RISIKO- OG SÅRBARHETSANALYSE AV KUNNSKAPSSEKTOREN. Kunnskapsdepartementet 2015

Transkript

1 RISIKO- OG SÅRBARHETSANALYSE AV KUNNSKAPSSEKTOREN Kunnskapsdepartementet 2015 Kortversjon 2015

2 Innhold 1. Bakgrunn og mål Analyseobjektet Rammer for arbeidet Tolkning av kravene i instruksen DSB-veiledere Delanalyser og ulike fremgangsmåter Risikoanalyse og evaluering av barnehage- og opplæringssektoren og universitets- og høyskolesektoren Prinsipper for kvalitet og gjennomføring av risikoanalysene Verdier, konsekvenser og sannsynlighet Mer om fremgangsmåten Risikovurdering av barnehage- og opplæringssektoren Scenarioene - barnehage- og opplæringssektoren Risikoanalyse av barnehage- og opplæringssektoren Risikovurdering av barnehage- og opplæringssektoren Risikovurdering av universitets- og høyskolesektoren Scenarioene - universitets- og høyskolesektoren Risikoanalyse av universitets- og høyskolesektoren Risikovurdering av universitets- og høyskolesektoren Risikoanalyse og vurdering av andre underliggende virksomheter Kort om fremgangsmåten Uønskede hendelser blant andre virksomheter Risikoanalyser av andre virksomheter Risikovurdering av andre virksomheter

3 FORORD I 2015 gjennomførte Kunnskapsdepartementet (KD) en risiko- og sårbarhetsanalyse av kunnskapssektoren (Sektor-ROS). Arbeidet følger av krav i instruks fra Justis- og beredskapsdepartementet (JD), nedfelt i Kgl. resolusjon av 15. juni Det er avgjørende for departementene å ha oversikt over risiko og sårbarhet i egen sektor for å kunne vurdere og iverksette tiltak for å redusere risikoen og sårbarheten. Et annet viktig og nylig utført arbeid lå til grunn for Sektor-ROSen; arbeidet med å klargjøre KDs sektoransvar for samfunnssikkerhet og beredskap. Kunnskapssektoren er stor og svært sammensatt. Den omfatter om lag 1,5 millioner barn, unge og voksne. Det er stor variasjon - i størrelsen på virksomhetene, i eierskapet og hvilke styringsvirkemidler som brukes. Hvordan skal departementet operasjonalisere sitt ansvar for samfunnssikkerhet og beredskap overfor denne mangslungne sektoren? Anbefalingene fra arbeidet med å klargjøre ansvaret for samfunnssikkerhet og beredskap i kunnskapssektoren var derfor et svært viktig bidrag for å definere omfanget av Sektor-ROSen. Sektor-ROS har gått ut på å analysere hvilke alvorlige farer og trusler som kan ramme kunnskapssektoren og gi anbefalinger til hva som kan gjøres for å redusere den risikoen som foreligger. En del av Sektor-ROS er scenariobasert og har tatt utgangspunkt i Nasjonalt risikobilde Analysen viser at kunnskapssektoren kan bli rammet av svært ulike typer hendelser. De har blitt delt inn i kategoriene naturhendelser, store ulykker og tilsiktede handlinger. Dette skyldes blant annet at vi har virksomheter over hele landet og at virksomhetene er så forskjellige. Den scenariobaserte delen av analysen viser at ingen hendelser havner på "rødt" område (høy risiko) i risikodiagrammet. Flere havner imidlertid på gult (middels risiko) og kan dermed på ingen måte ignoreres. Arbeidet med analysen er gjennomført i denne omgang. Nå gjenstår det å følge opp de tiltakene som er identifisert, og i tillegg kommer kriseøvelser og annet beredskapsarbeid! Trond Fevolden 2

4 1. BAKGRUNN OG MÅL Instruks for departementenes arbeid med samfunnssikkerhet og beredskap og Justis- og beredskapsdepartementets samordningsrolle (heretter "instruksen"), fastsatt gjennom kongelig resolusjon 15. juni 2012, stiller krav til at departementene skal ha oversikt over risiko og sårbarhet i egen sektor. I 2015 gjennomførte KD en risiko- og sårbarhetsanalyse av kunnskapssektoren (Sektor-ROS). Det foreligger en lengre intern rapport der fremgangsmåte og metode for sektor-rosen er utførlig beskrevet og med en rekke vedlegg: "Risiko- og sårbarhetsanalyse av kunnskapssektoren arbeidsgrupperapport, april 2015". I denne kortversjonen vies mest plass til selve analysedelen og mindre til fremgangsmåte og metode. Kortversjonen er tenkt å kunne deles med andre virksomheter. Hovedmålet for analysen har vært å gjennomføre risiko- og sårbarhetsvurderinger av kunnskapssektoren. Delmålene for analysen var å 1 : 1. Analysere hvilke alvorlige farer og trusler som kan ramme kunnskapssektoren (risiko). 2. Vurdere kunnskapssektorens evne til å fungere under påkjenning (sårbarhet). 3. Evaluere hvordan risiko og sårbarhet bør håndteres og foreslå nye forebyggende og skadereduserende tiltak (samlet omtalt som risikoreduserende tiltak). 2. ANALYSEOBJEKTET Et av de første trinnene i en ROS-analyse er å definere og beskrive analyseobjektet. KD har arbeidet med å avklare ulike problemstillinger knyttet til avgrensning av KDs sektoransvar for samfunnssikkerhet og beredskap (SoB). KD har konkludert med at alle de underlagte virksomhetene, barnehagesektoren, det meste av opplæringssektoren og en rekke private aktører i UH-sektoren er definert innenfor SoB-ansvaret. Sektor-ROSen er i utgangspunktet en analyse av kunnskapssektoren og dens aktører i henhold til sektoransvaret. Samtidig ble de delsektorene der det drives opplæring og forskning, dvs. barnehager, grunnskoler og videregående skoler, universiteter og høyskoler, definert som viktige samfunnsfunksjoner og vektlagt i noe større grad enn andre deler av sektoren. 3. RAMMER FOR ARBEIDET 3.1 Tolkning av kravene i instruksen Instruksen og "Veileder for departementenes systematiske samfunnssikkerhets- og beredskapsarbeid" utgitt av DSB i 2015 bruker begrepene "oversikt over risiko og sårbarhet", "risiko- og sårbarhetsvurderinger" og "risikoanalyser". KD har hatt en gjennomgang av hva som ligger i disse begrepene og hva KD er pålagt å gjøre. 1 Det var et 4. mål for analysen: 4. Foreslå hvordan departementet kan holde seg oppdatert om risiko og sårbarhet i sektoren. Dette ligger noe utenfor det som normalt inngår i mandatet for en ROS-analyse og utelates fra dette sammendraget. 3

