Risikovurdering

Hvad dækker færdigheden risikovurdering?

Risikovurdering er evnen til at sætte struktur på noget, der endnu ikke er sket. Personen tager en konkret aktivitet — en arbejdsproces, et it-system, et byggeri, en leverandøraftale — og arbejder sig systematisk igennem: hvad kan gå galt, hvordan kan det ske, hvor sandsynligt er det, og hvor slemt bliver det, hvis det sker.

Fire ting adskiller færdigheden fra almindelig sund fornuft.

Det første er afgrænsning. En dygtig risikovurderer bruger tid på at fastlægge, hvad der vurderes, hvem risikoen er en risiko for, og hvilke kriterier der afgør, om noget er acceptabelt. Risiko for medarbejderens helbred, for virksomhedens drift og for borgerens rettigheder er tre forskellige vurderinger. Blandes de sammen, bliver resten en samtale uden retning.

Det andet er at formulere hændelser i stedet for bekymringer. "Vi mangler en politik" er ikke en risiko. Det er et hul i dokumentationen. Risikoen er den hændelse, hullet kan føre til: at persondata sendes til en forkert modtager, at en maskine startes under rengøring, at en underleverandør stopper midt i en kritisk leverance. En person med færdigheden kan skrive et scenarie med årsag, hændelse og konsekvens, så andre kan forholde sig konkret til det.

Det tredje er at vurdere sandsynlighed og konsekvens på et grundlag, der kan forklares. Nogle gange findes der data: ulykkesstatistik, nærvedhændelser, driftslogs, skadeshistorik, revisionsfund. Andre gange er der kun erfaring og fagligt skøn. Den dygtige kender forskellen, siger den højt i vurderingen og kan pege på, hvad der ville få estimatet til at ændre sig. Han eller hun kender også de klassiske skævheder: den sidste hændelse fylder for meget, det, ingen har oplevet, fylder for lidt, og skalaen bliver strakt, hvis konklusionen er ubelejlig.

Det fjerde er at lande i en beslutning. En risikovurdering er først færdig, når nogen har taget stilling: skal risikoen fjernes, reduceres, overføres til forsikring eller kontrakt — eller accepteres som den er. Personen kan skrive restrisikoen ned, navngive en risikoejer og aftale en opfølgning, der reelt bliver holdt.

I det daglige viser færdigheden sig mest som facilitering. Den, der laver vurderingen, er sjældent den, der ved mest om arbejdet. Det er operatøren, sygeplejersken, udvikleren eller montøren. Risikovurdererens rolle er at stille spørgsmålene, holde gruppen fast på hændelser i stedet for skyld og oversætte faglig viden til noget, en ledelse kan træffe beslutning ud fra. Risikomatricen er et kommunikationsværktøj: den gør en vurdering læsbar, men den producerer den ikke.

Hvornår er risikovurdering vigtig?

Risikovurdering betyder mest, når en beslutning ikke kan gøres om billigt, og når konsekvensen rammer andre end den, der beslutter.

Arbejdsmiljø er det mest udbredte sted i dansk arbejdsliv. Arbejdspladsvurderingen (APV) bygger på, at arbejdsmiljøforholdene afdækkes og risikovurderes, og Arbejdstilsynet stiller krav om, at man som minimum kommer omkring alle forhold hvert tredje år — og derudover når arbejdet, metoderne eller processerne ændrer sig. Færdigheden er central for arbejdsmiljørepræsentanter, arbejdsledere, arbejdsmiljøkoordinatorer og alle med personaleansvar i produktion, byggeri, transport og pleje.

Informationssikkerhed er det andet store område. En risikovurdering er motoren i et ledelsessystem efter ISO/IEC 27001, og de europæiske regler for kritiske sektorer, herunder NIS2 og DORA i den finansielle sektor, er bygget på en risikobaseret tilgang: foranstaltningerne skal stå mål med den risiko, virksomheden selv har vurderet. Det gør færdigheden vigtig for it-chefer, sikkerhedsansvarlige, GRC-konsulenter og indkøbere, der vurderer leverandører.

Databeskyttelse er det tredje. Skal en behandling af personoplysninger sandsynligvis medføre høj risiko for de registreredes rettigheder, kræver databeskyttelsesforordningen en konsekvensanalyse (DPIA). Her er risikoen ikke virksomhedens tab, men skaden for den enkelte borger — en skelnen mange overser.

Dertil kommer de tekniske fag, hvor risikovurdering er indbygget i selve arbejdet: maskinsikkerhed og CE-mærkning, procesanlæg med farlig kemi, arbejde i højden, spuns og udgravning, medicinsk udstyr, lægemidler og utilsigtede hændelser i sundhedsvæsenet. I projektledelse og byggeri handler det om tid, økonomi og grænseflader, typisk samlet i et risikoregister, der gennemgås løbende.

Endelig er færdigheden ofte vigtig uden at stå i stillingsbeskrivelsen: hos driftschefen, der skal skifte leverandør, teamlederen, der indfører et nyt system, eller den selvstændige, der tager en opgave uden for sit sædvanlige felt.

Hvordan trænes risikovurdering?

