kan overholdes.Hvis virksomheden ikke opfylder påbuddet inden for tidsfristen, vil Tra-fikstyrelsen som udgangspunkt iværksætte skærpede sikkerhedsmæs-sige foranstaltninger. En konstateret afvigelse (”finding”) udgør en po-tentiel flyvesikkerhedsmæssig risiko. Jo længere tid der går inden enafvigelse (”finding”) bliver korrigeret, jo større negativ indflydelse vildette alt andet lige potentielt have på flyvesikkerheden. Det er derforvigtigt, at der på baggrund af en konkret vurdering af den flyvesikker-hedsmæssige risiko knyttes kompenserende sikkerhedsmæssige vilkårtil en eventuel forlængelse af tidsfristen.Hvis påbuddet ikke opfyldes inden for fristen, vil sagen som hovedre-gel blive overdraget til en juridisk medarbejder i Trafikstyrelsen, somså bliver ankerperson i den videre sagsbehandling.Vilkårene fastsættes ud fra en ”trappestige-model”, hvor de kompen-serende foranstaltninger skærpes i takt med, at tidsfaktoren øges, ind-til forholdet er bragt i orden. I yderste konsekvens vil der kunne blivetale om at indskrænke eller suspendere virksomhedens tilladelse.Trafikstyrelsensreaktionerskærpes således proportionalt med, at denpotentielle risiko for flyvesikkerheden vurderes at stige.Hvis virksomheden fortsat ikke retter sig efter påbuddet, og bringerforholdene i orden inden for tidsfristen, vil Trafikstyrelsen som ud-gangspunkt overgive sagen til anklagemyndigheden med anmodningom, at der i medfør af luftfartslovens § 149, stk. 7 rejses en straffe-sag for overtrædelse af luftfartslovgivningen og manglende efterkom-melse af påbuddet. I forbindelse hermed vil Trafikstyrelsen ud over enbøde tillige anmode om, at der i medfør af retsplejelovens § 997, stk.3 udstedes tvangsbøder indtil forholdet er bragt i orden.

5.6 Sanktioner - strafferetligeHvis en konstateret afvigelse udgør en grundlæggende overtrædelse afluftfartslovgivningen vil dette kunne resultere i, at der rejses en egent-lig straffesag. Eksempelvis hvis den pågældende virksomhed operereret luftfarttøj efter udløb af luftdygtighedsbeviset eller anden tilladelse.Hvis der er tale om en såkaldt formel overtrædelse, eksempelvis hvorejeren har glemt at forny beviset, og luftfartøjet i øvrigt reelt er luft-dygtigt, afgør Trafikstyrelsen i førstegangstilfælde sagen med en skrift-lig påtale (en advarsel). Hvis virksomheden ikke ønsker at modtage ensådan påtale, overgives sagen til anklagemyndigheden med påstandom bødestraf.Boks 5.1: Eksempel på en formel overtrædelseEn pilot havde uforsætteligt udført fire flyvninger efter at luftdygtig-hedsbeviset var udløbet. Da der ikke var noget der tydede på, at luft-fartøjet reelt var uluftdygtigt, blev sagen afsluttet med en påtale.I mere alvorlige tilfælde, eksempelvis hvis der er fløjet med et luftfar-tøj, der reelt ikke er luftdygtigt eller anden konkret tilsidesættelse afflyvesikkerheden, overgives sagen til anklagemyndigheden med på-stand om bøde, også selvom der er tale om et førstegangstilfælde.Boks 5.2: Eksempel på en sikkerhedsmæssig overtrædelseEn pilot havde i forbindelse med landing med helikopter på en strand,som var en integreret del af tæt bebygget område, fløjet under mini-mumsflyvehøjden på 300 meter, ligesom han ikke havde ejerens tilla-delse til at benytte det pågældende område til start og landing. Detteresulterede i et bødeforlæg på 6.000 kr.I meget alvorlige og grove tilfælde, kan der blive tale om, tillige at be-de anklagemyndigheden om at frakende den pågældende person ellervirksomhed retten til at gøre tjeneste eller at drive virksomhed på luft-fartsområdet i et nærmere bestemt tidsrum.Boks 5.3: Eksempel på en grov sikkerhedsmæssig overtrædelseEt kabinebesætningsmedlem havde en alkoholpromille på over 0,19under udøvelse af tjeneste om bord på et luftfartøj. Sagen blev afgjortmed 30 dages betinget fængsel samt 3 års ubetinget frakendelse afretten til at udøve tjeneste på luftfartøj.43

Som omtalt ovenfor vil manglende efterkommelse af et påbud ellermanglende overholdelse af et forbud som udgangspunkt også indebæ-re, at Trafikstyrelsen overgiver sagen til anklagemyndigheden medanmodning om en bøde samt tvangsbøder efter retsplejeloven indtilpåbuddet er efterkommet og forholdene er bragt i orden.5.7 Reaktioner og sanktioner ud fra andre observationer endtilsynTrafikstyrelsen kan også via andre kanaler end tilsyn – fra medier, of-fentligheden, internettet etc. – få viden om sikkerhedsmæssige ure-gelmæssigheder og egentlige lovbrud.I sådanne tilfælde vil Trafikstyrelsen anvende de samme principper forreaktioner og sanktioner, som er beskrevet ovenfor.

Strategi og praksis for tilsyn

med luftfartssikkerhed &

security