Taloyhtiön hallinnon riskirekisteri

Taloyhtiön hallinnon riskirekisteri kokoaa tulevia epävarmuuksia, jotka voivat vaikuttaa yhtiön tavoitteisiin tai päätöksentekoon. Isännöitsijä voi koota tietoa, mutta riskin omistajuus, käsittelyvaihtoehdot ja hyväksyttävä jäännösriski kuuluvat yhtiön tilanteen ja toimivallan mukaiseen arviointiin.

Riskirekisteri on tulevaisuuteen suuntautuva työväline

Riskirekisteri kuvaa, mikä voi tapahtua, miksi tapahtuma on mahdollinen, mitä tavoitetta tai toimintoa se voi haitata ja millä vaihtoehdoilla siihen voidaan varautua. Se ei ole luettelo jo sattuneista poikkeamista eikä jälkikäteinen juurisyyanalyysi. Kun haitallinen tapahtuma on jo toteutunut, sen käsittely kuuluu asianmukaiseen poikkeama- ja tapahtumaprosessiin. Rekisteri voi tämän jälkeen sisältää uuden tulevaisuuteen katsovan epävarmuuden, jos tapahtuman seurauksia tai toistumisen mahdollisuutta arvioidaan jatkossa.

Taloyhtiön hallinnon rekisteri eroaa myös sisäisen valvonnan tarkistusmallista. Valvontatarkistus arvioi, toteutuiko tietty kontrolli sovitulla tavalla. Riskirekisteri puolestaan tunnistaa epävarmuuden ennen tapahtumaa ja auttaa valitsemaan, seurataanko sitä, muutetaanko toimintaa vai varaudutaanko seurauksiin. Yksittäisen riskin vastatoimi voi olla kontrolli, mutta nämä työvälineet eivät ole sama asia.

Taloyhtiön riskienhallinnan yleisopas auttaa hahmottamaan laajempaa kokonaisuutta. Tämä artikkeli rajautuu hallituksen ja isännöitsijän käyttämään rekisteriin: miten epävarmuus kuvataan, kuka seuraa sitä ja miten käsittelyn jälkeen jäävä riski pidetään näkyvissä.

Suomi.fi-kehittäjille-palvelun digitaalisen turvallisuuden riskienhallintaohje käsittelee riskien tunnistamista, toimintaympäristön kuvaamista, arviointia ja käsittelyvaihtoehtoja yleisellä tasolla. Ohje sopii ajatusten jäsentämiseen, mutta se ei määrää asunto-osakeyhtiölle lomaketta, käsittelymenettelyä tai ISO-sertifikaatin osoitusta. Tässä kuvattu rekisteri on toimituksellinen hallinnon työmalli, jota yhtiö voi sovittaa omaan toimintaansa.

Rajaa toimintaympäristö ja tavoite

Ennen riskien listaamista nimetään tarkasteltava kokonaisuus. Se voi olla hallinnon jatkuvuus, päätöksenteon valmistelu, tietojen saatavuus, palveluntuottajariippuvuus tai yhtiön tietty toimintasuunnitelman tavoite. Rajaus auttaa välttämään sekalaisen listan, jossa yhdistyvät tekniset vaarat, taloudelliset epävarmuudet ja toteutuneet palvelupoikkeamat ilman yhteyttä tavoiteltuun päätökseen.

Kuvaa tarkastelun tausta: mikä tavoite, palvelu tai tehtävä on kyseessä, keitä toimijoita siihen liittyy, mistä riippuvuuksista tiedetään ja miltä ajanjaksolta tietoa on koottu. Epävarmuutta ei tarvitse poistaa ennen kirjaamista. Jos syy on tuntematon tai näyttö alustavaa, merkitse se avoimeksi kysymykseksi. Rekisterin tehtävä ei ole esittää epävarmaa arviota varmana tietona.

Riskin perusmuotoilu voi yhdistää kolme osaa: ”Jos [syy tai olosuhde], voi tapahtua [epävarma tapahtuma], jolloin [vaikutus tavoitteeseen tai toimintaan].” Esimerkiksi ”Jos ainoan avainhenkilön tieto ei ole siirrettävissä, hallinnon tehtävän käsittely voi viivästyä ja päätösvalmistelun aineisto jää puutteelliseksi.” Tapahtuma on tulevaisuuden mahdollisuus; se ei väitä viiveen jo tapahtuneen.

