Een auditor beoordeelt je risicoregister niet op inhoudelijke juistheid. Of je het risico van uitval van een specifieke leverancier terecht als middelhoog hebt gewaardeerd, is jouw oordeel en niet het zijne. Wat hij wel toetst, is of dat oordeel navolgbaar tot stand is gekomen, of het consistent is met hoe je andere risico’s hebt gewaardeerd, en of er iemand is die het heeft geaccepteerd.
Daar zit meteen de reden waarom registers stranden. Ze stranden zelden op de risico’s die erin staan. Ze stranden op wat eromheen ontbreekt: geen eigenaar, geen besluit, geen datum, geen spoor van hoe het tot stand kwam.
Wat een auditor feitelijk toetst
Vijf dingen, in deze volgorde.
1. Is er een methode, en is die consequent toegepast? Staat ergens vastgelegd hoe je kans en impact bepaalt, wat de schaal betekent en hoe je tot een waardering komt? En herken je die methode terug in elk risico, of zie je halverwege het register een andere logica opduiken?
2. Dekt het register de organisatie? Zijn de kritieke processen, systemen en leveranciers terug te vinden? Een auditor kiest een proces dat evident belangrijk is en zoekt het op. Vindt hij het niet, dan is dat een gat in de methode en niet alleen in het register.
3. Heeft elk risico een eigenaar? Iemand met een naam, niet een afdeling. Een risico dat van “IT” is, is van niemand.
4. Is het restrisico expliciet? Wat blijft er over na de maatregelen, en wie heeft besloten dat dat aanvaardbaar is? Dit is het punt waarop de meeste registers stilvallen: de maatregelen staan er wel, het restrisico niet, en de acceptatie al helemaal niet.
5. Beweegt het mee? Kun je laten zien dat het register de afgelopen twaalf maanden is veranderd door incidenten, nieuwe systemen of organisatiewijzigingen? Een register waarin alle wijzigingsdata binnen dezelfde week vallen, vertelt zijn eigen verhaal.
De velden die een risico bruikbaar maken
| Veld | Waarom het erin hoort |
|---|---|
| Omschrijving als scenario | ”Ransomware” is een categorie. “Ransomware versleutelt de productieomgeving via een gecompromitteerd beheeraccount” is een risico waarover je kunt besluiten |
| Betrokken proces, asset of domein | Verbindt het risico met de werkelijkheid en maakt eigenaarschap logisch |
| Oorzaak | Zonder oorzaak kies je maatregelen op gevoel |
| Gevolg, uitgedrukt in impact op de organisatie | Maakt vergelijking tussen risico’s mogelijk |
| Inherente waardering | Kans en impact zonder de maatregelen die je al hebt |
| Beheersmaatregelen met status | Welke controls grijpen aan, en werken ze aantoonbaar |
| Restwaardering | Wat overblijft na de maatregelen |
| Besluit en besluitvormer | Accepteren, verlagen, overdragen of vermijden, en door wie |
| Datum en herzieningstermijn | Maakt de actualiteit toetsbaar |
De eerste rij is de belangrijkste en wordt het vaakst verkeerd gedaan. Een risicoregister dat bestaat uit categorieën in plaats van scenario’s, dwingt tot generieke maatregelen en levert nooit een scherpe prioritering op.
Inherent, beheersing, restrisico
Deze drie horen bij elkaar, en het is de moeite waard om ze uit elkaar te houden.
Het inherente risico is de blootstelling zonder je maatregelen. Dat lijkt een academische exercitie, en veel organisaties slaan het daarom over. Toch is het de enige manier om de waarde van een maatregel zichtbaar te maken. Als je alleen restrisico’s registreert, kun je nooit onderbouwen waarom een control bestaat, en dus ook nooit besluiten om ermee te stoppen.
De beheersmaatregelen zijn de controls die op dat risico aangrijpen. Hier ligt de koppeling met je normenkaders: dezelfde control die een risico verlaagt, dekt doorgaans eisen uit meerdere kaders tegelijk.
Het restrisico is wat overblijft. Dit is het getal waarover een besluit moet vallen, en dat besluit hoort van iemand te komen die de gevolgen mag dragen.
Een veelgemaakte fout: het restrisico invullen op basis van de maatregelen die op papier bestaan, zonder te toetsen of ze werken. Een control zonder bewijs van werking verlaagt je risico niet, hij verlaagt alleen je gevoel van risico.
Waarderen: consistentie boven precisie
Discussies over waarderingsschalen kosten in de praktijk meer tijd dan ze opleveren. Vijf punten of drie, getallen of woorden, met of zonder wegingsfactor: het maakt voor de bruikbaarheid weinig uit. Wat wel uitmaakt, is of twee mensen met dezelfde informatie tot dezelfde waardering komen.
Dat lukt alleen als je per stap op de schaal vastlegt wat hij betekent, in termen die in jouw organisatie iets zeggen. Niet “hoge impact”, maar “meer dan vier uur uitval van het primaire proces” of “meldplichtig datalek met meer dan duizend betrokkenen”. Zodra de definitie concreet is, verdwijnt het grootste deel van de discussie vanzelf.
Twee dingen zijn wel de moeite waard om goed te doen. Waardeer impact meerdimensionaal, dus niet alleen financieel maar ook op continuïteit, op naleving en op reputatie, want anders verdwijnen risico’s die vooral juridisch pijn doen. En kalibreer met een groep in plaats van individueel: dezelfde vijf risico’s door drie mensen laten waarderen legt meteen bloot waar de definities niet scherp zijn.
