Hva er det NSM holder på med?

I juni publiserte Nasjonal sikkerhetsmyndighet (NSM) en veileder i risikostyring, som har til hensikt å gi virksomheter en innføring i hvordan risiko skal vurderes og håndteres på en systematisk måte, i henhold til krav fra sikkerhetsloven. NSM presiserer imidlertid at veilederen er anbefalt for alle virksomheter som skal utføre risikovurderinger – også dem som ikke er underlagt sikkerhetsloven. Det er med andre ord et dokument som kan få betydelig innflytelse på hvordan norske virksomheter forstår og jobber med risiko.

Risikostyring og risikoforståelse

Det er mye positivt ved denne publikasjonen. At NSM fremhever risikostyring som en sentral del av sikkerhetsarbeidet er både viktig og riktig. Betydningen av risikoforståelse kommer også tydelig frem i NSMs grunnprinsipper for sikkerhetsstyring, der ett av fire gjennomgående premisser er at «det er god risiko- og sikkerhetsforståelse i hele bedriften». Da er det problematisk at NSM i sin egen veileder legger til grunn en forståelse av risiko som ikke er i tråd med rådende risikovitenskap.

NSM definerer risiko som «sannsynligheten for at en uønsket hendelse vil inntreffe og hvilke konsekvenser det kan få». Definisjonen i seg selv kan virke kjent og intuitiv – mange vil nok koble både sannsynligheter og konsekvenser til risikobegrepet. Problemet er at sannsynlighet ikke er risiko. I moderne risikovitenskap forstås risiko som konsekvensene – inkludert de uønskede hendelsene – av en aktivitet, og usikkerhet knyttet til disse. Sannsynlighet er ett av flere verktøy vi kan bruke for å beskrive denne usikkerheten.

Forskjellen er viktig. Når vi analyserer risiko, forsøker vi å si noe om en fremtid vi ikke kjenner. Sannsynlighetene vi angir, er vurderinger basert på tilgjengelig kunnskap, data, modeller og antagelser. Kunnskapsgrunnlaget kan være sterkt – eller svært svakt. En lav sannsynlighet basert på omfattende og relevant kunnskap er derfor noe helt annet enn en lav sannsynlighet basert på mangelfull informasjon og usikre forutsetninger.

Usikre og kritiske forutsetninger

Interessant nok erkjenner NSM selv dette. Veilederen sier blant annet at risikovurderingen skal «belyse og beskrive usikkerheten i kunnskapsgrunnlaget», og at mangelfull kunnskap kan tilsi at man bør søke mer kunnskap. Dette er gode råd, men de avdekker samtidig en inkonsistens: Usikkerhet behandles som et tillegg til risikoen, ikke som en integrert del av den.

Tenk deg at NSM vurderer at det er veldig liten sannsynlighet for at en aktør har kapasitet og vilje til å utføre et terroristangrep. Da er risikoen veldig lav i henhold til NSM sin forståelse av risiko, selv om denne vurderingen er bygd på en rekke usikre og kritiske forutsetninger om denne aktøren. Siden risikoen vurderes som veldig lav, er det fare for at den ikke følges opp, og at den prioriteres ned. Dette er alvorlig, for risikoen er ikke lav i et tilfelle som dette. At sannsynligheten vurderes som veldig liten kan høres betryggende ut, men det er det ikke. Risikoen må sees i sammenheng med kunnskapsgrunnlaget og med usikre og kritiske forutsetninger må risikoen vurderes som betydelig og gis oppmerksomhet. Risikofaget og -vitenskapen er klar på dette punktet. Å la risikoen defineres med basis i sannsynligheter som NSM gjør i sin veileder, kan føre til dårlig risikoforståelse og feil prioriteringer.

Må ta høyde for uforutsette hendelser

Risikoforståelsen får også betydning for hvordan vi forholder oss til overraskelser. En risikoanalyse er kunnskapsbasert, og bygger på bestemte forestillinger om hva som kan skje. Dersom risikostyringen blir for sterkt knyttet til de scenarioene og sannsynlighetene som allerede er spesifisert, kan oppmerksomheten snevres inn mot det vi kjenner og har klart å forestille oss. Et godt sikkerhetsarbeid må også ta høyde for at analysen kan være mangelfull – hendelser kan oppstå som ligger utenfor det vi har inkludert i risikobeskrivelsen. En slik erkjennelse forutsetter et tydelig skille mellom risikoen vi står ovenfor, og vår til enhver tid begrensede beskrivelse av den.

NSMs arbeid for å løfte betydningen av risikostyring er positivt. Men når god risikoforståelse samtidig fremheves som en forutsetning for god sikkerhetsstyring, bør risikobegrepet i veilederen være faglig oppdatert. Sannsynligheter er viktige, men som verktøy for å beskrive usikkerhet, ikke som en del av risikokonseptet. For et ekspertorgan som skal hjelpe norske virksomheter med å håndtere et komplekst og skiftende trusselbilde, er dette mer enn en akademisk definisjonsdiskusjon. Feil risikoforståelse kan gi feil prioriteringer – og i sikkerhetsarbeid kan konsekvensene av dette bli alvorlige.