Som det fremgår av dokument “Risikostyring”, skal risikovurderinger gjennomføres systematisk, periodisk og ved vesentlige endringer i oppgaver eller omgivelsene.
DPIA skal primært gjøres i Draft Its systemer. Det samme gjelder ROS-analyser. Dersom dette ikke lar seg gjøre, kan ROS-mal fra 2019 benyttes. Den ligger som leveranse fra Bedre Bedrift på One Drive/Teams. ROS-analyse knyttet til datasystem finnes hos IT-avdelingen. ROS-analyse for dokumentbehandling finnes i høgskolens saksbehandlingssystem.
Systemeier og ansvarlig for den enkelte behandling skal sørge for at det gjøres risikovurderinger ved behov. Dette kan være initiert av:
-
Årlige overordnede risikovurderinger
-
Nye eller vesentlige endringer i tiltak, prosesser, IT-systemer, regulatoriske krav mv.
-
Vesentlige endringer i trusselbildet
-
Hendelser identifisert i og rapportert fra avvikshåndtering
-
Status eller hendelser identifisert i og rapportert fra sikkerhetsrevisjon, egenkontroll og Ledelsens gjennomgang