Wat is een goede risicoanalyse? Een checklist met kwaliteitseisen

Risicoanalyse als verplicht nummertje?

Verhoog de kwaliteit van uw risicoanalyse; een checklist. Vaak wordt door het bestuur of het toezichthoudende orgaan besloten dat er een risicoanalyse moet worden uitgevoerd. Aan het (integrale) management de taak om dit vervolgens uit te voeren. Aan de hand van een format worden de risico’s geanalyseerd. Maar dit levert vaak niet de gewenste kwaliteit op. Aan welke criteria voldoet een goede risicoanalyse dan wel?

Het verplichte nummertje

Vaak worden risicoanalyses gezien als het bekende verplichte nummertje. Lijstjes worden ingevuld omdat het moet. Dit gebeurt vaak zo wollig en snel mogelijk en de formats laten te veel ruimte over voor interpretatieverschillen. Dit alles komt de kwaliteit van de risicoanalyses natuurlijk niet ten goede.

Checklist voor een goede risicoanalyse

Om te bepalen of de risicoanalyse goed wordt uitgevoerd kun je het beste kijken naar de analyse zelf en de wijze waarop deze tot stand is gekomen.

De totstandkoming

• Is er gestart met een heldere doelstelling en definitie van de gewenste output van de analyse?
• Was de definitie duidelijk voor de direct betrokkenen?
• Was er sprake van een veilige omgeving waarin iedereen open over risico’s kon praten?
• Sluit de analyse aan bij de context? Houdt deze, waar mogelijk, rekening met:
  • doelstellingen en kernactiviteiten;
  • de groeifase van de organisatie, het project of het programma;
  • de kosten of opbrengsten en contracten of wetgeving;
  • omgevingsfactoren, zoals actuele strategische en tactische ontwikkelingen.
• Zijn er verschillende specialismen bij de analyse betrokken (bv. juridisch-, subsidie-, financieel-, fiscaal-, inhoudsdeskundigen)? Hebben deze specialisten ook risico’s benoemd?
• Hebben na de eerste inventarisatie (door desk research, interviews, workshops) ook reflectiemomenten plaatsgevonden, over de top 10 risico’s per afdeling of deelproject met de verantwoordelijken; bijv. door middel van interview achteraf met specialist of manager, over de top 10 risico’s van de gehele organisatie met de stuurgroep risicomanagement.
• Is de doorlooptijd van de analyse realistisch geweest? Korter dan 2 weken o.a. door noodzakelijke reflectiemomenten is vaak niet realistisch.

Uitkomsten van de analyse

• Is de risicodefinitie helder geformuleerd? Denk hierbij in de termen oorzaak, gebeurtenis en gevolg. Omdat er ook daadwerkelijk iets moet gebeuren wordt bij voorkeur gewerkt met werkwoorden.
• Is er voor alle geïdentificeerde risico’s een inschatting gemaakt van kans en impact, vertaald in financiële termen?
• Is er aan ieder risico relevante achtergrondinformatie gekoppeld? Waarom zijn kans en gevolg zo ingeschat? Hierbij moet er een relatie zijn met het basisbedrag (wat kost het, of wat levert het op?) of het schadebedrag (wat was de schade de vorige keer?).
• Is er sprake van een risico-identificatiestructuur die vanuit verschillende soorten risico’s kijkt en naar verschillende soorten activiteiten of deelprojecten?
• Blijkt uit de risicoanalyse op welke wijze de verschillende risico’s ten op zichte van elkaar zijn gewogen?
• Zijn er per activiteit ten minste tien risico’s geïnventariseerd?