Tunnistaminen ja arviointi

Riskien tunnistamisessa tarkastellaan sekä sisäisiä että ulkoisia muutoksia. Taloyhtiön hallinnossa mahdollisia lähteitä voivat olla tietojen hajautuminen, palveluntuottajariippuvuus, avainhenkilön vaihtuminen, päätöksen lähtötietojen keskeneräisyys tai toimintaympäristön muuttuminen. Esimerkit eivät ole yleinen lista kaikista riskeistä. Kukin yhtiö tunnistaa ne asiat, jotka liittyvät sen omiin tavoitteisiin ja riippuvuuksiin.

Riskikeskustelu voidaan aloittaa kysymyksillä: mikä voi estää tavoitteen saavuttamisen, mikä oletus on epävarma, millä tavalla muutos näkyisi ensimmäiseksi, mitä muita toimintoja se koskettaisi ja mikä tieto puuttuu? Suomi.fi:n ohje painottaa myös riskien yhteyksiä, lähteitä, vaikutusalueita ja seurauksia. Hallinnon työmallissa eri roolit voivat täydentää kuvaa, koska isännöitsijällä, hallituksella ja palveluntuottajalla on erilainen näkymä samoihin riippuvuuksiin.

Riskin arviointi voidaan tehdä laadullisesti. Yhtiö voi kuvata mahdollisen tapahtuman todennäköisyyttä, vaikutusta ja epävarmuuden astetta esimerkiksi sanallisesti, jos arviointiperusteet määritellään paikallisesti. Arvio ei ole näennäisen tarkka prosentti eikä virallinen luokitus. Jos käytetään asteikkoa, jokainen taso määritellään ymmärrettävästi, arvioija ja tietolähde merkitään ja luokituksen tarkoitus kerrotaan. Ilman tätä ”korkea” tai ”matala” jää tulkinnanvaraiseksi.

Vaikutusta ei kuvata vain taloudellisena menetyksenä. Hallinnon epävarmuus voi vaikuttaa tiedon oikea-aikaisuuteen, päätösvalmistelun laatuun, palvelun jatkuvuuteen, asukkaiden tiedonsaantiin tai yhtiön tavoitteiden toteutumiseen. Vaikutuksia voidaan tarkastella erikseen ja kirjata, mikä niistä on rekisterin kannalta olennaisin. Tämä auttaa välttämään tilanteen, jossa yksi numeerinen pistemäärä peittää erilaisten seurausten luonteen.

Täytettävä riskirekisterin työkalupohja

Alla oleva taulukko kokoaa peruskentät. Sen tarkoitus on auttaa hallitusta ja isännöitsijää kuvaamaan epävarmuus, omistaja, valittu käsittely ja seuranta samaan hallinnolliseen näkymään. Malli ei ole viranomaislomake tai taloyhtiön lakisääteinen riskimittari.

Omistajarooli ja toimenpiteen tekijä voivat olla eri tahoja. Riskin omistajuuden kirjaaminen ei yksin ratkaise oikeudellista, sopimusperusteista tai teknistä vastuuta. Jos rekisterin pohjalta syntyy hallituksen päätöstarve, se valmistellaan ja kirjataan yhtiön asianmukaisessa päätösmenettelyssä. Rekisteriin voi lisätä päätöksen tunnisteen, mutta se ei korvaa päätösasiakirjaa.

Taloyhtiön päätöksenteon yleisopas käsittelee toimivallan ja päätösmenettelyn perusteita. Riskirekisteri toimii siihen nähden valmistelun ja seurannan apuvälineenä, ei uutena päätöksentekoelimenä tai pöytäkirjan korvikkeena.

Käsittelyvaihtoehdot ja jäännösriski

Riskin käsittelyyn voi olla useita vaihtoehtoja. Yhtiö voi välttää toimintaa, muuttaa tapahtuman syytä, vähentää todennäköisyyttä, rajata seurauksia, jakaa osan riskistä sopimuksellisin tai toiminnallisin järjestelyin taikka seurata tilannetta muuttamatta toimintaa. Vaihtoehtojen saatavuus ja vaikutus riippuvat asiasta. Tämä luettelo on suunnittelun jäsennys, ei yksilöllinen juridinen tai tekninen suositus.

