Met risicomanagement beginnen? Doe het vooral níét (tenzij je organisatie er klaar voor is)

In de laatste aflevering van PRISM de Podcast ging host Rogier Verdier in gesprek met Jorrit van de Walle, directeur van Auditrail. Aanleiding was Jorrit’s presentatie op de NCSC Community Dag, waarin hij een stelling poneerde die menig security-expert deed opkijken: “De theorie zegt: begin met een risicoanalyse. Mijn advies: doe dat niet.” 

Een boude stelling, maar wél een met een belangrijke nuance. Want hoewel risicomanagement essentieel is om dreigingen te prioriteren en gericht maatregelen te nemen, werkt het in de praktijk vaak averechts om ermee te beginnen als je informatiebeveiligingsreis nog aan de start staat. 

Waarom de theorie niet altijd werkt

Bij financiële instellingen of tech-bedrijven zit risicomanagement in het DNA. Maar bij veel andere organisaties roept het onderwerp in het bestuur of management meteen weerstand op omdat het te complex wordt gevonden. 

Het inrichten van een Information Security Management System (ISMS) volgens de bekende Plan-Do-Check-Act (PDCA) cyclus is al een behoorlijke klus. Je hebt te maken met nieuwe vaktermen, verschillende stakeholders en rollen die hun plek nog moeten vinden. Als je daar vanaf dag één ook nog een zwaar, formeel risicomanagementproces bovenop stapelt, loop je het risico vast te lopen. 

Jorrit’s advies:

1.     Begin normatief: Start met een bewezen normenkader (zoals ISO 27001 of ISO 27002) en vertrouw op je professionele oordeel als CISO of security officer. 

2.     Leer het spel spelen: Zorg dat het basisproces van informatiebeveiliging staat en dat de organisatie bekend raakt met de vaktermen. 

3.     Voeg risicomanagement later toe: Zodra het proces ingeslepen is en de organisatie er rijp voor is, vlecht je het risicomanagementproces in. 

Wat is een risico (en hoe reageer je erop)?

Een praktische definitie van een risico is: een bedreiging die misbruik maakt van een kwetsbaarheid. De uiteindelijke omvang van het risico wordt bepaald door de kans dat het voorkomt en de impact als het gebeurt. 

Wanneer je risico's in kaart brengt (bijvoorbeeld via een heatmap), zijn er vier manieren om hierop te reageren (risicorespons): 

•     Accepteren: Het risico is klein genoeg, of de kosten van maatregelen wegen niet op tegen de baten. 

•     Vermijden: Stop volledig met de risicovolle activiteit. 

•     Mitigeren (verminderen): Tref preventieve, detectieve, correctieve of repressieve maatregelen om de kans of impact te verkleinen. 

•     Overdragen: Besteed de taak of het risico uit (bijvoorbeeld naar de cloud of via een verzekering). 

Let op: Je kunt taken uitbesteden, maar verantwoordelijkheid kun je nooit overdragen. Of het nu gaat om NIS2, de AVG of ISO-normen: als organisatie blijf je altijd zelf eindverantwoordelijk voor je leveranciers en je data.

4 Praktische tips om organisaties mee te krijgen

Hoe zorg je ervoor dat risicomanagement wél gaat leven in de organisatie? 

•     Sluit aan bij bestaande structuren: Zoek medestanders bij business- of financial controllers. Grote kans dat zij al gebruikmaken van bestaande methodieken (zoals COSO of ISO 31000) waar je bij kunt aansluiten. 

•     Haal risico's op bij het koffieapparaat: Vraag collega’s en managers eens informeel: "Wat zie jij als risico voor onze doelstellingen? Wat vind je spannend?" Combineer deze uitkomsten met het jaarplan. 

•     Houd rekening met de werking van de organisatie: Beveiliging is randvoorwaardelijk; een zorginstelling is er om te zorgen, een gemeente om inwoners te dienen. Maatregelen mogen het primaire werkproces niet onnodig blokkeren. 

•     Blijf monitoren en rapporteren: Risicomanagement is geen eenmalige vinkoefening. Dreigingen kantelen (denk aan veranderende politieke verhoudingen of cloud-leveranciers) en bestaande risico's verdwijnen of veranderen. Blijf herhaaldelijk rapporteren aan directie en bestuur. 

IT- en cybersecurityrisico's zijn definitief geen "exotisch IT-feestje" meer; het zijn strategische en operationele bedrijfsrisico's die direct op de bestuurstafel thuishoren. 

Wil je weten hoe je een gedegen risicoanalyse uitvoert voor jouw IT-landschap, of wil je praktische handvatten om risicomanagement binnen jouw organisatie op te starten? Beluister de volledige aflevering van de PRISM-podcast op prismmembers.nl of via je favoriete podcast-app. Heb je een specifieke vraag over risicorespons of leveranciersmanagement? Stel hem direct aan onze consultants via het PRISM-platform.