Scope van de opdracht
Uitvoering van de opdracht
Voor deze opdracht is een uitgebreide risicomatrix ontwikkeld waarin risico’s centraal worden geregistreerd en beheerd. Binnen deze omgeving kunnen risico’s worden vastgelegd inclusief een nadere beschrijving, classificatie en koppeling aan relevante werkprocessen. Voor de bepaling van de risicoscore is gekozen voor een methodiek waarbij kans, effect en blootstelling gecombineerd worden tot één totaalscore. Hierdoor ontstaat een genuanceerder beeld van risico’s dan bij een traditionele kans-impactanalyse, omdat ook rekening wordt gehouden met de mate waarin de organisatie daadwerkelijk wordt blootgesteld aan het risico.
Per risico wordt de ontwikkeling van de risicoscore door de tijd heen bijgehouden. Hierdoor ontstaat inzicht in trends en kan worden vastgesteld of getroffen maatregelen daadwerkelijk bijdragen aan een afname van het risico. Naast de risicobeoordeling zijn zowel oorzaakbeperkende als gevolgbeperkende maatregelen opgenomen. Hierdoor wordt niet alleen gekeken naar het verminderen van de kans dat een risico zich voordoet, maar ook naar het beperken van de impact wanneer een incident daadwerkelijk plaatsvindt.
Binnen het systeem zijn risico’s gekoppeld aan verantwoordelijke eigenaren zodat duidelijk is wie verantwoordelijk is voor de opvolging en evaluatie van maatregelen. Daarnaast is een directe relatie gelegd met de onderliggende werkprocessen, waardoor risico’s niet als losse registraties worden beheerd maar verbonden zijn met de dagelijkse praktijk van de organisatie. Ook zijn verwijzingen opgenomen naar relevante interne audits, waardoor inzicht ontstaat in de wijze waarop risico’s worden gecontroleerd en getoetst.
Voor afgehandelde of niet langer relevante risico’s is een archieffunctie ingericht. Hierdoor blijft historische informatie beschikbaar zonder dat het overzicht binnen het actieve risicoregister verloren gaat. Om management en directie snel inzicht te geven in de actuele situatie is een dashboard ontwikkeld waarin de belangrijkste risico’s worden weergegeven volgens een verkeerslichtmodel. Op deze wijze kunnen risico’s snel worden geprioriteerd en ontstaat direct inzicht in de gebieden die aanvullende aandacht vereisen.
Lessons Learned
Tijdens de uitvoering van deze opdracht bleek dat het toepassen van de beoordelingsmethodiek op basis van kans, effect en blootstelling een waardevolle aanvulling is op traditionele risicomanagementmethoden. Door blootstelling als extra factor mee te nemen ontstaat een realistischer beeld van de daadwerkelijke risico’s waaraan een organisatie wordt blootgesteld. Hierdoor kunnen middelen en aandacht effectiever worden ingezet op de risico’s die daadwerkelijk het grootste bedreigingspotentieel vormen.
Daarnaast werd duidelijk dat risico’s aanzienlijk meer waarde krijgen wanneer zij direct gekoppeld worden aan werkprocessen. Hierdoor kunnen risico’s in de dagelijkse praktijk worden beoordeeld, getest en besproken met proceseigenaren. Dit vergroot zowel het draagvlak als de effectiviteit van risicobeheersing en voorkomt dat risicomanagement een papieren exercitie wordt.
Een ander belangrijk inzicht was dat bij grotere organisaties het aantal geregistreerde risico’s snel kan oplopen. In sommige situaties groeide het risicoregister uit tot meer dan vierhonderd afzonderlijke risico’s. Juist in dergelijke situaties is overzicht essentieel om de juiste prioriteiten te kunnen stellen en te voorkomen dat belangrijke risico’s ondergesneeuwd raken.
Tot slot bleek dat de gekozen inrichting van het risicoregister een belangrijke invloed heeft op de bruikbaarheid ervan. In eerste instantie werden alle risico’s in één overzicht ondergebracht, waardoor het beheer en de analyse steeds complexer werden. Door risico’s te categoriseren op onderwerpen zoals gedrag, organisatie, hardware, software en processen ontstond aanzienlijk meer overzicht. Deze categorisering maakte het eenvoudiger om trends te herkennen, gerichte beheersmaatregelen te ontwikkelen en managementinformatie beschikbaar te stellen voor verschillende doelgroepen binnen de organisatie.
Of het nu gaat om informatiebeveiliging, teamontwikkeling, projectleiding of technologie: ik geloof dat de beste oplossingen ontstaan door samen het gesprek aan te gaan. Ik maak graag tijd vrij voor een kennismaking.