Hur styrelser kan hantera riskkultur och ansvar inom företagsstyrning

Vid bedömningen av riskhantering och riskkultur är det avgörande att styrelseledamöterna bekräftar att inga av de frågor som uppmärksammats tyder på att de mandaterade representationerna om riskstyrning, från styrelseordförande om riskövervakning, är vilseledande eller felaktiga (Gupta & Leech, 2015). Detta innebär att styrelser behöver en noggrann och objektiv metod för att säkerställa att riskkulturens processer och procedurer är i linje med både interna och externa regleringar. Gupta och Leech (2015) påpekar att det kan komma nya regulatoriska krav för styrelsens tillsyn av riskkulturen, särskilt inom de kommande åren, där det kan bli ännu mer fokus på styrelsens ansvar för att övervaka och forma denna kultur.

För att utveckla ett mer hållbart riskhanteringssystem behöver företag anpassa sina interna revisionsmetoder och riskhanteringsstrategier. Traditionella, riskcentrerade metoder för intern revision har inte lett till att de rekommenderade ramverken för riskaptit och riskkultur har implementerats effektivt, enligt Gupta och Leech (2015). Företag bör därför övergå till ett mer objektcentrerat förhållningssätt för riskhantering, där styrelsen och C-suite (exekutiva ledare) spelar en aktiv roll. Detta tillvägagångssätt innebär att styrelsen, tillsammans med ledningen, måste säkerställa att det finns pålitliga och tydliga rapporteringsvägar för att bedöma de risker företaget står inför. Interna revisionsgrupper bör gå bortom traditionella stickprov och istället erbjuda konsoliderade och objektiva rapporter om effektiviteten i företagets riskhanteringsramverk.

Utöver denna strukturella och operativa syn på riskhantering är det viktigt att notera att den juridiska ramen för riskhantering och styrelsens ansvar kan skilja sig avsevärt beroende på rättssystemet i det land där företaget är verksamt. I Storbritannien, där rättssystemet är mindre straffande, har man sett ett ökat fokus på styrelsens ansvar för riskhantering. I kontrast till detta har USA:s straffrättsliga system visat sig skapa större rättsliga risker, vilket kan vara både en fördel och en nackdel för riskbedömningar (Gupta & Leech, 2015). Regulatorer bör därför skapa säkra hamn-bestämmelser (safe harbor provisions) som ger skydd åt styrelser som följer regleringarna i god tro. Detta skulle innebära att företag som korrekt dokumenterar sina riskbedömningar och vidtar nödvändiga åtgärder inte ska drabbas av oproportionerliga rättsliga konsekvenser.

Sammanfattningsvis, trots att många regleringar för riskövervakning ännu inte är detaljerade för alla typer av företag, finns det en tydlig trend mot att företagsstyrelser, oavsett bransch, måste ta ett mer aktivt och strategiskt ansvar för att hantera risker. Denna förändring kräver en översyn och anpassning av interna processer, inklusive riskbedömningar, rapportering, och ansvarsfördelning, för att säkerställa att företag inte bara följer regulatoriska krav utan också har ett hållbart och effektivt riskhanteringssystem på plats.

Hur ska organisationen hantera och utvärdera cybersäkerhet och hantera externa leverantörer?

Cybersäkerhet måste implementeras brett inom organisationen för att effektivt skydda mot potentiella hot. För att förbättra känsligheten för specifika händelser, kan nyckelpersoner såsom Chief Information Officer (CIO), Chief Information Security Officer (CISO) och VD inkludera tidskvalificeringar för att minska falska positiva resultat. Genom att analysera om en attack inträffar under arbetstid eller på obekvämare tider kan de lättare identifiera riktiga hot och inte bli förvirrade av normala aktiviteter som skulle kunna utlösa varningar.

Vid outsourcing av cybersäkerhet till tredje part finns både fördelar och risker som måste vägas noggrant. Fördelarna, såsom kostnadsbesparingar och tillgång till experter med djupare teknisk kompetens, är uppenbara. Men det finns flera risker som måste hanteras innan ett beslut om outsourcing fattas. Det är viktigt att den högsta ledningen beaktar riskerna med att anlita externa leverantörer, särskilt de som erbjuder tjänster från länder där det inte finns tillräcklig juridisk kontroll eller där arbetskraften är mindre kvalificerad.

En grundläggande riktlinje för att minska risken är att undvika att anlita offshore-leverantörer som inte kan garantera tillräcklig säkerhet och integritet. Utan möjlighet att verifiera leverantörernas kompetens, erfarenhet och bakgrund kan det vara för riskabelt att ge dem fullständig åtkomst till organisationens interna system och data. Dessutom bör företaget vara försiktigt med leverantörer som erbjuder fjärrbaserade lösningar, eftersom dessa inte tillhandahåller tillräcklig säkerhet för att hantera hot från exempelvis insiderangrepp, där riskerna ofta är större än vid externa cyberattacker.

