Välkommen till vår guide för att genomföra operationell riskhantering med AmpliFlow som en del av ert certifieringsarbete.
Denna guide syftar till att hjälpa er att komma igång med användningen av vår modul för operationell riskanalys och att säkerställa att processen genomförs smidigt och effektivt.
Operationell riskhantering finns för att förstå hur er verksamhet påverkas av olika händelser och vilka åtgärder som krävs för att hantera dem. Det är ett centralt krav i alla ledningssystemstandarder (ISO 9001, 14001, 27001, 45001) och ett bra verktyg att använda som utgångspunkt för exempelvis informationsklassificering, leverantörsbedömningar och krishantering.
Grundförståelse
Börja med att skapa dig en förståelse för området, läs dessa artiklarna:
Obs: AmpliFlow använder termen “påverkansmatris”, men artikeln ovan förklarar samma koncept under namnet “allvarlighetsgradsmatris”.
Förutsättningar
Innan ni börjar med operationell riskhantering rekommenderar vi att ni har gjort:
- Processkartläggning - ni behöver ha koll på era processer för att kunna identifiera risker i dem
- Påverkansmatris - ni behöver ha definierat era påverkansområden och vad olika nivåer innebär
Hur ska det göras?
Redan nu är en rejäl del av arbetet färdigt, tack vare att vi försett er med en färdig mall för operationell riskanalys och en enkel matematisk modell för riskberäkning.
Det ni behöver göra nu är att:
- Tilldela behörigheter till de som ska jobba med operationell riskanalys.
- Kontrollera att er påverkansmatris är komplett med de påverkansområden (ekonomi, miljö, säkerhet, rykte etc.) som är relevanta för er verksamhet.
- Identifiera riskscenarier genom att gå igenom era processkartor, leverantörskedjor, IT-system och andra kritiska områden. Använd gärna SWOT-analys.
- Lägg till risker i registret med konkreta beskrivningar av vad som kan hända.
- Bedöm sannolikhet, förekomst och påverkan för varje risk.
- Dokumentera nuvarande kontroller och identifiera förebyggande åtgärder.
- Tilldela ansvariga och sätt deadlines för åtgärderna.
- Uppdatera informationssidan i Operationell riskanalys där ni beskriver hur ni jobbar med riskhantering samt vilka som är ansvariga och delaktiga.
- Gå igenom och bocka för kontrollpunkterna (sista steget) i checklistan.
- Om ni jobbar med en konsult från AmpliFlow, notifiera denne att arbetet är redo för genomgång.
Tips för framgångsrikt genomförande
- Se till att alla som jobbar med riskhantering förstår vad det är och varför jobbet görs.
- Tänk på att beskriva riskscenarier konkret - “Leverantör X levererar defekt råmaterial som stoppar produktion” istället för “Problem med leverantör”.
- Om arbetet delas upp, var tydlig med ansvarsfördelningen. Varje risk ska ha en ägare.
- Sätt en tydlig tidplan och boka in eventuella avstämningsmöten redan nu.
- Förmedla resultatet till interna intressenter - riskmatrisen (beta) ger en visuell överblick.
- Koppla riskregistret till era avvikelser - när något går fel, kontrollera om risken fanns identifierad.
- Använd verkliga data från tidigare incidenter när ni bedömer sannolikhet och förekomst.
- Var realistiska med sannolikhetsreducering - få åtgärder eliminerar risk helt.
- Boka in kvartalsvisa genomgångar för att hålla riskregistret aktuellt.
Så fungerar riskberäkningen
AmpliFlow använder en enkel matematisk modell:
Riskscore = Total påverkan × MAX(Sannolikhet, Förekomst)
Systemet använder det högsta värdet av sannolikhet och förekomst (inte multiplikation av båda). Det ger en konservativ bedömning där den värsta faktorn avgör.
Total påverkan bestäms av det högsta värdet bland era påverkansgraderingar. Om ni graderar en risk som ekonomisk påverkan 3, miljöpåverkan 5 och säkerhetspåverkan 2, blir total påverkan 5.
Uppdaterad riskscore beräknas automatiskt när ni anger förebyggande åtgärder:
Uppdaterad riskscore = Riskscore × (100 - Sannolikhetsreducering%) / 100
Exempel:
- Risk: “IT-system slutar fungera vid strömavbrott”
- Sannolikhet: 3, Förekomst: 2, Total påverkan: 4
- Riskscore = 4 × MAX(3,2) = 4 × 3 = 12
- Åtgärd: Installera UPS (sannolikhetsreducering 80%)
- Uppdaterad riskscore = 12 × (100-80)/100 = 12 × 0,2 = 2,4
Riskmatrisen (beta)
AmpliFlow visar era risker i ett interaktivt diagram där:
- X-axeln visar uppdaterad riskscore (högre värde = större risk)
- Y-axeln visar uppdaterad sannolikhet
- Varje bubbla representerar en risk
- Färgen indikerar risknivå (grön-gul-röd gradient)
- Hovra över bubbla för att se detaljer
- Klicka på bubbla för att öppna och redigera
Grafen är i beta och utvecklas kontinuerligt.
Förklaring av respektive kolumn
- Risknummer: Genereras automatiskt av systemet för varje ny risk. Används för att referera till specifika risker i diskussioner och uppföljning.
- Påverkade processteg: Koppla risken till specifika steg i era processkartor. Detta gör det möjligt att visa risker direkt i processkartorna och hjälper ägare att förstå vilka risker som finns i deras del av verksamheten. Ni kan välja flera processteg om risken påverkar flera delar av processen. Detta fält är endast tillgängligt om ni har processkartläggning aktiverad.
