Toepassing drie cycli van risicobeheersing in de praktijk

In de praktijk ontstaan er regelmatig moeizame discussies tussen technocraten en ondernemers. Die ondernemers hebben hun bedrijf in de markt gezet. Ze hebben ondanks veel concurrentie, ondanks allerlei opduikende risico’s en ondanks tegenslag al jarenlang de continuïteit van hun bedrijf weten te borgen. Als dan een auditor aan de hand van theorie op het gebied van risicobeheersing durft te stellen, dat het bedrijf niet ‘in control’ is, ontstaat er veelal een onoverbrugbare kloof van onbegrip.

De brug tussen theorie en praktijk

Het gat tussen theorie en praktijk bestaat al sinds de mensheid zich is gaan ontwikkelen. En het zal waarschijnlijk nooit gedicht worden. In de vorige eeuw was wetenschappelijke bewijskracht (theorie) de basis voor ‘waarheid’. In de huidige tijd wordt veelvuldig gebruik gemaakt van Big data analyses en is de werking in de praktijk belangrijker. Zo kan Google bijvoorbeeld op grond van Big data analyses met grotere precisie griepepidemieën voorspellen dan de WHO. Google kan echter niet wetenschappelijk aantonen, dat zijn voorspelling correct is.
De pragmatische oplossing voor dit probleem is, is dat beide werelden elkaar accepteren en proberen te begrijpen. Helaas zien we  te vaak dat ze tegenover elkaar gaan staan om hun gelijk te halen.
Ook voor het proces van risicobeheersing geldt iets dergelijks. Iedere organisatie loopt sowieso veel risico’s die van algemene aard zijn. Maar er is ook altijd een aantal specifieke risico’s. Voor de beheersing van deze risico’s worden algemeen geldige best practices toegepast, maar er zijn ook altijd specifieke mogelijkheden voor een bepaald (type) bedrijf.
Er zou geen strijd moeten zijn over wat beter is, maar juist bewondering voor de bijdrage uit zowel theorie als praktijk, die het mogelijk maakt het risicobeheersproces soepel, effectief en efficiënt op te zetten  en uit te voeren.

De drie cycli van risicobeheersing

Risicobeheersing is een proces dat enerzijds van dag tot dag uitgevoerd moet worden en anderzijds periodiek tegen het licht gehouden moet worden, zonder dat het wordt gedomineerd door de waan van de dag. Daarom onderscheiden we drie cycli van risicobeheersing:

• de driejaarlijkse cyclus, waarbij de context van de organisatie en de stakeholders met hun eisen opnieuw in kaart worden gebracht en waarbij weer een business risk assessment wordt uitgevoerd. Op grond hiervan vindt herijking plaats van beleidsuitgangspunten, doelstellingen, maatregelen en de interne norm. Uiteraard leidt dit tot verbeteringen die worden opgenomen in het verbeterplan. Deze cyclus is beschreven in ‘Architectuur en aanpak ISO 27001’.
• de jaarlijkse interne audit, die vooral controleert of het verbeterplan op schema ligt en of belangrijke afwijkingen en veranderingen op een correcte wijze zijn behandeld. Hierdoor wordt geborgd dat de risico’s steeds worden geïnventariseerd via impactanalyses, dat noodzakelijke verbetermaatregelen ter goedkeuring voorgelegd worden aan de directie en dat na goedkeuring die maatregelen worden opgenomen in het verbeterplan en worden gerealiseerd als onderdeel van de verandering.
• de continue cyclus van risicobeheersing, die wordt geborgd door de wijzigingsprocedure en de procedure voor incidentafhandeling.

Het geheel blijft beheersbaar voor de directie, doordat de uitkomsten van deze drie cycli na goedkeuring van de directie worden opgenomen in het verbeterplan. De voortgang van dit verbeterplan wordt bewaakt door de security officer. Tijdens de interne audit vindt controle plaats. Via een voorgestelde aanpassing van het verbeterplan wordt hierover weer gerapporteerd aan de directie. Die kan dan de aanpassingen wel of niet goedkeuren.

