Sikringsrisikovurderingen er det sentrale grunnlaget for risikoidentifikasjonen. I NS 5814 er trefaktormodellen innlemmet i sannsynlighet og konsekvensvurderingen. Sikringsrisikovurderingen gir grunnlag for å vurdere effekten av planlagte/besluttede tiltak, og er et viktig grunnlag for fastsettelse av både sannsynlighet og konsekvenser for trusselscenarioene.
Vurdere sårbarhet, sannsynlighet og konsekvens#
Målet er å kartlegge og beskrive graden av sårbarhet et system (lokasjonen, tomt, sykehuset, sykehusavdeling/-funksjon, delsystem mv.) har ovenfor definerte trusselscenarioer. Vurderingen gjøres skjønnsmessig av analysegruppen for hvert spesifiserte trussel-scenario.
Følgende sjekkpunkter skal benyttes:
Systemets robusthet / motstandsevne#
- Barrierer:
- Hvilke barrierer er etablert som vil yte motstand mot trusselaktøren i det aktuelle trusselscenarioet? Eksempelvis fysiske, elektroniske, organisatoriske og/eller menneskelige barrierer.
- Barriereytelse:
- Har den spesifiserte trusselaktøren kapasitet til å forsere sikkerhetstiltakene? En stor og bevæpnet psykiatrisk pasient har for eksempel stor kapasitet ovenfor en kroppslig underlegen sykepleier.
- Deteksjon:
- Hvilke deteksjonsmuligheter fins, og vil hendelsen bli verifisert? Finnes det for eksempel voldsalarm eller videoovervåkning som vil kunne fange opp en hendelse?
- Reaksjonsmuligheter:
- Hvilke rutiner finnes for reaksjon når en hendelse inntreffer? Vil reaksjonsstyrken rekke fram i tide til å stanse trusselaktøren? Finnes det for eksempel en vektertjeneste eller en beredskapsplan som sørger for bistand fra andre avdelinger ved hendelse?
- Sikkerhetskultur:
- Hvordan er sikkerhetskulturen i virksomheten? Er virksomheten (eller tilsvarende virksomhet) kjent for å gjennomføre risikovurderinger, følge opp sikkerhetsrutiner og tenke sikkerhet i alle ledd?
Systemets evne til å gjenopprette funksjonsevne#
- Redundans:
- Er det etablert redundans for de viktigste funksjonene eller verdiene? Finnes det for eksempel flere systemer eller ressurser som kan ivareta samme funksjon, eller kan dette enkelt skaffes eksternt?
- Beredskapsplaner:
- Finnes det beredskapsplan for trusselscenarioet?
Sannsynlighet angis ved å vurdere om det finnes trusler mot analyseobjektet og om objektet har sårbarheter som gjør det utsatt. Trusselnivået uttrykker hvor sannsynlig det er at en aktør med kapasitet og vilje vil forsøke å skade, forstyrre eller ødelegge i løpet av byggets levetid. Aktørens kapasitet varierer med type aktør og metode, og må vurderes opp mot tiltak som kan redusere sannsynligheten for at handlingen skjer eller lykkes. Statistikk, erfaring og modellering kan støtte vurderingen, men relevansen må alltid vurderes opp mot det konkrete analyseobjektet.
Veiledende klassifisering av sannsynlighet for trusselscenarioer#
- SVÆRT HØY (5) - mørk rød
- Tilgjengelig data tilsier at hendelsen må forventes å skje i løpet av sykehusets levetid (>95%). Motivasjon: Systemet har store svakheter, ingen eller svært svake barrierer, manglende deteksjon og reaksjonsmuligheter, og lav sikkerhetskultur. Trusselaktøren har høy kapasitet til å forsere tiltak. Ingen redundans eller beredskapsplaner finnes, og funksjonen vil være ute av drift i lang tid.
- HØY (4) - Rød
- Tilgjengelig data tilsier at hendelsen er mer sannsynlig enn usannsynlig (70-95%). Motivasjon: Systemet har betydelige svakheter og begrensede barrierer. Deteksjon og reaksjon er delvis etablert, men ikke tilstrekkelig til å stoppe en trusselaktør med moderat kapasitet. Redundans og beredskapsplaner er svake eller mangelfulle, og nedetiden vil være lang.
- MODERAT (3) - Gul
- Tilgjengelig data tilsier at hendelsen er omtrent like sannsynlig som usannsynlig (30-70%). Motivasjon: Systemet har enkelte svakheter, men barrierer og deteksjon finnes og gir noe motstand. Reaksjonsevne er moderat, og sikkerhetskulturen er akseptabel. Redundans og beredskapsplaner finnes, men er ikke fullt ut dekkende. Nedetiden kan bli betydelig, men ikke kritisk.
- LAV (2) - Lys grønn
- Tilgjengelig data tilsier at hendelsen er mindre sannsynlig enn usannsynlig (5-30%). Motivasjon: Systemet har små svakheter og gode barrierer. Deteksjon og reaksjon er godt etablert, og sikkerhetskulturen er sterk. Redundans og beredskapsplaner sikrer rask gjenoppretting. Konsekvensene vil være begrensede.
- SVÆRT LAV (1) - Grønn
- Tilgjengelig data tilsier at hendelsen er svært lite sannsynlig (<5%). Motivasjon: Systemet har ingen kjente svakheter, sterke barrierer, effektiv deteksjon og reaksjon, og en godt forankret sikkerhetskultur. Redundans og beredskapsplaner sikrer at funksjonen opprettholdes eller raskt gjenopprettes. Konsekvensene vil være minimale.
