Bij risicomanagement denken veel mensen aan dikke rapporten. Bij ons is het vooral een vaste manier om op te schrijven wat er mis kan gaan, te beslissen wat we eraan doen en iemand verantwoordelijk te maken voor de uitvoering. Hieronder lees je hoe dat in de praktijk gaat.
Eerst weten dat het risico bestaat. Het belangrijkste onderdeel is het zien van het risico. Wie weet dat iets mis kan gaan, let er vanzelf al beter op. Een risico dat niemand heeft opgemerkt is dus eigenlijk zelf ook een risico.
We zoeken actief. Bronnen zijn onder andere:
- interne audits en incidentnabesprekingen;
- klantfeedback en supporttickets;
- afwijkingen die we bij onszelf vinden;
- wijzigingen in ons werk, zoals een nieuwe feature, een nieuwe afhankelijkheid, een externe dienst of een wisseling in het team.
Ook tijdens sprintplanning of een terugblik kan iemand zeggen: "wat als dit stukgaat?". Iedereen mag risico's melden, niet alleen het management.
Het niet opmerken van bepaalde risico's, is zelf ook een risico.
We kijken naar drie gebieden: informatiebeveiliging (beschikbaarheid, integriteit en vertrouwelijkheid), kwaliteit van wat we opleveren en continuïteit van het bedrijf. Eén risico kan op die gebieden verschillend uitpakken. Laten we een paar risico's bekijken. We scoren kans en elk van de vijf impactgebieden op een schaal van 1 (laag) tot 5 (hoog). Het niveau is de kans maal de zwaarste impact.
| Risico | Kans | Vertrouwelijkheid | Integriteit | Beschikbaarheid | Kwaliteit | Continuïteit | Niveau |
|---|---|---|---|---|---|---|---|
| Een geheim komt per ongeluk in een logbestand terecht | 3 | 5 | 2 | 1 | 1 | 1 | 15 |
| Slechts één persoon begrijpt een bepaald systeem, en die is weg | 3 | 1 | 1 | 3 | 3 | 5 | 15 |
Zonder die vijf gebieden komen deze risico's op hetzelfde neer. Met de gebieden is het verschil goed te zien:
Het geheim in het logbestand en het wegvallen van die ene persoon hebben allebei niveau 15, maar het ene raakt alleen vertrouwelijkheid en het andere alleen continuïteit. Het eerste los je op met opschonen van logs en het wisselen van het geheim, het tweede met kennisdeling en een tweede persoon. Hadden we alleen "beveiliging" gescoord, dan was het continuïteitsrisico bijna onzichtbaar gebleven.
Een risico in één zin. Vage zorgen laten zich niet beoordelen. Daarom schrijven we elk risico op in dezelfde vorm: er is een kans op een oorzaak, wat leidt tot een gevolg, met als resultaat een effect op onze doelen. Een voorbeeld: een kwetsbaarheid in een softwarebibliotheek wordt niet op tijd opgemerkt, waardoor die misbruikt kan worden, met toegang tot klantgegevens als mogelijk gevolg.
Oorzaak, gevolg en effect komen in het risicoregister in aparte kolommen. Zo zie je meteen waar je iets aan kunt doen: bij de oorzaak voorkom je, bij het gevolg beperk je de schade.
Splitsen wat los van elkaar staat. Zit er in één zin meer dan één oorzaak of gevolg, dan splitsen we het risico. "Een verouderde bibliotheek kan voor beveiligings-, prestatie- en compatibiliteitsproblemen zorgen" wordt dan drie risico's. We splitsen als een van deze vragen met ja beantwoord wordt:
- Zijn oorzaak en gevolg duidelijk te onderscheiden?
- Kun je de kans per scenario los inschatten?
- Verschilt de aanpak of de eigenaar per scenario?
Dat is meer werk dan één regel, maar je kunt er wel iets mee. Een geautomatiseerde controle op kwetsbaarheden lost iets anders op dan een prestatietest, en vaak zit daar een andere persoon achter.
Kans, impact en risiconiveau
Een risico is geen ding maar een oordeel over een onzekere toekomst: iets wat nog niet is gebeurd en misschien nooit gebeurt. Je kunt het dus niet meten zoals een temperatuur. Je kunt het wel opdelen in grootheden die je los van elkaar kunt beoordelen.
- Kans: hoe waarschijnlijk is het dat het gebeurt?
- Impact: hoe erg is het als het gebeurt?
- Risiconiveau: de uitkomst van kans en impact samen, en daarmee de basis voor onze keuze.
Twee risico's met hetzelfde niveau kunnen heel verschillend zijn: een kleine kans met een enorme impact (een laptop met klantgegevens raakt kwijt) of een grote kans met een kleine impact (een externe dienst is een kwartier onbereikbaar). Daarom schrijven we de grootheden apart op, en niet alleen het eindcijfer.
Een paar voorbeelden van risico's die we zo beoordelen:
- een kwetsbaarheid in een softwarebibliotheek wordt niet op tijd opgemerkt;
- slechts één persoon begrijpt een bepaald systeem, en die is ziek of weg;
- een externe dienst waar we van afhangen valt uit of verandert zijn voorwaarden;
- een geheim komt per ongeluk in een logbestand terecht.
Elk risico beoordelen we op kans en impact. De impact kijken we apart na voor vertrouwelijkheid, integriteit, beschikbaarheid, kwaliteit en continuïteit, en we rekenen met de zwaarste uitkomst. Het directieteam bepaalt tot welk niveau we een risico mogen accepteren. Daarbij schrijven we ook op waarom we het zo inschatten, zodat we bij de volgende ronde kunnen toetsen of die redenering nog klopt.
Vier keuzes per risico. Na de beoordeling kiezen we een van vier opties:
| Keuze | Wat we doen |
|---|---|
| Vermijden | Stoppen met de activiteit |
| Beperken | Maatregelen nemen |
| Overdragen | Het risico bij een ander neerleggen, bijvoorbeeld met een verzekering of door uit te besteden |
| Accepteren | Het bewust houden omdat het binnen onze grenzen blijft |
Kiezen we voor iets anders dan accepteren, dan stellen we vast welke maatregelen nodig zijn, wie de risico-eigenaar wordt en wat de deadline is. Ook schatten we in hoeveel risico overblijft als de maatregel er staat: het restrisico. De kosten van een maatregel wegen we mee, want het is niet altijd verstandig om elk risico volledig weg te nemen.
Terugkerend nalopen. Het register is geen eenmalig document. We lopen het regelmatig door en ook als er iets groots verandert, zoals een nieuw project, nieuwe regelgeving of een grote systeemwijziging. Dan kijken we of bestaande maatregelen nog werken, hoe het met de acties staat en of er nieuwe risico's bij zijn gekomen. Het beleid zelf bekijken we jaarlijks en na een groot incident. Elke herbeoordeling valt onder continu verbeteren: een risico dat vaker toeslaat dan we dachten, krijgt een sterkere maatregel en een eigenaar die daarvoor zorgt.
Een vaste vorm en een eigenaar per risico maken het onderwerp concreet. Er ligt een beslissing, met een naam en een deadline, in plaats van een algemeen gevoel dat we ergens op moeten letten. En omdat we onze afwegingen opschrijven, kunnen we later terugzien waarom we iets destijds anders inschatten.