Hvem har ansvar for risikostyring
Det er systemeier, som er eier av risikoen og er ansvarlig for risikostyringen. Den sikkerhetsansvarlige skal bistå i den praktiske gjennomføringen av risikovurderingen og gi råd underveis. Systemeier har ansvar for gjennomføring og oppfølging av tiltak. Det skal orienteres om gjennomførte risikovurderinger i ledergruppen, og særskilte risikoer og tiltak med vesentlig kostnad skal behandles.
Risikovurdering
Risikovurdering består i å identifisere, analysere og evaluere risiko. Risikovurderinger gjennomføres systematisk, periodisk og ved vesentlige endringer i oppgaver eller omgivelsene.
Arbeidet med risikovurderinger er initiert av:
- Årlige overordnede risikovurderinger
- Nye eller vesentlige endringer i tiltak, prosesser, IT-systemer, regulatoriske krav mv.
- Vesentlige endringer i trusselbildet
- Hendelser identifisert i og rapportert fra avvikshåndtering
- Status eller hendelser identifisert i og rapportert fra sikkerhetsrevisjon, egenkontroll og Ledelsens gjennomgang
Risikohåndtering
Risikohåndtering er hvordan vi tar stilling til hvordan risikoer skal håndteres. Det skjer på bakgrunn av både resultatet fra risikovurderingene og ledelsens føringer for risikohåndteringen. Det er fire hovedmåter vi håndterer risiko på:
- Akseptere risiko
- Unngå risiko
- Overføre/flytte risiko
- Behandle/modifisere risiko
Hvordan risikoeier velger å håndtere risiko styres av eventuelle pålegg i form av lover og regler, føringer fra ledelsen, risikoens sannsynlighet og konsekvens, formålseffektiviteten til aktuelle tiltak, forventet kostnad og gevinst, samt kontraktuelle forhold.
Til sist i risikohåndteringen lages en plan for hvem som skal etablere valgte tiltak innen hvilke frister. Disse planene følges opp av risikoeier.