ISO 31000 – upravljanje tveganj
Splošne smernice za načela, okvir in postopek upravljanja tveganj.
ISO 31000 je mednarodni standard s smernicami za upravljanje tveganj. Določa načela, okvir in postopek, ki ga organizacija prilagodi svoji dejavnosti, ni pa standard, po katerem bi se izdajal certifikat.
Katero težavo rešujemo
Tveganja se ocenjujejo vsak po svoje: informacijska varnost ima svoj register, neprekinjenost poslovanja drugega, vodstvo pa nima enotne slike in jasnih meril, kdaj je tveganje sprejemljivo.
Zakaj je to pomembno
Brez dogovorjenih meril (verjetnost, posledica, sprejemljiva raven) so ocene tveganj med področji neprimerljive, ukrepi pa se izbirajo po občutku, ne po prednosti.
Za koga je
- Organizacije, ki želijo enoten pristop k tveganjem na ravni vodstva.
- Organizacije s sistemi upravljanja (ISO/IEC 27001, ISO 22301, ISO/IEC 42001), ki potrebujejo skladno metodologijo ocene tveganj.
- Zavezanci po ZInfV-1 / NIS2, ki morajo imeti politike analize tveganj.
Kaj obsega delo
- Načela, okvir in odgovornosti za upravljanje tveganj.
- Merila tveganja in sprejemljiva raven (apetit za tveganje).
- Postopek: opredelitev konteksta, identifikacija, analiza, vrednotenje, obravnava, spremljanje in poročanje.
- Skladnost metodologije med informacijsko varnostjo, neprekinjenostjo poslovanja in drugimi področji.
- Dokumentacija: register tveganj in načrt obravnave.
Potek dela
Uvodni pogovor in dogovor o obsegu.
Pregled obstoječe metodologije, meril in registra tveganj.
Primerjava s smernicami standarda in z zahtevami drugih sistemov upravljanja.
Poročilo z ugotovitvami in priporočili za izboljšave.
Kaj potrebujemo od vas
- Obstoječa politika in metodologija ocene tveganj.
- Register tveganj ali primer izvedene ocene.
- Seznam sistemov upravljanja in predpisov, ki jim organizacija sledi.
Kaj prejmete
- Poročilo s pregledom metodologije in registra tveganj.
- Seznam vrzeli in priporočil po prednosti.
Kaj ni vključeno in kje so meje
- Certifikacija: ISO 31000 ni certifikacijski standard.
- Izvedba celotne ocene tveganj namesto organizacije.
- Aktuarska, finančna ali pravna ocena tveganj.
Presojevalec ni certifikacijski organ in ne izdaja certifikatov. Svetovalni pregled in notranja presoja nista zunanja certifikacijska presoja. Besedila standardov so avtorsko zaščitena in so na voljo pri ISO ali nacionalnem standardizacijskem organu. Na strani ni prepisanih zahtev standarda.
Pogosta vprašanja
Ali je mogoče pridobiti certifikat ISO 31000?
Ne. ISO 31000 vsebuje smernice, ne zahtev, po katerih bi certifikacijski organ izdal certifikat.
Kakšna je razlika med ISO 31000 in ISO/IEC 27005?
ISO 31000 je splošen okvir za vsa tveganja. ISO/IEC 27005 je namenjen tveganjem za informacijsko varnost in se neposredno navezuje na ISO/IEC 27001.
Ali ISO/IEC 27001 zahteva ISO 31000?
Ne. ISO/IEC 27001 zahteva določen postopek ocene in obravnave tveganj, metodologijo pa izbere organizacija. ISO 31000 je lahko ena od možnih podlag.
Viri
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.