„Riscul este o măsură a gradului în care o entitate este amenințată de o circumstanță sau de un eveniment potențial și este de regulă o funcție de: (i) impactul advers care ar apărea dacă circumstanța sau evenimentul se produce; și (ii) probabilitatea de apariție.”National Institute of Standards and Technology (NIST) · Guide for Conducting Risk Assessments (NIST SP 800-30 Rev. 1) · 2012 · NIST SP 800-30 Rev. 1, «Guide for Conducting Risk Assessments» (septembrie 2012), secțiunea 2.3 «Key Risk Concepts»
Proprietarul unui risc e cineva care poate aloca buget și opri o activitate, nu cineva care ține un registru.
Definiția din ghidul NIST de evaluare a riscurilor (SP 800-30 Rev. 1, 2012) e utilă tocmai pentru că e plictisitoare: riscul e o măsură a cât de expusă e o entitate la o circumstanță sau la un eveniment, funcție de impactul advers și de probabilitatea de apariție. ISO 31000:2018 spune același lucru altfel — efectul incertitudinii asupra obiectivelor — și adaugă ce lipsește din prima formulare: riscul se raportează la obiective, nu la active. Trei termeni se confundă constant. Apetitul de risc e cât risc caută organizația ca să-și atingă obiectivele; e o decizie a conducerii, nu a echipei de securitate. Toleranța e abaterea acceptată în jurul apetitului, exprimată ca praguri concrete care declanșează o reacție. Proprietarul riscului e persoana cu autoritatea și responsabilitatea de a-l trata, adică cineva care poate aloca buget și poate opri o activitate. În ISO/IEC 27001:2022, clauza 6.1.3 cere aprobarea proprietarilor pentru planul de tratare și acceptarea riscurilor reziduale.
De ce contează Auditorul nu întreabă ce riscuri ai, ci cine le deține și cine a acceptat riscul rezidual; fără nume, clauza 6.1.3 nu e îndeplinită.