Hanki yleiskuva riskienhallinnasta

Organisaation johto

• johtaa riskienhallintaa
• valitsee riskienhallinnan toimintamallin
• valitsee riskienhallinnan toimenpiteet ja niiden laatuvaatimukset
• päättää riskienhallintapolitiikasta
• arvioi merkittävimpiä riskejä
• päättää ja viestii organisaation riskinottohalusta ja -kyvystä
• viestii riskienhallinnan hyödyistä
• huolehtii riskienhallinnan resursoinnista.

Keskijohdon ja asiantuntijoiden tehtävä on

• rekisteröidä henkilöstön ja johdon ilmoittamat riskit
• käsitellä riskit
• vastata riskitiedon välittämisestä johdolle
• viestiä riskeistä henkilöstölle
• arvioida riskejä eri prosessien yhteydessä (esimerkiksi hankinnat ja henkilötietojen käsittely).

Henkilöstön tehtävä on

• seurata omaan työhönsä liittyviä riskejä
• raportoida havaitsemansa riskit eteenpäin esihenkilöilleen.

Riski tarkoittaa kielteistä uhkaa tai myönteistä mahdollisuutta toiminnan kehittämiseen. Riski voi myös olla molempia samanaikaisesti.

Esimerkiksi tekoälysovellusten käyttöönotto on organisaatiolle samaan aikaan sekä uhka että mahdollisuus: tekoälyn käyttöön liittyy eettisiä ja tietoturvariskejä, mutta toisaalta se voi samalla auttaa tehostamaan organisaation toimintaa ja tuoda liiketoimintahyötyjä.

Millaisia riskejä tekoälysovellusten käyttöönottoon liittyy? Lue lisää Suomi.fin Tekoälyn vastuullinen hyödyntäminen -oppaasta.

Mahdollisuudella tarkoitetaan riskin vaikutuksista mahdollisesti aiheutuvaa tapahtumaa tai kehityskulkua, jota voidaan hyödyntää tavoitteiden edistämisessä. Mahdollisuus on positiivinen riski, jonka avulla organisaatio voi kehittää toimintaansa. Riskit eivät siis liity pelkästään kriisitilanteisiin.

Uhka tarkoittaa mahdollisesti toteutuvaa haitallista tapahtumaa tai kehityskulkua.

Epäsuoralla eli välillisellä riskillä tarkoitetaan riskiä, jonka lähde vaikuttaa epäsuorasti kohteeseen. Välilliset riskit ovat usein välittömiä riskejä vaikeampia tunnistaa ja hallita.

Epäsuora riski voi olla luonteeltaan

• ketjuuntunut riski, joka siirtyy dominoilmiönä kohteesta toiseen. Esimerkiksi haavoittuvuus hankintaketjun osana olevan toimittajan ympäristössä vaarantaa kaikki samaan toimitusketjuun osallistuvat tahot.
• verkottunut riski, joka on lähtöisin monimutkaisista vaikutusketjuista, joiden vaikutuksia ja laajuutta on hankala arvioida. Esimerkiksi tiettyyn satamaan kohdistettu kyberhyökkäys pysäyttäisi suuren osan meritoimituksista Suomeen.
• toimintaympäristön rakenteelliseen muutokseen liittyvä riski, kuten esimerkiksi elinkeinorakenteen muutos.

Muita esimerkkejä epäsuorista digiturvariskeistä ovat esimerkiksi palveluntarjoajien tai muiden ulkoisten sidosryhmien huonosti suojatut laitteet tai järjestelmät sekä yhteiskunnallisiin kriisitilanteisiin liittyvät riskit.

Haavoittuvuudella tarkoitetaan turvallisuusuhille altistava puutetta, vikaa tai toimintatapaa.

Esimerkiksi liian helposti arvattavan eli heikon salasanan käyttäminen on toimintatapa, joka altistaa käyttäjän turvallisuusuhille.

Millainen on hyvä salasana? Tutustu Kyberturvallisuuskeskuksen salasanaoppaaseen.Avautuu uuteen ikkunaan.

Riskinkantokyvyllä tarkoitetaan organisaation kykyä sopeutua mahdollisesti toteutuvien riskien seurauksiin eli sitä, minkä määrän ja millaisia riskejä organisaatio voi kerrallaan kantaa ilman että sen toiminta vaarantuu liikaa.

Kun organisaation riskinkantokyky on pieni, on suurta uhkaa sisältäviltä riskeiltä suojauduttava. Vastaavasti kyvyn ollessa korkea on mahdollisuuksia sisältäviä riskejä helpompi sietää.

Organisaation riskinkanto- ja riskinottokyky vaihtelee. Siihen vaikuttavat organisaation

• resurssit
• sisäinen ja ulkoinen riskiympäristö
• organisaation digitaalisen turvallisuuden aste ja
• riskinottohalukkuus.

Esimerkiksi suuret ja merkittävät hankkeet heikentävät yleensä väliaikaisesti organisaation riskinkantokykyä, koska niihin liittyy epävarmuuksia ja uhkia ja ne kuluttavat organisaation resursseja. Hankkeiden onnistumiseen kohdennetut resurssit ovat usein pois organisaation normaalista toiminnasta. Tämä voi nostaa organisaation riskitasoa.

Riskirekisterillä tarkoitetaan rekisteriä, johon tallennetaan tunnistetut riskit ja niiden arvioinnit. Riskirekisteriin tallennettuja riskejä tulee myös seurata ja päivittää, koska riskiarvio voi muuttua riskin elinkaaren aikana.

Jäännösriskillä tarkoitetaan alkuperäisen riskin osaa, joka jätetään suunnitellusti hallintatoimien ulkopuolelle. Riskienhallintaprosessissa tunnistetut jäännösriskit täytyy hyväksyä tai jatkokäsitellä.

VAHTI-riskienhallintasanasto digitaaliseen toimintaympäristöön Suomi.fin Yhteentoimivuusalusta-palvelussaAvautuu uuteen ikkunaan.