De flesta team pratar om risk utan att komma överens om hur mycket av den de är villiga att acceptera. Någon lyfter ett hot, rummet diskuterar det, och beslutet landar hos den som argumenterar hårdast just den dagen. Nästa kvartal dyker en liknande risk upp och diskussionen börjar om från början, för ingen skrev ner var gränsen går.

Riskaptit och risktolerans är hur du drar den gränsen en gång och använder den varje gång. De gör om riskbeslut från åsikt till policy, så att ditt team hanterar samma risk på samma sätt oavsett om ledningen är i rummet eller inte. Det här inlägget går igenom vad varje begrepp betyder, varför ledningen äger dem och hur OptiTech sätter dina aptittrösklar i arbete i ditt riskregister.

Aptit och tolerans är inte samma sak

Båda beskriver hur mycket risk du accepterar, men på olika höjd.

Riskaptit är det breda uttalandet om hur mycket risk du är villig att ta för att nå dina mål. Det är strategiskt och riktningsgivande. "Vi accepterar måttlig risk i produktexperiment men nästan ingen risk för kunddata" är ett aptituttalande. Det anger tonen för en hel kategori.

Risktolerans är den specifika, mätbara gränsen kring en enskild risk eller ett mål. Det är punkten där en acceptabel risk blir oacceptabel. "Systemets tillgänglighet får inte understiga 99,9 procent någon månad" är en tolerans. Den är smal, konkret och går att mäta mot.

Det enklaste sättet att hålla isär de två: aptit är riktningen du är villig att färdas i, och tolerans är vägräcket som hindrar dig från att köra av vägen. Aptit styr strategin; tolerans utlöser handling. Du kan ha en aptit för dataskydd och flera toleranser under den, en för tillgänglighet, en för lagring, en för åtkomst.

Varför ledningen måste sätta dem

Riskaptit är ett ledningsbeslut, inte ett säkerhetsbeslut. Det är ett uttalande om vad verksamheten är villig att byta mot tillväxt, och bara de som är ansvariga för verksamheten kan fatta det beslutet.

När ledningen sätter aptiten förändras några saker. Team slutar eskalera varje risk, för de vet vilka som ligger inom det accepterade spannet. Säkerhet slutar vara avdelningen som säger "nej", för gränserna är överenskomna i förväg i stället för att förhandlas från fall till fall. Och när en risk väl bryter gränsen är svaret inte en diskussion, utan en definierad väg till en utpekad ägare.

Om ledningen inte sätter aptiten gör någon annan det ändå, oftast av misstag. Ingenjören som i det tysta accepterar en risk för att hinna med en deadline fattar ett aptitbeslut utan att ha mandatet. Att skriva ner aptiten flyttar det beslutet till dem som borde äga det.

Hur aptit och tolerans styr riskbehandling

När du väl har definierat dem mäts varje risk du bedömer mot samma gräns. Det är det som gör behandlingsbesluten konsekventa.

Säg att du har poängsatt en risk. Jämför den med toleransen för sin kategori:

• Inom toleransen. Risken ligger inom det accepterade spannet. Du kan acceptera den, dokumentera beslutet och gå vidare. Inga hjältedåd krävs.
• Utanför toleransen. Risken korsar gränsen. Nu måste du behandla den: minska den med en kontroll, överföra den med en försäkring eller ett avtal, eller undvika den genom att låta bli det riskfyllda. Att acceptera den är uteslutet om inte ledningen formellt höjer gränsen.

Det är här aptiten slutar vara en affisch på väggen och börjar driva arbete. Utan den får varje risk samma oroliga uppmärksamhet eller samma axelryckning. Med den flödar din insats till de risker som faktiskt korsar den gräns ni kom överens om att försvara.

Säg det i ord och i siffror

Aptit fungerar bäst när du uttrycker den på båda sätten.

Kvalitativa uttalanden anger riktning på vanlig svenska. "Vi har en låg aptit för risker som påverkar konfidentialiteten hos kunddata" berättar för alla var prioriteringen ligger. De är enkla att skriva, enkla att kommunicera och de förankrar kulturen. Deras svaghet är att "låg" betyder olika saker för olika människor.

Kvantitativa trösklar tar bort den tvetydigheten. De sätter en siffra på gränsen så att det inte finns något att diskutera:

• Ingen enskild risk får överstiga en restpoäng på 15 i din riskmatris.
• Återställningstiden för ett kritiskt system får inte överstiga 4 timmar.
• Högst 2 procent av åtkomstgranskningarna får vara försenade vid någon tidpunkt.

De flesta mogna program använder båda. Det kvalitativa uttalandet förklarar avsikten, och den kvantitativa tröskeln gör den möjlig att upprätthålla. Du skriver aptiten i ord så att människor förstår den, och i siffror så att systemet kan kontrollera den.

Aptit sätts inte en gång för alla

Din riskaptit speglar var verksamheten står i dag, och verksamheten rör på sig. En startup som jagar tillväxt accepterar risker som samma företag, tre år och ett företagsavtal senare, aldrig skulle röra. Om ditt aptituttalande aldrig ändras blir det förmodligen ignorerat.

Se över den regelbundet, minst en gång om året, och efter allt som förändrar bilden: en ny marknad, ett nytt ramverk som NIS2 eller DORA som blir aktuellt, en allvarlig incident eller en större strategiförändring. Översynen är ett ledningssamtal, inte en säkerhetssyssla. Frågan är enkel: speglar det här fortfarande hur mycket risk vi är villiga att acceptera? När svaret ändras ändras trösklarna med det, och därmed också behandlingen ditt team tillämpar.

Så tillämpar OptiTech aptit på ditt riskregister

En aptit du inte kan upprätthålla är bara ett dokument. OptiTech gör dina trösklar till något som ditt riskregister aktivt använder.

Du anger dina toleranströsklar i OptiTech Console en gång. Från och med då poängsätts och jämförs varje risk du lägger till eller bedömer på nytt automatiskt mot gränsen. Risker inom toleransen är synliga men tysta. Risker som bryter den lyfts fram direkt, flaggas för behandling och skickas till en ägare, så att inget korsar gränsen obemärkt.

Eftersom registret är kopplat till resten av ditt program länkar en risk som bryter toleransen direkt till kontrollerna som ska minska den och beviset på att de fungerar. Du ser inte bara att en risk är utanför gränsen, utan vad du gör åt den och om det hjälper. Och när ledningen uppdaterar aptiten ändrar du trösklarna på ett ställe och hela registret sorteras om mot den nya gränsen.

Det är skillnaden mellan ett aptituttalande och en aptit du faktiskt driver. Det ena lever i en presentation. Det andra avgör, varje dag, vilka risker som får ditt teams uppmärksamhet.

Var du börjar

Du behöver inte ett perfekt ramverk för att komma igång. En genomförbar första omgång ser ut så här:

1. Skriv ett aptituttalande per större kategori, på vanlig svenska, och få ledningen att godkänna det.
2. Lägg till en mätbar tolerans under varje, så att gränsen är något du kan kontrollera.
3. Ange trösklarna i OptiTech och låt riskregistret flagga det som korsar dem.
4. Lägg in en översyn i kalendern så att aptiten håller jämna steg med verksamheten.

Riskaptit är det som gör om riskhantering från en ständig diskussion till en policy ditt team faktiskt kan följa. Definiera gränsen en gång, upprätthåll den överallt, och återvänd till den när verksamheten rör sig.

Redo att sätta din riskaptit i arbete? Boka en demo och se hur OptiTech tillämpar dina trösklar över hela ditt riskregister.