Självdiagnos: riskhantering i verksamheten

1. Riskanalysen utgår från verksamhetens viktigaste mål, uppdrag och krav.

2. Ledningen har definierat gemensamma kriterier för väsentlig risk och riskacceptans.

3. Riskbilden påverkar verksamhetsplan, budget, investeringar och prioriteringar.

4. Ledning eller styrelse får en samlad bild av de mest väsentliga verksamhetsriskerna.

5. Riskanalysen uppdateras när omvärld, uppdrag eller förutsättningar förändras väsentligt.

6. Varje väsentlig risk har en namngiven ägare med ansvar för exponeringen.

7. Riskägaren har mandat att besluta åtgärder eller eskalera behov av beslut.

8. Ansvar mellan verksamhet, stöd, säkerhet, IT och leverantörer är tydligt i riskarbetet.

9. Risker i organisatoriska gränssnitt och externa beroenden har tydliga ägare.

10. Chefer och medarbetare vet när och hur en ny eller förändrad risk ska rapporteras.

11. Organisationen använder en gemensam metod för att identifiera och värdera risker.

12. Kritiska processer och deras beroenden till människor, lokaler, information, teknik och leverantörer är kartlagda.

13. Orsaker, möjliga händelser och konsekvenser skiljs åt i riskbeskrivningen.

14. Relevanta scenarier används för att pröva sårbarhet och verksamhetens motståndskraft.

15. Incidenter, avvikelser och övningar leder systematiskt till lärande och förbättring.

16. Riskbedömningar bygger på tillförlitliga data och dokumenterade professionella bedömningar.

17. Ledningen följer indikatorer som kan visa en försämrad riskbild tidigt.

18. Riskinformation kan sammanställas utan att viktiga skillnader mellan verksamheter döljs.

19. Informationssäkerhet, dataskydd och cyberberoenden ingår i den samlade riskbilden.

20. Systemstödet ger spårbarhet från risk och beslut till åtgärd och uppföljning.

21. Den ekonomiska och verksamhetsmässiga konsekvensen av större risker bedöms.

22. Kostnaden för en åtgärd vägs mot förväntad riskreduktion och verksamhetsnytta.

23. Reserver, försäkringar och kontinuitetslösningar används med tydligt definierat syfte.

24. Kvarvarande risk efter åtgärd redovisas och accepteras av rätt beslutsnivå.

25. Riskportföljen prioriteras så att resurser används där exponeringen är mest väsentlig.

26. Beslutade åtgärder har ansvarig, finansiering, tidsgräns och tydligt förväntat resultat.

27. Organisationen följer om genomförda åtgärder faktiskt fungerar på avsett sätt.

28. Förändringsinitiativ riskbedöms innan nya arbetssätt eller system införs.

29. Kulturen uppmuntrar tidig rapportering av osäkerhet, misstag och svaga signaler.

30. Ledningen kan omprioritera snabbt när risker förändras eller en allvarlig händelse inträffar.