# Analysera väsentliga risker i verksamheten

---

De myndigheter som ska följa förordningen om intern styrning och kontroll ska arbeta systematiskt med riskanalyser. Här beskriver vi vad som är väsentliga risker, hur myndigheten kan värdera risker i sin riskanalys och hur riskhanteringen enligt förordningen om intern styrning och kontroll förhåller sig till andra bestämmelser om risker.

Med riskanalys identifierar myndigheten omständigheter som utgör risk för myndigheten att inte kan fullgöra sina uppgifter, nå verksamhetens mål och uppfylla kraven som följer av ansvaret för verksamheten. Det gäller enligt 3 § förordningen (2007:603) om intern styrning och kontroll.

Förordningen reglerar dock inte arbetet med alla risker som finns i verksamheten, utan endast de som har en reell påverkan på om myndigheten kan fullgöra sina åligganden gentemot regeringen. Sådana risker kan kallas väsentliga risker (eller exempelvis strategiska eller kritiska).

## Informera regeringen om väsentliga risker

Väsentliga risker är sådana som om de inträffar medför att myndigheten behöver informera regeringen om konsekvenserna, antingen i årsredovisningen eller genom annan återrapportering. Det kan exempelvis vara risker som leder till att myndigheten inte kan fullgöra sina uppgifter eller nå sina mål och samtidigt

* bedriva verksamheten effektivt (främst kostnadseffektivt) och upprätthålla de rättsliga förutsättningarna som gäller för verksamheten
* redovisa sin verksamhet på ett tillförlitligt och rättvisande sätt
* hushålla med statens medel.

Information är väsentlig om ett utelämnande eller en felaktighet kan ha betydelse för de beslut som regeringen fattar utifrån den information som lämnas.

Väsentlig innebär inte att risken är hög den kan vara under kontroll alltså låg med vidtagna åtgärder.

### Flera bedömningsgrunder

När myndigheten bedömer om en risk är väsentlig kan konsekvensens relativa storlek i kronor ha betydelse. Även andra bedömningsgrunder vara avgörande exempelvis förtroende för myndigheten.

Myndigheten avgör om det är en väsentlig risk genom att ta hänsyn till de aktuella förhållandena i det enskilda fallet. Myndigheterna kan göra olika bedömningar och bedömningarna kan ändras över tiden.

## Hantera även risker som inte är väsentliga

Myndigheten hanterar även risker som inte är väsentliga men dessa risker behöver inte behandlas i överensstämmelse med reglerna i förordningen om intern styrning och kontroll.

## Identifiera och värdera omständigheter som risk

En riskanalys kan ta sin början med att myndigheten identifierar omständigheter i form av förhållanden eller händelser som negativt kan påverka ledningens ansvar för verksamheten.

Sådana omständigheter kan i vissa fall redan vara identifierande och värderade som en risk enligt andra bestämmelser än förordningen om intern styrning och kontroll. Det gäller exempelvis risk

* för att de medel myndigheten disponerar är otillräckliga enligt 9 § anslagsförordningen (2011:223)
* i myndighetens betalningar som hotar säkerheten i statens betalningsmodell enligt 9 § förordningen (2017:170) om statliga myndigheters betalningar och medelsförvaltning
* för skada eller förlust i verksamheten enligt 3 § förordningen (1995:1300) om statliga myndigheters riskhantering
* om hot och sårbarhet i myndighetens säkerhetsskydd enligt 2 kap. 1 § säkerhetsskyddsförordningen (2021:955).

## Fokusera på risker som påverkar myndighetsledningens ansvar för verksamheten

Det finns fler risker som är vanligt förekommande i statlig förvaltning. Det är exempelvis risker som handlar om att säkerställa att det finns kompetens för att fullgöra myndighetens uppgifter eller integrera miljöhänsyn i myndighetens verksamhet.

Riskanalysen enligt 3 § förordningen om intern styrning och kontroll handlar dock framför allt om risken påverkar myndighetens förmåga att fullgöra sina uppgifter, utföra sina uppdrag och nå målen för verksamheten enligt kraven som följer av ansvaret för verksamheten.