Toimenpiteen valinta arvioidaan myös sen sivuvaikutusten ja kustannusten näkökulmasta. Hallintakeino voi luoda uusia riippuvuuksia, kuten uuden järjestelmän ylläpidon tai lisätyön. Suomi.fi:n ohje huomauttaa, että hallintakeinoista voi syntyä kustannuksia ja uusia riskejä. Taloyhtiön sovelluksessa vaihtoehtoa vertaillaan alkuperäiseen epävarmuuteen ja tavoitteeseen; rekisteri ei ratkaise hankinnan toteutusta tai sopimusehtoja.

Jäännösriski tarkoittaa epävarmuutta, joka jää valitun toimintatavan jälkeen. Se kuvataan erikseen, jotta käsittelytoimenpide ei näyttäydy täydellisenä poistona. Kirjaa, mitä osa-aluetta ei voida poistaa, minkä havainnon perusteella jäännöstä arvioidaan ja kuka seuraa muutosta. Jos päätöksentekijä hyväksyy tilanteen tai valitsee seurannan, päätös ja sen peruste kirjataan asianmukaiseen paikkaan. Rekisteriin merkitään vain viite ja seuraava arviointipiste.

Omistajuus, seuranta ja dokumentointi

Riskin omistaja huolehtii siitä, että epävarmuus pysyy oikean toiminnon näkyvissä. Käytännön seurannan voi tehdä eri rooli, joka kokoaa havainnot ja ilmoittaa muutoksista. Vastuut kuvataan niin, että rekisterin käyttäjä tietää, kuka tarkistaa tiedon, kuka voi valmistella käsittelyvaihtoehtoja ja milloin asia tuodaan hallituksen keskusteluun. Suomi.fi:n riskienkäsittelyohje käsittelee omistajien, toimenpiteiden, toteuttajien ja seurantavastuiden määrittelyä. Tässä se toimii yleisenä lähteenä toimintamallin jäsentelylle, ei taloyhtiötä sitovana vastuumääräyksenä.

Vastuut on hyödyllistä kirjoittaa tehtävinä, ei vain henkilönimien luettelona. Kuka seuraa olosuhteen muutosta, kuka koordinoi ennalta sovitun toimenpiteen, kuka arvioi toimenpiteen resurssitarpeen ja kuka tuo jäljelle jäävän epävarmuuden päätettäväksi? Yhtiön eri roolit osallistuvat näihin eri tavoin. Isännöitsijän kokoama rekisteri voi ehdottaa omistajaroolia, mutta hallitus tai muu toimivaltainen taho vahvistaa sen yhtiön toimintatavan mukaan.

Raportointiin valitaan tarkoituksenmukainen taso. Yksityiskohtainen rekisteririvi voi olla valmistelijan työväline, kun taas hallituksen tilannekuva voi nostaa esiin muutoksen, päätöstarpeen ja jäljelle jäävän epävarmuuden. Suomi.fi:n seurantaohje käsittelee yleisten ja yksityiskohtaisten riskien erottelua ja tiedon viemistä oikeille tahoille. Taloyhtiön sovelluksessa tämä voi tarkoittaa, ettei jokaista työvaiheen yksityiskohtaa toisteta hallituksen koosteessa, mutta olennainen riippuvuus ja päätöstarve säilyvät näkyvissä.

Kun riskistä ilmoittanut henkilö on tunnistettavissa, käsittelyn etenemisestä viestiminen arvioidaan asian ja tietosuojan puitteissa. Suomi.fi käsittelee ilmoittajan ajan tasalla pitämistä organisaation sisäisessä digitaalisen turvallisuuden riskienhallinnassa. Taloyhtiössä tätä ei tule tulkita yleiseksi luovutusvelvollisuudeksi tai oikeudeksi jakaa käsittelyaineistoa. Käytännössä voidaan sopia, kuka vastaa ilmoittajalle asian käsittelystä soveltuvalla yleisellä tasolla.

Seurannan ajankohta voidaan sitoa yhtiön omaan päätösrytmiin tai tiettyyn muutostriggeriin. Esimerkiksi palveluntuottajan vaihdos, uusi selvitys, sopimuskauden tarkastelu tai hallituksen kokoonpanon muutos voi käynnistää uuden arvioinnin. Kaikille riskeille ei tarvitse asettaa samaa tarkistusväliä. Tärkeää on, että arvioinnin ajankohta ja peruste näkyvät, eikä vanhaa riskiluokitusta käsitellä nykytilana ilman uutta tietoa.

