Een risicoregister helpt alleen wanneer de regels tot besluiten leiden. Lijsten met woorden als 'planning', 'kwaliteit' en 'beveiliging' zijn te vaag om een eigenaar of maatregel aan te koppelen. Een bruikbare risicozin beschrijft een mogelijke gebeurtenis, de oorzaak en het gevolg. Daardoor kan een team bespreken wat het voorkomt, wat de schade beperkt en wanneer escalatie nodig is.
De beoordeling en het register hebben verschillende functies. In de beoordeling verzamel je context, bestaande beheersmaatregelen en de inschatting van kans en impact. In het register volg je de belangrijkste risico's, eigenaren, acties en herbeoordelingen. Voor keuzes met grote kosten of gevolgen kan een beslismemo de overwogen opties en onderbouwing bewaren.
1. Beschrijf gebeurtenis, oorzaak en gevolg
Schrijf niet 'leveranciersrisico', maar bijvoorbeeld: 'Als de enige leverancier later levert door beperkte voorraad, kan de geplande introductie twee weken verschuiven.' Deze vorm maakt duidelijk welk bewijs je kunt verzamelen en welke maatregel relevant is. Vermijd zekerheidstaal; een risico is een onzekere gebeurtenis, geen probleem dat al bestaat.
Bepaal de context voordat je scores toekent. Hetzelfde incident kan bij een intern experiment beperkte impact hebben en bij een klantproduct ernstig zijn. Noteer tijdshorizon, getroffen processen en bestaande controles. Betrek mensen die het werk uitvoeren, omdat zij vaak andere oorzaken zien dan alleen managers.
- Formuleer ieder risico als oorzaak, gebeurtenis en gevolg.
- Leg context en tijdshorizon vast.
- Noteer bestaande controles vóór nieuwe acties.
- Vraag input van uitvoerders en beslissers.
2. Gebruik scores als gesprekshulp
Een schaal voor kans en impact maakt vergelijking mogelijk, maar de getallen zijn geen natuurkundige meting. Definieer daarom wat een lage, middelhoge en hoge score in deze context betekent. Impact kan meerdere dimensies hebben, zoals veiligheid, klantvertrouwen, kosten en vertraging. Gebruik de zwaarst relevante dimensie of leg verschillen apart vast.
Bespreek onzekerheid expliciet. Als er weinig informatie is, kan dat reden zijn voor onderzoek of een tijdelijke voorzorgsmaatregel. Voorkom schijnprecisie met te veel scorecategorieën. Een eenvoudige schaal die consequent wordt gebruikt is meestal bruikbaarder dan een complexe formule die niemand kan uitleggen.
- Definieer de betekenis van iedere score.
- Beoordeel kans en impact afzonderlijk.
- Leg onzekerheid en ontbrekend bewijs vast.
- Herzie de score nadat een maatregel is uitgevoerd.
3. Koppel ieder prioritair risico aan een eigenaar
De risico-eigenaar bewaakt de ontwikkeling en zorgt dat acties worden besproken; die persoon hoeft niet alle werkzaamheden zelf uit te voeren. Voeg een datum toe waarop het risico opnieuw wordt bekeken. Een open einddatum maakt het register snel statisch.
Beschrijf maatregelen als voorkomen, verminderen, overdragen of bewust accepteren. Noteer wie de maatregel uitvoert, wanneer en welk bewijs laat zien dat zij werkt. Restrisico blijft vaak bestaan. Leg vast wie bevoegd is dat resterende risico te accepteren, vooral wanneer klanten, medewerkers of wettelijke verplichtingen geraakt kunnen worden.
- Wijs één risico-eigenaar toe.
- Kies een concrete behandelingsstrategie.
- Voeg uitvoerder, datum en bewijscriterium toe.
- Leg vast wie restrisico mag accepteren.
4. Bewaar belangrijke afwegingen
Wanneer een maatregel duur is of meerdere teams raakt, leg dan in een beslismemo de opties, criteria, bronnen en aanbeveling vast. Vermeld ook welke optie niet is gekozen en waarom. Dat voorkomt dat een volgende bespreking zonder nieuwe informatie weer bij nul begint.
Herzie risico's bij mijlpalen, incidenten en relevante veranderingen, niet alleen op een vaste kalenderdatum. Schakel een bevoegde specialist in bij veiligheid, wetgeving, privacy, cybersecurity, verzekering of grote financiële blootstelling. Een template ondersteunt het gesprek, maar bepaalt niet wat in een specifieke situatie voldoende of conform is.
Actiestappen
- Omschrijf context en doel van de Risk Assessment.
- Formuleer risico's als oorzaak, gebeurtenis en gevolg.
- Beoordeel kans, impact en bestaande controles met afgesproken definities.
- Neem alleen prioritaire risico's op in het Risk Register en wijs eigenaren toe.
- Koppel acties aan datum en controleerbaar bewijs.
- Gebruik een Decision Memo voor kostbare of ingrijpende keuzes en plan herbeoordeling.
Veelgemaakte fouten
- Vage labels registreren zonder gebeurtenis of gevolg.
- Een score behandelen als objectieve zekerheid.
- Een maatregel noteren zonder eigenaar, datum of bewijscriterium.
- Restrisico stilzwijgend accepteren zonder bevoegde beslisser.