Tips for risiko- og sårbarhetsanalyser

1. Innledning

Kommunen skal ha beredskapsplaner for håndtering av alle typer uønskede hendelser, kriser, katastrofer og krig. Slike beredskapsplaner skal blant annet bygge på risiko- og sårbarhetsanalyser (ROS-analyser).

Formålet med denne gjennomgangen er å gi støtte og tips til deg som skal organisere og lede arbeid med ROS-analyser innenfor et tjeneste- eller virksomhetsområde i kommunen.

Dette er kun ment som et frivillig hjelpemiddel – til dere som er godt i gang, til dere som trenger hjelp til å starte og for å gjøre ROS-tenkningen til en konstruktiv og god vane.

2. Hva handler risiko- og sårbarhetsanalyser om?

Risiko- og sårbarhetsanalyser skal gi et kunnskapsbasert grunnlag for arbeidet med helse- og omsorgsberedskap.

• Hva kan føre til at evnen til å levere tjenester blir redusert eller helt faller bort?
• Hvilke uønskede hendelser (interne og eksterne) er vårt ansvarsområde sårbart for?
• Hvordan kan vi forebygge uønskede hendelser?
• Hvilke tiltak kan vi sette inn nå for å redusere konsekvensene av uønskede hendelser?

Forholdet til helhetlig kommune-ROS:

ROS-analyser skal gi et nødvendig kunnskapsgrunnlag for god beredskapsplanlegging for kommunen som helhet, den enkelte sektor/tjenesteområde, virksomhet og avdeling.

Selv om ROS-analyse innenfor helse- og omsorgsberedskapen og helhetlig ROS knyttet til kommunal beredskapsplikt har noe ulike formål, er det viktige koblinger mellom de to. Begge har kommunen som analyseområde, og begge handler om å sikre kommunens samlede beredskapsevne. Det må derfor være et viktig mål å få til en tydelig sammenheng i disse prosessene.

• Noen scenarioer kan det være mest hensiktsmessig å vurdere samlet på tvers av sektorene/tjenesteområdene i kommunen.
• For mange andre scenarioer i kommunens helhetlige ROS-analyse vil det handle om å bygge videre på disse, for å utdype hva det betyr for helse- og omsorgstjenestene.
• Ut over dette kan det være behov for å supplere med spesifikke scenarioer for helsetjenesten.

For helse- og omsorgsberedskapen skal ROS-analysens viktigste formål uansett være å systematisere kunnskap om hvordan kommunen skal kunne oppfylle plikten til å yte nødvendig helse- og omsorgshjelp i kriser, ved katastrofer og i krig.

3. Hvordan gjennomføre ROS-analyser?

Steg 1: Forankre hos ledelsen

• Sørg for forankring hos ledelsen i den virksomheten du skal vurdere. Kommunens ledelse og virksomhetsledere har ansvar for følgende:
  • kartlegging og vurdering av organisasjonens risiko og sårbarhet
  • beslutte hvor stor risiko kommunen skal akseptere
  • beslutte og sørge for at nødvendige risikoreduserende tiltak blir gjennomført

Steg 2: Sett tydelige mål og gjør fornuftige avgrensninger

• Sørg for et tydelig mandat med klare mål og en god skriftlig beskrivelse av omfanget av arbeidet.
• Lytt gjerne til gode kollegaer i egen eller andre kommuner som har erfaring med ROS-analyser, og forankre mandatet på ledernivå.
• Gå i dialog med beredskapskoordinator eller beredskapsleder i kommunen for å være omforent om hva helse- og omsorgstjenestene bør planlegge for.
• Definer analyseområdet:
  • organisatorisk - gjelder det for eksempel en enkelt institusjon?
  • geografisk - gjelder det for eksempel hele kommunen eller enkelte deler av kommunen?
  • tjenesteområde - gjelder det for eksempel legevakt eller eldreomsorg?
• Analysen skal ta hensyn til at kommunen skal ivareta alle helse- og omsorgstjenester etter kapittel 3 i helse- og omsorgstjenesteloven. Dette fordrer gode kontinuitets- og beredskapsplaner bygd på blant annet vurderinger av risiko og sårbarheter.

Steg 3: Avklar deltakelse

• De riktige nøkkelpersonene må være involvert. Sørg for å få med personer med kompetanse innenfor ansvarsområdet som skal gjennomgås.
• Pass på at det er god deltakelse fra personell i utøvende tjenester i aktuelle helseenheter, og involver gjerne tillitsvalgte.
• Kommuneoverlegen bør alltid være representert i kommunens risiko- og planarbeid.
• Vurder alltid tverrfaglighet i arbeidet. I tillegg er «friske øyne» aldri dumt. Vurder også hvilke eksterne virksomheter som kan bidra med verdifull informasjon og vurderinger. For eksempel brukerorganisasjoner, frivillige organisasjoner eller private.
• Hvis arbeidet skal gjennomføres parallelt innenfor ulike virksomhetsområder og avdelinger: Vurder å bruke en person som kan veilede, være pådriver og bidra til god koordinering underveis.

