Risikoanalyse Excel - Gratis Skabelon

1. Åbn fanen Risikoanalyse, og giv hver risiko et unikt Risiko-ID, for eksempel R-2026-001. Udfyld kategori, beskrivelse, proces eller område, lokation og risikoejer.
2. Vurder Sandsynlighed før og Konsekvens før med et helt tal fra 1 til 5. Brug fanen Vejledning til at skelne mellem sjælden, mulig og meget sandsynlig.
3. Beskriv den eksisterende kontrolforanstaltning og den yderligere afhjælpning, der skal reducere risikoen.
4. Indtast Sandsynlighed efter og Konsekvens efter. Felterne Risikoscore og Risikoniveau udfyldes automatisk på baggrund af dine tal.
5. Vælg Status, indtast ansvarlig og frist, og angiv Ja eller Nej ved Rest-risiko accepteret? Brug eventuelt Kommentarer til beslutninger og dokumentation.
6. Gå til Dashboard for at se antal risici, gennemsnitlige scores, høje eller kritiske risici og forfaldne handlinger. Brug Vejledning ved næste gennemgang.

En risikoanalyse bruges ikke kun af store virksomheder. En selvstændig med enkeltmandsvirksomhed kan bruge den til at vurdere driftsstop, datasikkerhed og afhængighed af én leverandør. I et ApS kan bogholderen eller den kvalitetsansvarlige gennemgå listen på et ledelsesmøde, mens en kontoransvarlig i et håndværkerfirma kan følge arbejdsmiljø og leverancer.

Start med konkrete hændelser i stedet for brede formuleringer. Skriv for eksempel Leverandørsvigt på kritiske komponenter frem for bare Leverandør. I skabelonen får risikoen et ID, en kategori, en proces, en lokation og en risikoejer. Det gør det muligt at spørge Lars, ikke bare afdelingen, hvad der er gjort.

Vurder før og efter

Skalaen går fra 1 til 5 for både sandsynlighed og konsekvens. En sandsynlighed på 4 og en konsekvens på 5 giver en score på 20, som er Kritisk. Hvis en ny kontrol reducerer tallene til 2 og 4, bliver scoren 8 og niveauet Middel.

Det er netop forskellen mellem en beskrivelse og en styrbar risiko. Du kan se, om en handling reelt reducerer eksponeringen, eller om teksten blot er blevet længere. For de fleste små virksomheder er denne før-og-efter-vurdering mere anvendelig end en lang rapport, der kun opdateres ved årsafslutningen.

Brug billederne som arbejdsgang

Billede 1 viser den brede registreringstabel med 22 kolonner. Billede 2 viser Dashboardets nøgletal og tre diagrammer, mens billede 3 viser forklaringerne og intervallerne 1-4, 5-9, 10-16 og 17-25.

En kvartalsvis gennemgang er et godt minimum. Ved et projekt med 20 risici kan du gennemgå åbne og forfaldne handlinger hver måned; ved 20 risici bør mødet typisk kunne klares på 30-45 minutter, hvis ejerne kommer forberedte.

Skabelonen er et styringsværktøj, ikke dokumentation for, at alle krav er opfyldt. Den hjælper dig med at samle risici, men du skal koble vurderingen til de regler, der gælder for virksomheden. Fanen Vejledning nævner blandt andet GDPR, Datatilsynet, arbejdsmiljøregler, SKAT samt kontraktuelle og branchemæssige krav.

Persondata kræver konkret opfølgning

Hvis risikoen handler om persondata sendt til forkert modtager, bør du registrere kontrol, ansvarlig og frist. Efter GDPR artikel 33 skal et anmeldelsespligtigt brud som udgangspunkt anmeldes til Datatilsynet inden 72 timer. En risiko med sandsynlighed 3 og konsekvens 5 giver score 15 og dermed niveauet Høj.

Ved behandling af persondata bør du også overveje behandlingsgrundlag efter artikel 6, adgangsstyring, sletteregler og en fortegnelse efter artikel 30. Skriv den konkrete kontrol i kolonnen Eksisterende kontrolforanstaltning, ikke blot GDPR-procedure.

