Risikostyring og sikkerhet

Notat 15/8-03 Terje Aven og Hermann Wiencke Risikostyring og sikkerhet Sammendrag Som en del av Norges forskningsråds forskningsprogram innen HMS petroleum, er det blitt satt i gang et innledende arbeid knyttet til prinsipper og metoder for styring av ulykkesrisiko og HMS mer generelt, med spesiell vekt på beslutninger som tas i planleggingsfasen i et prosjekt (valg av konsept, designløsninger, m.m.). Hovedmålsettingen har vært å identifisere mulige områder for forbedringer. Dette notatet oppsummerer forfatternes foreløpige vurderinger. Notatet er ment å være et utgangspunkt for diskusjon og videre planlegging av forskningen knyttet til dette temaområdet. Hovedbudskapet og konklusjonen som trekkes i notatet er at Forståelsen og håndteringen av risiko og usikkerhet bør bli bedre, slik at bedre beslutninger kan tas og HMS blir tatt hensyn til på en riktigere måte. De viktigste forbedringsområdene er: Usikkerhetsvurdering: - Det mangler en systematisk kvalitativ vurdering av alle relevante attributter der man argumenterer for hva som kan utelates og hvorfor. - En systematisk vurdering av robustheten i konklusjonen gjøres ikke, dvs en vurdering av hvilke endringer i antagelsene kan gi en annen konklusjon (backwards approach) - Uklar forståelse av helheten i beslutningsproblemet og av usikkerhet som fenomen hos fagpersoner som tilrettelegger beslutningsunderlaget gjør at usikkerhetsvurderingene ofte blir mangelfulle. Kost nytte analyser: - Metodikk for gjennomføring av kost nytte analyser eksisterer men kost nytte analyser gjennomføres ikke konsekvent ved beslutninger som har betydning for sikkerheten. (mangelfull implementering) I notatet utdypes, begrunnes og diskuteres denne konklusjonen, med basis i vurderinger og eksempler. Temaer som tas opp i notatet dekker blant annet bruk av forventningsverdier, synliggjøring av usikkerhet, bruk av risikoakseptkriterier, forholder mellom økonomi og sikkerhet, verdien av fleksibilitet og robusthet, og usikkerhetsstyring. 1

1. Innledning 1.1 Bakgrunn Med bakgrunn i Stortingsmelding nr. 7 om HMS i petroleumsvirksomheten er det satt i gang et forskningsprosjekt under ledelse av Norges Forskningsråd innen Beslutningsstøtteverktøy og risikostyring. I Stortingsmeldingen hevdes det at hensynet til HMS ikke blir godt nok ivaretatt i plan- og beslutningsprosesser, og denne problemsstillingen er ett av de temaer som tas opp i dette prosjektet. Eventuelle svakheter ønskes identifisert og mulige forbedringer i metoder og modeller utviklet. Spesielt er det ønske om å gjennomgå metodene og modellenes egnethet til å reflektere verdien av fleksibilitet, robusthet og usikkerhet. 1.2 Formål Formålet med dette notatet er å oppsummere forfatternes foreløpige vurderinger av ovennevnte problemsstilling hypotesen om at hensynet til HMS ikke blir godt nok ivaretatt i plan- og beslutningsprosesser - og gi tanker om hvordan en kan få til forbedringer av disse prosesser. Notatet er ment å være et utgangspunkt for diskusjon og videre planlegging av forskningen knyttet til dette temaområdet. Beskrivelsen som fremlegges i dette notatet er derfor basert på en gjennomgang av noen få spesifikke prosjekter og forfatternes erfaringer fra bransjen. Det er så langt i prosjektet ikke gjort en grundig gjennomgang av praksis i bransjen i sin helhet. Denne versjonen av notatet er en arbeidsversjon og ikke et endelig produkt. 1.3 Innhold Notatet gir i det kommende kapitlet, kapittel 2, en kort gjennomgang av dagens praksis når det gjelder risikostyring, slik forfatterne oppfatter den. Deretter i kapittel 3 gjennomgås områder som anses å ha et potensial for å kunne gi forbedringer. Tilslutt i kapittel 4 trekkes det en del konklusjoner. 2

