Hvad er en risikovurdering?

Senest opdateret: 11. september 2026

Fagligt gennemgået af BetterBoard

En risikovurdering giver ledelse og bestyrelse et systematisk grundlag for at forstå, prioritere og håndtere usikkerheder, der kan påvirke virksomhedens mål. Den forbinder konkrete risikoscenarier med sandsynlighed, konsekvens, eksisterende kontroller, restrisiko og beslutninger om handling.

Vurderingen kan bruges på tværs af strategi, drift, projekter, økonomi, cybersikkerhed, persondata og transaktioner. Metoden skal dog altid tilpasses formålet. En generel forretningsmæssig risikovurdering erstatter eksempelvis ikke en arbejdspladsvurdering, en databeskyttelsesretlig konsekvensanalyse eller andre særlige lovkrav.

Denne guide viser, hvordan en risikovurdering gennemføres og dokumenteres, hvordan en risikomatrix anvendes uden falsk præcision, og hvordan resultatet omsættes til ejerskab og opfølgning. Indholdet er generelt og kan ikke erstatte juridisk, teknisk eller branchespecifik rådgivning.

En risikovurdering er en struktureret proces til at identificere, analysere og prioritere usikkerheder, der kan påvirke et mål. Den beskriver ikke blot, hvad der kan gå galt, men også årsager, sandsynlighed, konsekvenser, eksisterende kontroller og behovet for yderligere handling. En risiko kan samtidig rumme muligheder, men i daglig praksis fokuserer vurderingen ofte på uønskede hændelser.

Begrebet anvendes inden for strategi, drift, projekter, finansiering, arbejdsmiljø, informationssikkerhed og persondata. Metoden skal derfor tilpasses formålet. En virksomheds overordnede risikovurdering kan ikke automatisk erstatte særlige vurderinger, som følger af lovgivning eller fagstandarder. Resultatet bør støtte beslutninger – ikke blot producere et farvet skema.

Formålet er at gøre usikkerhed synlig, så ledelsen kan prioritere ressourcer og træffe mere robuste beslutninger. Vurderingen kan hjælpe med at forebygge hændelser, begrænse konsekvenser, styrke beredskab og afgøre, hvilke risici organisationen bevidst vil acceptere. Den kan også dokumentere, hvilke oplysninger og antagelser en beslutning byggede på.

En risikovurdering fjerner ikke risiko. Den forbedrer grundlaget for at vælge mellem at undgå, reducere, overføre eller acceptere den. Værdien opstår først, når vurderingen kobles til konkrete handlinger, ansvar og opfølgning. Et register uden beslutninger kan skabe en falsk oplevelse af kontrol.

Risikoidentifikation finder de relevante risici. Risikoanalyse undersøger typisk årsager, hændelser, sandsynlighed og konsekvens. Risikovurdering omfatter også en evaluering af, om niveauet er acceptabelt, og hvilke risici der skal prioriteres. Risikostyring er den bredere, løbende proces med governance, handling, overvågning og rapportering.

Begreberne bruges forskelligt på tværs af brancher og standarder. Organisationen bør derfor definere sit sprog i metodebeskrivelsen. Det vigtigste er ikke etiketten, men at processen tydeligt bevæger sig fra mål og identifikation til vurdering, beslutning, ejerskab og dokumenteret effekt.

Et samlet risikobillede kan omfatte:

• Strategiske risici ved marked, konkurrence, teknologi og forretningsmodel.
• Finansielle risici ved likviditet, finansiering, valuta, kredit og rapportering.
• Operationelle risici ved processer, leverandører, kvalitet og kapacitet.
• Juridiske og regulatoriske risici, herunder kontrakter og compliance.
• Cyber-, informations- og persondatarisici.
• Menneskelige risici ved nøglepersoner, kompetencer og arbejdsmiljø.
• Projekt- og forandringsrisici.
• Omdømme-, bæredygtigheds- og beredskabsrisici.

Kategorierne skal hjælpe med at opdage blinde vinkler, ikke skabe siloer. Én hændelse kan have økonomiske, driftsmæssige og omdømmemæssige konsekvenser samtidig.

Derudover bør dokumentationen vise dato, metode, deltagere, datakilder, antagelser, usikkerheder og tidspunkt for næste gennemgang. Felterne skal være få nok til at blive brugt og præcise nok til at skabe ansvar. Fritekst er vigtig, fordi et risikotal alene ikke forklarer scenariet eller beslutningen.

