Vi viser til din begjæring om innsyn datert 22. januar 2018.

Transkript

1 Returadresse: Helsedirektoratet, Pb St. Olavs plass, 0130 Oslo, Norge Olivia Paulsen Vi viser til din begjæring om innsyn datert 22. januar Du er blitt innvilget full tilgang til dokumentet 15/ Tilbakemelding vedrørende risiko og sårbarhet i helse- og omsorgssektoren - Helsetjenestens driftsorganisasjon for nødnett HF. Vennlig hilsen Anne Herseth Barlo e.f. direktør Helsedirektoratet Avdeling beredskap Anne Herseth Barlo, tlf.: Postboks 7000 St. Olavs plass, 0130 Oslo Besøksadresse: Universitetsgata 2, Oslo, Tlf.: Faks: Org.nr.: postmottak@helsedir.no

2 From: Anne Herseth Barlo Sent: 3. april :49 To: sektorros; Vegard Nore Subject: VS: Risiko og sårbarhet i helse- og omsorgssektoren -svar fra hdo Attachments: Risiko og sårbarhet i helse- og omsorgssektoren -svar fra hdo.docx Mvh Anne Fra: Ketil Are Lund [mailto:ketil.lund@hdo.no] Sendt: 3. april :47 Til: Anne Herseth Barlo Emne: Risiko og sårbarhet i helse- og omsorgssektoren -svar fra hdo Hei Denne er nå sendt til postmottak i Hdir. Hilsen/regards Ketil Are Lund Direktør strategi og virksomhetsstyring Helsetjenestens driftsorganisasjon for nødnett HF Besøksadresse: Hans Mustads gate 31, 2821 Gjøvik Postadresse: Postboks 72, 2801 Gjøvik Fakturaadresse: Postboks 72, 2801 Gjøvik (+47) ketil.lund@hdo.no

3 Helsedirektoratet Postboks 7000 St. Olavs plass 0130 Oslo Deres Ref.: Vår Ref.: Arkivkode: Dato: 17/ Risiko og sårbarhet i helse- og omsorgssektoren Helsetjenestens driftsorganisasjon for nødnett HF (HDO) viser til brev fra Helsedirektoratet vedrørende risikoog sårbarhet i helse- og omsorgssektoren datert (deres ref 15/ ). Justis- og beredskapsdepartementet gjennomførte i 2015 tilsyn med samfunnssikkerhets- og beredskapsarbeidet i Helseog omsorg. Tilsynet skriver i sin tilsynsrapport at oversikter over risiko og sårbarhet i helse- og omsorgssektoren er fragmentert. De anbefaler derfor HOD å "få utarbeidet en samlet oversikt over risiko og sårbarhet innenfor sektoransvaret som på en systematisk måte utnytter risiko- og sårbarhetsanalyser gjennomført av underliggende virksomheter". Videre fremgår det at "Departementet bør sørge for styrket systematikk knyttet til evaluering av hendelser og øvelser, implementering av nødvendige forbedringstiltak og sporbarhet av evaluering og implementering av tiltak". Helsedirektoratet er i denne sammenheng anmodet om å lede arbeidet med å videreutvikle en systematisk oversikt over risiko og sårbarhet i sektoren. Helsedirektoratet er videre anmodet om å innhente og bearbeide risiko- og sårbarhetsanalyser fra helsetjenestene og helseforvaltningen, erfaringer fra hendelser og øvelser, erfaringer fra tilsyn (med forvaltning og tjenester) mv. HDO implementerte i 2015 et eget konsept for Risk Management, og har etablert dette som en prioritert virksomhetsprosess i organisasjonen. Konseptet er basert på Nødnett Risk Assessment Framework (RAF) med tilhørende verktøystøtte for analyse, rapportering, sporing og kvantifisering av risiko og tiltak. Intensjonen er at konseptet skal dekke interne og eksterne forhold, herunder teknisk innføring av nødvendig utstyr til kontrollrom og radioterminaler, drift av operatørplasser og radioterminaler, samt operasjonelle og organisatoriske forhold i HDO. Konseptet omfatter: En systematisk prosess for Risk Management Klare roller og ansvar for Risk Management Verktøy for analyse og kvantifisering av risiko Kunnskaper, ferdigheter og holdninger innen risikobevissthet og Risk Management Retningslinjer for risikorapportering og kommunikasjon Figuren nedenfor gjengir prosess for systematisk håndtering av risiko i HDO. Prosessen består av 5 steg BESØKSADRESSE: POSTADRESSE: Tlf: Org.nr. Hans Mustads gate 31 Postboks 72 E-post: postmottak@hdo.no Gjøvik 2801 Gjøvik

