Vikten av upptäcktstid i genomförandet av risk- och sårbarhetsanalys

Abstract

Myndigheter, regioner och kommuner måste återkommande genomföra en risk- och sårbarhetsanalys (RSA). Målet med RSA är att organisationen ska identifiera och analysera de risker organisationen står inför, avgöra hur sårbar organisationen är för riskerna och sedan vidta åtgärder för att hantera riskerna. Utöver detta ska organisationen rapportera in till myndigheterna som sedan skapar en regional och nationell lägesbild.

I riskanalysen utgår organisationen ifrån en bedömning av vilka konsekvenserna skulle bli om en händelse inträffar tillsammans med en bedömning om hur sannolikt det är att händelsen inträffar. I arbetet med RSA ska fokus främst riktas mot risker där konsekvenserna blir höga eller katastrofala om en händelse inträffar men att sannolikheten är låg att händelsen sker. Bedömningarna vägs sedan samman och ett beslut tas om åtgärder ska tas eller ej för att öka organisationens robusthet mot risken.

Men det är först när en organisation upptäcker förändringar i omvärlden som kan leda till nya eller förändrade risker som den kan bedöma riskerna, ju tidigare desto bättre. Upptäcktstiden kan vara lång, kort men även negativ. Ett exempel på lång upptäcktstid är klimatförändringar som på sikt leder till nya risker som organisationen ställs inför. För andra händelser är upptäcktstiden kort som exempelvis när ett fraktfartyg går på grund i Suezkanalen som sedan medför nya risker för störningar i tillgången till produkter som organisationen är beroende av. Ett exempel på en negativ upptäcktstid är när en händelse redan har inträffat utan att organisationen är medveten om den, som när en organisation har blivit utsatt för en cyberattack som upptäcks först efter några månader. Förmågan att upptäcka nya eller förändrade risker bör därför bli ytterligare en parameter i arbetet med RSA, vid sidan av bedömningen av konsekvensen och sannolikheten.  

Följande presentation syftar till att ge ett bidrag i utvecklingen organisationers arbete med RSA genom att rikta fokus mot hur organisationer kan arbeta för att kontinuerligt upptäcka nya eller förändrade risker i omvärlden.