Västra Götalandsregionens samlade redovisning utifrån MSBFS 2015:4 2015-06-22 1
Västra Götalandsregionens samlade redovisning utifrån MSBFS 2015:4 Förord I lagen om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap (2006:544) föreskrivs, att kommuner och landsting ska analysera vilka extraordinära händelser i fredstid som kan inträffa, i kommunen respektive landstinget, och hur dessa händelser kan påverka den egna verksamheten. Regionfullmäktige beslutade den 22 april 2008 att nämnder, styrelser och bolag årligen ska redovisa säkerhetsläget och säkerhetsarbetet, inklusive krishanteringsarbetet till regionstyrelsen. I den Regionala Krishanteringsplanen finns angivet, att varje förvaltning minst vartannat år ska genomföra risk- och sårbarhetsanalys. Denna ska ligga till grund för genomförande av förebyggande åtgärder samt utformning av lokal krishanteringsplan och lokal krisorganisation, Inom ramen för regionens systematiska säkerhetsarbete ska även varje förvaltning/bolag årligen följa upp, och till Koncernkontoret, enhet säkerhet, redovisa sammanställning av, genomförda risk och sårbarhetsanalyser, ändrade förutsättningar, genomförda och planerade åtgärder som påverkar riskbilden samt risker som behöver hanteras över förvaltnings- och bolagsgränser. Från och med 1 mars 2015 har Myndigheten för samhällsskydd och beredskaps (MSB) nya föreskrifter om landstings risk och sårbarhetsanalyser (MSBFS 2015:4) trätt i kraft. I föreskriften anges att landstingen regelbundet ska följa upp sin risk- och sårbarhetsarhetsanslys och enligt förutbestämda indikatorer rapportera in sin generella krisberedskap. Rapporten baserar sig på uppgifter från Västra Götalandsregionens förvaltningar/bolag samt genomförd regional risk- och sårbarhetsanalys utifrån scenario elbortfall. Svaren baseras på 2014: års uppgifter. Rapporten har utarbetats av Säkerhetsstrategiska enheten i samverkan med Prehospitalt och Katastrofmedicinsk Centrum (PKMC). Sammanfattning Västra Götalandsregionens samlade redovisning utifrån redovisas enligt de åtta punkter som anges i MSB:s föreskrifter MSBFS 2015:4. Den samlade analysen godkändes av regionstyrelsen 2015-10-06 Rapporten bygger på Regional risk- och sårbarhetsanalys Förvaltningar/bolags genomförda risk- och sårbarhetsanalyser Årliga redovisningen av säkerhetsarbetet och säkerhetsläget i Västra Götalandsregionens verksamheter Gruppdiskussioner Enkätfrågor till regionens förvaltningar/bolag Intervjuer med representanter från regionens förvaltningar/bolag. 2
Rapporten redovisar samhällsviktiga verksamheter. Inom Västra Götalandsregionen ansvarsområde är detta: Alingsås lasarett, Angereds Närsjukhus, Folktandvården, Frölunda Specialistsjukhus, Kungälvs Sjukhus, NU-Sjukvården, Närhälsan, Regionkansliet 1 (Informationsavdelningen, Prehospitalt och Katastrofmedicinskt Centrum och Säkerhetsstrategiska enheten), Regionservice, Sahlgrenska Universitetssjukhuset, Smittskyddsenheten, Skaraborgs Sjukhus, Södra Älvsborgs Sjukhus, Västfastigheter och Västtrafik. På grund av omorganisationer har det skett korrigeringar gällande samhällsviktiga verksamheter, som beskrivs i den nya krishanteringsplanens för mandatperioden 2015-2018. Den genomförda beroendeanalysen med de samhällsviktiga verksamheterna, visar att hälsooch sjukvårdsförvaltningarna har ett mycket starkt beroende av försörjning, från regionens servicefunktioner som Västfastigheter, Regionservice och VGR IT. De regionala verksamheterna har ett beroende, gällande intern kommunikation, med framförallt hälso- och sjukvårdsförvaltningar. Västra Götalandsregionens hotbild har ändrats, från att vara en stabil hotbild till en mer dynamisk, otydlig hotbild, där många av hoten är troliga att kunna inträffa i regionen, med allvarliga/mycket allvarliga konsekvenser. Rapporten redogör även för en bedömning av regionens generella krisberedskap, enligt MSB:s framtagna indikatorer. Dessa indikatorer ska årligen, efter avstämning med regionens förvaltningar/bolag, rapporteras till Socialstyrelsen, med kopia till MSB och Länsstyrelsen i Västra Götalands län. Bedömningen av regionens generella krisberedskap visar, att det finns en god/mycket god krisberedskap hos de utpekade samhällsvikta verksamheterna (15 