Risicobereidheid, de stap die bijna altijd ontbreekt
Bijna elk register dat we tegenkomen, mist een expliciete uitspraak over hoeveel risico de organisatie bereid is te lopen. Dat is jammer, want zonder die grens is een risicoregister een lijst zonder besluitregel.
Met een vastgelegde risicobereidheid wordt het register een instrument. Risico’s boven de grens vragen om actie, risico’s eronder vragen om bewaking. Prioritering volgt dan uit de systematiek in plaats van uit wie het hardst roept. En, minstens zo belangrijk, je kunt onderbouwd besluiten iets niet te doen. Dat is precies wat de zorgplicht uit NIS2 vraagt: passende maatregelen, niet maximale maatregelen.
Die uitspraak hoort van het bestuur te komen. Onder NIS2 is dat geen goede gewoonte meer maar een verplichting: het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering.
Acht fouten waar auditors op vallen
- Categorieën in plaats van scenario’s. “Cybercrime” als risico levert geen besluit op.
- Afdelingen als eigenaar. Zonder naam is er geen eigenaarschap.
- Geen inherente waardering. Dan is de waarde van je maatregelen niet te tonen.
- Restrisico zonder acceptatiebesluit. De belangrijkste stap, en de meest overgeslagen.
- Maatregelen zonder bewijs van werking. Een control op papier verlaagt geen risico.
- Alle wijzigingsdata in dezelfde week. Verraadt de jaarlijkse exercitie.
- Geen koppeling met incidenten. Als een incident zich voordoet en het register verandert niet, leert de organisatie niet.
- Een apart register per normenkader. Drie registers die uit elkaar lopen, en drie keer werk.
Die laatste is in dit vak de duurste. Zodra je een tweede kader moet bedienen, ontstaat de verleiding om een tweede register aan te leggen omdat de indeling net anders is. Vanaf dat moment onderhoud je twee waarheden.
Van jaarlijkse exercitie naar doorlopend proces
Het verschil tussen een register dat leeft en een register dat een keer per jaar wordt afgestoft, zit in de aanleidingen die het raken. Vier momenten zouden altijd tot een aanpassing moeten leiden.
Bij een incident. Elk incident is een test van je aannames. Als het scenario niet in het register stond, hoort het er nu in. Zie ook van auditbevinding naar actieplan voor dezelfde beweging vanuit auditbevindingen.
Bij een nieuw systeem of een nieuwe leverancier. Nieuwe koppelingen brengen nieuwe blootstelling mee, en dat hoort zichtbaar te worden voordat de koppeling live gaat.
Bij een organisatiewijziging. Een reorganisatie, een overname of een uitbesteding verplaatst eigenaarschap. Registers waarin nog namen staan van mensen die vertrokken zijn, komen we vaker tegen dan je zou hopen.
Bij wijziging van de kaders. Nieuwe wetgeving verandert zelden je risico’s, maar wel de eisen aan je maatregelen en aan je aantoonbaarheid.
Wat Pulse hier doet
Een risicoregister is in Pulse geen lijst maar de kern van het model. Elk risico hangt aan een domein, proces of asset, heeft een eigenaar met een naam, en is verbonden met de controls die het beheersen en het bewijs dat hun werking aantoont.
Dat levert vier dingen op die met een losse lijst niet lukken.
Restrisico dat klopt met de werkelijkheid. Omdat de status van een control uit het bewijs volgt, verandert het restrisico mee wanneer een maatregel niet is uitgevoerd. Geen handmatige herbeoordeling nodig om te ontdekken dat de aanname niet meer geldt.
Eén register, alle kaders. Dankzij de vooraf gelegde mappings verschijnt hetzelfde risico met dezelfde controls in het dossier van ISO 27001, NIS2, NEN 7510 of de BIO, zonder dat je het kopieert. Het probleem van drie uiteenlopende registers verdwijnt daarmee bij de bron.
Historie zonder extra werk. De audit-trail legt vast wanneer een risico is gewijzigd, door wie en op grond waarvan. De vraag van de auditor naar navolgbaarheid heeft daarmee altijd een antwoord.
Prioritering vanuit risicobereidheid. Met de vastgelegde grens komt bovendrijven wat erboven zit, en stromen taken naar de eigenaren die erover gaan in plaats van naar een centrale lijst die niemand bezit.
Gappie helpt bij de kant die het meeste denkwerk kost: het toetsen of je beheersmaatregelen daadwerkelijk aansluiten op de eisen van een kader, en het signaleren van risico’s die je op basis van je eigen processen en assets zou mogen verwachten maar die nog niet in het register staan.
Hoe wij ernaar kijken
Een risicoregister is geen verantwoordingsdocument. Het is de plek waar een organisatie vastlegt wat zij niet weet zeker te stellen, en wat zij bereid is daaraan te doen. Wie het invult om een auditor tevreden te stellen, krijgt een document dat precies dat doet en verder niets.
De registers die wij het meest zien werken, zijn opvallend kort en opvallend concreet. Veertig risico’s die scherp zijn opgeschreven en waar echt over is besloten, zeggen meer dan tweehonderd regels die niemand meer leest. Als er één test is: kun je van elk risico in je register binnen dertig seconden zeggen wie ervan is en wat er is besloten? Zo niet, dan heb je geen risicoregister maar een inventarisatie.
Aan de slag
Wil je zien hoe je bestaande risico’s, controls en bewijs eruitzien in één model dat meerdere kaders bedient? Plan een demo van 30 minuten, dan nemen we je eigen register als uitgangspunt. Wil je eerst weten welke eisen er in jouw situatie gelden, doe dan de gratis NIS2-check of bekijk welke normenkaders Pulse ondersteunt.