Risikoobjekt

Risikoobjekt er i risikostyring det objektet risiko knytter seg til i en risikovurdering. Det kan være en fysisk eiendel, en prosess, et system eller en aktivitet som kan utsettes for skade, eller som kan være kilde til risiko når den møter farer. Objektet beskrives, og risikoens sannsynlighet og konsekvenser vurderes i forhold til farene.

I en risikovurdering identifiseres risikoobjektet, kartlegges egenskaper som verdi eller kritikalitet, og risikoen vurderes med tanke på potensielle konsekvenser og sannsynlighet. Resultatet brukes til å prioritere tiltak og ressurser.

Eksempler på risikoobjekter inkluderer IT-systemer og dataressurser, produksjonsutstyr, bygg og infrastruktur, kjemikalielagre, forretningsprosesser og menneskelig helse. Også immaterielle eiendeler som omdømme og konfidensiell informasjon kan være risikoobjekter.

Viktige egenskaper ved et risikoobjekt er verdien for organisasjonen, sårbarhet, eksponering mot identifiserte farer og mulige kjedereaksjoner ved skade eller svikt.

Identifikasjon og analyse skjer ofte gjennom eiendelsinventar og prosesskartlegging, fareidentifikasjon og scenarioplanlegging. Metoder som kan brukes, inkluderer eiendelsbasert risikovurdering, HAZOP for prosesser, FMEA for komponenter og trusselmodellering for informasjonssystemer.

Behandling av risikoobjekter innebærer å redusere sannsynlighet og/eller konsekvens, overføre risiko (f.eks. forsikring eller outsourcing), unngå risikoobjektet eller akseptere restrisiko.

Begrepet er utbredt på tvers av bransjer, inkludert sikkerhetsengineering, IT-sikkerhet og operasjonsledelse, og er i samsvar med standarder som ISO 31000.

Eksempel på risikoobjekter: en dataserver, en produksjonslinje, et kjemikalielager, en sykehusavdeling eller en kritisk leveringsrute.