Arbejdsmiljø og økonomiske risici

En arbejdspladsvurdering, APV, er obligatorisk mindst hvert tredje år. En risiko ved tunge løft kan derfor få en fast opfølgningsdato, ansvarlig og handling. En score på 12, eksempelvis 3 gange 4, er Høj og bør ikke stå som Accepteret uden en tydelig beslutning.

Økonomiske risici kan være manglende likviditet, fejl i lønkørsel eller afhængighed af én kunde. En selvstændig med 400.000 kr. i årlig omsætning og én kunde, der står for 70 %, har en koncentrationsrisiko på 280.000 kr. i omsætning. Det er et bedre grundlag for prioritering end formuleringen kundeafhængighed alene.

Min anbefaling er at bruge skabelonen som risikoregister og gemme beslutninger og bilag i virksomhedens normale dokumentstruktur. Selve regnearket erstatter ikke en APV, en GDPR-fortegnelse eller lovpligtig dokumentation.

Den mest almindelige fejl er, at risikoen bliver skrevet som et tema i stedet for en hændelse. IT, økonomi eller arbejdsmiljø fortæller ikke, hvad der kan ske. Cyberangreb mod økonomisystem, forkert lønudbetaling eller fald fra stillads kan derimod vurderes med en sandsynlighed og en konsekvens.

En høj score uden handling

En score på 20, for eksempel 4 gange 5, placeres som Kritisk i skabelonen. Hvis kolonnen Yderligere afhjælpning kun indeholder teksten følg op, er der ingen reel ejer eller leverance. En konkret handling som gennemfør phishing-træning og beredskabsøvelse kan få både ansvarlig og frist.

Hvis en medarbejder bruger 2 timer om måneden på at lede efter manglende opfølgning, bliver det 24 timer om året. Ved en intern timeomkostning på 350 kr. svarer det til 8.400 kr. i spildt tid, før en egentlig hændelse overhovedet er medregnet.

Forfaldne frister bliver overset

En frist alene løser ikke noget. Statuskontrol bruger dagens dato og viser Forfalden, når fristen er overskredet, og status ikke er Lukket. Derfor skal du ikke skrive Lukket, før du kan dokumentere, at handlingen faktisk er gennemført.

En anden fejl er at sætte Rest-risiko accepteret? til Ja for at få listen til at se pæn ud. Det bør kun ske efter en bevidst beslutning. En rest-risiko med score 16 er fortsat Høj; et Ja ændrer ikke den beregnede score eller fjerner behovet for en begrundelse i Kommentarer.

Undgå også at blande oprindelig og resterende risiko sammen. Hvis sandsynligheden ændres fra 4 til 2 efter en kontrol, skal konsekvensen vurderes særskilt. En kontrol, der mindsker sandsynligheden for et databrud, fjerner ikke nødvendigvis konsekvensen, hvis bruddet alligevel sker.

Et risikoark virker kun, når det bliver opdateret på et fast tidspunkt. Læg gennemgangen lige før det månedlige ledelsesmøde eller sammen med kvartalsafslutningen. Start hver gang på Dashboardet, og gå derefter til de høje, kritiske og forfaldne risici.

Gør opfølgningen kort og fast

• Bed hver risikoejer kontrollere sin egen række før mødet.
• Gennemgå alle handlinger med status Åben eller I gang og en frist inden for de næste 30 dage.
• Opdatér kun vurderingen, når der er ny viden, en ny kontrol eller en ændret proces.
• Skriv beslutningen om accepteret rest-risiko i Kommentarer med dato og ansvarlig.

En virksomhed med 25 registrerede risici kan normalt gennemgå de 5 højeste på 20-30 minutter. Det er bedre end et årligt møde på tre timer, hvor halvdelen af fristerne allerede er overskredet.

Brug skabelonen disciplineret

Brug datavalideringen i kolonnerne for kategori, status og Ja/Nej, så Dashboardets tællinger ikke bliver forstyrret af varianter som lukket, afsluttet og færdig. Indtast datoer som DD-MM-ÅÅÅÅ, og behold én risiko pr. række.

Skabelonen er velegnet, så længe en ansvarlig kan gennemgå tabellen manuelt. Når du har flere hundrede risici, mange samtidige brugere eller krav om historik og revisionsspor, er det tid til et egentligt risikostyringssystem. Med 100 rækker er denne fil derimod en enkel løsning til den første systematiske opfølgning.