TREND risicomanagement: start vanuit doelen en processen, niet vanuit normen!

Dinsdag 16 juli 2019| Leestijd: 3 minuten | Iris Boderie

Als organisatie sta je ergens voor en wil je ergens naartoe werken. Helaas kun je hierbij geen invloed uitoefenen op veranderingen en eisen van buitenaf. Onze omgeving wordt nou eenmaal steeds veeleisender en de aandacht voor bijvoorbeeld privacy, veiligheid en gezondheid blijft toenemen. Het belang van risicomanagement wordt hierdoor steeds groter. Maar ook de manier waarop we risicomanagement uitvoeren, verandert, aldus Marieke Kessels (integraal risicomanagement specialist bij Infoland). “Risicomanagement wordt steeds vaker ingezet om een betrouwbare organisatie te creëren (voor alle stakeholders) en niet om alleen maar te voldoen aan de wet- en regelgeving. Een kans waar veel meer organisaties op zouden moeten inspelen!”

Deze kansen lopen we momenteel mis

“Wat we tegenwoordig nog vaak zien, is dat organisaties beginnen met risicomanagement omdat het verwacht wordt vanuit verschillende normen en/of de wet- en regelgeving. Denk bijvoorbeeld aan de GDPR of informatiebeveiliging. Maar door normen als vertrekpunt te nemen voor je risicomanagement, loop je als organisatie mooie kansen mis, namelijk:

Een mooi voorbeeld als je risicomanagement vanuit normen uitvoert, is het beleid van een organisatie over (nood)deuren. Als je denkt vanuit veiligheidsnormen, dan moeten de deuren altijd open staan. Je moet tenslotte zo snel mogelijk weg kunnen als dat nodig is. Maar als je denkt vanuit security, dan moeten de deuren dicht zijn. Want zodra deuren continu open staan, kan ook iedereen (inclusief onbevoegden) naar binnen. En dan heb je kans op datalekken, diefstal etc. Dit werkt elkaar natuurlijk behoorlijk tegen. Je ziet dus dat het werken vanuit normen niet altijd even handig en efficiënt is.”

Hoe moet het dan wel?

Daar heeft Marieke wel een idee over. “Vertrek vanuit de strategie en het proces! Laat afdelingen zelf kijken naar hun doelen, wat deze doelen exact voor hen betekenen en wat eventuele belemmerende factoren kunnen zijn. Door te kijken naar wat men wilt bereiken (de doelen) en wat hen hierin kan tegenhouden, vergroot je de betrokkenheid en het risicobewustzijn aanzienlijk. Hier zijn medewerkers namelijk dagelijks mee bezig (de doelen zijn hun drijfveren). Vervolgens ga je pas kijken welke normen bij welke risico’s horen. Je gebruikt de norm dus meer als checklist achteraf en niet als leidraad voor risicomanagement.

Door de bedrijfsstrategie en -processen als uitgangspunt te nemen voor risicomanagement, zorg je ervoor dat:

Wanneer normen wél van pas komen?

Het advies dat Marieke alle organisaties wilt meegeven is: “zorg ervoor dat risicomanagement echt van jouw organisatie wordt en niet van een norm. Vertrek daarom vanuit het bedrijfsprofiel (wie zijn wij als bedrijf, waar staan we voor en waar gaan we voor) en kijk vanuit daar welke zaken je hierin kunnen tegenhouden (de risico’s). Deze manier van risicomanagement wil echter niet zeggen dat de normen vervolgens niet meer van belang zijn. Je gaat ze alleen anders inzetten. Je gebruikt ze namelijk niet meer als leidraad voor jouw risicomanagement, maar gebruikt ze om de risico’s af te toetsen én om over risico’s te communiceren. Mis ik nog belangrijke dingen? Zo ja, vul het aan! Dit is veel efficiënter dan dat je elke norm individueel gaat behandelen.”

Leuk weetje: ook bij ISO zijn ze deze werkwijze steeds meer aan het toepassen volgens de High Level Structure (HLS).