Dnr UFV 2012/2097 Riktlinjer för säkerhetsarbetet vid Uppsala universitet Riskhantering Fastställd av: Säkerhetschef 2012-12-12 Rev. 2015-04-22
Innehållsförteckning 1 Allmänt om riskhantering i staten 3 2 Ansvar 3 3 Definitioner 3 4 Riskhanteringsprocessen 3 4.1 Målformulering (vid behov) 4 4.2 Riskidentifiering 4 4.3 Värdering och prioritering av identifierade risker 4 4.4 Åtgärder och åtgärdsplan 6 4.5 Uppföljning 7 2
1 Allmänt om riskhantering i staten Ett antal olika lagar, förordningar och föreskrifter ställer krav på att universitetet ska identifiera och hantera risker. Riskhantering är en fortlöpande process som ger möjlighet till en strukturerad analys av de faktorer som skulle kunna orsaka att verksamheten inte lever upp till sina mål inom olika områden och syftar till att skydda universitetets verksamma, egendom och information. Riskhantering stärker möjligheterna att prioritera olika handlingsalternativ. I enlighet med Riktlinjer för säkerhetsarbetet vid Uppsala universitet, UFV 2009/1929, ska universitetet bedriva ett aktivt kontinuerligt arbete med säkerhet och riskhantering inom ramen för verksamhetens uppdrag. 2 Ansvar Prefekt/motsvarande ansvarar för att riskanalyser inom verksamheten genomförs. 3 Definitioner Riskanalys och riskbedömning används bland annat i arbetsmiljölagen och motsvarar stegen riskidentifiering och riskvärdering i universitetets riskhanteringsprocess. Riskbehandling använder Kammarkollegiet som begrepp i verksamhetsförsäkringen. Riskbehandling är de åtgärder som tas fram när riskerna identifierats, värderats och prioriterats. 4 Riskhanteringsprocessen Genom att synliggöra verksamhetens sårbarheter kan riskerna förebyggas genom att påverka dess sannolikhet och/eller konsekvens. Riskhanteringsprocessens steg omfattar: 1. Målformulering (vid behov) 2. Riskidentifiering 3. Riskvärdering och prioritering 4. Åtgärder 5. Uppföljning Riskhanteringsprocessen ska utmynna i identifiering och åtgärder av de största riskerna som kan påverka institutionens verksamhet på ett negativt sätt. Stegen redovisas i detalj nedan under respektive rubrik. 3
4.1 Målformulering (vid behov) Vid behov fastställa mål/framgångsfaktorer som anknyter till universitetets mål och strategier, liksom till Högskolelagen, samtidigt som de beaktar Myndighetsförordningens krav på effektivitet, regelefterlevnad, god återrapportering och god hushållning. 4.2 Riskidentifiering Identifiera möjliga risker kopplade till verksamheten. Alla tänkbara risker bör tas upp, såväl externa som interna. Om mål/framgångsfaktorer fastställts ska risker som kan hota måluppfyllnaden tas upp. Alla risker är inte relevanta att behandla vidare. Till exempel kan risken för meteoritnedslag ses som konstant, men med sannolikhet och konsekvens som är svåra att uppskatta. Ett sätt att öka medvetenheten om risker, och samtidigt ta del av medarbetarnas kunskap, är att genomföra inventering och analyser i arbetsmöten. 4.3 Värdering och prioritering av identifierade risker Värdera de identifierade riskerna en och en med avseende på sannolikheten för ett inträffande och konsekvensen av inträffandet. Riskers sannolikhet och konsekvens kan ändras över tid, eftersom risker förändras i takt med verksamhet och omvärld. Riskvärderingen ska leda fram till en översikt över vilka risker som behöver åtgärdas, hur kritiska högt prioriterade åtgärderna är, samt vilka risker som hanteras tillräckligt bra eller kan lämnas utan åtgärd. Utgångspunkterna vid värderingen kan vara hur ofta en risk bedöms förekomma (frekvens) hur sannolik risken är vilka konsekvenser risken har för verksamheten om den leder till skadehändelser eller tillbud vilken kostnad risken medför vilken betydelse risken har i förhållande