Så arbetar ni med riskbedömning

Riskbedömning handlar om att prioritera vilka risker organisationen ska arbeta med först. Syftet är att skapa en bättre förståelse för vilka händelser som kan påverka verksamheten negativt, exempelvis genom ekonomiska förluster, avbrott i verksamheten eller bristande förtroende. I det här blogginlägget går vi igenom hur ni kan arbeta med riskbedömning, visar några konkreta exempel och lyfter fram vad som är viktigt att tänka på.

Vad är en riskbedömning?

Riskbedömning är en process för att identifiera, analysera och värdera risker som kan påverka en verksamhet, process eller aktivitet. Syftet är att förstå vilka risker som är mest kritiska, hur sannolika de är och vilka konsekvenser de kan få.

Genom en strukturerad riskbedömning får organisationen ett bättre underlag för att prioritera åtgärder, fördela resurser och fatta välgrundade beslut om hur riskerna ska hanteras.

Riskbedömning, riskanalys och riskhantering – vad är skillnaden?

Begreppen riskbedömning, riskanalys och riskhantering används ofta tillsammans och är centrala delar av organisationens arbete med governance, risk och compliance (GRC).

• Riskbedömning är den övergripande processen för att identifiera, analysera och prioritera risker.

• Riskanalys är en del av riskbedömningen och fokuserar på att bedöma hur sannolikt det är att en risk inträffar och vilka konsekvenser den kan få.

• Riskhantering omfattar de åtgärder, kontroller och uppföljningsaktiviteter som används för att hantera identifierade risker över tid.

Tillsammans ger dessa delar organisationen bättre förutsättningar att fatta beslut, prioritera resurser och arbeta mer proaktivt med risker.

När ska en riskbedömning göras? 

En riskbedömning bör genomföras när det sker förändringar, både inom organisationen och i omvärlden. Det kan exempelvis handla om nya processer, förändrade arbetssätt, omorganisationer eller förändrad arbetsbelastning.

Även förändringar utanför organisationen kan skapa nya risker. Geopolitiska händelser, förändrade regelkrav, nya hotbilder eller ekonomiska förändringar kan påverka verksamheten och skapa behov av att omvärdera befintliga risker. Riskbedömning bör därför vara en kontinuerlig del av organisationens arbete med styrning och uppföljning.

Vem gör en riskbedömning? 

Risker finns i hela organisationen och därför behöver det finnas en tydlig struktur för hur de identifieras, bedöms och följs upp.

För att få en så heltäckande riskbild som möjligt är det viktigt att involvera en bred och tvärfunktionell grupp med olika perspektiv på verksamhetens risker. Ett vanligt misstag är att delegera arbetet till ett fåtal.

Ett effektivt sätt att genomföra riskbedömningen är att organisera en riskworkshop utifrån deltagarnas ansvarsområden:

• Övergripande/gemensam risk – centrala ledningsgruppen/C-gruppen

• Verksamhetsspecifik risk – lokala ledarskapsgrupper eller forum

• Processpecifik risk – processägare tillsammans med lokala representanter och processanvändare

Så gör du en riskbedömning i 4 steg

En riskbedömning handlar om att förstå vad som kan inträffa, hur sannolikt det är och vilka konsekvenser det skulle få för verksamheten. Med det som underlag kan organisationen prioritera vilka risker som behöver hanteras och besluta om lämpliga åtgärder och kontrollaktiviteter.

1. Identifiera risken 

Det första steget handlar om att identifiera vilka risker som finns i verksamheten. Det kan exempelvis röra sig om informationssäkerhetsrisker, som en cyberattack eller obehörig åtkomst till känslig information, arbetsmiljörisker, leverantörsberoenden eller andra operativa risker som kan påverka verksamhetens förmåga att nå sina mål.

För att fånga upp relevanta risker är det ofta värdefullt att involvera flera delar av organisationen. Ett system för riskhantering kan dessutom underlätta informationsinsamlingen och skapa en gemensam överblick över identifierade risker.