5 Med bakgrunn i veilederen fra DSB er det lagt til grunn at kravene i instruksen innebærer: (1) gjennomføring av en ROS-analyse av sektoren (2), evaluering av risiko og sårbarhet, dvs. at ansvarlig myndighet tar stilling til om identifisert risiko er akseptabel eller om det må gjennomføres risikoreduserende tiltak, 3) identifisering av behov for nye risikoreduserende tiltak. Veilederen understreker at kravet til departementet er at det skal ha oversikt over risiko og sårbarhet og gjøre risikovurderinger, ikke at en spesiell metode skal anvendes. Det kan anvendes en rekke forskjellige metoder for å skaffe oversikt. Hva som er den mest hensiktsmessige metoden vil avhenge av formålet med analysen og ønsket detaljeringsnivå. Oversikten bør imidlertid inneholde følgende to elementer: - Vurdering av risiko knyttet til hendelser som departementet har et ansvar for å forebygge eller håndtere. - Vurdering av sårbarhet i kritiske samfunnsfunksjoner som departementet har ansvaret for. Disse føringene er lagt til grunn i arbeidet med KDs Sektor-ROS. 3.2 DSB-veiledere Det foreligger per i dag ingen veiledning til departementenes arbeid med å etablere oversikt over risiko og sårbarhet i sektoren, utover et kort kapittel i den nye generelle veilederen fra DSB vist til over. KD har søkt inspirasjon i ulike DSB-veiledere: "Veileder helhetlig risiko- og sårbarhetsanalyse i kommunen" (2014) og "Veileder for FylkesROS" (2014) samt i rapporten som beskriver fremgangsmåte for utarbeidelse av Nasjonalt risikobilde (2014). ROS-arbeidet i kommunene, blant fylkesmennene og i departementene har hver sin lovhjemmel/instruks i lovverk som er svært ulike, men som alle stiller krav til å ha oversikt over risiko og sårbarhet i kommunen, fylket eller sektoren. En utfordring for KD og andre departementer, med hensyn til å etablere oversikt over risiko og sårbarhet, er at vi har et faglig og politisk ansvar for sektorer som er representert over hele landet, i motsetning til kommunene og fylkesmennene som har ansvar for et mer begrenset geografisk område. Videre forsterkes utfordringen av at vi er avhengige av andre aktører, i stor grad ikke-statlige rettssubjekter, i utøvelsen av SoB-ansvaret. Mens instruksen til fylkesmannen understreker at fylkesmannen kan innhente nødvendige opplysninger fra alle statlige, kommunale og fylkeskommunale virksomheter i fylket, åpner ikke instruksen til departementene for det samme. Departementene har ikke mandat til å innhente verken kommunenes eller fylkeskommunenes ROS-analyser. I rapporten som beskriver hvordan DSB har gått frem for å utarbeide Nasjonalt risikobilde (NRB) 2014, understrekes det at fremgangsmåten som benyttes i NRB bare er én mulig måte å gjennomføre nasjonale risikoanalyser på innenfor samfunnssikkerhet, men at den likevel kan være til inspirasjon for andre virksomheter. Prosessen og måleverktøyet har en overføringsverdi, men tilpasninger må gjøres ut fra forvaltningsnivå og egen virksomhet. KDs Sektor-ROS bygger i flere henseender på NRB, både med hensyn til fremgangsmåte og måleverktøy. 4

