SSF Säkerhetschef - Riskanalyser

Transkript

1 SSF Säkerhetschef - Riskanalyser Lars Zetterström Säkerhetskonsult KRONAN Säkerhet AB 365id AB Tel: e-post: lars@kronansakerhet.se 1 Mål med dagen Förstå hur riskanalyser är en naturlig del av det totala riskhanteringsarbetet Kunna begreppen i ISO avseende riskanalys Kunna genomföra en grovriskanalys och förstå svårigheter och möjligheter med dessa Känna till några vanliga riskanalysmodeller 1

2 Program Definitioner Syfte och användning ISO valda begrepp Grovanalys - metodik Grovanalys - övning Olika typer av riskanalyser Litteraturhänvisning Hamilton: Risk Management 2000 Kap 1-4 (till sidan 103) Livsmedelsverket: Hur säkert är ditt företag Sid: Sid: Praktisk säkerhet 2009: Sid 8-29 Övriga litteraturtips/fördjupning: Riskanalys Svenska Brandskyddsföreningen Handbok för riskanalys Räddningsverket Tekniska riskanalysmetoder Kemikontoret Risk Analysis and The Security Survey James F. Broder/Eugene Tucker 2

3 Definition av begreppet risk Med risk avses - sannolikheten för en ogynnsam händelse (olycka) - och konsekvenserna av denna händelse för liv, egendom eller miljö Enligt SRV Handbok i kommunal riskanalys 3

4 Externa krav Affärsidé/ verksamhetsidé Policy Riktlinjer Riskbedömning Riskbehandling Riskidentifiering Riskanalys Riskutvärdering Riskfinansiering Krishantering Mätning och kontroll Skydda Vilka tillgångar Trygghet/minskade är risker Robusthet målen och tillförlitlighet Kostnadseffektivitet med och lönsamhet Minimera säkerhetsarbetet? oplanerade avbrott Externa krav Affärsidé/ verksamhetsidé Policy Riktlinjer Omvärldsbevakning Omvärldsbevakning Riskanalys Riskfinansiering Riskhantering Riskvärdering Riskbehandling Krishantering Mätning och kontroll Trygghet Minskade risker Robusthet och tillförlitlighet Kostnadseffektivitet och lönsamhet Minimera oplanerade avbrott 4

5 När behöver ni riskanalyser i er verksamhet? Bikupa! Riskanalys används till vad? Underlag för: Säkerhetsmålsättningar Nya affärer Systembedömningar Bedömning av nya projekt Nya byggnader/verksamheter Uppdatera tidigare bedömningar 5

6 Varför riskanalys? Det skapar underlag för beslut Riskerna i rangordning prioritering Tydliggör de risker som verksamheten skapar Skapar engagemang Ett utmärkt sätt att överföra kunskap Skapar förutsättningar för att arbetet blir korrekt och fullständigt, gemensam plattform Ger underlag för ett kostnadseffektivt val av skyddsåtgärder Grupparbete Vilken lagstiftning kräver att just din verksamhet ska genomföra riskanalyser? 6

7 Lagstiftning AFS 2001:1 Systematisk arbetsmiljöarbete (senaste ändring 2008:15) 6 Arbetsgivaren skall fördela uppgifterna i verksamheten på ett sådant sätt att en eller flera chefer, arbetsledare eller andra arbetstagare får i uppgift att verka för att risker i arbetet förebyggs och en tillfredsställande arbetsmiljö uppnås. 8 Arbetsgivaren skall regelbundet undersöka arbetsförhållandena och bedöma riskerna för att någon kan komma att drabbas av ohälsa eller olycksfall i arbetet. När ändringar i verksamheten planeras, skall arbetsgivaren bedöma om ändringarna medför risker för ohälsa eller olycksfall som kan behöva åtgärdas. Riskbedömningen skall dokumenteras skriftligt. I riskbedömningen skall anges vilka risker som finns och om de är allvarliga eller inte. Lagstiftning SRVFS 2004:3 Allmänt råd om systematiskt brandskyddsarbete "Systematiskt brandskyddsarbete bör bedrivas såväl med avseende på förebyggande åtgärder som på de åtgärder som planeras i händelse av inträffad brand. Det innebär att ägare och nyttjare fortlöpande bör vidta de åtgärder som behövs för att få bort eller minska risken för brand. En bedömning av om brandskyddet är tillfredsställande bör omfatta byggnadens och verksamhetens samtliga brandskyddsåtgärder vägda mot de brandrisker som finns." 7

