Riskhanteringsprocess

En riskhanteringsprocess är det återkommande arbetsflöde där verksamheten bedömer sina risker, beslutar om åtgärder och följer upp att de fungerar. Resultatet samlas i en riskhanteringsplan som visar vem som gör vad och när. Behandlingar av personuppgifter med hög risk kan ni bedöma i vårt verktyg för konsekvensbedömning (DPIA).

Det här behöver du veta:

• Riskhanteringsprocessen består i regel av 6 steg: fastställa ramar, identifiera, analysera och värdera, behandla, följa upp och rapportera
• Riskkriterierna ska beslutas av ledningen innan första riskbedömningen, annars går riskerna inte att jämföra
• Riskhanteringsplanen är dokumentet som visar vilka åtgärder som beslutats, vem som äger dem och när de ska vara klara
• Processen är en cykel, inte ett projekt, och ska köras om vid förändringar, efter incidenter och minst 1 gång per år

Vad är en riskhanteringsprocess?

En riskhanteringsprocess är den fasta ordning i vilken en verksamhet arbetar med sina risker, från att bestämma vad som är acceptabel risk till att följa upp att beslutade åtgärder ger effekt.

Att se riskhantering som en process, och inte som ett dokument, är det som skiljer ett levande riskarbete från en årlig pappersprodukt. Processen ger svar på samma frågor varje gång: vad ska skyddas, vad kan gå fel, hur allvarligt är det, vad gör vi åt det och hur vet vi att det fungerar. Eftersom frågorna ställs på samma sätt varje gång blir resultaten jämförbara över tid och mellan olika delar av organisationen.

De flesta svenska verksamheter utgår från ISO 31000, den internationella standarden för riskhantering, eller från ISO 27005 när det gäller informationssäkerhet. Metodstödet för systematiskt informationssäkerhetsarbete, som togs fram av MSB och i dag förvaltas av NCSC vid FRA, bygger på samma logik. Stegen benämns olika i olika ramverk, men innehållet är i stort sett detsamma.

Riskhanteringsprocessen steg för steg

Riskhanteringsprocessen består av 6 steg som körs i en cykel: fastställ ramar, identifiera risker, analysera och värdera, behandla, följ upp och rapportera.

Steg 1: Fastställ ramar och riskkriterier

Det första steget är att bestämma vad processen omfattar, vem som ansvarar och var gränsen för acceptabel risk går.

Omfattningen anger vilken del av verksamheten som bedöms, till exempel en process, ett system eller hela organisationen. Riskkriterierna anger hur sannolikhet och konsekvens graderas och vilket riskvärde som kräver åtgärd. Kriterierna beslutas av ledningen, eftersom det är ledningen som bär ansvaret för de risker som accepteras.

Utan fastställda kriterier gör varje bedömare sin egen tolkning. En risk som får värde 12 hos IT kan då motsvara en helt annan allvarlighet hos HR, och prioriteringen mellan dem blir godtycklig.

Steg 2: Identifiera risker

I steg 2 kartlägger ni vilka händelser som kan påverka de tillgångar och processer som omfattas.

Utgå från era informationstillgångar, system, behandlingar och leverantörer, och fråga vilka hot och sårbarheter som berör var och en. Involvera personer som arbetar i processen, eftersom de ser risker som inte syns i dokumentationen. En risk ska formuleras som en konkret händelse med orsak och följd, till exempel "obehörig åtkomst till elevregistret via delade inloggningar", inte bara "dataintrång".

Steg 3: Analysera och värdera riskerna

I steg 3 bedömer ni sannolikhet och konsekvens för varje risk och jämför resultatet med riskkriterierna.

Det är här själva riskanalysen sker. Metoden för att bedöma hot, sårbarheter och riskvärden beskrivs i detalj i guiden om riskanalys för informationssäkerhet. Resultatet av steget är en prioriterad lista där det framgår vilka risker som ligger över gränsen för acceptabel risk.

Steg 4: Behandla riskerna

I steg 4 beslutar ni om varje risk ska reduceras, undvikas, överföras eller accepteras, och vilka åtgärder som krävs.

Besluten förs in i riskhanteringsplanen. Varje åtgärd ska ha en ägare, en tidplan och en förväntad effekt på risken. När en risk rör personuppgifter med sannolikt hög risk för de registrerade, krävs dessutom en konsekvensbedömning enligt art. 35 GDPR innan behandlingen startar. Risker hos leverantörer hanterar ni med fördel i vår tjänst för leverantörsutvärdering, eftersom bedömningen då kopplas direkt till biträdet och avtalet.

Steg 5: Följ upp och ompröva

I steg 5 kontrollerar ni att åtgärderna har genomförts, att de fungerar och att restrisken är godkänd.

Uppföljningen är det steg som oftast brister. En åtgärd som står som "pågående" i 18 månader skyddar ingenting, men den ser bra ut i ett dokument. Följ därför upp på fasta datum och när något förändras: nya system, byte av leverantör, organisationsförändringar och efter incidenter. Incidenter är en av de bästa källorna till ny kunskap om risker, och med ett incidenthanteringssystem blir det lättare att föra tillbaka lärdomarna till riskbedömningen.

