Flowchart for beslutning om risikoaccept

Hvad er flowchart for beslutning om risikoaccept?

Accept er den risikobehandling, der hverken kræver budget, projekt eller nogen, der gør noget, og netop derfor er det den, organisationer ender i ved et uheld. En risiko står i registret, kontrollen bliver aldrig finansieret, og to revisionsrunder senere beskrives posten som accepteret, selv om ingen besluttede noget, og der ikke står et navn på den. At tegne accept som et beslutningstræ er det, der adskiller en risiko, nogen har valgt at bære, fra en risiko, alle er holdt op med at kigge på.

Denne side er et beslutningstræ, ikke et proceskort. Den besvarer ét spørgsmål (bør denne restrisiko accepteres, og hvem har beføjelse til at acceptere den) ved at gennemgå testene i rækkefølge og ende i et af fem navngivne udfald frem for at samle alt i én lykkelig sti. Den beskriver ikke det omkringliggende kredsløb. Identifikation, scoring, kontroleffektivitet og revisionsløkken hører til i skabelonen for risikovurderingsprocessen, som er det tværfunktionelle kort over, hvad der sker derefter, og hvem der gør det. Brug den til proceduren; brug denne til det øjeblik, hvor der skal vælges mellem to muligheder, og nogen skal skrive under.

De fire baner i venstre side navngiver, hvem der svarer på hvert spørgsmål, ikke hvem der udfører arbejdet: risikoejer, risikoansvarlig, jura og compliance samt godkendende instans. Træet er bevidst ubøjeligt to steder. Et brud på en lovmæssig, regulatorisk eller kontraktlig pligt når aldrig frem til en godkender, for manglende efterlevelse er ikke organisationens at acceptere: den vej går direkte til udbedring. Og en restrisiko uden for appetitten kan ikke accepteres permanent: den kræver en kompenserende kontrol og en udløbsdato og bæres som en tidsbegrænset undtagelse godkendt af risikoudvalget frem for at blive skrevet væk. Det er de to grene, en auditor leder efter.

Hvad dette flowchart dækker

I denne skabelon

• Fire baner med beslutningsret (Risikoejer, Risikoansvarlig, Jura og compliance samt Godkendende instans) fordelt på fem faser: Forslag, Behandlingstest, Egnethedstest, Betingelser samt Godkendelse og registrering
• To porte, før accept overhovedet er på bordet: 'Er behandlingsmuligheder vurderet?' sender et uunderbygget forslag tilbage til 'Færdiggør behandlingsanalysen', og 'Er behandling mulig og proportional?' går ved Ja ud til 'Behandl i stedet for at acceptere'
• 'Bryder den en lovmæssig eller kontraktlig pligt?' i banen Jura og compliance, hvis Ja-gren går til 'Afvis accept og udbedr', den ene eksponering, diagrammet aldrig sender videre til en godkender
• 'Er restrisikoen inden for risikoappetitten?' delt i Inden for og Uden for. Inden for fortsætter til testene om betingelser og beføjelse; Uden for går til 'Er der en kompenserende kontrol?', som enten afviser accepten helt eller bygger en tidsbegrænset undtagelse via 'Bekræft kontrol og sæt udløbsdato'
• Beføjelsen bestemt af niveauet frem for af, hvem der er ledig: 'Restrisikoens niveau?' sender Lav/mellem til 'Har lederen delegeret beføjelse?' og Høj/kritisk til 'Godkender risikoudvalget restrisikoen?', så 'Accepteret på lederniveau' og 'Accepteret på direktionsniveau' er hver sit slutpunkt
• 'Er accepten tidsbegrænset med en revurderingsdato?' med en Nej-gren, der sætter en udløbsdato, før noget som helst skrives under, og i alt fem slutpunkter: behandl i stedet for at acceptere, afvis accept og udbedr, accepteret på lederniveau, accepteret på direktionsniveau og accepteret midlertidigt indtil udløb