To eksempler på bruk av metoden:#
Trusselscenario A (konsept: fredstid):
Voldshandling, hvor en psykotisk pasient (uten våpen) angriper en ansatt på en lukket avdeling for psykisk helsevern.
Pasientens intensjon og kapasitet om å utføre vold mot den ansatte (verdien) vurderes som høy. Den ansatte og pasienten vurderes å være relativt jevnbyrdige kapasitetsmessig.
Sykehuset har ikke planlagt med sikringstiltak som vil bidra til at ansatte raskt kan varsle ved en voldshandling og utformet rom på en slik måte at det er vanskelig for pasient å utføre vold mot ansatt.
Sannsynlighetskategori ender på «høy».
Trusselscenario B (konsept: fredstid):
Terrorangrep med kjøretøybombe mot resepsjonsområdet i et sykehus.
Intensjonen for aktuelle trusselaktører (terrorister) vurderes som lav ovenfor norske sykehus slik vi vurderer situasjonen i Norge i dag. Det vil si at vi ikke forventer at trusselaktørene vil rette sine handlinger mot dette sykehuset. Det finnes mer naturlige målvalg for trusselaktørene. Kapasiteten til eventuelle trusselaktører vurderes som stor. Når vi ser på statistikken finner vi ikke denne typen handlinger i norske sykehus, men lignende scenarioer har skjedd ved sykehus i andre vestlige land.
Det er planlagt med landskapsbarrierer og trapp utenfor resepsjonsområdet som ikke muliggjør at kjøretøy kan parkere utenfor resepsjonsområdet.
Sannsynlighetskategori ender på «lav».
Konsekvensklassene innenfor verdikategorier #
Under finner du beskrivelse av konsekvensklassene innenfor verdikategoriene «liv og helse», «operativ evne» og «omdømme».
Nivå: Katastrofal (5) - mørk rød#
Liv og helse:
- Flere omkomne.
Operativ evne:
- Sykehuset kan ikke utføre sine oppgaver innenfor enkelte eller flere områder som følge av en uforutsett hendelse.
- Umiddelbart fare for tap av flere liv pga følgehendelser.
Omdømme:
- Meget store politiske og nasjonalt destabiliserende konsekvenser. Tap av all tillit, som fører til at pasienter og henvisende instanser velger bort sykehuset. Sykehuset settes under administrasjon.
Nivå: Svært høy (4) - rød#
Liv og helse:
- Svært store skader på en eller flere personer som medfører lengre sykefravær, varige mén og/eller død.
Operativ evne:
- Alvorlig svikt eller stans i en eller flere lovpålagte livsviktige medisinske tjenester.
- Fare for tap av liv pga følgehendelser.
Omdømme:
- Omdømmet for sykehussektoren er omfattende skadet, alvorlig fravær av tillit. Pasienter og henvisende instanser starter å velge bort sykehuset.
Nivå: Høy (3) - oransje#
Liv og helse:
- Store skader på en eller flere personer som medfører lengre sykefravær og/eller varige mén.
Operativ evne:
- Tjenesten blir utført, men med betydelig svekket kvalitet.
- Det er brudd på retningslinje/prosedyre som kan sette liv og helse i fare.
Omdømme:
- Omdømme skades alvorlig, nasjonal negativ mediedekning, redusert tillit. Brudd på god praksis, som kan sette liv og helse i fare.
Nivå: Moderat (2) - gul#
Liv og helse:
- Skader på én eller flere personer som medfører sykefravær og/eller behov for behandling i etterkant.
Operativ evne:
- Kvalitetsforringelse på tjenesten. Noen tjenester kan ikke utføres innen akseptabelt tidsrom. Indikasjoner på at retningslinje/ prosedyre ikke følges i tilstrekkelig grad.
- Langvarig situasjon medfører store utfordringer knyttet til behandling av pasienter, men ingen umiddelbar fare for tap av liv pga følgehendelser.
Omdømme:
- Omdømme kan alvorlig skades. Kortvarig og lokal negativ eksponering. Kan medføre redusert tillit.
Nivå: Lav (1) - lys grønn#
Liv og helse:
- Ubetydelige til mindre skader på personer. Medfører ikke sykefravær eller behov for behandling i etterkant.
Operativ evne:
- Tjenesten blir vanskelig eller uvanlig arbeidskrevende å utføre.
- Langvarig situasjon kan medføre utfordringer knyttet til behandling av pasienter, men ingen fare for tap av liv pga følgehendelser.
Omdømme:
- Ubetydelig negativ eksponering.
Arbeidsskjemaer for risikoanalyse#
Arbeidsskjemaene er eksempel på verktøy som brukes for vurdering av sikringsrisiko fra konseptfase steg 2 og videre, tilpasset prosjektets detaljeringsgrad. Målet er å identifisere sårbarheter og legge grunnlaget for videre sikringsarbeid. Prosjektet må vurdere om det er hensiktsmessig å bruke sannsynlighets- og konsekvenskategorier, og begrunne dette. Slike kategorier kan gi struktur og støtte beslutninger, men må brukes med omtanke. Ved begrenset kunnskapsgrunnlag kan kategorisering føre til feilprioriteringer og at viktige, kostnadseffektive tiltak overses. Valg om bruk av kategorier må derfor være bevisst og dokumentert, og tilpasses formålet og konteksten for vurderingen.
Se hele skjemaet som vedlegg: Analyseskjema med sannsynlighets- og konsekvenskategorier