Steg 6: Kommunicera och rapportera

I steg 6 sammanställer ni riskbilden för ledningen och informerar de som berörs av besluten.

Rapporten ska visa de största riskerna, vilka åtgärder som är försenade och vilka restrisker som behöver godkännas. Kommunikation pågår i praktiken genom hela processen, men rapporteringen till ledningen bör ske på ett fast schema, till exempel varje kvartal och i samband med årlig verksamhetsplanering.

Vad är en riskhanteringsplan?

En riskhanteringsplan är dokumentet där verksamheten samlar de risker som ska behandlas, de åtgärder som beslutats, vem som ansvarar och när åtgärderna ska vara genomförda.

Planen kallas ibland åtgärdsplan eller riskbehandlingsplan, och i ISO 27001 är riskbehandlingsplanen ett obligatoriskt dokument. Den är bryggan mellan riskanalys och handling. Det är också den som visar för en tillsynsmyndighet att bedömningen har lett till konkreta beslut, vilket är kärnan i principen om ansvarsskyldighet enligt art. 5.2 GDPR.

Vad ska en riskhanteringsplan innehålla?

En riskhanteringsplan ska minst innehålla risken, riskvärdet, vald behandling, åtgärd, ansvarig, deadline, status och restrisk.

Ett fält som ofta saknas är beslutet om restrisk. Det är just det fältet som visar att någon med mandat har tagit ställning, och därför är det ett av de första som granskas vid tillsyn och revision.

Riskhanteringsplan i Excel eller i ett systemstöd?

Excel fungerar för en liten verksamhet med få risker, men ett systemstöd blir nödvändigt när riskerna behöver kopplas till system, behandlingar, leverantörer och incidenter.

Kalkylark saknar versionshistorik, påminnelser och kopplingar mellan uppgifter. När samma leverantör förekommer i 15 risker och 3 behandlingar blir det svårt att hålla allt uppdaterat för hand. Ett systemstöd ger spårbarhet: vem ändrade vad, när och varför.

Vem gör vad i riskhanteringsprocessen?

Ledningen beslutar om ramar och restrisker, riskägare genomför åtgärderna, och en samordnande funktion håller ihop processen.

Dataskyddsombudet ska inte äga risker eller fatta beslut om dem. Rollen är rådgivande och övervakande enligt art. 39 GDPR, och om ombudet beslutar om behandlingar uppstår en intressekonflikt.

Exempel på situationer där riskhanteringsprocessen sätts igång

Processen körs inte bara enligt kalendern. Den behöver startas när förutsättningarna ändras:

• "Vi ska införa ett AI-verktyg i kundtjänsten som läser inkommande mejl. Vilka risker uppstår för kunderna och för oss?"
• "Vår driftleverantör har köpts upp av ett amerikanskt bolag. Påverkar det riskerna i de behandlingar där leverantören är biträde?"
• "Revisionen visade att 4 av 10 åtgärder från förra årets riskhanteringsplan inte är genomförda. Hur prioriterar vi nu?"

Vanliga frågor om riskhanteringsprocessen

Hur lång tid tar en riskhanteringsprocess?

Första varvet tar i regel flera veckor till några månader, medan senare varv går betydligt snabbare.

Det mesta av tiden i första varvet går åt till att fastställa kriterier och kartlägga tillgångar. När grunden finns handlar det om att uppdatera förändringar, inte om att börja om.

Vad är skillnaden mellan en riskhanteringsplan och ett riskregister?

Riskregistret är en förteckning över alla identifierade risker, medan riskhanteringsplanen beskriver vad som ska göras åt de risker som behöver behandlas.

Många verksamheter håller dem i samma dokument eller system, men funktionen skiljer sig. Registret visar riskbilden, planen visar handlingen.

Kan vi ha en gemensam riskhanteringsprocess för GDPR och informationssäkerhet?

Ja, och det är oftast att föredra, så länge processen även bedömer riskerna för de registrerades rättigheter.

Informationssäkerhet fokuserar på risker för verksamheten, medan GDPR kräver att ni även bedömer riskerna för de personer vars uppgifter ni behandlar. En gemensam process minskar dubbelarbete och gör kopplingarna mellan system och behandlingar synliga.

Vem ska godkänna riskhanteringsplanen?

Riskhanteringsplanen godkänns av ledningen eller av den nivå som ledningen har delegerat beslutsrätten till enligt riskkriterierna.

Låga risker kan ofta godkännas av riskägaren själv, medan höga restrisker ska upp till ledningsgruppen. Det viktiga är att nivåerna är beslutade i förväg och dokumenterade.

Måste riskhanteringsprocessen följa ISO 31000?

Nej, inget svenskt lagkrav föreskriver en viss standard, men processen ska vara systematisk och dokumenterad.

ISO 31000 och ISO 27005 är etablerade stöd som underlättar vid revision. Den som vill certifiera sig enligt ISO 27001 måste däremot uppfylla standardens krav på riskbedömning och riskbehandling.