Toepassing cycli van risicobeheersing in kleinere bedrijven

Kleinere bedrijven kunnen zich niet permitteren risico-evaluaties maar eens per jaar of zelfs drie jaar uit te voeren. Een grotere klant die wat anders wil dan de standaarddiensten of een verloren aanbesteding krijgt in een kleiner bedrijf direct aandacht. Het uitstellen van maatregelen kan immers direct het bedrijfsresultaat in gevaar brengen. Hetzelfde geldt als medewerkers ontslag nemen. Bij kleinere bedrijven vormen relatief veel medewerkers een single point of failure. De directie zal daarom betrokken zijn bij het opnieuw invullen van de vacature. Dit van dag tot dag proces van risicobeheersing kan alleen in control gebracht worden via procedures voor het behandelen van afwijkingen (incidentafhandeling) en veranderingen (wijzigingsprocedure). Beide procedures moeten voorzien in een activiteit gericht op risicobeheersing als het gaat om grotere incidenten of veranderingen. In de incidentafhandeling is dit het problem management proces en voor de wijzigingsprocedure is dit de impactanalyse. 
Voor grote organisaties is dit vaak een ingewikkeld proces. Er moet geborgd worden dat risico’s die her en der in de organisatie opduiken, geconsolideerd worden om uiteindelijk ter beoordeling aan de directie te worden aangeboden. In kleinere organisaties is dit natuurlijk simpel. Immers de directie is betrokken bij alle besluitvormingsstappen in deze processen en er is dan in feite sprake van een continue risicobeoordeling door de directie.
In zo’n kleinere organisatie is hiermee dan ook direct geborgd dat het risicobeheersproces geldig en herhaalbaar moet zijn. De directie is hier vaak ook (mede-)eigenaar van het bedrijf en risico-eigenaar en daarmee een meer stabiele factor in het risicobeheersproces dan welke methodiek ooit kan zijn. Bovendien zijn de ondernemers die kleinere bedrijven besturen vaak veel meer ervaren in het omgaan met risico’s, dan managers in grotere organisaties, die veelal geen eigenaar zijn.
Grote bedrijven zijn dus duidelijk in het nadeel bij het inrichten van een risicobeheersproces. Zij moeten vertrouwen op beoordelingsmethodieken die vaak door verschillende mensen worden toegepast en die meestal via lange rapportagelijnen terecht komen op de directietafel. En dan is er uiteraard veel risico op verminking van of inconsistenties in de beoordeling.

Gelukkig moet er niets van ISO

ISO 27001 biedt duidelijk handvatten om dit proces juist voor grotere organisaties in goede banen te leiden. Er wordt daarbij vooral gefocust op de eerste twee cycli van risicobeersing. Helaas voorziet de ISO 27001-norm nog niet in een variant voor de derde cyclus van risicobeheersing, die voor kleinere bedrijven mogelijk en de meest belangrijke is; het dagelijkse proces van risicobeheersing waarbij de procedures voor incident- en wijzigingsafhandeling een belangrijke rol spelen. Gelukkig bestaat in de nieuwe ISO 27001:2013 norm wel de mogelijkheid om het risicobeheersproces op deze manier in te regelen. Want in hoofdstuk 0 van de norm staat:

“Het vaststellen en implementeren van een managementsysteem voor informatiebeveiliging wordt beïnvloed door de behoeften en doelstellingen van de organisatie, de beveiligingseisen, de procedures die de organisatie toepast en de omvang en structuur van de organisatie.”

Dat is dan tevens de kracht van de nieuwe ISO-normen: ze zijn niet meer voorschrijvend. De norm eist slechts aantoonbaarheid van doelstellingen. Kleinere organisaties zijn door de kleine afstand tussen de directie/eigenaren en de werkvloer al van nature in control, wanneer het gaat om het proces van risicobeheersing. Het voldoen aan de eisen van de ISO-norm voor het behalen van een ISO 27001-certificaat is dan ook meestal vrij eenvoudig. Veelal moet alleen nog aantoonbaar gemaakt worden, dat de organisatie ‘in control’ is. (Zie ook ‘Binnen drie maanden een ISO 27001 certificaat halen’.)