Hvornår du skal bruge skabelonen

• I skriver accept- eller undtagelsesafsnittet i en risikopolitik og har brug for, at testene står nedskrevet frem for beskrevet i prosa
• Jeres risikoregister indeholder poster markeret som accepteret uden underskriver, uden betingelser og uden udløbsdato, og I har brug for, at accept bliver en handling frem for en standardtilstand
• I skal fastlægge delegering af beføjelse til risikoaccept og vil have hvert niveau bundet til et navngivet ledelseslag, inden næste diskussion om, hvem der skriver under
• En auditor eller et certificeringsorgan har spurgt, hvem der accepterede en restrisiko og på hvilket grundlag: ISO/IEC 27001 kræver f.eks., at risikoejerne godkender behandlingsplanen og accepterer de resterende informationssikkerhedsrisici
• Et team beder om en sikkerheds- eller politikundtagelse, og I har brug for en test, der kan gentages, med betingelser og en udløbsdato, i stedet for en forhandling fra sag til sag

Sådan fungerer det

1. Omdøb banerne til jeres beslutningsret

   Erstat Risikoejer, Risikoansvarlig, Jura og compliance samt Godkendende instans med de roller, I reelt har. Hold risikoejeren adskilt fra den risikoansvarlige: den ene bærer konsekvensen, den anden driver metoden og bør ikke være den, der skriver under. Er jeres direktion og jeres risikoudvalg det samme forum, så slå dem sammen til én godkendende instans frem for at tegne en overlevering, der aldrig sker.

2. Skriv jeres appetitgrænse ind ved appetittesten

   'Er restrisikoen inden for risikoappetitten?' er hele diagrammets omdrejningspunkt, så skriv grænsen fra jeres risikopolitik ind ved siden af: scoreintervallet eller den klare formulering af, hvad organisationen vil og ikke vil bære i kroner, nedetid, skade eller omdømme. En appetit, der kun lever i et politikdokument, bliver gengivet efter hukommelsen, og det er sådan, den samme eksponering ender inden for appetitten på ét skrivebord og uden for den på et andet.

3. Kobl niveauer til navngivne godkendere

   Erstat Lav/mellem og Høj/kritisk med jeres egne scoreintervaller, og navngiv, hvem der må skrive under på hvert niveau. To regler holder grenen ærlig: ingen accepterer en risiko på egne vegne, når accepten er det, der frigør deres eget projekt, og lederbenet tjekker den delegerede beføjelse eksplicit frem for at antage, at anciennitet medfører den. Alt over lederens grænse går videre til udvalget: det er præcis, hvad 'Har lederen delegeret beføjelse?' er til for.

4. Definér hvad der tæller som en kompenserende kontrol

   På grenen uden for appetitten er den kompenserende kontrol det eneste, der står mellem undtagelsen og en afvisning, så skriv testen ned. Den skal allerede være i drift frem for planlagt, dokumenteret frem for påstået, og den skal reducere netop den eksponering og ikke en nabo til den. Overvågning tæller kun, hvis nogen er forpligtet til at handle på det, den rapporterer.

5. Sæt loft over acceptperioden, og skriv hvad der sker ved udløb

   Læg et maksimum på perioden frem for at overlade det til den, der foreslår accepten (typisk ikke længere end til næste planlagte revision og kortere for højt vurderede risici), og tilføj hændelsesudløsere som en hændelse, en systemændring, en ny kontrakt eller en ændring i selve kontrollen. Skriv, at accepten bortfalder ved udløb, og at risikoen så kommer ind i træet igen, for en accept, der stiltiende forlænges, er en tidsubegrænset accept med en dato på.

6. Registrer beslutningen i registret, og hold én gældende version

   Træets output er en registrering: hvem der accepterede, på hvilket niveau og under hvilken delegeret beføjelse, betingelserne og den kompenserende kontrol, udløbs- og revurderingsdatoen samt den behandlingssammenligning, der begrundede accept frem for behandling. Gå det færdige diagram igennem med risikofunktionen, jura og den, der skriver under, ret det til det, de rent faktisk gør, og udgiv så den version, og gem de tidligere, så enhver, der åbner det senere, kan se, hvilken version de læser.

Ofte stillede spørgsmål

Hvad er risikoaccept?