stycken). Däremot har övriga regionens förvaltningar/bolag en utvecklingspotential inom området. Åtgärder som Västar Götalandsregionen behöver arbeta vidare med, för att stärka regionens krishanteringsförmåga är: Tydliggöra roller och ansvar i den Regionala krishanteringsplanen för 2015-2018. Förtydligande i den regionala Kriskommunikationsplanen gällande kriskommunikation vid el-, IT- och/eller telefonbortfall. Skapa och klargöra TiB-funktioner inom regionens samhällsviktiga verksamheter. Information/utbildning/övningar gällande krishantering och kriskommunikation. Genomföra analyser, för att lyfta fram styrkor och svagheter inom förvaltningarna och i regionen. Utveckla metoder, för kontinuerligt lärande från risk- och sårbarhetsanalyser, och förankra dessa hos beslutsfattarna. Påbörja projekt gällande kontinuitetsplanering/-hantering mellan serviceförvaltningarna och övrig samhällsviktig verksamhet. Påbörja arbetet i enlighet med av MSB framtagna gemensamma grunder för samverkan och ledning (SOL) för att kunna lägga grunden för helhetssyn på hur en kris ska hanteras. 1 Regionkansliet omorganiserade 2015-04-01 och benämns därefter Koncernkontoret. Även avdelningarnas benämningar har förändrats. 3
Uppdrag Den samlade analysen godkändes av regionstyrelsen den 6 oktober 2015 och redovisas senast den 31 oktober 2015 skriftligen till Socialstyrelsen, Myndigheten för samhällsskydd och beredskap (MSB) och till Länsstyrelsen i Västra Götalands län. Disposition Västra Götalandsregionens regionala risk- och sårbarhetsanalys redovisas enligt de åtta punkter som anges i MSB:s föreskrifter (2015:4) 1. Beskrivning av Västra Götalandsregionen. 2. Beskrivning av arbetsprocess och metod. 3. Identifiering av samhällsviktiga verksamheter inom Västra Götalandsregionens ansvarsområde. 4. Identifierade kritiska beroenden inom Västra Götalandsregionens samhällsviktiga verksamheter. 5. Identifierade och analyserade risker inom Västra Götalandsregionens ansvarsområde. 6. Bedömning av Västra Götalandsregion generella krisberedskap enligt MSB:s framtagna indikatorer. 7. Beskrivning av identifierade sårbarheter och brister i krisberedskap inom Västra Götalandsregionens ansvarsområde. 8. Behov av åtgärder med anledning av risk- och sårbarhetsanalysens resultat. Redovisning av resultat 1. Beskrivning av Västra Götalandsregionen Västra Götaland är Sveriges främsta transport- och industriregion och ett genomfartsområde för gods från hela Skandinavien. Länet har 1,6 miljoner invånare och 49 kommuner, varav Göteborg är den största. I Västra Götaland ingår allt från storstad och medelstora städer till småorter och glesbygd. Länet har de senaste åren haft en stadigt ökande befolkning. Västra Götalandsregionen bildades 1999 och har i uppdrag att bidra till ett livskraftigt Västra Götaland där det är gott att leva, bo och verka. Regionen är en av Sveriges största arbetsgivare med drygt 50 000 anställda. Uppgiften är att erbjuda bra sjukvård och tandvård samt ge förutsättningar för god folkhälsa, ett rikt kulturliv, god miljö, jobb, forskning, utbildning och bra kommunikationer. Tillsammans med de 49 kommunerna, näringslivet, organisationer och utbildningsvärlden driver Västra Götalandsregionen utvecklingen, med Västra Götalands bästa som mål. Västra Götalandsregionen har även ansvar för regionala tillväxt- och utvecklingsfrågor. Det innebär bland annat ett större inflytande över regionala samhällsfrågor, till exempel infrastruktur och miljö. Det högsta beslutande organet är regionfullmäktige. Regionfullmäktige sammanträder i Vänersborg, där den politiska organisationen har sitt huvudsäte. Regionstyrelsen leder och samordnar Västra Götalandsregionens politiska arbete. Dessutom finns nämnder och styrelser, exempelvis hälso- och sjukvårdsnämnder, styrelser för sjukhusen och primärvården, regionutvecklingsnämnd, miljönämnd och kulturnämnd. 4