Start med at beskrive det mål, som risikoen kan påvirke. Det kan være virksomhedens strategi, et projekt, et informationssystem, en transaktion eller en konkret proces. Angiv tidshorisont, geografi, interessenter, afhængigheder og hvilke dele der ligger uden for vurderingen. Uden denne kontekst kan samme risiko vurderes vidt forskelligt.

Fastlæg også kriterier for konsekvens og accept, før de enkelte risici scores. Ellers risikerer deltagerne at tilpasse skalaen til deres mavefornemmelse. Vurderingen bør være proportional: et mindre internt projekt kræver ikke nødvendigvis samme metode som en kritisk outsourcing eller virksomhedsopkøb.

Brug flere kilder: interviews, workshops, hændelsesdata, revisioner, kundeklager, budgetafvigelser, kontrakter, trusselsinformation og scenarieanalyse. Spørg både, hvad der kan forhindre målet, og hvilke antagelser planen afhænger af. Involvér personer med forskellige roller, fordi ledelse, specialister og medarbejdere ser forskellige svagheder.

Formulér risikoen som årsag, mulig hændelse og konsekvens. ”Cyberrisiko” er for bredt; ”manglende flerfaktorgodkendelse kan føre til kontoovertagelse og læk af fortroligt materiale” er handlingsorienteret. Undgå både en uoverskuelig katalogliste og en så kort topliste, at væsentlige afhængigheder forsvinder.

Sandsynlighed kan udtrykkes kvalitativt, som frekvens eller som et estimeret interval. Skalaen bør have tydelige ankre: ”sandsynlig” skal eksempelvis beskrive en periode eller et interval, ikke blot en følelse. Brug historiske data, brancheviden og scenarier, men anerkend, når datagrundlaget er svagt.

Sjældne hændelser er vanskelige at estimere, og fortiden er ikke altid et godt mål for nye trusler. Angiv derfor usikkerhed og indikatorer, som kan ændre vurderingen. En numerisk værdi med mange decimaler giver ikke større sikkerhed, hvis inputtet bygger på begrænset viden.

Konsekvensen bør vurderes i forhold til de mål, organisationen vil beskytte. Skalaen kan omfatte økonomi, driftstid, mennesker, kunder, lovgivning, fortrolighed og omdømme. Brug konkrete grænser, hvor det er muligt, men undgå at reducere alle konsekvenser til kroner, hvis andre hensyn er afgørende.

Vurdér både direkte og afledte effekter. Et systemnedbrud kan stoppe driften, skabe kontraktbrud og påvirke tillid. Angiv relevant tidshorisont og den mest troværdige alvorlige konsekvens frem for et fantasifuldt værst tænkeligt scenarie. Flere konsekvensdimensioner kan rapporteres separat, selv om én samlet prioritet anvendes.

En risikomatrix kombinerer typisk sandsynlighed og konsekvens i niveauer som lav, middel, høj og kritisk. Den skaber et fælles visuelt sprog og kan gøre prioritering lettere. En 3×3, 4×4 eller 5×5 matrix er ikke i sig selv mere korrekt; skalaen skal passe til beslutningen og organisationens modenhed.

Matrixen har begrænsninger. Forskellige kombinationer kan få samme score, og farvegrænser kan skjule stor usikkerhed. Brug derfor matrixen sammen med risikobeskrivelse, kontrolkvalitet, hastighed, indbyrdes afhængighed og ledelsens dømmekraft. Sortér ikke mekanisk alene efter produktet af to tal.

Iboende risiko er niveauet uden at medregne kontroller. Kontroller er de foranstaltninger, som forebygger hændelsen, opdager den eller begrænser konsekvensen. Restrisiko er det niveau, der er tilbage efter kontrollerne. Denne opdeling viser både eksponeringen og organisationens afhængighed af, at kontrollerne faktisk virker.

Vurdér kontroldesign og driftseffektivitet separat. En politik er ikke nødvendigvis en fungerende kontrol, hvis ingen følger den. Dokumentér kontrolansvar, evidens og test. Planlagte handlinger bør ikke regnes som allerede implementerede. Ellers bliver restrisikoen kunstigt lav og beslutningsgrundlaget misvisende.

