riskikriteerit

Riskikriteerit ovat ennalta määriteltyjä kriteerejä, joiden perusteella organisaatio arvioi ja luokittelee riskit. Ne muuntavat epävarmuuden mitattaviksi arvoiksi ja antavat päätöksenteolle selkeän viitekehyksen. Tyypillisesti riskikriteerit koostuvat todennäköisyys- ja vaikutuskriteereistä sekä niihin liittyvistä riskitasoista tai -luokituksista. Usein käytetään riskimatriisia tai pistemääräjärjestelmää, jossa kokonaisriskin taso määräytyy näiden tekijöiden tuotteena. Lisäksi määritellään hyväksyttävät riskit sekä riskinottohalukkuus ja sietokyky, sekä mahdolliset kynnysarvot, joiden ylittyessä käynnistetään lisätoimenpiteet tai suunnittelumuutokset.

Riskiarvioinnissa kriteerit ohjaavat priorisointia, hyväksyntämenettelyjä ja resurssien kohdentamista sekä raportointia sidosryhmille. Ne toimivat sillan organisaation tavoitteiden, lainsäädännön ja riskien hallinnoinnin välillä.

Riskikriteerien laatiminen perustuu sekä säädöksistä että organisaation omasta riskinottokyvystä ja historiallisista tiedoista. Prosessissa osallistuvat sidosryhmät, riskien omistajat ja johto, ja tuloksia tarkistetaan säännöllisesti ympäristö- ja liiketoimintamuutosten mukaan.

Esimerkkejä: projektinhallinnassa korkean riskin kriteeriksi voidaan asettaa todennäköisyys yli 20 prosenttia ja vaikutus aikatauluun yli 10 päivää; tällöin riskiluokittelu nousee korkeaksi ja vaaditaan hallintatoimenpiteitä. IT-turvallisuudessa kriittisen tietomurron todennäköisyys ja vaikutus voivat määritellä ylimmän prioriteetin.

Hyvin määritellyt riskikriteerit tukevat johdonmukaista päätöksentekoa ja auttavat tavoitteen mukaisia riskien hallintatoimia.