Fire perspektiver på organisatorisk sikkerhet

Fagfeltet har gradvis flyttet seg fra en forståelse av at ulykker skjer, til en forståelse av at robusthet kan bygges. I denne artikkelen ser jeg på de tre perspektivene som har formet hvordan vi forstår kriser i organisasjoner, og på det fjerde, som handler om å ligge i forkant.

Når vi snakker om organisatorisk sikkerhet, snakker vi sjelden om én teori. Vi snakker om et fagfelt som har vokst fram gjennom førti år med forskning på ulykker, katastrofer og organisasjoner som av ulike grunner har klart seg bedre enn andre. Hvert tiår har gitt oss et nytt blikk på hva som skjer når noe går galt, og hvert av dem gjelder fortsatt, selv om vektleggingen har endret seg. Jeg har beskrevet perspektivene mer utførlig i Håndbok i krisehåndtering (Cappelen Damm Akademisk, 2022), og det er de samme perspektivene ORGSEC bygger på.

1980-tallet: Perrow og de normale ulykkene

Charles Perrow publiserte Normal Accidents i 1984, på bakgrunn av blant annet ulykken ved kjernekraftverket Three Mile Island. Hans utgangspunkt var at kriser er et potensial som ligger latent i vårt høyteknologiske samfunn. I systemer som både er komplekse og tett koblet, vil ulykker før eller siden inntreffe, uansett hvor gode barrierene er, fordi feilene forplanter seg raskere enn noen rekker å forstå dem.

Det ligger en viktig erkjennelse i dette perspektivet, nemlig at risiko kan reduseres, men ikke fjernes helt. Det betyr ikke at forebygging er nytteløst, men at organisasjonen også må være forberedt på at noe vil skje, og ha evnen til å håndtere det når det skjer.

1990-tallet: Reason og hullene i barrierene

James Reason tok perspektivet et skritt videre. I Managing the Risks of Organizational Accidents (1997) beskriver han hvordan aktive og passive sikkerhetsfeil skaper hull i organisasjonens barrierer, som i skivene på en sveitserost. En ulykke oppstår når hullene i flere lag tilfeldigvis står på linje. Det er disse hullene vi må finne og tette.

Reasons bidrag var å flytte oppmerksomheten fra den enkelte som gjorde feil, til organisasjonen rundt. De passive feilene, som mangelfulle rutiner, uklare ansvarsforhold eller planer som ikke er kjent, ligger ofte i organisasjonen lenge før noe skjer. Sikkerheten ligger derfor i flere lag, og arbeidet handler om å finne svakhetene før de treffer hverandre.

2000-tallet: De høypålitelige organisasjonene

Forskningen på høypålitelige organisasjoner, med Karlene Roberts som en av pionerene og Karl E. Weick og Kathleen M. Sutcliffe med Managing the Unexpected (2001), stilte et annet spørsmål. I stedet for å spørre hvorfor ulykker skjer, spurte de hvorfor noen organisasjoner som opererer under svært risikofylte forhold, som hangarskip, flygeledertjenester og kjernekraftverk, likevel klarer seg så godt.

Svaret var at selv svært utsatte organisasjoner kan forebygge og håndtere kriser. Det som kjennetegner dem, er at ledelsen gir sikkerhet og krisehåndtering prioritet, at medarbeidere og ledere trenes for det de faktisk skal håndtere, og at det er en vedvarende oppmerksomhet på små avvik i hele systemet. Pålitelighet er altså ikke en egenskap organisasjonen har, men noe den bygger og vedlikeholder.

2022: Proaktiv krisehåndtering

Det fjerde perspektivet, som jeg har beskrevet som proaktiv krisehåndtering, bygger videre på de tre første. Her forsøker vi å ligge i forkant av kritiske hendelser som kan medføre eller øke muligheten for krise. Å kunne se for seg utviklingen er avgjørende. Det handler om å øke situasjonsforståelsen gjennom å planlegge for hvordan globale hendelser kan medføre behov for lokale tiltak, i et tidsperspektiv fra de første minuttene og til de neste 500 dagene.

Modellen beskriver seks nivåer av krisepotensial, fra en isolert hendelse som kan håndteres av den enkelte i løpet av minutter, til en global kritisk hendelse som pågår i måneder og stiller krav til organisasjonen på alle nivåer. Ved tidlig identifisering av risikofaktorer kan situasjonen håndteres så tidlig som mulig, med lavest mulig potensial for krise. Der hendelsen får utvikle seg, øker kravene: først til den enkelte, så til gruppen og så til ledelsen, både internt og eksternt.

Hva perspektivene betyr i dag

Ingen av de tre første perspektivene er blitt foreldet, men alle har fått en ny betydning. Perrows tett koblede system er der fortsatt, men koblingene går i dag i større grad gjennom leverandører, skytjenester og digitale verdikjeder enn gjennom rør og ventiler. Reasons sveitserost er fortsatt et godt bilde, men i dagens trusselbilde er det ikke bare tilfeldigheter som får hullene til å stå på linje. Noen leter aktivt etter dem. Og forskningen på høypålitelige organisasjoner peker fortsatt på det som virker: prioritering, trening og oppmerksomhet i hele organisasjonen.

Proaktiv krisehåndtering tar dette inn i en tid der Norge står i den mest alvorlige sikkerhetspolitiske situasjonen siden andre verdenskrig, og der det ikke bare er ulykker som truer, men også handlinger som noen ønsker å gjennomføre. Da blir det avgjørende å se utviklingen tidlig, og å ha en organisasjon som er forberedt før hendelsen, ikke etter.

ORGSEC er denne tilnærmingen satt i system. Vurderingen viser hvor virksomheten står på tvers av seks områder, prioriteringen gjør funnene til en plan, kompetanseprogram, trening og øvelser bygger evnen, og en ny vurdering viser om det virket.

Kilder

• Perrow, C. (1984). Normal Accidents: Living with High-Risk Technologies. Basic Books.
• Reason, J. (1997). Managing the Risks of Organizational Accidents. Ashgate.
• Roberts, K. H. (1990). Some characteristics of one type of high reliability organization. Organization Science, 1(2).
• Weick, K. E. & Sutcliffe, K. M. (2001). Managing the Unexpected. Jossey-Bass.
• Bråten, O. A. (2022). Håndbok i krisehåndtering. Cappelen Damm Akademisk.

Vil du vite hvor din virksomhet står? Start ORGSEC-vurderingen.