2 Dagens praksis Vi tar utgangspunkt i en beslutningssituasjon, der beslutningstaker står ovenfor et valg mellom et sett av ulike løsninger eller tiltak. For å få et underlag for å ta en god beslutning får beslutningstaker forelagt seg et beslutningsunderlag, utført av relevante fagenheter, for eksempel utføres ulike former for analyser, herunder risikoanalyser og andre former for HMSanalyser. Nedenfor oppsummeres noen av de viktigste kjennetegn ved dagens praksis når det gjelder dette underlaget og bruken av det i beslutningsprosessen. 1. Risikoanalyser og HMS-analyser er normalt en del av beslutningsunderlaget. Der risiko (HMS) er viktig, gjøres det analyser av situasjonen og resultatene inngår i beslutningsunderlaget. 2. Det er en utstrakt bruk av risikoakseptkriterier. Dersom beregnet risiko ikke møter risikoakseptkriteriene, må tiltak iverksettes. Dersom beregnet risiko møter kriteriene, gir ikke kriteriene noe press for å redusere risikoen. ALARP prinsippet gjelder, men i praksis er det risikoakseptgrensene som er de styrende kriterier. 3. Sikkerhet (HMS) integreres i noen tilfeller med økonomiske analyser, oftest ved kost/effektivitetssanalyser som beregner forventet kostnad per forventet sparte liv. Også kost/nytte-analyser brukes i noen tilfeller, der en beregner forventet diskontert verdi. Det er da fokus på økonomiske tap som følge av en uønsket hendelse - verdi knyttet til tap av liv og skader, og tap av renome inkluderes vanligvis ikke. 4. Utstrakt bruk av forventningsverdier i risikoanalyser og kost/nytte (kost/effektivitets) analyser. Risiko framstilles ved forventningsverdier som FAR, PLL osv. 5. Vurderinger av usikkerhet og sensitiviteter gjøres i en viss grad, men en helhetlig tilnærming foretas ikke. Sensitivitetsanalyser er mer vanlig enn usikkerhetsvurderinger. 6. Vurderinger av robusthet i konklusjonen gjøres ikke. Hva må til i endringer i antagelser og vurderinger for at konklusjonen skal endres ( backwards approch )? 7. Faktorer som vurderes som viktige for de beslutninger som tas kommer med i underlaget som fremlegges beslutningstaker. Noen faktorer utelates i vurderingene, fordi det er vanlig praksis eller fordi det er vanskelig å foreta vurderinger av disse. 8. Analysene gir kun et underlag for beslutning. Underlaget blir vurdert og satt inn en sammenheng der en også tar hensyn til de begrensninger som ligger i underlaget og andre relevante forhold. Gjennomgående er det stor tillit til det underlaget som legges fram. I mange tilfeller vil imidlertid forhold av strategisk og politisk betydning være styrende for det valg som endelig gjøres. I det neste kapitlet vil vi diskutere disse områdene nærmere og peke på mulige forbedringer som kan gjøres. 3

3 Områder for refleksjon. Mulige forbedringsområder Risiko betyr mulige konsekvenser (utfall) og tilhørende sannsynligheter, i praksis ofte formulert som forventningsverdier, for eksempel forventet antall omkomne (PLL, FAR). Forventet risikonivå beregnes ut i fra en modell (metode) som er laget for i størst mulig grad å reflektere den risiko personell blir utsatt for ved å arbeide på et anlegg. Likevel vil en slik modell i praksis ha store begrensninger. Modellen reflekterer ikke virkeligheten fullt ut men tar bare med seg deler av det totale bilde. Årsaken til at man velger å gjøre forenklinger er flere: - Forenklinger gjøres for at ikke modellene skal bli for store og komplekse. dvs: o man tar bort de elementene man vurderer som minst viktig o forventningsverdien brukes for å begrense analysene o risikonivå måles for grupper av personer ikke individer - Forenklinger gjøres der man ikke har detaljert kompetanse omkring fenomener - Forenklinger gjøres der usikkerheten er veldig stor - Forenklinger gjøres ubevist ved at enkelte faktorer uteglemmes fra modellen (ikke identifiseres) Modellene som etableres beskriver derfor ikke virkeligheten fullt ut og uttrykker ikke et sant risikonivå. Modellene reflekterer en systematisk samling av fakta, antagelser og forenklinger strukturert på en logisk og sporbar måte. Modellen beskriver sammenhengen mellom ulike parametere og søker å gi en bedre beskrivelse av risikonivå enn man kunne klart men den mentale modellen man har i hodet. Figuren under illustrerer hvordan en kvantitativ modell bare tar opp i seg en del av de faktorene som påvirker risikonivå. Tilsvarende kan en illustrere ulike menneskers mentale modeller. Faktorer (F..) som påvirker risikonivå F1 F2 F3 F4 F5 F6 F7 F8 F9 F10 F11 F12 F13 F14 F15 F16 F17 F18 F19 F20 F21 F22 F23 F24 F25 F26 F27 F28.. FN Beregningsmodell Mentale modeller (ulike personer) Figur 1: Begrensinger i kvantitative og mentale modeller En kvantitativ modell etableres for å forbedre beslutningsunderlaget, og skape innsikt i og forståelse for sammenhenger mellom ulike faktorer. Når en beslutning skal fattes bør helheten ligge til grunn og både kvantitative modeller og andre faktorer synliggjøres. Beslutningstager må derfor kjenne til begrensningene og usikkerheten i beslutningsunderlaget. 4