6 4. DELANALYSER OG ULIKE FREMGANGSMÅTER Kravet til departementene er at de skal ha oversikt over risiko og sårbarhet. Det stilles altså ikke krav om å benytte en bestemt metode. Hva som er mest hensiktsmessig metode vil avhenge av formålet med analysen og ønsket detaljeringsnivå. Formålet med denne analysen er å styrke utøvelsen av KDs overordnede sektoransvar for SoB, mens målet er å ha gjennomført risiko- og sårbarhetsvurderinger av kunnskapssektoren. Departementet er øverste sektormyndighet med et overordnet ansvar for SoB. Samtidig ligger et ansvars- og et nærhetsprinsipp til grunn for nasjonalt SoB-arbeid. Dette innebærer at andre aktører enn departementet har det operative og taktiske ansvaret for å utføre oppgaver knyttet til SoB og disse aktørene har dermed også ansvar for å ha oversikt over risiko og sårbarhet på et mer detaljert nivå. Som følge av dette, og kunnskapssektorens omfang, må detaljeringsnivået på KDs Sektor-ROS nødvendigvis være nokså lavt. Andre forvaltningsnivåer og enkeltstående virksomheter har gjennomført ROS-analyser av deler av sektoren. DSBs veileder til departementene åpner for at departementet kan gjennomføre analyser selv eller bygge på analyser gjennomført av underliggende virksomheter. KD har valgt å bygge på underliggende virksomheters analyser i den grad de foreligger. Når det gjelder de statlige universitetene og høyskolene, som er underliggende, har vi i tillegg vurdert scenarioer som kan ramme disse i lys av NRB. Begrunnelsen for dette er omfanget av denne sektoren, de store ansamlingene av mennesker og de potensielle konsekvensene alvorlige hendelser kan føre til i denne sektoren. Analysen er todelt. Den første delen omhandler henholdsvis barnehage- og opplæringssektoren og utdanningsvirksomhetene innenfor UH-sektoren. Virksomheter som ikke har studenter, for eksempel NOKUT og SIU, er utelatt i denne delen. Den andre delen omhandler andre underliggende virksomheter. Det viktigste skillet mellom disse to delene er at det i den første delen er gjort egne analyser (basert på NRB og kommune-roser) mens vi i del to kun sammenfatter funn og konklusjoner om hendelser og håndteringen av disse i ROS-analysene til KDs underliggende virksomheter. Det ble også gjort en sammenfatning av risiko og sårbarhet i den kritiske infrastrukturen som ligger i kunnskapssektoren, med vekt på infrastruktur ved Meteorologisk institutt. Denne delen av analysen er utelatt fra dette eksterne dokumentet. Begrunnelse for valg av delanalyser og fremgangsmåte for den enkelte analyse fremgår av tabell 1. Tabell 1: Delanalyser og begrunnelse Delanalyse Barnehager, grunnskoler og videregående skoler Med paralleller til andre deler av barnehage- og opplæringssektoren Begrunnelse for vektlegging av denne delen av sektoren Generelt krav i instruksen SoB-ansvaret definert som høyt i fase 1 Viktige samfunnsfunksjoner (bl.a. definert som det i KDs Pandemiplan) Kjennetegn ved barnehagesektoren: Sårbar gruppe, små barn, retten til 5 ROS-analyse gjennomført i forbindelse med prosjektet eller ikke? Begrunnelse. Egen ROS-analyse Andre ROS-analyser foreligger ikke (bortsett fra noen av kommunenes helhetlige ROS-analyser som til en viss grad dekker kunnskapssektoren)

7 Statlige universiteter og høyskoler Med paralleller til andre undervisningsinstitusjoner i UH-sektoren Kritiske innsatsfaktorer og kritisk infrastruktur Ikke omfattet i denne kortversjonen. KDs underliggende virksomheter utover utdanningsvirksomheter barnehageplass, stor del av befolkningen og av kunnskapssektoren. Kjennetegn ved grunnopplæringen: Sårbar gruppe, bl.a. små barn, obligatorisk, stor del av befolkningen og av kunnskapssektoren. Kjennetegn ved videregående opplæring: Sentralt velferdstilbud, retten til videregående opplæring Generelt krav i instruksen SoB-ansvaret definert som høyt i fase 1 Viktige samfunnsfunksjoner Kjennetegn ved gruppen: Stor del av befolkningen og av kunnskapssektoren Spesifikt krav i instruksen Svært viktige under alvorlige påkjenninger/kriser Generelt krav i instruksen SoB-ansvaret definert som høyt i fase 1 Se kolonne 2 Egen ROS-analyse Se kolonne 2 Ikke egen ROS-analyse God tilgang til underliggende virksomheters ROSanalyser Ikke egen ROS-analyse God tilgang på underliggende virksomheters ROSanalyser 5. RISIKOANALYSE OG EVALUERING AV BARNEHAGE- OG OPPLÆRINGSSEKTOREN OG UNIVERSITETS- OG HØYSKOLESEKTOREN 5.1 Prinsipper for kvalitet og gjennomføring av risikoanalysene Det er definert et sett med ti prinsipper for kvalitet og gjennomføring av ROS-analysene av barnehager og skoler og de statlige universitetene og høyskolene: 1. Nasjonalt risikobilde er lagt til grunn. 2. Analyse av scenarioer framfor generelle hendelser. 3. Analyse av svært alvorlige scenarioer. 4. Departementet som sentral aktør: ROS-analysen vil ha et fokus på hendelser der departementet har en tydelig rolle utover deltakelse i nasjonal krisehåndtering. 6

8 5. Konsistens: Vurderingen av sannsynlighet og konsekvens gjøres på samme måte og med samme konsekvensområder for alle scenarioene. 6. Analytisk og fremoverskuende: Resultatene skal ikke bare være en beskrivelse av fakta, men skal gi en vurdering av sannsynligheten for den uønskede hendelsen og hvilke konsekvenser hendelsen vil få. 7. "Bow tie"-modellen legges til grunn for risikoanalysene. 8. Stor grad av usikkerhet: Undergruppe ROS har i sitt arbeid ikke hatt tilgang på eksperthjelp ei heller har statistikk blitt benyttet utover det vi har tilgang til gjennom NRB. 9. Tilpassede (samfunns)verdier: I NRB defineres fem samfunnsverdier med to konsekvenstyper hver. Undergruppen har tilpasset disse til omfanget av denne sektor-rosen. 10. Dimensjonerte sannsynlighets- og konsekvenskriterier: I NRB er både sannsynlighet og konsekvens inndelt i fem nivåer fra henholdsvis svært lav til svært høy og svært små til svært store. Begrepene og definisjonene av disse beholdes langt på vei i KDs Sektor-ROS, med unntak av intervallene for sannsynlighet og kriteriene innenfor menneskers liv og helse. 5.2 Verdier, konsekvenser og sannsynlighet For KD og kunnskapssektoren er følgende verdier definert som relevante: Tabell 2: Verdier og konsekvenstyper i KDs Sektor-ROS Verdi Konsekvenstype Menneskers liv og helse Dødsfall Alvorlige skader og sykdom Drift, produksjon, tjenesteyting Svikt og manglende kontinuitet i tjenesteytingen Samfunnsstabilitet Sosiale og psykologiske reaksjoner Videre er det knyttet konsekvensbegreper og definisjoner av disse til de fire konsekvenstypene: Tabell 3: Kriteriebegreper og definisjoner (tabell 4 i arbeidsgrupperapporten) Verdi Menneskers liv og helse 2 konsekvenstyper Drift, produksjon, tjenesteyting Konsekvenstype Dødsfall (personer) Alvorlig skadde eller syke (personer) Kriteriebegrep Drift, tjenesteyting ute av funksjon (timer/uker) Kriteriedefinisjon Svært små Ingen < 20 < ,4 Samfunnsstabilitet Små ,5-2,4 Middels timer 1 uke 2,5-3,4 Sosiale og psykologiske reaksjoner (gjennomsnittsskåre) 7

