Risikostyringsprosess

En risikostyringsprosess er den faste arbeidsflyten der virksomheten vurderer risikoene sine, beslutter tiltak og følger opp at de virker. Resultatet samles i en risikostyringsplan som viser hvem som gjør hva og når. Behandlinger av personopplysninger med høy risiko kan dere vurdere i vårt verktøy for konsekvensvurdering (DPIA).

Dette må du vite:

• Risikostyringsprosessen består som regel av 6 steg: fastsette rammer, identifisere, analysere og evaluere, behandle, følge opp og rapportere
• Risikokriteriene skal besluttes av ledelsen før den første risikovurderingen, ellers kan risikoene ikke sammenlignes
• Risikostyringsplanen er dokumentet som viser hvilke tiltak som er besluttet, hvem som eier dem og når de skal være ferdige
• Prosessen er en syklus, ikke et prosjekt, og bør kjøres på nytt ved endringer, etter avvik og minst 1 gang i året

Hva er en risikostyringsprosess?

En risikostyringsprosess er den faste rekkefølgen en virksomhet arbeider med risikoene sine i, fra å bestemme hva som er akseptabel risiko til å følge opp at besluttede tiltak har effekt.

Det som skiller levende risikostyring fra en årlig papirøvelse, er at dere ser på den som en prosess og ikke som et dokument. Prosessen besvarer de samme spørsmålene hver gang: hva skal beskyttes, hva kan gå galt, hvor alvorlig er det, hva gjør vi med det og hvordan vet vi at det virker. Fordi spørsmålene stilles likt hver gang, blir resultatene sammenlignbare over tid og mellom ulike deler av organisasjonen.

Mange norske virksomheter tar utgangspunkt i ISO 31000, den internasjonale standarden for risikostyring, eller i ISO/IEC 27005 når det gjelder informasjonssikkerhet. Nasjonal sikkerhetsmyndighet (NSM) bygger på samme logikk i sin veileder i risikostyring og i NSMs grunnprinsipper for IKT-sikkerhet, og Digitaliseringsdirektoratet (Digdir) har veiledningsmateriellet "Internkontroll i praksis" for offentlige virksomheter. Stegene har ulike navn i ulike rammeverk, men innholdet er i hovedsak det samme.

For offentlig sektor er prosessen også et lovkrav. eForvaltningsforskriften (FOR-2004-06-25-988) § 15 krever at forvaltningsorganer som bruker elektronisk kommunikasjon, har internkontroll på informasjonssikkerhetsområdet basert på anerkjente standarder og tilpasset risiko. For kommuner krever kommuneloven (LOV-2018-06-22-83) § 25-1 at internkontrollen tilpasses virksomhetens størrelse, egenart, aktiviteter og risikoforhold.

Risikostyringsprosessen steg for steg

Risikostyringsprosessen består av 6 steg som kjøres i en syklus: fastsett rammer, identifiser risikoer, analyser og evaluer, behandle, følg opp og rapporter.

Steg 1: Fastsett rammer og risikokriterier

Det første steget er å bestemme hva prosessen omfatter, hvem som har ansvaret og hvor grensen for akseptabel risiko går.

Omfanget angir hvilken del av virksomheten som vurderes, for eksempel en prosess, et system eller hele organisasjonen. Risikokriteriene angir hvordan sannsynlighet og konsekvens graderes, og hvilken risikoverdi som utløser tiltak. Kriteriene besluttes av ledelsen, fordi det er ledelsen som bærer ansvaret for risikoene som aksepteres.

Uten fastsatte kriterier gjør hver vurderer sin egen tolkning. En risiko som får verdien 12 hos IT, kan da tilsvare en helt annen alvorlighetsgrad hos HR, og prioriteringen mellom dem blir tilfeldig.

Steg 2: Identifiser risikoer

I steg 2 kartlegger dere hvilke hendelser som kan påvirke verdiene og prosessene som omfattes.

