Hvordan gå fra analyse til handling?
Vi ser det altfor ofte: Virksomheten gjennomfører en risikoanalyse og beslutter tiltak, men tiltakene blir ikke fulgt opp. Analysen ender som dokumentasjon på at et krav er oppfylt, i stedet for å bidra til bedre beslutninger og en mer robust virksomhet.
God risikostyring handler om å identifisere og håndtere usikkerhet før den utvikler seg til uønskede hendelser, tap eller tapte muligheter. Men selve analysen reduserer ingen risiko. Verdien oppstår først når funnene fører til prioriteringer, tydelig ansvar og tiltak som faktisk blir gjennomført.
Smitteutbruddet på MS Roald Amundsen illustrerer hvor alvorlige konsekvensene kan bli når risikostyringen svikter. Granskerne konkluderte blant annet med at risikostyringsprosessen hadde vært utilstrekkelig, at nødvendige risikoreduserende tiltak ikke var gjennomført, og at mistanke om smitte ikke ble fulgt opp i tide.
Eksemplet er omfattende, men utfordringen er gjenkjennelig i mange virksomheter: Risikoene er kjent og tiltakene er besluttet, men oppfølgingen svikter. Resultatet er at virksomheten fortsetter å akseptere større risiko enn nødvendig – i den daglige driften, i prosjekter og ved organisatoriske endringer.
Ønsker du å vite mer? Vi tar gjerne en uforpliktende prat med deg
6 steg til bedre risikostyring
En god risikovurdering skal gjøre mer enn å dokumentere at et krav er oppfylt. Den skal gi et tydelig beslutningsgrunnlag, prioritere de viktigste risikoene og sørge for at tiltak faktisk blir gjennomført.
I Antenor-OTG har vi gjennomført mer enn 700 risikoanalyser og over 1 000 revisjoner. Her deler vi noen erfaringer som kan gjøre risikovurderingene deres mer effektive og verdiskapende.
Usikker på om deres risikoanalyser gir ønsket effekt?
Ta en uforpliktende samtale med en av våre rådgivere. Vi kan raskt avklare hvor utfordringene ligger, og hva som kan være et hensiktsmessig neste steg.
1. Start med kultur og ledelsesforankring
God risikostyring starter hos ledelsen. Ledelsen må vise at arbeidet har betydning for virksomhetens prioriteringer og beslutninger – ikke bare for å oppfylle et formelt krav.
Vurder blant annet:
- Har virksomheten en kultur der usikkerhet, feil og bekymringer kan diskuteres åpent?
- Er roller, ansvar og forventninger tydelige?
- Bruker ledelsen risikoinformasjon når den prioriterer ressurser og tiltak?
- Ser virksomheten den økonomiske og strategiske verdien av å redusere risiko?
Ledelsens engasjement må være synlig gjennom beslutninger, prioriteringer og oppfølging.
2. Kartlegg hvilke krav som gjelder
Start med å identifisere rammene virksomheten må operere innenfor. Det kan omfatte:
- lover og forskrifter
- relevante standarder
- interne prosedyrer og styrende dokumenter
- kunde- og kontraktskrav
- leverandørkrav og teknisk dokumentasjon
- sikkerhetsdatablader og bruksanvisninger
Mange nødvendige sikkerhetstiltak er allerede beskrevet i eksisterende krav og dokumentasjon. Utfordringen er ofte ikke å finne kravene, men å forstå dem, vurdere om de er relevante og omsette dem til praktisk handling.
3. Bruk eksisterende kunnskap – men vurder den kritisk
Det er sjelden nødvendig å starte med blanke ark. Standarder, bransjeveiledere, sikkerhetsdatablader, leverandørdokumentasjon, tidligere hendelser og eksisterende analyser kan gi et godt utgangspunkt.
Eksisterende materiale må likevel vurderes opp mot virksomhetens egen situasjon. Utstyr, omgivelser, kompetanse, organisering og bruksmønster kan skape andre risikoer enn dem som er beskrevet i en generell analyse.
Bruk derfor eksisterende kunnskap som grunnlag, men kontroller at:
- forutsetningene fortsatt gjelder
- analysen dekker den faktiske aktiviteten
- lokale forhold og grensesnitt er vurdert
- tiltakene er relevante og gjennomførbare
- endringer siden forrige vurdering er fanget opp
Målet er å unngå unødvendig dobbeltarbeid uten å kopiere vurderinger ukritisk.
4. Konsentrer innsatsen om det som er virksomhetsspesifikt
Prioriter forhold som er særegne for aktiviteten, organisasjonen eller arbeidsmiljøet. Det er ofte i kombinasjonen av mennesker, teknologi, arbeidsmåter og lokale forhold at de viktigste risikoene oppstår.
Vurder blant annet:
- avvik fra normal drift
- samtidige aktiviteter
- organisatoriske og tekniske grensesnitt
- menneskelige og organisatoriske faktorer
- endringer i utstyr, bemanning eller arbeidsmetoder
- beredskap dersom forutsetningene svikter
En risiko blir ikke redusert av at den er beskrevet i et skjema. Risikoreduksjon skjer først når nødvendige tekniske, organisatoriske eller menneskelige tiltak er gjennomført og fungerer som forutsatt.