9 Store uker 3,5-4,4 Svært store > 51 > > 2 uker 4,5-5,0 Kriteriedefinisjonene for døde og skadde/syke er dimensjonert ned i forhold til NRB. Dette følger av kunnskapssektorens mer begrensede populasjon samt at hendelsene gjerne vil ramme enkeltinstitusjoner som et begrenset antall individer er tilknyttet. Kriteriedefinisjonene ligger nærmere det som enkelte kommunale ROS-analyser (for eksempel Drammen kommune) benytter, enn NRB. Det er vurdert hvorvidt konsekvensene for liv og helse vil fremstå som mer alvorlige ved tilsiktede enn ved utilsiktede hendelser. Erfaring viser at dette ofte er tilfellet. Denne effekten blir fanget opp av verdien "samfunnsstabilitet". I forsøket på å fastslå sannsynlighet for hendelsen ble kriteriebegreper og definisjoner av disse etablert. Vi benyttet en modifisert variant av NRBs kriterier. Tabell 4: Sannsynlighetskriterier for utilsiktede hendelser (tabell 5 i arbeidsgrupperapporten) Kriteriebegrep Kriteriedefinisjon Svært lav Lav Middels Høy Svært høy Frekvens: Sjeldnere enn 1 gang i løpet av 1000 år Frekvens: 1 gang i løpet av 100 til år Frekvens: 1 gang i løpet av 50 til 100 år Frekvens: 1 gang i løpet av 10 til 50 år Frekvens: Minst 1 gang eller oftere i løpet av 10 år Kriteriedefinisjonene/frekvensene er nedskalert i forhold til i NRB. Dette er som følge av at det i hovedsak er ulykker og tilsiktede handlinger som analyseres i KDs Sektor-ROS og i mindre grad naturhendelser. Kvikkleireskred og jordskjelv har eksempelvis en sannsynlighet på henholdsvis år og år, mens slike intervaller blir lite relevante med hensyn til ulykker (og tilsiktede hendelser), som er de hendelsestypene som i hovedsak analyseres i rapporten. Risiko knyttet til tilsiktede uønskede handlinger kan i stor grad endre seg fra år til år, avhengig av de trusselvurderinger som til enhver tid gjøres. I vurderingen av trussel er det aktørens intensjon og kapasitet som vurderes, basert på nye norske standarder innen fagfeltet risikovurdering. Risiko utgjøres ifølge disse standardene av faktorene verdi, trussel og sårbarhet. Begrepene sannsynlighet og konsekvens benyttes ikke. I denne ROS-analysen har vi likefullt, som DSB har gjort i NRB, dekket både tilsiktede og utilsiktede hendelser. I NRB 2013 ble ikke sannsynlighetsbegrepet brukt om tilsiktede hendelser. I 2014 er begrepet tatt inn igjen som et begrep om trusselnivået. NRB baserer seg på de årlige vurderingene utarbeidet av Politiets sikkerhetstjeneste (PST), Nasjonal sikkerhetsmyndighet (NSM) og Forsvarets etterretningstjeneste (E-tjenesten). Trusselvurderinger gir en indikasjon på muligheten for at en hendelse kan inntreffe. En trussel kan kategoriseres ut fra stigende sannsynlighet eller trusselnivå. I Sektor-Rosen har vi benyttet begrepet "sannsynlighet" i tilknytning til tilsiktede hendelser. Vi har basert oss på NRBs anvendelse av PSTs vurderinger i de tilfellene der scenarioene bygger på scenarioer fra PST og legger til grunn vår egen kunnskap om hendelser i vurderingen av de scenarioene som ikke er basert på NRB. 8

10 Kun tre nivåer er aktuelle for KD med hensyn til sannsynlighetsfastsetting av tilsiktede hendelser: Tabell 5: Sannsynlighetskriterier for tilsiktede hendelser (tabell 6 i hovedrapporten) Kriteriebegrep Kriteriedefinisjon Svært lav Definert som meget lavt trusselnivå av PST/Det foreligger ingen kjent eller identifiserbar trussel. Lav Middels Definert som lavt trusselnivå av PST/ Det foreligger en kjent og mulig, men lite sannsynlig trussel. Lignende hendelse har inntruffet i andre land. Definert som middels trusselnivå av PST/ Det foreligger en kjent og mulig. Lignende hendelse har inntruffet i Norge. 5.3 Mer om fremgangsmåten For barnehage- og opplæringssektoren og for UH-virksomhetene har analysen tatt utgangspunkt i de 20 scenarioene i NRB for 2014 og vurdert hvordan disse eller lignende scenarioer kan tenkes å ramme kunnskapssektoren. For hvert av de scenarioene som ble pekt ut som relevante for sektoren er det vurdert hvorvidt departementet vil være involvert i forebyggings- og beredskapsarbeid ved utløsing av en hendelse som ligner på scenarioet. De scenarioene som innebærer en slik involvering er tatt med i Sektor-ROSen. ROS-analyser fra underliggende virksomheter og kommuner har bidratt med ytterligere scenarioer for analysen. 14 scenarioer med hendelser som kan ramme henholdsvis barnehage- og opplæringssektoren og UH-sektoren er analysert. Disse listes i tabellene nedenfor, der det også angis begrunnelser for hvorfor de er vurdert som relevante. Det er skilt mellom "egendefinerte" scenarioer som er scenarioer som ikke har utgangspunkt i NRB og "tilpassede" scenarioer som er modifiserte NRB-scenarioer. 5.4 Risikovurdering av barnehage- og opplæringssektoren Scenarioene - barnehage- og opplæringssektoren Nedenfor følger scenarioene og begrunnelser for hvorfor de er tatt med i analysen. Tabell 6: Egendefinerte og tilpassede scenarioer barnehage- og opplæringssektoren (tabell 8 i arbeidsgrupperapporten) Tilpasset scenario KD1 pandemi rammer barnehage- og opplæringssektoren Begrunnelse Omfattet av NRB Høyest risiko av alle scenarioene i NRB Hadde også høyest risiko ved KDs forrige ROS-analyse av sektoren. Nasjonale utdanningsmyndigheter inngår i tiltakskjeden Omfattet av mange kommune-roser 9

