Posouzení propojuje aktiva a závislosti s hrozbami, které by je mohly ovlivnit, se slabostmi, které by tyto hrozby mohly umožnit, s pravděpodobností každého scénáře a s důsledky, pokud nastane. Výstupy mohou být kvalitativní, kvantitativní nebo smíšené, ale měly by explicitně uvádět rozsah, předpoklady, důkazy a míru jistoty.
Posouzení je vstupem pro rozhodování, nikoli rozhodnutím samo o sobě. Ovlivňuje, která rizika budou zvládnuta, převedena, vyhnuta se jim nebo přijata, kdo je přijímá a kdy je třeba analýzu obnovit, jak se systémy, hrozby a povinnosti mění.
Klíčové body
Rozsah a kontextPřed sběrem důkazů definujte aktiva, hranice, krajinu hrozeb, předpoklady, aplikovatelná kritéria a rozhodnutí, které má posouzení podpořit.
AnalýzaIdentifikujte relevantní hrozby, zranitelnosti, existující kontroly, faktory pravděpodobnosti a dimenze dopadu, jako je důvěrnost, integrita, dostupnost, bezpečnost, právní a finanční škoda.
Vyhodnocení a využitíPorovnejte výsledky s kritérii rizika, dokumentujte volby zvládnutí a přijetí zbytkového rizika, přiřaďte vlastníky a předávejte nálezy do návrhu kontrol a programů, jako je analýza dopadů na podnikání.
Důležité omezeníPosouzení rizik je odhad vytvořený za uvedených předpokladů, nikoli měření skutečného rizika. Neidentifikovaná aktiva, optimistické úsudky o pravděpodobnosti, zastaralé informace o hrozbách nebo mezery v rozsahu mohou výsledky učinit zavádějícími, i když je metoda správná.