Vidare är det av största vikt att förstå att det inte finns någon absolut garanti mot dataintrång. Cybersäkerhetslösningar är aldrig 100% säkra; de är i ständig utveckling och måste anpassas för att möta nya hot. Därför är det viktigt att styrelsen och ledningen noggrant överväger leverantörer som inte gör osakliga löften om "100% skydd". Istället bör fokus ligga på att skapa ett system som kontinuerligt utvecklas för att identifiera och hantera nya säkerhetshot i en ständigt föränderlig digital värld.

Erfarenheten hos den externa leverantören är en annan central aspekt. Leverantörer med erfarenhet från verkliga situationer där de har hanterat och åtgärdat cybersäkerhetshot är mycket mer värdefulla än leverantörer som inte har praktisk erfarenhet. Det räcker inte med teoretisk kunskap; det krävs erfarenhet av att agera snabbt och effektivt i kritiska situationer.

Slutligen måste styrelsen också säkerställa att tillräckliga resurser och stöd finns för att hantera insiderhot. Insiderhot utgör en allvarlig risk för organisationer, och för att kunna hantera dessa hot på ett effektivt sätt måste en omfattande riskhanteringsstrategi utvecklas och genomföras. Styrelsen ska inte bara se till att personalresurser är på plats, utan också att det finns adekvata utbildningar och en plan för att hantera eventuella insiderangrepp snabbt och effektivt.

Att förstå de faktiska kostnaderna av insiderhot och de utredningar som följer på sådana incidenter är också avgörande. Dessa kostnader kan vara avsevärda, inte bara i form av direkta ekonomiska förluster utan även i form av skadat förtroende och långsiktiga effekter på organisationens rykte. Därför bör alla dessa faktorer beaktas noggrant när man utformar en säkerhetsstrategi för organisationen.

Hur mäter man risknivåerna inom cybersäkerhet?

Att förstå och hantera de olika nivåerna av risk inom cybersäkerhet är en avgörande del av modern företagsstyrning. Företag står dagligen inför cyberhot som kan komma från ett antal olika källor – både interna och externa – och det är viktigt att kunna bedöma och hantera dessa risker på ett effektivt sätt. För att ge en mer detaljerad bild av hur detta fungerar, kan vi titta närmare på de olika nivåerna av risk och hur dessa kan mätas och hanteras.

Att förstå var riskerna kommer ifrån och hur de kan mätas är avgörande för att skydda företaget mot allvarliga skador. För att kunna mäta dessa risker måste företag ha en strategi för att identifiera och kategorisera sina riskkällor. Detta kan göras genom att använda olika ramverk och modeller för cybersäkerhet. Ett sådant ramverk är CIA-triangeln (Confidentiality, Integrity, Availability), som fokuserar på att säkerställa att information är konfidentiell, inte manipulerad och tillgänglig när det behövs. Genom att tillämpa detta ramverk kan företag skapa en stark grund för att bedöma och mitigera olika typer av risker.

Det är också viktigt att förstå den ekonomiska påverkan av cybersäkerhetsrisker. I dagens digitala samhälle är de ekonomiska konsekvenserna av en cyberattack enorma, både i form av direkta kostnader för att hantera attacken och de långsiktiga effekterna på företagets rykte. Denna risk måste kvantifieras för att kunna prioriteras och hanteras effektivt. Enligt rapporter från bland annat Herjavec Group och Morgan (2016) förväntas kostnaderna för cyberbrott att nå astronomiska siffror under de kommande åren, vilket gör att företag behöver ha en robust och flexibel strategi för riskhantering på plats.

För att mäta riskerna på en praktisk nivå måste företag implementera både tekniska och organisatoriska åtgärder. Teknologiska lösningar som avancerad nätverksövervakning, kryptering och sårbarhetshantering är avgörande för att upptäcka och neutralisera hot innan de kan orsaka skada. På den organisatoriska sidan handlar det om att skapa en säkerhetskultur där medarbetare är medvetna om sina roller i att skydda företagets tillgångar, och där det finns en strukturerad plan för att hantera säkerhetsincidenter snabbt och effektivt. Styrelser och ledning måste också vara medvetna om sina ansvar för att övervaka cybersäkerheten och säkerställa att rätt resurser avsätts för att hantera riskerna.

Utöver dessa grundläggande strategier finns det ytterligare aspekter som är viktiga för ett heltäckande säkerhetsarbete. Till exempel kan insiderhot vara svårare att upptäcka men ofta mer skadliga. Dessa hot uppstår när anställda eller andra med insyn i systemet använder sina rättigheter för att orsaka skada. Företag behöver ha specifika åtgärder på plats för att hantera och mildra dessa hot, inklusive strikt åtkomstkontroll och övervakning av användarbeteende.

Det är också nödvändigt att förstå att cybersäkerhet inte bara är en teknisk fråga utan en central del av den övergripande affärsstrategin. Styrelser och ledningsgrupper måste aktivt engagera sig i cybersäkerhetsarbete och integrera det i sina beslut om riskhantering och företagets långsiktiga planer. En cyberattacks konsekvenser kan vara långvariga och påverka alla delar av ett företag, från operationer till kundrelationer och lagstadgade förpliktelser.