For å få til dette kreves det en systematisk og ryddig beslutningsprosess prosess både for de som forbereder beslutningsunderlaget og for beslutningstager. De påfølgende kapitlene diskuterer viktige faktorer i en slik beslutningsprosess. 3.1 Hva rettferdiggjør krav til sikkerhet (HMS)? Hva er det som rettferdiggjør investeringer i sikkerhet (HMS)? Som nevnt ovenfor er det flere elementer som er viktig i en slik diskusjon: 1. Risiko må alltid uttrykkes av noen - risikobeskrivelsen er en vurdering - den er ikke å oppfatte som fakta. 2. Det er betydelig måleproblemer knyttet til å beregne risiko. Det gjøres en rekke forutsetninger og antagelser. Ulike valg av inngangsdata kan gi store utslag i resultatene. 3. Risikoberegningene fanger ikke opp hvordan enkelt personer opplever risikoen. Hvilken verdi har trygghet i seg selv? 4. Risikoen som uttrykkes fokuserer ikke på risiko for enkeltindividet, men grupper eller populasjoner. Det kan være store forskjeller i risiko mellom enkeltindividene. Risikoberegningen gir verdifull kunnskap om risikoen for individer, men ikke den fulle og hele beskrivelse. 5. Det er en rekke aspekter ved utfallsrommet og usikkerhet i forhold til utfall som påvirker vår holdning til hva vi mener er sikkert nok, eller god nok sikkerhet (HMS), for eksempel gjelder dette a. Muligheten for store tapstall b. Utfall (konsekvenser) som er vanskelig å bestemme (skader som det tar lang tid før de viser seg) c. Stor usikkerhet hva som blir konsekvensene d. Hvorvidt det finnes gode alternative løsninger. 6. Hva vi mener er sikkert nok, eller god nok sikkerhet (HMS), må sees i en historisk, kulturell og politisk kontekst. For eksempel, har det nylig skjedd en ulykke, vil vi ofte stille oss annerledes til visse tiltak enn om en slik ulykke ikke har inntruffet. Den beregnede risikoen trenger ikke har endret seg særlig mye, men opplevelsen av risiko kan ha gjort det, og hva som anses å være et riktig sikkerhetsnivå. Det er åpenbart mange aspekter ved utfallsrommet og usikkerhet i forhold til utfall (konsekvenser) som rettferdiggjør sikkerhet (HMS) ikke bare beregnet risiko. Dette er et viktig utgangspunkt når en skal etablere et egnet beslutningsunderlag ved valg av løsninger og tiltak. Risikonivå på norsk sokkel (RNNS)-prosjektet er et eksempel som viser betydningen av dette utgangspunktet. Her er risiko- og sikkerhetsbeskrivelsen framkommet gjennom observerte hendelser, analyser, spørreundersøkelser, intervjuer og dialog. Samlet gir dette et godt grunnlag for å vurdere status og uviklingstrender for risiko- og sikkerhetsnivået. 5

3.2 Bruk av forventningsverdi for å uttrykke sikkerhet (HMS) Risiko beregnes vanligvis med utgangspunkt i forventningsverdien, dvs. en beregner E[X K], der X er en observerbar størrelse, for eksempel antall omkomne i løpet av et gitt tidsrom, og K er bakgrunnskunnskapen, dvs. de antagelser og forutsetninger som gjøres (modeller inngår her). FAR og PLL-verdier er eksempler på slike forventningsverdier. Ut fra resonnementene ovenfor, er det klart at en beskrivelse av risiko og sikkerhet (HMS) utelukkende basert på forventningsverdier ikke er tilstrekkelig for å gi et bilde av sikkerheten (HMS). Poenget er at det er mange aspekter ved de mulige utfall (X) som ikke da fanges opp, betydningen av K kommer ikke klart fram, og forventningsverdiene er noens forventingsverdier andre kunne ha kommet til andre verdier. 