Riskanalys vs riskbedömning: skillnaden enligt ISO 31000

Skillnaden på riskbedömning och riskanalys är att riskbedömning är hela processen för att kartlägga och värdera risker, medan riskanalys är ett specifikt steg inuti den processen. För organisationer som arbetar med GDPR, ISO 27001 eller NIS2 är skillnaden mellan dessa begrepp avgörande för korrekt efterlevnad och effektiv riskhantering.

Enkelt uttryckt: riskanalys svarar på "hur stor är risken?", medan riskbedömning omfattar hela kedjan från "vilka risker har vi?" till "hur ska vi hantera dem?".

Båda sitter i sin tur inuti en tredje och bredare process: riskhanteringsprocessen. Nedan går vi igenom hur de tre förhåller sig till varandra enligt ISO 31000, och hur de tillämpas på IT-risker och leverantörsrisker.

Vad är en riskbedömning?

Riskbedömning är processen för att kartlägga, mäta och prioritera organisationens risker. Enligt den internationella standarden ISO 31000 består en riskbedömning av tre huvudsteg:

1. Riskidentifiering – Kartlägga och hitta vilka risker som finns.
2. Riskanalys – Analysera och beräkna hur stora riskerna är.
3. Riskvärdering – Värdera och prioritera vilka risker som kräver åtgärder utifrån organisationens riskaptit.

I en riskbedömning går du igenom hela cykeln: från att kartlägga potentiella hot, via en djupdykning i sannolikhet och konsekvens, till det slutgiltiga beslutet om hur risken ska hanteras.

Det är här organisationens riskaptit kommer in i bilden. Ledningen måste svara på hur stora risker du är villig att acceptera för att nå affärsmålen.

Beroende på resultatet landar du oftast i ett av fyra beslut: att reducera risken, acceptera den som den är, överföra den eller helt undvika den. Resultatet blir en prioriterad åtgärdsplan som ligger till grund för säkerhetsarbetet.

Exempel: Du genomför en riskbedömning av personuppgiftsbehandlingar enligt GDPR. Först identifierar du 47 olika behandlingar (steg 1). Sedan analyserar du varje behandling och beräknar riskpoäng (steg 2). Slutligen beslutar du om åtgärder, som att införa kryptering eller flytta data till en säker leverantör inom EU (steg 3).

Vad är en riskanalys?

Riskanalys är det andra steget i processen. Här mäter du riskerna du hittat – med siffror eller en kvalitativ skala – för att kunna prioritera dem rätt.

Här bedömer du sannolikheten för att ett hot faktiskt ska materialiseras och analyserar de potentiella konsekvenserna. En kritisk del är att ta hänsyn till befintliga kontroller – de skyddsåtgärder du redan har på plats sänker den reella risknivån, även om hotet i sig är vanligt. Resultatet av en riskanalys är ofta en riskmatris eller ett riskvärde som visar riskens allvarlighetsgrad.

Exempel: Du har identifierat molnlagring av kunddata som en risk. Du tittar på statistik över intrång i liknande miljöer, bedömer påverkan på de registrerade och konstaterar att din MFA och kryptering minskar exponeringen avsevärt. Slutresultatet blir ett riskvärde – till exempel "Medel".

Jämförelse mellan riskbedömning och riskanalys

Hur riskanalys och riskhantering hänger ihop

Riskhantering är den övergripande, löpande verksamheten. Riskbedömning är den återkommande aktiviteten inuti den där risker faktiskt kartläggs och värderas. Riskanalys är mätsteget inuti riskbedömningen.

Riskhanteringsprocessen enligt ISO 31000 har sex komponenter. Fem följer på varandra:

1. Omfattning, sammanhang och kriterier – Avgränsa vad som ska bedömas och sätt riskkriterier och riskaptit.
2. Riskidentifiering – Hitta riskerna.
3. Riskanalys – Mät sannolikhet och konsekvens.
4. Riskvärdering – Avgör vilka risker som kräver åtgärd.
5. Riskbehandling – Genomför åtgärderna.