Risikoaccept er en beslutning om bevidst at beholde en restrisiko frem for at reducere, overføre eller undgå den. ISO 31000 nævner det at fastholde risikoen ved en informeret beslutning blandt behandlingsmulighederne, og det ord, man skal holde fast i, er 'informeret': forskellen på at acceptere en risiko og at ignorere den er en navngiven person med beføjelse til at bære den, en registrering af, hvad der var kendt på beslutningstidspunktet, og betingelser knyttet til accepten. Accept er legitim, når behandling er prissat og vurderet uforholdsmæssig i forhold til eksponeringen. Den er ikke legitim som det, der sker, når ingen finansierer kontrollen, og derfor tester de to første beslutninger i diagrammet behandlingsanalysen, før accept overhovedet kommer på tale.

Hvem bør have beføjelse til at acceptere en risiko?

Den, der er ansvarlig for konsekvensen, på et niveau der matcher vurderingen. De fleste organisationer fastlægger det i en delegeringsplan: en linje- eller afdelingsleder for lave og mellem vurderinger, en direktionsejer eller risikoudvalget for høje og kritiske. To sikkerhedsforanstaltninger betyder mere end, hvor grænsen går. Diagrammet tjekker den delegerede beføjelse eksplicit ('Har lederen delegeret beføjelse?') frem for at antage, at anciennitet medfører den, og alt over grænsen eskalerer i stedet for at blive underskrevet lokalt. Og den godkendende instans bør ikke være den, accepten er belejlig for: er accepten det, der frigør nogens projekt eller budget, hører beslutningen et niveau højere op.

Kan man acceptere en risiko, der bryder en lov, en regel eller en kontrakt?

Nej. En organisation kan ikke beslutte sig for ikke at efterleve reglerne, så et kendt brud på en lovmæssig, regulatorisk eller kontraktlig forpligtelse udbedres frem for at accepteres, og i dette diagram når den gren aldrig frem til en godkender, men går ud til 'Afvis accept og udbedr'. Det, der legitimt kan tidsbegrænses, er den midlertidige eksponering, mens udbedringen kører: en plan med en ejer og en dato, en eskalering til dem, der skal vide det, og juridisk rådgivning om oplysnings- eller anmeldelsespligt, hvor den gælder. At registrere det som en accepteret risiko i stedet er den version, auditorer og myndigheder reagerer dårligt på, for den dokumenterer en beslutning om at bære et regelbrud.

Bør en risikoaccept have en udløbsdato?

Ja. En accept er en vurdering af eksponeringen, kontrollerne og omkostningen ved behandling, som de så ud på én dag, og alle tre flytter sig. Giv hver accept en periode og en revurderingsdato, sæt loftet i politikken frem for at overlade det til den, der foreslår accepten, og gør perioden kortere ved højere vurderinger. Skriv eksplicit, hvad der sker, når den løber ud: accepten bortfalder, og risikoen vender tilbage til dette beslutningstræ for et nyt svar frem for at blive forlænget på en nik. Tilføj hændelsesudløsere ved siden af datoen (en hændelse, en system- eller leverandørændring, en ny kontrakt, eller at den kompenserende kontrol ændres eller fjernes), for de fortæller jer tidligere end kalenderen, at vurderingen er forældet.

Hvordan adskiller dette sig fra et flowchart for risikovurderingsprocessen?

De besvarer forskellige spørgsmål. Et flowchart for risikovurderingsprocessen er et tværfunktionelt proceskort: det viser, hvad der sker derefter, og hvem der gør det: fra identifikation over scoring, kontroleffektivitet og behandling til revisionscyklussen. Denne side er et beslutningstræ for ét øjeblik inde i den proces: det punkt, hvor behandling er prissat, og nogen skal vælge mellem at behandle og acceptere. Der er ingen opgaver at overlevere, kun tests, der skal besvares ud fra beviser, og det ender i fem forskellige udfald frem for i én lukket sag. Dokumenterer I proceduren, så brug skabelonen for risikovurderingsprocessen. Skal I afgøre, hvem der må acceptere hvad, på hvilke betingelser og hvor længe, så brug denne.