3.3 Synliggjøring av usikkerhet for ledelsen Analytikere som produserer et beslutningsunderlag for beslutningstakere (ledere) synes i mange tilfeller å ha en forestilling om at skal beslutningstakerne forstå innholdet i underlaget må det være veldig enkelt framstilt og uten at usikkerhet problematiseres. En slik forestilling er imidlertid en myte. Ledere er i stand til å forholde seg til usikkerhet, ja, det er det som i stor grad er deres oppgave å ta beslutninger under usikkerhet. Og jo høyere ledelsesnivå, desto større er de mulige konsekvenser og usikkerheter. Problemet er snarere at analytikerne ikke har vektlagt i stor nok grad usikkerheter, og presentasjonsformen ikke har vært nok gjennomtenkt. Mangelfull forståelse av helheten i problemstillingen blant analytikere/fagpersoner gjør at usikkerhetsvurderingene ofte blir mangelfulle. Utfordringen er å presentere usikkerheter på en hensiktsmessig måte, slik at beslutningstaker får et godt underlag for å ta en beslutning. Dette vil bli utdypet i forbindelse med Eksempel 3.8.1. 3.4 Bruk av beslutningskriterier/risikoakseptkriterier Klarhet i beslutningskriterier/akseptkriterier er vesentlig for å ta en god beslutning, dvs formålet med den beslutningen som skal tas må være helt klart. Intuitivt tenker man da på forbedret lønnsomhet og sikker drift, men det kan også være en rekke andre formål som kan påvirke beslutningen. Strategiske vurderinger knyttet til teknologiutvikling, markedsutvikling, omdømme, myndigheter etc er ofte kritiske faktorer i en beslutningsprosess. Hvilke beslutningskriterier som skal gjelde for den enkelte beslutning er viktig å klargjøre. Ofte mangler god dokumentasjon på hvordan man har kommet frem til beslutningskriteriene, hva skal vurderes og hva som skal ikke vurderes. Når skal omdømme vurderes og når skal fleksibilitet taes med som en del av beslutningen. I prinsippet skal alle relevante faktorer vurderes alltid, men det er ofte vanskelig å finne en god dokumentasjon på de vurderinger som er gjort. Det bør derfor vurderes å etablere en metodikk for en mer systematisk gjennomgang av alle relevante attributter når beslutningskriteriene skal etableres. Sikkerhet og akseptkriterier I industrien i dag er det en utstrakt bruk av risikoakseptkriterier. Først etableres kriteriene, deretter gjennomføres risikoanalyser og dersom analysens resultater ikke møter kriteriene, må 6

tiltak iverksettes eller den aktuelle løsning forkastes. Dersom beregnet risiko møter kriteriene, gir ikke kriteriene noe press for å redusere risikoen. ALARP prinsippet gjelder, men i praksis er det risikoakseptgrensene som er de styrende kriterier. En bruk av risikoakseptkriterier som i dag gir a) en fokus på å møte risikoakseptgrensene, fremfor å finne fram til best mulig løsninger og tiltak totalt sett (mht økonomi, driftsvennlighet, HMS, ). b) risikoanalysen et presisjonsnivå som den ikke har. Vi viser til Aven og Vinnem (2003) der det argumenteres for en tenkning som i stedet for risikoakseptgrensene vektlegger større ledelsesinvolvering med basis i beskrivelser av ulike løsningers og tiltaks fordeler og ulemper, herunder beskrivelse av risiko og usikkerheter. I praktisk arbeid vil det alltid være behov for å finne fram til prosedyrer som forenkler beslutningsprosessene bruk av kriterier og krav er en måte å forenkle disse prosesser på. Selv om en skulle gjennomføre en styring uten bruk av risikoakseptgrenser vil det være nødvendig å sette visse krav til løsninger og tiltak for å forenkle beslutningsprosessene. Utfordringen blir å finne fram til en bruk i tråd med den overordnede filosofi, samtidig som en sikrer praktisk gjennomførbarhet. Arbeider Aven og Vinnem (2003) On the use of risk acceptance criteria. Artikkel som vil bli publisert. Kortner, Aven, Sørum, Vinnem (2003) Risk assessment of high risk activities. Artikkel som vil bli publisert 3.5 Økonomi og sikkerhet. Kost/nytte og kost/effektivitetsanalyser I dag brukes kost/effektivitetsanalyser og kost/nytte-analyser i en viss grad. Hovedvekten er på kost/effektivitetsanalyser, der en beregner forventet kostnad per forventet antall sparte antall liv. Slike analyser gir et nyttig underlag for å bruke ressursene på en effektiv måte. Ut fra en økonomisk tankegang er det den forventede produksjonsverdi