4 De overordnede målene for å utføre Risk Management i HDO er: Å redusere sannsynligheten og konsekvens av negative hendelser. Å b elyse kritiske områder Å utnytte mulighetene som ligger i å ta proaktive beslutninger. Hensikten med Risk Management er: Sørge for risiko er riktig vurdert, prioritert og forvaltet samordne risikoappetitt og strategi Sikre at prioriterte risiki har en ansvarlig eier Fortsette å håndtere hendelser som har potensial til å påvirke Nødnett Gi trygghet for at risikoen styres systematisk forbedre beslutninger angående risikohåndtering Oppfylle nødvendige og relevante krav i regelverket Prioritere bruk av ressurser til effektivt å håndtere våre risiki Å redusere driftsrelaterte overraskelser og tap Å identifisere og håndtere sammensatte risiki og risiki som gjelder på tvers av virksomheten Å utnytte muligheter Status Det totale antall risikoer i HDO svinger noe fra måned til måned, men den samlede risikovurderingen i HDO viser en positiv fallende trend. Pr Februar 2017 er det indentifisert 18 risikoer på virksomhetsnivå i HDO. Det har vært en fallende trend på risikou tviklingen i HDO gjennom det siste året. Dette har bla sammenheng med at nødnettprosjektet er nærmere en nasjonal ferdigstillelse, og at finansiering av Retrofit er på plass. Videre har reimplementering av virksomhetsprosessene i HDO gitt økt innsikt og ko mpetanse i helheten av de leveranser HDO forestår. Implementeringen av strategien med tilhørende organisasjonsutvikling i HDO har avdekket og tydeliggjort styrker og svakheter i organisasjonen. HDO har gjennomført intern risikoworkshop og gjort en reorga nisering av eierskapet til risikoene i HDO. Som et resultat har et antall risikoer blitt lukket, og andre risikoer nedskalert - dette for d e risikoene som kun har en konsekvens for enkelt avdelinger i HDO. Siden arbeidet med risikoer er i en utviklings - o g modningsfase, er det naturlig at antall avdekkede risikoer vil svinge over tid. Antallet risikoer klassifisert som høye har sunket fra 3 til 1 siden September HDO jobber kontinuerlig med å håndtere risikoene gjennom å identifisere tiltak. Risikoreg isteret videreutvikles Side 2 av 5

5 kontinuerlig og brukes som grunnlag for bl.a. virksomhetsplan og statusrapportering for 2017, samt underlag til budsjettprosess og økonomisk langtidsplan. HDO vil jobbe videre med å tydeliggjøre og forankre risikobildet med eierne, DNK, brukerne og andre aktører, slik at de mest hensiktsmessige tiltakene kan gjennomføres for å redusere risikobildet. Figuren nedenfor gjengir risikoutviklingen i HDO siden forrige halvårlige rapport til styret i HDO i september 2016: Risikoutviklingen i rapporteringsperioden viser en netto nedgang på 25 risikoer i perioden august 2016 til februar Disse risikoene fordeler seg som følger Antall fra forrige rapport 41 (-) Risikoer som er lukket (+) Nye risiko som har kommet til (-) Risiko som er overført avdeling Status pr februar Følgende risiko er definert som høye (sannsynlighet x konsekvens). 1. Leverandørfeil CR - Kunde/brukere opplever for mange feil og lang rettetid på kontrollromsløsning en. i. Status: Risikomomentet er satt til «Høyt». ii. Tiltak: HDO jobber for å få leverandøren til å forstå kundens ansvar for å ivareta nødmeldetjenesten på en forsvarlig måte, og de konsekvenser feil i leveransene fra leverandøren kan forårsake. iii. Årsak til at risikoen er satt til «høy»: Helseforetak og legevakter kan bli pålagt bøter fra Helsetilsynet dersom de ikke tilfredsstiller gitte krav i lover/forskrifter. Usikkerhet blant oper atørene, gjør at de slutter å bruke nødnett. Kritiske situasjoner/hendelser kan oppstå som følge av at helsefaglig viktig funksjonalitet ikke fungerer som den skal, og dette kan i verste fall få konsekvenser for liv og helse. Internkontroll og avvik HDO sitt arbeid med risiko, internkontroll og avvikshåndtering har utviklet seg i en positiv retning siden etableringen av HDO i Høsten 2016 utarbeidet HDO en plan for å få synliggjort hvilke områder HDO bør gjennomføre en intern revisjon av. Formå let med revisjonsplanen er å: Side 3 av 5

