På et nyligt webinar om risikorapportering præsenterede produktekspert Lone Forland deltagerne for denne udmelding:
"På baggrund af identificerede kontrolmangler i vores tredjepartsrisikostyring anbefaler jeg, at vi igangsætter en struktureret leverandør-audit-cyklus for at mitigere residualrisiko uden for vores risikoappetit. Det forudsætter jo allokering af budgetmæssige ressourcer."
Vores CEO, Martin Jønck, grinede og svarede ironisk: "Jeg har taget kreditkortet med i dag, for jeg er så klar til at mitigere risici og køre kortet igennem på alle de tiltag, du har forberedt til i dag."
Lone vendte sig mod kameraet: "Sådan en samtale har aldrig nogensinde fundet sted. For det, jeg lige læste op her, er ikke sådan, man taler til sin ledelse om risikostyring. Det er helst ikke sådan, man taler til nogen om noget overhovedet."
Pointen ramte plet: sætningen var teknisk korrekt — og fuldstændig uforståelig for alle uden for GRC-funktionen. Sådan lyder meget risikorapportering, i det øjeblik den forlader GRC-funktionen.
Se hele webinar-optagelsen her.
Det er fristende at behandle ledelsesopbakning som noget, man håber at opnå — ikke som noget, rammeværkerne kræver. Men flere af de rammeværker, NorthGRCs kunder arbejder med, kræver det eksplicit.
Artikel 20 i NIS2 kræver, at ledelsesorganet hos væsentlige og vigtige enheder formelt godkender risikostyringsforanstaltninger for cybersikkerhed. De skal også aktivt føre tilsyn med implementeringen. Det ansvar kan ikke uddelegeres væk, og det kan medføre personligt ansvar, hvis det ikke overholdes.
Artikel 5 i DORA går endnu videre for finansielle virksomheder: ledelsesorganet skal fastlægge organisationens risikoappetit, godkende rammen for it-risikostyring og bære det overordnede ansvar for den. Ansvarlighedsprincippet i GDPR bygger på samme logik for databeskyttelse.
ISO 27001:2022 præciserede samme pointe i afsnit 5.3 om organisatoriske roller og ansvar — men selve princippet er ikke nyt. Standarden har siden 2013 gjort det klart, at den øverste ledelse bevarer det overordnede ansvar for informationssikkerhed, også når det daglige arbejde er uddelegeret til specialister.
Mønsteret går igen på tværs af rammeværkene: risikostyring kan ikke længere ligge alene hos "den dygtigste person i it-afdelingen." Det skal rapporteres til og forankres hos ledelsen — hvilket forudsætter, at ledelsen rent faktisk forstår, hvad de bliver præsenteret for.
Den mest almindelige fejl sker længe før nogen åbner en præsentation: at springe samtalen om, hvad der egentlig betyder noget for forretningen, over.
Rådet fra Martin Jønck er at finde en sponsor først: en person, der allerede kender organisationens mål og strategiske prioriteter, og som du kan tage en indledende samtale med om, hvad der reelt er kritisk for forretningen. Afhængigt af virksomhedens størrelse kan det være direktøren selv; i en større organisation er det typisk en CFO, en salgschef eller en HR-partner. Det afgørende er forståelse af målene, ikke titel eller anciennitet.
Den samtale begrænser scope helt naturligt. Overladt til sig selv har risikomanagere en tendens til at vurdere alt — hver leverandør, hvert system, hver proces — fordi alt føles en smule kritisk. Når organisationens reelle mål er klare, indsnævres det typisk til tre eller fire genuint kritiske områder. Et ERP-nedbrud, som en vognmandsvirksomhed kan leve med i et døgn, kan være uacceptabelt inden for få timer for en B2B SaaS-virksomhed — hvor meget nedetid man kan tåle afhænger helt af, hvad forretningen faktisk skal bruge for at køre videre.
Den tidlige afklaring gør to ting. Den giver dig et klart forsvar for ethvert senere risikofund — "I sagde, dette var det vigtige, så det er det, jeg har målt på" — og den sparer dig for at bruge uger på at vurdere noget, ingen med beslutningskraft anser for kritisk til at begynde med.
