Hva skjer rundt kopimaskinen?

En liten hilsen påminnelse til alle bedrifter med kopimaskin. Har dere tenkt på hvor mye informasjon som skifter hender rundt kopimaskinen.

Har du kontroll på at ikke uvedkommende tar med seg konfidensiell informasjon, uten at du engang vet det? Det er jo bare å kopiere din utskrift, legge den tilbake, og så forsvinne lydløst med potensielle sprengladninger under armen.

Mulige barrierer for at slikt kan skje:

* Utskrift bare når du er til stede, med personlig kode på maskinen

* Adgangskontroll til bygningen/kopirommet

* Private skrivere til sensitiv informasjon

Kontinuitets-planlegging

Kontinuitets-planlegging, eller business continuity planning (BCP), handler om å sikre driften av selskapet selv om uforutsette hendelser skulle oppstå. Dette er et forholdsvis nytt og voksende område innen risk management.

Javel sier du, er ikke dette en selvfølge?
Jo, det er det for mange ledere, men som på så mange andre områder (f.eks HMS), så er veldig mye overlatt til tilfeldighetene. Selv beskyttelse av tap av data (backup) er det overraskende mange som ikke har tenkt over.
Dette innlegget kommer som en følge av mine opplevelser på en dugnadsjobb, der vi flyttet for et advokatkontor i Oslo i desember 2012. Her opplevde jeg en del småting som til sammen ga meg inntrykket av at BCP ikke var systematisk innført i virksomheten.
Det finnes ingen internasjonal standard for BCP, men britene har laget en standard som heter BS 25999, Vi tar utgangspunkt i denne for å belyse hvordan et slikt arbeide kan gjøres.
1. Analyse av virksomheten
For det første må virksomheten ta stilling til hva som er kritisk og ikke-kritiske operasjoner. Noen forhold er kritiske på grunn av økonomiske konsekvenser, andre fordi de er lovpålagt. For hvert kritisk område må det besluttes hva som er akseptabel tidsperspektiv for gjenopprettelse, samt hva som er aksetable kvalitet på gjenopprettelsen.
Advokatfirmaet hadde et klassisk syn på hva som var kritiske operasjoner, nemlig at sjefen, Høyesterettsdommeren og stjerneadvokaten, skulle fortsette å jobbe uhindret. Derimot var det helt uteglemt at virksomheten håndterte konfidensiell informasjon som ikke burde vært på avveie. Eksempler på dette ble funnet av flyttepersonell, blant annet videoer av vitneavhør med tydelig påskrift "konfidensielt".
2. Analyse av trusler
Virksomheten må også gjøre en analyse av hvilke trusler som kan true kontinuiteten. En flytting av kontorlokaler er ganske åpenbart en trussel, da det nødvendigvis vil gå med mye tid til å gjennomføre den fysiske flyttingen. Mest kritisk er det at man kan plugge nettverksledningen inn i veggen og umiddelbart få tilgang til det velkjente nettverket.
Men, trusler er mye mer enn flytting. Fra min tid i Avinor, ver vi godt forberedt på et eventuelt strømbrudd, bortfall av radar- eller radiodekning.
Men, hva gjør man når et jordskjelv rammer Fukushima, når flodbølgen rammer Phuket, når orkanen med styrke 5 raser innover New Orleans, når Ebola epedemien setter en hel hovedstad på hodet eller når et ekstra hissig datavirus raser over verden?
Vi skjønner at kun fantasien setter grensene for hva man kan ta med i en evaluering ab mulige trusler.
3. Design av løsninger
Når man kjenner til mulige hendelser og hva dette kan bety for virksomheten, så kommer tidspunktet for å designe løsninger for å forhindre, eller minimalisere effekten av hendelsen.
Typiske løsninger vil være slikt vi så under 22. juli terroren i Oslo, der de berørte departementene raskt fant en sekundær arbeidsplass hos sine direktorater andre steder i byen.
Av ekstreme og kostbare løsninger er bygging av diker rundt storbyer eller å bygge jordskjelvsikre bygninger. Skredbeskyttere over jernbanen er en mer lokal variant.
Advokatformaet hadde gjort stor innsats for å sørge for at sjefen hadde et kontor å jobbe på umiddelbart, mens resten av advokatene virret rundt flyttecrewet hele dagen og ventet på kontoret sitt. Men, en skikkelig oppryddig i skuffer og skap, samt rundt kopimaskinen hadde de ikke tenkt på.
4. Implementering
Denne fasen handler om å implementere løsningene man har designet. Dette henger sammen med vurdering av akseptabel risiko i den første vurderingen. Er løsningen lønnsom i forhold til forventet tap?
5. Testing og akseptering
For å være i stand til å teste planene om kontinuitet, så må man definere scenarioer om hva som vil være konsekvensene av en hendelse. Deretter handler det om å simulere denne hendelsen, og betrakte hva som skjer.
Det er umulig å simulere fysisk en naturkatastrofe, så testene er ofte redusert til skrivebords øvelser.
6. Vedlikehold
Med jevne mellomrom må planene gjennomgåes på nytt og oppdateres.

