Risikovurdering: Slik identifiserer og håndterer du risiko i virksomheten
En risikovurdering er en systematisk gjennomgang av hva som kan gå galt i en virksomhet, hvor sannsynlig det er, og hva konsekvensene kan bli. Målet er å finne farer og utfordringer før de fører til skade, tap eller stans i driften. Enten det gjelder arbeidsmiljø, informasjonssikkerhet, økonomi, prosjekter eller miljø, gir en god risikovurdering et bedre beslutningsgrunnlag og større trygghet for ledelse, ansatte og eiere.
Mange virksomheter gjennomfører risikovurderinger, men færre gjør det på en strukturert måte som faktisk følges opp. Denne teksten forklarer hva risikovurdering er, hvorfor det er viktig, hvordan prosessen gjennomføres, og når det kan lønne seg å hente hjelp fra en kvalifisert leverandør.
Hva er en risikovurdering-
En risikovurdering består vanligvis av tre hovedspørsmål. Hva kan gå galt- Hvor sannsynlig er det- Og hva blir konsekvensene dersom det skjer- Svarene kombineres ofte i en risikomatrise, der sannsynlighet og konsekvens vurderes på en skala, for eksempel fra én til fem. Produktet av de to gir en risikoscore som viser hvilke forhold som krever umiddelbar oppfølging, og hvilke som kan overvåkes over tid.
Begrepet brukes i mange sammenhenger. I arbeidsmiljøsammenheng handler det om fysiske og psykososiale belastninger, ulykkesrisiko og kjemikalier. Innen informasjonssikkerhet handler det om trusler mot data, systemer og personopplysninger. I prosjekter handler det om usikkerhet knyttet til tid, kostnad og kvalitet. Felles for alle er at risikovurderingen gir oversikt, prioritering og grunnlag for tiltak.
Hvorfor er risikovurdering viktig-
Den viktigste grunnen er forebygging. Det er nesten alltid billigere og mindre inngripende å forhindre en hendelse enn å håndtere følgene av den. En ulykke på arbeidsplassen kan medføre personskade, sykefravær, erstatningskrav, granskning og tap av tillit. Et dataangrep kan stanse driften i dager eller uker. Et prosjekt uten risikoanalyse kan ende med forsinkelser og overskridelser som kunne vært forutsett.
Risikovurdering er også et verktøy for bedre ledelse. Den tvinger virksomheten til å tenke gjennom hvilke mål som er viktigst, hvilke ressurser som finnes, og hvor sårbarhetene ligger. Resultatene kan brukes til å prioritere investeringer, fordele ansvar og dokumentere at virksomheten tar ansvar for sine forhold.
I tillegg stiller regelverk krav. I Norge pålegges arbeidsgivere å kartlegge og vurdere risiko i arbeidsmiljøet som ledd i det systematiske HMS-arbeidet og internkontrollen. Tilsvarende krav finnes i flere bransjer, blant annet innen finans, helse, energi og offentlig sektor. Manglende risikovurdering kan derfor gi både økonomiske og juridiske konsekvenser, i tillegg til at det svekker virksomhetens troverdighet overfor kunder og samarbeidspartnere.
Slik gjennomfører du en risikovurdering
En god risikovurdering følger normalt en fast prosess. Det første steget er å definere formålet og avgrensningen. Hva skal vurderes, hvem skal være med, og hvilke mål skal risikoen måles opp mot- Uten klar avgrensning blir analysen lett for bred til å bli nyttig, eller for smal til å fange opp de viktigste forholdene.
Det andre steget er å identifisere farer og uønskede hendelser. Dette gjøres best sammen med personer som kjenner arbeidsprosessene godt. Brainstorming, gjennomgang av tidligere avvik og hendelser, sjekklister og intervjuer er nyttige metoder. Det er viktig å ta med både det som har skjedd tidligere og det som er realistisk å tenke seg i fremtiden.
Det tredje steget er å vurdere sannsynlighet og konsekvens. Her bør man bruke en skala som er forklart tydelig, slik at to personer vurderer på samme måte. Erfaringsdata, statistikk og faglig skjønn bør kombineres. Det er ofte nyttig å vurdere risikoen både før og etter eksisterende tiltak, slik at man ser hvilken effekt dagens sikring faktisk har.
Det fjerde steget er å vurdere tiltak. Tiltakene bør følge en prioritert rekkefølge. Først bør man vurdere å fjerne faren helt. Deretter kan man redusere risikoen gjennom tekniske løsninger, organisatoriske grep eller opplæring. Personlig verneutstyr bør normalt være siste barriere, ikke den eneste. Hvert tiltak bør ha en ansvarlig person og en frist.
