Krisberedskap på en arbetsplats bygger ni bäst som ett återkommande arbetsflöde, inte som ett dokument som skrivs en gång och sedan läggs i en pärm. Arbetet går i fyra faser. Först startar ni upp och klargör uppdrag och mandat. Sedan analyserar ni verksamhetskritiska processer och risker, därefter åtgärdar ni brister och tar fram en krisplan, och till sist utbildar och övar ni personalen. Enligt MSB:s stöd för verksamhetsansvariga omfattar ett sådant arbetsflöde en uppstartsfas, en analysfas, en åtgärdsfas och en genomförandefas med utbildning och övning. I den här guiden går vi igenom varje steg, vilka beslut som behöver fattas och vem som bör vara involverad, så att HR, utbildningsansvariga och företagsledare kan planera arbetet konkret.
Kort sagt
- Krisberedskap är organisationens förmåga att före, under och efter en kris förebygga, motstå och hantera extraordinära händelser.
- Börja med uppdrag och kritisk verksamhet: vad måste fungera, och vilka resurser är det beroende av?
- En risk- och sårbarhetsanalys visar vilka risker som är oacceptabla och vilka åtgärder som ska prioriteras omgående.
- Krisplanen ska ange krisledning, mandat, ansvar, kommunikation, krisstöd och personalhantering.
- Beredskapen blir verklig först när den övas, följs upp och förbättras efter varje övning och inträffad händelse.
Innehållsförteckning
- Vad krisberedskap innebär för en arbetsplats
- Arbetsflödet i överblick
- Steg för steg: från uppdrag till uppdaterad plan
- Ansvar och regler för arbetsgivare i Sverige
- Vårt perspektiv: beredskap är en kompetensfråga
- Utbildning som stärker er krisberedskap
- Vanliga frågor om krisberedskap på arbetsplatsen
- Källor
Vad krisberedskap innebär för en arbetsplats
Krisberedskap handlar om att verksamheten ska kunna fortsätta, eller återupptas snabbt, när något allvarligt inträffar. Det kan gälla en brand, ett längre strömavbrott, ett it-angrepp, en allvarlig olycka, ett hot mot personalen, en pandemi eller ett avbrott hos en kritisk leverantör. Gemensamt för dessa händelser är att de kräver beslut som inte ryms i den ordinarie linjeorganisationen.
I MSB:s vägledning för verksamhetsansvariga beskrivs krisberedskap som förmågan att före, under och efter en kris förebygga, motstå och hantera extraordinära händelser. Det innebär att beredskapen har tre tidsdimensioner:
- Före: analys, planering, utbildning och övning.
- Under: krisledning, kommunikation, krisstöd och reservrutiner.
- Efter: återgång till normal drift, utvärdering och förbättring av planen.
Tre närliggande begrepp brukar blandas ihop. Riskhantering hanterar osäkerheter som påverkar organisationens mål och är en del av den strategiska styrningen. Kontinuitetshantering fokuserar operativt på den kritiska verksamheten och dess beroenden. Den skillnaden beskrivs tydligt i FSPOS vägledning för kontinuitetshantering, som också betonar att effektiv incidenthantering kan hindra en händelse från att utvecklas till en kris. Krisledning tar vid när händelsen kräver särskild kompetens och tillräckliga mandat på strategisk nivå. En fungerande krisberedskap knyter ihop alla tre. Vill ni fördjupa er i grunderna finns vår artikel om krishantering i arbetsmiljön.
Arbetsflödet i överblick
Tabellen sammanfattar de fyra faserna och de åtta stegen som beskrivs nedan. Den kan användas som checklista i en projektplan.
| Fas | Steg | Resultat | Vem leder |
|---|---|---|---|
| Uppstart | 1. Uppdrag, mandat och arbetsgrupp | Beslut från ledningen, utsedd ansvarig | Företagsledning |
| Analys | 2. Kritisk verksamhet och beroenden | Lista över kritiska processer och resurser | Verksamhetsansvariga |
| Analys | 3. Risk- och sårbarhetsanalys | Prioriterade risker, inklusive oacceptabla | Arbetsgrupp med skyddsombud |
| Åtgärd | 4. Åtgärdsplan | Omedelbara och långsiktiga åtgärder | Ansvarig chef |
| Åtgärd | 5. Krisplan med roller och mandat | Krisledning, ansvar, larmkedja | Ledning och HR |
| Åtgärd | 6. Kommunikation, personal och kontinuitet | Kommunikationsrutiner, krisstöd, reservrutiner | HR och kommunikation |
| Genomförande | 7. Utbildning och övning | Utbildad personal, övningsrapport | Utbildningsansvarig |
| Genomförande | 8. Återgång och lärande | Uppdaterad plan | Krisledning |
Steg för steg: från uppdrag till uppdaterad plan
1. Fastställ uppdrag, mandat och arbetsgrupp
Arbetet börjar med en tydlig fråga: vad är verksamhetens uppdrag, och vad måste fortsätta fungera även under en kris? Livsmedelsverkets steg-för-steg-guide för beredskapsarbete rekommenderar att man inleder med att kartlägga organisationens uppdrag och mandat, för att förstå vad som måste fungera och vilka resurser som behövs. Principen gäller lika väl för ett tillverkande företag, ett tjänsteföretag eller en offentlig förvaltning.
