En riskbaserad metod (RBA) riktar dina begränsade resurser mot de risker som faktiskt kan skada verksamheten. Resultatet är proportionella kontroller, färre onödiga insatser och ett compliance-arbete som håller under tillsyn. FATF:s rekommendationer kräver att organisationer identifierar, bedömer och hanterar sin riskexponering i stället för att tillämpa enhetliga kontroller på alla kunder och processer. ISO 31000 och MSB:s vägledning ger ramverket för hur den processen struktureras systematiskt. En delad plattform som Trustview gör det möjligt att hålla bedömningarna konsekventa över avdelningar och leverera ledningsrapportering utan manuell sammanställning.
Viktiga insikter
En riskbaserad metod ger compliance-teamet ett systematiskt sätt att rikta begränsade resurser mot de risker som faktiskt kan skada verksamheten, med dokumenterade bedömningar som håller under tillsyn.
| Punkt | Detaljer |
|---|---|
| Prioritering genom risktal | Multiplicera sannolikhet × konsekvens för att rangordna risker och fördela resurser dit de gör mest nytta. |
| Proportionella kontroller | Hög risk kräver starka kontroller; låg risk motiverar förenklade åtgärder och minskar onödig friktion. |
| Dokumentation är avgörande | Spårbara bedömningar med motiveringstext är det tillsynsmyndigheter granskar, inte bara slutsatserna. |
| Delad kriteriemodell | Konsekventa definitioner för sannolikhet och konsekvens gör bedömningar jämförbara över avdelningar och tid. |
| Pilot före skalning | Starta i ett avgränsat affärsområde, mät KPI-förändringen efter 90 dagar och använd resultaten för att motivera bredare implementering. |
Innehållsförteckning
- Hur en riskbaserad metod hjälper er att prioritera compliance
- Varför hjälper RBA er att effektivisera compliance-arbetet?
- Hur fungerar en riskbaserad metod i praktiken?
- Praktiskt exempel: hur begränsade resurser riktas mot de viktigaste riskerna
- Hur går ni från gap-analys till en konkret åtgärdsplan?
- Hur mäter och rapporterar ni framsteg?
- Hur stödjer en delad plattform ert RBA-arbete?
- Vanliga fallgropar när ni inför RBA
- Det som sällan sägs om riskbaserat compliance-arbete
- Prova Trustview för strukturerad riskhantering
- Vanliga frågor om riskbaserad compliance
- Källor
Hur en riskbaserad metod hjälper er att prioritera compliance
En riskbaserad metod bygger på tre sammanlänkade steg: identifiera vad som kan gå fel, bedöm hur sannolikt det är och hur allvarliga konsekvenserna blir, och tillämpa sedan kontroller som är proportionella mot den samlade risknivån. Metoden är inte en engångsgranskning utan en cyklisk process som anpassas när omvärlden förändras.
Financial Crime Academy beskriver RBA som kärnan i AML/CFT-arbete: organisationen måste kunna förklara varför en viss kontrollnivå valdes och dokumentera det professionella omdöme som låg bakom beslutet. Det är en viktig distinktion. RBA handlar inte om att fylla i en mall utan om att fatta och motivera beslut.
Centrala principer som styr metoden:
- Proportionalitet: kontrollernas styrka ska motsvara riskens allvar, inte vara lika för alla.
- Dokumentation: bedömningar, beslut och avvikelser ska vara spårbara och förklarbara inför tillsyn.
- Professionellt omdöme: kvantitativa poäng kompletteras alltid av kvalitativ analys och kontextkännedom.
- Kontinuitet: riskbilden revideras löpande, inte bara vid årsslut eller vid tillsynsbesök.
- Anpassningsbarhet: ISO 31000 betonar att ramverket ska anpassas efter organisationens egna mål och kontext, inte kopieras rakt av.
Varför hjälper RBA er att effektivisera compliance-arbetet?