8 Lagstiftning Förordning (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap Krav på risk- och sårbarhetsanalys för myndigheter 8 Risk- och sårbarhetsanalys Varje myndighet ska i syfte att stärka sin egen och samhällets krisberedskap årligen analysera om det finns sådan sårbarhet eller sådana hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området. Vid denna analys ska myndigheten särskilt beakta 1. situationer som uppstår hastigt, oväntat och utan förvarning, eller en situation där det finns ett hot eller en risk att ett sådant läge kan komma att uppstå, 2. situationer som kräver brådskande beslut och samverkan med andra aktörer, 3. att de mest nödvändiga funktionerna kan upprätthållas i samhällsviktig verksamhet, och 4. förmågan att hantera mycket allvarliga situationer inom myndighetens ansvarsområde. Lagstiftning Förordning om intern styrning och kontroll (2007:603) FISKEN Riskanalys 3 En riskanalys skall göras i syfte att identifiera omständigheter som utgör risk för att de krav som framgår av 3 myndighetsförordningen (2007:515) inte fullgörs. 8

9 Lagstiftning Lag (2006:544, senaste ändring 2010:455) om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap Krav på risk- och sårbarhetsanalys för landsting och kommuner 2 Kap1 Analys och planering Kommuner och landsting skall analysera vilka extraordinära händelser i fredstid som kan inträffa i kommunen respektive landstinget och hur dessa händelser kan påverka den egna verksamheten. Resultatet av arbetet skall värderas och sammanställas i en risk- och sårbarhetsanalys. Kommuner och landsting skall vidare, med beaktande av risk- och sårbarhetsanalysen, för varje ny mandatperiod fastställa en plan för hur de skall hantera extraordinära händelser. Fler krav Säkerhetsskyddslagen (säkerhetsanalys) Miljökonsekvensutredningar Sevesodirektivet Plan- och Bygglagen Kap 2 (5 ) och 3 (10 ) Brandfarlig vara Maskindirektivet Olika branschspecifika lagkrav osv 9

10 Risk enligt ISO Risk osäkerhetens effekt på mål eller Faran för att en oönskad händelse negativt ska påverka möjligheten att nå ett uppställt mål! Med hot menar vi möjlig oönskad händelse som får negativa konsekvenser om det inträffar Riskanalys enligt ISO Process för att förstå riskens natur och för att avgöra risknivån En systematisk genomgång som ger kunskaper om verksamhetens risker 10

11 Två huvudtyper Kvantitativ riskanalys Historiska data PRA (Probabilistic Risk Analysis) QRA (Quantitative Risk Analysis) Kvalitativ riskanalys Subjektiva bedömningar Simuleringar/scenarioteknik Oftast den enda möjliga pga av saknad av relevant data Kvantitativ metod historiska data Informationen måste finnas tillgänglig Hur förhåller sig historien till framtiden Det kräver stort antal data Idealiskt för: Hårdvarufel Brand (bygg) Mänskliga fel Vattenskador 11

12 Kvalitativ metod subjektiva bedömningar Grupp bedömningar Resultat matriser Enkel och visuell Idealisk för: När det inte finns något underlag Att involvera personer Utveckling/informationsspridning Val av riskanalysmetoder Källa: ENTERPRISE RISK MANAGEMENT: TOOLS AND TECHNIQUES FOR EFFECTIVE IMPLEMENTATION, Institute of Management Accountants 12

13 ISO process för riskhantering Etablera kontext (sammanhanget) Extern Kulturellt, juridiskt, etc. Internt Organisationskultur Processer Ledning Riskhanteringsprocessen Definiera målsättning med riskhanteringen Ansvar Riskkriterier Hur ska risker mätas, värderas, etc. 13