5. Kommuniser og skap eierskap
Risikoinformasjon må deles med dem som skal ta beslutninger, utføre arbeidet eller følge opp tiltakene. Involver derfor relevante medarbeidere, ledere, verneombud, fagpersoner og andre berørte parter i analysearbeidet.
God involvering gir:
- bedre kunnskap om den faktiske arbeidssituasjonen
- flere perspektiver på årsaker og konsekvenser
- mer realistiske og gjennomførbare tiltak
- økt forståelse og eierskap
- større sannsynlighet for at tiltakene blir fulgt
En risikoanalyse som blir liggende ubrukt, reduserer ingen risiko. Informasjon skaper først verdi når den blir forstått og fører til bedre beslutninger eller endret praksis.
6. Følg tiltakene fra beslutning til dokumentert effekt
Mange analyser mister verdien sin etter at møtet er avsluttet. Tiltak blir formulert, men ansvar, frister og forventet effekt er uklare.
For hvert tiltak bør dere derfor avklare:
- Hva skal gjennomføres?
- Hvem har ansvaret?
- Når skal tiltaket være ferdig?
- Hvilke ressurser kreves?
- Hvordan skal gjennomføringen dokumenteres?
- Hvordan skal dere kontrollere at tiltaket faktisk virker?
Digitale løsninger som gir oversikt, varsling, ansvarstildeling og sporbarhet, kan gjøre oppfølgingen enklere. Verktøyet er likevel bare et hjelpemiddel. Effekten avhenger av tydelig ansvar, ledelsesoppfølging og en kultur der utestående tiltak blir håndtert.
I en kartlegging vi har gjort ser vi at 97% bruker manuelle systemer med ingen form for automatisk oppfølging av tiltak. Her kan Antenor Risk Management System bidra til en god risikostyring. Programvaren gjør det enkelt å tildele ansvar, følge opp frister og sikrer at tiltak faktisk blir gjennomført.
Ofte stilte spørsmål:
Hva er en risikoanalyse?
En risikoanalyse er en systematisk gjennomgang av hva som kan gå galt – eller hva som kan gi muligheter – i en aktivitet eller prosess. Målet er å identifisere risikoer og iverksette tiltak som reduserer sannsynlighet og konsekvens.
Hva er en Rosanalyse?
En ROS-analyse (risiko- og sårbarhetsanalyse) er en systematisk vurdering av hvilke uønskede hendelser som kan oppstå, hvor sannsynlige de er, og hvilke konsekvenser de kan få.
Formålet er å:
- Identifisere risikoer og sårbarheter
- Vurdere sannsynlighet og konsekvens
- Finne tiltak som reduserer risiko
ROS-analyser brukes ofte for å få et overordnet risikobilde, og er mye benyttet i både offentlig og privat sektor – spesielt innen beredskap, sikkerhet og planlegging.
En god ROS-analyse gir beslutningsstøtte og bidrar til å forebygge hendelser før de oppstår.
Hva er en HAZID og HAZOP? og hva er forskjellen
Dette er ulike metoder for risikoanalyse, tilpasset forskjellige behov:
- HAZID brukes for å identifisere farer tidlig i prosjekter
- HAZOP er en mer detaljert analyse av prosessavvik
Valg av metode avhenger av kompleksitet og formål.
Når er det krav om å gjennomføre risikoanalyse?
Krav til risikoanalyse finnes i en rekke lover, forskrifter og standarder, blant annet innen HMS, ISO-standarder og bransjespesifikke regelverk. I praksis er det ofte påkrevd ved:
- Nye prosjekter eller endringer i drift
- Innføring av nytt utstyr eller teknologi
- Arbeid med potensielle farer
Hvem bør lede og delta i en risikoanalyse?
En risikoanalyse bør ledes av en person med metodisk kompetanse og forståelse for risikostyring, men det er like viktig å involvere de som kjenner arbeidet i praksis.
Typisk bør følgende delta:
- Operativt personell med praktisk erfaring
- Fagansvarlige med teknisk innsikt
- Representanter fra ledelsen
Den som leder analysen trenger ikke nødvendigvis å være ekspert på selve aktiviteten, men må kunne strukturere arbeidet og sikre gode diskusjoner.
Den beste kvaliteten oppnås når man kombinerer metodekompetanse med praktisk erfaring fra virksomheten.
Hvor lang tid tar en risikoanalyse?
Tidsbruk varierer med omfang og kompleksitet. En enkel analyse kan gjennomføres på noen timer, mens større analyser kan ta flere dager. Det viktigste er ikke hvor lang tid det tar – men at analysen fører til konkrete og gjennomførbare tiltak.
Hva koster en risikoanalyse?
Kostnaden avhenger av kompleksitet, metodevalg og om dere bruker interne ressurser eller ekstern bistand. For mange virksomheter er den største kostnaden ikke selve analysen – men manglende oppfølging av tiltakene..
Bør vi bruke en programvare eller er Excel greit nok?
Det er ikke et krav, men en god programvare gjør arbeidet blir betydelig enklere og er tidsbesparende. Med riktig verktøy får dere:
- Bedre oversikt over risiko og tiltak
- Varsling og oppfølging av tiltak
- Dokumentasjon og sporbarhet
En god programvare øker sannsynligheten for at tiltak faktisk blir gjennomført. Noe som er den største utfordringen med risikoanalyser. Er du redd for kosten til en programvare. Hva koster en blemme som kunne vært unngått?
