Av Maren Maal, Odd Busmundrud og Monica Endregard, forskere ved Forsvarets forskningsinstitutt (FFI).
Etter at Forsvarets forskningsinstitutt (FFI) publiserte rapporten «Tilnærminger til risikovurderinger for tilsiktede uønskede handlinger» og presenterte funnene på et FFI-forum har det blitt publisert flere innlegg.
Les kommentar: Risikovurdering uten sannsynlighet gir ingen mening
Les kommentar: La oss disktuere risikoanalyse uten hersketeknikk
Innleggene har i hovedsak omhandlet sannsynlighetsbegrepet i risikovurderinger og utfordringen med å vurdere/fremstille risiko på en helhetlig måte som inkluderer både tilsiktede uønskede handlinger (security) og utilsiktede uønskede hendelser (safety). Den nylig publiserte FFI-rapporten går nærmere inn på disse temaene.
Rapportens formål var å vurdere Forsvarsbyggs operasjonalisering av Norsk standard (NS) 5814 (sannsynlighet og konsekvenstilnærmingen) og NS 583X-serien (trefaktormodellen). FFI gjennomgikk internasjonale og nasjonale tilnærminger til risikovurdering for tilsiktede uønskede handlinger. I tillegg ble ni intervjuer utført for å synliggjøre de ulike synspunktene som eksisterer i de forskjellige fagmiljøene i Norge. Oppsummeringen av alle intervjuene er vedlagt rapporten slik at leseren kan forstå begrunnelsen for ulike synspunkter. Sannsynlighetsbegrepet var ett av temaene som ble diskutert i detalj.
Ikke bare frekvensbasert sannsynlighet
Sannsynlighet er et sentralt begrep i risikoanalyser og risikovurderinger, men ofte blir det brukt uten at det blir klart definert hva som menes med det. Flere av respondentene FFI intervjuet har understreket at en mangler felles forståelse av sannsynlighetsbegrepet og at dette fører til misforståelser.
Sannsynlighet forstås på to måter:
Sannsynlighet kan forstås som den relative hyppigheten en hendelse opptrer med i en hypotetisk situasjon som gjentas et uendelig antall ganger (matematisk sannsynlighet eller frekvensbasert sannsynlighet). Dette minner om det engelske begrepet «probability».
Sannsynlighet er et mål for usikkerheten om fremtidige begivenheter og deres konsekvenser, sett gjennom øynene til den som vurderer, og basert på bakgrunnsinformasjon og kunnskap. Det er et subjektivt mål for usikkerhet basert på bakgrunnskunnskap (kunnskapsbasert sannsynlighet). Dette minner om det engelske begrepet «likelihood», og er slik sannsynlighetsbegrepet ofte brukes i dagligtale som når man sier «det blir sannsynligvis oppholdsvær i kveld» (men jeg garanterer det ikke).
FFI foreslår at for å unngå misforståelser, må vi definere hva slags sannsynlighet vi sikter til, om det er «kunnskapsbasert sannsynlighet/trolighet/mulighet/subjektiv sannsynlighet» eller «frekvensbasert sannsynlighet/matematisk sannsynlighet/statistisk sannsynlighet».
Umulig å unngå sannsynlighetsbegrepet
NS 5814 definerer risiko som et «uttrykk for kombinasjonen av sannsynligheten for og konsekvensen av en uønsket hendelse». Ofte visualiseres risiko i en klassisk Boston Square risikomatrise der sannsynligheten for at et scenario inntreffer og er vellykket er en eksplisitt parameter. NS 5832 ender opp med tre parametere: verdi, trussel og sårbarhet. Der inngår ikke sannsynlighet som en separat parameter, men det blir litt feil å si at sannsynligheten ikke inngår. I NS 5832 foretar analytikeren en implisitt sannsynlighetsvurdering i trusselvurderingen. Det vil si at det bare er trusler vi har fantasi til å tenke oss som blir tatt med. Det vi ikke klarer å tenke oss, er usannsynlig. Når vi ser på de forskjellige scenarioene, sammenstillingen av trussel og verdi, vil vi kanskje komme fram til at noen scenarioer er lite aktuelle. Noen hendelser er rett og slett mindre sannsynlige, og tas ikke med videre. Når konsekvensen utredes, kan vi kanskje finne at verdien likevel ikke er sårbar for det scenarioet som slapp gjennom andre siling. Her får vi sannsynlighetsvurdering nummer tre. Dette innebærer at i trefaktormodellen er det faktisk en tretrinns vurdering som innebærer en kunnskapsbasert sannsynlighetvurdering.
En eller annen form for skjønnsmessig sannsynlighetsvurdering er uunngåelig. Terje Aven fra Universitetet i Stavanger sier i studien vår at «Man driver med en form for sannsynlighetsvurderinger om man vil eller ei, det kommer man ikke unna».
Usikker sannsynlighet
Det er ingen tvil om at den store forskjellen mellom utilsiktede hendelser, som naturhendelser og ulykker, og tilsiktede uønskede handlinger ligger i forutsigbarheten av den utløsende hendelsen. Når den utløsende hendelsen først har inntruffet, vil verktøyet for å finne konsekvensene i hovedsak være det samme. For ulykker kan det ofte være mulig å finne data for hvor ofte en utløsende hendelse forekommer, som for eksempel når det gjelder hendelser relatert til været. Dette kan til en viss grad gjøre det mulig å beregne risiko. Samtidig har vi sett at usikkerhetene også her kan være store, for eksempel når det kommer en 100-års flom med to års mellomrom. Det er derfor risikabelt å stole for mye på statistikk. Den folkelige forståelsen av statistikken ville her være at når det har vært én 100-års flom vil det gå 100 år til den neste.
Når det gjelder tilsiktede uønskede handlinger blir usikkerheten enda større. Her står det et beregnende individ med onde hensikter bak, som kan skaffe seg informasjon om sikringstiltak og planlegge størst mulig skade. Historiske data er derfor mangelvare, og trenger heller ikke være så veldig relevante. Selv om de finnes, er usikkerheten svært stor. Dette samsvarer med synet til Aven og Renn (2009), som maner til forsiktighet når det gjelder å stole på tall fra kvantitative analyser når dataene er mangelfulle. I forbindelse med tilsiktede handlinger, kan det derfor ikke bare være feil å bruke matematisk sannsynlighet, det kan være direkte skadelig ved å introdusere falsk trygghet.
Kunnskap og metodeforståelse er viktigst
Det er ingen omforent beste fremgangsmåte internasjonalt eller nasjonalt for risikovurderinger for tilsiktede uønskede handlinger. Vitenskapelige artikler og intervjuer støtter denne konklusjonen. Kunnskap og metodeforståelse er viktigere enn valg av metode og tilnærming. Selv om det ikke eksisterer en beste fremgangsmåte, går følgende kjennetegn igjen i en god tilnærming: den (i) er strukturert, (ii) at man etablerer en arbeidsgruppe med bred kompetanse, (iii) kartlegger kunnskapsstyrken, (iv) er basert på systemforståelse og er konkret, (v) har et helhetlig perspektiv, (vi) kommuniserer risiko og usikkerhet, og (vii) er gjennomsiktig, sporbar og etterprøvbar. Disse kjennetegnene kan være nyttige uansett hvilken standard du forholder deg til. Metodeutviklingen er en kontinuerlig prosess, for det kommer hele tiden nye metoder og standarder. Hvis vi kan skape en konstruktiv diskusjon på tvers av ulike miljøer som kan føre til forbedring av måten vi utfører risikovurderinger på, er vi på riktig vei.