som er den styrende parameteren i en beslutningssituasjon, og kost/effektivitetsanalyser og kost/nytte-analyser er ulike måter å beregne slike produksjonsverdier på. Bruken i næringen i dag er imidlertid ikke systematisk og det er grunn til å se nærmere på kriterier for når slike analyser bør gjennomføres og hvilket innhold de bør ha. Verdien av sikkerhet (HMS) er ikke lett å uttrykke, og i mange tilfeller blir bare noen faktorer inkludert. Betydningen av tapt renome blir sjelden uttrykt. Dersom sikkerhet (HMS) skal få den riktige vekt sett i enn økonomisk kontekst må alle faktorer tallfestes. Verdien av fleksibilitet, robusthet og redusert usikkerhet må reflekteres. På den annen side har sikkkerhet (HMS) en verdi i seg selv, som diskutert under kapittel 3.1, og det kan således virke mot sin hensikt å forsøke å rettferdiggjøre sikkerhetstiltak (HMS-tiltak) ut fra et økonomisk perspektiv. Det er behov for å se nærmere på hvilke verdi usikkerhet skal ha. Det er ikke nok å vise til beregninger av forventningsverdier disse verdier er noens forventningsverdier, det er store måleproblemer og en legger til grunn en rekke forutsetninger og antagelser. Arbeider: Asche and Aven (2003) On the economic value of safety. Artikkel presentert ved ESREL 2003. Aven og Vinnem (2003) On the use of risk acceptance criteria. Artikkel som vil bli publisert 7

3.6 Usikkerhetsstyring og sikkerhet (HMS) Usikkerhetsstyring har en etablert plass i prosjekt- og driftsstyringen, men sikkerhet (HMS) er ikke i særlig grad inkorporert i de metoder og teknikker som brukes. Her er det et mulig potensiale for forbedringer. Metodene har sin utspring i en vurdering av konsekvens, sannsynlighet og grad av styrbarhet, med andre ord risiko og styrbarhet. Vi taler altså om risikostyring, og metoder for å identifisere og følge opp kritiske aktiviteter. En sikkerhetsfokusert metode med utgangspunkt i bruk av ballongdiagram bør vurderes nærmere. En slik metode kan baseres på en vurdering av sannsynlighet og konsekvens, og faktorer som grad av usikkerhet knyttet til fenomener og framtidig forløp, viktighet i forhold til omdømme, risikopersepsjon og styrbarhet. Det vises for øvrig til Abrahamsen, E. (2003). Økonomi og sikkerhet. Hovedoppgave, HiS. 3.7 Sensitiviteter og testing av robusthet i konklusjoner Det er vanlig å foreta sensitivitetsanalyser i forhold til kritiske inngangsdata, men det er et potensiale for å ytterligere systematisere dette arbeidet. Sensitivitetsanalysene tar utgangspunkt i endringer i inngangsparametre og ser effekten på resultatene. Testing av robusthet i konklusjoner går motsatt vei (backwards approach). Her ser en på hva som må til av endringer i en parameter for at en skal komme til å endre konklusjon. Denne type analyse gir meget nyttig beslutningsunderlag, men er ikke særlig utbredt. Et annet viktig poeng knyttet til sensitiviteter og testing av robusthet i konklusjonen er riktig valg av parametere. Hvilke parametere skal man kjøre sensitiviteter på. Et åpenbart svar er de viktigste - de som bidrar mest til risikonivå men dette er ikke åpenbart i alle situasjoner. Fagpersoner og analytikere ser ofte ikke helheten i beslutningsproblemet og beslutningstager ser ofte ikke helheten i den faglige problemstillingen. Det mangler en systematisk fremgangsmåte for å sikre at testing av konklusjon gjøres på en god måte. Et eksempel kan være som diskutert i 3.8.1 der en analytiker ser på investeringstidspunktet (dvs oppstart av prosjektet) som en gitt parameter og investeringsprofilen som gitt, mens beslutningstager ikke ser betydningen av det valget som er tatt. I dette tilfelle viser det seg at en endring i investeringsprofilen er en betydelig faktor som kan bidra til å endre konklusjonen. Når følsomhetsanalyser utføres er det et poeng å få fram endringer som både dekker mulige nedside og oppside. For eksempel, når en skal se på effekten av endret oljepris, er det ikke nok å bare se på lav oljepris. Poenget er det er en mulighet for at oljeprisen blir høyere enn base case, også dette potensialet må vurderes. Vi viser til eksempel 3.8.1 nedenfor. 8

