Den organisatoriska riskhanteringen ska täcka all verksamhet som myndigheten har enligt sin instruktion och 3 § myndighetsförordningen .