Sproget kan læres på få dage. Dømmekraften kan ikke. Et kursus giver metoden, skabelonen og begreberne, men evnen til at se, hvad der faktisk kan gå galt i netop dette arbejde, kommer af gentagelse, fagkendskab og feedback. Derfor er de fleste dygtige risikovurderere folk, der først har haft fingrene i faget og bagefter har lært metoden.

Den vigtigste træning er praksis med modspil. Lav vurderingerne, skriv dem ned, og lad dem blive udfordret af nogen, der kender arbejdet bedre end dig. Facilitér workshops med dem, der udfører opgaven. Læg mærke til, hvor gruppen bliver uenig — det er dér, den reelle usikkerhed ligger.

Den næstvigtigste er efterprøvning. Gem vurderingerne, og sammenhold dem senere med det, der faktisk skete: ulykker, nærvedhændelser, sikkerhedshændelser, forsinkelser, revisionsfund. Uden den sløjfe bliver man ikke bedre til at gætte, kun mere rutineret i at udfylde skemaer.

Metodemæssigt er ISO 31000 den anerkendte ramme. Den danske udgave hedder "Risikoledelse — Vejledning", og det ord skal tages bogstaveligt: det er en vejledning, ikke en kravstandard, en virksomhed bliver revideret op imod. Søsterstandarden IEC 31010 beskriver selve teknikkerne. Den rummer et stort katalog, men man bliver ikke dygtig af at kende alle. Lær nogle få ordentligt: risikomatricen, bowtie-analyse, FMEA i produktion og udvikling, HAZOP i procesanlæg og scenarieanalyse til strategiske og digitale risici. Til informationssikkerhed er ISO/IEC 27005 den tilsvarende specialiserede vejledning.

Af formelle veje i Danmark er den lovpligtige arbejdsmiljøuddannelse indgangen for arbejdsmiljøorganisationen. Dansk Standard udbyder kurser i risikoledelse efter ISO 31000 og i informationssikkerhedsrisici efter ISO/IEC 27005. Inden for it og revision er CRISC fra ISACA en kendt personcertificering, og Open FAIR fra The Open Group bruges af dem, der vil regne på risiko i kroner i stedet for farver. Prisen og varigheden oplyses af udbyderen selv.

Af litteratur er Douglas Hubbards "The Failure of Risk Management" og "How to Measure Anything in Cybersecurity Risk" de bøger, praktikere oftest henviser til, fordi de går direkte til svagheden i den udbredte matrixtilgang og viser, hvordan skøn kan kalibreres.

Det sværeste at træne står i ingen bog: at fastholde en vurdering, når den er upopulær, og at holde arbejdet fri af ren dokumentationspleje. Mange risikovurderinger er teknisk korrekte og alligevel værdiløse, fordi ingen turde skrive konklusionen tydeligt, eller fordi papiret blev målet i sig selv.

Sådan genkender du en, der kan risikovurdering

Bed personen fortælle om en konkret risikovurdering, hun eller han har lavet, hvor konklusionen ændrede en beslutning. Det er den bedste enkeltindikator. Et svagt svar handler om, at dokumentet blev færdigt og godkendt. Et stærkt svar handler om, hvad der blev lavet om, hvad det kostede, og hvem der sagde nej.

Spørg, hvordan vurderingen blev afgrænset, og hvem risikoen var en risiko for. En erfaren person svarer straks og præcist. En uerfaren begynder at tale om skemaet.

Spørg, hvordan sandsynligheden blev fastsat. Lyt efter, om personen kan skelne mellem data og skøn, og om han eller hun kan sige, hvad der ville ændre vurderingen. Svar i stil med "det er en treer" uden nogen forklaring bagved er et advarselstegn.

Spørg, hvad personen har taget fejl af. Den, der har lavet mange rigtige vurderinger, har også fulgt op på nogle, der ramte ved siden af, og kan fortælle hvorfor. Den, der aldrig har taget fejl, har sandsynligvis aldrig set sine vurderinger efterprøvet.

Bed om at se et eksempel på skriftligt arbejde, gerne anonymiseret. Kig efter scenarier formuleret som hændelser med årsag og konsekvens, en navngiven risikoejer, en tydelig restrisiko og en dato for opfølgning. Kig også efter, om der overhovedet står noget grønt: en vurdering, hvor alt er rødt og gult, er ikke en prioritering.

Lav eventuelt en kort øvelse på et område, I selv kender. Giv personen en reel situation fra jeres hverdag, og se på processen frem for resultatet. Stiller hun spørgsmål om, hvad der skal beskyttes, og hvem der bliver ramt? Trækker hun fagpersonerne ind i stedet for at svare selv? Kan hun forklare sin skala for en, der aldrig har set en risikomatrix?

Endelig hører det med til færdigheden at kende reglerne på det område, personen skal arbejde i. En risikovurderer i produktion skal kende arbejdsmiljøkravene og Arbejdstilsynets rolle. En i it skal kende NIS2 og ISO/IEC 27001. En, der arbejder med personoplysninger, skal vide, hvornår en konsekvensanalyse er påkrævet. Metodekundskab uden kendskab til området giver pæne skemaer og forkerte prioriteringer.