De flesta av regionens kanslier, sekretariat och gemensamma förvaltningar finns i Regionens Hus i Vänersborg, Göteborg, Skövde, Mariestad, Uddevalla och Borås. Vid regionkansliet/koncernkontoret arbetar tjänstemannaledningen. Den högsta tjänstemannen i Västra Götalandsregionen är regiondirektören. Västra Götalandsregionen har 45 förvaltningar/bolag varav 15 är utpekade som samhällsviktiga verksamheter. På grund av bland annat omorganisation har, under år 2015 skett korrigeringar, gällande samhällsviktiga verksamheter. De utpekade samhällsviktiga verksamheterna är bland annat sjukhusen, primärvården, serviceförvaltningarna, kollektivtrafiken och den politiska ledningen. I regionen finns 18 sjukhus, däribland Sahlgrenska Universitetssjukhuset, som är norra Europas största sjukhus och svarar för specialiserad diagnostik och behandling. I regionen finns omkring 200 vårdcentraler och 164 tandvårdsmottagningar. Dessutom finns privata vårdgivare som har avtal med Västra Götalandsregionen. Västra Götalandsregionen äger Västtrafik AB, som med bussar, spårvagnar, tåg och båtar ansvarar för kollektivtrafiken i regionen. I regionen finns även folkhögskolor, naturbruksskolor, Västsvenska Turistrådet och kulturell verksamhet som innefattande bland annat museer, Film i Väst och GöteborgsOperan. 2. Beskrivning av arbetsprocess och metod. Västra Götalandsregionens regionala risk- och sårbarhetsanalys bygger på en sammanställning från den åriga säkerhetsredovisningen, som omfattar bland annat frågor kring förvaltningarnas/bolagens krishanteringsförmåga, genomförda risk- och sårbarhetsanalyser, regiongemensamma risker, personsäkerhet och informationssäkerhet. En Mångdimensionell Verksamhetsanalys (MVA) med scenario elbortfall genomfördes under oktober 2014, med uppföljning januari 2015. Analysen genomfördes i samverkan med representanter från förvaltningar/bolag som ingår i Västra Götalandsregionens krisledningsorganisation. Utifrån MSB:s framtagna indikationer gällande MSBFS 2015:4 har det genomförts gruppdiskussioner med förvaltningar/bolag, enskilda intervjuer och utskick av enkätfrågor. 3. Identifiering av samhällsviktiga verksamheter inom Västra Götalandsregionens ansvarsområde. Utifrån en nationell strategi har MSB utarbetat en handlingsplan, för skydd av samhällsviktig verksamhet. Målet med handlingsplanen är att initiera åtgärder och aktiviteter, för att skapa förutsättningar för att all samhällsviktig verksamhet har integrerat ett systematiskt säkerhetsarbete i sin verksamhet. Syftet är att skapa ett motståndskraftigt samhälle, med förbättrad förmåga för samhällsviktiga verksamheter att motstå och återhämta sig från allvarlig störning. Identifiering av samhällsviktig verksamhet utgår från utpekade samhällssektorer och viktiga samhällsfunktioner. Med samhällssektor avses de olika områden inom vilka viktiga samhällsfunktioner finns och samhällsviktig verksamhet kan identifieras. 5
Viktig samhällsfunktion är ett samlingsbegrepp, för de verksamheter som upprätthåller en viss funktionalitet. Varje sådan funktion ingår i en eller flera samhällssektorer och upprätthålls av en eller flera samhällsviktiga verksamheter. I Västra Götalandsregionen har dessa samhällssektorer och samhällsfunktioner utpekade: Inom samhällssektor hälso- sjukvård samt omsorg innehåller samhällsfunktioner: Akutsjukvård, läkemedels- och materielförsörjning, primärvård, psykiatri och smittskydd. Inom samhällssektor information och kommunikation innehåller samhällsfunktioner: telefoni, internet, distribution av post, webbaserad information och sociala medier. Inom samhällssektor offentlig förvaltning innehåller samhällsfunktioner: lokala och regional ledning. Inom samhällssektor livsmedel innehåller samhällsfunktion tillverkning och distribution av livsmedel. Inom samhällssektorer transport innehåller samhällsfunktion kollektivtrafik. De i Västra Götalandsregionen utpekade samhällsviktiga verksamheter är av sådana betydelser, att bortfall av eller svår störning i verksamheten, skulle innebära stor risk eller fara för befolkningens liv och hälsa, samhällets funktionalitet eller samhällets grundläggande värden. Verksamheterna är nödvändiga eller mycket väsentliga, för att en redan inträffad kris i samhället ska kunna hanteras, så att skadeverkningarna blir så små som möjligt Västra Götalandsregionen hade 2014 utpekat följande verksamheter som samhällsviktiga verksamheter, under 2015 har de samhällsviktiga verksamheterna kompletterats: Alingsås lasarett Angereds Närsjukhus Folktandvården Frölunda Specialistsjukhus Kungälvs Sjukhus NU-Sjukvården Närhälsan Regionkansliet 2 (Informationsavdelningen, Prehospitalt och Katastrofmedicinskt Centrum och Säkerhetsstrategiska enheten) Regionservice Sahlgrenska Universitetssjukhuset Smittskyddsenheten Skaraborgs Sjukhus Södra Älvsborgs Sjukhus Västfastigheter Västtrafik 2 Regionkansliet omorganiserade 2015-04-01 och benämns därefter Koncernkontoret. Även avdelningarnas benämningar har förändrats. 6