till andra risker Som hjälp finns sannolikhets- och konsekvenstabeller. Både stegen i sannolikhetstabellen och gällande konsekvenser kan ändras vid behov för att bättre spegla den aktuella verksamheten. Konsekvenstabellen är här angiven i ekonomiska termer men kan användas även i andra situationer. Värderingsskala Den skala som används kan variera beroende på graden av komplexitet och typen av riskanalys. Normalt används skalor med 3 eller 5 nivåer. I skalan anger 1 lägsta sannolikhet respektive konsekvens och 3 respektive 5 anger högsta. Värderingen görs på följande sätt: 4
1. Ta ställning till sannolikheten, hur ofta en risk bedöms förekomma (frekvens), enligt tabell 1. 2. Ta ställning till konsekvensen för verksamheten om risken blir verklighet, enligt tabell 2. 3. Multiplicera sannolikheten med konsekvensen för att få fram riskvärdet. Exempel: Risk med sannolikhet 3 och konsekvens 5 ger riskvärdet 15 (3x5=15). 4. Riskvärdet åskådliggörs ofta med hjälp av en riskmatris, se figur nedan. Ett högt riskvärde ger högre prioritet än ett lågt värde. Prioritetsbedömningar gör det lättare att strukturera och värdera risker. Tabell 1. Sannolikhet / frekvens 1. Mycket sällsynt 2. 1 gång/10 år 3. 1 gång/5 år 4. någon gång/år 5. 1 gång/månad Tabell 2. Konsekvens 1. 5 % av 2. 15 % av 3. 30 % av 4. 50 % av 5. 70 % av Riskmatris 5 1 gång/månad 5 10 15 20 25 Sannolikhet 4 Någon gång/år 4 8 12 16 20 3 1 gång/5 år 3 6 9 12 15 2 1 gång/10 år 2 4 6 8 10 1 Mycket sällsynt 1 2 3 4 5 5 % av 15 % av 30 % av 50 % av 1 2 3 4 5 Konsekvens 70 % av 5
Åtgärd Röd 15-25 Ska omgående leda till åtgärd Åtgärd Orange 10-12 Ska snarast leda till åtgärd och ska hållas under noga uppsikt Åtgärd Gul 5-9 Bör leda till åtgärd Åtgärd Mörk grön 3-4 Bör hållas under uppsikt Åtgärd Grön 1-2 Kräver ingen åtgärd 4.4 Åtgärder och åtgärdsplan När riskerna har prioritetsbedömts är det dags att besluta om och genomföra åtgärder. Risker som identifierats, värderats och prioriterats kan hanteras genom att: eliminera risken begränsa risken genom skadeförebyggande och skadebegränsade åtgärder överföra/dela risken, exempelvis genom försäkring eller annat avtal acceptera risken - behålla risken utan att vidta någon ytterligare åtgärd. Exempel Identifierade risker kan åtgärdas genom att påverka sannolikhet och/eller konsekvens. Risken för brand kan till exempel åtgärdas både genom att reducera sannolikheten och konsekvensen; Sannolikheten kan t.ex. reduceras genom utbildning och förebyggande systematiskt brandskyddsarbete sannolikheten minskas med hjälp av egenkontroll och ökat medvetande. Konsekvensen kan reduceras genom att t.ex. förvara brandfarliga varor i brandsäkra förvaringsskåp som minskar omfattningen av konsekvensen (d.v.s. branden). Åtgärdsplan En åtgärdsplan för riskerna ska upprättas och förvaras på institutionen. I planen ska identifierade risker och till dem beslutade och prioriterade åtgärder dokumenteras. En accepterad risknivå är den nivå på risker som anses acceptabel för respektive del av verksamheten, beroende på värdering vad gäller påverkan och kostnader för åtgärder jämfört med kostnader om något skulle inträffa, osv. Riskacceptans att inte göra någonting bedöms som en aktiv åtgärd. Det är viktigt att dokumentera beslutet att inte åtgärda en risk och varför. Risker kan behöva accepteras till exempel när åtgärderna är för kostsamma eller risken inte är möjlig att åtgärda eftersom den beror på externa händelser, det vill säga att varken sannolikhet eller konsekvens är något som institutionen kan påverka. 6
4.5 Uppföljning Uppföljning behöver göras både av riskernas aktualitet och av åtgärdernas effektivitet. Både riskanalyser och åtgärdsplaner ska regelbundet följas upp och revideras. 7