Slik gjennomfører du en ROS-analyse — en praktisk guide
En risiko- og sårbarhetsanalyse er ikke et skjema du fyller ut. Her er hvordan en god ROS-analyse faktisk gjennomføres, steg for steg.
De fleste virksomheter vet allerede mye om hva som kan gå galt. Problemet er sjelden mangel på kunnskap — det er at kunnskapen sitter spredt hos ulike personer, at den ikke er prioritert, og at ingen har ansvar for å håndtere den. En risiko- og sårbarhetsanalyse (ROS) gjør den kunnskapen om til ett dokument med tall, prioritering og navn på hvem som gjør hva.
Her er hvordan en god ROS-analyse gjennomføres i praksis.
1. Start med beslutningen, ikke med risikoene
En ROS-analyse uten et tydelig formål blir en endeløs liste over ting som teoretisk kan skje. Før du identifiserer en eneste risiko, må du svare på ett spørsmål: hvilken beslutning skal analysen støtte? Skal dere starte et prosjekt, ta en investering, oppfylle et krav fra en tilsynsmyndighet, eller få oversikt før en vekstfase? Formålet avgjør hva som er relevant, og hvor grensene for analysen går.
2. Definer analyseobjektet og systemgrensene
Deretter må dere bli enige om hva som faktisk analyseres. Er det hele virksomheten, ett prosjekt, én prosess eller ett anlegg? Uten tydelige systemgrenser sklir analysen ut, og dere ender med å vurdere ting dere ikke kan påvirke. Skriv ned hva som er innenfor og hva som er utenfor.
3. Definer skalaene før dere vurderer noe
Dette er steget flest hopper over, og det er her de fleste ROS-analyser mister verdi. «Sannsynlig» og «alvorlig» betyr forskjellige ting for forskjellige personer i samme rom. Løsningen er å definere skalaene på forhånd, med konkrete intervaller.
En sannsynlighetsskala kan for eksempel gå fra 1 (sjeldnere enn hvert 50. år) til 5 (oftere enn én gang per år). En konsekvensskala bør vurdere flere dimensjoner — økonomi, omdømme, personell og drift — slik at en risiko ikke undervurderes bare fordi den økonomiske konsekvensen er lav.
Uten definerte skalaer blir hele analysen en diskusjon om ord i stedet for om risiko.
4. Identifiser risikoene — og formuler dem riktig
Nå kan dere identifisere risikoene, gjerne i en strukturert workshop med de som kjenner virksomheten best. Men måten dere formulerer dem på, avgjør om de kan brukes.
«Leverandørsvikt» er ikke en risiko. Det er et tema. En risiko har tre deler: Hvis [årsak], kan [hendelse] inntreffe, som fører til [konsekvens]. For eksempel: «Hvis hovedleverandøren mister sin eneste sertifisering, kan produksjonen stanse i fire til åtte uker, som fører til dagbøter på 1,2 millioner kroner.» Nå kan risikoen vurderes, prioriteres og eies.
5. Vurder og plasser i en risikomatrise
Hver risiko gis en verdi = sannsynlighet ganger konsekvens, og plasseres i en matrise. Matrisen gir et raskt bilde av hvor de alvorligste risikoene ligger. Et viktig prinsipp: en risikomatrise skal aldri kommunisere bare gjennom farge. Bruk alltid farge, tallverdi og tekst sammen, slik at den også fungerer for lesere med fargesynssvakhet — og i et styremøte.
6. Vurder sårbarheten, ikke bare risikoen
Der risikovurderingen ser på enkelthendelser, ser sårbarhetsvurderingen på hvor robust virksomheten er når noe først går galt. Finnes det enkeltpunktsfeil — funksjoner der svikt i ett ledd alene stanser driften? Tåler organisasjonen to samtidige hendelser? Det er ofte her de virkelig farlige svakhetene ligger.
7. Foreslå tiltak med eier og frist
En risiko uten et tiltak er bare bekymring. Hvert tiltak må ha en ansvarlig person og en frist. Erfaring viser at tiltak sjelden feiler fordi de er faglig vanskelige, men fordi ingen fikk et tydelig eierskap. Prioriter tiltakene etter effekt mot innsats — begynn med det som reduserer mest risiko for minst ressurser.
8. Følg opp
En ROS-analyse er et øyeblikksbilde. Den bør oppdateres når forutsetningene endrer seg, og tiltaksplanen bør følges opp jevnlig til alle tiltak er lukket. En analyse som legges i en skuff, har ingen verdi.
Til slutt: vær ærlig om usikkerheten
En redelig ROS-analyse gjør rede for sine egne begrensninger. Hvor er datagrunnlaget tynt? Hvilke vurderinger bygger på skjønn? Å skrive dette ned svekker ikke analysen — det er det som gjør den til å stole på.
Vil du se hvordan en ferdig ROS-analyse ser ut? Last ned eksempelrapporten vår, eller book en uforpliktende samtale hvis du står foran en beslutning som fortjener et bedre grunnlag.