Riskhantering och regelefterlevnad hänger ihop, eftersom de flesta regelverk kräver att verksamheten bedömer sina risker och kan visa vad den har gjort åt dem. Det gäller GDPR och cybersäkerhetslagen, men också reglerna om intern kontroll i stat och kommun. För dataskyddsdelen finns stöd i vår GDPR-tjänst.
Det här behöver du veta:
Riskhantering och regelefterlevnad hänger ihop eftersom moderna regelverk är riskbaserade: de anger inte exakt vilka åtgärder ni ska vidta, utan kräver att ni bedömer era risker och väljer åtgärder därefter.
Regelefterlevnad, ofta kallat compliance, innebär att verksamheten följer de lagar, föreskrifter och interna regler som gäller för den. Riskhantering innebär att verksamheten systematiskt identifierar, bedömer och behandlar det som kan hindra den från att nå sina mål. Att bryta mot en lag är en sådan risk, och därför är regelefterlevnad i praktiken ett av riskhanteringens viktigaste områden.
Sambandet går också åt andra hållet. GDPR kräver i art. 24 och art. 32 att åtgärderna står i proportion till riskerna, och cybersäkerhetslagen kräver riskbaserade säkerhetsåtgärder. Den som inte har bedömt sina risker kan alltså inte visa att den följer reglerna. Det är kärnan i principen om ansvarsskyldighet: ni ska inte bara följa reglerna, ni ska kunna visa att ni gör det.
Att driva regelefterlevnad och riskhantering i samma struktur gör det lättare att se vilka risker som hänger ihop med vilka lagkrav. Många organisationer samlar arbetet under begreppet GRC, styrning, riskhantering och efterlevnad (governance, risk and compliance). Hur det kan se ut i informationssäkerhetsarbetet beskrivs i artikeln om hur NIS2 och GRC stärker informationssäkerheten.
Juridisk riskhantering är att identifiera och hantera risken att verksamheten bryter mot lagar, föreskrifter eller avtal, och de konsekvenser det kan få.
Juridiska risker skiljer sig från tekniska och operativa risker genom att konsekvensen ofta bestäms av någon annan, till exempel en tillsynsmyndighet eller en domstol. Konsekvenserna kan vara:
Den juridiska riskhanteringen följer samma process som annan riskhantering. Skillnaden är att identifieringen utgår från regelverken: vilka krav gäller oss, var finns glappen och vad händer om de upptäcks?
Juridiska risker uppstår ofta i det dagliga arbetet, inte bara vid stora projekt:
Intern kontroll är verksamhetens system för att säkerställa att mål nås, regler följs och resurser används på rätt sätt, och riskhantering är grunden för den interna kontrollen.
Den interna kontrollen bygger på riskanalysen. Ni bedömer vilka risker som hotar verksamheten, väljer kontroller som minskar dem och följer upp att kontrollerna fungerar. Kontrollerna kan vara manuella, som attest och behörighetsgranskning, eller automatiska, som spärrar i ett system.
En vanlig modell för att fördela ansvaret är de 3 försvarslinjerna:
| Försvarslinje | Vem | Roll |
|---|---|---|
| 1:a linjen | Verksamheten och chefer | Äger riskerna och utför kontrollerna i det dagliga arbetet |
| 2:a linjen | Compliance, informationssäkerhet, dataskyddsombud | Stödjer, ger råd och övervakar att riskerna hanteras |
| 3:e linjen | Internrevision | Granskar oberoende om styrning och kontroll fungerar |
Modellen är inte lagstadgad för de flesta verksamheter, men den gör det tydligt vem som gör vad. Dataskyddsombudet hör hemma i den andra linjen, eftersom rollen enligt art. 39 GDPR är att ge råd och övervaka, inte att äga risker.
Statliga myndigheter, kommuner och regioner har uttryckliga lagkrav på riskhantering och intern kontroll, utöver de krav som GDPR och cybersäkerhetslagen ställer.
| Verksamhet | Regelverk | Krav |
|---|---|---|
| Statliga myndigheter | Myndighetsförordningen (2007:515), 3 § | Ledningen ska se till att det finns en intern styrning och kontroll som fungerar betryggande |
| Statliga myndigheter | Förordning (1995:1300) om statliga myndigheters riskhantering | Identifiera risker för skador och förluster och vidta åtgärder för att begränsa dem |
| Myndigheter med internrevision | Förordning (2007:603) om intern styrning och kontroll | Riskanalys, åtgärder, uppföljning och dokumentation, med bedömning i årsredovisningen |
| Kommuner och regioner | Kommunallagen (2017:725), 6 kap. 6 § | Varje nämnd ska se till att den interna kontrollen är tillräcklig |
Förordningen (1995:1300) om statliga myndigheters riskhantering kräver att varje myndighet under regeringen identifierar riskerna för skador och förluster i verksamheten och vidtar lämpliga åtgärder för att begränsa dem.
