Risiko- og sårbarhetsanalyser (ROS-analyser) er et av de viktigste verktøyene vi har for å forstå og håndtere trusler mot samfunnet og virksomheters evne til å fungere. Gjennom systematisk kartlegging av uønskede hendelser, årsaker og konsekvenser legger ROS-analysen grunnlaget for målrettede og prioriterte tiltak.
Hva er en ROS-analyse?
En ROS-analyse besvarer tre grunnleggende spørsmål: Hvilke uønskede hendelser kan oppstå? Hvorfor kan de oppstå? Og hvilke konsekvenser vil de få? Disse spørsmålene danner kjernen i all systematisk risikoforståelse, enten man arbeider med beredskapsplanlegging i en kommune, sikkerhetsstyring i kritisk infrastruktur eller risikostyring i privat sektor.
Analysen kartlegger virksomhetens samfunnskritiske funksjoner, eksterne avhengigheter og andre sårbarheter som kan påvirke evnen til å opprettholde drift og levere tjenester. Målet er å etablere et kunnskapsgrunnlag som gjør det mulig å sette inn riktige tiltak, både for å redusere sannsynligheten for at hendelser inntreffer, og for å begrense konsekvensene dersom de likevel skjer.
Barrierer og tiltak
Et sentralt utbytte av en god ROS-analyse er identifiseringen av to typer tiltak. Sannsynlighetsreduserende barrierer gjør det mindre sannsynlig at en uønsket hendelse inntreffer, eksempler er tekniske sikringstiltak, prosedyrer, kompetansehevingstiltak og organisatoriske endringer. Konsekvensreduserende tiltak begrenser skadeomfanget når en hendelse har skjedd, og inkluderer typisk beredskapsplaner, øvelser, reserveløsninger og krisekommunikasjon.
Samlet sett bidrar disse tiltakene til en helhetlig sikkerhetsarkitektur der virkemidlene er tilpasset det faktiske risikobildet som analysen avdekker.
Lovpålagt og kontinuerlig arbeid
For kommuner og virksomheter underlagt sikkerhetsloven er ROS-analyse ikke bare god praksis, det er et lovpålagt krav. Disse aktørene har ansvar for å gjennomføre årlige revisjoner av egne analyser. Det handler ikke om å starte fra scratch hvert år, men om å systematisk vurdere om risikobildet har endret seg, om eksisterende tiltak fortsatt er virksomme, og om det har oppstått nye sårbarheter.
Revisjonssyklusen skal bidra til fire konkrete utfall: avdekke eksisterende og nye sårbarheter, utarbeide oppdaterte risikoreduserende tiltak, oppdatere planverk i tråd med endringer i trusselbilde og organisasjon, og legge grunnlaget for nye øvelser som tester planer og beredskapsevne. Denne tilnærmingen sikrer at risikoarbeidet ikke er en engangsøvelse, men en integrert del av virksomhetens styring og læring.
Valg av metode
Det finnes ikke én universell metode for ROS-analyser – ulike sektorer og formål krever ulike tilnærminger. To av de mest brukte metodene er HAZID (Hazard Identification), en strukturert identifikasjonsmetode som systematisk gjennomgår mulige farer knyttet til en aktivitet eller et system, og HAZOP (Hazard and Operability Study), en mer detaljert metode som analyserer avvik fra tiltenkt drift i prosessanlegg og tekniske systemer.
Metodevalgene avhenger av hva som skal analyseres, tilgjengelige ressurser og ønsket detaljeringsnivå. Det viktigste er at valgt metode er tilpasset formålet og gjennomføres med tilstrekkelig faglig bredde og kompetanse.
Se DSBs veileder for «Helhetlig ROS i kommunen«.
Elementer i en god ROS-analyse
En grundig og nyttig ROS-analyse kjennetegnes av følgende elementer (jf. Njål et al., 2026):
Tydelig formål og avgrensning. Hva skal analysen dekke? Klare avgrensninger hindrer at analysen blir for bred til å være nyttig, eller for smal til å fange reelle risikoer.
Avklarte ansvarsforhold. Hvem eier analysen? En vellykket analyse krever forankring i ledelsen og aktiv deltakelse fra relevante fagmiljøer.
Valg av metode og datakilder. Metoden bør velges ut fra formål og kompleksitet. Datakilder kan inkludere erfaringsdata, fagekspertise, hendelsesregistre og eksisterende risikovurderinger.
Årsak- og konsekvensanalyser. Kjernen i analysen: hva kan utløse hendelsen, og hva skjer dersom den inntreffer? Bow-tie-modellen er et nyttig verktøy for å strukturere denne tenkningen.
Risikovurdering og prioritering. Basert på sannsynlighet og konsekvens vurderes hvilke risikoer som krever umiddelbar handling, og hvilke som kan håndteres over tid.
Forslag til reviderte tiltak. Analysen bør munne ut i konkrete, gjennomførbare tiltak med ansvar, tidsfrist og oppfølgingsmekanisme – ikke bare en liste over risikoer.
ROS-analyse som læringsverktøy
En ROS-analyse er mer enn en rapport som legges i en skuff. Når den gjennomføres grundig og følges opp systematisk, blir den et levende styringsverktøy som bidrar til organisasjonslæring. Funn bør kobles direkte til oppdatering av beredskapsplaner, planlegging av øvelser og styringsdialog på ledernivå.
Virksomheter som integrerer ROS-arbeidet i sin ordinære driftsstyring, fremfor å behandle det som en isolert compliance-øvelse, er bedre rustet til å håndtere uventede hendelser, beskytte sine kritiske funksjoner og opprettholde tillit fra omgivelsene.
Hvordan jobber din virksomhet med ROS-analyser?
Se AI-generert engelsk oppsummering:
Legg igjen en kommentar