Koppla samman arbetet

Koppla en risk till den leverantör eller tillgång den gäller och till kraven som ska hantera den. Då går det att följa samma fråga mellan registren utan att skriva om beskrivningen på varje ställe.

Vilka kopplingar kan du använda?

Utgångspunkt	Relevant koppling	Exempel
Risk	En leverantör	Driftavbrott hos er driftleverantör
Risk	Krav	Kontrollen som ska minska risken
Risk	Tillgångar	System som påverkas av händelsen
Åtgärd	Risk, krav eller leverantör	Uppgiften att prova en återställning
Behandlingsaktivitet	Tillgångar och leverantörer	System och biträde för lönehantering

Du behöver åtkomst till de delar som ingår i kopplingen. Leverantörsarbetet går att utföra utan att en risk kopplas in.

Exempel: ett externt driftberoende

Illustrativt arbetsflöde. Inköp följer upp driftleverantören, medan IT bedömer risken att ett avbrott stoppar orderhanteringen. Säkerhetsansvarig behöver kunna följa vilket krav och vilket återställningstest som hanterar samma fråga.

1. Registrera driftleverantören med rätt kontakt och ansvarig.
2. Registrera systemet som tillgång om ni använder tillgångsregistret.
3. Skapa risken ”Avbrott stoppar orderhanteringen”. Öppna sedan leverantörens flik Risker och koppla den befintliga risken. Öppna risken igen för att koppla systemet på fliken Tillgångar.
4. Koppla risken till ett relevant krav.
5. Skapa en åtgärd för att prova återställning och dokumentera resultatet.
6. Efter testet dokumenterar ansvarig resultatet, uppdaterar uppgiften och går igenom kontrollens status och underlag.
7. IT bedömer om resultatet motiverar en ändrad riskbedömning och uppdaterar den i så fall.

Kontrollera resultatet: öppna risken och följ kopplingarna till leverantör, system, kontroll och uppgift. Varje post ska förklara sin del: leverantörens underlag, riskens bedömning, kontrollens genomförande och testets resultat.

Lägg till en koppling

Öppna risken för att koppla kontroller eller tillgångar på respektive flik. För att koppla en leverantör öppnar du i stället leverantörens flik Risker och väljer en befintlig risk. Du kan också skapa en ny risk därifrån; den kopplas då till leverantören direkt. På en kontroll kan du också öppna riskfliken för att koppla en befintlig risk. Kontrollera postens namn innan du sparar.

En risk kan vara kopplad till högst en leverantör, medan samma leverantör kan ha flera risker. Återanvänd en risk när det verkligen är samma scenario; skapa inte kopplingar enbart för att fylla alla fält.

Vad händer inte automatiskt?

En koppling ändrar inte riskpoäng, kravstatus eller leverantörens godkännande. Den kopierar inte heller ett leverantörscertifikat till kontrollens underlag. Bedöm och dokumentera resultatet på den post där det hör hemma.

Fortsätt med riskbehandling eller behandlingsaktiviteter.