Steg 4: Velg metode

• Det er ulike tilnærminger for å gjennomføre vurderinger av risiko og sårbarhet. Det er mulig å velge kvalitativ eller kvantitativ metode, eller å kombinere tilnærmingene.
• Velg metode ut fra mål, behov og tilgang på data, og pass på at vurderingene tar utgangspunkt i og tilpasses virksomhetens art og omfang.
• Det kan være at det legges føringer på overordnet nivå for hvilken metode det er ønskelig at sektorene bruker.
• En tilnærming er å ta i bruk en risikomatrise. Her vurderer dere sannsynligheten og konsekvensen for hver enkelt hendelse på en skala og legger dem inn i et rutenett.
• Dersom dere bruker risikomatrise:

Lag gjerne én matrise for hver konsekvenstype. Konsekvens for liv og helse er en naturlig del av ROS-analyser innenfor helse og omsorg. Konsekvens for evnen til å levere helse- og omsorgstjenester er et annet eksempel.

Få fram usikkerhet i vurderingene. Å beskrive usikkerheter er særlig viktig når dere vurderer hendelser med høyt konsekvenspotensiale.

• Vi anbefaler å bruke DSBs veileder for helhetlig ROS i kommunen. Her finner dere også eksempler på skjemaer og veiledning for hvordan dere fyller dem ut.

Se også til relevante eksempler fra andre kommuner, og Helsedirektoratets kommende mal for risiko- og sårbarhetsanalyse for helse- og omsorgstjenestene for ytterligere inspirasjon. Husk på at dette er eksempler, og ikke fasit.

• Merk: Her har vi valgt å illustrere ROS-analyse etter DSBs metodeveileder.

For noen behov kan verdi-, trussel-, og sårbarhetsanalyser være en mer relevant metode. Metoden er vanlig å bruke for å analysere villede uønskede handlinger som sabotasje og terror.

Steg 5: Identifiser og beskriv alvorlige hendelser som kan skje

• Kommunen skal skaffe oversikt over hendelser som kan føre til ekstraordinære belastninger. Hendelser i kommunens helhetlige ROS-analyse bør vurderes med tanke på hvordan det påvirker helse- og omsorgsberedskapen.
• Beskriv de tenkbare hendelsene så presist som mulig. Få med årsak til hendelsene.
• Tenk bredt, og få med hele spennet av aktuelle hendelser. Dette innebærer også å vurdere mer alvorlige hendelser som kan inntreffe, som det dermed er hensiktsmessig å dimensjonere beredskapen for. Se gjerne til Helse- og omsorgsdepartementets (HODs) risiko- og sårbarhetsanalyse for helse- og omsorgssektoren. 

• Pass på å velge temaer, og beskrive scenarioer og konsekvenser, ut fra lokale forhold.
• Kartleggingen bør bygge på relevant dokumentasjon, erfaringer og gode diskusjoner. Analysene bør bygge på best mulig tilgjengelig historisk og nåtidig informasjon, i tillegg til forventninger til framtida.
• Kommunens helhetlige risiko- og sårbarhetsanalyse og risiko- og sårbarhetsanalyse for fylket (fylkes-ROS) er også viktige underlag.
• I tillegg bør dere se til oversikten bakerst med oversikt over lover, forskrifter og noen utvalgte kunnskapskilder.

Steg 6: Vurder risiko og sårbarhet for de ulike hendelsene

• Analyser hendelsene dere identifiserte i steg 5. Bruk metoden dere valgte i steg 4.
• Begynn gjerne med de hendelsene dere umiddelbart tenker er mest sannsynlige og/eller har størst konsekvenser.
• Start med å vurdere hvor sannsynlig det er at hendelsen skjer. Bruk tilgjengelig historiske data, lokalkunnskap og ekspertvurderinger, og sjekk om dere kan hente noe fra tidligere risikoarbeid.
• Ta hensyn til tiltak som er etablert for å unngå uønskede hendelser.
• Vurder hvordan helse- og omsorgstjenester blir berørt av den uønskede hendelsen, og hvor sårbare tjenestene er for hendelsen. Sårbarheten vurderer dere ut fra evnen til å yte helse- og omsorgstjenester ved ekstraordinære belastninger. Dersom hendelsen kan føre til svikt i en eller flere funksjoner må dere beskrive dette. Dere trenger også å vurdere kommunens evne til å håndtere hendelsen og til å opprettholde og gjenoppta sin virksomhet etter at hendelsen har inntruffet. Her er det innen helse og omsorg naturlig å ta med minimum disse forholdene, fra Helse- og omsorgsdepartementets (HODs) nasjonale analyse av risiko og sårbarhet, fordi de påvirker evnen til krisehåndtering:
  • tilgang til personell
  • evne til prioritering
  • tilgang til informasjon og kunnskap
  • evne til å håndtere avhengigheter
• Få frem det som er unikt for helse- og omsorgssektoren, inkludert av digitale avhengigheter.
• Konsekvensene kan dere for eksempel systematisere i forhold til ulike kritiske funksjoner for helse- og omsorgssektoren: helsetjenester, omsorgstjenester, folkehelse og atomberedskap.
• Styrbarheten sier noe om i hvilken grad kommunen kan kontrollere risikoen ved en gitt hendelse, for eksempel hvor lett det er å sette i verk tiltak som reduserer sannsynligheten for at hendelsen skjer, eller hvor enkelt det er å sette inn tiltak for å redusere konsekvenser av hendelsen.
• En ROS-analyse av ekstraordinære hendelser vil preges av usikkerhet, både når det gjelder sannsynlighet og konsekvenser. Sett ord på usikkerheten.
• For å systematisere det dere kommer fram til, anbefaler vi at dere bruker ett analyseskjema for hver enkelt hendelse dere vurderer. Når alle hendelser er vurdert kan dere lage en overordnet oversikt, for eksempel i en listevisning eller i en risikomatrise.

