Aggregering av risikoanalyser med hensyn til etterlevelse

Transkript

1 Aggregering av risikoanalyser med hensyn til etterlevelse Atle Refsdal 1

2 Oversikt Problemstilling Eksempler og kravtyper Målsetting og utfordringer Skisse til metode 2

3 Problemstilling Krav knyttet til risikoanalyse fra lover, forskrifter, standarder, policies, etc. Hvordan sikre og vise at kravene er oppfylt? Eksisterende risikoanalyser 3

4 Eksempel: Energiloven 9-3. (Informasjonssikkerhet) Alle enheter i KBO skal vurdere sikkerheten ved all behandling av informasjon om kraftforsyningen. Enhetene skal kartlegge hvilken informasjon som er sensitiv, hvor den befinner seg og hvem som har tilgang til den. Det skal etableres effektiv avskjerming og beskyttelse av sensitiv informasjon. 4

5 Eksempel: Beredskapsforskriften 2-4. Risiko og sårbarhetsanalyse Alle KBO-enheter skal gjennomføre risiko- og sårbarhetsanalyser knyttet til ekstraordinære forhold. Analysene skal ha et slikt omfang at enheten kan identifisere risiko og sårbarhet ved alle funksjoner, anlegg og tiltak av betydning for å oppfylle kravene i forskriften. 5

6 Eksempel: Forskrift om kommunal beredskapsplikt 2. Helhetlig risiko- og sårbarhetsanalyse (utdrag) Kommunen skal gjennomføre en helhetlig risiko- og sårbarhetsanalyse, herunder kartlegge, systematisere og vurdere sannsynligheten for uønskede hendelser som kan inntreffe i kommunen og hvordan disse kan påvirke kommunen. Analysen skal som et minimum omfatte: a) eksisterende og fremtidige risiko- og sårbarhetsfaktorer i kommunen. b) risiko og sårbarhet utenfor kommunens geografiske område som kan ha betydning for kommunen. c) hvordan ulike risiko- og sårbarhetsfaktorer kan påvirke hverandre.... Der det avdekkes behov for videre detaljanalyser skal kommunen foreta ytterligere analyser eller oppfordre andre relevante aktører til å gjennomføre disse. 6

7 Eksempel: Styringsforskriften (Petroleumstilsynet) 17. Risikoanalyser og beredskapsanalyser Den ansvarlige skal utføre risikoanalyser som gir et nyansert og mest mulig helhetlig bilde av risikoen forbundet med virksomheten. Analysene skal være formålstjenlige i forhold til å gi beslutningstøtte relatert til den eller de operasjoner eller faser en står ovenfor. Risikoanalyser skal utføres for å identifisere og vurdere bidragsytere til storulykkes- og miljørisiko, samt vise hvilken effekt ulike operasjoner og modifikasjoner har på storulykkes- og miljørisikoen. 7

8 Eksempel: NORSOK Standard Z-013, A Risk to people normally only considers risk of loss of life "People" are in this context divided into the following groups: 1 st party: people working for the company, both employees and contractors (= personnel). 3 rd party: bystanders, e.g. people passing by or living close to a facility. In order to produce a full picture of the risk, one single criterion for each of these will normally not be sufficient. For example, criteria reflecting the average risk of all personnel might need to be complemented by a criterion on risk exposed groups. 8

9 Ulike former for krav knyttet til risikoanalyse At analyse skal gjennomføres, hvor ofte Analyseobjekt og scope/omfang Spesielt: helhetlig analyse Aktivaer, skalaer, og risikoakseptansekriterier Trusler, sårbarheter, hendelsestyper 9

10 Flere analyser Krav knyttet til risikoanalyse fra lover, forskrifter, standarder, policies, etc. Vanskelig å sjekke etterlevelse Dårlig beslutningsgrunnlag for ledere 10

11 Ønsket situasjon: Helhetlig analyse Krav knyttet til risikoanalyse fra lover, forskrifter, standarder, policies, etc. 11

12 Helhetlig analyse 12

13 Målsetting Dokumentert etterlevelse Overordnet og helhetlig analyse Utnyttelse av eksisterende analyser 13

14 Hvordan sikre etterlevelse generell tilnærming 1. Identifiser relevante lover/forskrifter/policies etc. 2. Utled konkrete krav for virksomheten 3. Sjekk hvilke krav som er oppfylt 4. Korriger mangler 14

15 Helhetlig risikoanalyse for etterlevelse 15

16 16

17 Eksempelskisse for gjennomføring: Enhet x i KBO Forskrift om forebyggende sikkerhet og beredskap i energiforsyningen (beredskapsforskriften) 1-1. Formål....sikre at energiforsyningen opprettholdes Risiko og sårbarhetsanalyse. Alle KBO-enheter skal gjennomføre risiko- og sårbarhetsanalyser knyttet til ekstraordinære forhold. Analysene skal ha et slikt omfang at enheten kan identifisere risiko og sårbarhet ved alle funksjoner, anlegg og tiltak av betydning for å oppfylle kravene i forskriften... 17

18 Eksempelskisse for gjennomføring: Enhet x i KBO Aktiva skal omfatte kraftforsyningen. Analyseobjekt skal inkludere alle funksjoner, anlegg og tiltak av betydning for kraftforsyningen. Aktivum: Kraftforsyningen i regionen. Konsekvens måles i bortfall (# timer #husstander). Analyseobjekt: Omfatter kraftlinjer, trafostasjoner, driftssentral, styresystem og driftspersonell som enhet x har ansvar for 18

19 Eksempelskisse for gjennomføring: Enhet x i KBO Skade på kraftlinjer ved ekstremvær Sabotasje mot kraftlinjer og trafostasjoner Hackerangrep på styresystem Sykdom/pandemi som rammer driftspersonell Analyseobjektet i analysen "Skade på kraftlinjer ved ekstremvær" mappes til kraftlinje-delen av analyseobjektet for den helhetlige analysen, tilsvarende for aktivum "Kraftlinjen i område..." etc. 19

20 Ny analyse: Skallsikring av driftssentral. Ny risiko: angrep på styresystem fra driftssentral Alle risikoer knyttet til angrep på styresystem fra ulike områdeanalyser aggregeres Tiltak vurderes på grunnlag av den helhetlige analysen Aggregert risiko evalueres mot akseptansekriterier for helhetlig analyse 20

21 Konklusjon Lover, forskrifter, standarder etc. stiller mange krav til risikoanalyse stor variasjon i grad av detaljstyring Etterlevelse må sikres og dokumenteres Nødvendig med helhetlig analyse ofte pålagt, men alltid nødvendig som beslutningsgrunnlag for ledelsen Vi har presentert en skisse til metode Sentrale utfordringer gjenstår knyttet til helhetlig risikoanalyse og aggregering. Tema for eget forskningsprosjekt 21