I uppstartsfasen bör ledningen fatta ett formellt beslut om att arbetet ska genomföras, utse en ansvarig och avsätta tid. Sätt samman en arbetsgrupp med representanter för de funktioner som berörs. MSB:s vägledning om scenariospecifika beredskapsplaner framhåller att de som ska utföra aktiviteterna bör involveras i planeringen, eftersom det tydliggör roller och kan synliggöra målkonflikter. Bred delaktighet bidrar dessutom till kvalitet, förståelse och acceptans. I praktiken innebär det att skyddsombud, produktionsansvariga, it, fastighet och HR bör finnas med från början.
2. Kartlägg kritisk verksamhet och beroenden
Nästa steg är att identifiera vilka processer som är verksamhetskritiska, det vill säga de som snabbt orsakar allvarlig skada om de avbryts. Därefter kartläggs deras resursberoenden: personal med särskild kompetens, lokaler, el, värme, it-system, telefoni, transporter, leverantörer och nyckelkunder.
Enligt FSPOS utgår kontinuitetshantering från kunskap om den kritiska verksamheten, dess beroenden och konsekvenserna av avbrott. Ställ därför tre frågor för varje process:
- Hur länge kan processen ligga nere innan konsekvenserna blir oacceptabla?
- Vilka personer, system och leverantörer är den beroende av?
- Finns det en reservlösning i dag, och är den prövad?
Resultatet blir en prioriterad lista som styr resten av arbetet. Den behöver inte vara lång. För många mindre företag handlar det om fem till tio processer.
3. Genomför en risk- och sårbarhetsanalys
Med kartan över kritisk verksamhet som grund gör arbetsgruppen en risk- och sårbarhetsanalys. Syftet är att identifiera vilka händelser som kan slå ut de kritiska processerna, hur sannolika de är och hur allvarliga konsekvenserna blir. MSB:s verktyg för verksamhetsansvariga beskriver hur analysen ska peka ut oacceptabla risker, alltså risker som kräver åtgärd oavsett kostnad eller besvär.
MSB:s vägledning för arbete med riskhantering betonar att riskhantering bör vara en integrerad, dynamisk och systematisk del av beredskapsarbetet, inte en fristående övning. Det betyder att analysen behöver uppdateras när verksamheten förändras: vid omorganisation, flytt, nya system eller nya leverantörer. Konkreta mallar och metoder finns i vår guide med exempel på riskanalyser, och hur riskanalysen passar in i styrningen beskrivs i artikeln om riskanalysernas roll för svenska företag.
Glöm inte de organisatoriska riskerna. Otydliga roller, hög arbetsbelastning och beroende av enskilda nyckelpersoner gör en organisation sårbar långt innan något yttre inträffar. Läs mer om organisatoriska risker i arbetsmiljön.
4. Ta fram en åtgärdsplan
Analysen leder sällan till att allt kan åtgärdas på en gång. Livsmedelsverkets guide rekommenderar att åtgärdsplanen prioriterar de åtgärder som behöver genomföras omgående och innehåller en långsiktig plan för övriga brister. Varje åtgärd bör ha en ansvarig, en tidpunkt och en uppföljning.
Typiska omedelbara åtgärder är att säkra en uppdaterad kontaktlista, ordna en reservväg för kommunikation, dokumentera hur kritiska system startas om och utse ersättare för nyckelpersoner. Långsiktiga åtgärder kan vara att avtala om alternativa lokaler, skapa redundans i it-miljön eller sprida kompetens så att färre funktioner hänger på en enskild person.
5. Skriv krisplanen med roller och beslutsmandat
Krisplanen är det dokument som används när något händer, och den måste därför vara kort, tydlig och lätt att hitta. Enligt MSB:s verktyg bör planen sammanställa information om krisledning, krishanteringsorganisation, mandat, ansvar, krisstödsrutiner och personalhantering. En praktisk disposition är:
- Aktivering: vilka händelser som utlöser planen och vem som får aktivera den.
- Krisledning: vem som leder, vem som ersätter och vilka beslut krisledningen får fatta utan att gå via ordinarie beslutsvägar.
- Roller: ansvarig för kommunikation, personal och krisstöd, logistik, it och dokumentation.
- Larm- och kontaktlista: interna nyckelpersoner, räddningstjänst, företagshälsovård, leverantörer och viktiga kunder.
