ROS-analyse: slik gjør dere den, med eksempel

ROS står for risiko og sårbarhet. En ROS-analyse går gjennom hendelser som kan ramme virksomheten, som brann, strømbrudd, dataangrep eller at en nøkkelperson blir borte, og vurderer hvor sannsynlige de er, hvor ille det blir, og hvor godt dere tåler det.

Det siste er sårbarheten, og den er det mange hopper over. En ROS-analyse er ikke bare en liste over ting som kan gå galt. To virksomheter kan ha like stor sjanse for strømbrudd, men den ene kan fortsette som vanlig, mens den andre må stenge. Det er forskjellen ROS-analysen skal få fram, slik at dere vet hva dere må forberede dere på.

Må dere ha ROS-analyse?

Kommuner må ha en helhetlig ROS-analyse (sivilbeskyttelsesloven § 14), og det skal gjøres en ROS-analyse når det lages arealplaner (plan- og bygningsloven § 4-3).

For de fleste bedrifter står ikke ordet ROS-analyse i loven. Det loven krever er at dere kartlegger farer og vurderer risiko (internkontrollforskriften § 5). En ROS-analyse er en måte å gjøre det på for hendelser som rammer hele virksomheten. Farene i det daglige arbeidet, som tunge løft og alenearbeid, passer bedre i en vanlig risikovurdering. Mange bedrifter blir også bedt om en ROS-analyse av en kunde, en kommune de leverer til, eller før et stort arrangement.

Slik gjør dere en ROS-analyse

1. Bestem hva analysen skal dekke. Hele virksomheten, en avdeling, et arrangement eller et IT-system. Bestem også hva dere vil beskytte, for eksempel liv og helse, driften og informasjonen dere har om kunder og ansatte.
2. Samle folk som kjenner virksomheten. Ledelsen, verneombudet, og de som har ansvar for drift og IT. Én person ved et skrivebord ser ikke alt.
3. List hendelsene som kan ramme dere. Bruk avvikene dere har hatt, det som har skjedd andre i bransjen, og spør: hva er det verste som kan skje oss?
4. Skriv hva som forebygger hver hendelse i dag. Hva har dere allerede som hindrer den eller begrenser skaden?
5. Vurder sårbarheten. Hvor lenge klarer dere dere uten det som faller bort? Hvor lang tid tar det å komme tilbake til normal drift? Står og faller det på én person, én leverandør eller ett system? Skriv svaret i begrunnelsen for vurderingen.
6. Vurder sannsynlighet og konsekvens, og plasser hendelsen i risikomatrisen. Skriv ned hvor sikre dere er. En vurdering dere har lite grunnlag for, bør dere være forsiktige med. Hvordan dere lager matrisen står i Slik lager dere en risikomatrise alle forstår likt.
7. Bestem tiltak, med en ansvarlig og en frist. Noen tiltak gjør hendelsen mindre sannsynlig. Andre gjør skaden mindre når den skjer, som en reserveløsning eller en beredskapsplan. Skriv hvem som har ansvaret og fristen, og hvor dere forventer at risikoen havner når tiltakene er gjort.
8. Følg opp. Sjekk at tiltakene blir gjort, og gå gjennom analysen igjen når noe endrer seg, for eksempel nye lokaler, nye systemer eller en ny tjeneste. Legg den gjerne inn i HMS-årshjulet, så den blir sett på minst én gang i året.

Fremgangsmåten bygger på DSBs veileder til helhetlig risiko- og sårbarhetsanalyse, som er skrevet for kommuner, men passer like godt for en bedrift.

Gjør analysen i ROS-verktøyet. Det er gratis, krever ingen innlogging og plasserer risikoene i en 5 × 5-matrise mens dere skriver, før og etter tiltak.

Eksempel: ROS-analyse for en barnehage

Hva kan skje?	Begrunnelse	Risiko i dag	Tiltak	Forventet etter tiltak
Et barn blir borte på tur	Få voksne per barn på tur, og ingen fast telling	Høy (S3 × K5 = 15)	Tell barna ved hver forflytning, refleksvest med barnehagens nummer	Middels (S2 × K5 = 10)
Brann på kjøkkenet	De minste sover i andre etasje og trenger lengst tid ut	Middels (S2 × K5 = 10)	Øv evakueringen fra andre etasje med de minste, ikke bare de store	Middels (S2 × K4 = 8)
Strømbrudd, eller nettet er nede	Foreldrenes telefonnummer står bare i appen	Middels (S3 × K2 = 6)	Papirliste over foreldrenes nummer, låst inne og oppdatert hver måned	Lav (S3 × K1 = 3)

S er sannsynlighet og K er konsekvens, på en skala fra 1 til 5.

ROS-analyse og risikovurdering

En risikovurdering i HMS-arbeidet ser på hva som kan skade de ansatte i arbeidet de gjør. En ROS-analyse ser på hendelser som rammer hele virksomheten, og legger vekt på hvor godt dere tåler dem og kommer dere tilbake. Begge bruker sannsynlighet, konsekvens og en risikomatrise, og mange gjør dem i samme verktøy. Innen informasjonssikkerhet brukes ROS-analyse ofte om risikovurderingen av et IT-system. Farene ved én bestemt jobb går dere gjennom i en sikker jobbanalyse (SJA) rett før jobben.

I Maretto gjør dere risikoanalysen med deres egen risikomatrise. Hvert tiltak får en ansvarlig og en frist, og kontrolleres før det lukkes.