Förordningen hänger ihop med statens försäkringssystem. En myndighet får i regel inte teckna försäkring för statens egendom eller skadeståndsansvar hos ett privat försäkringsbolag, utan kan i stället avtala med Kammarkollegiet om att staten bär de ekonomiska riskerna. Därför är kravet på förebyggande riskhantering särskilt tydligt. Kammarkollegiet ger också stöd i myndigheternas riskhanteringsarbete.
Förordningen (2007:603) om intern styrning och kontroll gäller myndigheter som omfattas av internrevisionsförordningen (2006:1228) och kräver en dokumenterad process för riskanalys, åtgärder och uppföljning.
Processen ska säkerställa att myndigheten fullgör sina uppgifter, följer gällande rätt och förebygger oegentligheter. Myndighetens ledning ska varje år bedöma om den interna styrningen och kontrollen har fungerat betryggande, och lämna bedömningen i årsredovisningen. Risker som rör informationssäkerhet och dataskydd ingår i den bedömningen. Har IMY riktat kritik mot myndighetens behandling av personuppgifter, kan det påverka den bedömningen.
I kommuner och regioner följer revisorerna upp den interna kontrollen. Hur dataskydd kombineras med offentlighetsprincipen och kraven på insyn beskrivs i artikeln om GDPR i offentlig sektor.
Ett bra stöd för intern kontroll och riskhantering ska göra det möjligt att koppla risker till regelkrav, beslut, åtgärder och uppföljning, så att spårbarheten håller vid tillsyn och revision.
Tjänster inom intern kontroll och riskhantering finns som konsultstöd, utbildning och systemstöd, och många verksamheter kombinerar dem. Oavsett form, ställ dessa krav:
För dataskyddsdelen samlar Draftits plattform registerförteckning, konsekvensbedömningar, leverantörsutvärdering och incidenter på ett ställe, med juridiskt stöd i tolkningen av regelverken. Det är också där riskhanteringen och efterlevnaden behöver mötas i ledningen, vilket utvecklas i artikeln om varför dataskydd är en ledningsfråga. För frågor om er egen verksamhet, kontakta Draftit eller annan juridisk expert för konkret rådgivning.
Compliance handlar om att följa regler, medan riskhantering handlar om att hantera allt som kan hindra verksamheten, inklusive risken att bryta mot reglerna.
Compliance är alltså ett av riskhanteringens områden. I mindre verksamheter sköts båda ofta av samma person, i större finns separata funktioner som samarbetar.
Nej, förordningen (2007:603) gäller bara förvaltningsmyndigheter under regeringen som omfattas av internrevisionsförordningen.
Övriga myndigheter omfattas ändå av myndighetsförordningens krav på en intern styrning och kontroll som fungerar betryggande, och förordningen om statliga myndigheters riskhantering gäller alla myndigheter under regeringen.
Ja, även om kraven i regel är mindre detaljerade än i offentlig sektor.
Styrelsen i ett aktiebolag ansvarar enligt aktiebolagslagen (2005:551) för bolagets organisation och för att kontrollen av ekonomin är betryggande. Noterade bolag omfattas dessutom av Svensk kod för bolagsstyrning, och finansiella företag av särskilda regler från Finansinspektionen och EU.
Varje nämnd ansvarar för regelefterlevnaden och den interna kontrollen inom sitt område, medan kommunstyrelsen har uppsikt över helheten.
Nämnden är också personuppgiftsansvarig för de behandlingar som sker i dess verksamhet, vilket betyder att dataskyddsrisker ska ingå i nämndens interna kontrollplan.
Riskerna bör bedömas minst 1 gång per år, gärna i samband med verksamhetsplaneringen, och dessutom när nya regelverk börjar gälla.
Under de senaste åren har cybersäkerhetslagen, AI-förordningen och DORA tillkommit, vilket visar att regelbilden kan förändras snabbt. En bevakning av ny lagstiftning är därför en del av riskhanteringen.