Jäännösriskit

Jäännösriskit ovat se riskitaso, joka säilyy organisaatiossa niiden riskienhallintatoimenpiteiden toteuttamisen jälkeen. Ne syntyvät, kun tunnistetut riskit on vähennetty, siirretty tai ehkäisty, mutta osa riskistä pysyy ennallaan tai on vaikeasti ehkäistävissä. Jäännösriski kuvaa organisaation todellista riskiympäristöä sen jälkeen, kun kontrollit on toteutettu.

Jäännösriski muodostuu suhteessa sekä todennäköisyyteen että vaikutuksiin. Ennen toimenpiteitä esiintyvää riskiä kutsutaan inherentiksi riskiksi; riskienhallinnan toimenpiteet pyrkivät pienentämään sekä todennäköisyyttä että vaikutusta. Jäännösriski on lopullinen taso, joka voidaan hyväksyä, siirtää tai edelleen ehkäistä lisäämällä kontrollitoimenpiteitä. Se tulisi usein mitata suhteessa organisaation riskikantokykyyn ja riskinottoa säätelevään riskinsietokykyyn (risk appetite).

Käytännössä jäännösriskit kirjataan riskilistoille tai riskirekistereihin, joissa on määritelty omistajat, seurantaindikaattorit ja arviointitaajuudet. Niitä käytetään päätöksenteossa: jos jäännösriski ylittää hyväksyttävän tason, organisaation tulisi harkita lisää toimenpiteitä, muuttaa riskinottoa tai hyväksyä jännitteinen tilanne.

Esimerkkejä ovat tietoturva- tai toimittajariippuvuusriskit, joissa tekniset kontrollit voivat vähentää, mutta eivät poistaa kokonaan riskiä. Jäännösriskien hallinta on jatkuva prosessi, joka vaatii säännöllistä arviointia ja päivitystä.