Det korta svaret: du slutar lägga lika mycket tid på lågriskprocesser som på högriskprocesser. Det låter självklart, men de flesta compliance-team som arbetar utan en strukturerad RBA gör precis det misstaget.
Konkreta fördelar:
- Effektivare resursfördelning: team och budget riktas mot de risker som faktiskt kan leda till sanktioner, dataintrång eller affärsstörningar.
- Proportionella kontroller: lågriskkunder och processer hanteras med förenklade åtgärder, vilket minskar friktionen i onboarding och daglig drift.
- Bättre riskfokus: komplexa indikatorer som PEP-kopplingar, ovanliga transaktionsmönster och leverantörsrisker under NIS2 fångas systematiskt i stället för att hanteras ad hoc.
- Skalbarhet: när verksamheten växer eller regelverket ändras justeras riskmodellen utan att hela compliance-strukturen behöver byggas om.
- Regulatorisk positionering: tillsynsmyndigheter förväntar sig dokumenterade bedömningar. En organisation som kan visa hur den resonerat har ett klart övertag vid granskning jämfört med en som bara kan visa att den följt en checklista.
En incident som inte förebyggs kostar mer än den kontroll som hade förhindrat den. Kostnaden syns inte bara i böter utan i PR-skada, förlorade affärssamarbeten och intern resursbindning under utredning.
Proffstips: Dokumentera inte bara vad ni bedömde utan varför ni landade i en viss risknivå. Tillsynsmyndigheter granskar resonemangen, inte bara slutsatserna. En kort motiveringstext per bedömning räcker och sparar timmar vid nästa tillsynsbesök.
Hur fungerar en riskbaserad metod i praktiken?
Processen följer fem steg som bildar en löpande cykel. MSB:s vägledning beskriver samma logik: identifiera, analysera, värdera, åtgärda och följ upp.
- Identifiera risker: kartlägg verksamhetens riskutrymme. Vilka processer, system, leverantörer och kundkategorier kan exponera organisationen för regelbrott, dataintrång eller operativa störningar?
- Bedöm sannolikhet och konsekvens: poängsätt varje risk på en skala, typiskt 1–5, för sannolikhet respektive konsekvens. Multiplicera värdena för att få ett risktal (sannolikhet × konsekvens).
- Klassificera och prioritera: placera risktalen i en riskmatris. Risker med högt risktal kräver starka kontroller eller förstärkt åtgärd (EDD). Låga risktal motiverar förenklade kontroller.
- Kalibrera kontroller: välj och implementera kontroller som är proportionella mot risknivån. Definiera tröskelvärden: vid vilket risktal krävs EDD, eskalering till ledningen eller extern expertis?
- Övervaka och revidera: följ upp att kontrollerna fungerar, registrera avvikelser och uppdatera bedömningarna när omvärlden förändras. Ferriswheel betonar att riskhantering måste vara en del av det dagliga arbetet, inte en årsritual.
Enkel riskmatris
| Sannolikhet / Konsekvens | Låg (1–2) | Medel (3) | Hög (4–5) |
|---|---|---|---|
| Hög (4–5) | Medel | Hög | Kritisk |
| Medel (3) | Låg | Medel | Hög |
| Låg (1–2) | Låg | Låg | Medel |
Risker i “Kritisk” kräver omedelbar åtgärd och EDD. “Hög” kräver dokumenterad åtgärdsplan med tidshorisont. “Medel” hanteras i ordinarie uppföljningscykel. “Låg” accepteras eller hanteras med standardkontroller.
Proffstips: Koppla konsekvenspoängen till konkreta mått, till exempel ekonomisk påverkan i SEK eller definierade sanktionströsklar, i stället för vaga termer som “stor” eller “liten”. Det gör bedömningarna jämförbara över tid och avdelningar.