Det femte steget er dokumentasjon og oppfølging. En risikovurdering som ligger i en skuff, har liten verdi. Den må jevnlig revideres, særlig når det skjer endringer i organisasjon, teknologi, lovverk eller arbeidsmetoder. Mange virksomheter setter opp en årlig gjennomgang og en ekstra vurdering ved større endringer.
Vanlige metoder for risikovurdering
Det finnes flere etablerte metoder, og valget avhenger av bransje, kompleksitet og modenhet i virksomheten. Risikomatrisen er den enkleste og mest utbredte, og egner seg godt for de fleste formål. Feil- og hendelsestrær brukes for å analysere hvordan en hendelse kan oppstå og utvikle seg. Feilmodus- og virkningsanalyse, ofte kalt FMEA, brukes særlig i produksjon og teknisk utvikling. HAZOP er en systematisk metode for prosessindustri, mens bowtie-modeller kombinerer årsaksanalyse og konsekvensanalyse i ett bilde.
For informasjonssikkerhet brukes gjerne rammeverk som ISO/IEC 27005 og NIST, der trusler, sårbarheter og konsekvenser vurderes mot virksomhetens verdier. For prosjekter kan kvantitative metoder som Monte Carlo-simulering brukes for å beregne sannsynligheter for å nå mål innen tid og budsjett.
Felles for alle metodene er at de må tilpasses virksomheten. En metode som fungerer godt i et stort industriselskap, kan være for tung for en liten tjenesteleverandør. Det viktigste er at metoden gir et brukbart resultat som faktisk påvirker beslutninger.
Når bør du hente hjelp fra en ekstern leverandør-
Mange virksomheter kan gjennomføre enkle risikovurderinger selv. Likevel finnes det situasjoner der ekstern kompetanse gir tydelig verdi. Det kan være når virksomheten mangler erfaring med metodikk, når det kreves uavhengig vurdering, når det skal gjennomføres en omfattende analyse på kort tid, eller når spesialkompetanse er nødvendig, for eksempel innen kjemikalier, elektrisk sikkerhet, personvern eller cybersikkerhet.
En ekstern konsulent bringer også med seg et utenfra-perspektiv. Interne aktører kan være preget av vante rutiner og har ofte vanskelig for å se egne blindsoner. En uavhengig vurdering kan avdekke forhold som ellers ville blitt oversett, og den kan gi tryggere grunnlag når resultatene skal presenteres for styre, myndigheter, kunder eller forsikringsselskaper.
Hva bør du se etter hos en leverandør-
Når man velger leverandør for risikovurdering, bør man vurdere flere forhold. Dokumentert kompetanse og relevant erfaring fra samme bransje er viktig. Leverandøren bør kunne vise til sertifiseringer, faglig bakgrunn og referanser der det er relevant. Det er også nyttig å spørre hvilke metoder leverandøren bruker, og hvordan resultatene presenteres.
Et annet viktig forhold er leveranseformen. En god leverandør skal ikke bare produsere et dokument, men bidra til at virksomheten faktisk forbedrer seg. Det bør være tydelig hvordan arbeidet gjennomføres, hvem som deltar fra hver side, og hvordan oppfølging og revisjon er planlagt. Avklar også taushetsplikt, behandling av personopplysninger og eierskap til dokumentasjonen før oppdraget starter.
Pris bør vurderes opp mot innhold og kvalitet, ikke som eneste kriterium. Et billig dokument som ikke er tilpasset virksomheten, kan i praksis bli dyrere enn en grundig analyse som gir reell effekt.
Kom i gang med risikovurdering
Den beste måten å starte på er ofte den enkleste. Start med en oversikt over de viktigste aktivitetene og forholdene i virksomheten. Gjennomgå tidligere avvik, skader og hendelser. Sett en prioritert liste over hva som bør vurderes først. Deretter kan du bestemme om arbeidet skal gjøres internt, med ekstern støtte, eller helt av en ekstern leverandør.
Uansett hvilken løsning du velger, bør målet være en risikovurdering som brukes. Den skal gi klare prioriteringer, tydelige ansvarsforhold og en plan for oppfølging. Når dette er på plass, blir risikostyring en naturlig del av driften, og ikke et engangsprosjekt som glemmes etter at rapporten er levert.
Ønsker du hjelp til å finne en kvalifisert leverandør av risikovurderinger for din bransje og ditt behov, kan du kontakte oss. Vi formidler oppdrag mellom kunder og erfarne leverandører, og hjelper deg med å finne riktig kompetanse raskt og trygt.
Risikovurdering i andre områder
BedriftLink