3.8 Eksempler 3.8.1 Ubemannet operasjon av installasjon B Det er stipulert behov for økt brønnvedlikeholdsarbeid på installasjon B (B), og dette har gjort det nødvendig å tenke gjennom innkvarteringsbehovet for aktuelt personell. Flere alternative innkvarteringsløsninger er vurdert, a) Innkvartering på installasjon A (A) skytling av personell til B b) Innkvartering på flotell ved B. Skytling til B ved visse sikkerhetsrelaterte brønnoperasjoner og brønnvedlikeholdsoppgaver. c) Innkvartering på ny boligplattform ved B. Fram til denne installeres, vil arbeidet baseres på skytling. For å studere de ulike alternativer er det gjort en studie som har som hensikt å sammenligne alternativene med Statoils risikoakseptkriterier og for øvrig rangere de ulike alternativer med hensyn til risiko. Statoils risikoakseptkriterier er her 1. FAR <10 2. PLL < 4,5 x 10-3, for arbeid på ubemannet installasjon. Resultatene fra risikoanalysen viser at beregnet FAR tilfredsstiller FAR<10, men kriterium 2) er ikke oppfylt det konkluderes således med at det ikke vil være akseptabelt å basere alt brønnarbeidet på B på skytling av personell fra A. Med basis i kriteriet 2), konkluderes det videre med at opptil 7500 timer lett brønnvedlikehold pr. år kan utføres. For de ulike alternativene er det utført økonomivurderinger, basert på forventet nåverdiberegninger. Analysene sammenligner b) og c). Alternativ b) kommer 91 MNOK billigere ut i forventet nåverdi, etter skatt (8%). Det vises til at kostnadsestimatene for B har en usikkerhet på +/- 40% og at det derfor bør etableres et sikrere estimat før en tar endelig stilling til hvilket alternativ som bør velges. I økonomivurderingene inngår sensitivitetsanalyse og drøfting av fleksibilitet. Alternativ b) gir større fleksibilitet ved at det ikke foretas store investeringer slik at man relativt enkelt kan ta en ny beslutning på et senere tidspunkt med hensyn til konsept dersom forutsetningene endres. Studien anbefaler en løsning der en i noen år går for ubemannet drift av B basert på begrenset skytling kombinert med flotell for brønnvedlikehold. Så etter noen år med slik drift, og mer informasjon er tilgjengelig, vurderes behovet for en ny boligplattform ved B. 9

Kommentarer og vurdering Den studien som her er gjennomført er i henhold til den tenkning og praksis som er vanlig i industrien og i samsvar med vanlig forståelse av hvordan regelverket skal følges opp. Våre kommentarer og vurderinger nedenfor må således forstås som en refleksjon over denne praksis, mer enn en kritikk av denne spesifikke studien. Vi tror at det er nødvendig med en gjennomtenkning av hva som er tenkemåten i slike situasjoner, og vi vil peke på noen områder for mulige forbedringer. Usikkerhetsvurderinger I denne studien er det gjort senitiviteter på enkelte av inngangsparametrene som ligger til grunn for analysen, bla: - Hvor mange dager er det behov for flotell - Antall operasjoner som gjennomføres (tungt og lett brønnvedlikehold) - Investeringskostnader (boligkvarter) Konklusjonen er at økonomivurderingene er robuste i forhold til en viss variasjon av disse parametrene. Men er dette er riktig konklusjon? Er man trygg på at de riktige spørsmålene er stilt og de riktige sensitivitetene vurdert? Er det kanskje mer kritisk å se på: - Leiekostnader for flotell - Produksjonstap som følge av utsatt produksjon, dvs antall brønner ute av drift - Investeringsprofilen - Etc. Er det tilstrekkelig å gjøre sensitivitetsvurderinger på ulike parametere eller bør usikkerheten (dvs. sannsynligheten for ulike utfall) også vurderes? Hvordan skal man velge de riktige parametrene og hvor mye skal de variere? I dette eksempelet med ubemannet operasjon av Installasjon B viste det seg at de sensitivitetene som ble gjennomført i første fase ikke testet konklusjonen og ga ikke et godt bilde av robustheten i selve konklusjonen. Først etter flere diskusjonsrunder og tilfeldige spørsmål blir helheten i beslutningsproblemet avslørt for analytiker og de kritiske sensitivitetene gjennomført. Når det gjelder bruken av risikoakseptkriterier, viser vi til arbeidene omtalt ovenfor i delkapittel 3.4. Et enkelt case som dette dokumenterer ikke en svakhet i industrien generelt, men forfatternes erfaring fra tilsvarende problemstillinger viser at det er et behovet for en mer systematisk prosess form å vurdere usikkerheten i ulike parametere og for å teste robustheten i konklusjonen. 10