11 Egendefinert scenario KD 2 Bussulykke med skolebarn KD 3 Skoleskyting ved barneog ungdomsskole Omfattet av kartleggingen 2013 Omhandlet i KDs styringsdokument, svært relevant Begrunnelse Transportulykker er eget risikoområde i NRB Scenario for kriseøvelse "Vinterveg" 2010 (samøvelse med SD) Omfattet av kommune-roser Omfattet av kartleggingen 2013 Omhandlet i KDs styringsdokument, svært relevant Terror er eget risikoområde i NRB Tilsiktet, rettet mot vår sektor Høyt fokus fra nasjonale utdanningsmyndigheter de senere årene Høyt fokus fra politiet de senere årene Nasjonale utdanningsmyndigheter inngår i tiltakskjeden Scenario for kriseøvelser i 2009 og 2013 Omfattet av mange kommune-roser Omfattet av kartleggingen 2013 Omhandlet i KDs styringsdokument, svært relevant KD 4 Gisseltaking i barnehage Terror er eget risikoområde i NRB KD 5 Bombeangrep mot videregående skole Tilsiktet, rettet mot vår sektor Har inntruffet Nasjonale utdanningsmyndigheter inngår i tiltakskjeden Scenario for kriseøvelse i 2013 Tilsiktede hendelser fokus fra nasjonale utdanningsmyndigheter og politiet de senere årene (med utgangspunkt i skoleskytinger) Omfattet av kommune-roser Omfattet av kartleggingen 2013 Terror er eget risikoområde i NRB Tilsiktet, rettet mot vår sektor Tilsiktede hendelser fokus fra nasjonale utdanningsmyndigheter og politiet de senere årene (med utgangspunkt i skoleskytinger) Nasjonale utdanningsmyndigheter inngår i tiltakskjeden Bombetrusler mot skoler har forekommet Omfattet av kartleggingen

12 5.4.2 Risikoanalyse av barnehage- og opplæringssektoren I risikodiagrammene nedenfor illustreres den samlede risikoen vurdert for hvert scenario, basert på sammenstilling av sannsynlighet og konsekvens. Fargene illustrerer KDs risikoaksept:. Høy (rød) Risikoreduserende tiltak må iverksettes umiddelbart Middels (gul) Risikoreduserende tiltak må vurderes Lav (grønn) Det er ikke nødvendig å iverksette risikoreduserende tiltak så fremt kravene i lov og forskrifter er oppfylt Risikodiagram for barnehage- og opplæringssektoren Konsekvens Svært små Små Middels Store Svært store Sannsynlighet Svært høy Høy Middels Lav 2, 4 1 3, 5 Svært lav KD1 Pandemi rammer barnehage- og opplæringssektoren KD 2 Bussulykke med skolebarn KD 3 Skoleskyting ved barne- og ungdomsskole tilsiktet KD 4 Gisseltaking i barnehage tilsiktet KD 5 Bombeangrep mot videregående skole tilsiktet 11

13 5.4.3 Risikovurdering av barnehage- og opplæringssektoren Analysen som ble gjort av scenarioene og lignende hendelser synliggjør det betydelige arbeidet som har blitt gjort og gjøres for å ivareta KDs ansvar innen barnehage- og opplæringssektoren. Risikodiagrammet ovenfor anskueliggjør hvordan scenarioene fordeler seg etter sannsynlighet og konsekvens. Ingen av scenarioene, slik de er definert, er vurdert til høy risiko. Det er stor usikkerhet forbundet med både sannsynlighet og konsekvens for alle. Det er for de fleste av scenarioene mulig å tenke seg at konsekvensene ved en reell lignende hendelse vil kunne være høyere. KD mener likevel at scenarioene er realistiske og at det samlede risikobildet gir et godt bilde på hva som kan ramme barnehager og skoler. For scenarioer som havner på gult felt skal nye risikoreduserende tiltak vurderes. Dette er blitt gjort. For å vurdere sannsynlighet og konsekvens er også gjeldende virkemidler vurdert. Pandemi-scenarioet (scenario 1) har store konsekvenser. Her er imidlertid mange skadebegrensende tiltak allerede på plass. De tiltakene som retter seg mot dette scenarioet spesielt er: KDs Pandemiplan av juni 2009 Utdanningsdirektoratets Pandemiplan for kunnskapssektoren av mai 2009 Rutine for utsendelse av brev med særskilt informasjon om forholdsregler i forbindelse med pandemi til alle landets barnehager og skoler Informasjon til sektoren på KDs og Udirs nettsider Tett samarbeid med helsemyndighetene Tett samarbeid med kommuner og fylkeskommuner Det er KDs vurdering at nivået på, og omfanget av, de skadebegrensende tiltakene synes rimelige ut fra scenarioet om pandemi. I lys av de potensielt store konsekvenser en slik hendelse kan få, er det undergruppens vurdering at de skadebegrensende tiltakene gjennomgås med jevne mellomrom i samarbeid med nasjonale helsemyndigheter. I forbindelse med KDs vurdering av sektoransvaret for SoB ble behovet for en regelverksendring rettet mot barnehager og skoler identifisert. Forskrift om miljørettet helsevern i barnehager og skoler 14 pålegger at virksomhetene planlegges og drives slik at farer, skader og ulykker forebygges. I begrepet "farer" er ikke beredskap for alvorlige tilsiktede handlinger innfortolket tidligere. Det er HOD som forvalter forskriften. KD og HOD er blitt enige om at forståelsen av denne forskriften endres til å omfatte beredskap for alvorlige tilsiktede handlinger. Scenario 3, 4 og 5 og lignende hendelser er tilsiktede hendelser som alle er vurdert til middels risiko. Det er KDs vurdering, gitt at innholdet i den nye forståelsen av forskriften blir tilfredsstillende utarbeidet og kommunisert, at denne regelverksendringen vil være et egnet tiltak på nasjonalt nivå som vil lette arbeidet med sikkerhet og beredskap på lokalt kommunalt nivå. Utover presiseringen av særlig forskrift om miljørettet helsevern, er de tiltakene som retter seg mot tilsiktede hendelser: Veiledningen: "Alvorlige hendelser i barnehager og utdanningsinstitusjoner - Veiledning i beredskapsplanlegging" Antimobbeprogrammer gjennom mange år 12