Ta utgangspunkt i informasjonsverdiene, systemene, behandlingene og leverandørene, og spør hvilke trusler og sårbarheter som gjelder for hver av dem. Involver de som arbeider i prosessen, fordi de ser risikoer som ikke synes i dokumentasjonen. En risiko skal formuleres som en konkret hendelse med årsak og følge, for eksempel "uautorisert tilgang til elevregisteret via delte pålogginger", ikke bare "datainnbrudd".

Steg 3: Analyser og evaluer risikoene

I steg 3 vurderer dere sannsynlighet og konsekvens for hver risiko og sammenligner resultatet med risikokriteriene.

Det er her selve risikovurderingen skjer. Hvordan dere kartlegger verdier, trusler og sårbarheter, er beskrevet i guiden om informasjonssikkerhet, risikoer og informasjonsverdier. Resultatet av steget er en prioritert liste som viser hvilke risikoer som ligger over grensen for akseptabel risiko.

Steg 4: Behandle risikoene

I steg 4 beslutter dere om hver risiko skal reduseres, unngås, overføres eller aksepteres, og hvilke tiltak som trengs.

Beslutningene føres inn i risikostyringsplanen. Hvert tiltak skal ha en eier, en tidsplan og en forventet effekt på risikoen. Når en risiko gjelder personopplysninger med sannsynlig høy risiko for de registrerte, kreves det i tillegg en konsekvensvurdering etter artikkel 35 i personvernforordningen før behandlingen starter. Risikoer hos leverandører håndterer dere med fordel i vår løsning for leverandørevaluering, fordi vurderingen da kobles direkte til databehandleren og avtalen.

Steg 5: Følg opp og vurder på nytt

I steg 5 kontrollerer dere at tiltakene er gjennomført, at de virker og at restrisikoen er godkjent.

Oppfølgingen er det steget som oftest svikter. Et tiltak som står som "pågående" i 18 måneder, beskytter ingenting, selv om det ser bra ut i et dokument. Følg derfor opp på faste datoer og når noe endrer seg: nye systemer, bytte av leverandør, organisasjonsendringer og etter avvik. Avvik er en av de beste kildene til ny kunnskap om risiko, og med et avvikssystem blir det enklere å føre lærdommene tilbake til risikovurderingen.

Steg 6: Kommuniser og rapporter 

I steg 6 sammenstiller dere risikobildet for ledelsen og informerer dem som berøres av beslutningene.

Rapporten skal vise de største risikoene, hvilke tiltak som er forsinket og hvilke restrisikoer som må godkjennes. Kommunikasjon foregår i praksis gjennom hele prosessen, men rapporteringen til ledelsen bør skje etter en fast plan, for eksempel hvert kvartal og i forbindelse med den årlige virksomhetsplanleggingen.

Hva er en risikostyringsplan?

En risikostyringsplan er dokumentet der virksomheten samler risikoene som skal behandles, tiltakene som er besluttet, hvem som har ansvaret og når tiltakene skal være gjennomført.

Planen kalles også tiltaksplan eller risikobehandlingsplan, og i ISO/IEC 27001 er risikobehandlingsplanen et obligatorisk dokument. Den er broen mellom risikovurdering og handling. Det er også planen som viser en tilsynsmyndighet at vurderingen har ført til konkrete beslutninger, og det er kjernen i prinsippet om ansvarlighet etter artikkel 5 nr. 2 i personvernforordningen.

Hva skal en risikostyringsplan inneholde?

En risikostyringsplan skal minst inneholde risikoen, risikoverdien, valgt behandling, tiltak, ansvarlig, frist, status og restrisiko.

Et felt som ofte mangler, er beslutningen om restrisiko. Det er nettopp dette feltet som viser at noen med fullmakt har tatt stilling, og derfor er det blant de første som blir kontrollert ved tilsyn og revisjon.