4. Identifierade kritiska beroenden inom Västra Götalandsregionens samhällsviktiga verksamheter. Beroendeanalys med de samhällsviktiga verksamheterna visar, att hälso- och sjukvårdsförvaltningarna har ett mycket starkt beroende av försörjning från regionens servicefunktioner, som Regionservice, VGR IT och Västfastigheter. De regionala verksamheterna har ett beroende gällande intern kommunikation med framförallt hälso- och sjukvårdsförvaltningar, extern ledning och samordning samt kommunikation med MSB, Socialstyrelsen och Länsstyrelsen. 5. Identifierade och analyserade risker inom Västra Götalandsregionens ansvarsområde. Genom genomförda risk- och sårbarhetsanalyser har det framkommit att Västra Götalandsregionens hotbild har ändrat från att vara en stabil hotbild till en mer dynamisk otydlig hotbild och följande risker/hot har identifierats. Ett urval av dessa är: Autonoma grupper Bedrägeri Hot och Våld Inbrott Komplexa beroenden så som ny teknik (IT, Tele, kommunikation, osv) Kriminella gäng Olyckor (tåg, båt, flyg, osv) Personal/kompetensbrist Smitta/pandemi Sociala risker Social oro Stölder Sviktande ekonomi Terrorism Vårdplatsbrist Väderpåverkan För att bedöma risken har en sannolikhets och konsekvensbedömning genomförts utifrån dessa bedömningskriterier. 7
Sannolikhet Konsekvenser Osannolikt Liten sannolikhet Stor sannolikhet Mycket stor sannolikhet Mycket allvarlig Terrorism Smitta/ Pandemi Hot och våld Kriminella gäng Allvarlig Autonoma grupper Sviktande Ekonomi Bedrägeri Sociala risker/social oro Olyckor Komplexa beroenden ny teknink (IT, Tele, kommunikation) Vårdplatsbrist Personal/ kompetens brist Lindrig Inbrott Stölder Väderpåverkan Försumbar 8
6. Bedömning av Västra Götalandsregionens generella krisberedskap enligt MSB:s framtagna indikatorer Syftet med en bedömning av Västra Götalandsregionens generella krisberedskap är att få en övergripande bild av de förutsättningar regionen har att förebygga och hantera extraordinära händelser. Ledning Riskhantering 1. Landstinget har för mandatperioden rapporterat en sammanställd risk sårbarhetsanalys till Socialstyrelsen, MSB och Länsstyrelsen i Västra Götalands län i enlighet med 4 i författning MSBFS 2015:4. Fastställdes av regionstyrelsen med Dnr: RS 129-2014 och vidarerapporterad vidare till Socialstyrelsen, MSB och Länsstyrelsen i Västra Götalands län. 2. Redovisningen av risk- och sårbarhetsanalysen fastställs av landstingets ledning. Se svar ovan 3. Samtliga delar av landstingets verksamhet beaktas och vid behov involveras i arbetet med risk- och sårbarhetsanalyser. Västra Götalandsregionens regionala risk- och sårbarhetsanalys bygger på en sammanställning från den åriga säkerhetsredovisningen, som omfattar bland annat frågor kring förvaltningarnas/bolagens krishanteringsförmåga, genomförda risk- och sårbarhetsanalyser, regiongemensamma risker, personsäkerhet och informationssäkerhet. En Mångdimensionell Verksamhetsanalys (MVA) med scenario elbortfall genomfördes under oktober 2014, med uppföljning januari 2015. Analysen genomfördes i samverkan med representanter från förvaltningar/bolag som ingår i Västra Götalandsregionens krisledningsorganisation. Utifrån MSB:s framtagna indikationer gällande MSBFS 2015:4 har det genomförts gruppdiskussioner med förvaltningar/bolag, enskilda intervjuer och utskick av enkätfrågor. 4. Risk- och sårbarhetsanalysen används som underlag vid planering och beslut om åtgärder för att stärka landstingets krisberedskap. Exempel: landstinget beslutar hur de risker som identifierats i risk- och sårbarhetsanalysen ska hanteras. En handlingsplan har utarbetas och beslutats av regionstyrelsen, Dnr: RS 129-2015 9
