Risikoappetit

ISO Guide 73:2009 (nu afløst af ISO 31073:2022) definerer risikoappetit som den mængde og type risiko, en organisation er villig til at søge eller bibeholde, og definerer risikotolerance for sig som dens parathed til at bære risikoen efter håndtering for at nå sine mål. COSO's ramme fra 2017, Enterprise Risk Management - Integrating with Strategy and Performance, tilføjer et tredje begreb, risikokapacitet, den største risiko en virksomhed kan bære, før dens overlevelse eller strategi er truet. I praksis er appetitten den brede erklæring på bestyrelsesniveau, tolerancen det målbare bånd af acceptabel afvigelse omkring konkrete mål, og kapaciteten det loft, appetitten skal ligge et godt stykke under. NIST IR 8286 om integration af cybersikkerhed i virksomhedens samlede risikostyring bruger samme opdeling, hvor appetitten fastlægges på virksomhedsniveau, og tolerancerne brydes ned til enheder og systemer. Begreberne bruges ofte i flæng, men når de blandes sammen, forsvinder forskellen mellem en strategisk præference og en operationel grænse.

Brugbare erklæringer om appetit er konkrete pr. risikokategori og udtrykt i enheder, forretningen allerede styrer efter. "Lav appetit for cyberrisiko" kan ikke bære en beslutning; "højst fire timers nedbrud af ordrebehandlingen pr. kvartal", "ingen enkelthændelse med mere end 1 % årlig sandsynlighed for et tab over 20 millioner" eller "ingen behandling af følsomme personoplysninger uden for EU/EØS" kan. Med kvantitativ analyse kan appetitten tegnes som en kurve op mod tabsoverskridelseskurven, og afstanden mellem dem viser direkte, hvor der skal sættes ind. Mange organisationer bruger også en navngiven skala som afvisende, minimal, forsigtig, åben og ivrig pr. kategori, fordi appetitten med rette varierer: En virksomhed kan være åben for risiko i produktudvikling og afvisende over for risiko inden for compliance.

Appetitten virker gennem de kriterier for risikoaccept, som ISO/IEC 27001:2022 punkt 6.1.2 a) 1) kræver fastlagt før vurderingen: Alt, der vurderes over dem, skal håndteres eller accepteres på et højere niveau. Den brydes også ned i nøglerisikoindikatorer (KRI'er) med tærskler, der udløser rapportering. Efter NIS2 art. 20, stk. 1, skal ledelsesorganet godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med gennemførelsen, hvilket i praksis gør appetitten til en beslutning, ledelsen ejer, og ikke en, der er uddelegeret til sikkerhedsfunktionen.

Den hyppige fejl er en erklæring om "nul appetit". Residual risiko er aldrig nul, så den slags erklæringer bliver enten ignoreret eller skubber risici ud af syne; den realistiske læsning er "minimal" med tydelige udløsere for eskalering. Appetitten står også i kontrast til risikoprofilen: Profilen er den risiko, organisationen faktisk bærer, appetitten er den, den er villig til at bære.