- Rutiner: evakuering, första hjälpen, krisstöd, reservrutiner för kritisk verksamhet.
- Avslut och återgång: när krisen förklaras över och hur återgången sker.
Mandatfrågan är den som oftast brister. Den som leder krisarbetet behöver ha rätt att fatta beslut om exempelvis inköp, stängning av lokaler eller omfördelning av personal. Om mandatet inte är skrivet i förväg uppstår förseningar just när tiden är som mest begränsad.
För större organisationer kan det vara klokt att se krisplanen som en ram. En gemensam katastrof- och nödlägesplan kan samla kontinuitetsplaner, återstartsplaner och kriskommunikationsplaner under ett ramverk, vilket beskrivs i Istanbuls guvernörskaps planeringsguide för arbetsplatser. Samma logik går att tillämpa i mindre skala på specifika scenarier, till exempel i form av en enkel reservplan vid väderstörningar som kopplas till huvudplanen. En utförlig mall finns i vår artikel om att skapa en krisplan steg för steg.
6. Ordna kommunikation, personalens säkerhet och kontinuitet
Under en kris är det kommunikationen som avgör om planen fungerar. Planen bör beskriva:
- Intern kommunikation: hur personalen nås även utan ordinarie it-system, till exempel via sms-lista eller telefonkedja, och vem som får uttala sig internt.
- Extern kommunikation: en utsedd talesperson, godkännandeordning för information till kunder, media och myndigheter, samt förberedda budskap för de mest sannolika scenarierna.
- Personalens säkerhet: evakueringsrutiner, återsamlingsplats, kontroll av att alla är i säkerhet och rutiner för anhörigkontakt.
- Krisstöd: vem som ger första psykosociala stöd, hur företagshälsovården kopplas in och hur uppföljning sker veckorna efter.
- Kontinuitet: reservrutiner för varje kritisk process, alternativ arbetsplats och möjlighet till distansarbete.
Planeringen bör också undersöka möjligheterna till samarbete med andra organisationer vid en kris, vilket framhålls i den turkiska planeringsguiden. För ett svenskt företag kan det handla om grannföretag i samma fastighet, fastighetsägaren, leverantörer eller branschkollegor som kan bistå med lokaler eller utrustning.
7. Utbilda och öva
En plan som ingen känner till fungerar inte. MSB:s verktyg beskriver att genomförandefasen omfattar utbildning och övning, från storskaliga övningar till enklare rundabordsövningar, och att övningar ofta visar behov av förbättringsåtgärder. Ett rimligt upplägg för de flesta arbetsplatser är:
- Introduktion: alla nyanställda får veta var planen finns, vad de ska göra vid larm och vem de kontaktar.
- Rollutbildning: krisledning och chefer utbildas i sina specifika uppgifter, mandat och arbetsmiljöansvar.
- Rundabordsövning: krisledningen går igenom ett scenario muntligt, steg för steg, och prövar beslut och kommunikation.
- Praktisk övning: utrymning, larmkedja eller återstart av ett kritiskt system prövas på riktigt.
Välj scenarier från er egen risk- och sårbarhetsanalys, så att övningarna prövar de händelser som faktiskt är mest sannolika eller allvarligast. Dokumentera vad som fungerade och vad som inte gjorde det. Fördelarna med att upprepa utbildningen regelbundet beskriver vi i artikeln om återkommande utbildningar för företag.
8. Återgå till normal drift och använd erfarenheterna
När den akuta fasen är över börjar återgången. MSB:s vägledning beskriver att reserv- och återgångsrutiner bör aktiveras för att upprätthålla kritisk verksamhet och snabbt återgå till normal verksamhet, och att erfarenheter från inträffade händelser bör dokumenteras och användas i förbättringsarbetet.
Genomför en strukturerad utvärdering inom några veckor efter händelsen eller övningen. Frågor att ställa är vad som hände, vilka beslut som fattades och när, vad som fungerade, vad som brast och vilka ändringar som ska göras i planen. Fördela åtgärderna med ansvarig och tidpunkt, precis som i steg 4. Därmed sluts cirkeln och arbetsflödet börjar om, nu med bättre underlag. Att löpande uppdatera riskbilden beskriver vi även i artikeln om kontinuerliga riskbedömningar.
Ansvar och regler för arbetsgivare i Sverige
I Sverige är arbetsgivaren ansvarig för arbetsmiljön, och krisberedskap som berör personalens säkerhet och hälsa hör därför naturligt hemma i det systematiska arbetsmiljöarbetet. Det gäller till exempel rutiner för första hjälpen, krisstöd och hantering av allvarliga händelser. Vilka exakta krav som gäller för just er verksamhet framgår av Arbetsmiljöverkets föreskrifter, och kraven kan skilja sig mellan branscher. Kontrollera därför den aktuella lydelsen hos Arbetsmiljöverket innan ni fastställer rutinerna, och involvera skyddsombud och företagshälsovård.
