ISO 31000 er en frivillig international standard for risikoledelse (systematisk styring af risici). Den kan ikke certificeres, og enhver organisation kan bruge den. Den giver jer otte principper, et rammeværk forankret i ledelsen og en proces til at finde, vurdere og håndtere risici løbende.
Principperne siger, at risikoledelse skal være integreret i organisationen, struktureret og helhedsorienteret, tilpasset organisationen, inddragende over for interessenter, dynamisk, baseret på den bedste tilgængelige viden, opmærksom på menneskelige og kulturelle forhold og under løbende forbedring. Formålet er at skabe og beskytte værdi.
ISO 31000:2018, pkt. 4Rammeværket har seks komponenter med ledelse og engagement i centrum: integration, design, implementering, evaluering og forbedring. Topledelsen skal sætte retning, afsætte ressourcer og placere ansvar, så risikoledelse bliver en del af den daglige drift.
ISO 31000:2018, pkt. 5Processen går fra kommunikation og høring over risikovurdering og risikobehandling til overvågning og rapportering. Figuren nedenfor viser rækkefølgen, og trinene gentages, når forholdene ændrer sig.
ISO 31000:2018, pkt. 6ISO 31000 er vejledning, ikke krav der kan revideres til certificering. I kan derfor ikke blive ISO 31000-certificeret, men I kan bruge standarden internt og lade den understøtte certificerbare standarder som ISO 22301 (driftskontinuitet - at holde driften i gang) og ISO/IEC 27001 (informationssikkerhed).
ISO 31000:2018, indledningStandarden har tre dele. Principperne beskriver, hvad god risikoledelse kendetegnes ved. Rammeværket forankrer arbejdet i ledelse og styring. Processen er de trin, I gentager i praksis.
Dansk Standard udgiver standarden som DS/ISO 31000 med samme indhold som ISO 31000:2018. På dansk hedder det risikoledelse, og I møder også ordet risikostyring. Dansk Standard udbyder kurser og vejledningsmateriale.
ISO 31000 er frivillig og ikke lovgivning. Ingen myndighed fører tilsyn med den. ISO vedligeholder standarden i den tekniske komité ISO/TC 262, og Dansk Standard udgiver den i Danmark. En revision er i gang, men en ny udgave ventes tidligst sidst i 2027. Indtil da gælder ISO 31000:2018.
Uden certificering dokumenterer man typisk efterlevelse med intern eller ekstern revision, hvor risikoledelsen holdes op mod standardens principper og proces.
ISO 31000 er den overordnede, frivillige ramme. Den leverer principper og proces, som mere specifikke standarder bygger videre på. ISO 22301 (driftskontinuitet) og ISO/IEC 27001 (informationssikkerhed) er certificerbare ledelsessystemer for bestemte risikotyper. Beredskabsloven, NIS2, CER og DORA er derimod bindende lovkrav med myndighedstilsyn. Her kan ISO 31000 være det faglige fundament for det risikoarbejde, lovgivningen forudsætter.
Nej. ISO 31000 indeholder vejledning, ikke krav der kan revideres til certificering. En organisation kan bruge standarden internt og lade den understøtte certificerbare standarder som ISO 22301, men man kan ikke få et ISO 31000-certifikat.
ISO 31000 er en overordnet, vejledende ramme for at styre alle typer risiko. ISO 22301 er et certificerbart ledelsessystem (en fast, dokumenteret måde at organisere arbejdet på) for nødberedskab og driftskontinuitet, der retter sig specifikt mod afbrydelser. Mange bruger ISO 31000 til at identificere risici og ISO 22301 til at håndtere risikoen for driftsstop.
Enhver organisation uanset størrelse, branche eller sektor. Standarden er skrevet til at kunne tilpasses, så både virksomheder, offentlige myndigheder og foreninger kan bruge den som fælles fremgangsmåde for risikoledelse.
Få en uforpligtende gennemgang af, hvad der gælder for jer, og hvordan I dokumenterer beredskabet.
Kontakt for en gennemgangSkal I omsætte kravene til en konkret beredskabsplan?