§ 4-2. Risikovurdering i sikkerhetsarbeidet

Paragrafen krever at virksomheten gjør risikovurderinger. Det er ikke en engangsjobb: vurderingen skal gjøres regelmessig. Formålet er praktisk. Resultatet skal brukes som grunnlag for å velge hvilke forebyggende sikkerhetstiltak virksomheten setter i gang. Vurderingen skal altså få konsekvenser for hvilke tiltak virksomheten velger. Eksempel: En virksomhet vurderer risikoen og ser at en svakhet krever tiltak. Tiltaket skal da velges på bakgrunn av vurderingen, ikke ved siden av den.

Vurderingen skal også kartlegge (systematisk finne ut) hvilke andre virksomheter den er avhengig av. Det gjelder virksomheter som må fungere for at egen drift skal gå som normalt. Sårbarheten kan altså ligge utenfor egen organisasjon. Eksempel: Hvis en virksomhet ikke kan drive uten tjenester fra en annen virksomhet, hører den andre med i kartleggingen.

Risikovurderingen er ikke ferdig når den er skrevet. Den skal gås gjennom jevnlig og revideres (oppdateres) om det er nødvendig. Vurderingen skal altså holdes oppdatert over tid. Tilsynsmyndigheten har en egen plikt til å gi råd og veiledning i arbeidet, men bare når virksomheten ber om det.

Paragrafen er andre trinn i kapittel 4. § 4-1 legger ansvaret for sikkerhetsarbeidet på lederen og krever at sikkerhet er en del av styringssystemet. § 4-3 tar over der vurderingen slutter, og krever at virksomheten gjennomfører tiltakene som gir et forsvarlig sikkerhetsnivå. § 4-4 krever at både risikovurderingen og tiltakene dokumenteres. Sist kommer § 4-5, om varsling straks ved sikkerhetstruende virksomhet og alvorlige brudd på sikkerhetskrav.

Kongen kan gi forskrift om hvordan risikovurderingen skal gjennomføres, og slike regler kan gjøre kravene mer konkrete.