Risikovillighed beskriver, hvor meget og hvilken type risiko organisationen er villig til at tage for at nå sine mål. Tolerancer gør den operationel gennem grænser, indikatorer eller eskalationskrav. Villigheden kan være høj for kontrollerede innovationseksperimenter og meget lav for eksempelvis lovbrud eller fare for mennesker.

Bestyrelse og ledelse bør koble risikovillighed til strategi og kapitalberedskab. En generel formulering som ”lav risiko” er sjældent tilstrækkelig. Beskriv, hvad der accepteres, hvem der kan acceptere det, og hvornår sagen skal eskaleres. Tolerancer skal revurderes, når økonomi, strategi eller omverden ændres.

Prioriteringen bør kombinere vurderet niveau, tid til påvirkning, kontrolsvagheder, afhængigheder og mulighed for handling. En moderat risiko kan kræve øjeblikkelig opmærksomhed, hvis den udvikler sig hurtigt, mens en høj men langsigtet risiko kan håndteres gennem et flerårigt program. Se også på samlede og korrelerede eksponeringer.

Fastlæg beslutningsregler, men bevar ledelsesmæssig dømmekraft. Top-risikolisten bør være kort nok til reel ledelsesopmærksomhed uden at usynliggøre lokale risici. Dokumentér, hvorfor en risiko prioriteres eller accepteres, så processen kan forstås og udfordres senere.

En risiko kan typisk:

• Undgås ved at stoppe eller ændre den aktivitet, der skaber eksponeringen.
• Reducereres gennem forebyggende eller konsekvensbegrænsende kontroller.
• Overføres eller deles gennem forsikring, kontrakter eller partnerskaber.
• Accepteres bevidst, hvis niveauet ligger inden for mandat og risikovillighed.
• Udnyttes, når usikkerheden også rummer en strategisk mulighed.

Valget skal tage højde for omkostning, effekt, implementeringstid og nye risici. Overførsel fjerner sjældent hele ansvaret; en leverandør eller forsikring kan reducere økonomisk eksponering, men ikke nødvendigvis driftstab eller omdømmeskade.

Hver handling skal have en navngiven ansvarlig, en realistisk frist, nødvendige ressourcer og et kriterium for færdiggørelse. Beskriv, hvilken årsag eller kontrolsvaghed handlingen adresserer, og hvilken restrisiko der forventes bagefter. Store initiativer bør opdeles i milepæle, så forsinkelser bliver synlige tidligt.

”Følg op” er ikke en tilstrækkelig handling. Angiv hvad der måles, hvor ofte og hvem der modtager resultatet. Bestyrelse og ledelse bør kunne skelne mellem gennemført aktivitet og dokumenteret risikoreduktion. Hvis en handling ikke kan finansieres, skal risikoen eskaleres eller accepteres på rette niveau.

Risikoejeren har ansvar for at forstå eksponeringen, beslutte eller eskalere respons og følge udviklingen. Kontrolejeren driver en konkret kontrol og dokumenterer dens funktion. Roller kan ligge hos samme person, men bør stadig skelnes, især i større organisationer. Den, der faciliterer risikoprocessen, ejer ikke automatisk alle risici.

Bestyrelsen fører tilsyn, mens direktionen normalt ejer den daglige risikostyring. Ansvarsfordelingen kan beskrives i forretningsordenen, politikker og rapporteringslinjer. Uklare ejere medfører ofte, at handlinger bliver stående uden fremdrift.

Bestyrelsen skal forstå de væsentligste risici, udfordre ledelsens antagelser og sikre, at risikostyringen passer til strategi og organisation. Det betyder ikke, at bestyrelsen selv skal udfylde alle risikoskemaer. Den bør fokusere på samlet eksponering, risikovillighed, kritiske kontroller, beredskab og om rapporteringen giver et retvisende billede.

Godt bestyrelsesarbejde kobler risiko til konkrete beslutninger frem for et isoleret, årligt punkt. Bestyrelsen bør spørge, hvad der har ændret sig, hvilke scenarier ledelsen overser, og hvilke risici der kan udvikle sig hurtigere end organisationens reaktionsevne.

Rapporteringen bør vise de vigtigste risici, udvikling siden sidst, restrisiko, kontrolstatus, overskredne tolerancer og fremdrift på handlinger. Forklar væsentlige ændringer og beslutningsbehov. En varmekortside kan give overblik, men bør suppleres med scenarier, indikatorer og ledelsens vurdering.

