riskhanteringsprocesser

Riskhanteringsprocesser är en systematisk serie aktiviteter som syftar till att hantera osäkerhet som kan påverka organisationens mål. De omfattar identifiering, bedömning, behandling, övervakning och kommunikation av risker. Dessa processer används i olika sammanhang som verksamheter, projekt, IT-säkerhet och arbetsmiljö.

Processen följer ofta kontext och mål och innefattar riskidentifiering, riskanalys och riskvärdering, riskbehandling samt övervakning och uppföljning och kommunikation/consultation. Riskidentifiering fångar hot och möjligheter som kan påverka måluppfyllelse. Riskanalys bedömer sannolikhet och konsekvens, medan riskvärdering prioriterar vilka risker som hanteras först. Riskbehandling innebär val och genomförande av åtgärder som undvikande, minskning, överföring eller acceptans av risker. Åtgärder implementeras och effekter följs upp genom uppföljning och revidering av åtgärder och planer.

Roller och ansvar i riskhanteringsprocesser inkluderar riskägare, ledning och styrelse, riskkontaktpersoner och ett riskregister som dokumenterar identifikationer, bedömningar och behandlingsåtgärder. Viktiga krav är integration med styrning, strategisk planering och kontinuerlig förbättring, samt kommunikation och delaktighet från relevanta parter.

Standarder och metoder som används i riskhanteringsprocesser inkluderar ISO 31000 som ramverk för principer och processer, ofta kompletterat av andra ramverk som COSO ERM eller NIST beroende på kontext. Metoder spänner över kvalitativa och kvantitative bedömningar, scenarier, riskmatriser och riskbegränsningsanalyser, och dokumentationen innefattar riskregister, rapportering och dashboards.