Bred kartläggning av sårbarheter

– Vi får en bra bild av vad som kan hända, var det är sårbart. Egentligen kommer vi inte med något nytt, men kan nu systematiskt visa för kommunanställda vad som är kritiskt, vilka åtgärder som kan göras innan något inträffar. Det gäller bara att kunna förmedla budskapet, säger Ida Andersson, säkerhetssamordnare i de tre kommunerna.

Kontinuitetshantering används för att kartlägga sårbarheter, se kritiska beroenden med syfte att trygga verksamheten även vid påfrestning. Arbetssättet är under utveckling, få kommuner kan i sammanhanget slå sig för bröstet.

I augusti 2014 började Ida Andersson och kollegan Elin Dahlgren med översynen. Nu har 14 viktiga verksamheter hanterats.

– Det började när min föregångare noterade att en ny föreskrift om risk- och sårbarhetsanalyser var på gång från MSB. Det är inte så många som satsar på kontinuitetshantering, men vi har kikat på arbete som gjorts i Danderyd och Staffanstorp. Vi har faktiskt gjort exakt som Staffanstorp, använt samma konsulter.

Konsulterna har utbildat säkerhetssamordnarna i den modell som används, arbetet gör man själva.

För varje verksamhet har man tittat på vilka kritiska aktiviteter det finns, maximalt accepterad avbrottstid och vilka resurser (interna och externa) som omfattas.

För exempelvis kost finns tolv kritiska aktiviteter. Nedkylning, max 30 minuters avbrottstid, är den känsligaste. Interna resurser som berörs är framförallt personal och IT. Externt finns en mängd beroenden som lokala livsmedelsbutiker, tillgång till el, vatten och drivmedel.

– Tillgång till drivmedel i samhället är totalt sett den känsligaste punkten, vi är beroende i 80 procent av verksamheterna, säger Ida Andersson.

Kontinuitetshanteringen har genomförts i de tre kommunerna samtidigt, verksamheten skiljer sig egentligen inte åt.

– Eda måste göra samma saker som Arvika, skillnaden är att Arvika med tre gånger så många invånare har större muskler att genomföra dem.

En fördel med flera medverkande kommuner är utbytet av erfarenheter. Två representanter från förvaltningar i respektive kommun har medverkat när verksamheter kartlagts.

Ansvariga i förvaltningarna har listat åtgärder för kontinuitet, tagit fram handlingsplaner för att täcka brister.

– Hamnar man i en situation där viss verksamhet måste prioriteras och annan skalas ner kan det bli kritiskt. Är man beroende av externa tjänster är det viktigt att ha skrivit bra avtal.

Hårda frågor som vatten och avlopp har varit förhållandevis enkla att hantera, konstaterar Ida Andersson. Mjuka frågor är knepigare.

– Det är enklare att säga vad det innebär att vara utan vatten några timmar än vad som händer om omsorgen drabbas. Där görs så många olika saker, fler människor är involverade och lagstiftningen hårdare. Samtidigt har de medicinskt ansvariga sjuksköterskorna mycket robusta system. De har handlingsplaner för allt, vilket lagstiftningen kräver. De har helt enkelt koll på läget.

Efter att kontinuitetshanteringen gjorts träffas säkerhetssamordnarna och ansvariga inom respektive verksamhet en gång om året för översyn.

Dessutom finns i varje kommun en riskgrupp med en representant från varje förvaltning.

– De träffar vi kommunvis fyra gånger om året, vår livlina till verkligheten.

• Efter att ha gått igenom 14 verksamheter, har ni upptäckt kritiska verksamheter ni inte kände till?

– Nja, snarare har vi upptäckt hur beroende vi är av varandra inom kommunen, verksamheten är så komplex. Och här hamnar diskussionen om att prioritera åtgärder. Hur mycket resurser lägger vi på att ha bra dricksvatten och hur lite lägger vi på att inte ha en stressad personal?

Ida Andersson upplever att kommunpersonalen är positiva till kartläggningen av samhällsviktig verksamhet och kritiska beroenden.

– Tidigare hade vi bara risk- och sårbarhetsanalysen. Jag önskar fler läste den, men det är en mastig lunta.

• Kan kontinuitetshanteringen bli kostsam för kommunerna, eller tvingas man prioritera hårdare?

– Åtgärder är allt mellan himmel och jord. Att få SMHIs lägesrapport om vädret i mejlen kostar inget, tillgång till reservkraft är dyrt. Åtgärder som behövs måste med i förvaltningarnas verksamhetsplaneringar.

MSB rekommenderar att man gör risk- och sårbarhetsanalys (RSA) först, kontinuitetshantering därefter. Arvika gör tvärtom och är inte ensamma om det.

– I RSAn vill vi ha beroendekedjor och jag kan inte se varför vi skulle göra RSA först. Vi har inte kontinuitetshanteringen innehållsmässigt med i RSA, det är för känsligt och sekretessbelagt. För oss är kontinuitetshantering, riskhantering och krishantering tre ben att stå på. RSAn ska vara verktyg för beslutsfattarna.

En av de kritiska verksamheter som inte setts över är informationssäkerheten.

– Driftsäkerhet är en sak, men informationssäkerhet har ingen direkt ansvar för, alternativt att ansvaret finns i varje verksamhet. Det ligger högt på prioriteringslistan samtidigt som ingen riktigt vill ta i det som sin fråga. Nu ska jag på utbildning i ämnet.

Ida Andersson tycker inte att man i kontinuitetshanteringen ska hänga upp sig på åtgärder. Processen är lika viktig, att öka kunskap och kunskapsåterföring.

– Med de analyser vi gjort av 14 verksamheter har jag fått en ovärderlig kompetensutveckling, allt från hur en switch fungerar till vem som transporterar vad till kommunernas verksamheter.