Steg 7: Foreslå tiltak for å redusere risiko

• Etter at dere har vurdert risiko for ulike hendelser, trenger dere å vurdere både forebyggende tiltak og tiltak for å begrense og håndtere konsekvenser.
• Beredskapsplanene skal ta hensyn til alle hendelser som kan ramme tjenestene, selv om det er lite sannsynlig at de skjer.

4. Hva gjør vi etter gjennomført ROS-analyse?

Etter risikovurderingen har dere en liste med forebyggende og skadereduserende tiltak.

Settes opp som sjekkliste:

• Sett opp en prioritert liste med forebyggende tiltak.
• Sett opp en handlingsplan med tidfestede tiltak og fordeling av ansvar for oppfølging.
• Sørg for behandling og godkjenning i ledelsen.
• Gjennomfør tiltakene som besluttes.

Husk! ROS-analyser er grunnlag for beredskapsplanverk, rollekort og tiltakskort ved kriser.

Gå gjennom beredskapsplaner og still følgende spørsmål:

• Er beredskapen godt nok dimensjonert i forhold til risikobildet?
• Bør vi gjøre endringer i beredskapsplanen som følge av den nye ROS-analysen?
• Bør vi legge større vekt på enkelte scenarioer i beredskapsplanverket?
• Bør vi lage egne tiltakskort for bestemte hendelser?
• Bør vi bygge opp mer kapasitet og kompetanse, trene og øve på noen bestemte hendelser?
• Er det noe vi bør samarbeid med andre kommuner om? Noe vi bør inngå avtaler med andre om?

Vurder fortløpende om det er alvorlige risikoer eller sårbarheter dere bør informere ledelsen om så snart som mulig. Vurder gjerne behov og tiltak som kan redusere sårbarheter og styrke motstandskraft og beredskap på tvers av risikoområdene.

• Eksempel 1: Flere hendelser vil for eksempel kunne medføre behov for å opprette evakuerings- og pårørendesenter. Det vil normalt kreve ressurser fra helsesektoren.
• Eksempel 2: Både strømbrudd og bortfall av digitale informasjonssystemer som følge av cyberangrep eller teknisk svikt vil medføre behov for manuelle rutiner og over tid kreve ekstra ressurser.
• Eksempel 3: Både en pandemi og krig kan føre til behov for å mobilisere ressurser som til daglig ikke arbeider som helsepersonell til helse- og omsorgsoppgaver i kommunen. 

5. Når bør vi gjennomføre og oppdatere ROS-analyser?

Å vurdere risiko er ikke noe du gjør én gang og blir ferdig med.

Når kommunen har oppdatert den helhetlige ROS-analysen, bør også mer spesifikke analyser innen helse- og omsorgstjenestene gås igjennom – om dette ikke gjøres parallelt.

Det er ellers normalt, og å anbefale, at dere går igjennom ROS-analyser for helse- og omsorgstjenestene etter uønskede hendelser, ved endringer i trusselbildet, ved organisatoriske endringer eller om det gis nye krav eller føringer før virksomheten.

Bruk også erfaringer etter øvelser til å vurdere om ROS-analyser, planer eller tiltakskort bør endres.

6. Vegviser til lover, forskrifter og kunnskapskilder

Ytterligere råd og tips for å gjennomføre ROS-analyser finnes bl.a. her:

• Risiko- og sårbarhetsanalyse for helse- og omsorgssektoren - regjeringen.no

Omtaler prioriterte risikoområder, slik som sammensatte trusler og krig, digital sikkerhet, forsyningssikkerhet, pandemi og smittsomme sykdommer, trygg vannforsyning og atomhendelser som truer liv og helse.

Påpeker også utfordringen med klimaendringer og ekstremvær, risiko for samtidige hendelser og det helt uventede.

Omtaler videre gjennomgående indre sårbarheter for sektoren, slik som tilgang til personell, evne til prioritering, tilgang til informasjon og kunnskap, og evne til å håndtere avhengigheter.

Denne analysen fremhever også avhengigheter og knytninger mellom de ytre risikofaktorene og de indre sårbarhetene.

• DSBs veiledning for helhetlig ROS-analyse i kommunen
• Norsk Standard 5814:2021 Krav til risikovurderinger