14 Læringsmiljøsatsing over flere år Politiets opplæringsprogram (samarbeid med Udir) Gjennomføringen av beredskapsarbeidet ved alle skoler/barnehager evalueres/følges opp fra Udir gjennom spørreundersøkelser Ny veileder for å identifisere tilfeller av terror og voldelig ekstremisme Veileder i krisehåndtering: alvorlig ulykke Veiledere i krisehåndtering: dødsfall Veiledere i krisepedagogikk Flere av disse retter seg i tillegg mot alvorlige ulykker. Det er KDs vurdering at nivået på, og omfanget av, de skadebegrensende tiltakene synes rimelige ut fra de aktuelle scenarioene. I tillegg til de tiltakene som er listet opp over, er KDs krisekommunikasjonsplan et sentralt virkemiddel for departementet i kommunikasjonen rundt kriser. Også KDs styringsdokument for arbeidet med samfunnssikkerhet og beredskap i kunnskapssektoren er viktig for å legge føringer for hva som vektlegges i sektoren. I revidert versjon av styringsdokumentet våren 2016, vil KD omtale HOD-forskriften. 5.5 Risikovurdering av universitets- og høyskolesektoren Scenarioene - universitets- og høyskolesektoren Nedenfor følger scenarioene og begrunnelser for hvorfor de er tatt med i analysen. Tabell 7: Egendefinerte og tilpassede scenarioer UH-sektoren (tabell 9 i arbeidsgrupperapporten) Tilpasset scenario KD 7 Pandemi rammer UH-sektoren KD års solstorm rammer UH-sektoren KD 11 Cyberangrep mot ekom-infrastruktur rammer UH-sektoren Begrunnelse Omfattet av NRB Omfattes av mange virksomheters ROS-analyser Høyest risiko av alle scenarioene i NRB Hadde også høyest risiko ved KDs forrige ROSanalyse av sektoren Nasjonale utdanningsmyndigheter inngår i tiltakskjeden Omhandlet i KDs styringsdokument, svært relevant Omfattet av NRB Vurdert som spesielt relevant for UH-sektoren som har sårbart forskningsutstyr og som er spesielt avhengig av IKT-infrastruktur Omfattet av NRB Omtalt i mange virksomheters ROS-analyser 13

15 Egendefinert scenario KD 6 Snøskred rammer studentgruppe KD 9 Lekkasje av levende agens/organismer fra laboratorium ved universitet KD 10 Bussulykke med studenter involvert KD 12 Terroranslag mot UH-institusjon KD 13 Storbrann ved UH-virksomhet KD 14 Bussulykke med norske studenter i utlandet ("reiseulykke") Omhandlet i KDs styringsdokument, svært relevant Begrunnelse Skred er eget risikoområde i NRB Snøskredulykker er en risiko som er identifisert ved noen studiesteder i tilknytning til studentaktiviteter og friluftsliv. Inngår i ROS-analysene ved flere institusjoner. Identifisert som scenario i forbindelse med øvelser ved NTNU Omfattes av noen virksomheters ROS-analyser Omhandlet i KDs styringsdokument, svært relevant Transportulykker er eget risikoområde i NRB Bussulykker med studenter har forekommet, om enn i mindre omfang Omhandlet i KDs styringsdokument, svært relevant Terror er eget risikoområde i NRB Tilsiktet, rettet mot vår sektor KD har hatt fokus på temaet, blant annet gjennom utarbeidelse av skyteveileder i samarbeid mellom POD og Udir Høyt fokus fra politiet de senere årene Scenario for kriseøvelse i 2012 (trussel, gisseltaking og skyting på universitet) Omtalt i flere virksomheters ROS-analyser Omhandlet i styringsdokumentet, svært relevant Mange bygg i UH-sektoren er særskilte brannobjekter, og det er generelt høye publikumsbelastninger i undervisningslokaler. Omtalt i mange virksomheters ROS-analyser Omhandlet i styringsdokumentet, svært relevant Utstrakt reisevirksomhet ved UH-institusjoner, både blant studenter og ansatte Omtalt i mange virksomheters ROS-analyser Risikoanalyse av universitets- og høyskolesektoren I risikodiagrammene nedenfor illustreres den samlede risikoen vurdert for hvert scenario, basert på sammenstilling av sannsynlighet og konsekvens. Se for forklaring av nivåene/fargene. 14

