Resiliens – hva er det og hvordan kan det integreres i risikostyring?

Abstract

FFI har fått i oppdrag fra Justis- og beredskapsdepartementet å studere mulige metoder for å kartlegge tverrsektorielle sårbarheter i kritiske samfunnsfunksjoner. Denne studien er et bidrag i dette arbeidet, med vekt på begrepet «resiliens».

Problemstillingen for studien har vært: Hvordan kan resiliens integreres i – og eventuelt styrke – helhetlig risikostyring? Gjennom en omfattende litteraturgjennomgang har FFI kartlagt ulike definisjoner og operasjonaliseringer av resiliensbegrepet. I tillegg har vi gjennomgått studier der det gjøres forsøk på å kombinere resiliens- og risikovurdering.

Resiliens er definert og forstått på ulike måter, og begrepet brukes innenfor flere fagdisipliner. Felles for definisjonene er at de omhandler et systems evne til å opprettholde sine funksjoner til tross for at det utsettes for stress og påkjenninger, at de inneholder et læringselement og at de har et bredt tidsperspektiv. Formålet med økt resiliens er å håndtere både kjente og ukjente farer og trusler som kan ramme et system eller en funksjon.

FFI ser verdien i ulike definisjoner for ulike formål og vurderer det ikke som hensiktsmessig med én felles definisjon av resiliensbegrepet. Imidlertid konkluderer FFI med at det er nødvendig med en tydelig beskrivelse av hva som legges i begrepet og hvordan det forstås når det benyttes for ulike formål. Det anbefales at begrepet resiliens brukes på norsk, og at det ikke oversettes med robusthet og motstandsdyktighet. Årsaken til dette er at disse begrepene ikke er dekkende for hva som inngår i resiliensbegrepet.

Resiliens ses gjerne i sammenheng med risiko. For at resiliens skal kunne integreres i risikostyring bør dette ha utgangspunkt i et alternativt risikoperspektiv. Perspektivet kjennetegnes ved kunnskapsbaserte risikovurderinger, og at ikke-spesifiserte – så vel som spesifiserte – risikokilder inkluderes.

Gjennomgangen av forsøkene på å benytte resiliens i risikovurderinger har ikke gitt noe enhetlig svar på hvordan dette kan gjennomføres for de kritiske samfunnsfunksjonene. Den metodikken som er studert er i stor grad i startfasen, med få konkrete eksempler. Likevel er det enkelte elementer som FFI har vurdert som hensiktsmessige å ta med videre. For eksempel vil resiliens bidra til å inkludere kjente, men også nye og ukjente risikoer. Videre omfatter resiliens også et bredt tidsperspektiv der det legges vekt på å være forberedt på uønskede hendelser, hvordan et system skal tilpasse seg til, og opprettholde, funksjoner i løpet av en hendelse og raskt gjenopprette tapte funksjoner i etterkant av en hendelse.

Hvis resiliens skal integreres med risikostyring og i arbeidet med å kartlegge tverrsektorielle sårbarheter i kritiske samfunnsfunksjoner, er det behov for avklaringer om hvordan begrepet skal forstås og operasjonaliseres i en slik kontekst. FFI anbefaler at metoden ICI-REF fra IMPROVER-prosjektet utforskes nærmere.

FFI has been tasked by the Ministry of Justice and Public Security to study methods for identifying cross-sectoral vulnerabilities in critical societal functions. This study is a contribution to this work, with emphasis on the term "resilience".

The main research question for this study has been: How can resilience be integrated into - and possibly strengthen - holistic risk management? Through a comprehensive literature review, FFI has examined various definitions and operationalisations of the concept resilience. In addition, various studies that attempt to combine resilience and risk assessment have been reviewed.

Findings from this study show that resilience is defined and understood in different ways, and the term is used within several disciplines. Common for the definitions are that they describe a systems ability to adapt so it can maintain its functionality despite being subjected to stress or impact. In addition, a long time perspective and the ability to learn apply to several of the descriptions.

FFI acknowledges the value in different definitions for different purposes and does not consider it expedient to define one common definition of the resilience concept. However, FFI conclude that it is necessary to describe clearly what is included in the concept and how to understand the term, when used for different purposes.

Resilience is often considered in relation to risk. In order to integrate resilience into risk management, one should apply an alternative risk perspective, with use of knowledge-based risk assessments that include both known and unknown factors.

The review of the attempts to apply resilience within risk assessments has not given a uniform answer to how to apply this for the critical societal functions. The methodology is largely in the initial phase, with few concrete examples. Nevertheless, there are some elements that FFI has considered appropriate to further include. For example, resilience will contribute to the inclusion of known, but also new and unknown risks. Furthermore, resilience also encompasses a broad time perspective where being prepared for unwanted events, how a system should adapt to and maintain functions during an event, and quickly recovering lost functions after an event is emphasised.

If resilience is to be integrated with risk management and in the work of identifying cross-sectoral vulnerabilities for critical societal functions, there is a need for clarifications regarding how the concept is to be understood and operationalised in such a context. The ICI-REF method from IMPROVER is recommended as a starting point for further studies on how to implement resilience in risk management for critical societal functions.