Riskhantering i säkerhetsskyddet har snävare gränser än i övrig verksamhet

Frågan kommer ofta från någon som arbetat länge med risk. Kan vi ta ett riskhanteringsbeslut inom säkerhetsskyddet. Kan vi acceptera en risk, dokumentera det och gå vidare.

I övrig verksamhetsstyrning är det ett fullt rimligt sätt att arbeta. Ni identifierar en risk, bedömer sannolikhet och konsekvens, väger kostnaden för åtgärd mot den förväntade skadan och fattar ett beslut.

Inom säkerhetsskyddet fungerar den logiken bara delvis, och skälet är värt att förstå ordentligt.

Vem risken tillhör

I vanlig riskhantering är det ni som bär konsekvensen. Bolaget står risken, bolaget betalar skadan, och därför är det rimligt att bolaget avgör hur mycket risk som är acceptabel.

Säkerhetsskyddet skyddar Sveriges säkerhet. Konsekvensen av en skada bärs alltså inte av er. Den bärs av staten.

Det gör en accepterad risk till något annat. Ni skulle acceptera en risk för någon annans räkning, och den någon annan sitter inte i ert rum.

Det är hela förklaringen till varför utrymmet är snävare här.

Vad ni ändå kan göra

Det betyder inte att allt måste skyddas maximalt. Regelverket bygger på att åtgärderna ska stå i proportion till skyddsvärdet.

Tre former av avvägning finns och används hela tiden.

Ni graderar skyddsvärdena. Allt är inte lika skyddsvärt, och skyddsnivån ska följa hur allvarlig skadan skulle bli. Där ligger den viktigaste avvägningen i hela arbetet.

Ni väljer mellan åtgärder. Ett skyddsbehov kan mötas på flera sätt, med olika kostnad och olika påverkan på verksamheten. Att välja den lösning som är billigast och minst störande är riskhantering i praktiken.

Ni prioriterar i tiden. Allt kan inte göras samtidigt. Ordningen på åtgärderna är ett beslut som ska fattas av någon, och det bygger på en bedömning av var risken är störst.

Skillnaden mot att acceptera

Det som skiljer det ovanstående från riskacceptans är att skyddsbehovet aldrig försvinner.

En prioritering säger att något ska göras senare. En acceptans säger att det inte ska göras alls. Den första är förenlig med säkerhetsskyddets logik. Den andra är svår att försvara när intresset som skyddas är nationellt.

I praktiken innebär det att en åtgärdsplan med tidsatta punkter är ett gångbart sätt att arbeta, medan ett dokumenterat beslut om att leva vidare med en brist sällan är det.

Var gränsen brukar testas

Tre situationer återkommer.

Utkontraktering. Det är billigare och bättre att lägga driften hos en extern leverantör, men leverantören kan inte uppfylla kraven. Här är frestelsen stor att bedöma restrisken som acceptabel.

Personal. En nyckelperson kan inte prövas i tid, och verksamheten behöver dem nu. Här uppstår tanken att göra ett tillfälligt undantag.

Ålderdomliga system. Ett system som bär en kritisk funktion kan inte moderniseras utan att verksamheten stannar. Här formuleras ofta en riskacceptans i väntan på ett framtida byte.

Alla tre är verkliga problem. Men i alla tre fall är det som behövs en plan med tidsangivelse och kompenserande åtgärder, inte ett beslut om att låta bli.

Varför skillnaden spelar roll vid en granskning

En tillsynsmyndighet läser dokumenterade riskbeslut med särskild uppmärksamhet.

En åtgärdsplan visar att ni har förstått ert skyddsbehov och arbetar mot det. Den kan diskuteras, och tidsplanen kan ifrågasättas, men riktningen är rätt.

En riskacceptans visar att ni har identifierat ett skyddsbehov och beslutat att inte möta det. Det är ett svårare läge, eftersom ni redan har dokumenterat att ni känner till bristen.

Samma sak gäller efter en incident. Det som var ett övervägt beslut i förväg framstår i efterhand som ett medvetet val att inte skydda något.

Hur ni håller isär de två

Ställ en fråga varje gång ett riskbeslut formuleras.

Skulle den här formuleringen gå att läsa upp för den vars intresse vi skyddar.

Är svaret att staten skulle kunna acceptera resonemanget handlar det om prioritering eller om proportionalitet, och det är rimligt. Är svaret att resonemanget bygger på vad som är billigast eller smidigast för er handlar det om acceptans, och den ligger utanför vad ni kan besluta ensamma.

Gör det här den här veckan

Ta fram era dokumenterade riskbeslut inom säkerhet, om ni har några. Läs igenom dem och sortera i två högar.

I den ena hamnar de som säger när något ska vara åtgärdat. I den andra de som säger att något inte ska åtgärdas.

Är den andra högen större än den första har ni ett arbetssätt som inte kommer att hålla i det här området, och det är bättre att upptäcka det nu än vid en granskning.

Det svåra är inte att skriva om besluten. Det svåra är att sätta datum på dem, eftersom ett datum förpliktar och en acceptans inte gör det.