Flowchart for beslutning om risikoaccept

Sådan fungerer det

1. Omdøb banerne til jeres beslutningsret

   Erstat Risikoejer, Risikoansvarlig, Jura og compliance samt Godkendende instans med de roller, I reelt har. Hold risikoejeren adskilt fra den risikoansvarlige: den ene bærer konsekvensen, den anden driver metoden og bør ikke være den, der skriver under. Er jeres direktion og jeres risikoudvalg det samme forum, så slå dem sammen til én godkendende instans frem for at tegne en overlevering, der aldrig sker.

2. Skriv jeres appetitgrænse ind ved appetittesten

   'Er restrisikoen inden for risikoappetitten?' er hele diagrammets omdrejningspunkt, så skriv grænsen fra jeres risikopolitik ind ved siden af — scoreintervallet eller den klare formulering af, hvad organisationen vil og ikke vil bære i kroner, nedetid, skade eller omdømme. En appetit, der kun lever i et politikdokument, bliver gengivet efter hukommelsen, og det er sådan, den samme eksponering ender inden for appetitten på ét skrivebord og uden for den på et andet.

3. Kobl niveauer til navngivne godkendere

   Erstat Lav/mellem og Høj/kritisk med jeres egne scoreintervaller, og navngiv, hvem der må skrive under på hvert niveau. To regler holder grenen ærlig: ingen accepterer en risiko på egne vegne, når accepten er det, der frigør deres eget projekt, og lederbenet tjekker den delegerede beføjelse eksplicit frem for at antage, at anciennitet medfører den. Alt over lederens grænse går videre til udvalget — det er præcis, hvad 'Har lederen delegeret beføjelse?' er til for.

4. Definér hvad der tæller som en kompenserende kontrol

   På grenen uden for appetitten er den kompenserende kontrol det eneste, der står mellem undtagelsen og en afvisning, så skriv testen ned. Den skal allerede være i drift frem for planlagt, dokumenteret frem for påstået, og den skal reducere netop den eksponering og ikke en nabo til den. Overvågning tæller kun, hvis nogen er forpligtet til at handle på det, den rapporterer.

5. Sæt loft over acceptperioden, og skriv hvad der sker ved udløb

   Læg et maksimum på perioden frem for at overlade det til den, der foreslår accepten — typisk ikke længere end til næste planlagte revision og kortere for højt vurderede risici — og tilføj hændelsesudløsere som en hændelse, en systemændring, en ny kontrakt eller en ændring i selve kontrollen. Skriv, at accepten bortfalder ved udløb, og at risikoen så kommer ind i træet igen, for en accept, der stiltiende forlænges, er en tidsubegrænset accept med en dato på.

6. Registrer beslutningen i registret, og hold én gældende version

   Træets output er en registrering: hvem der accepterede, på hvilket niveau og under hvilken delegeret beføjelse, betingelserne og den kompenserende kontrol, udløbs- og revurderingsdatoen samt den behandlingssammenligning, der begrundede accept frem for behandling. Gå det færdige diagram igennem med risikofunktionen, jura og den, der skriver under, ret det til det, de rent faktisk gør, og udgiv så den version — og gem de tidligere, så enhver, der åbner det senere, kan se, hvilken version de læser.

Ofte stillede spørgsmål

Hvad er risikoaccept?

Risikoaccept er en beslutning om bevidst at beholde en restrisiko frem for at reducere, overføre eller undgå den. ISO 31000 nævner det at fastholde risikoen ved en informeret beslutning blandt behandlingsmulighederne, og det ord, man skal holde fast i, er 'informeret': forskellen på at acceptere en risiko og at ignorere den er en navngiven person med beføjelse til at bære den, en registrering af, hvad der var kendt på beslutningstidspunktet, og betingelser knyttet til accepten. Accept er legitim, når behandling er prissat og vurderet uforholdsmæssig i forhold til eksponeringen. Den er ikke legitim som det, der sker, når ingen finansierer kontrollen — og derfor tester de to første beslutninger i diagrammet behandlingsanalysen, før accept overhovedet kommer på tale.

Hvem bør have beføjelse til at acceptere en risiko?

Den, der er ansvarlig for konsekvensen, på et niveau der matcher vurderingen. De fleste organisationer fastlægger det i en delegeringsplan: en linje- eller afdelingsleder for lave og mellem vurderinger, en direktionsejer eller risikoudvalget for høje og kritiske. To sikkerhedsforanstaltninger betyder mere end, hvor grænsen går. Diagrammet tjekker den delegerede beføjelse eksplicit — 'Har lederen delegeret beføjelse?' — frem for at antage, at anciennitet medfører den, og alt over grænsen eskalerer i stedet for at blive underskrevet lokalt. Og den godkendende instans bør ikke være den, accepten er belejlig for: er accepten det, der frigør nogens projekt eller budget, hører beslutningen et niveau højere op.

Kan man acceptere en risiko, der bryder en lov, en regel eller en kontrakt?

Nej. En organisation kan ikke beslutte sig for ikke at efterleve reglerne, så et kendt brud på en lovmæssig, regulatorisk eller kontraktlig forpligtelse udbedres frem for at accepteres — og i dette diagram når den gren aldrig frem til en godkender, men går ud til 'Afvis accept og udbedr'. Det, der legitimt kan tidsbegrænses, er den midlertidige eksponering, mens udbedringen kører: en plan med en ejer og en dato, en eskalering til dem, der skal vide det, og juridisk rådgivning om oplysnings- eller anmeldelsespligt, hvor den gælder. At registrere det som en accepteret risiko i stedet er den version, auditorer og myndigheder reagerer dårligt på, for den dokumenterer en beslutning om at bære et regelbrud.

Bør en risikoaccept have en udløbsdato?

Ja. En accept er en vurdering af eksponeringen, kontrollerne og omkostningen ved behandling, som de så ud på én dag — og alle tre flytter sig. Giv hver accept en periode og en revurderingsdato, sæt loftet i politikken frem for at overlade det til den, der foreslår accepten, og gør perioden kortere ved højere vurderinger. Skriv eksplicit, hvad der sker, når den løber ud: accepten bortfalder, og risikoen vender tilbage til dette beslutningstræ for et nyt svar frem for at blive forlænget på en nik. Tilføj hændelsesudløsere ved siden af datoen — en hændelse, en system- eller leverandørændring, en ny kontrakt, eller at den kompenserende kontrol ændres eller fjernes — for de fortæller jer tidligere end kalenderen, at vurderingen er forældet.

Hvordan adskiller dette sig fra et flowchart for risikovurderingsprocessen?

De besvarer forskellige spørgsmål. Et flowchart for risikovurderingsprocessen er et tværfunktionelt proceskort: det viser, hvad der sker derefter, og hvem der gør det — fra identifikation over scoring, kontroleffektivitet og behandling til revisionscyklussen. Denne side er et beslutningstræ for ét øjeblik inde i den proces: det punkt, hvor behandling er prissat, og nogen skal vælge mellem at behandle og acceptere. Der er ingen opgaver at overlevere, kun tests, der skal besvares ud fra beviser, og det ender i fem forskellige udfald frem for i én lukket sag. Dokumenterer I proceduren, så brug skabelonen for risikovurderingsprocessen. Skal I afgøre, hvem der må acceptere hvad, på hvilke betingelser og hvor længe, så brug denne.