Mangelfullt risikoreduksjonsprinsipp utover interne akseptkriterier
Beskrivelse
Selskapet hadde mangelfull implementering av risikoreduksjon så langt det er mulig.
Begrunnelse
Equinors arbeidsprosess «RM100 – Manage risk» beskrev en standardisert risikomatrise
for storulykkesrisiko, med fargene rødt, oransje, gult og grønt. RM100 beskrev at for
risiko i gul sone skal ALARP eller andre relevante prinsipper anvendes, og at i den
grønne sonen er risiko generelt tolererbart. Denne tolkningen ble også benyttet i
risikostyring av brønnintervensjoner og i drift og vedlikehold av brønner.
Men i regelverket skal risiko reduseres så langt det er mulig, og dette kravet gjelder
uansett hvilket risikonivå som har blitt estimert. Bakgrunnen for dette kravet er blant
annet at:
• Kontinuerlig forbedring anses som et sentralt prinsipp for å fremme en god
HMS-kultur.
• Estimerte risikonivå kan ha betydelige usikkerheter, samtidig som estimatene
ofte baserer seg på mange forutsetninger.
• Enkelte tiltak rettet mot aspekter som har lave estimerte risikonivå kan være
billige, ha god effekt på sannsynlighet, konsekvens eller robusthet. Det er ikke
noen motsetning mellom regelverkskravet om å redusere risiko så langt som
mulig, og å ta hensyn til eventuelle misforhold mellom tiltakenes kostnader og
den risikoreduksjon som oppnås.
Selskapet beskrev i intervjuer at i praksis vil ikke all risikoreduksjon stoppe selv om en
risiko er i grønn sone. Men på den andre siden var det heller ingen systematikk i å
redusere risikoen så langt som mulig.
Hjemmel
Henvisning til annet regelverk
Rammeforskriften § 11 om prinsipper for risikoreduksjon, første ledd
Mangler ved risikoanalyser i vanninjeksjonsbrønner i driftsfasen
Beskrivelse
Equinor hadde ikke dokumentert at risikoanalysen gir et helhetlig og nyansert bilde av
risikoen forbundet med injeksjon av vann i brønner i driftsfasen. Risikoanalysene
identifiserte og vurderte ikke hva som kan bidra til storulykkesrisiko ved vanninjeksjon
i brønner, og viste ikke hvilken effekt injeksjon av vann har på storulykkesrisikoen i
denne fasen av brønnens livssyklus.
Begrunnelse
Fare- og ulykkessituasjoner, hendelser og konsekvenser knyttet til
vanninjeksjonsbrønner under drift var ikke tilstrekkelig identifisert og vurdert i Equinor
sine risikoanalyser.
Den anvendte risikomatrisen (DW1100-risikomatrisen) la ikke til rette for vurdering av
konsekvenser som er relevante for denne typen brønner, og det var uklart hvordan
storulykkesrisiko var vurdert i denne sammenhengen. Det var ikke dokumentert at
storulykkesrisiko forbundet med vanninjeksjon i brønner har vært en del av
vurderingsgrunnlaget ved utforming av DW1100-risikomatrisen.
Equinor kunne ikke dokumentere at det foreligger beskrivelse for hvilke storulykker
som kan inntreffe ved vanninjeksjonsbrønner i driftsfasen, eller hvilke konsekvenser
slike hendelser kan medføre, jf. NORSOK Z-013. Konsekvensbeskrivelsene knyttet til
brønnintegritet i DW1100-risikomatrisen ga ikke grunnlag for en helhetlig vurdering
av risikoen ved vanninjeksjon. Injeksjon ut av sone eller induserte seismiske aktiviteter
er eksempler av hendelser som ikke var reflektert i konsekvenskategoriene. I flere
intervjuer ble det beskrevet at det ikke foreligger en tydelig vurdering av
konsekvensene knyttet til vanninjeksjon i brønner i drift i DW1100-risikomatrisen.
Hjemmel
Mangler ved oppfølging av elementer i eget styringssystem
Beskrivelse
Equinor hadde ikke fulgt opp at alle elementene i eget styringssystem fungerte etter
hensikten for styring av risiko, og styring av risiko forbundet med intervensjon av
brønner, samt drift og vedlikehold av brønner. Equinor hadde ikke sikret at det var
samsvar mellom egne krav
Begrunnelse
De skriftlige svarene fra Equinor viste at det ikke var utført systemrevisjoner,
ledelsesgjennomganger eller internverifikasjoner av etterlevelse av selskapets krav til
risikostyring (RM100) i DW400- og DW1100-prosessene. Under tilsyn kom det frem at
selskapet ikke hadde planer for egen verifikasjon for å avdekke svakheter, feil og
mangler i styringen av risiko (RM100) ved intervensjon (DW400), drift og vedlikehold
av brønner (DW1100). I flere intervjuer ble det beskrevet at kravene for risikostyring i
disse prosessene er utarbeidet i samråd med selskapets risikostyringsmiljø. Likevel
hadde Equinor ikke gjort rede for hvordan etterlevelse er verifisert i praksis. Selskapet
hadde vist til en intern verifikasjon av DW1100 styrende dokumenter på to
innretninger. Denne verifikasjonen dekket imidlertid ikke det aktuelle temaet for
tilsynet, og belyste ikke hvordan krav til risikostyring i RM100 faktisk etterleves i
DW1100.
Det ble ikke dokumentert at det er gjennomført analyser eller revisjoner av hvordan
risikomatriser i DW400 og DW1100 samsvarer. Under intervjuene ble det beskrevet at
det er gjort en sammenligning mellom risikomatriser i DW400 og RM100, men en
tilsvarende vurdering mellom DW1100 og RM100 var ikke gjennomført.
Equinor kunne ikke gjøre rede for hvordan de styrende dokumentene for intervensjon
(DW400) og drift og vedlikehold (DW1100) etterlever funksjonskrav for boring og
brønn (FR03). Det var ikke dokumentert hvordan selskapets styrende dokument for
risikostyring (RM100) etterlever funksjonskrav for risikostyring (FR08) og krav til
sikkerhet og sikring (FR10). Videre hadde selskapet ikke vist hvordan kravene i RM100
samsvarer med den anerkjente normen NORSOK Z-013 om risikoanalyse og
beredskapsanalyse (jfr. styringsforskriften § 17 og jfr. rammeforskriften § 24).
Det ble ikke dokumentert at Equinor har verifisert hvordan innholdet i fasilitatorkurset
for boring og brønn samsvarer med kravene i RM100.
Det ble videre observert at det i styrende dokumentasjon er en blanding av språkbruk
som indikerer både krav og anbefaling i samme informasjonsledd. Dette gjelder for
eksempel i styrende dokumenter RM100, DW1100.04, DW1100.05, DW1100.06,
DW1100.08, DW1100.11, og DW1100.12.
Samlet sett viser funnene at selskapet ikke hadde etablert eller gjennomført
systematisk oppfølging for å sikre at egne direktiver (FR03, FR08, FR10) og interne
styrende dokumenter (DW400, DW1100, RM100) ble etterlevd og fungerte etter
hensikten.
Hjemmel