Risk- och sårbarhetsanalys Andreas Thulin

1. Risk- och sårbarhetsanalys Andreas Thulin 2014-05-06

2. Disposition • 1 Region Halland • Organisation • 2 RSA process • Samhällsviktig verksamhet • Tre olika typer av analyser • 3 Utvecklingsområden • Förankring • Riskhanteringsprocessen • Samverkan inom Halland • Samlad riskbild nationellt • Process för systematiskt säkerhetsarbete

3. Halland Alingsås Göteborg Borås Jönköping Kungsbacka Varberg Värnamo Falkenberg Hyltebruk Växjö Halmstad Ljungby Laholm Ängelholm Karlshamn Karlskrona Helsingborg Kristianstad Lund Malmö

4. Region Halland • Regionkontoret • Regionservice • Psykiatrin • Akutsjukhus i Halmstad och Varberg samt närsjukhus i Kungsbacka • 46 vårdenheter inom Vårdval Halland, 23 egna och 23 privata • 5 ambulansstationer.

5. Region Halland • Kulturförvaltningen • Hallandstrafiken • Regional utveckling • Skolförvaltningen

6. Organisation och RSA • Utgår från Nätverket för Säkerhetssamordnare och RKK-beredningsgrupp (RSA – Förmågeanalys). • Riskhanteringsgrupper i respektive förvaltning. • Säkerhetsutvecklaren leder arbetet med hjälp av respektive deltagare. • RSA uppdelad i fem delar.

7. Identifiering av samhällsviktig verksamhet (RSA del 1) • Respektive riskhanteringsgrupp identifierar samhällsviktig verksamhet. Identifiering utifrån följande kriterier: • Ett bortfall av eller en störning i verksamheten/funktionen kan ensamt eller tillsammans med motsvarande händelser i andra verksamheter på kort tid leda till att en allvarlig kris inträffar i samhället. • Verksamheten/funktionen är nödvändig eller mycket väsentlig för att en redan inträffad allvarlig kris i samhället skall kunna hanteras så att skadeverkningarna blir så små som möjligt.

8. Mall för identifiering av samhällsviktig verksamhet

9. Identifiering av samhällsviktig verksamhet • Gått igenom samtliga förvaltningar och identifierat samhälls-viktig verksamhet. Ex uppdelning av sjukhuset. • Resultat efter del 1 • Identifierat ”samhällsviktig verksamhet” • Identifierat kritiska system → påverkan vid frånfall • Identifierat kritiska resurser → påverkan vid frånfall • Sårbarhet/redundans för samhällsviktiga verksamheter

10. Mall för grovanalys (RSA del 2)

11. Skalor för S, K, HF • Sannolikhet • 1-4 (Spannet dagligen/varje vecka till 1 gång på 10 år). • Konsekvens • 1-4 (verksamheten kan upprätthållas till att den inte kan upprätthållas). • Hanteringsförmåga

12. Riskmatris

13. Hanteringsförmåga

14. Resultat efter genomförd grovanalys • Kartlagt extraordinära händelser • Bedömt sannolikhet, konsekvenserna, hanteringsförmåga • Bedömt sårbarhet/redundans • Föreslagit förbättringsåtgärder • *Redan här har vi uppfyllt stora delar av lagstiftningen och har ett grundmaterial att arbeta vidare med.

15. Djupanalys IBERO (RSA del 3) • Vilka händelser som djupanalyseras bestäms utifrån • genomförd grovanalys. • Genomförda scenarion: • Avbrott i vattenförsörjningen • Externt avbrott i elförsörjningen • Stora interna störningar i datakommunikationerna • Genomförs för respektive förvaltning samt övergripande genom syntes (tar mycket tid i anspråk).

16. IBERO • Bedömer hanteringsförmågan inom tio områden ex upptäcka samt skapa lägesbild • Identifierar brister som behöver åtgärdas.

17. IBERO • Bedömer hanteringsförmågan för respektive verksamhet • Identifierar brister/flaskhalsar som begränsar vår förmåga • Syntes

18. Katastrofmedicinsk förmågeanalys(RSA del 4 ) • Vidareutveckling av IBERO • Bedömer hanteringsförmågan inom tio områden ex upptäcka samt skapa lägesbild. • Identifierar brister som behöver åtgärdas.

19. Katastrofmedicinsk förmågeanalys • Vidareutveckling av IBERO • Bedömer hanteringsförmågan för respektive verksamhet men mer detaljerat. • Identifierar brister/flaskhalsar som begränsar vår förmåga. • Genomförs för respektive förvaltning samt övergripande genom syntes.