6 - Ta et første steg mot en formalisert og systematisert tilnærming til risikostyring, prosessrevisjon og styringssystem i HDO - Sikre at alle risikofylte områder gjennomgås planmessig. - Sikre at revisjonsplanen hensyntar ledelsens ønsker og behov. - Optimalt fordele tilgjengelig menneskelige og økonomiske ressurser i prosessrevisjonen. - Sikre at prosessrevisjonen ved slutten av året har gjennomført tilstrekkelig med aktiviteter til å kunne uttale seg slik som det fremkommer i styrende dokumenter Revisjonsplanen er utarbeidet basert på avdelingsledernes risikovurdering, samt mottatte innspill fra ledelsen. Planen skal sikre at sentrale risikoer og utfordringer med hensyn til virksomhetens mål og strategier dekkes. Revisjonsplanen peker på at følgende områder bør prioriteres og revideres først: - Leverandør og kontraktsoppfølging - Sikkerhet og robusthet - ITIL prosesser - Styrende dokumenter Første område - revisjon av leverandør og kontraktsoppfølging ble iverksatt i desember 2016, og blir avslutte i mars Verdivurdering skjermingsverdige objekter HDO behandlet i styremøte 23.september 2013 «prosess for klassifisering av objekter og krav til maskinhaller.» (ref styresak ), og oversendte deretter en henvendelse til Helse- og omsorgsdepartementet (HOD). Grunnlaget for styresak og henvendelsen til HOD var en vurdering av Er tjenestene som produseres samfunnskritiske? Hva er akseptabel nedetid? Hvor lang er akseptabel omkoblingstid? Hvor mange driftsmiljøer? Hvor ønsker vi å ha driftsmiljøer? Nødnettet Helse er en del av Norges felles nødnett for Helse, Politi og Brannvesen. Nødnett Helse må derfor betraktes som en del av nasjonal kritisk infrastruktur på linje med Nødnett for de andre etatene. Denne typen nettverk kan være underlagt Sikkerhetsloven med tilhørende regelverk for sårbarhet og tilgjengelighet. Alle de tre etatene har en klar målsetning om høy tilgjengelighet og lav sårbarhet på nettverket, gjennom stabil drift, god kvalitet på tjenester som leveres, og en lav sårbarhet for nettverket generelt. Knutepunkter i nettverket og felleskomponenter som har flere brukere, er spesielt kritiske. Plassering og drift av disse er derfor viktig. Som følge av evalueringen av fase 0 av Nødnettleveransen til Helse samt pågående endringer i organiseringen av Helsesektoren er det fremkommet behov for justeringer i leveransen til helsetjenestens kontrollrom. Samferdselsdepartementet ved Post & Teletilsynet har tidligere gjennomført to sårbarhetsanalyser av Norske mobilaktører og Norske tilbydere av nettverks og telefonitjenester (Nexia og Styrmand). Disse rapportene drøfter problemstillinger som er svært like eller helt sammenfallende med de problemstillingene som er viktige for kontrollrom i Nødnett. Rapportene drøfter også feilsituasjoner som har oppstått med årsak, konsekvens og forebyggende tiltak. HDO HF har pt ikke fått noen tilbakemelding på vårt arbeid med Verdivurdering skjermingsverdige objekter. HDO HF håper dette brevet kan bidra til å tydeliggjøre risiko- og sårbarhetsbildet i helsesektoren, også fra et operativt og teknologisk perspektiv. Side 4 av 5

7 Med hilsen Helsetjenestens driftsorganisasjon for nødnett HF Lars Erik Tandsæther Administrerende direktør Ketil Are Lund Direktør Dette dokumentet er elektronisk godkjent, og har derfor ingen signatur. Side 5 av 5