3.8.2 Midland Compression Project (MCP), Statoil. Vurdering av ESV plassering og arrangement Som underlag for beslutning om ESV plassering og arrangement ble det utført en rekke studier, knyttet til teknisk gjennomførbarhet, kostnader og produksjon, og sikkerhet, med vekt på skipskollisjoner og andre ulykker som kan gi store tap (økonomiske tap, og tap av liv). Forventningsverdier er beregnet for tap av produksjon og materielle verdier (økonomisk risikoanalyse), produksjonstap (regularitetsanalyse), muligheten for skipskollisjon, antall drepte som følge av ulykker (PLL og FAR) og nåverdi i forbindelse med gassalg. Beregnede risikoverdier sammenlignes med forhåndsdefinerte risikoakseptkriterier. Enkelte følsomhetsvurderinger er gjort i noen av disse studiene. Usikkerhetsvurderinger inngår i liten grad, utover kvalitative vurderinger i forhold til teknisk kvalifisering av utstyr. På bakgrunn av underlaget gir prosjektgruppen en anbefaling om valg av løsning. På grunn av overordnede strategiske hensyn, er prosjektet foreløpig ikke realisert. Kommentarer og vurdering Nedenfor er gitt noen spesifikke kommentarer til noen av de studier som danner underlaget for konklusjonen. Helheten i beslutningsunderlaget for MCP prosjektet er ikke ferdig gjennomgått, og der er derfor ikke laget en helhetlig vurdering av beslutningsprosessen. Gjennomgangen så langt har likevel vist at MCP prosjektet er et prosjekt som har gjort en relativt godt dokumentert beslutningsprosess. Det er også et prosjekt der vurderingene rundt SSIV inneholder veldig mange relevante faktorer. MCP prosjektet er derfor et meget godt Case å jobbe videre med for se på problemstillingen knyttet til økonomi og sikkerhet. Regularity Reference is made to Statoil s Midland Compression platform (MCP) regularity study, PTTKU OPTEK 22023. The approach that is used is standard for regularity analyses and in accordance with NORSOK Standard Z-016. Several cases are considered, the base case includes a manned installation with topside equipment and related subsea SSIV s. Two sensitivity analyses are conducted, as Base case but unmanned installation, and a case based on Base case but with possibilities for topside bypass of compressors. In the analysis the expected loss of production as a result of failure and downtime of equipment on the installation is computed for the three cases. The results show that the expected loss of production on a yearly basis is about 0.5% for case 1 and 2 and about 1.5% for case 3. These numbers may be interpreted as average production figures for a 50 years operating time. Variation and uncertainty are not analysed in detail in the report, and the way the analysis is carried out care should be shown when reading the results. The point is that the data being used on repair times is such that variations have been more or less ignored. This makes it 11

difficult to extend the analysis results beyond expectations and average values. For example, the downtime time for a Sub-sea value is specified as a fixed number, 28 days, and by this it is not likely to experience a downtime during one year that is more than about 7.5% of the time (28/365). The uncertainties related to having a longer period of downtime is not shown. This is not a critique of the present study as it is limited to average values and uncertainties are not addressed. Also the possibilities of common mode failures of the sub sea-valves have been ignored. A full analysis of variation and uncertainties need to address the variation in repair times, due to different failure modes, repair activities, etc. Is such an extended analysis useful for this decision-making problem? In general, increased insights about the variation and uncertainties provide a better decision basis. From an enterprise and portfolio