5. Relevanta delar av redovisningen från risk- och sårbarhetsanalysen görs tillgänglig för - beslutsfattare och anställda inom landstinget - berörda aktörer inom ansvarsområdet Alla planer och beslutade handlingar informeras via linjeorganisationen och diarieförs. 6. Det finns en övad och utbildad Tjänsteman i Beredskap (TiB) eller motsvarande som har beredskap dygnet runt alla dagar på året. Det finns en regional Tjänsteman i Beredskap som har relevant utbildning och övning samt är i beredskap dygnet runt alla dagar på året. Förutom detta finns även i Västra Götalandsregionen lokala Tjänstemän i Beredskap (L-TiB) i de flesta samhällsviktiga verksamheter. 7. Landstinget bedriver omvärldsbevakning i syfte att tidigt kunna identifiera och varna för extraordinära händelser. Omvärldsbevakning sker av kommunikationsavdelningen samt av säkerhetsstrategiska enheten. I den nya regionala krishanteringsplanen för 2015-2018 finns även ett krav att alla regionens förvaltningar/bolag ska genomföra kontinuerlig omvärldsbevakning inom sitt eget ansvarsområde. Planering 8. Landstinget har en fastställd plan för hur de ska hantera extraordinära händelser som beskriver a. hur landstinget ska organisera sig under en extraordinär händelse (krishanteringsorganisation), b. hur landstingets krishanteringsorganisation leder, samordnar, samverkar samt säkerställer samband för att hantera en extraordinär händelse c. vilka lokaler för ledning och samverkan som disponeras vid en extraordinär händelse. Ja: I den regional krishanteringsplan är det angivet att varje förvaltning/bolag och samhällsviktiga funktioner har ett ansvar, att förbereda och anpassa sin krishantering efter Västra Götalandsregions krishanteringsprocess. I regionens samhällsviktiga verksamheter finns lokala kris/katastrofplaner, där organisation, placering och arbetssätt är beskrivet. Nej: Övriga förvaltningar/bolag har i olika utsträckning färdiga planer, allt från en beskrivning av egen organisation, placering och arbetssätt till att förvaltningens/bolagens ledningsgrupp hanterar händelsen. 10
9. Landstingets planering för att förebygga risker och sårbarheter samt planer för att hantera extraordinära händelser är framtagen i samverkan med andra aktörer, såväl offentliga som privata. Det sker dialog inom olika områden, mellan offentliga aktörer och externa leverantörer samt regionen, för att förbygga risk- och sårbarheter och att hantera extraordinära händelser. 10. Det finns dokumenterade rutiner för att aktivera krishanteringsorganisationen. Ja: Hos samhällsviktig verksamhet finns det beskrivet i regionala och lokala planerna. Nej: I de övriga 30 förvaltningar har vissa dokumenterade rutiner för att aktivera sin krishanteringsorganisation. För övriga hänvisas till förvaltningens/bolagets ledningsgrupp med telefonlista. 11. Det finns en beslutsordning med angivet mandat för krishanteringsorganisationen. Ja: Hos samhällsviktig verksamhet finns mandatet beskriver i plan. Nej: Övrig förvaltningar/bolag har det genom ordinarie linjeansvar. 12. Inom krishanteringsorganisationen finns möjlighet att bedriva a. operativ ledning b. samverkan c. omvärldsbevakning d. framtagande av lägesbild e. kriskommunikation f. analys av händelseutveckling av en händelse på kort och lång sikt. Ja: Samhällsviktig verksamhet (både på regional och lokal nivå) har möjlighet att bedriva operativ ledning, samverka intern/externt, bedriva omvärldsbevakning, ta fram en lägesbild och rapporter vidare till övergripande nivå, kriskommunikation internt och externt samt genomföra analys utifrån sitt ansvarområde av händelseutvecklingen. Nej: Övriga förvaltningars/bolag bedriver operativ ledning genom ordinarie linjeorganisation. Det genomförs omvärldsbevakning och framtagande av lägesbild och analys av händelseutveckling inom eget ansvarsområde. På grund av resursbrist finns det svårigheter med samverkan och kriskommunikation. 11