- Riskscenario: Beskriv konkret vad som kan hända. Undvik vaga formuleringar - “Leverantör X levererar defekt råmaterial som stoppar produktion i 3 dagar” istället för “Leverantörsproblem”.
- Potentiella konsekvenser: Vad händer om risken inträffar? Exempel: “Produktionsstopp i 3 dagar”, “Förlust av certifiering”, “Kundreklamation”. Detta hjälper er att prioritera rätt och förstå riskens betydelse.
- Realistisk: Markera om riskscenariot är realistiskt för er verksamhet (Ja/Nej). Detta används för att filtrera bort teoretiska risker som inte är relevanta i praktiken.
- Påverkan/Påverkansgraderingar: Bedöm hur stor skada risken kan orsaka om den inträffar (1-5). Beroende på er konfiguration använder ni antingen ett enskilt påverkansvärde eller separata graderingar för olika områden (ekonomi, miljö, säkerhet, rykte etc.) som ni definierar i er påverkansmatris.
- Om ni använder påverkansgraderingar (flera områden): Systemet beräknar automatiskt den totala påverkan som det högsta värdet bland era graderingar. Exempel: Ekonomisk påverkan 3, Miljöpåverkan 5, Säkerhetspåverkan 2 ger total påverkan 5. I tabellvyn visas detta som “Total påverkansgradering”.
- Om ni använder enkel påverkan (ett värde): Ni anger direkt ett påverkansvärde 1-5. I tabellvyn visas detta som “Påverkan”.
- Kommentarer (påverkan): Förklara varför ni bedömt påverkan som ni gjort. Exempel: “Miljöpåverkan 5 eftersom spill kan nå grundvatten och kräver sanering enligt miljöbalken”. Detta skapar förståelse för bedömningen.
- Förekomst: Hur ofta har liknande händelser inträffat historiskt (1-5)? Använd verkliga data från avvikelser och tidigare incidenter om möjligt.
- Sannolikhet: Bedöm hur troligt det är att risken inträffar (1-5). 1 = mycket osannolikt (mer sällan än vart 10:e år), 3 = möjligt (vart 2:a-5:e år), 5 = mycket troligt (flera gånger per år).
- Kommentarer (sannolikhet): Förklara varför ni bedömt sannolikheten som ni gjort. Exempel: “Sannolikhet 4 eftersom leverantören haft kvalitetsproblem 3 gånger senaste året”. Detta motiverar bedömningen.
- Riskscore: Beräknas automatiskt enligt formeln: Total påverkan × MAX(Sannolikhet, Förekomst). Visar hur allvarlig risken är. Detta är ett beräknat fält som ni inte fyller i manuellt.
- Riskreducering: Konkreta förebyggande åtgärder för att minska risken. Var specifik: “Installera UPS Modell X senast 2025-03-31” istället för “Förbättra strömförsörjning”. Åtgärder kan syfta till att minska sannolikhet eller begränsa påverkan.
- Ansvarig: Tilldela en ansvarig person som har insyn i området och mandat att genomföra åtgärderna. Ansvarig håller bedömningen aktuell och säkerställer att åtgärder implementeras.
- Datum: När ska åtgärden vara genomförd? Sätt realistiska datum baserat på åtgärdens komplexitet och riskens allvarlighetsgrad. Högre risk = snabbare åtgärd.
- Estimerad sannolikhetsreducering (%): Hur mycket minskar sannolikheten när åtgärden är genomförd? Var realistisk - backup-system kan ge 80% reducering, extra leverantör kanske 60%. Dokumentera antaganden i kommentarsfälten.
- Uppdaterad riskscore: Beräknas automatiskt baserat på sannolikhetsreducering enligt formeln: Riskscore × (100 - Sannolikhetsreducering%) / 100. Visar hur risken förändras efter era åtgärder. Detta är ett beräknat fält som ni inte fyller i manuellt.
- Status: Markera framsteg för åtgärden (planerad, pågående, genomförd, uppskjuten). Uppskjutna åtgärder kräver motivering i kommentarsfälten.
- Framhävd risk: Om ni har processkartläggning aktiverad kan ni välja att framhäva risken i processkartorna. Detta gör risken mer synlig för processteamen och markerar att den är särskilt viktig att ha koll på i den specifika processen.
Så kopplar ni riskhantering till andra processer
Avvikelser: När en avvikelse inträffar, kontrollera om risken fanns identifierad. Om inte, lägg till den i riskregistret.
Leverantörsbedömningar: Identifierade leverantörsrisker ska finnas i riskanalysen med konkreta åtgärder.
Intressentanalys: Risker kopplade till era intressenter (kunder, myndigheter, samhället) ska dokumenteras.
Kundkrav: Risker för att inte uppfylla kundkrav ska identifieras och hanteras.
Målstyrning: Sätt mål för riskreducering som ni följer upp i ledningsgruppen. Exempel: “Minska antal risker med score över 15 från 8 till 3 under 2025”.
Informationsklassificering (ISO 27001): Använd era påverkansgraderingar för att avgöra vilken klassificering olika informationstyper ska ha. Om en risk har hög påverkan på säkerhet eller affärskritisk information behöver den skyddas särskilt.
Krishantering: Högriskscenarier kan ligga till grund för er krishanteringsplan.
Ledningsöversyn: Ha riskmatrisen som stående punkt på ledningsgruppsmöten. Den visuella överblicken gör det enkelt att diskutera riskläget.
Genom att följa denna guide hoppas vi att ni får en smidig och effektiv upplevelse med operationell riskhantering i AmpliFlow. Om ni har några frågor eller behöver ytterligare stöd, tveka inte att kontakta vår support.
Kontakt:
