Automatisering har flyttet inn i risikostyringens maskinrom. Verktøy som beregner risikonivåer, prioriterer oppgaver og støtter vurderinger, er i dag vanlige funksjoner i GRC-plattformer.
Men når du står overfor en revisor eller et styre, oppstår et avgjørende spørsmål: Hvor mye av vurderingen kan du egentlig overlate til systemet?
Bruken av kunstig intelligens øker raskt i norsk næringsliv. Ifølge Statistisk sentralbyrå brukte tre av ti norske foretak med minst ti ansatte én eller flere KI-teknologier i 2025. Det var en økning fra to av ti i 2024 og én av ti i 2023.
Utviklingen preger også compliance- og risikofunksjonene, der automatiserte beregninger og beslutningsstøtte spiller en stadig større rolle.
Automatisering og KI er imidlertid ikke det samme. En regelbasert risikoberegning basert på parametere som virksomheten selv har fastsatt, er ikke nødvendigvis et KI-system. Hvilke regulatoriske krav som gjelder, avhenger av teknologien og hvordan den brukes.
KI-forordningen håndheves nå i EU, mens den norske regjeringen arbeider med å innlemme den i EØS-avtalen og gjennomføre den i norsk rett. Eksisterende regelverk, blant annet personvernregelverket, gjelder allerede ved utvikling og bruk av KI.
Derfor blir det stadig viktigere å forstå hva teknologien gjør, hvilke data den bruker, og hvor den menneskelige kontrollen ligger.
Debatten om automatisert risikostyring blir ofte fremstilt som et enten–eller: Enten stoler vi blindt på algoritmen, eller så velger vi bort automatiseringen og går tilbake til regnearkene.
Virkeligheten er mer nyansert. Den riktige tilnærmingen avhenger av oppgaven.
Gode kandidater for automatisering:
Her skaper systemet konsistens og hastighet på områder der vi mennesker raskt kan miste oversikten.
Oppgaver som fortsatt krever menneskelig vurdering:
Disse oppgavene krever en forretningsmessig kontekst som en algoritme ikke har.
Bygg en transparent risikovurdering
Lær hvordan dere kan strukturere og dokumentere risikovurderinger samtidig som dere beholder kontrollen over datagrunnlaget og konklusjonene.
→ Last ned veiledningen i risikostyring basert på ISO 27005
Se bort fra uklare salgsbudskap om KI. Still i stedet tre konkrete spørsmål når dere vurderer et risikostyringsverktøy:
Formålet med automatisert risikostyring er ikke å fjerne mennesket fra prosessen, men å skape et bedre beslutningsgrunnlag.
Et gjennomtenkt system gir dere oversikt over relevante trusler, tidligere hendelser og eksisterende kontroller. Men det bør fortsatt være dere som fastsetter den forretningsmessige konteksten og verdiene som ligger til grunn for den endelige vurderingen.
Dere bør alltid kunne supplere en automatisert beregning med en skriftlig, faglig begrunnelse. Det er begrunnelsen – ikke tallet alene – som må kunne stå seg overfor revisor, ledelse og styre.
Når KI eller automatisert behandling påvirker enkeltpersoner, kan personvernregelverket og – når den blir gjennomført i Norge – KI-forordningen medføre ytterligere krav. Selv når det ikke treffes automatiserte avgjørelser om enkeltpersoner, er tydelig dokumentasjon og åpenhet avgjørende for både revisjon og god virksomhetsstyring.
Det grunnleggende prinsippet er det samme: Dere må kunne forstå, forklare og om nødvendig tilsidesette systemets resultat.
I NorthGRCs risikostyringsmodul støtter automatiseringen beslutningene deres – den erstatter dem ikke.
Plattformen gir direkte tilgang til trusselkataloger, hendelseshistorikk og informasjon om leverandørenes sikkerhetsnivå. Risikoberegningen bygger imidlertid på verdiene dere selv angir for sannsynlighet og konsekvens. Systemet bidrar til å kvalifisere beslutningen, men tar den ikke for dere.
Det samme gjelder risiko dere overtar fra leverandørene. Dersom en svakhet hos en leverandør øker den faktiske eksponeringen i et internt system, synliggjør NorthGRC sammenhengen. Det er fortsatt dere som beslutter tiltakene og vurderer de forretningsmessige konsekvensene.