13. Det finns rutiner och planer för att upprätthålla samhällsviktiga verksamheter som landstinget bedriver eller ansvarar för. Exempelvis kontinuitetsplaner. De samhällsviktiga verksamheter som landstinget bedriver eller ansvarar för ska vara beskrivna inom risk och sårbarhetsanalysen. Finns hos alla samhällsviktiga verksamheter men är inte väl utvecklade. 14. Planen för hantering av extraordinära händelser och planerna för att upprätthålla samhällsviktig verksamhet kontrolleras minst en gång per år och revideras vid behov. Ja: Planen för hantering av extraordinära händelser kontrolleras årligen hos samhällsviktig verksamhet. Nej: Eftersom planerna för övrig verksamhet inte är så väl utvecklad, finns det även brister i kontrollen. Samverkan 15. Landstinget har tagit initiativ till att aktörer inom ansvarsområdet samverkar och uppnår samordning i planerings- och förberedelsearbetet inför hanteringen av extraordinära händelser. Ja: Både på regional och lokal nivå hos samhällsviktig verksamhet. Nej: Övriga förvaltningar/bolag sker det i mindre skala. 16. Landstinget har fastställda rutiner för att upprätta och förmedla en samlad lägesbild inom landstingets ansvarsområde avseende extraordinära händelser. Finns reglerat i den regionala Kriskommunikationsplanen. 17. Landstinget har fastställda rutiner för deltagande i samverkanskonferenser. Ja Den regionala tjänstemannen i beredskap har fastställda rutiner. 18. Landstinget har fastställda rutiner för att information till allmänheten vid en extraordinär händelse samordnas. Ja Finns reglerat i den regionala Kriskommunikationsplanen. Kommunikation 19. Det finns informationskanaler för att ta emot och dela information vid extraordinära händelser. internt inom landstinget till andra landsting till länsstyrelsen till Socialstyrelsen till andra krisberedskapsaktörer till allmänheten Nej Nej 12
Exempelvis genom WIS, Rakel, sociala medier, webbsidor, VMA, informationsnumret 113 13 eller motsvarande. Ja: Hos samhällsviktig verksamhet finns informationskanaler både på regional och lokal nivå. Nej: Övriga förvaltningar/bolag har inte i samma uträckning tillgång till WIS, Rakel, sociala medier, VMA, informationsnumret 113 13. 20. Det finns alternativa lösningar för att upprätthålla landstingets prioriterade kommunikation. - inom landstinget - till andra landsting - till Socialstyrelsen - till andra krisberedskapsaktörer - till allmänheten vid inträffad händelse Exempelvis alternativa lösningar för IT-, tele- och radiosystem. Ja: Hos samhällsviktig verksamhet på regional och lokal nivå finns alternativa lösningar för att upprätthålla regionens prioriterade kommunikation. Nej: Övrig förvaltningar/bolag finns i mindre utsträckning alternativa lösningar. Informationssäkerhet 21. Landstinget hanterar information säkert. - Landstinget bedriver ett systematiskt arbete med informationssäkerhet i enlighet med tillämplig informationssäkerhetsstandard (ISO/IEC 27001, ISO/IEC 27002) på området. - Landstinget har rutiner för att identifiera och hantera kritiska beroenden till system och tjänster för informationshantering som är av central betydelse för landstingets verksamhet. I regionen finns riktlinjer för informationssäkerhet, med krav på processer och tilldelade ansvar. Det finns regiongemensamma anvisningar/rutiner, som innehåller regler för informationshantering. Detta säkerhetsarbete följs upp inom ramen för intern kontroll och årlig säkerhetsredovisning. Ja Ja Ja Nej Nej Nej Att kritiska beroendena ska vara identifierade och hanterade innan driftsättning sker, är inarbetat i avtal med driftorganisation. Det innebär ett Ja på frågan på detaljnivå för respektive system/tjänst. Ur en koncern/förvaltnings/verksamhetsperspektiv är det i arbetet med kontinuitetsplanering som frågan ska besvaras. Det finns krav på detta i riktlinjerna men är inte ett arbete som etablerats i praktiken i någon större utsträckning. 13
22. Landstingen ställer krav på informationssäkerhet i förhållande till externa aktörer. - När informationshantering upphandlas av extern leverantör - När landstingsverksamhet bedrivs av extern leverantör Vid upphandling finns det krav på informationssäkerhet i riktlinjer för informationssäkerhet. Riktlinjerna lämnas med som bilaga vid upphandlingsavtal. Specifika krav ställs i biträdesavtal, om det rör personuppgifter. När landstingsverksamhet bedrivs av externa leverantörer är kraven ställda i Kvalitets- och kravboken. Kompetens Utbildning 23. Personalen i krishanteringsorganisationen har utbildning och kännedom om sin och landstingets roll och ansvar vid en extraordinär händelse. Ja: Hos samhällsviktig verksamhet Nej: Övriga förvaltningar/bolag har mindre kunskap gällande krishanteringsorganisationen. Ansvaret inom egen verksamhet följer linjeorganisationen. 