Praktiskt exempel: hur begränsade resurser riktas mot de viktigaste riskerna
Tänk dig ett medelstort företag med ett compliance-team på tre personer. De har identifierat tre riskområden men saknar kapacitet att hantera alla med samma intensitet.
Med risktalen som grund är beslutet tydligt: leverantörsrisken hanteras omedelbart med ett personuppgiftsbiträdesavtal och en leverantörsbedömning. PEP-segmentet får förstärkt kundkännedom och löpande transaktionsövervakning. IT-systemet läggs i ordinarie underhållsplan utan akut resursinsats.
Det föråldrade IT-systemet är inte ofarligt, men med ett risktal på 6 mot leverantörsriskens 20 är prioriteringen uppenbar. En kontrollista för riskhantering hjälper er att strukturera identifieringen av liknande riskområden i er egen verksamhet.
Hur går ni från gap-analys till en konkret åtgärdsplan?
Att identifiera en risk är bara halva jobbet. Nästa steg är att bedöma om befintliga kontroller faktiskt täcker risken och vad som saknas.
Kontrollutvärderingen mäter tre saker: kontrollens effekt (minskar den risken tillräckligt?), täckning (gäller den alla relevanta processer och enheter?) och bevis (kan ni visa att den fungerar?). Återstående risk efter kontroll kallas residualrisk och är det verkliga måttet på er exponering.
MSB:s checklistor ger praktiska punkter för hur en organisation dokumenterar riskägare, kommunicerar beslut och följer upp åtgärders effekt. En strukturerad åtgärdsplan innehåller:
- Riskbeskrivning: vad är risken och vilket risktal har den?
- Identifierat gap: vilken kontroll saknas eller är otillräcklig?
- Åtgärd: vad ska göras, av vem och när?
- Riskägare: en namngiven person med mandat och ansvar.
- Uppskattad insats: tid och kostnad för att genomföra åtgärden.
- Acceptanskriterium: hur vet ni att åtgärden är tillräcklig?
Prioritera åtgärder efter riskreduktion per investerad timme. En åtgärd som kostar fyra timmar och eliminerar en kritisk risk är alltid bättre än en som kostar tjugo timmar och sänker en medelhög risk marginellt. Läs mer om hur du strukturerar processen i steg-för-steg-guiden för åtgärdsplaner.
Proffstips: Välj åtgärder som ger störst riskreduktion per investerad timme. Rangordna åtgärdsplanen efter kvoten riskreduktion/insats, inte bara efter risknivå. Det ger ett bättre beslutsunderlag när resurser är knappa.
Hur mäter och rapporterar ni framsteg?
En RBA utan mätning är en plan utan uppföljning. Ledningen behöver se om metoden faktiskt minskar riskexponeringen, och compliance-teamet behöver veta om kontrollerna håller.
Föreslagna KPI:er för ett operativt team:
- Antal öppna åtgärder per risknivå (kritisk, hög, medel).
- Genomsnittlig tid från identifierad risk till genomförd åtgärd.
- Andel högriskbedömningar med dokumenterad riskägare och tidsplan.
- Antal revisioner av riskbedömningar genomförda under perioden.
För ledningsrapportering räcker färre men tydligare mått:
- Procentuell minskning av kritiska och höga risker sedan föregående period.
- Andel åtgärder slutförda inom planerad tidshorisont.
- Antal incidenter kopplade till tidigare identifierade högriskområden.
Rapporteringsrutiner som fungerar i praktiken:
- Operativt team: veckovis genomgång av öppna åtgärder och nya riskobservationer.
- Compliance-ansvarig: månadsvis sammanställning av KPI-trend och eskalerade risker.
- Ledning och styrelse: kvartalsvis rapport med risköversikt, åtgärdsstatus och eventuella regulatoriska förändringar.
En compliance-dashboard visualiserar dessa mått i realtid och gör det möjligt att snabbt identifiera om en riskkategori försämras mellan rapporteringstillfällena.
