Skillnaden på riskbedömning och riskanalys är att riskbedömning är hela processen för att kartlägga och värdera risker, medan riskanalys är ett specifikt steg inuti den processen. Uppdelningen hjälper er att först förstå riskerna och sedan välja åtgärder inom den bredare riskhanteringsprocessen.
Enkelt uttryckt: riskanalys svarar på "hur stor är risken?", medan riskbedömning omfattar kedjan från "vilka risker har vi?" till "vilka behöver behandlas?".
Båda sitter i sin tur inuti en tredje och bredare process: riskhanteringsprocessen. Nedan går vi igenom hur de tre förhåller sig till varandra enligt ISO 31000, och hur de tillämpas på IT-risker och leverantörsrisker.
Vad är en riskbedömning?
Riskbedömning är processen för att kartlägga, mäta och prioritera organisationens risker. Enligt den internationella standarden ISO 31000 består en riskbedömning av tre huvudsteg:
- Riskidentifiering – Kartlägga och hitta vilka risker som finns.
- Riskanalys – Analysera och beräkna hur stora riskerna är.
- Riskvärdering – Värdera och prioritera vilka risker som kräver åtgärder utifrån organisationens riskaptit.
I en riskbedömning går du igenom hela cykeln: från att kartlägga potentiella hot, via en djupdykning i sannolikhet och konsekvens, till en värdering mot era fastställda riskkriterier. Val och genomförande av skyddsåtgärder hör till riskbehandlingen.
Det är här organisationens riskaptit kommer in i bilden. Ledningen måste svara på hur stora risker du är villig att acceptera för att nå affärsmålen.
Riskvärderingen visar vilka risker som behöver behandlas och vilka som kan accepteras enligt era kriterier. Nästa steg är att välja åtgärder och dokumentera dem i en riskbehandlingsplan.
Exempel: Ni identifierar risken att obehöriga får åtkomst till ett kundregister. Sedan analyserar ni sannolikhet och konsekvenser med hänsyn till befintligt skydd. I riskvärderingen jämför ni resultatet mot era kriterier och avgör om mer skydd behövs. Därefter väljer ni åtgärder i riskbehandlingen. Att lista behandlingar är underlag för analysen; varje behandling är inte i sig en risk.
Vad är en riskanalys?
Riskanalys är det andra delsteget i riskbedömningen. Här mäter du riskerna du hittat – med siffror eller en kvalitativ skala – för att kunna prioritera dem rätt.
Här bedömer du hur troligt det är att ett hot blir verklighet och vad följderna kan bli. Ta hänsyn till befintliga kontroller, alltså de skyddsåtgärder ni redan använder. De minskar risken, även om hotet är vanligt. Resultatet blir ofta en riskmatris eller ett riskvärde som visar hur allvarlig risken är.
Exempel: Ni har identifierat risken att obehöriga får tillgång till kunddata i molnlagringen. Du tittar på statistik över intrång i liknande miljöer, bedömer påverkan på de registrerade och konstaterar att din MFA och kryptering minskar exponeringen avsevärt. Slutresultatet blir ett riskvärde – till exempel "Medel".
Jämförelse mellan riskbedömning och riskanalys
| Aspekt | Riskbedömning | Riskanalys |
|---|---|---|
| Omfattning | Hela processen (delsteg 1-3) | En specifik del (delsteg 2) |
| Fokus | Identifiering, analys och värdering | Förstå riskens sannolikhet och konsekvens |
| Standard | ISO 31000: Risk Assessment | ISO 31000: Risk Analysis |
| Resultat | Värderade och prioriterade risker | Uppskattad risknivå med motivering |
Hur riskanalys och riskhantering hänger ihop
Riskhantering är den övergripande, löpande verksamheten. Riskbedömning är den återkommande aktiviteten inuti den där risker faktiskt kartläggs och värderas. Riskanalys är mätsteget inuti riskbedömningen.
Följande fem steg visar hur arbetet hänger ihop enligt ISO 31000:
- Omfattning, sammanhang och kriterier – Avgränsa vad som ska bedömas och sätt riskkriterier och riskaptit.
- Riskidentifiering – Hitta riskerna.
- Riskanalys – Mät sannolikhet och konsekvens.
- Riskvärdering – Avgör vilka risker som kräver åtgärd.
- Riskbehandling – Genomför åtgärderna.
Övervakning och granskning, kommunikation och samråd samt dokumentation och rapportering löper genom hela processen.
Steg 2–4 utgör tillsammans riskbedömningen. Det är därför "riskanalys och riskhantering" inte är utbytbara begrepp: riskanalysen ger dig en uppskattad risknivå, riskhanteringsprocessen ger dig ett fungerande arbetssätt.
Skillnaden får praktiska konsekvenser. En organisation som gör riskanalyser men saknar steg 1 och 5 i processen producerar riskvärden som ingen agerar på. Bedömning, behandling och uppföljning behöver alla gå att följa. Ett riskvärde utan motivering eller ansvarig ger ett svagt beslutsunderlag.
Riskanalys och riskbedömning inom IT-säkerhet
För IT-risker är processen densamma, men underlaget och metoderna skiljer sig från traditionell verksamhetsrisk.
En IT-riskanalys börjar med era system, data, kopplingar mellan system och åtkomster. Beskriv vilka hot som kan drabba varje tillgång. Bedöm hur troligt ett angrepp är utifrån hoten och de svagheter som finns, snarare än enbart tidigare statistik. En ny sårbarhet i en tjänst som går att nå utifrån kan snabbt ändra hur troligt ett angrepp är.