Suomi.fi:n seurantaohje nostaa esiin toimintaympäristön ja riskien muutosten tarkastelun sekä dokumentointi- ja raportointivastuiden sopimisen. Taloyhtiössä tätä voi soveltaa nimeämällä, kuka päivittää rekisteriä, kuka saa yhteenvedon ja missä tilanteessa havainto nostetaan käsittelyyn. Ohje koskee digitaalisen turvallisuuden riskienhallintaa julkisen hallinnon kontekstissa. Se ei luo taloyhtiölle lakisääteistä rekisteriä tai vaatimustenmukaisuuden todistetta.

Erota riski, kontrolli ja poikkeama

Rekisteriin kirjattu tuleva epävarmuus voi olla yhteydessä sisäiseen valvontaan. Jos esimerkiksi tietojen tarkistus vähentää virheellisen päätösvalmistelun mahdollisuutta, rekisteriin voidaan kuvata epävarmuus ja sovittu käsittely. Kontrollitarkistus arvioi erillisessä tarkistusmallissa, toteutuiko tarkistus. Jos virheellinen tieto on jo johtanut tapahtumaan, poikkeamakatselmus tarkastelee toteutunutta tapahtumaa ja sen syitä. Näiden kolmen näkymän erottaminen estää sen, että tapahtunut vahinko naamioituu vain tulevaisuuden riskiksi tai että kontrollin olemassaolo tulkitaan riskin poistumiseksi.

Riskirekisterissä ei pidetä jokaista havaintoa automaattisesti avoimena riskinä. Havainto voi olla alustava, vaatia lisäselvitystä tai kuulua muun prosessin käsiteltäväksi. Kirjaa, miten havainto luokiteltiin ja mihin se siirtyi. Jos se suljetaan tai poistetaan, merkitään peruste ja mahdollinen uusi seurantapaikka sovitun tiedonhallinnan puitteissa. Näin rekisteri säilyy tulevien epävarmuuksien työvälineenä eikä muutu yleiseksi muistilistaksi.

Tietojen laatu ja henkilötiedot

Riskirekisterin tietopohja voi sisältää henkilötietoja, esimerkiksi silloin, kun riskin taustalla on tehtävärooli, ilmoittaja tai palvelun käyttäjä. Tietosuojavaltuutetun toimiston tietosuojaperiaatteet käsittelevät käyttötarkoitusta, tietojen minimointia, täsmällisyyttä sekä luottamuksellista ja turvallista käsittelyä. Rekisterissä voidaan usein kuvata tehtävä tai rooli henkilön nimen sijaan ja viitata rajattuun asianhallintatunnisteeseen.

Periaatteista ei johdeta yksittäisen riskirekisterin käsittelyperustetta, säilytysaikaa tai luovutusoikeutta. Nämä kysymykset arvioidaan sovellettavien sääntöjen ja kyseisen käsittelyn mukaan. Riskiteksti ei sisällä ilmoittajan tarpeettomia henkilötietoja, terveystietoja tai riita-asian yksityiskohtia, jos epävarmuuden ymmärtää ilman niitä. Jos tällaista tietoa on välttämätöntä käsitellä muualla, käyttöoikeudet, säilytys ja suojaus suunnitellaan erikseen.

Tietojen laatuun kuuluu lähteen, ajankohdan, rajauksen ja varmuuden kirjaaminen. Havainto, oletus ja arvio erotetaan toisistaan. Esimerkiksi ”yksi palvelun raportti viivästyi” on rajattu havainto, ”sama voi vaikeuttaa seuraavaa päätösvalmistelua” on arvio ja ”seurataan riippuvuuden toteutumista” on ehdotettu toimi. Sanamuoto auttaa seuraavaa lukijaa ymmärtämään, millä perusteella riskiä arvioitiin ja mikä uusi tieto voi muuttaa arviota.

Rekisterin katselmointi ja käsittelypäätöksen valmistelu

Katselmoinnissa ei riitä, että rivin luokitus kopioidaan edelliseltä kerralta. Tarkistetaan, onko tavoite edelleen ajankohtainen, onko toimintaympäristössä tapahtunut muutos, ovatko riskin syy ja vaikutus täsmentyneet, vaikuttiko valittu käsittely ja muuttuiko jäännösriskin arvio. Jos käytetty asteikko ei enää kuvaa olennaista eroa, korjataan kriteeri tai kirjataan, miksi vanha luokitus jäi voimaan.