Hur stödjer en delad plattform ert RBA-arbete?
Det vanligaste problemet med manuell riskhantering är inkonsistens. Två avdelningar bedömer samma leverantörsrisk med olika kriterier och landar i olika risknivåer. Ingen vet vilken bedömning som gäller, och tillsynsmyndigheten ser motstridiga dokument.
En delad plattform som Trustview löser det genom att centralisera kriteriemodellen. Alla använder samma definitioner för sannolikhet och konsekvens, samma mallar och samma riskregister. Det ger jämförbara bedömningar över tid och avdelningar, vilket är en förutsättning för trovärdig ledningsrapportering.
Plattformsfunktioner som direkt stödjer RBA:
- Centraliserat riskregister: alla identifierade risker samlas på ett ställe med risktal, ägare och status.
- Bedömningsmallar: fördefinierade kriterier för sannolikhet och konsekvens minskar godtycke och sparar tid.
- Spårbar historik (audit trail): varje bedömning, ändring och beslut loggas automatiskt, vilket förenklar tillsynskommunikation.
- Åtgärdshantering: åtgärder kopplas direkt till risker, tilldelas ägare och följs upp med påminnelser.
- Dashboards och rapporter: automatiserade sammanställningar för operativt team och ledning, utan manuell Excel-hantering.
Rekommenderad implementeringsväg: börja med ett affärsområde, använd plattformens färdiga mallar och kör en pilot under 60–90 dagar. Mät KPI-förändringen och använd resultaten för att motivera skalning till resten av organisationen. Det är samma råd som PwC:s blogg om effektiv riskhantering ger: starta avgränsat, involvera nyckelpersoner och bygg mallar som kan spridas.
Proffstips: *Använd plattformens data för att driva ledningsbeslut, inte bara för att dokumentera dem.
Vanliga fallgropar när ni inför RBA
De flesta problem med RBA uppstår inte i teorin utan i genomförandet. Här är de vanligaste misstagen och hur ni undviker dem:
- Vaga risknivåer utan definierade kriterier: termer som “hög” och “låg” utan konkreta trösklar leder till godtyckliga bedömningar. Motåtgärd: definiera en kriteriemodell med mätbara gränsvärden innan ni börjar poängsätta.
- Engångsbedömningar: en riskbedömning som görs en gång och aldrig revideras är snabbt inaktuell. Motåtgärd: schemalägg löpande revisioner och koppla dem till händelseutlösare som nya leverantörer, regeländringar eller incidenter.
- Bristande dokumentation: om ni inte kan visa hur ni resonerade är bedömningen värdelös inför tillsyn. Motåtgärd: kräv en kort motiveringstext per bedömning och lagra den i ett centralt system med audit trail.
- Silobaserade bedömningar: när varje avdelning gör sina egna bedömningar med egna kriterier går det inte att jämföra eller aggregera riskbilden. Motåtgärd: inför en delad kriteriemodell och ett gemensamt riskregister, gärna i en plattform.
- Checkbox-tänkande: RBA reduceras till en administrativ uppgift utan koppling till faktiska beslut. Motåtgärd: koppla riskbedömningens utfall direkt till resursallokering och åtgärdsplaner så att metoden driver verkliga prioriteringar.
Börja med en liten pilot i ett avgränsat affärsområde. Mät effekten efter 90 dagar: hur många kritiska risker identifierades, hur många åtgärder genomfördes och hur förändrades riskexponeringen? De siffrorna är ert starkaste argument för att skala metoden till hela organisationen.
Det som sällan sägs om riskbaserat compliance-arbete
Det finns en utbredd missuppfattning om vad en riskbaserad metod faktiskt kräver. Många organisationer tror att det räcker med en riskmatris och en poängsättningsmodell. Det är en bra start, men det är inte det som skiljer ett fungerande RBA från ett som bara ser bra ut på papper.
