risikostyringsforanstaltning

Risikostyringsforanstaltning er en foranstaltning eller en proces, der har til formål at reducere sandsynligheden for, at en risiko realiseres, eller at begrænse konsekvenserne, hvis den realiseres. Den anvendes inden for områder som sikkerhed, sundhed, miljø, IT og finansiel forvaltning for at beskytte mennesker, værdier og drift. En foranstaltning kan være teknisk, organisatorisk eller administrativ og kan være forebyggende, detekterende eller afbødningsorienteret.

Ifølge risikostyringsteorier og standarder, som ISO 31000, ledsages en risiko med en vurdering af restrisiko og omkostninger. Behandlingsmulighederne omfatter undgåelse af risiko, reduktion af sandsynlighed eller konsekvens, overførsel af risiko (f.eks. forsikring eller outsourcing) og accept af restrisiko under visse grænser. Hver foranstaltning bør vælges ud fra dens effekt, omkostning og tidshorisont og i samråd med interessenter.

Eksempler på risikostyringsforanstaltninger spænder fra adgangskontrol, sikkerhedsklassifikation og træningsprogrammer til tekniske løsninger som backup, kryptering, patch-management og incidenthåndtering samt beredskabs- og katastrofeplaner.

Processen omkring en foranstaltning følger typisk risikostyringscyklussen: identificere og vurdere risiko, vælge passende foranstaltning, implementere den, og løbende monitorere samt revidere den. En god foranstaltning bør være specifik, målelig, tidsrummet fastlagt og omkostningseffektiv samt have klart ansvar.

I praksis integreres risikostyringsforanstaltninger i organisationens øvrige governance og risikostyringsrammer og kræver ledelsesopbakning, kommunikation og regelmæssig evaluering.