Käsittelyvaihtoehdon valmistelussa kuvataan kunkin realistisen vaihtoehdon hyöty, rajoite, riippuvuus ja tarvittava lisätieto. Jos vaihtoehto edellyttää kustannusarviota, tarjousta tai asiantuntijan arviota, rekisteriin merkitään kyseinen valmistelutehtävä ja se, milloin hallitus käsittelee vaihtoehdot. Rekisteri ei muuta alustavaa kustannusta vahvistetuksi talousarvioksi eikä arvioi itse teknisen työn toteutettavuutta.

Päätöksen jälkeen päivitetään valittu toimintatapa, omistajarooli, tavoiteikkuna ja jäännösriskin seurannan käynnistin. Jos päätöstä ei tehdä tai asia siirtyy, kirjataan syy ja seuraava käsittelypiste. Päätöksen lähde pidetään löydettävänä, mutta riskirekisteriin ei kopioida pöytäkirjan sisältöä tai luoda sille rinnakkaista hyväksymismenettelyä.

Katselmointi voi tapahtua sovitussa hallituksen työskentelyssä tai tapahtumaperusteisesti, jos merkittävä muutos tulee näkyviin. Suomi.fi kuvaa seurannan ja tarkastukset mahdollisiksi määräajoin tai tapauskohtaisesti. Taloyhtiö valitsee oman rytminsä riskin luonteen ja hallituksen tarpeen perusteella; tässä ei aseteta kaikille riskeille samaa tarkistusväliä.

Rekisterin käyttöä voi rajata myös riskien lukumäärän sijasta merkityksellisyyden mukaan. Yhteenvetoon nostetaan ne epävarmuudet, joiden muutos vaatii hallitukselta valintaa, resurssin uudelleenarviointia tai lisätiedon tilaamista. Muut riskit voivat pysyä vastuuroolin seurannassa ja tulla uudelleen esiin, jos triggeri toteutuu. Rajaus ei ole peruste jättää havaintoa kirjaamatta, vaan keino antaa päätöksenteolle sopivan tason tilannekuva.

Jos rekisterissä käytetään luokitusta, sen käyttöä arvioidaan myös ajan kuluessa. Arvioija merkitsee, perustuuko luokka mitattuun tietoon, kokemukseen vai asiantuntija-arvioon. Luokkaa ei tule esittää todennäköisyysprosenttina, jos sille ei ole luotettavaa aineistoa. Sanallinen perustelu voi olla päätöksenteon kannalta avoimempi: esimerkiksi ”vaikutuksen laajuus on epäselvä, koska tietoa palvelun varajärjestelystä ei ole tarkistettu”.

Suomi.fi:n lähde neuvoo myös tarkkailemaan riskitiedon laatua. Taloyhtiön sovelluksessa laatua voi käsitellä neljällä kysymyksellä: löytyykö väitteelle lähde, onko rajaus näkyvä, onko tieto ajantasainen ja ymmärtääkö seuraava lukija epävarmuuden? Puute merkitään lisäselvityksenä eikä sitä täytetä päätelmällä. Jos lähde vanhenee tai muuttuu, aiempi luokitus arvioidaan uudelleen.

Kuvitteellinen harjoitustapaus: Tammituvan palvelutiedon jatkuvuus

Kuvitteellisessa Tammituvan taloyhtiössä hallitus suunnittelee palveluntuottajan vaihtumiseen varautumista. Isännöitsijä huomaa, että osa hallinnon työn kannalta tärkeistä ohjeista ja yhteyksistä on yhden avainhenkilön hallussa. Tämä ei tarkoita, että palvelu olisi jo katkennut. Rekisteriin kirjataan tuleva epävarmuus: jos tehtävän kannalta olennainen tieto ei siirry sovitusti, uuden palvelujakson käynnistyminen voi viivästyä ja hallituksen valmisteluaineisto voi jäädä puutteelliseksi.

Tietolähteeksi merkitään perehdytysaineiston nykyinen rajaus ja tarkastelupäivä. Epävarmuuden taso kuvataan sanallisesti, sillä harjoituksessa ei ole näyttöä todennäköisyydestä tai tapahtuman kustannuksesta. Riskin omistajarooliksi nimetään hallinnon kokonaisuudesta vastaava rooli; aineiston kartoituksen koordinoi erikseen sovittu henkilö. Ensimmäinen vaihtoehto on kartoittaa, mitkä työohjeet ja yhteystiedot ovat olennaisia ja missä ajantasainen versio sijaitsee.