perspective the concern is the expected value and as such there is no need for a detailed analysis of the uncertainties. Assessment of uncertainties related to a loss of production of say more than 20% of normal production is however important as the consequences of such long stops may be related to loss of reputation and reducing the company s status as a prudent operator. Strategic considerations thus requires an analysis of uncertainties. How to deal with uncertainties in a regularity context is not obvious and further research is required. We refer to the Ph.d thesis carried out by Atle Hjorteland, in Statoil. Economic accidental risk Reference is made to Memo from Espen Fyhn Nilsen, 16/4-02, Economic Accidental Risk: MCP. Three alternatives are considered for the ESV location and arrangement, and the expected yearly economic loss as a result of accidents is computed. The three alternatives are 1A: Topside EV and pipeline routed over platform 2: Subsea EV and pipeline on seabed 3B: Topside EV, subsea isolation valve and pipeline on seabed Based on a number of assumptions on the system and possible consequences of accident events, expected economic loss figures are computed for the three alternatives. The basis are frequencies (expected values) for the occurrence rate of some specified accident scenarios, computed by DNV, and assessments of the possible consequences of these scenarios. The scenarios are of the type limit loss on platform, total loss of platform, local damage, one inlet pipe, etc. The approach is a standard approach for expected economic loss computations, and covers only direct costs as a result of material (inclusive repair) and downtime. This means that for example loss of reputation is not included. The analysis is a crude analysis, based on a number of assumptions. This is underlined in the memo and the results should be seen in that context. 12

The calculations show that alternative 2 has the lowest expected economic accident loss. Compared to alternative 1A the difference is 84 million NOK. The results for alternative 2 and 3B are approximately the same. The computed expected values are informative numbers, as the mean value is the key parameter in an economic analysis. In addition to the mean the risk spectre represented by the pair of frequencies and consequences (scenarios) provide additional insights. This spectre is available from the memo, although the results are not highlighted in the summary and conclusions. As the consequences are very large in some of these scenarios, communication of the risk spectre is important. The decision maker should be aware of the probability differences associated with the extreme scenarios. Sensitivity analyses should be performed to show the effect on the risk spectre and expected values as a result of changes in key assumptions. Factors that could strongly influence the results, such as the incorporation of other factors such as loss of reputation, should be discussed. 13

4 Konklusjoner og forslag til videre arbeid Hovedbudskapet og konklusjonen som trekkes i notatet er at forståelsen og håndteringen av risiko og usikkerhet bør bli bedre, slik at bedre beslutninger tas og HMS blir tatt hensyn til på en riktigere måte. Mer spesifikt konkluderes det med at det er et potensiale for forbedringer knyttet til - forståelsen av grunnlaget for hva som rettferdiggjør sikkerhet (HMS) - forståelse av risiko som noe mer enn forventingsverdier - presentasjon av usikkerheter for beslutningstakere (ledere) - bruk av risikoakseptkriterier - forståelse av verdien av sikkerhet (HMS) i et økonomisk perspektiv - håndtering av sikkerhet (HMS) i usikkerhetsstyringen - bruk av sensitivitetsanalyser og analyser av robusthet i konklusjoner Videre synes det å være behov for en systematikk i forhold til å velge ut hvilke attributter (gjennomførbarhet, økonomi, strategiske vurderinger, HMS, renome, osv) som bør analyseres. I det videre arbeidet anbefales det at disse områder diskuteres videre og belyses gjennom konkrete eksempler. Anbefalinger og konkrete retningslinjer kan så utvikles. 14