Som med andre områder av risk management, så er ikke BCP spesielt komplisert. Manglene oppstår ved at prinsippene ikke følges systematisk i virksomhetene. Mange konsulenter har derfor skodd seg godt på å hjelpe virksomheter som er sårbare med slike.
Og hvem er det som tjener på alt dette i det lange løp?
Svarene er mange.

De behandler oss som kveg

Et vanlig syn langs landeveien i mange land er overfylte minibusser som frakter dagsarbeidere til og fra arbeidsplassen.

Dagsarbeidere er mennesker som ikke er ansatt i noen bedrift, men som møter opp på en bestemt plass om morgenen i håp om at det kommer noen som trenger arbeidskraft. Da arbeider de en dag for vedkommende, og får gjerne betalt kontant ved slutten av dagen.

Ordningen er gammel, så gammel at den er beskrevet i Bibelen. Den har også vært praktisert i Norge, men forekommer ikke lenger etter dagens arbeidsmiljølovgivning.

Denne artikkelen vier seg til den risikofylte aktiviteten for foregår når grupper av slike dagsarbeidere fraktes i minibusser fraoppmøtestedet til arbeidsplassen. Minibussene (eller taxiene som noen kaller dem) er ofte gamle, vanlige 10 setere, men bruk av picuper og lasteplan er også vanlig. Problemet oppstår når det tilsynelatende er om å gjøre å stable flest mulig arbeidere inni eller bakpå slike kjøretøy.

Man kan spøke med slikt, og konkurrere om hvem som kan oppdage det kjøretøyet med flest folk bakpå. Men, artikler som denne:
http://www.nriinternet.com/NRI_Accidents/Canada/ABBOTSFORD_3_DIED/Index.htm

gjør at det ikke er spesielt morsomt å se slike transporter i det lange løp.

Selv har jeg havnet bak en ulykke med en 10-seters Hiace utenfor Johannesburg i Sør-Afrika. Bilen var stappfull, og hadde veltet på motorveien. Vi sto lenge i kø bak hendelsen og da vi omsider fikk passere ulykkesstedet, var det liten tvil om hva konsekvensene hadde vært. Vi fikk senere bekreftet at det var to omkomne.

I artikkelen i linken over, beskrives en tilsvarende ulykke. Men, her var det 17!!! personer i bussen, og tre omkomne;

• Bilen var godkjent for 15 personer
• Det var laget i stand trebenker i bussen for å ta inn flere
• Havnet på hodet på midtdeleren

Det refereres i artikkelen til samfunnets reaksjoner på ulykken. Dette er festlig lesning. Fagforeningen klager over at de blir behandlet som andreklasses borgere og kveg, mens en advokat uttaler seg saklig at en van med 17 personer ombord har lett for å tippe over.

Uansett er det vel ikke langt unna sannheten, at dagsarbeidere behandles som kveg.

Og man skulle tro at denne omtalte hendelsen skjedde i et ikke-vestlig land.

Men neida, det skjedde i nærheten av Vancouver i Canada.

Risiko og statistikk som beslutningsstøtte

I dagens VG kan vi lese et intervju med Guro Ranes i Statens Vegvesen. Det kommer frem i intervjuet at antallet drepte i trafikken er gått betydlig ned de siste 40 år.

Artikkelen er en god dokumentasjon på hvordan risikobasert ledelse kan fungere.

1. Risikoscenarioet er velkjent

2. Det er klart definert hva som er akseptabel risiko

3. Sannsynlighet og konsekvensene kan kvantifiseres, dvs måles med tall (statistikk)

4. På bakgrunn av risikobildet, er det tatt beslutninger om aksjoner

5. Resultatet av aksjonene gir utslag på statistikken og kan dermed verifiseres.

I slike saker som artikkelen beskriver er det alltid mange meninger. Vi bør gjøre slik, vi bør gjøre som dem, vi bør bygge dette, osv. Alt dette er vel og bra, men det eneste som betyr noe i risikoens verden er dokumenterte resultater.

Dessverre er ikke alltid resultatene like lett å dokumentere på forhånd.