Harjoituksen katselmuksessa selviää, että päätösasiakirjojen sijainti on kuvattu, mutta erään palvelutehtävän tilannekuva puuttuu. Hallitus arvioi, tarvitaanko erillinen tehtäväsiirto ja missä laajuudessa. Päätös ja mahdollinen työmääräarvio käsitellään erikseen. Rekisteriin jää jäännösriskiksi se, että yksittäisen tiedon ajantasaisuus voi muuttua siirtymän jälkeen; seuraava tarkistus sidotaan palvelun käynnistymiseen. Tämä on kuvitteellinen toimintamalliharjoitus, ei arvio todellisesta palveluntuottajasta tai taloyhtiöstä.

Harjoituksessa ei lasketa euroja, todennäköisyysprosenttia eikä työajan säästöä, koska luotettavaa lähtötietoa ei ole. Rekisterin arvona on näkyviin tullut riippuvuus, nimetty seurannan omistajarooli ja erillinen päätöstarve. Jos mittaria myöhemmin halutaan käyttää, ensin sovitaan, mikä tieto lasketaan mukaan, mikä on nimittäjä, miltä ajalta havainto kerätään ja millä tavalla päällekkäiset kirjaukset käsitellään. Ilman määrittelyä luku ei olisi vertailukelpoinen.

Yhteenveto

Taloyhtiön hallinnon riskirekisteri on tulevaisuuteen katsova valmistelu- ja seurantaväline. Hyvä rekisteririvi yhdistää tavoitteen, mahdollisen tapahtuman, vaikutuksen, tietolähteen, epävarmuuden, omistajaroolin, käsittelyvaihtoehdon ja seuraavan katselmoinnin. Toteutunut poikkeama, kontrollin toimivuus ja tuleva riski pidetään erillisinä, jotta rekisteri ei muutu sekalaiseksi muistilistaksi.

Rekisteri ei itsessään ratkaise toimivaltaa, sopimusvastuuta, henkilötietojen käsittelyperustetta tai teknistä toteutusta. Päätökset kirjataan asianmukaisiin päätösasiakirjoihin, henkilötiedot rajataan tarpeellisiin ja avoimet oletukset merkitään näkyviksi. Hallitus ja isännöitsijä voivat tällöin käyttää rekisteriä yhteisenä tilannekuvana ilman, että laadullinen arvio esitetään perusteettoman tarkkana lukuna.

Usein kysytyt kysymykset

Mitä hallinnon riskirekisteriin kannattaa ensimmäiseksi kirjata?

Aloita yhdestä yhtiön tavoitteesta tai toiminnosta ja kuvaa siihen liittyvä mahdollinen tuleva tapahtuma, sen syy, vaikutus ja tietolähde. Merkitse myös arvioinnin epävarmuus sekä rooli, joka tarkistaa tiedon seuraavan kerran.

Kuka omistaa riskin ja kuka päivittää rekisteriä?

Riskin omistajarooli voi seurata asian kokonaisuutta, kun taas päivityksen koordinoi toinen nimetty rooli. Yhtiö sopii työnjaosta omassa toimintaympäristössään; rekisterimerkintä ei yksin ratkaise sopimus- tai oikeudellista vastuuta.

Miten jäännösriski kuvataan?

Kirjaa, mikä epävarmuus säilyy valitun toimintatavan jälkeen, mihin arvio perustuu ja mikä muutos käynnistää uuden katselmoinnin. Jos tilanteen hyväksymisestä tehdään päätös, merkitse päätösasiakirjan viite riskirekisteriin.

Onko tämä taloyhtiölle määrätty lomake tai standardiluokitus?

Ei. Tässä kuvattu malli on toimituksellinen työväline, ja Suomi.fi:n lähde käsittelee digitaalisen turvallisuuden riskienhallintaa yleisellä tasolla. Yhtiö sovittaa kentät ja menettelyn omaan toimintaansa eikä käsittele mallia ISO-sertifikaattina tai lakisääteisenä mittarina.

Lähteet

• Suomi.fi kehittäjille: Kuvaa riskienhallinnan toimenpiteet — riskien tunnistaminen, arviointi ja käsittely sekä seurannan ja dokumentoinnin yleiset periaatteet.
• Suomi.fi kehittäjille: Seuraa, dokumentoi ja raportoi riskit — toimintaympäristön muutosten seuranta, vastuut, dokumentointi ja riskitiedon laatu.
• Tietosuojavaltuutetun toimisto: Tietosuojaperiaatteet — henkilötietojen käyttötarkoitus, minimointi, täsmällisyys sekä luottamuksellinen ja turvallinen käsittely.

Lähteet tarkistettu 4.10.2026.