Restrisk: Vilken risk finns kvar efter att kontroller har identifierats och valts?

Vad är restrisk?

Inom riskhantering är det inte möjligt att helt eliminera alla risker, hur effektiva åtgärderna än är. Den risk som återstår efter att kontroller har identifierats och valts kallas för restrisk, även benämnd som nettorisk.

Restrisken representerar alltså den exponering en organisation fortfarande bär på när de valda kontrollåtgärderna har implementerats och börjat verka. Att känna till och förstå restrisken är avgörande, eftersom den utgör grunden för beslut om ytterligare åtgärder eller om risken kan accepteras.

Formel för att beräkna restrisk

Sambandet mellan grundrisken och effekten av kontroller kan uttryckas enligt följande formel:

Restrisk = Grundrisk – Riskkontroll

Här avser grundrisken (inherent risk) den risk som existerar innan några kontroller har införts, medan riskkontrollen motsvarar den riskminskning som de identifierade och valda kontrollåtgärderna medför.

Varför är restrisk viktig?

• Beslutsfattande: Ledningen kan bedöma om den kvarvarande risken ligger inom organisationens riskaptit.
• Resursallokering: Genom att kvantifiera restrisken blir det tydligt var ytterligare kontroller behövs – eller inte behövs.
• Efterlevnad: Många standarder och regelverk, exempelvis ISO 31000 och ISO 27001, kräver att resterande risker dokumenteras och hanteras aktivt.

Kort sagt: även efter att kontroller har identifierats och valts finns alltid en kvarvarande risk kvar – restrisken – som måste utvärderas, accepteras eller åtgärdas vidare.