De fleste organisationer kan godt lave en ROS-analyse. Det svære er at få den til at betyde noget bagefter.
En risiko- og sårbarhedsanalyse bliver alt for ofte til et dokument, der bliver godkendt, arkiveret og glemt, indtil næste tilsyn eller næste opdateringscyklus tvinger den frem igen. Metoden er fulgt, matricen er farvelagt, kravet er opfyldt. Og alligevel har analysen ikke ændret en eneste beslutning.
Denne artikel handler om det, der adskiller de analyser, der ender i skuffen, fra dem, der faktisk flytter noget. Hvis du mangler det grundlæggende om metoden, så start med vores guide til risikovurdering (ROS). Her går vi videre til praksis.
Analysen er ikke leverancen. Beslutningen bagefter er. En trusselsvurdering skaber ikke robusthed i sig selv. Det gør først den handling, der følger efter den.
Hvorfor ROS-analyser ender i skuffen
Når en analyse ikke bliver brugt, er årsagen sjældent, at metoden var forkert. Den er som regel en af disse:
Den blev lavet af én person. En risikoejer udarbejder analysen alene og sender den videre til ledelsen. Modtageren skal så forholde sig til et output uden at kende drøftelserne, mellemregningerne og forudsætningerne bag.
Ledelsen kom først ind til sidst. Når konsekvenser og prioriteringer præsenteres som færdige tal, er der intet ejerskab. Ingen har hånden på kogepladen.
Der blev aldrig lavet en handleplan. Analysen sluttede ved matricen. Ingen fik ansvar, ingen fik en deadline, intet blev fulgt op.
Den blev aldrig opdateret. Trusselsbilledet flyttede sig, men analysen blev stående. Efter et halvt år afspejler den en virkelighed, der ikke findes mere.
Fælles for dem alle er, at analysen blev behandlet som en aflevering i stedet for som starten på en samtale.
Involvér ledelsen i selve analysen, ikke bagefter
Det greb, der oftest gør forskellen, er, hvornår ledelsen bliver inddraget.
Hvis den strategiske ledelse først ser analysen, når den er færdig, bliver deres rolle at godkende eller afvise et output, de ikke var med til at forme. Inddrager man dem derimod undervejs, særligt når konsekvenserne af de forskellige risici skal vurderes, opstår der en forståelse på tværs af niveauer, som er svær at genskabe bagefter.
Når den øverste ledelse har været med til at vurdere konsekvensen af et scenarie, er det langt lettere at sikre opbakning og finansiering til de tiltag, der skal mindske risikoen. De har selv siddet med problemet. Opbakning skabes ikke af en god præsentation. Den skabes gennem fælles ejerskab.
Man kan ikke gøre det ved hver eneste analyse, og modenheden på ledelsesniveau er forskellig. Er den operationelle forståelse høj, giver tidlig involvering mest. Er den lavere, kan det give mere værdi at præsentere gennemarbejdede scenarier, som ledelsen så tager stilling til. Men princippet står: jo tidligere de rette risikoejere er med, jo større gennemslagskraft får analysen efterfølgende.
Driften kender allerede risiciene
Der hersker en myte om, at risikoarbejde er noget, der kommer oppefra og ud i organisationen. I virkeligheden har driften altid arbejdet med risiko. De kender deres anlæg, de ved, hvor det gør ondt, og de tager højde for det hver dag.
Det, de ikke nødvendigvis har gjort, er at arbejde struktureret med det. Og det er præcis her, det går galt, når en kompleks metode lander oppefra: springet fra deres praktiske viden til en formel analyse bliver for stort. Ikke fordi de ikke forstår risiko, men fordi sproget og formatet er fremmed.
Løsningen er ikke at oversætte for dem. Det er at bygge broen sammen med dem.
En bonus ved formatet: fundene stopper ikke ved workshoppen. Når man begynder at udbedre det, der kom på handleplanen, dukker der ofte nye ting op. For eksempel et serverrum, der blev flyttet, uden at nødstrømmen blev tilsluttet korrekt. Eller et brandanlæg, der ikke dækkede det, man troede, på grund af en misforståelse med leverandøren. Struktureret risikoarbejde afslører den slags, fordi det tvinger jer til at kigge efter.
Fra matrix til handleplan
En risikovurdering er kun værdifuld, hvis den fører til handling. Det lyder banalt, men det er her, de fleste analyser dør.
For hvert rødt og gult risikoområde skal der ligge et konkret svar: Hvad gør vi for at reducere risikoen? Hvem er ansvarlig? Hvornår er det gjort? Uden de tre ting er matricen bare et farvet billede.
Risikoscoren er et resultat af en vurdering, ikke en objektiv måling. To kvalificerede fagfolk kan nå frem til forskellige tal for samme scenarie, og det er ikke et problem. Værdien ligger i den samtale, der får forskellen frem. Prøv ikke at gøre noget dybt subjektivt til noget objektivt. Gør i stedet vurderingen god ved at have de rigtige mennesker med.
Et lille, praktisk greb: brug en matrix med et lige antal felter, for eksempel 4x4. En 3x3 eller 5x5 gør det for let at lægge sig bekvemt i midten. Et lige antal tvinger jer til at tage stilling til, om noget hælder mod lavt eller højt.
Verificér, at tiltagene virker
Her er det trin, næsten alle springer over.
Når et tiltag er sat i værk for at reducere en risiko, hvor mange kontrollerer så bagefter, at det faktisk virker? At data kan gendannes fra sikkerhedskopien inden for den tid, I regner med? At redundansen rent faktisk træder til? At beredskabsplanen holder, når den bliver afprøvet?
En risiko, I tror er reduceret, men aldrig har verificeret, er stadig en åben risiko. Test derfor de vigtigste foranstaltninger: gendan fra sikkerhedskopien, kør en øvelse, afprøv den manuelle drift. Det er forskellen på dokumenteret robusthed og forhåbning.
Gør analysen levende
En ROS-analyse må ikke være et statisk øjebliksbillede. Den skal være et værktøj, der løbende kalibreres ud fra det, I observerer: hændelser, afvigelser, nye trusler, ændringer i anlæg eller organisation.
Det betyder to ting i praksis. For det første at ledelsen med faste mellemrum ser og vurderer det aktuelle risikobillede, ikke bare godkender en årlig rapport. For det andet at nye trusselsvurderinger faktisk omsættes til opdaterede scenarier og reviderede handleplaner, i stedet for bare at blive noteret.
ROS-analysen bliver først rigtig stærk, når den ikke står alene som en teknisk øvelse, men kobles til organisationens mål. Hvilke risici kan forhindre os i at nå det, vi vil? Hvor er vores største sårbarheder? Når risiko kobles til strategi, går analysen fra dokumentation til aktiv ledelsesinformation.
For energiselskaber, der er omfattet af BEK 260, gælder det samme, selvom scenariemetoden er kvalitativ og svær at gøre målbar. Den tvinger jer til at forholde jer til, hvad konsekvensen er, når noget kritisk går ned, og den øvelse giver et ret klart billede af jeres modenhed. Men billedet er kun noget værd, hvis det ender i handleplaner, der bliver fulgt op.
Praktisk tjekliste
De organisationer, der får mest ud af deres risikoarbejde, behandler ikke analysen som målstregen. De behandler den som startskuddet til dialog, prioritering og opfølgning. Alt andet ender i skuffen.
Se, hvordan RiskFinder gør risikovurderingen operationel, fra scenarie til handleplan, med indbygget opfølgning. Har I brug for at koble den til jeres kontinuitetsarbejde, starter mange med en kontinuitetsanalyse (BIA).