20. Katastrofmedicinsk förmågeanalys • Scenario 1: • Bussolycka kl 16:00 vardag, vinter, farbar väg, skadeutfall. • Scenario 2: • Bussolycka kl 02:00 helg, vinter, farbar väg, skadeutfall. • Hanteringsförmågan: • Ligger inom detta spann. • Genomförande: Skickar ut frågorna och lägger själv in i programmet.

21. Informationssäkerhet • Risk- och sårbarhetsanalysen har kompletterats med ett kapitel som • enbart rör Informationssäkerhet. • Egen riskhanteringsgrupp (Nätverket informationssäkerhetssamordnarna). • Grovanalys (14 händelser). • Djupanalys enligt IBERO.

22. Åtgärdsförslag (RSA del 5 ) • Under arbetets gång har ett stort antal åtgärdsförslag • identifierats. Dessa har hanterats i följande mall: • Riskområde • Åtgärdsförslag • Prioritet (L,M,H) • Risk delas/löses med annan aktör • Kostnad

23. Kontinuitetsplanering • För samtlig samhällsviktig verksamhet inom akutsjukhusen har kontinuitetsplaner skapats. Dessa bygger på följande: • Bemanning saknas men alla system och lokaler finns. • Bemanning finns men lokalerna är av någon anledning helt eller delvis oanvändbara. • Checklistor för material och utrustning. • Dessa kan utvecklas men är ett bra första steg. Dock finns det ingen kontinuitetsplan för sjukhusen som helhet. • Fler verksamheter har tagit egna initiativ till att skapa kontinuitetsplaner.

24. Region Hallands modell • Välj hela eller delar av denna process. • Passar både kommuner, länsstyrelser, regioner och landsting. • IBERO finns även i version för kommun och länsstyrelse.

25. Utvecklingsområden • Samhällsviktig verksamhet • Vägledning för samhällsviktig verksamhet • Acceptabel avbrottstid • Vad innebär det att vara en samhällsviktig verksamhet och vilka skyldigheter/krav medför det?

26. Utvecklingsområden • Skalor (S,K och HF) • Svårt med bedömningar. • Hade varit bra med gemensamma skalor.

27. Utvecklingsområden • Privata alternativ • Under en kris • Genomförande (samhällsviktiga, vem avgör?) • Avtal • Offentlig- privat samverkan • Kartlägga och identifiera beroenden

28. Utvecklingsområden • Åtgärdsförslag • Lutar sig tillbaka efter färdigställd analys. • I dagsläget äger varje förvaltning sina egna åtgärdsförslag vilket • leder till problem när det gäller åtgärdsförslag som berör flera • aktörer. Hur får vi fortsatt verkstad efter det att analysen är • färdigställd? • Framöver utses ansvarig/sammankallande. • Kontinuerlig uppföljning på Nätverket för Säkerhetssamordnare.

29. Utvecklingsområden • Effektivisering av RSA-processen • Grovanalys genomförs av en övergripande grupp. • IBERO fortsatt förvaltningsvisa och övergripande. • Nya verksamheter och omorganisationer • Riskhanteringsgrupper splittras • Nya bedömningar (omorganisation)

30. Utvecklingsområden • Nya verksamheter och områden att analyser: • Kulturförvaltningen • Hallandstrafiken • Regional utveckling • Skolförvaltningen • Miljö? • Ekonomi? • Region – kommun?

31. Utvecklingsområden • Samverkan inom Halland • Duktiga på att analysera oss själva. Men hur ser det ut utanför vårt ”område”? Hur är vi sammankopplade? • Måste bli bättre på att koppla samman analyserna och hämta ”pusselbitar” från varandra. Exempelvis vattenförsörjning. • Kringliggande regioner, landsting och kommuner.

32. Utvecklingsområden • Stöd/riktlinjer från nationell nivå • Gemensam metod? • Gemensamma skalor. • Allt mer detaljerade föreskrifter. • Syfte: Att uppnå en jämförbar riskbild på lokal, regional och nationell nivå.För detta krävs att vi använder samma verktyg.

33. Process för systematiskt säkerhetsarbete i landsting och regioner • Framtagen av flera regioner och landsting i samverkan med SKL. • Målgrupp: landsting, regioner och kommuner • Vägledning för systematiskt säkerhetsarbete i landsting, regioner och kommuner • Processkarta med visualiserad arbetsprocess samt aktiviteter

35. Aktivitetsbeskrivning

36. Systematiskt säkerhetsarbete • Lägga in den egna organisationens metoder och arbetssätt. • Ingen kostnad. • Kan hämtas på www.skl.se

37. Utvecklingsområden • Samlad riskbild • Process för systematiskt säkerhetsarbete. • Bli bättre på att väva samman proaktiva och reaktiva analyser.