Risikostyring

Et risikoregister, der holdes i live

De fleste risikoregistre er et regneark, der bliver skrevet én gang til en audit og aldrig åbnet igen. Risk Management gør risiko til en løbende praksis. Hver risiko har en ejer, scores på en skala, som alle læser ens, får en behandling med ejere og datoer, og gennemgås i et tempo, som systemet holder styr på for dig. Resultatet er ikke et dokument. Det er beviset på, hvordan du kom frem til det.

• Ét register med ensartet scoring, så prioritering bliver en sammenligning i stedet for et gæt
• Behandlingstiltag og -planer med ejere, forfaldsdatoer og godkendelse
• Gennemgange planlagt efter risikoniveau, så registret afspejler dagens risici, ikke sidste års
• En komplet historik over, hvordan hver risiko og dens behandling har ændret sig over tid

AI hjælper alle med at lave en ordentlig vurdering - og du bevarer kontrollen

Risikoarbejde er som regel forbeholdt specialister. De fleste, der bliver bedt om at udfylde en konsekvensanalyse vedrørende databeskyttelse, forstår ikke halvdelen af spørgsmålene. En indbygget AI-ledsager ændrer det. Den forklarer hvert begreb i et almindeligt sprog med den standard, det stammer fra, foreslår et svar ud fra det, du allerede ved, og tjekker vurderingen for huller, før du sender den ind. Når vurderingen er godkendt, foreslår den de risici, svarene peger på, hver med sin begrundelse og det bagvedliggende punkt, så din reviewer kan acceptere, redigere eller afvise dem.

Og udregningen er stadig din. Hver score i dit register beregnes ud fra værdier, som et menneske har indtastet. AI kan foreslå en score og forklare sin tankegang, men den skriver aldrig en, og ingen risiko bliver aktiv, uden at nogen bekræfter den. Du får AI'ens hurtighed og den ansvarlighed, en reguleret beslutning kræver.

Scoring, du kan forsvare

Risk Management leveres med en fuldt kalibreret 5×5-model for sandsynlighed × konsekvens, baseret på NIST SP 800-30, så "hvorfor er den her en firer?" endelig har et skriftligt svar. Når du sætter sandsynlighed og konsekvens, vises scoren, dens niveau og farve samt den forventede behandling med det samme. Vurderingsmanden ser konsekvensen, før han binder sig til den. Behandling er påkrævet over niveauet Medium og håndhæves, når du gemmer, og hvis en restrisiko bliver liggende på Medium eller højere, beder produktet om den dokumenterede godkendelse, det kræver at acceptere den. Dermed lukkes det hul, der er det hyppigste auditfund inden for risikostyring.

Har du brug for en anden model? En metodemotor lader din administrator skrive jeres egen scoring - flerfaktor, vægtet eller højeste alvorlighed - versionere den og udgive den. Dermed er det ikke længere et enten-eller at tilpasse jeres skala og holde den ajour.

Aldrig forældet, altid klar til audit

Hver risiko har en dato for næste gennemgang, som niveauet bestemmer: Kritisk og Høj månedligt, Medium kvartalsvis, Lav årligt. Ejeren bliver rykket, når datoen indtræffer. Selv en gennemgang, hvor intet har ændret sig, tæller. Den nulstiller uret og efterlader dokumenteret bevis for, at du kiggede. Vurderinger bliver en øvelse, der kan gentages, dateres og godkendes. Den, der udfylder en vurdering, kan ikke godkende den, og når den først er godkendt, forsegles den og gemmes for altid. Når en auditor spørger, hvordan du identificerede dine risici, og hvem der godkendte dem, har acceptloggen og vurderingsdokumentet allerede svaret.