Den sjätte, övervakning och granskning, löper parallellt genom hela processen tillsammans med kommunikation och samråd samt dokumentation och rapportering.

Steg 2–4 utgör tillsammans riskbedömningen. Det är därför "riskanalys och riskhantering" inte är utbytbara begrepp: riskanalysen ger dig ett tal, riskhanteringsprocessen ger dig ett fungerande arbetssätt.

Skillnaden får praktiska konsekvenser. En organisation som gör riskanalyser men saknar steg 1 och 5 producerar riskvärden som ingen agerar på. Vid en ISO 27001-revision är det just riskbehandling och uppföljning som granskas hårdast – inte hur eleganta riskvärdena är.

Riskanalys och riskbedömning inom IT-säkerhet

För IT-risker är processen densamma, men underlaget och metoderna skiljer sig från traditionell verksamhetsrisk.

En IT-riskanalys utgår från tillgångar: system, data, integrationer och åtkomster. Du kopplar varje tillgång till relevanta hot, och bedömer sannolikhet utifrån hotbild och sårbarheter snarare än historisk statistik. En nyupptäckt sårbarhet i en exponerad tjänst kan ändra sannolikheten över en natt.

Tre skillnader mot verksamhetsrisk är värda att notera:

• Konsekvensen är sällan bara ekonomisk. Enligt CIA-modellen bedöms påverkan på konfidentialitet, riktighet och tillgänglighet separat – ett dataläckage och ett driftstopp är olika sorters skada.
• Kontrollerna är tekniska och mätbara. MFA, segmentering och loggning går att verifiera, vilket gör det lättare att motivera en lägre risknivå för en revisor.
• Regelverken styr omfattningen. ISO 27001 kräver riskbedömning av informationstillgångar, NIS2 av kontinuitet och leveranskedja, GDPR av personuppgiftsbehandlingar. Samma system kan behöva bedömas flera gånger ur olika perspektiv.

Standarden för just IT- och informationssäkerhetsrisk är ISO 27005, som konkretiserar ISO 31000 för informationssäkerhet.

Så genomför du en riskbedömning i praktiken

Teorin är en sak – att faktiskt sätta igång är en annan. Här är en konkret genomgång av hur du arbetar dig igenom de tre stegen.

Steg 1: Identifiera riskerna

Börja med att samla in underlag från hela verksamheten: processbeskrivningar, systemdokumentation, tidigare incidenter och intervjuer med ansvariga. Målet är en så komplett risklista som möjligt innan ni går vidare.

Vanliga tekniker för riskidentifiering:

• Workshops med representanter från IT, legal och verksamhet
• Hotkatalog baserad på ramverk som ISO 27005 eller MSB:s vägledningar
• Genomgång av tidigare incidenter och avvikelserapporter

Var specifik när du formulerar riskerna. "Dataintrång" är för vagt – "obehörig åtkomst till kundregister via komprometterade inloggningsuppgifter" är ett hanterbart riskscenario som går att analysera och åtgärda.

Steg 2: Genomför riskanalysen

För varje identifierad risk bedömer du två faktorer:

• Sannolikhet – Hur troligt är det att risken materialiseras? (t.ex. skala 1–5)
• Konsekvens – Hur stor är påverkan om det inträffar? (ekonomisk, operationell, rättslig)

Multiplicera värdena för att få ett riskvärde. En risk med sannolikhet 4 och konsekvens 5 ger riskvärde 20 och prioriteras före en risk med värde 6. Kom ihåg att dra av för kontroller du redan har – som beskrivs ovan sänker befintliga skyddsåtgärder det slutliga riskvärdet.

Steg 3: Värdera och besluta om åtgärd

Jämför riskvärdet mot din fastställda riskaptit. Risker över gränsvärdet kräver åtgärd. Risker under gränsvärdet kan accepteras, men ska dokumenteras med ett motiverat beslut.

