Kuba Norge: +47 333 04 333 | Bygg og Anlegg: +47 454 73 515

Risikoanalyse en del av virksomhetens HMS- og GDPR-arbeid

Risikoanalyse en del av virksomhetens HMS- og GDPR-arbeid

HMS- og GDPR-arbeid er en del av virksomhetens internkontrollarbeid. Kjernen i alt arbeid med internkontroll er gjennomføring av systematiske aktiviteter. De viktigste gjøremålene i dette arbeidet er:

  • HANDLINGSPLAN – denne skal utarbeides med frister for oppfølging av arbeidet (vernerunde, personalsamtaler, kontroll av rutiner for behandling av data osv.). Les mer om handlingsplan og HMS-årshjul her.

  • AVVIKSBEHANDLING – Gjennom tekniske og manuelle rutiner må vesentlige feil, avvik og uønskede hendelser avdekkes og følges opp. (Les mer om avviksbehandling her.

  • RISIKOVURDERING – Utgangspunktet er at ingen skal bli syk eller skadet av å være på jobb og arbeidsgiver er også pålagt å behandle de personlige opplysningene som de har på de ansatte på en måte som sikrer personvernet til den enkelte. På grunnlag av en risikokartlegging skal det foretas en risikoanalyse av de risikopunkter som blir identifisert. Les mer om dette i denne artikkelen.

Risiko blir oftest uttrykt som kombinasjonen av konsekvens og tilhørende sannsynlighet ved hendelser som kan påvirke måloppnåelse. Det er flere metoder for risikoanalyse, bl.a. ROS-metoden. Fellestrekk for de mest anvendte metodene er lav brukerterskel og bred medvirkning fra virksomhetens ansatte. De fleste metoder og verktøy for risikovurdering har 3 steg eller faser:

1. Risikovurdering

Risikovurdering er «hjertet» i internkontrollen. Risiko som angår informasjonssikkerhet må identifiseres, analyseres og evalueres. Risikovurderinger må gjennomføres i tilstrekkelig omfang og på hensiktsmessig detaljeringsnivå og kan gjelde

  • Hele virksomheten på strategisk nivå
  • Enkelte arbeidsoppgaver eller prosesser, eller
  • Spesifikke informasjonssystemer
  • Alle virksomheter skal vurdere risiko mht til personvernkonsekvenser (GDPR)

Det er lederens ansvar å sørge for at det gjennomføres nødvendige risikovurderinger innenfor eget ansvarsområde.

2. Risikoanalyse inkl. sikker jobbanalyse (SHA)

Det andre steget i risikovurderingen er risikoanalyse. Risikoanalyse handler om å utvikle en forståelse av risikoene. Formålet er å kunne fastslå mulig konsekvens og tilhørende sannsynlighet på hendelser identifisert i forrige steg. Det er dette som er den egentlige risikoen.

Risikoanalysen omfatter en vurdering av både årsakene og kildene til hendelsene, hvilke konsekvenser de kan få, samt sannsynligheten for at disse konsekvensene skal forekomme. Den ansvarlige må ta stilling til hvordan risiko skal håndteres og iverksette nødvendige tiltak. Tiltakene skal utarbeides og iverksettes i samsvar med fastlagte kriterier for akseptert risiko. Last ned risikoanalysemal.

Risikoanalysen kan utføres med varierende detaljeringsnivå, avhengig av risikoen, formålet med analysen og hvilken informasjon, grunnlagsdata og ressurser som er tilgjengelig.

Risikoanalyse i din bedrift – konkrete eksempler

  • Belastningsskader (arbeidsplass)

  • Lys, lyd, ventilasjon og støy i lokaler

  • Psykososiale arbeidsforhold (trakassering, mobbing)

  • Bruk av heis

  • Brann

  • Førstehjelp (hjertestarter)

  • Trusler eller ran

  • Bruk av kjemikalier

  • Is og snø (tak, inngangsparti, uteområder)

  • Vurdere om hensyn til personvern og sporbarhet er ivaretatt (GDPR)

  • IT-sikkerhet (passord, tilgangsstyring, lagring/sletting) (GDPR)

  • Kjøring i trafikk

  • Bruk av truck og hjelpemidler

  • Bruk av håndverktøy og maskiner

  • Arbeid i høyden (SHA)

3. Risikoevaluering

Det tredje steget i risikovurderingen er risikoevaluering. Formålet med risikoevalueringen er å gi støtte til kommende beslutninger om hvilke risikoer som må håndteres, og hvilken prioritet håndteringen av dem bør gis.

Risikoevalueringen består i å sammenligne risikonivået som ble avdekket i risikoanalysen i steget foran, med risikokriterier som ble bestemt før risikovurderingen startet. I en internkontrollsammenheng som vår vil dette være de kriterier ledelsen har besluttet i den overordnede styringen av informasjonssikkerhet.

I enkelte tilfeller kan risikoevalueringen medføre en beslutning om å gjennomføre en videre analyse. Risikoevalueringen kan også ende i en anbefaling om å ikke håndtere risikoene på en annen måte enn ved å fortsette med eksisterende tiltak. 

Overvåking, måling, evaluering og revisjon

Overvåking og hendelseshåndtering er «vakta» i internkontrollen. Gjennom tekniske og manuelle rutiner må vesentlige feil, avvik og uønskede hendelser avdekkes og følges opp sammen med andre identifiserte punkter som medfører en eller annen form for risiko.  Les mer om digital avviksbehandling her. 

Måling, evaluering og revisjon er «kontrolløren» i internkontrollen og legges inn som rutiner i handlingsplan/årshjul. Hensikten med målinger er å teste om tiltak fungerer og om pålegg blir etterlevd og må gjennomføres både ved etablering og bruk av tiltak. Tiltak legges inn som en aktivitet i handlingsplan/årshjul med en ansvarlig person for å utbedre eller redusere risiko for hendelse og gjerne med en konkret frist. Les mer om digital handlingsplan og HMS-årshjul her.

Kilde: Bl.a. Difi.no

e-bok HMS aktiviteter

Av |2018-02-23T13:53:11+00:0023. februar 2018|GDPR, HMS, Internkontroll|
Snarveier til Avvik, Risikoanalyse og aktiviteter har blitt sjult på skrivebordet i mobil app, mens vi jobber med å rette enkelte innloggingsproblemer. Kuba er ikke tilgjengelig i internet explorer, vennligst bruk Google Chrome
+