Bra avsnitt! Risk och riskhantering är ett kärt ämne. Jag har arbetat många år med compliance inom bank/finans/försäkring där risk är den centrala komponenten.
Min erfarenhet, på en generell nivå, är att många ofta misslyckas med riskformuleringen, vilket i sin tur gör bedömning och mitigering av risken oerhört svårt att lyckas med. Alltför ofta ser man alltför vida riskformuleringar, vilket gör det nästan omöjligt att arbeta med risken på ett effektivt sätt. Då brukar det underlätta att tänka i hierarkier, områden eller kategorier av risk.
Inom mina områden användes ofta den traditionella OHK-metodiken, som är tämligen simpel till sin natur, men brukar räcka långt. Alltför avancerade modeller brukar snarare ställa till det i förståelsen, vilket gör att det spenderas för lite tid med riskhantering, vilket i sig kan öka det samlade riskvärdet.
Med OHK-metoden avses Orsak-Händelse-Konsekvens, riskformuleringen brukar se ut enligt följande:
”Risk för att [oönskad händelse] leder till [konsekvens] till följd av [orsak/hot + eventuellt brustna barriärer]”
Därefter bedömer man ofta Sannolikhet och Konsekvens, som tillsammans skapar riskvärdet.
Normalt har man sedan tidigare beslutat om toleransnivåerna, det brukar göras i någon form av riskmatris där man plottar in sannolikhet och konsekvens och man ser om risken ligger i grön/gul/röd zon. Man har då i förväg även beslutat vad som gäller per zon, vem ansvarar, vad ska göras etc.