A risk is something that can happen and a problem is something that we know will happen or that has already happened. Security testing is used to evaluate a programs security using various methods and risk-based security testing is used to analyze, calculate and correct potential defects or problems in a system.Testing can be very costly and it is the most primary way of removing software defects. Many people focus their testing looking for correct behavior and not deviant behaviors in software, therefore security testing has not been as relevant in traditional testing. It is usually not possible to perform exhaustive testing on a system, instead you must selectively choose tests to conduct. How should the selection of tests be conducted? The study therefore intends to investigate how one can start working with risk-based security testing in development projects in order to prioritize and choose test cases and test methods. The study also aims to answer whether you can get any financial or practical benefits from working with risk-based security testing. To conduct the study a case study was used and to collect data, a document study was used to provide the opportunity to answer the questions. In order to analyze the collected data, a qualitative data analysis method has been used to explain and describe the content with a descriptive research approach. The results of the study provided an example of risk management with different steps one can take to start working on risk-based security testing in existing or new development projects. The study’s conclusion also shows that if you work with risk-based security testing there are practical benefits. For instance, higher quality of the system and economic benefits by finding defects or implementing countermeasures for possible risks at an early stage during the systems development. / En risk är någonting som kan hända och ett problem är någonting som vi vet kommer hända eller som redan har hänt. Säkerhetstest används för att med olika metoder värdera ett programs säkerhet och riskbaserad säkerhetstestning används för att analysera, kalkylera och åtgärda potentiella defekter eller problem i ett system. Testning kan vara väldigt kostnadskrävande och det är det mest primära sättet som används för att ta bort defekter i mjukvaror. Många fokuserar sin testning på att leta efter ett korrekt beteende och inte avvikande beteenden i programvara, därför har säkerhetstestning inte varit så aktuellt i traditionell testning. Det är oftast inte möjligt att utföra uttömmande testning på ett system utan man måste selektivt välja tester, men hur ska selektionen gå till?Studien ämnar därför att undersöka hur man kan börja arbeta med riskbaserad säkerhetstestning i utvecklingsprojekt för att kunna prioritera och välja testfall och testmetoder. Studien ämnar också svara på om man kan få några ekonomiska eller praktiska fördelar av att arbeta med riskbaserad säkerhetstestning.För att genomföra studien gjordes en fallstudie och för att samla in data utfördes en dokumentstudie för att ge möjlighet att besvara frågeställningarna. För att analysera den insamlade data har en kvalitativ dataanalysmetod använts för att med en deskriptiv undersökningsansats kunna djupare förklara och beskriva innehållet. Resultaten från studien har medfört ett riskhanterings exempel med olika steg man kan ta för att börja arbeta med riskbaserad säkerhetstestning i befintliga eller nya utvecklingsprojekt. Studiens slutsats visar också att om man arbetar med riskbaserad säkerhetstestning så finns det praktiska fördelar. Exempelvis högre kvalitet på systemet och ekonomiska fördelar genom att man i ett tidigt skede under systemets utveckling hittar defekter eller implementerar motåtgärder för eventuella risker.