En beslutningstaker er avhengig av beslutningsstøtte, og kan derfor heller velge å stole på en forholdsvis god statistikk enn å lete etter optimaliserte løsninger som kanskje gir mange ganger bedre effekt.

Slike psykologiske effekter er det som gjør arbeidet med risiko interessant!

Avisartikkelen finnes på denne linken:

http://www.vg.no/bil-og-motor/artikkel.php?artid=10024610

Riskosport #2: Skating i kollektivfelt

Vi har fanget opp en litt morsom sak fra Bergens Tidende. Artikkelen taler vel for seg selv.
En skater ble "fersket" av avisens fotograf mens han kjørte i stor fart nedover i et kollektivfelt, uten hjelm og annen beskyttelse.
Påfunnet er tragikomisk i seg selv. men det er kommentarene under artikkelen som virkelig er underholdende. Her kommer det frem både støtte og sympati for skateren, begeistring for den mosjon man får ved å bruke skateboard og uttrykt bekymring for longboarderes plass i trafikken.
Selv er jeg syklist. Jeg bruker hjelm, og har bremser. Allikevel vet jeg at jeg utsetter meg selv for stor risiko, og jeg har sett en død sykkelkollega i veien foran meg ved en anledning.
La oss håpe at personen i dette tilfelle klarte å stoppe før han havnet i søpla.
Og la oss inderlig håpe at selv skateboardere klarer å skille samfunnsrisiko fra personlig søken etter adrenalin.
Artikkelen finner du her:
http://www.bt.no/nyheter/trafikk/Rullende-risiko-2619136.html

Risikovurdering av Oslofjordtunnellen

I slutten av oktober 2011 publiserte Statens Vegvesen en rapport som inneholder risikoanalysen av Oslofjordtunnellen med omkjøringsveier. XVI.no har fått rapporten i hendene. Det følgende er våre kommentarer etter å ha lest gjennom innholdet.

Først vil vi si at vi er kritiske til at undersjøiske tunneller i Norge i så liten grad er i stand til å oppfylle krav til sikkerhet kun få år etter ferdigstillelse. Rapporten belyser dette tydelig. Vi har en oppfattelse av at norske myndigheter i for stor grad tenker populistisk ved budsjettering, planlegging og bygging. DVS at det er viktigere å gi brukerne et dårlig tilbud raskt enn å bruke lenger tid til planlegging og sitte igjen med et produkt som også står stand mye lenger.

Vår erfaring fra andre land, spesielt England, er at det praktiseres langt strengere regler for risikovurderinger i prosjekteringsfase og byggefase. Et eksempel er Hindhurst tunnellen på A3 mellom London og Portsmouth. Dette er en kort tunnell (i norsk sammenheng) gjennom løst fjell, men her har man brukt 7 år på planlegging av sikkerhetstiltak; Visuell varsling som langt overgår Oslofjordtunnellen, dobbelt løp, tilnærmet dagslys, evakueringsmuligheter, måling av gjennomsnittshastighet, eskorte for tunge kjøretøy etc.

Notater fra Oslofjord-rapporten:

1. Dimensjonering: Tunnellen har allerede nådd maksimal kapasitet, og det med 15% andel av tunge kjøretøy. Mye utenlandsk trafikk med biler som ikke er dimensjonert for norskt kupert terreng. 7% stigning er brattere enn det som er tillatt i dag.

2. Det vil være et totalt mislykket prosjekt hvis det ikke skal være mulig å kjøre tungtrafikk gjennom, slik det drøftes i rapporten.

3. Mange problemstillinger med ett løps tunnell, både i forhold til brannberedskap (som må komme fra begge sider), og møteulykker (smale kjørefelt)

4. Andelen ulykker med stor konsekvens er merkverdig høy! Brann > 30-40 MW minst en gang hvert år

5. Informasjon om evakueringsretning i norske tunneller er skremmende dårlig.

Bruken av worst case scenario er interessant. Dette er en metodikk som er på full fart vei inn i risikovurderingen. I rapporten er scenarioet veldig spesifikt, og en slik enkel metodikk får planleggingen av beredskapen til å se lettere komisk ut.

Vi er generelt positive til de foreslåtte tiltakene, som går på visuell varsling, bruk av såkalte "safe havens” og dimensjonering av brannberedskap.

Men, vi mener at i tillegg bør enkle forholdsregler som visuell inspeksjon av tunge kjøretøy og bruk av eskorte/stenging av tunnell for andre kjøretøy benyttes for farlig last. Og selvsagt mener vi at det allerede nå må budsjetteres og planlegges et løp nummer 2, noe som er den eneste veien å gå på lang sikt, hvis man skal forsvare tunnellens hensiktsmessighet ift tung trafikk på veiene våre.