Det avgörande är att bedömningarna faktiskt driver beslut. En riskmatris som producerar ett risktal som ingen agerar på är inte riskhantering, det är dokumentation för dokumentationens skull. Det är precis den fälla som Financial Crime Academy varnar för: RBA får inte bli en isolerad administrativ uppgift.
Den konventionella rådet att “börja med en heltäckande riskidentifiering” är också delvis missvisande. En fullständig kartläggning av alla möjliga risker tar månader och riskerar att bli ett projekt i sig som aldrig leder till handling. Det bättre rådet är att börja med de tre till fem risker ni redan vet är störst och bygga processen därifrån. Momentum är viktigare än fullständighet i ett tidigt skede.
En annan underskattad faktor är konsistens i bedömningskriterierna. Organisationer lägger stor möda på att välja rätt poängskala men glömmer att definiera vad varje nivå faktiskt innebär. Resultatet är att olika bedömare landar i olika risknivåer för identiska situationer, vilket undergräver hela metodens trovärdighet. En delad kriteriemodell i ett gemensamt system är inte en lyx utan en förutsättning för att RBA ska hålla under granskning. Det är också skälet till att juridisk expertis spelar en konkret roll i att tolka regelverkets krav och omsätta dem i bedömningskriterier som faktiskt håller.
Slutligen: ledningens engagemang är inte en mjuk framgångsfaktor. Det är en hård förutsättning. RBA kräver att resurser omfördelas, att prioriteringar ändras och att vissa risker accepteras medvetet. Utan mandat från ledningen fastnar compliance-teamet i att dokumentera risker de inte har befogenhet att åtgärda.
Prova Trustview för strukturerad riskhantering
Trustview samlar riskregister, bedömningsmallar, åtgärdshantering och ledningsrapportering i en plattform. Resultatet är konsekventa bedömningar, spårbar dokumentation och rapporter som ledningen faktiskt kan fatta beslut utifrån. Läs mer om hur en compliance-dashboard ger er realtidsöversikt, eller utforska hur ni kan arbeta mer systematiskt med hållbar complianceledning.
Vanliga frågor om riskbaserad compliance
Vad är skillnaden mellan en riskbaserad metod och en regelbaserad metod?
En regelbaserad metod tillämpar samma kontroller på alla, oavsett faktisk risk. En riskbaserad metod anpassar kontrollernas styrka efter den bedömda risknivån, vilket ger proportionella och förklarbara åtgärder.
Kräver FATF att organisationer använder RBA?
Ja. FATF:s rekommendationer kräver att länder och organisationer inom AML/CFT identifierar, bedömer och förstår sin riskexponering och implementerar åtgärder proportionella mot risknivån.
Hur ofta bör riskbedömningar revideras?
Minst en gång per år, men också vid händelseutlösare som nya leverantörer, regeländringar, incidenter eller väsentliga förändringar i verksamheten.
Kan en liten organisation med begränsade resurser använda RBA?
Ja, och det är särskilt värdefullt för små team. RBA hjälper er att fokusera på de tre till fem viktigaste riskerna i stället för att försöka täcka allt med lika stor insats.
Hur hanterar man personuppgiftsrisker inom ramen för RBA?
Personuppgiftsrisker bedöms med samma sannolikhet-konsekvens-modell. Hög konsekvens för registrerades rättigheter kombinerat med hög sannolikhet för intrång triggar en konsekvensbedömning (DPIA) och förstärkta tekniska kontroller.
Vad är residualrisk?
Residualrisk är den risk som kvarstår efter att kontroller har implementerats. Det är det verkliga måttet på er exponering och det som ledningen behöver ta ställning till: acceptera, reducera ytterligare eller transferera.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
Källor
- What is risk based approach? – Financial Crime Academy
- MSB: vägledning för riskhantering (RIB)
- Så utvecklar ni ett riskbaserat förhållningssätt – Ferriswheel Sverige AB
