Fyra förmågor som krävs i beredskapsstandarden SS 22306 – ”Handlar om att vara proaktiv”

Dag Sjöholm har arbetat med att ta fram en hel del standarder – och är nu aktuell i arbetet med SS 22306. Bakgrunden till behovet av en ny standard grundar sig i pandemin, krig i närliggande länder och en förändrad omvärldsbild.

Redan för några år sedan fanns standarder för bland annat riskhantering, kontinuitetshantering och informationssäkerhet. Något saknades ändå i helheten.

– Hela kakan var inte färdig. Det finns riskhantering, kontinuitetshantering och informationssäkerhet, men det var någonting som saknades. Där började man fundera på vad det var.

Arbetet har därefter ändrat inriktning. Ett tidigt fokus på näringslivets beredskap har stegvis blivit en standard för organisationers förmåga vid krigsfara och krig.

En av de svåra delarna har varit att undvika överlappningar med standarder som redan finns.

– Det får ju inte finnas några överlappningar i standarden. Det är jättesvårt när man ska placera in någonting i ett område som redan är rätt mycket använt. Med denna standards omfattning har det varit väldigt komplicerat att ta fram.

Resultatet kretsar kring fyra huvudförmågor.

1. Ledning och beslut

Den första handlar om att kunna leda verksamheten när de ordinarie förutsättningarna inte längre gäller.

– Det är förmågan att ta rätt beslut tillräckligt snabbt när den normala styrformen inte fungerar längre.

Organisationen behöver själv avgöra vilken kompetens som krävs och vem som ansvarar för de kritiska delarna.

2. Leverera när förutsättningarna förändras

Den andra förmågan är att kunna fortsätta leverera det som organisationen har åtagit sig även när normala förutsättningar försvinner.

– Hur ska man kunna fortsätta leverera när de normala förutsättningarna inte finns? Det är leveransen.

Här finns också en tydlig koppling mellan offentlig verksamhet och dess leverantörer.

Pandemin visade enligt Dag Sjöholm vad som händer när behov, produktionskapacitet och avtal inte är samordnade i förväg.

– De här tillverkarna tar en rätt stor risk om de ska kunna producera under krigsfara. Då behöver jag nästan ha ett avtal för att känna att jag ska ta den risken. Annars kommer både kunder och framför allt tillverkare stå där osäkra utan möjlighet till kvalitetssäkrade och snabba lösningar.

Standarden ska därför kunna hjälpa båda sidor.

– Jag skulle vilja kalla det en ge och ta-standard. Den är inte bara till för dem som beställer och upphandlar. Den ska också vara ett stöd för dem som tillverkar.

3. Skydda det som verksamheten behöver

Den tredje förmågan handlar om skydd.

– Hur ska man kunna skydda så att verksamheten kan fortsätta?

Vad som behöver skyddas beror på verksamheten. Det kan handla om anläggningar, utrustning, information, kompetens eller leverantörskedjor.

Arbetet ska samtidigt vara systematiskt och återkommande. Dag Sjöholm jämför med arbetssättet i andra ledningssystem, där organisationen identifierar vad som är viktigt, vidtar åtgärder och sedan följer upp dem.

– Man får se det i ett Plan-Do-Check-Act-perspektiv. Vad är viktigt för oss? Vad ska vi skydda? Vad ska vi kunna reparera? Sedan snurrar man de här frågorna hela tiden med ständig förbättring som förutsättning.

4. Återställa och ersätta det som slås ut

Skyddet kommer inte alltid att räcka. Den fjärde förmågan handlar därför om vad organisationen gör när något redan har skadats eller slagits ut.

– När man flyttar fokus från skydd till återhämtning blir frågan: Hur snabbt kan vi återställa eller ersätta det som har skadats?

Det kan också kräva samarbeten långt utanför den egna organisationen.

RISE planerar själv att testa standarden i den egna verksamheten. Dag Sjöholm beskriver hur institutets möjlighet att kvalitetssäkra samhällsviktiga produkter kan vara beroende av utrustning eller kompetens hos exempelvis andra forskningsaktörer och leverantörer.

– Vi kanske inte ens löser vissa saker i Sverige. Då måste man dra gränsen någonstans. Kan man från början säga att det åtminstone är Norden? Det är rätt komplext. Kanske något om leverantörskedjorna i denna text, och då för att förstå komplexiteten bättre.

Övning blir också en viktig del.

– Ledningen ska ha sin förmåga. Man ska ha utsett någon som har ansvar för de viktiga delarna och har rätt kompetens. Övning är ett särskilt område i standarden.

Organisationerna avgör själva vilka roller och kompetenser som behövs. Ansvar, kompetens och övning ska finnas på plats.

Kan bli ett krav i upphandlingar

Standarden är tänkt att fungera för både stora och små organisationer. Under arbetet diskuterades om kravnivån skulle variera beroende på företagens storlek.

Den idén övergavs.

– De här förmågorna behöver finnas i alla bolag. Sedan behöver man kanske inte ha lika mycket runt omkring om man är tre personer som om man är 10 000. Kraven behöver man uppfylla, men hur mycket man behöver göra kan se olika ut.

En av de stora praktiska konsekvenserna kan i stället komma genom upphandlingar.

En myndighet, kommun eller region ska kunna ställa krav på att en kritisk leverantör klarar att leverera även under krigsfara och krig. Leverantören behöver i sin tur kunna visa att de efterfrågade förmågorna finns.

– Det är förmågorna i handskakningen egentligen. De offentliga behöver upphandla tidigare så att man kan känna att verksamheten kommer att fungera även i krig.

Standardens krav ska också bli möjliga att certifiera mot.

– Då kan den som upphandlar känna att de här är certifierade, de har förmågorna inom ledning, ledning, skydd och återställning. Det är kärnan i standarden.