Metodikkens betydning for beslutningstaker. En studie med fokus på utviklingen av barrierestyring mot tilsiktede uønskede hendelser

Abstract

Ansvaret for security og håndteringen av security risiko i Norge har historisk sett vært forbeholdt politiet eller forsvaret. Men utviklingen i samfunnet, ikke bare i Norge, har endret dette ansvarsforholdet. Vi har gjennom utviklingen fått større mobilitet, vi forflytter oss enklere og raskere fra sted til sted og over landegrenser. Den samme utviklingen har også security og security risiko hatt. Hendelser som terroranslaget i New York i 2001, bombingen av regjeringskvartalet i Oslo i 2011, terrorangrepet mot Charlie Hebdo i Paris i 2015 og gisseltakingen på In Amenas gassanlegget i Algerie i 2013 er bare noen av hendelsene som har ført til et økt fokus på security risiko. Det er ikke lengre et ansvar som er forbeholdt politiet eller forsvaret, det er blitt et allemannseie, et allemannseie som har bidratt til utvikling av forskjellige metodikker for security risikoanalyser. Petroleumssektoren har vært en viktig bidragsyter til sikkerhetsutviklingen og fokuset på security fører naturligvis med seg en utvikling også innenfor security. Flere av hendelsene over og under den «Arabiske våren» var medvirkende årsaker til at Statoil i 2013 endret metodikken for security risikoanalyser fra kvalitativ metode til en metodikk som i hovedsak er lik metoden funnet i NS 5832. Det er ulike meninger om hvilke metoder og om det er metoder som er mer riktig enn andre. Men basert på egne erfaringer gjorde Statoil endringer i metoden i 2016. Endringene har i hovedsak betydning for sårbarhetsvurderingen og barrierestyringen. Avhandlingen ser på utviklingen av sårbarhetsvurderingen i perioden 2013 til 2018, betydningen av denne utviklingen og forankringen i selskapets styrende dokumentasjon. For å finne svar på hvordan denne utviklingen har vært er det benyttet en kvalitativ metode og dokumentstudier. Det er analysert 158 scenarioer med tilhørende sårbarhetsanalyser. Avhandlingens resultater peker på at metodikken i hovedsak har utviklet seg i retning av å bli en reell metodikk for styring av barrierer mot tilsiktede uønskede hendelser enn det tidligere metodikker har vært. Dette gjør den på grunn av den økende informasjon om barrierene, beskrivelser av sammenhengen mellom barrierene og måten de knyttes til scenarioet. Metoden har en forankring i styrende dokumentasjon som gir håndtering av security risiko synlighet i organisasjonen. Metodikken tilrettelegger for beslutningsprosesser hvor «alle» risikoforhold i større grad enn tidligere er beskrevet. Beslutningene blir ikke nødvendigvis enklere, men informasjonsgrunnlaget for beslutning er høyere. Konsekvensene av endringene kan gå ut over den helhetlige sårbarhetsforståelsen og det krever en større bevissthet til viktig informasjon som tidligere var tilgjengelig i sårbarhetsvurderingen, men som nå er beskrevet under scenarioet.