Undgå rapporter, hvor alle risici står uændrede kvartal efter kvartal. Det kan være tegn på stabilitet, men også på en administrativ proces. Materialet bør sendes rettidigt via en sikker bestyrelsesportal, så medlemmerne kan se grundlag og tidligere beslutninger uden versionsforvirring.

Strategiske vurderinger bør undersøge de antagelser, som værdiskabelsen afhænger af: marked, kunder, teknologi, kapital, kompetencer og regulering. Brug scenarier til at teste, hvad der sker, hvis flere antagelser svigter samtidig. Risikoen skal kobles til strategiske valg, ikke behandles efter strategien er besluttet.

I projekter bør vurderingen opdateres ved milepæle og ændringer i omfang, tid, budget eller leverandører. En projektrisiko beskriver en mulig fremtidig hændelse; et problem er allerede indtruffet og kræver håndtering. Skeln mellem de to, så rapporteringen ikke skjuler aktuelle problemer som ”risici”.

Start med de informationer og systemer, som er kritiske for organisationens mål. Identificér trusler, sårbarheder og konsekvenser for fortrolighed, integritet og tilgængelighed. Vurdér mennesker, processer, teknologi og leverandører samlet. Generelle trusselslister skal oversættes til konkrete scenarier for virksomheden.

Kontroller kan være adgangsstyring, backup, logging, beredskab, træning og leverandørkrav. Se også bestyrelsessikkerhed og tofaktorgodkendelse. Vurderingen skal opdateres ved nye systemer, leverandører, angreb eller ændringer i trusselsbilledet.

Databeskyttelsesreglerne kræver en risikobaseret tilgang til behandling og sikkerhed for personoplysninger. Her vurderes risikoen for de registreredes rettigheder og frihedsrettigheder – ikke kun virksomhedens egen økonomiske risiko. Ved behandling, der sandsynligvis indebærer høj risiko, kan en konsekvensanalyse, DPIA, være nødvendig efter en konkret vurdering.

En almindelig virksomhedsmatrix kan være et udgangspunkt, men må ikke forveksles med en fuld databeskyttelsesvurdering. Dokumentér behandlingsformål, datatyper, trusler, konsekvenser for personer og sikkerhedsforanstaltninger. Læs den generelle forklaring på GDPR.

En arbejdspladsvurdering er en lovbestemt proces om arbejdsmiljø og skal følge de krav, der gælder for arbejdspladsen. Den omfatter identifikation og vurdering af arbejdsmiljøproblemer, handlingsplan og opfølgning. Særlige risikovurderinger kan desuden være nødvendige ved eksempelvis kemi, maskiner eller unges arbejde.

Denne leksikonside fokuserer primært på virksomhedens ledelses- og forretningsrisici. Metoder som sandsynlighed, konsekvens og handlingsplan overlapper, men en generel risikomatrix erstatter ikke APV-processen. Brug Arbejdstilsynets aktuelle vejledning og fagkyndig bistand, når vurderingen vedrører arbejdsmiljø.

Ved due diligence vurderer en køber, investor eller långiver risici i målvirksomheden eller transaktionen. Fund bør oversættes fra dokumentmangler til forståelige scenarier, sandsynlige konsekvenser og mulige afhjælpninger. Væsentlighed afhænger af transaktionens formål og aftalevilkår.

Risikovurderingen kan påvirke pris, garantier, betingelser, forsikring eller integrationsplan. Den bør bevare sporbarhed til kildedokumenter i et datarum. Del ikke ukritisk interne risikoregistre, hvis de indeholder privilegerede, personfølsomme eller konkurrencefølsomme oplysninger.

Dokumentationen bør identificere version, dato, omfang, deltagere, godkender og datakilder. Ændringer i score, kontrol eller handling skal kunne forklares. Bevar den relevante historik, så ledelsen kan se udviklingen og forstå, hvorfor en tidligere beslutning var rimelig på daværende grundlag.

Brug sikker dokumenthåndtering og én autoritativ version. Regneark sendt via e-mail skaber let parallelle kopier. Adgang bør følge roller, fordi risikoregistre kan afsløre sårbarheder. Opbevaringsperioden skal passe til dokumentationsbehov, lovkrav og persondata.