14 Riskidentifiering Process för att upptäcka, kartlägga/känna igen och beskriva risker Mål Identifiera risker som kan inverka på måluppfyllnad Riskkällor, orsaker Möjliga konsekvenser Undersökning av dominoeffekter Metoder (exempel) Brainstorming Enkäter Branschjämförelser Scenarioanalys Riskworkshop Incidentutredningar Bow-Tie Revision/inventering Vanliga problem vid riskidentifiering Missar väsentliga risker pga. bristande kompetens eller bristande erfarenhet En aktiv grupp kan lätt hamna i problemlösning för tidigt För dåligt beskrivna risker För abstrakta eller på för hög nivå T ex Risk för att maskinen går sönder eller Risk att inte lyckas med internationell satsning 14

15 Riskanalysen Mänsklig tillförlitlighet P AEA P Avvikelseanalys P CRIOP P Felträdsanalys P Grovanalys P HAZOP P HEAT P Händelseträdsanalys P RIA P SLIM P THERP P What if? Tekniska system ü Avvikelseanalys ü ü ü ü ü ü ü ü ü Felträdsanalys FMEA Grovanalys HAZOP Händelseträdsanalys Indexmetoder QRA VTI-metoden What if? Organisationsstruktur ü Avvikelseanalys ü ü ü ü ü ü CRIOP HEAT MIMIX MORT RIA SMORT Riskutvärdering Syftar till att ge stöd, vid beslutsfattande, baserat på utfallet från riskanalysen om vilka risker som kräver prioritering och behandling Inkluderar även en jämförelse med aktuella lagar, bestämmelser och andra krav (oftast en miniminivå). Vilka risker kan accepteras utan åtgärd? 15

16 Riskbehandling Vilka olika alternativ finns för att modifiera risker? Fundera! Riskbehandling Omfattar att välja ett eller flera alternativ för modifiering av risker, samt att implementera dessa val. Alternativen kan omfatta att Undvika risken: välja annan lösning eller metod Ta eller öka risken för att kunna tillvarata en affärsmöjlighet Eliminera riskkällan Förebygga: förändra sannolikheten Begränsa: förändra konsekvensen Överföra eller dela risktagandet: genom avtal eller riskfinansiering Acceptera: bibehålla risken genom att fatta välgrundade beslut 16

17 Övergripande mål Företaget Exempel AB Det övergripande målet med företagets säkerhetsarbete är långsiktigt ökad lönsamhet och minskade risker samt trygghet och robusthet för våra kunder, myndigheter och oss själva, gällande våra produkter och tjänster. Minska osäkerheten för företagets ledning Kunskaper om hot, risker och lämpliga skyddsåtgärder erhålls genom regelbundna riskanalyser. Rutiner och instruktioner för säkerhet skall vara integrerade i företagets ledningssystem. 17

18 Riskanalys hur då? P Förankring i ledningsgruppen P Oftast i projektform P Projektgruppens sammansättning viktig P Vad skall analyseras denna gång? P Vad skall inte analyseras? P Tydlig målformulering P Metodval Grovanalys Identifiering av risker i ett system Analys avseende möjliga orsaker, befintligt skydd samt konsekvenser för verksamheten Bedömning av sannolikhet och konsekvens Beräkning av riskerna Värdering av riskerna/prioritering Förslag på olycksförebyggande och skadebegränsande åtgärder Brett användningsområde Enkel, snabb och billig 18

19 Grovanalys Objekt: Datum: Bedömningen utförd av: Riskvärdering Identifierad händelse/scenario Möjlig orsak/ riskkälla Konsekvenser/ driftstörning/ avbrott Befintligt skydd Sanno likhet Konsekvens (skadeobjekt) Risknivå Åtgärder S KL KEG KM KV S = sannolikhet KL = Konsekvens för liv och hälsa Risk = S x K KEG= Konsekvens för egendom och tillgångar KM = Konsekvens för miljö KV = Konsekvens för varumärke Exempel på riskmatris Sannolikhet Mycket sannolik Nästan säker Sannolik Kan mycket väl inträffa Mindre sannolik Kan kanske inträffa Osannolik Inträffar troligtvis inte Konsekvens Risknivå Bevakas Åtgärdas Åtgärdas omedelbart Åtgärdas omedelbart Bevakas Bevakas Åtgärdas Åtgärdas omedelbart Kan accepteras Bevakas Bevakas Åtgärdas Kan accepteras Kan accepteras Bevakas Åtgärdas Lindrig Kännbar Allvarlig Mycket allvarlig Inga nämnvärda störningar Skapar störningar Skapar svårighet Mycket svårt att nå målet 19