24. Personalen i krishanteringsorganisationen har kännedom om andra relevanta aktörers roller och ansvar vid extraordinära händelser. Ja: Hos samhällsviktig verksamhet. Nej: Övriga förvaltningar och bolag har olika grader av kunskap gällande krishanteringsorganisationen. Ja Nej Övning 25. Finns det en utbildnings- och övningsplan för mandatperioden som efterföljs? Ja Inom regionen finns det en årlig budgetplanering, vilket leder till att utbildning- och övningsplanerna hos samhällsviktig verksamhet är årliga. Däremot följs dessa årliga övningsplan 26. Har landstingets krisledningsnämnd övats under det gångna året? Kommer övas under hösten 2015. 27. Har krishanteringsorganisationen övats under det gångna året? I mindre grad hos både de samhällsviktiga verksamheter och övriga förvaltningar/bolag. Ja Ja Nej Nej Nej 14
28. Har landstinget under det gångna året deltagit i planering, genomförande eller utvärdering av samverkansövning på regional och/eller nationell nivå? Exempelvis övas rutiner för samlad lägesbild, deltagande i samverkanskonferenser och samordning av information till allmänheten vid en extraordinär händelse. Ja inför SAMÖ 2016 samt övning Gertrud 2015 i Skåne (CBRNE) och Gränsrådsövning Sverige/Norge. 29. Har landstinget utvärderat de övningar som genomförts under det gångna året? För att svara ja krävs att både styrkor och svagheter hos landstingets egen krisberedskap har utvärderats. Vidare ska landstingets förmåga att samverka med andra aktörer ha utvärderats. På regional nivå genomförs utvärderingar. Däremot saknas regionala rutiner för övningsutvärdering. Ja Nej De övningar som har genomförs lokalt i alla förvaltningar och bolag har i regel fokuserat på egna styrkor och svagheter och i mindre grad förvaltningens/bolagets förmåga att samverka med andra aktörer. 30. Har landstinget rutiner för att ta till vara erfarenheter från inträffade händelser och övningar? Det saknas regiongemensamma rutiner för att ta till vara erfarenheter på regional nivå. En studie initieras efter en bussolycka. Ja Nej Vid övningar och hantering av inträffade händelser genomför förvaltningarna/bolagen på lokal nivå med lokal rutiner. Resurser 31. Landstinget har en behovsanalys av vilka materiella och personella resurser som krävs för att hantera extraordinära händelser. I det flesta samhällsviktiga verksamheter (dock inte alla) har behovsanalyser genomförs. I övriga förvaltningar/bolag har inte det genomförts. Ja Nej 32. Landstinget har uppdaterad/aktuell dokumentation rörande vilka interna materiella och personella resurser som finns att tillgå vid en extraordinär händelse. Exempelvis mobil reservkraft, pumpar, sandsäckar. Ja: Hos samhällsviktig verksamhet finns dokumentation Nej: I övriga förvaltningar/bolag finns det í mindre grad dokumenterat 33. Det finns rutiner för att genomföra underhåll och kontrollera funktionalitet på de materiella resurserna som endast används vid extraordinära händelser. Hos samhällsviktig verksamhet genomförs underhåll och regelbundna kontroller. Hos övriga förvaltningar/bolag som har materiella resurser, har fastighetsförvaltningar ansvaret för dessa kontroller. 15
34. Det finns avtal och/eller överenskommelser med externa aktörer om förstärkningsresurser vid extraordinära händelser. Regionens fastighetsbolag har förstärkningsavtal avseende bl.a. drivmedel till reservkraft. Andra serviceförvaltningar har vissa förstärkningsavtal. I övrigt är bilden oklar. Västra Götalandsregionen undersöker möjligheten med en lösning för att bygga upp kapacitet inom s.k. Host Nation Support (HNS). Ja Nej 35. Det finns rutiner för att begära och ta emot förstärkningsresurser (materiella och personella) från externa aktörer (lokala/regionala/nationella/internationella) i samband med extraordinära händelser. Hos samhällsviktig verksamhet finns rutiner för hur man kan begära resurser. Däremot saknas rutiner för hur man ska ta emot förstärkningsresurser. Ja Nej 36. Lokalerna till krishanteringsorganisationen är utrustade och testade avseende åtminstone a. elförsörjning, med möjlighet till reservkraftförsörjning, till lokaler, arbetsplatser och tekniska system med en uthållighet om minst en Ja Nej vecka