16 Konsekvens Svært små Små Middels Store Svært store Svært høy Sannsynlighet Høy Middels 6, 8, 10, , 9, 12, 13 Lav Svært lav KD 6 Snøskred rammer studentgruppe KD 7 Pandemi rammer UH-sektoren KD års solstorm rammer UH-sektoren KD 9 Lekkasje av levende agens/organismer fra laboratorium ved universitet KD 10 Bussulykke med studenter involvert KD 11 Cyberangrep mot ekom-infrastruktur rammer UH-sektoren tilsiktet KD 12 Terroranslag mot UH-institusjon tilsiktet KD 13 Storbrann ved UH-virksomhet KD 14 Bussulykke med norske studenter i utlandet ("reiseulykke") Risikovurdering av universitets- og høyskolesektoren Ingen av scenarioene i universitets- og høyskolesektoren er vurdert til høy risiko. Det er stor usikkerhet forbundet med både sannsynlighet og konsekvens for alle scenarioene. Det er for de fleste av dem mulig å tenke seg at konsekvensene ved en reell lignende hendelse vil være mye høyere. Undergruppen mener likevel at scenarioene er realistiske og at det samlede risikobildet gir et godt bilde av hva som kan ramme barnehager og skoler. 15

17 For scenarioer som havner på gult felt skal nye risikoreduserende tiltak vurderes. Dette har gruppen gjort. For å vurdere sannsynlighet og konsekvens har gruppen også vurdert gjeldende virkemidler og tiltak. Oppsummering av eksisterende tiltak Pandemi-scenarioet (scenario 1) har store konsekvenser. Her er på samme tid mange skadebegrensende tiltak allerede på plass. De tiltakene som retter seg mot dette scenarioet spesielt er: KDs Pandemiplan av juni 2009 Styringsdialogen Særskilt krav om beredskap for pandemi Informasjon til sektoren på KDs og Udirs nettsider Omtalt i styringsdokumentet for samfunnssikkerhet og beredskap i kunnskapssektoren Tett samarbeid med helsemyndighetene Tett samarbeid med kommuner og fylkeskommuner Cyberangrep er et annet scenario som allerede har medført iverksetting av særskilte tiltak: Krav om forebyggende sikkerhetstiltak Krav til ISMS (styringssystem for informasjonssikkerhet) Oppfølging av samarbeid mellom UNINETT CERT og NORCERT Nasjonal handlingsplan for informasjonssikkerhet tiltak 4.2 Etablering av sektorvise responsmiljøer (CSIRT/CERT) Etablering av Sekretariat for informasjonssikkerhet Likeledes har voldshendelser som terror ført til et sett med tiltak fra KDs side: Veiledningen: "Alvorlige hendelser i barnehager og utdanningsinstitusjoner - Veiledning i beredskapsplanlegging" Særskilte krav til grunnsikring i tildelingsbrevet for 2012 Krav om kontakt og samspill med beredskapsmyndigheter (fylkeskommunen, politi, brannvesen). Oppfordrer dessuten til øving med disse. Seminarer med fokus på tilsiktede hendelser Den ordinære styringsdialogen bestående av tildelingsbrev, årsrapporteringer og etatstyringsmøter er likevel det viktigste virkemiddelet overfor de underliggende virksomhetene. Tildelingsbrev sendes virksomhetene hvert år i desember. Her fastsettes blant annet krav til planer og rapportering når det gjelder SoB. De siste års tildelingsbrev har hatt en felles føring der kravene i hovedsak har omhandlet beredskapsplaner, ROS-analyser, kriseøvelser og system for IKT-sikkerhet. Departementet sender også av og til ut brev til de underliggende virksomhetene om nye krav eller forventninger på området. Nasjonalt risikobilde og ulike krav og føringer med hensyn til informasjonssikkerhet har vært tema for slike brev de senere årene. KD arrangerer også seminarer for de underliggende virksomhetene om arbeidet med SoB. 16

18 Av mer generelle tiltak rettet mot de underliggende virksomhetene er: Styringsdialogen Brev med krav og føringer uten tildelingsbrevene Fagseminarer om SoB-temaer for de underliggende virksomhetene Styringsdokument for samfunnssikkerhets- og beredskapsarbeidet i kunnskapssektoren Krav til krisehåndtering KDs krisekommunikasjonsplan Overfor de private høyskolene oppfordrer departementet i tilskuddsbrevene til at de samme tiltakene gjennomføres som de man stiller krav om overfor de offentlige. De private mottar også noen av de samme føringene som de statlige. KD kan imidlertid ikke stille krav til de private høyskolenes arbeid med SoB. Behov for å videreutvikle tiltakene og for nye tiltak Virkemiddelapparatet overfor de underliggende virksomhetene er tilfredsstillende, men kan med fordel videreutvikles. Når det gjelder de private virksomhetene, er de pedagogiske virkemidlene av spesielt stor betydning. Av nye pedagogiske virkemidler foreslås det å se nærmere på muligheten for å etablere en rådsfunksjon for private og statlige aktører i kunnskapssektoren. Rådet skal ha en veiledende funksjon og gjerne utarbeide retningslinjer på SoB-området for ikke-statlige aktører. KD bør bruke tilgjengelige informasjonskanaler mer systematisk i SoB-sammenheng, herunder regjeringen.no. Anbefalinger som kom ut av Sektor-ROSen: Styrke og systematisere KDs oppfølging av de statlige virksomhetene i deres arbeid med ROS-analyser: - Stille enda tydeligere krav til at virksomheter som presenterer risikovurderinger på f.eks. kun måloppnåelse eller HMS som sine ROS-analyser, endrer sin praksis rundt dette. - Integrere dette i revidert versjon av KDs styringsdokument for arbeidet med samfunnssikkerhet og beredskap i kunnskapssektoren Dele kunnskap og erfaringer om SoB, herunder beste praksiser: - Dersom virksomheter har erfaringer som kan ha relevans for andre sammenliknbare virksomheter, bør departementet i enda større grad enn i dag bidra til å dele disse. Regjeringen.no kan benyttes. Utrede behovet og mulighetene for å etablere et råd for både private og statlige aktører i kunnskapssektoren der SoB-relaterte spørsmål kan drøftes. 17

