När något avviker från det normala uppstår ofta fler frågor än svar.
Det kan handla om information som har hanterats på ett oväntat sätt, en rutin som inte har följts, en behörighet som har använts fel eller en händelse där det helt enkelt är svårt att förstå vad som faktiskt har inträffat.
I det läget är det lätt att snabbt skapa sig en bild av situationen. En förklaring kan kännas självklar och en enskild händelse kan börja peka mot en viss person, process eller brist.
Men en tidig signal är inte samma sak som en slutsats.
En säkerhetsutredning handlar därför inte enbart om att hitta ett svar på frågan vad hände?. Minst lika viktigt är att förstå varför det kunde hända, vilka omständigheter som bidrog och vad organisationen behöver göra för att minska risken för att något liknande inträffar igen.
Alla avvikelser behöver inte utvecklas till omfattande utredningar.
I många fall går det snabbt att konstatera vad som har hänt och korrigera problemet inom den ordinarie verksamheten. I andra situationer är bilden mer komplex.
Det kan exempelvis finnas motstridiga uppgifter, flera personer eller system kan vara involverade eller konsekvenserna kan vara svåra att överblicka. Det kan också finnas ett behov av att i efterhand kunna visa hur organisationen har hanterat händelsen och på vilka grunder olika beslut har fattats.
Då blir en mer strukturerad utredning viktig.
Syftet är inte att göra situationen större än den är. Tvärtom handlar det om att skapa tillräcklig klarhet för att organisationen ska kunna agera på rätt grunder.
När en incident inträffar börjar människor nästan automatiskt försöka förklara den.
Det är naturligt. Problemet uppstår när den första förklaringen också börjar styra vilka frågor som ställs och vilken information som bedöms som relevant.
En väl genomförd säkerhetsutredning behöver därför skilja mellan vad som faktiskt är känt och vad som fortfarande är antaganden.
Vad har observerats? Vilken information finns dokumenterad? Vilka uppgifter kan verifieras? Finns det alternativa förklaringar till det som har inträffat?
Det är först när den faktiska bilden börjar bli tydlig som det går att göra en mer kvalificerad bedömning.
Den distinktionen är viktig. Inte minst eftersom säkerhetsrelaterade händelser ibland rör människor, ansvar och förtroende. Felaktiga eller för tidiga slutsatser kan därför få konsekvenser långt utanför själva incidenten.
En utredning riskerar att bli begränsad om den endast fokuserar på den person eller handling som ligger närmast själva händelsen.
Bakom en säkerhetsincident finns ofta flera bidragande faktorer.
En person kan exempelvis ha haft en behörighet som inte längre var nödvändig. En rutin kan ha varit otydlig. En kontroll kan ha saknats eller varit möjlig att kringgå. Arbetsbelastning, ansvarsfördelning eller bristande uppföljning kan också ha påverkat situationen.
Därför behöver en säkerhetsutredning kunna röra sig från den enskilda händelsen till den miljö där den uppstod.
Det förändrar också vilken typ av åtgärder som blir relevanta.
Om organisationen enbart korrigerar den synliga avvikelsen finns risken att samma bakomliggande förutsättningar finns kvar. Nästa gång kan incidenten se annorlunda ut, men orsaken vara densamma.
En säkerhetsutredning har begränsat värde om den slutar med en rapport som därefter arkiveras.
Det verkliga värdet uppstår när organisationen kan använda resultatet för att fatta bättre beslut.
Ibland leder en utredning till relativt konkreta förändringar, till exempel justerade behörigheter eller en förändrad rutin. I andra fall kan den visa på större behov: tydligare ansvar, bättre uppföljning, förändrade arbetssätt eller ett behov av utbildning och ökad säkerhetsmedvetenhet.
Utredningen blir på så sätt inte bara en reaktion på något som redan har hänt.
Den blir också ett sätt att identifiera svagheter som annars kanske inte hade upptäckts.
Det är en viktig skillnad mellan att hantera en incident och att faktiskt lära sig av den.
I säkerhetsrelaterade frågor kan det ibland finnas starka uppfattningar redan innan en utredning påbörjas.
Just därför är objektivitet central.
En tydlig frågeställning, strukturerad informationsinhämtning och en analys där fakta, bedömningar och slutsatser går att skilja från varandra skapar ett bättre beslutsunderlag.
Det ger också organisationen större handlingsutrymme.
När det går att förstå hur en slutsats har vuxit fram blir det enklare att avgöra vilka åtgärder som är rimliga och proportionerliga. Det blir också lättare att kommunicera resultatet till de funktioner som behöver agera vidare.
Målet med en säkerhetsutredning är därför inte alltid att hitta en enkel förklaring.
Målet är att skapa en tillräckligt tydlig bild för att organisationen ska kunna gå vidare.
Recway genomför säkerhetsutredningar när organisationer behöver skapa klarhet kring incidenter, avvikelser eller andra säkerhetsrelaterade händelser.
Arbetet anpassas efter situationens omfattning och kan innefatta informationsinhämtning, intervjuer, analys av händelseförlopp och identifiering av bakomliggande orsaker.
Utgångspunkten är att skapa ett objektivt och användbart beslutsunderlag – men också att identifiera vilka åtgärder som kan stärka organisationens säkerhet framåt.
För en säkerhetsutredning handlar i slutändan inte bara om att förstå vad som redan har hänt.
Den handlar också om att minska risken för att det händer igen.
Olof palmes gata 29 - 111 22 Stockholm
