8. Risikoprofil i Universitets- og Bygningsstyrelsen
1. Formålet med risikoprofilen
Formålet med risikoprofilen er at få overblik over, hvilke konkrete risici en given institution står overfor, så man kan sætte forebyggende ind. Risikoprofilen laves af institutionen og Universitets- og Bygningsstyrelsen i fællesskab.
Risikoprofilen danner grundlag for at institutionen og styrelsen kan prioritere, planlægge og strukturere eventuelle risikoreducerende aktiviteter. En risikovurdering kan for eksempel vise, at institutionen bør investere i adgangskontrol, videoovervågning og sikring. Eller den kan vise, at institutionens primære fokus bør være brandskader eller vandskader
2.1 Metodegennemgang
Risikoprofilen udarbejdes ved, at institutionen og styrelsen identificerer og vurderer de specifikke risici for den enkelte institution. I praksis sker det ved, at man sammen metodisk gennemgår nedenstående tre punkter.
1. Institutionens risici for følgende hændelser:
- Brand
- Oversvømmelse (regn og skybrud)
- Øvrige vandskader (f.eks. lækage på rør)
- Hærværk og indbrud
- Svampeskader
- Terror
- Øvrige skader
2. For hver ovenfor identificeret risiko gennemgås:
- Skadehistorik
- Hvor ofte sker skaderne
- Hvad koster skaderne i alt og i gennemsnit?
- Sikringsrapporter og andre risikorapporter
- Interview med institutionens driftschef eller anden med detailkendskab
3. Slutteligt gennemgås institutionens toleranceniveau.
- Det analyseres, hvilke økonomiske risici2 institutionen kan bære indenfor de enkelte kategorier.
- Uvæsentligt (f.eks. op til 10.000 kr. per skade)
- Mindre væsentligt (f.eks. op til 100.000 kr. per skade)
- Mærkbart (f.eks. op til 1 mio. kr. per skade)
- Betydelig (f.eks. op til 25 mio. kr. per skade)
- Meget stor (f.eks. større end 25 mio. kr. per skade)
Når risiciene er blevet identificeret og behandlet, indsættes dataene i et skema, der danner institutionens risikoprofil.
2.2 Eksempel på risikoprofil
Universitets- og Bygningsstyrelsen har i samarbejde med enkelte institutioner gennemført pilotprojekter, der kan danne basis for arbejdet med at tegne risikoprofiler for samtlige institutioner. Blandt andet på baggrund af pilotprojekterne, har vi lavet et eksempel på, hvordan en risikoprofil kan se ud. Af hensyn til anonymitet er visse data ændret, men risikobilledet passer fortsat nogenlunde til en konkret institution. Den konkrete risikoprofil illustrerer principperne bag modellen, og hvordan den kan anvendes. Derimod kan de konkrete data ikke tillægges generel betydning.
Risikoprofilen er udarbejdet på baggrund af de skader, der er blevet registreret på den betragtede institution de sidste 10 år.
Risicienes indplacering i skemaet:
Når man udarbejder en risikoprofil gennemgås samtlige risici efter samme princip. Vi har her valgt at illustrere forbindelsen mellem skader og risikoskemaet ud fra risikoen for vandskader.
I den observerede periode er der registreret tre vandskader. Hver vandskade har kostet over en mio. kr. På baggrund af gennemgangen vurderes det, at:
- Skadesfrekvensen for vandskader er ”forekommende”, eftersom skaderne har fundet sted cirka hvert tredje år.
- Vandskader har konsekvenskategorien ”betydelig”, eftersom de økonomiske følger hver gang har oversteget en mio. kr.
I risikoprofilens skema placeres vandskaderisici herefter i cellen ”forekommende” og ”betydelig”. Denne metodiske gennemgang foretages herefter for hver enkel risiko, således at samtlige skadesrisici er indplaceret i skemaet.
2.3 Bemærkninger til risikoprofilen
Hver gang der sker en skade, registreres hændelsen hos skadesadministratoren. Når man skal udarbejde risikoprofilen, anvendes blandt andet denne skadeshistorik, som gennemgås detaljeret med institutionen. Det skal bemærkes, at selvom en institution ikke har haft skader indenfor en bestemt risikokategori, forsvinder risikoen ikke fra profilen. Risikoen kan fortsat bedømmes, eksempelvis ved at gennemgå aktuelle sikringsrapporter (f.eks. brandsikring mv.). I denne situation baseres bedømmelsen på en kombination af risikorapporter og interviews.
Risikoprofilen viser, hvilke risici der bør prioriteres.
- Risici i blåt område kan man i princippet se bort fra.
- Risici i det grønne område skal overvåges, men risiciene anses ikke for kritiske.
- Risici placeret i det gule område skal følges tæt.
- Risici placeret i det røde område kræver øjeblikkelig handling.
Ved indplacering i risikoprofilen tages der ikke blot hensyn til det konkrete datamateriale, men ligeledes til de enkelte skadetypers konsekvens for institutionerne samt til den enkelte institutions særlige forhold.
Kilder: Risikoledelse ‐ en kommunal opgave (udgivet af Primo, januar 2008) og Kommunal risikoledelse ‐ i praksis (udgivet af Primo, april 2008) Vejledning om risikostyring i staten (udgivet af Økonomistyrelsen ‐ maj 2007
Fodnote
Toleranceniveauet er en gradbøjning af den økonomiske smertetærskel. Det vurderes derfor, hvordan en skade vil påvirke den specifikke institution – i forhold til eksempelvis drift. Universitets- og Bygningsstyrelsen arbejder på at få defineret forskellige tolerancer for forskellige institutioner, fakulteter og afdelinger. Derved kan der skabes konsistens i forhold til blandt andet størrelse. For nogle institutioner vil en skade på 50.000 kr. være ”betydelig”, mens den for en stor institution vil være ”mindre væsentlig”. Toleranceniveauet kan fastsættes ud fra budgetter, ejendomsdata eller andre risikooplysninger.