2. Analysera och bedöm risken

När riskerna har identifierats behöver organisationen bedöma vilka som är mest prioriterade att hantera. Eftersom resurser alltid är begränsade är det viktigt att fokusera på de risker som kan få störst påverkan på verksamheten.

Bedömningen utgår vanligtvis från två faktorer: sannolikhet och konsekvens. Exempelvis kan en cyberattack ha relativt låg sannolikhet men mycket hög konsekvens, medan en mindre driftstörning kan vara mer sannolik men få begränsad påverkan på verksamheten.

En riskmatris kan vara ett värdefullt stöd för att visualisera och prioritera riskerna.

Lästips: Vad är en konsekvensanalys?

3. Åtgärda risken genom direktåtgärder eller kontrollaktiviteter

När riskerna har prioriterats är nästa steg att besluta om hur de ska hanteras. Vissa risker kräver omedelbara åtgärder, medan andra kan hanteras genom kontrollaktiviteter som byggs in i ordinarie processer och arbetssätt.

Direktåtgärder används ofta när ett problem behöver hanteras omedelbart. Kontrollaktiviteter är däremot ett mer långsiktigt och förebyggande sätt att reducera risker genom att integrera riskhanteringen i det dagliga arbetet.

4. Monitorera och följ upp risken

Riskbedömning är inte en engångsaktivitet. För att säkerställa att riskerna hanteras på rätt sätt behöver organisationen löpande följa upp hur situationen utvecklas och om vidtagna åtgärder har avsedd effekt.

Dokumentation och uppföljning är därför centrala delar av arbetet. Genom att regelbundet se över risker, åtgärder och kontrollaktiviteter blir det lättare att identifiera förändringar och säkerställa att organisationen har rätt skydd på plats.

Omsätt riskbedömningen i handling

Riskbedömning handlar ytterst om att ge organisationen ett bättre underlag för att prioritera resurser, fatta beslut och hantera osäkerhet. När risker identifieras, bedöms, åtgärdas och följs upp systematiskt blir det lättare att skapa kontroll, tydligt ansvar och en mer strukturerad verksamhetsstyrning.

Vanliga frågor om riskbedömning

Vad är en riskbedömning?
En riskbedömning är en process för att identifiera, analysera och värdera risker som kan påverka verksamheten. Syftet är att förstå vilka risker som är mest kritiska och vilka åtgärder som behöver prioriteras.

När bör en riskbedömning genomföras?
Riskbedömningar bör genomföras vid större förändringar i verksamheten, exempelvis nya processer, omorganisationer eller förändrade omvärldsförutsättningar. De bör också vara en återkommande del av organisationens styrning och uppföljning.

Vem ansvarar för riskbedömningen?
Ytterst ansvarar ledningen för att organisationen arbetar systematiskt med risker. Själva riskbedömningen bör däremot involvera flera funktioner och verksamhetsområden för att ge en så heltäckande riskbild som möjligt.

Vad är skillnaden mellan riskbedömning och riskanalys?
Riskbedömning omfattar identifiering, värdering och prioritering av risker. Riskanalys är en del av riskbedömningen och fokuserar på att bedöma sannolikheten för att en risk inträffar och vilka konsekvenser den kan få.

Hur ofta bör en riskbedömning göras?
Det beror på verksamhetens förutsättningar och förändringstakt. Många organisationer genomför riskbedömningar löpande under året och som en del av verksamhetsplanering, internkontroll och uppföljning.

Vill ni få en bättre bild av organisationens riskarbete?
Läs även 8 frågor för att kartlägga er riskhantering.

Omsätt riskbedömningen i handling

Riskbedömning skapar störst värde när den leder till åtgärder, tydligt ansvar och löpande uppföljning. Med rätt stöd blir det enklare att arbeta strukturerat med risker i hela organisationen.

Vill du veta mer om hur ett verktyg för riskhantering kan hjälpa er att övervaka och implementera processer på en och samma plats samt ge en tydlig överblick?