Beschrijf eerst een concreet risico
Begin bij een proces en het resultaat dat je wilt bereiken. ‘Leverancier’ is een onderwerp, geen risico. Een bruikbare beschrijving is: onze enige leverancier levert te laat, waardoor we klantafspraken missen. Noteer ook waardoor dit kan gebeuren, welke gegevens je hebt en over welke periode je de kans beoordeelt.
Welke kolommen neem je op?
Gebruik één regel per risico. Spreek vooraf af wat de beoordelingscategorieën betekenen, zodat collega's dezelfde situatie op een vergelijkbare manier beoordelen. Een praktisch register bevat:
- Proces, risico en mogelijke oorzaak.
- Mogelijke gevolgen en de onderbouwing van je inschatting.
- Kans en impact, volgens afgesproken categorieën.
- Bestaande beheersmaatregelen en wat daarvan aantoonbaar werkt.
- Aanvullende actie, eigenaar en deadline.
- Restrisico, beoordelingsdatum en het besluit over verdere opvolging.
Fictief voorbeeld: uitval van een leverancier
Een klein bedrijf koopt een essentieel onderdeel bij één leverancier. Twee van de laatste tien leveringen kwamen te laat. Dat is aanleiding om de afhankelijkheid te onderzoeken, maar die kleine steekproef bepaalt niet automatisch de kans op toekomstige uitval. Het team beoordeelt de kans als middel en de gevolgen als groot, omdat er geen direct alternatief is.
De inkoper krijgt de actie om vóór 1 december een tweede leverancier te beoordelen. Een veiligheidsvoorraad is een andere mogelijke maatregel, afhankelijk van kosten en houdbaarheid. Na invoering controleert het team of het alternatief echt kan leveren en of de afgesproken voorraad aanwezig is. Pas daarna beoordeelt het opnieuw wat aan risico overblijft.
Een risicomatrix helpt ordenen
In een risicomatrix zet je de categorie voor kans tegenover de categorie voor impact. Dat maakt een bespreking overzichtelijk, mits de categorieën duidelijk zijn. Twee risico's met dezelfde score kunnen verschillende gevolgen hebben. Bewaar daarom de toelichting bij het oordeel en bespreek ook onzekerheden die niet goed in een vakje passen.
Bruto risico beschrijft in deze analyse de situatie zonder de meegewogen beheersmaatregelen. Restrisico beschrijft wat overblijft na maatregelen die daadwerkelijk werken. Schrijf die uitgangspunten erbij; een geplande actie is nog geen bewezen beheersing.
Van register naar opvolging
De SPARK Desk-Risicomodule brengt inventarisatie, beoordeling en beheersing samen in een Excelwerkboek, met bruto- en restrisico en een plan van aanpak. Houd de onderbouwing actueel en bespreek openstaande maatregelen op een vast moment. Herzie de analyse ook als je proces, leverancier of werkwijze verandert.
Dit voorbeeld gaat over een bedrijfsproces. Stem de methode en de gekozen maatregelen af op je eigen situatie. De voorbeeldcategorieën zijn geen verplichte beoordelingsschaal en een ingevuld werkboek bewijst geen certificering.
Veelgestelde vragen
Wat is het verschil tussen een risicoanalyse en een risicomatrix?
Wanneer beoordeel je het restrisico opnieuw?
Bron: Algemene achtergrond over kans, gevolgen en beoordelingscriteria: HM Treasury, The Orange Book (gov.uk), Annex 5. Het leveranciersvoorbeeld en de registerindeling zijn een eigen fictieve uitwerking.