19 5.6 Risikoanalyse og vurdering av andre underliggende virksomheter Kort om fremgangsmåten Grunnlaget for dette underkapittelet er den løpende dialogen med virksomhetene, særskilt dialog om samfunnssikkerhet og beredskap, ROS-analyser og andre risikovurderinger som er samlet inn Uønskede hendelser blant andre virksomheter Tre konsekvenskategorier går igjen i de fleste risikovurderingene: 1) informasjonssikkerhet/ drift, (2) menneskers liv og helse og (3) troverdighet/omdømme. Flere av virksomhetene viser hvordan hendelser som først og fremst rammer en av disse kategoriene får konsekvenser også for de andre. For eksempel kan dårlig håndtering av en hendelse der sensitiv informasjon har kommet på avveie i tillegg føre til en omdømmekrise. Informasjonssikkerhet/drift Med informasjonssikkerhet menes her beskyttelse mot brudd på konfidensialitet, integritet og tilgjengelighet av den informasjonen som blir behandlet i et system, samt beskyttelse av informasjonssystemer, nett og utstyr. De virksomhetene som behandles i dette kapittelet er i stor grad forvaltere av systemer som nyttiggjøres i store deler av sektoren og/eller samfunnet for øvrig. Informasjonssikkerhet er det området som vies mest oppmerksomhet fra disse virksomhetene, og slik bør det være. Hendelser som går igjen blant flere virksomheter: langvarig strømbrudd bortfall av IKT-tjenester tap av essensielle data (sensitive, taushetsbelagte eller sikkerhetsgraderte) kritiske feil over tid utro tjenere som fører til driftsproblemer, feil, juks, tap Menneskers liv og helse Alle de underliggende virksomhetene identifiserer menneskers liv og helse som en av de viktigste verdiene som skal beskyttes. De gjør derfor gjerne risikovurderinger av hendelser som kan ramme de ansatte og besøkende. Det er imidlertid gjerne hendelser med relativt beskjedne konsekvenser som vurderes, og disse plasseres innunder HMS-fokuserte risikovurderinger. For de virksomhetene som her behandles er risikoen for den typen katastrofale hendelser som gjerne defineres innenfor samfunnssikkerhet og beredskap svært lite sannsynlig. Disse virksomhetene forvalter ikke kritisk infrastruktur og de har heller ikke de samme risikorelaterte kjennetegnene som utdanningsvirksomhetene. Det er samtidig ikke utenkelig at katastrofale hendelser kan ramme også disse virksomhetene, noe som innebærer at KD anbefaler at virksomhetene har slike hendelser med i sine ROS-vurderinger. SoB-relaterte hendelser som går igjen blant flere virksomheter: pandemi alvorlige ulykker - omfattende brann, jordskred, ekstremvær, bygningskollaps 18

20 alvorlige tilsiktede hendelser - terror, sabotasje, eksplosjoner, påsatt brann e.l. eller alvorlige trusler om sådan alvorlige ulykker på reise eller eksterne samlinger/konferanser alvorlige tilsiktede hendelser på reise eller eksterne samlinger/konferanser Troverdighet/omdømme Flere virksomheter er også opptatt av hvordan deres omdømme kan rammes og hva de kan gjøre for å beskytte seg mot dette. Hendelser som går igjen blant flere virksomheter: brudd på lover og bestemmelser alvorlig svikt i kvaliteten på saksbehandling, kundebehandling, tjenestetilbud eller økonomiforvaltning uetisk opptreden, korrupsjon eller økonomiske misligheter alvorlige driftsavbrudd og dårlig tilgjengelighet for kundene/brukerne svikt i vernet av personopplysninger Risikoanalyser av andre virksomheter Virksomhetene vurderer i hovedsak hendelsene som kan ramme menneskers liv og helse, av typen listet over, til middels risiko. Dette er hendelser med lav sannsynlighet, men der konsekvensene vil bli svært høye, etter den virksomhetens vurderinger. Det er en tendens til at virksomhetene oftere plasserer hendelser som gjelder informasjonssikkerhet og drift høyere opp i risikomatrisen. Flere virksomheter vurderer noen slike hendelser til høy risiko. Med hensyn til tiltak som allerede gjennomføres blir følgende gjerne trukket frem av virksomhetene: Risiko- og sårbarhetsanalyser Beredskapsplaner Varslingsplaner En rekke svært spesifikke tiltak rettet mot informasjonssikkerhet Rutine for vedlikehold av lokal førstehjelpskompetanse og -utstyr Rutiner for brannvern, evakuering av lokalene og vedlikehold av lokaler og utstyr Rutine for oppdatering av register over pårørende og varsling av pårørende Skallsikring Interne skjermings-/sikkerhetstiltak, som adgangskontroll Rutine for å stille krav til samarbeidspartneres beredskap og evne til krisehåndtering KD har konkludert med at eksisterende tiltak rettet mot å redusere risikoen for identifiserte alvorlige uønskede hendelser langt på vei synes tilstrekkelige. I lys av de potensielt store konsekvensene disse hendelsene kan få, er det KDs vurdering at de skadebegrensende tiltakene gjennomgås med jevne mellomrom i samarbeid med andre relevante myndigheter. For eksempel bør tiltak rettet mot pandemi vurderes sammen med nasjonale helsemyndigheter. 19

21 5.6.4 Risikovurdering av andre virksomheter Det ble gjennom arbeidet med Sektor-ROS identifisert noen tiltak som bør videreutvikles: - Omtale særlig forskrift om miljørettet helsevern i barnehager og skoler i revidert versjon av KDs styringsdokument for arbeidet med samfunnssikkerhet og beredskap. - Stille enda tydeligere krav til at virksomheter som presenterer risikovurderinger på f.eks. kun måloppnåelse eller HMS som sine ROS-analyser, endrer praksis rundt dette. - Integrere føringer for ROS-analyser i revidert versjon av styringsdokumentet. - Dele kunnskap og erfaringer om SoB, herunder beste praksiser, i større grad. KD bør bidra til deling av erfaringer fra virksomheter som har relevans for andre sammenlignbare virksomheter. - Utrede behovet og mulighetene for å etablere et råd for både private og statlige aktører i kunnskapssektoren der SoB-relaterte spørsmål kan drøftes