Een risicoanalyse maken met twaalf man
Een risicoanalyse klinkt als iets van een adviesbureau met een matrix van vijf bij vijf. Dat is het niet. Het is de vraag welke dingen bij jou echt mis kunnen gaan, hoe erg dat dan is, en wat je eraan doet.
Voor een bedrijf van twaalf man past dat op een A4. De waarde zit niet in de omvang maar in het opschrijven: zolang het in je hoofd zit, kan je opdrachtgever er niets mee, en jij kunt er ook niet op terugkijken.
In het Ketendossier zit al een risicoanalyse, opgebouwd uit jouw antwoorden. Wat er dan nog openstaat is de eerste keer zelf nadenken, en daarna elk jaar opnieuw kijken.
Voor het eerst vastleggen welke risico's het zwaarst wegen
Begin bij wat je bedrijf stil legt. Niet bij wat eng klinkt. Voor een transporteur is dat de planning, voor een installateur de werkbonnen, voor een schoonmaakbedrijf de urenregistratie en de sleutels.
Schrijf per ding drie dingen op: wat gaat er mis, hoe erg is het als het een dag duurt, en wat doen we er nu al aan. Meer heb je niet nodig voor de eerste ronde.
De verleiding is om alles op te schrijven. Doe dat niet. Vijf tot acht risico's die je echt kent, zijn meer waard dan dertig die je hebt overgeschreven van een lijstje van internet.
- 01Maak een tabel met vier kolommen: wat, hoe erg, wat doen we nu, wat nog niet.
- 02Vul de vijf tot acht dingen in die je bedrijf echt stil leggen.
- 03Zet erbij wie erover gaat en wanneer je er weer naar kijkt.
- 04Laat het lezen door iemand anders in het bedrijf. Die noemt er altijd een die jij vergat.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt zelden om de analyse zelf. Hij vraagt of er een is, wanneer die voor het laatst is bijgewerkt, en wie hem heeft vastgesteld.
De risicoanalyse jaarlijks opnieuw langslopen
Een risicoanalyse van drie jaar oud beschrijft een bedrijf dat niet meer bestaat. Je bent verhuisd, je werkt met een ander pakket, er is iemand weg.
Een keer per jaar is genoeg voor een bedrijf van deze omvang, plus een extra ronde als er iets wezenlijks verandert. Een nieuw systeem, een nieuwe grote opdrachtgever, of een incident dat je hebt meegemaakt.
Zet er een datum voor in de agenda, niet een voornemen. Een jaarlijkse ronde die nergens staat, gebeurt in het tweede jaar niet meer.
- 01Zet een herhalende afspraak in de agenda, elk jaar dezelfde maand.
- 02Loop de vorige lijst langs: klopt dit nog, is er iets bij, is er iets af.
- 03Noteer de datum van de herziening op het document zelf.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Vragen en antwoorden
- Moet ik een risicoanalyse maken als ik zelf niet onder de Cyberbeveiligingswet val?
- De wet legt jou als leverancier meestal niets rechtstreeks op. Je opdrachtgever valt er wel onder, en die moet kunnen laten zien dat hij weet welke risico's er via zijn leveranciers binnenkomen. Daarom komt de vraag bij jou terecht, als contractvoorwaarde en niet als wettelijke plicht.
- Hoe uitgebreid moet een risicoanalyse zijn voor een bedrijf van twaalf man?
- Een A4 met vijf tot acht risico's is genoeg om te beginnen. Wat telt is dat het over jouw bedrijf gaat, dat er een datum op staat en dat iemand hem heeft vastgesteld. Een rapport van veertig pagina's dat je van internet hebt gehaald, valt bij een inkoper juist door de mand.
- Wat is het verschil tussen een risicoanalyse en een plan van aanpak?
- De analyse zegt wat er mis kan gaan. Het plan van aanpak zegt wat je eraan doet en wanneer. In het Ketendossier zijn dat twee aparte bijlagen, en dat is met opzet: de eerste beschrijft de situatie, de tweede legt jou iets op.
- Hoe vaak moet ik de risicoanalyse bijwerken?
- Een keer per jaar, en tussentijds als er iets wezenlijks verandert. Denk aan een nieuw systeem, een verhuizing, een incident, of een nieuwe opdrachtgever met andere eisen. Zet de datum van de laatste ronde altijd op het document.
- Kan ik de risicoanalyse uit het Ketendossier zo aan mijn opdrachtgever geven?
- Ja. Die is opgebouwd uit jouw eigen antwoorden en draagt een documentkenmerk dat je opdrachtgever kan controleren. Er staat ook in wat er nog openstaat, want een analyse waarin alles goed staat, houdt bij een inkoper geen stand.