Når scope er på plads, kommer den næste samtale: risikoappetit — og den er sværere, end den lyder, fordi den umiddelbare reaktion altid er "nul risiko."
Jønck sammenligner det med en indboforsikring: ingen forsikrer sig reelt mod ethvert tænkeligt tab, for præmien for nul eksponering findes ikke inden for noget realistisk budget. I stedet sætter man en selvrisiko, man selv kan bære, og forsikrer alt derover. Risikoappetit fungerer på samme måde — det er tærsklen, hvor organisationen ønsker formelt tilsyn, ikke under.
I praksis ender den tærskel ofte som en rød-gul-grøn risikomatrix — den mest udbredte måde at visualisere risikoniveauer på i en rapportering. Faldgruben er at forsøge at udtrykke tærsklen alene i de farver. Skalaen læses forskelligt af alle i lokalet, og i det øjeblik den kommer op på skærmen, vil der altid være nogen, der spørger, hvad der adskiller gul fra rød — en samtale, der æder den tid, der var afsat til beslutninger. En klarere tilgang kobler farven til et konkret mål: impact over et angivet kronebeløb, nedetid over et angivet antal timer, gendannelsestid over en angivet tærskel. Farver kan stadig understøtte billedet — de skal bare ikke bære hele argumentet alene.
Selv med scope og risikoappetit på plads kan selve rapporten stadig miste lokalet — som regel på grund af et sprog, ingen uden for GRC-funktionen taler til daglig.
Rådet fra Lone Forland er klart: den faglige metode — fortrolighed, integritet, tilgængelighed, restrisiko, sandsynligheds-konsekvens-matricer — hører hjemme i selve vurderingsarbejdet, ikke i rapporten til ledelsen. Den hjælper dig med at analysere risikoen. Den hjælper ingen med at træffe en beslutning.
Problemet er ikke unikt for GRC — enhver specialistfunktion gør det samme. Forlands praktiske test: læs hver sætning igennem, og spørg dig selv, om en tolvårig ville kunne følge med. Hvis ikke, så skriv den om — eller, som hun foreslog, læg den ind i en AI-assistent først, og bed om en version, alle i forretningen ville forstå.
Se webinar-optagelsen og få hele gennemgangen af scope, risikoappetit og præsentationsteknik fra Lone Forland og Martin Jønck.
Det sidste element er, hvad der rent faktisk kommer med i selve præsentationen — og trangen til at få alt med er som regel det, der spænder ben for dig.
De fleste risikomanagere får et smalt tidsvindue hos ledelsen — fem, ti, måske syv minutter i et møde, der også dækker salg, it og et halvt dusin andre emner. At forsøge at gennemgå hele risikolandskabet på den tid betyder, at de få beslutninger, der rent faktisk kræver et ja eller nej, drukner i alt det øvrige.
Løsningen: vælg det ene, to eller højst tre fund, der reelt kræver budget eller en beslutning, og saml resten i én enkelt linje — "alt andet er grønt og gult, ingen handling nødvendig" — klar til at blive uddybet, hvis nogen spørger, men ikke i det, du viser.
Samme logik gælder for det, du viser. Er det fyldt med hver eneste risiko, hver farve og hvert forbehold, tvinger det publikum til at læse i stedet for at lytte. Flyt den understøttende detalje til et handout eller talepapir i stedet, og brug det, du viser, alene til de højst tre emner, der kræver en beslutning i dag.
At få scope og sprog på plads er kun halvdelen af opgaven — den anden halvdel er at have data klar til at bakke det op, i det øjeblik nogen i lokalet stiller et opfølgende spørgsmål. Det er her, et sammenhængende risikobillede for alvor batter: når hvert aktiv, hver leverandør og hvert fund allerede er koblet til det samme risikolandskab, bliver næste måneds rapport ikke en hovsa-øvelse, og "hvorfor betyder det her noget for os" kræver ikke en særskilt søgning gennem sidste års regneark.
Læs mere om, hvordan et samlet risikolandskab kobler aktiver, leverandører og fund i ét overblik.