b. it-försörjning c. tekniska system för kommunikation och samlad lägesbild (t ex Rakel och WIS) d. tillgång till vatten för hantering av mat, dryck och hygien som medger uthållighet om mist en vecka Ja Nej Hos samhällsviktig verksamhet finns reservkraft i merparten av krishanteringsorganisationens lokaler. It-försörjning finns i alla krishanteringsorganisationens lokaler. De tekniska systemen för kommunikation och samlad lägesbild finns och är testade, under förutsättning att IT och el fungerar. Utrustning för uthållighet om minst en vecka finns inom samhällsviktig verksamhet. Däremot är det inte praktiskt möjligt att testa uthållighet. Ja Nej Hos övriga förvaltningar/bolag finns ordinarie möteslokaler som används och i regel har de endast möjlighet med it-försörjning och telefoni om elen fungerar. 37. Det finns utpekad alternativ lokalisering för krishanteringsorganisationen. Ja Ja: Finns hos samhällsviktig verksamhet. Nej Nej: Finns inte utpekad alternativ lokal hos merparten av övriga förvaltningar/bolag. 16
7. Beskrivning av identifierade sårbarheter och brister i krisberedskap inom Västra Götalandsregionens ansvarsområde Utifrån genomförda analyser och/eller inträffad händelse, har bland annat följande sårbarheter och brister i krisberedskapen identifierats inom samhällsviktig verksamhet. Sårbarheterna/bristerna har indelats i områdena ledning och samordning, verksamhet, intern/extern kommunikation och försörjning. Ledning och samverkan: Saknas tydlighet gällande regional och lokal målbild för en händelse/kris/katastrof samt vem som ska besluta om målbilden. Det finns otydligheter mellan rollfördelning mellan regionala aktörer. Det finns olika förväntansbilder mellan förvaltningarna vem/vad/hur och när beträffande leveranser från serviceförvaltningarna. Det finns en svag koppling mellan kunskapen, som är framtagna vid proaktiva riskoch sårbarhetsanalyser, och beslutsprocesser vid krissituationer. Verksamhet: Saknas detaljkunskap om hur lokala verksamheter påverkas vid ett medie-avbrott och vilka konsekvenserna kan bli. Saknas prioriteringar mellan olika verksamheter på sjukhusen. Vad ska kontinuitetsplaneras på lokal nivå? Saknas diskussioner kring uthållighet och redundans av ex el. värme, vatten, mat och materiel. Det finns en stor spännvidd, hur de olika verksamheternas bedömer sin beredskap och hanteringsförmåga. Intern/extern kommunikation: Det finns oklarheter kring av vem och hur en kontinuerlig samlad regional lägesbild ska genomföras. Det finns oklarheter i förmågan att kommunicera mellan drabbade verksamheter vid el-bortfall. Försörjning: Bristfällig kunskap om redundans och uthållighet avseende medieförsörjning hos de lokala verksamheterna. Det finns en bristfällig kunskap hos serviceförvaltningarna avseende verksamheternas behov och konsekvenser vid ex el-, IT- och/eller telefonibortfall. Genom intervjuer med övriga förvaltningar/bolag har följande sårbarheter och brister i krisberedskap identifierats: Det finns bristande kunskap om sin egen roll vid en intern händelse/kris/katastrof. Det finns bristande kunskap om vilken hjälp och stöd de kan få från regionens övriga förvaltningar/bolag. 17
8. Behov av åtgärder med anledning av risk- och sårbarhetsanalysens resultat Åtgärder som Västar Götalandsregionen behöver arbeta vidare med, för att stärka regionens krishanteringsförmåga är: Tydliggöra roller och ansvar i den Regionala krishanteringsplanen för 2015-2018. Förtydligande i den regionala Kriskommunikationsplanen gällande kriskommunikation vid el-, IT- och/eller telefonbortfall. Skapa och klargöra TiB-funktioner inom regionens samhällsviktiga verksamheter. Information/utbildning/övningar gällande krishantering och kriskommunikation. Genomföra analyser, för att lyfta fram styrkor och svagheter inom förvaltningarna och i regionen. Utveckla metoder, för kontinuerligt lärande från risk- och sårbarhetsanalyser, och förankra dessa hos beslutsfattarna. Påbörja projekt gällande kontinuitetsplanering/-hantering mellan serviceförvaltningarna och övrig samhällsviktig verksamhet. Påbörja arbetet i enlighet med av MSB framtagna gemensamma grunder för samverkan och ledning (SOL) för att kunna lägga grunden för helhetssyn på hur en kris ska hanteras. 18