20 Bedömning av konsekvensen för liv och hälsa Hur många skalsteg är lämpligt? Vilka kriterier motsvarar varje skalsteg? Konsekvenser för liv och hälsa K L Klass 1. Lindrig, inga nämnbara störningar för verksamheten 2. Kännbar, skapar störningar 3. Allvarlig, skapar svårigheter att uppnå målet 4. Mycket allvarlig, mycket svårt att uppnå målet Karaktär Obehag eller obetydlig skada Övergående funktionsnedsättning, fortsatt vård för 1-2 personer Bestående måttlig funktionsnedsättning, fortsatt vård för 3 eller flera personer Flera dödsfall eller bestående stor funktionsnedsättning 20

21 Bedömning av konsekvensen för egendom och ekonomin Vilka kriterier motsvarar varje skalsteg? Konsekvenser för egendom K EG Konsekvenser för ekonomin K EK Klass 1. Lindrig, inga nämnbara störningar för verksamheten 2. Kännbar, skapar störningar 3. Allvarlig, skapar svårigheter att uppnå målet 4. Mycket allvarlig, mycket svårt att uppnå målet Karaktär Skadekostnader som understiger SEK Skadekostnader över SEK och upp till SEK Skadekostnader över SEK och upp till SEK Skadekostnader över SEK 21

22 Bedömning av konsekvensen för miljön (mark, vatten och luft) Vilka kriterier motsvarar varje skalsteg? Konsekvenser för miljön K M Klass 1. Lindrig, inga nämnbara störningar för verksamheten 2. Kännbar, skapar störningar 3. Allvarlig, skapar svårigheter att uppnå målet 4. Mycket allvarlig, mycket svårt att uppnå målet Karaktär Ingen sanering, liten utbredning till luft, vatten och mark Enkel sanering, liten utbredning till luft, vatten och mark Svår sanering, liten utbredning till luft, vatten och mark Svår sanering, stor utbredning till luft, vatten och mark 22

23 Bedömning av konsekvensen för varumärket Vilka kriterier motsvarar varje skalsteg? Konsekvenser för varumärket K V Klass 1. Lindrig, inga nämnbara störningar för verksamheten 2. Kännbar, skapar störningar 3. Allvarlig, skapar svårigheter att uppnå målet 4. Mycket allvarlig, mycket svårt att uppnå målet Karaktär Visst tillfälligt obehag, dåligt rykte, enstaka uppmärksamhet i media Dåligt rykte, uppmärksamhet i media, risk att tappa enstaka kund Dåligt rykte, upprepad uppmärksamhet i media, risk att tappa viktiga kunder Risk att förlora en avgörande mängd kunder, risk för nedläggning 23

24 Bedömning av sannolikhet Vilka kriterier motsvarar varje skalsteg? Grovanalys - sannolikhet Klass 1. Osannolik, inträffar troligen inte 2. Mindre sannolik, kan kanske inträffa 3. Sannolik, kan mycket väl inträffa Karaktär Mer sällan än inom 15 år Kan inträffa inom 15 år Kan inträffa inom 1-4 år 4. Mycket sannolik Kan inträffa flera gånger per år 24

25 Tillbudspyramiden Övning: Riskanalys Genomför en grovanalys, identifiera de 3 allvarligaste riskerna ( övningsförutsättning) Grupp 1 och 2 brandrisker som kan orsaka avbrott Grupp 3 och 4 alla andra avbrottsrisker Genomför Riskinventering Riskanalys Riskutvärdering Rollfördelningen i gruppen 25

26 Verktyg Det finns många olika typer av verktyg men de används sällan RAM Cobra (ISO 27000) REXSYS (MS) RISK PAC (utbildning) Ibero (Lst i Stockholm) Det vanligaste som används är checklista Val av riskanalysmetoder Ingen tydlig beställning av metod? Syftet? Ingen komplicerad process? Enkelt att komma igång? Ingen extern expertis? Tillgängliga resurser? Tidigt i processen? Första gången? Gör en grovanalys! 26