## Värdera riskerna utifrån konsekvensen för ledningens ansvar

Riskanalysen fortsätter med att värdera de identifierade omständigheterna. Utgångspunkten för värderingen är vilken konsekvens en risk har för ledningens ansvar. Därutöver kan även sannolikheten för att omständigheten inträffar värderas.

Om konsekvensen (eller det samlade värdet av konsekvens och sannolikhet) inte kan accepteras i verksamheten är risken för hög. Det är myndigheten som avgör vilka risker som kan accepteras i verksamheten.

## Ta ställning till hur risker som inte kan accepteras ska hanteras

Riskanalysen kan avslutas med att myndigheten tar ställning till hur den ska hantera en risk som bedöms vara för hög. Det handlar i allmänhet om att förebygga att ett visst förhållande råder eller en viss händelse inträffar. Mer sällan kan det handla om att myndigheten inte utför sina uppgifter eller uppdrag.

Att acceptera en risk i verksamheten är också ett ställningstagande även om det inte behöver vara ett särskilt beslut. Risker är de facto accepterade när verksamheten fortgår. Det gäller exempelvis under den tid det tar att införa en beslutad åtgärd i verksamheten.

### Vissa risker kan inte accepteras

Det är dock inte alltid möjligt att acceptera en risk i verksamheten, exempelvis om det finns risk för att verksamheten inte bedrivs enligt gällande rätt. Där finns bara ett förhållningssätt – det är inte accepterat i verksamheten.

Det framgår av 2 § förordningen om intern styrning och kontroll att verksamheten ska bedrivas enligt gällande rätt. Myndigheten måste då alltid hantera dessa risker genom att löpande utveckla verksamheten till det bättre, så risken blir lägre.

Motsvarande bör också gälla för risker som handlar om tillförlitlig och rättvisande redovisning och om hushållning. Även i dessa fall handlar det om att löpande utveckla verksamheten.

## Andra bestämmelser om riskhantering kan vara en utgångspunkt

Förordningen om intern styrning och kontroll innehåller generella bestämmelser om riskhantering. Andra bestämmelser om myndighetens risker som är mer specifika ska tillämpas före de generella bestämmelserna. Det gäller exempelvis regleringar av risker om otillräckligt anslag, säkerheten i betalningar, skada eller förlust i verksamheten och hot och sårbarhet i säkerhetsskydd.

Det kan dock endast finnas ett beslut om en enskild risk i verksamheten: antingen ska risken accepteras eller åtgärdas. Det innebär att myndigheten inte behöver göra en särskild riskanalys enligt förordningen om intern styrning och kontroll, om myndigheten redan genomfört en riskanalys enligt andra bestämmelser.

Om myndigheten utgår från en riskanalys som är genomförd enligt någon annan bestämmelse behöver myndigheten ta ställning till om riskanalysen innehåller sådana väsentliga risker som framgår av förordningen om intern styrning och kontroll. I sådana fall bör myndigheten ta med dessa risker i sin sammanställning av väsentliga risker.  Sammanställningen är dokumentation enligt 6 § förordningen om intern styrning och kontroll.

## Riskanalysen uppdateras efter behov

En riskanalys enligt förordningen om intern styrning och kontroll gäller tillsvidare. Riskanalysen uppdateras med andra ord vid behov. Det finns alltså inte något krav på att göra en årlig uppdatering. Behovet av att uppdatera riskanalysen kan i stället komma från

* en ny eller förändrad uppgift för myndigheten enligt instruktion och regleringsbrev eller annat regeringsbeslut
* att följa förhållanden i omvärlden som kan påverka verksamheten enligt 6 § tredje stycket i myndighetsförordningen
* myndighetens systematiska och regelbundna uppföljning och bedömning enligt 5 §  förordningen om intern styrning och kontroll
* beslut om åtgärder med anledning av iakttagelser och rekommendationer från internrevision enligt 10 § 3 internrevisionsförordningen
* invändning från Riksrevisionen enligt 28 § myndighetsförordningen
* iakttagelser från inspektion (eller granksning) utförd av annan myndighet.

Senast uppdaterad:
2023-02-23

Innehållet är granskat:
2025-08-11