Risk can be viewed as a state where there is a possibility of a loss but also a hope of gain. To realise the existence of a risk, one must be aware of both the gains and losses incurred.Increased number of natural disasters and companies having global supply chains to a higher extent, are both factors which have increased the number of risks that can affect anorganisation’s supply chain negatively. This fact has made it even more important to focus on risk prevention. In the beverage industry market, characterized by fast-moving products,manufacturing companies like Coca-Cola Enterprises Sweden (CCES) can be highly affected if disturbances occur in their supply chain. Risk management is, according to ISO 31000, “coordinated activities to direct and control an organization with regard to risk “. A risk management processes therefore aims at mitigatingnegative impact of external and internal disturbances in order to avoid interruptions in production, product quality issues and financial losses. CCES’s control over internal processes and its disturbances is mostly based on reactive approaches rather than a proactive strategy and there exist no guidelines of how to identify and handle occurring disturbances. The main purpose of the project has therefore been to identify the most critical risks the company is facing within their “Source” and “Make” processes, and find both proactive and reactive mitigation actions. Another significant part of the project delivery is to present a model for how the company should organize and maintain a sustainable risk picture. The model aims to present a dynamic risk management process that can be used by CCES as well as other companies in the future. The project consists of three major phases; Risk Identification, Risk Avoidance Mapping and Implementation of a Risk Management Process. In the first phase, the brainstorming tool Hazard and Operability (HAZOP) has been used during workshop events for risk identification and assessment. Some of the most critical risks identified are; Sabotage during  transport from supplier to CCES, Lack of spare parts for maintenance, Lost production time due to long beverage change overs and Filling bottles with too much beverage. In order to find feasible preventive and reactive mitigation actions for the critical risks, both employee interviews and the Supply Chain Operations Reference (SCOR) model has been applied. Some of the actions recommended to perform are concluded to be; Let suppliers own transports, Standardize the product change process and the shift hand overs and Implement routines of having locked transports from supplier to CCES. The structure of the project has acted as a basis for the recommended way of continuing the risk management work at CCES. The authors have identified the importance of keeping the risk management process dynamic, and therefore a Risk Register have been introduced for documentation and follow-up. Another way of following up the risk management work, is to perform Risk Audits after the event of a disturbance. This will help the organisation to realize the impact a certain disturbance brings, but it will also measure of the recovery work’s effectiveness. The authors highlight the importance of having a dedicated owner of the risk management process in order to keep it dynamic. A complete risk management process has finally been created, adaptable to different kind of organisations. By making this process a part of SCOR, the authors believes that the process can be used to identify individual risks within the management processes Plan, Source, Make, Deliver and Return for all SCOR member companies. Thereafter, a general risk mapping can be created from the individual risks that can be used to share information and experiences among the member companies. / En risk kan förklaras som ett tillstånd där det finns en chans att vinna, men också en sannolikhet för förlust. För att vara medveten om en risks existens måste man därför förstå både vad det finns att förlora och vinna. Under de senaste årtiondena har antalet naturkatastrofer och annan extern påverkan ökat. Detta i kombination med att företag idag har globala värdekedjor i allt större utsträckning, har gjort att organisationer utsätter sig för risker till en större grad idag. Därför har betydelsen av att fokusera på riskförmildrande åtgärder ökat. I dryckesindustrin, karaktäriserat av snabbrörliga produkter, kan företag såsom Coca-Cola Enterprises Sweden (CCES) påverkas hårt om störningar sker i deras värdekedja. Risk Management är, enligt ISO 31000, ”koordinerade aktiviteter för att styra och kontrollera riskhantering i en organisation”. En riskhanteringsprocess ämnar därför förmildra negativ påverkan av interna och externa störningar för att undvika till exempel avvikelser i produktion, försämrad produktkvalitet och finansiella förluster. CCES’s kontroll över interna processer och dess störningar baseras främst på reaktiva åtgärder, och företaget har inga riktlinjer för hur de ska identifiera och hantera uppkommande störningar. Syftet med detta projekt har därför varit att identifiera kritiska risker inom företagets leverantörs- och produktionsprocesser och att hitta proaktiva och reaktiva lösningar för att förmildra och undvika störningar. Ytterligare