Tre skillnader mot verksamhetsrisk är värda att notera:
- Konsekvensen är sällan bara ekonomisk. Enligt CIA-modellen bedöms påverkan på konfidentialitet, riktighet och tillgänglighet separat – ett dataläckage och ett driftstopp är olika sorters skada.
- Skyddet behöver verifieras. Både tekniska åtgärder, som MFA och segmentering, och organisatoriska rutiner påverkar risknivån. Utgå från vad som faktiskt fungerar, inte bara vad som står i policyn.
- Regelverken styr omfattningen. ISO 27001 kräver riskbedömning av informationstillgångar, NIS2 av kontinuitet och leveranskedja, GDPR av personuppgiftsbehandlingar. Samma system kan behöva bedömas flera gånger ur olika perspektiv.
ISO/IEC 27005 ger vägledning om informationssäkerhetsrisker och stödjer riskarbetet enligt ISO 27001. Se ISO:s beskrivning av ISO/IEC 27005.
Hur skiljer sig begreppen i ett IT-exempel?
Skillnaden syns i vilket resultat varje del ger. Här är ett exempel med obehörig åtkomst till ett kundregister:
| Del av riskbedömningen | Fråga | Exempel på resultat |
|---|---|---|
| Identifiering | Vad kan hända? | Ett kapat leverantörskonto kan ge åtkomst till kundregistret. |
| Analys | Hur sannolikt är det och vad blir följden? | Bedömd sannolikhet och konsekvens, med motivering utifrån behörigheter och befintliga skydd. |
| Värdering | Är risken acceptabel enligt våra kriterier? | Ett motiverat beslut om risken behöver behandlas. |
Att välja och införa ytterligare skydd hör sedan till riskbehandlingen. För metod, skalor och dokumentation, följ guiden till riskbedömning steg för steg. I ett system för riskhantering kan ni samla bedömning och efterföljande åtgärder med ansvariga och status.
Tillämpning på leverantörshantering och tredjepartsrisk
I arbetet med leverantörshantering och tredjepartsrisk (TPRM) blir uppdelningen särskilt tydlig. Vid onboarding av en ny leverantör börjar du med att identifiera vilka risker samarbetet medför.
I själva riskanalysen går du sedan på djupet genom att granska leverantörens egna skydd. Det kan innebära att du analyserar deras SOC2-rapporter, ISO-certifieringar eller genomför en säkerhetsintervju.
Slutligen landar du i en riskvärdering där du beslutar om den kvarstående risken är acceptabel.
Terminologi i riskarbetet
Terminologin kan variera mellan branscher och regelverk. Ange därför vilken metod ni använder och definiera begreppen i er riskrutin.
- Riskhantering = Hela den löpande verksamheten, inklusive behandling och uppföljning.
- Riskbedömning = Identifiering, analys och värdering av risker.
- Riskanalys = Analysen av sannolikhet och konsekvens för att mäta risk.
- Riskvärdering = Beslutet om en risk kräver åtgärd utifrån riskaptit.
Genom att använda rätt begrepp säkerställer du att alla – från IT-tekniker till ledningsgrupp – pratar samma språk och utgår från samma ramverk.
Vanliga frågor
Vilken ska jag börja med - riskanalys eller riskbedömning?
En riskanalys är en del av riskbedömningen. Du börjar med att identifiera riskerna (delsteg 1), sedan analyserar du dem (delsteg 2 - riskanalys), och avslutar med att värdera dem (delsteg 3).
Hur ofta ska vi göra riskbedömning?
Bestäm planerade intervall och gör en ny bedömning när betydande förändringar föreslås eller sker. ISO 27001 anger inte ett generellt krav på exakt ett års intervall. En årlig genomgång kan vara en praktisk startpunkt, men riskerna och förändringstakten avgör behovet.
Behöver vi göra riskanalys för alla identifierade risker?
Ja, men djupet kan variera. Enkla risker får en snabb beräkning, medan komplexa risker (som personuppgifter i molnet) kan kräva scenariomodellering eller en DPIA.
Vem ska genomföra riskbedömning och riskanalys?
Det kräver bred representation från CISO, IT-chef, verksamhetschefer och ibland jurister. Riskanalysen kan kräva specialister för tekniska eller juridiska detaljer.
Hur dokumenterar vi riskarbetet?
Använd en strukturerad mall eller ett GRC-system. Dokumentera identifierade risker, metodik, resultat, åtgärder, ansvariga och uppföljningsdatum.
Vilka verktyg används i riskanalys och riskbedömning?
Ramverk som ISO 31000 eller ISO 27005 styr processen. För själva analysen används ofta en riskmatris (sannolikhet × konsekvens), scenarioanalys eller kvantitativa metoder som Monte Carlo-simulering.
Vad är skillnaden mellan riskbedömning och riskhanteringsprocess?
Riskhantering omfattar även sammanhang och kriterier, riskbehandling, uppföljning, kommunikation och dokumentation. Riskbedömning är den del som identifierar, analyserar och värderar riskerna. Riskanalys är ett steg inom riskbedömningen.
Gäller samma skillnad inom maskinsäkerhet och arbetsmiljö?
Logiken är densamma – analysen är ett steg inuti bedömningen – men regelverket är ett annat. För maskiner gäller ISO 12100 och maskindirektivet 2006/42/EG, som ersätts av maskinförordningen (EU) 2023/1230 i januari 2027. Där är riskbedömning tillverkarens dokumenterade process inför CE-märkning. Arbetsmiljörisker regleras av Arbetsmiljöverkets föreskrifter. ISO 31000 och ISO 27005 gäller verksamhets- och informationssäkerhetsrisk.
