Risikostyring
Identificér, vurdér, behandl og gennemgå dine risici ét sted. AI hjælper alle med at gennemføre en ordentlig vurdering, og bag hver beslutning ligger et dokumenteret spor, du kan stå inde for.
Hold et levende risikoregister, som hele teamet kan vedligeholde: ensartet scoring, behandling og løbende gennemgang i det interval, systemet holder styr på, og vurderinger, der er klar til audit.
Gør risikovurderinger til beslutninger, du kan følge til dørs
De fleste risikoregistre er et regneark, der bliver skrevet én gang til en audit og aldrig åbnet igen. Risk Management gør risiko til en løbende praksis. Hver risiko har en ejer, scores på en skala, som alle læser ens, får en behandling med ejere og datoer og bliver gennemgået i en fast rytme, som systemet holder styr på for dig. Du får ikke et dokument tilbage, men dokumentationen for, hvordan du nåede frem til det.
Risici kommer fra flere steder. Vurderinger, interessentgennemgange og kvalitetsarbejde kan alle rejse en risiko, og en risiko, der oprettes fra en kilde, kommer til gennemgang i stedet for at være godkendt på forhånd. Forretningsområder, kategorier og gemte visninger holder et register, der spænder over hele organisationen, læsbart.
Sådan ser det ud
Saml risici, scorer og revurderingsdatoer i ét register. Det her er gemte kladderisici med beregnede iboende scorer. Deres restrisiko er endnu ikke vurderet, og det fremgår af registret.
Anvendelser
Alle kan gennemføre en ordentlig vurdering
En indbygget AI-assistent forklarer fagudtrykkene og henviser til den standard, de kommer fra. Den udarbejder svar ud fra det, du allerede ved, og markerer huller, før du sender ind. Så bliver en DPIA eller en risikovurdering af dit ISMS lavet ordentligt, i stedet for at ende hos den ene specialist, der forstår spørgsmålene.
Dokumentér, hvordan du har identificeret dine risici
En vurdering gør risikoidentifikation til en dateret opgave med formel godkendelse. Den, der udfylder vurderingen, kan ikke selv godkende den. Godkendelsen låser posten. De risici, som AI foreslår, ligger i arkivet ved siden af oplysningen om, hvem der har bekræftet dem, og hvert forslag har sin begrundelse og den bagvedliggende klausul med.
Genvurdér uden at begynde forfra
Når en vurdering skal fornyes, udfyldes næste runde på forhånd med de senest godkendte svar. Du behøver derfor kun at rette det, der er ændret. Ved godkendelse beregner AI forskellen risiko for risiko og foreslår den, så din reviewer kan bekræfte den.
Bevis for aktiv ledelse
Gennemgange planlægges efter risikoniveau og rykkes, når fristen overskrides. Hver håndtering og accept registreres. Med Acceptance Log kan du give en auditor de besluttede accepter direkte: begrundelsen, hvem der har accepteret, og hvornår. Ingen jagt efter dokumentationen.
Risikostyring, der holder til audit
AI, der hjælper - aldrig beslutter
En hjælper gør det muligt for ikke-specialister at vurdere korrekt og foreslår de risici, en vurdering indebærer. Men hver score er et tal, en person har indtastet, og hvert forslag skal accepteres af et menneske.
Scoring, du kan forsvare
En kalibreret 5x5-model for sandsynlighed og konsekvens, bygget på NIST SP 800-30. Du ser bånd, farve og forventet håndtering, mens du scorer. Og har du brug for din egen model, kan du bygge den med den indbyggede motor.
Løbende gennemgang, klar til audit
Gennemgange planlægges efter risikoniveau, og vi rykker for dem, når de forfalder. Accept af restrisiko registreres med underskrift, og godkendte vurderinger forsegles permanent. Det spor, en auditor beder om, ligger klar.
Metoder
Brug den metode, din beslutning kræver
Produktet leveres med en færdigkalibreret 5x5-model for sandsynlighed x konsekvens, bygget på NIST SP 800-30. Så har spørgsmålet "hvorfor er det her et firetal?" et skriftligt svar. Modellen er ét valg, ikke det eneste: en metodemotor lader din administrator opbygge sin egen scoring - flerfaktor, vægtet eller højeste alvorsgrad - fastsætte tærsklerne, versionere den og publicere den.
Pointen er at gøre metoden eksplicit. Faktorer, skalaer og båndtærskler er konfiguration, du kan vise en auditor. De regler for håndtering og gennemgang, der følger af et bånd, hænger sammen med metoden i stedet for at bygge på vane. Værdierne ovenfor er konfigurationen i netop dette workspace, ikke en fast skala, som alle får.
- Faktorbaseret scoring med skalaer og tærskler, du kan læse og ændre
- Båndafhængige behandlings- og reviewregler, defineret sammen med metoden
- Versionerede metoder, så en ændring af din skala ikke skriver historien om
Vurdering og behandling
Adskil den oprindelige risiko fra det, der styres
En risikopost bevarer sin iboende score, vurderingen bag den, de kontroller den bygger på og den planlagte behandling, og den holder dem adskilt. Iboende og residual er forskellige tal. En foreslået kontrol er ikke en kontrol, der virker, og at koble den til sænker ikke i sig selv den anden.
Risikoen ovenfor er et gemt udkast: beskrevet, scoret for iboende eksponering, med kontekst for gennemgang og behandling på plads og residualvurderingen endnu ikke foretaget. Behandling kræves over Medium og håndhæves, når du gemmer. En residual risiko, der forbliver Medium eller højere, kræver den dokumenterede godkendelse, det tager at acceptere den.
- Iboende og residual score holdes hver for sig, med tilknyttede kontrolimplementeringer
- Handlingsplaner med ansvarlige, tidsfrister og godkendelse
- Gennemgange planlægges efter niveau. Kritiske og høje hver måned, mellem hvert kvartal, lave en gang om året.
- Et acceptlog med begrundelsen, hvem der har accepteret, og hvornår