Fastlæg en grundfrekvens efter risikoens betydning og forandringshastighed. Kritiske cyber- eller likviditetsrisici kan kræve månedlig eller løbende overvågning, mens mere stabile områder gennemgås sjældnere. Opdatér også ved hændelser, nye projekter, opkøb, outsourcing, lovændringer og væsentlige ændringer i strategi eller organisation.

Brug indikatorer og triggere mellem de formelle gennemgange. En opdatering er ikke blot at ændre datoen; vurder igen antagelser, kontrolfunktion og restrisiko. Luk ikke en risiko alene, fordi handlingen er gennemført. Kontrollér først, om handlingen skabte den forventede effekt.

• At vurdere risici uden at definere mål, omfang og skalaer.
• At bruge brede etiketter i stedet for konkrete årsag-hændelse-konsekvens-scenarier.
• At behandle planlagte kontroller som allerede fungerende.
• At lade farven i risikomatricen erstatte ledelsesmæssig vurdering.
• At have risici og handlinger uden navngivne ejere og frister.
• At overse sammenhænge mellem risici og fælles afhængigheder.
• At skjule usikkerhed bag præcise tal.
• At opdatere registeret årligt, selv om trusselsbilledet ændrer sig hurtigt.
• At dele følsomme risikoregistre uden passende adgangskontrol.
• At forveksle en generel risikovurdering med APV, DPIA eller andre særkrav.

Kvaliteten forbedres gennem klare definitioner, tværfaglig deltagelse og konsekvent opfølgning. Metoden bør evalueres ud fra bedre beslutninger og risikoreduktion – ikke antallet af udfyldte felter.

1. Fastlæg mål, omfang, tidshorisont og beslutningsejer.
2. Definér skalaer for sandsynlighed, konsekvens og accept.
3. Indsaml data og identificér konkrete risikoscenarier.
4. Vurdér iboende risiko før eksisterende kontroller.
5. Beskriv og test de vigtigste forebyggende og afhjælpende kontroller.
6. Vurdér restrisiko, usikkerhed og afhængigheder.
7. Prioritér risici i forhold til risikovillighed og handlebehov.
8. Vælg respons og tildel ansvar, frister og ressourcer.
9. Godkend eller eskalér accepteret restrisiko på rette niveau.
10. Overvåg indikatorer, dokumentér effekt og opdatér ved ændringer.

Processen bør være proportional og gentagelig. En enkel, veldokumenteret vurdering med reel opfølgning er stærkere end en kompleks model, som organisationen ikke forstår eller anvender.

• Datatilsynet – risikovurdering, om risikovurdering i relation til behandlingssikkerhed og personoplysninger.
• Arbejdstilsynet – risikovurdering: Sådan gør I, om risikovurdering i arbejdsmiljøkontekst.
• Arbejdstilsynet – risikomatrix, med et konkret eksempel på vurdering af sandsynlighed og konsekvens.
• Komitéen for god Selskabsledelse – Anbefalinger for god Selskabsledelse, herunder anbefalinger om risikostyring og interne kontroller for de omfattede selskaber.

Kilderne vedrører forskellige anvendelsesområder og har ikke samme retlige status. Organisationen skal identificere de regler, standarder og branchekrav, der gælder for den konkrete vurdering.

BetterBoards datarum til risikovurderinger giver organisationen et kontrolleret digitalt miljø til at samle og dele fortrolig dokumentation med de relevante beslutningstagere, specialister og rådgivere. Det kan styrke overblikket og reducere risikoen ved spredte mailvedhæftninger og parallelle filversioner.

Løsningen kan blandt andet understøtte:

• Struktureret organisering af vurderinger, kontrolbeviser og handlingsplaner.
• Rollebaseret adgang til fortrolige risikodokumenter.
• Én aktuel version af centrale analyser og bilag.
• Sikker deling med bestyrelse, ledelse og eksterne rådgivere.
• Bedre genfinding og historik ved opfølgning og revision.
• Kontrolleret samarbejde på tværs af organisationer og projekter.

Et datarum identificerer eller vurderer ikke risici af sig selv og opfylder ikke automatisk juridiske eller faglige krav. Det understøtter den dokumentations- og samarbejdsproces, som organisationen har fastlagt, mens ledelse, bestyrelse og relevante fagpersoner fortsat ejer vurderingerne og beslutningerne.