Den som i praktiken ska leda krisarbetet behöver ha arbetsmiljöuppgifterna tydligt fördelade och tillräckliga kunskaper för att utföra dem. Hur ansvaret fördelas och vad det innebär för chefer beskriver vi i guiden om skyddsansvar i arbetsmiljön.
Internationellt ser regelverken olika ut. I Turkiet ansvarar arbetsgivaren exempelvis för att anlita experter för arbete med katastrofer och nödsituationer på arbetsplatsen, enligt den planeringsguide som Istanbuls guvernörskap har gett ut. För organisationer med verksamhet i flera länder är det därför viktigt att den gemensamma krisplanen kompletteras med de krav som gäller i respektive land.
Vårt perspektiv: beredskap är en kompetensfråga
Vi möter ofta organisationer som har en krisplan men saknar en beredskap. Planen finns i intranätet, men cheferna vet inte vilket mandat de har, nyanställda har aldrig fått en genomgång och den senaste övningen ligger flera år tillbaka. Det är inte dokumentet som brister, utan kunskapen hos dem som ska använda det.
Därför anser vi att steg 7 i arbetsflödet är det som avgör om de övriga stegen ger effekt. Chefer och skyddsombud behöver förstå arbetsmiljöansvaret, riskbedömningens logik och sin egen roll när något händer. Den kunskapen behöver dessutom nå alla, även skiftarbetande, deltidsanställda och personal på andra orter, och den behöver kunna friskas upp när personal byts ut.
Det är här distansutbildning gör skillnad. När utbildningen kan genomföras oavsett tid och plats, på svenska eller engelska, blir det realistiskt att ge hela organisationen samma grund och att följa upp vem som har genomfört den. Kursintyg efter godkänd examination ger dessutom dokumentation som är användbar i det systematiska arbetsmiljöarbetet. Vi rekommenderar att utbildningen planeras in i samma årscykel som övningar och uppdatering av krisplanen, så att kunskap, plan och praktik följs åt.
— MIkael
Utbildning som stärker er krisberedskap
Vi erbjuder arbetsmiljöutbildningar helt på distans, med tillgång till materialet i 180 dagar och språkversioner på svenska och engelska. Alla utbildningar leder till kursintyg efter genomförd och godkänd examination. För chefer som ska kunna leda och fatta beslut i en kris passar Arbetsmiljö för chefer, och för chefer och skyddsombud som arbetar tillsammans med riskbedömning finns BAM-utbildning på distans. Behöver ni ett upplägg anpassat efter er verksamhet och era risker, se våra företagsanpassade arbetsmiljöutbildningar.
Vanliga frågor om krisberedskap på arbetsplatsen
Hur ofta bör krisplanen uppdateras?
Planen bör ses över regelbundet, lämpligen i en fast årscykel, och alltid efter en övning, en inträffad händelse eller en större förändring i verksamheten. Kontaktlistor behöver kontrolleras oftare, eftersom de snabbt blir inaktuella. Koppla översynen till uppdateringen av risk- och sårbarhetsanalysen.
Vem bör ingå i krisledningen?
Krisledningen bör bestå av personer med mandat att fatta strategiska beslut, oftast företagsledningen eller delar av den, kompletterad med ansvariga för kommunikation, personal och kritisk verksamhet. Varje roll bör ha en utsedd ersättare. I mindre företag kan krisledningen bestå av två eller tre personer.
Vad är skillnaden mellan krisplan och kontinuitetsplan?
Krisplanen beskriver hur organisationen leder och kommunicerar under en kris, medan kontinuitetsplanen beskriver hur specifika kritiska processer upprätthålls eller återstartas vid avbrott. Kontinuitetsplanerna kan med fördel samlas under krisplanen som ett gemensamt ramverk. Båda bygger på samma analys av kritisk verksamhet och risker.
Hur kommer ett mindre företag i gång?
Börja med en förenklad version av arbetsflödet: lista de fem viktigaste processerna, identifiera vad som kan slå ut dem och skriv en kort plan med krisledning, kontaktlista och reservrutiner. Genomför därefter en rundabordsövning med ledningen. Det ger snabbt en fungerande grund som kan byggas ut över tid.
Källor
- MSB: Verktyg som stöd för verksamhetsansvariga i planeringen
- FSPOS: Vägledning för kontinuitetshantering
- Livsmedelsverket: Steg för steg i beredskapsarbetet
- MSB: Scenariospecifika beredskapsplaner
- MSB: Vägledning för arbete med riskhantering
- Istanbuls guvernörskap: Planeringsguide för arbetsplatser vid katastrofer
- Reservplan vid väderstörningar