Sådan laver du en proces for risikovurdering

Sådan fungerer det

1. Skriv skalaerne og appetitten ned

   Definér niveauerne for sandsynlighed og konsekvens i konkrete termer — kroner, nedetid, skade, myndighedsmæssig konsekvens — og angiv den grænse, hvorover en risiko skal håndteres frem for accepteres. Kriterier, der kun står i et politikdokument, bliver gengivet efter hukommelsen, og det er sådan, to vurderende når frem til forskellige scorer ud fra de samme fakta.

2. Identificér sammen med dem, der udfører arbejdet

   Kør identifikationen som en gruppeøvelse med driftsmedarbejdere, suppleret af hændelses- og audithistorik. Identifikation udført alene ved et skrivebord overser de risici, kun praktikere kan se, og ingen omhyggelig scoring bagefter kan kompensere for en risiko, der aldrig blev skrevet ned.

3. Håndhæv formatet årsag, hændelse og konsekvens

   Skriv hver post om til »X kan udløse Y, hvilket fører til Z«. De fleste registre skrumper, når man gør det, for flere poster viser sig at være den samme risiko set fra hver sin vinkel — og de, der bliver tilbage, bliver vurderbare.

4. Score den iboende risiko, før kontrollerne får æren

   Hold de to scorer som hvert sit trin. Bedøm derefter kontrollernes design og faktiske udførelse hver for sig, for en velbygget kontrol, ingen udfører, er intet værd, og et register, der antager noget andet, er optimistisk på en måde, I ikke kan se.

5. Fastlæg godkendelsesniveauet for accept

   Skriv ned, hvem der må acceptere en risiko i hvert scoreinterval, og kræv, at accepten registreres på en navngiven person. Netop den ene regel er det, der forhindrer registret i at fyldes med risici, der blev accepteret af sig selv, fordi ingen havde tid til at håndtere dem.

6. Giv hver post en ejer og en revurderingsudløser

   En navngiven risikoejer — ikke en afdeling — og en revurderingsdato på posten, plus udløsere: en hændelse, et leverandørskifte, et nyt system, et auditfund. Et register, der kun gennemgås årligt, er en beskrivelse af sidste år.

Ofte stillede spørgsmål

Hvilke trin består en risikovurdering af?

Fastlæg afgrænsning og kriterier, identificér risici, beskriv hver enkelt som årsag, hændelse og konsekvens, analysér sandsynlighed og konsekvens, hold restrisikoen op mod appetitten, vælg en håndtering, og udpeg en ejer og en revurderingsdato. ISO 31000 samler identifikation, analyse og evaluering under risikovurdering, med håndteringen som det efterfølgende trin. Rækkefølgen er det, der gør resultaterne sammenlignelige: kriterier før scoring, beskrivelse før analyse, evaluering før nogen foreslår kontroller.

Hvad er forskellen på iboende risiko og restrisiko?

Iboende risiko er eksponeringen, før de eksisterende kontroller tælles med; restrisikoen er det, der er tilbage efter dem. At score begge gør kontrollerne synlige — en risiko med høj iboende og lav restscore holdes nede af noget helt bestemt, og er det noget en enkelt manuel kontrol udført af én person, er det værd at vide, før vedkommende siger op. Registre, der kun noterer restrisikoen, kan ikke svare på, hvilke kontroller der er bærende.

Hvad er de fire muligheder for at håndtere en risiko?

Reducer (tilføj eller styrk kontroller), overfør (forsikring, kontraktvilkår, outsourcing), undgå (stop eller ændr aktiviteten) og accepter (bær den bevidst). Accept er en reel mulighed, der kræver en godkender: forskellen på at acceptere en risiko og at ignorere den er en navngiven person med mandat og en registrering af, at vedkommende besluttede det. Overførsel er den mest overvurderede — forsikring flytter den økonomiske konsekvens og sjældent den driftsmæssige eller omdømmemæssige.

Hvor ofte bør risici revurderes?

Med en kadence sat efter scoren plus konkrete udløsere. Årligt er et rimeligt udgangspunkt for lavt scorede risici og kvartalsvis for dem tæt på appetitgrænsen, men udløserne betyder mere: en ny leverandør, en systemændring, en hændelse, en regelændring eller et auditfund bør hver især trække de berørte poster frem. Kun planlagt revurdering betyder, at registret er retvisende den dag, det skrives, og driver af resten af året.