en stor del av projektets syfte har varit att presentera en dynamisk process för hur CCES, samt andra företag, ska organisera en hållbar riskbild. Projektet består av tre huvudsakliga delar; riskidentifiering, riskförmildrande åtgärder och implementering av en riskhanteringsprocess. I den första fasen har verktyget Hazard and Operability (HAZOP) används under workshops för att identifiera och värdera risker. Några av de mest kritiska riskerna som identifierats är; Sabotage under transport från leverantör till CCES, Brist på reservdelar för underhållsarbete, Förlorad produktionstid på grund av för långa dryckesbytartider och Fyller flaskor med för mycket dryck. För att hitta passande reaktiva och proaktiva lösningar för de kritiska riskerna har både intervjuer med anställda genomförts och referensmodellen Supply Chain Reference Model (SCOR) använts. Några av de åtgärder rekommenderade att göra har identifierats till att vara; Låta leverantörerna själva sköta transporter, Standardisera produktbytesprocessen samt skiftöverlämningar och Implementera rutiner för att ha låsta transporter från leverantör till CCES. Strukturen av projektet har använts som en bas för den rekommenderade strukturen på CCE’s fortskridande arbete inom riskhantering. Författarna vill bestryka vikten av att hålla den framtida riskhanteringsprocessen dynamisk och i detta syfte har därför ett riskregister tagits fram för dokumentation och uppföljning. Ett annat sätt att följa upp riskprocessarbetet är att genomföra så kallade audits efter en störning har inträffat. Detta hjälper organisationen både att förstår en störnings påverkan på verksamheten, men fungerar också som ett verktyg för att mäta hur effektivt återhämtningsarbetet efter en störning har varit. Författarna menar också att en dedikerad ägare till riskprocessen är av stor betydelse för ett dynamiskt, framgångsrikt och effektivt riskarbete. En fullständig riskhanteringsprocess har slutligen sammanställts, användbar för många olika typer av organisationer. Genom att göra processen till en del av SCOR-modellen, kan processen i framtiden användas till att identifiera individuella risker inom de fem managementprocesserna Planering, Inköp, Tillverkning, Leverans och Retur för alla SCOR’s medlemsföretag. Därefter menar författarna att en generell kartläggning över de mest kritiska riskerna inom varje managementprocess kan skapas för att dela information och utbyta erfarenheter mellan medlemsföretagen.

Hur kan livscykelanalyser bistå riskvärderingen vid val av åtgärdsmetod? I det här examensarbetet undersöktes hur resultaten från livscykelanalyser kan användas i beslutstödsverktyget SAMLA för förorenade områden för att bistå val av åtgärdsmetod vid Finspångs centraltvätt. Examensarbetet har genomförts i samarbete med Structor Miljö Öst AB. Livscykelanalyser har utförts för två olika typer av åtgärdsmetoder in situ, stimulerad anaerob reduktiv deklorering samt elektrisk konduktiv uppvärmning. Tidigare studier har visat att olika livscykelanalysmetoder ger olika resultat. Även den här studien bekräftar det. Därför bör inte resultat från olika metoder jämföras. Livscykelanalyser kompletterar SAMLA för förorenade områden väl. De procentuella förhållandena beräknades mellan åtgärdsmetodernas miljö- och klimatpåverkan. I värderingssteget i SAMLA bedöms åtgärdsalternativens påverkan i jämförelse med nollalternativet. En bedömning gjordes av respektive åtgärdsalternativ och korrigering av förhållandet mellan metoderna utfördes genom att samma procentuella förhållande som beräknats fram för miljöbelastningen respektive klimatpåverkan beräknades för värderingspoängen. Med stöd av livscykelanalyser samt riskvärdering bör efterbehandlingsmetoden stimulerad anaerob reduktiv deklorering väljas för Finspångs centraltvätt. / How can life cycle analyzes assist the risk assessment when choosing a remediation method? In this thesis, it was investigated how the results from life cycle analyzes can be used in the decision support tool SAMLA for contaminated sites to assist in the choice of remediation method at Finspång's Centraltvätt. The thesis has been carried out in collaboration with Structor Miljö Öst AB. Life cycle analyzes have been performed for two different types of in situ remediation methods, Enhanced Reductive Dechlorination and Electrical Conductive Heating. Previous studies have shown that different life cycle analysis methods lead to different results. This study also confirms this. Therefore, results from different methods should not be compared. Life cycle analyzes complement SAMLA for contaminated sites. The percentage ratios were calculated between the remediation methods' environmental and climate impact. In the valuation step in SAMLA, the impact of the remediation alternatives is assessed in comparison with the no action alternative. An assessment was made of the respectively remediation alternatives and a correction of the relationship between the methods was performed by calculating the same percentage ratio that was calculated for the valuation points of the environmental and climate impact. With the support of the life cycle analysis and the risk assessment the remediation method Enhanced Reductive Dechlorination should be chosen for Finspång's Centraltvätt.