Risikostyringsplan i Excel eller i et systemverktøy?

Excel fungerer for en liten virksomhet med få risikoer, men et systemverktøy blir nødvendig når risikoene må kobles til systemer, behandlinger, leverandører og avvik.

Regneark mangler versjonshistorikk, påminnelser og koblinger mellom opplysninger. Når samme leverandør går igjen i 15 risikoer og 3 behandlinger, blir det vanskelig å holde alt oppdatert for hånd. Et systemverktøy gir sporbarhet: hvem endret hva, når og hvorfor.

Hvem gjør hva i risikostyringsprosessen?

Ledelsen beslutter rammer og restrisiko, risikoeierne gjennomfører tiltakene, og en koordinerende funksjon holder prosessen samlet.

Personvernombudet skal ikke eie risikoer eller ta beslutninger om dem. Rollen er rådgivende og overvåkende etter artikkel 39 i personvernforordningen, og hvis ombudet beslutter behandlinger, oppstår det en interessekonflikt (artikkel 38 nr. 6).

Eksempler på situasjoner der risikostyringsprosessen settes i gang (H3)

Prosessen kjøres ikke bare etter kalenderen. Den må startes når forutsetningene endrer seg:

• "Vi skal ta i bruk et KI-verktøy i kundeservice som leser innkommende e-post. Hvilke risikoer oppstår for kundene og for oss?"
• "Driftsleverandøren vår er kjøpt opp av et amerikansk selskap. Påvirker det risikoen i behandlingene der leverandøren er databehandler?"
• "Revisjonen viste at 4 av 10 tiltak fra fjorårets risikostyringsplan ikke er gjennomført. Hvordan prioriterer vi nå?"

Vanlige spørsmål om risikostyringsprosessen

Hvor lang tid tar en risikostyringsprosess?

Første runde tar som regel fra flere uker til noen måneder, mens senere runder går betydelig raskere.

Mesteparten av tiden i første runde går med til å fastsette kriterier og kartlegge verdier. Når grunnlaget er på plass, handler det om å oppdatere endringer, ikke om å begynne på nytt.

Hva er forskjellen på en risikostyringsplan og et risikoregister?

Risikoregisteret er en oversikt over alle identifiserte risikoer, mens risikostyringsplanen beskriver hva som skal gjøres med risikoene som må behandles.

Mange virksomheter har dem i samme dokument eller system, men funksjonen er ulik. Registeret viser risikobildet, planen viser handlingen.

Kan vi ha en felles risikostyringsprosess for GDPR og informasjonssikkerhet?

Ja, og det er som regel å foretrekke, så lenge prosessen også vurderer risikoen for de registrertes rettigheter og friheter.

Informasjonssikkerhet ser først og fremst på risiko for virksomheten, mens GDPR krever at dere også vurderer risikoen for personene dere behandler opplysninger om. En felles prosess reduserer dobbeltarbeid og gjør koblingene mellom systemer og behandlinger synlige.

Hvem skal godkjenne risikostyringsplanen?

Risikostyringsplanen godkjennes av ledelsen eller av det nivået ledelsen har delegert beslutningsmyndigheten til etter risikokriteriene.

Lave risikoer kan ofte godkjennes av risikoeieren selv, mens høye restrisikoer skal opp til ledergruppen. Det viktige er at nivåene er besluttet på forhånd og dokumentert.

Må risikostyringsprosessen følge ISO 31000?

Nei, ingen norsk lov krever en bestemt standard, men prosessen skal være systematisk og dokumentert.

ISO 31000 og ISO/IEC 27005 er etablerte rammeverk som gjør revisjon enklere. Offentlige forvaltningsorganer skal likevel basere internkontrollen for informasjonssikkerhet på anerkjente standarder etter eForvaltningsforskriften § 15, og den som vil sertifiseres etter ISO/IEC 27001, må oppfylle standardens krav til risikovurdering og risikobehandling.