27 Val av riskanalysmetoder Kvalitativa P Checklistor P Grovanalys P HAZOP P What if? P MORT P SMORT P AEA P Avvikelseanalys P CRIOP P HEAT P MIMIX P RIA ü Indexmetoder ü THERP ü FMEA ü SLIM Kvantitativa ü Felträdsanalys ü Händelseträdsanalys ü VTI-metoden ü QRA Val av riskanalysmetoder Analysobjekt/metod Kort beskrivning Checklistor Indexmetoder Grovanalys (eller preliminär riskanalys) SBA-metoden Avvikelseanalys HAZOP (HAZard and Operability study) Kontroll av standardbetonade system gentemot en förutbestämd lista. Stöd vid riskidentifiering. Identifiering och klassificering av riskkällor inom processindustrin Metod för översiktlig identifiering och bedömning av riskkällor Metod för identifiering och bedömning av scenario Metod för identifiering och analys av vilka avvikelser som kan uppkomma och risker med detta (jfr What-If) Analys av möjliga risker/störningar i process (och andra) anläggningar med hjälp av systematiska ledord. 27

28 Val av riskanalysmetoder Analysobjekt/metod Kort beskrivning Felträdsanalys (fault Tree Analysis, FTA) Händelseträdsanalys (Event Tree Analysis, ETA) Analys av mänsklig tillförlitlighet MTO (Människa/Teknik/ Organisation Kvantitativa metoder inom brand - Scenarioanalys - Händelseträd Trädmetod Analys av orsaker till en given händelse Trädmetod Analys av alternativa konsekvenser av en given händelse Samlingsnamn för en hel grupp av analysmetoder som används för att uppskatta människans grad av tillförlitlighet i en given situation Analys av samspel Människa Teknik - Organisation Metoder för t ex verifikation av att utrymning kan företas innan kritiska förhållanden uppstår eller analys av sannolikhet för detta. Val av riskanalysmetoder Mänsklig tillförlitlighet P AEA P Avvikelseanalys P CRIOP P Felträdsanalys P Grovanalys P HAZOP P HEAT P Händelseträdsanalys P RIA P SLIM P THERP P What if? Tekniska system ü Avvikelseanalys ü Felträdsanalys ü FMEA ü Grovanalys ü HAZOP ü Händelseträdsanalys ü Indexmetoder ü QRA ü VTI-metoden ü What if? Organisationsstruktur ü Avvikelseanalys ü CRIOP ü HEAT ü MIMIX ü MORT ü RIA ü SMORT 28

29 Val av riskanalysmetoder Identifieringsmetoder grovanalys, What-if, HAZOP och FMEA En definierad händelse Felträds- och händelseträdsanalyser Val av riskanalysmetod Osäker på vad du ska välja? Låt en expert på riskanalyser välja metod! 29

30 HAZOP Hazard and Operability Study Kartlägga och identifiera risker i ett system Används främst inom kemisk processindustri Utgår ofta från ett flödesschema Ledord avvikelse från normal funktion Ger en heltäckande bild av riskerna Tid- och resurskrävande Kräver stor erfarenhet 30

31 What if? Identifiera möjliga oplanerade händelser (brainstorming av avvikelser) Mest utbredd inom olje- och kem-industrin T ex vad händer om lagret går varmt? Många frågor högre kvalitet Kräver ingen djup teoretisk bakgrund, men erfarenhet och analysgruppens sammansättning viktig Snabb och billig 31

32 Risk och sårbarhetsanalys Riskbedömning riskidentifiering riskanalys riskutvärdering MVA ROSA IBERO Osv. Sårbarhetsbedömning Sårbarhetsanalys Sårbarhetsanalysen syftar till att detaljerat analysera hur allvarligt och omfattande en specifik händelse påverkar den egna organisationen (eller samhället). En sårbarhetsanalys analyserar ett eller flera scenarier i avsikt i att identifiera olika sårbarheter på ett mer detaljerat sätt än den inledande riskanalysen. 32