Vad kommer först, policy eller risk? Peter Larsson från Exsec ser gott om regler och riktlinjer men saknar ibland vägledning om vad som är avsikten.