För varje risk som kräver åtgärd väljer du ett av fyra spår:

1. Reducera – Inför kontroller för att sänka sannolikhet eller konsekvens
2. Acceptera – Dokumenterat beslut att leva med risken som den är
3. Överföra – Via försäkring eller kontraktuella klausuler med leverantör
4. Undvika – Avbryt aktiviteten som skapar risken

Resultatet är en riskbehandlingsplan med ägare, åtgärd, deadline och uppföljningsdatum. Det är detta dokument som ISO 27001, NIS2 och GDPR kräver att du kan visa upp vid en revision. Med ett system för riskhantering samlar du riskregister, riskmatris och åtgärder på ett ställe i stället för i spridda Excel-ark.

Tillämpning på leverantörshantering och tredjepartsrisk

I arbetet med leverantörshantering och tredjepartsrisk (TPRM) blir uppdelningen särskilt tydlig. Vid onboarding av en ny leverantör börjar du med att identifiera vilka risker samarbetet medför.

I själva riskanalysen går du sedan på djupet genom att granska leverantörens egna skydd. Det kan innebära att du analyserar deras SOC2-rapporter, ISO-certifieringar eller genomför en säkerhetsintervju.

Slutligen landar du i en riskvärdering där du beslutar om den kvarstående risken är acceptabel.

Terminologi och nationella standarder

Många svenska organisationer, inklusive MSB, använder ibland begreppen synonymt i dagligt tal. För korrekt efterlevnad och tydlig kommunikation bör du dock hålla isär dem.

• Riskhantering = Hela den löpande verksamheten, inklusive behandling och uppföljning.
• Riskbedömning = Arbetet från att hitta risker till att besluta om åtgärd.
• Riskanalys = Analysen av sannolikhet och konsekvens för att mäta risk.
• Riskvärdering = Beslutet om en risk kräver åtgärd utifrån riskaptit.

Genom att använda rätt begrepp säkerställer du att alla – från IT-tekniker till ledningsgrupp – pratar samma språk och utgår från samma ramverk.

Vanliga frågor

Vilken ska jag börja med - riskanalys eller riskbedömning?

Börja med en riskbedömning. Eftersom riskanalysen är ett steg i bedömningen kommer du naturligt att gå från identifiering till analys och slutligen värdering.

Hur ofta ska vi göra riskbedömning?

Minst årligen enligt ISO 27001 eller vid större förändringar i verksamheten. GDPR ställer även krav på löpande bedömningar vid hantering av personuppgifter.

Behöver vi göra riskanalys för alla identifierade risker?

Ja, men djupet på analysen bör anpassas. Enkla risker kan analyseras snabbt, medan komplexa hot kan kräva djupare metodik som scenariomodellering.

Vem ska genomföra riskbedömning och riskanalys?

Arbetet bör ske tvärfunktionellt med representanter från ledning, IT, säkerhet och berörda verksamhetsområden.

Hur dokumenterar vi riskarbetet?

Genom en risklista eller i ett GRC-verktyg. Dokumentationen ska vara spårbar och visa hur ni kom fram till era slutsatser.

Vilka verktyg används i riskanalys och riskbedömning?

Utöver ramverk som ISO 31000 används ofta riskmatriser för visualisering. För mer avancerad riskanalys kan man använda metoder som Bow-tie.

Vad är skillnaden mellan riskbedömning och riskhanteringsprocess?

Riskhanteringsprocessen är den löpande verksamheten och omfattar sex delar enligt ISO 31000. Riskbedömningen är steg 2-4 i den processen: identifiering, analys och värdering.

Gäller samma skillnad inom maskinsäkerhet och arbetsmiljö?

Logiken är densamma, men regelverket skiljer sig. För maskiner gäller ISO 12100 och maskindirektivet 2006/42/EG, som ersätts av maskinförordningen (EU) 2023/1230 i januari 2027. Arbetsmiljörisker regleras av Arbetsmiljöverkets föreskrifter.