Residual risiko vs. Risikoappetit

Hvorfor de er forskellige

Residual risiko er det, der faktisk er tilbage; risikoappetit er, hvor meget ledelsen er villig til at lade blive tilbage. Den første måles op mod den anden.

Residual risiko

Risikostyring

Den risiko, der stadig er tilbage, når kontrollerne er på plads, fordi ingen beskyttelse fjerner faren helt.

Formelt

Det risikoniveau, der er tilbage, efter de valgte kontroller er indført, og som risikoejeren derefter enten skal acceptere formelt eller håndtere yderligere.

Forklaret enkelt

Selv med sikkerhedssele er der stadig en vis risiko for at komme til skade, når man kører bil.

I praksis

Efter at en kommune har indført MFA og awareness-træning, falder phishing fra rødt til gult på heat-mappet, og kommunaldirektøren skriver under på, at det gule niveau, der er tilbage, er acceptabelt.

Hvorfor det betyder noget

At lade som om kontroller får risikoen til at forsvinde, skjuler den fare, der er tilbage; når den bliver sat ord på, må en navngiven person enten acceptere den eller betale for at mindske den yderligere.

Risikoappetit

Risikostyring

Hvor meget risiko ledelsen er villig til at leve med for at nå virksomhedens mål.

Formelt

En ledelsesbeslutning, der fastlægger mængden og typen af risiko, en organisation vil acceptere, og som bruges som grænsen for, om en risiko skal håndteres yderligere.

Forklaret enkelt

Ligesom hvor stærkt man er villig til at køre - nogle accepterer mere fare for at komme hurtigere frem, andre gør ikke.

I praksis

Bestyrelsen i en pensionskasse skriver ned, at den ikke accepterer nogen risiko for at miste medlemmernes data, men godt kan leve med korte nedbrud af den interne chat, og IT-sikkerhedschefen planlægger kontrollerne derefter.

Hvorfor det betyder noget

Uden en fastlagt grænse bliver hver risikobeslutning et spørgsmål om holdning, og ledelsen kan ikke stilles til ansvar.

Fælles forbindelser

Risiko Risikoaccept