Risicomanagement in de praktijk, van inventarisatie naar sturing

Bijna elke organisatie heeft een risicoregister. Een Excel-bestand met kolommenals kans, impact en een gecombineerde score, netjes bijgehouden door de kwaliteitsmanager of projectleider. Twee keer per jaar wordt het geüpdatet, de directie krijgt een samenvatting, en daarna verdwijnt het document weer in een gedeelde map waar niemand meer naar omkijkt.

Dit is risicomanagement als administratieve verplichting. Het is begrijpelijk hoe het zo gegroeid is, maar het lost het eigenlijke probleem niet op: organisaties worden verrast door risico's die ze hadden kunnen zien aankomen.

Waarom het risicoregister tekortschiet

Het klassieke risicoregister heeft een fundamenteel probleem: het is statisch in een dynamische wereld. Risico's veranderen van karakter naarmate een project vordert of een organisatie groeit. Een risico dat drie maanden geleden laag scoorde op kans, kan morgen actueel zijn door een externe ontwikkeling, een personeelswisseling of een scopewijziging.

Daarnaast is het risicoregister vaak het eigendom van één persoon of één afdeling, terwijl de risico's zich door de hele organisatie bevinden. De mensen die dagelijks met de risico's te maken hebben, voeden het systeem niet. Ze weten wel wat er speelt, maar die kennis bereikt de lijst niet.

Het gevolg is een document dat een schijnzekerheid biedt. Er is een risicoregister, dus er is risicomanagement. Maar het sturen op die risico's, het vroegtijdig bijsturen als iets dreigt te escaleren, dat ontbreekt.

Risico's als gesprek, niet als lijst

Effectief risicomanagement begint niet met een format, maar met een gesprek. Wie zijn de mensen die het meeste zicht hebben op wat er fout kan gaan? Dat zijn zelden de mensen op de hoogste posities in de organisatie. Het zijn de projectleiders, de uitvoerenden, de medewerkers die elke dag merken waar de wrijving zit.

In mijn projecten begin ik dan ook altijd met het ophalen van risico's op de werkvloer, niet vanachter een bureau. Wat houdt mensen 's nachts wakker? Welke afspraken zijn gemaakt waarvan iedereen weet dat ze niet gehaald worden? Welke aannames liggen onder het plan die bij nader inzien fragiel zijn?

Die gesprekken leveren een heel ander beeld op dan het invullen van een template. Ze leggen risico's bloot die nooit op een formele lijst terechtkomen, omdat ze te gevoelig zijn, te onzeker, of simpelweg over het hoofd zijn gezien.

Van inventarisatie naar sturing

Een risicoregister heeft alleen waarde als het gekoppeld is aan besluitvorming. Dat betekent drie dingen.

Ten eerste moet het duidelijk zijn wie verantwoordelijk is voor elk risico. Niet een afdeling, maar een persoon. Iemand die weet dat dit zijn of haar risico is om op te letten, en die de bevoegdheid heeft om tijdig in te grijpen.

Ten tweede moeten risico's een plek krijgen in de reguliere overlegstructuur. Niet als apart agendapunt dat wordt overgeslagen als de tijd krap is, maar als vast onderdeel van de voortgangsrapportage. Welke risico's zijn concreter geworden? Welke maatregelen zijn genomen? Wat heeft gewerkt?

Ten derde is een eenvoudige escalatiestructuur onmisbaar. Wat is het signaal waarop een risico wordt opgeschaald? Wie neemt het besluit? Hoe snel? In de praktijk ontbreekt dit vaak, waardoor risico's te lang op operationeel niveau blijven hangen terwijl ze al strategische aandacht vragen.

Eenvoud als principe

Een veelgemaakte fout is te willen starten met een uitgebreid risicomanagementsysteem, compleet met software, dashboards en gedetailleerde scoringsmethodes. De implementatie kost zoveel energie dat het systeem nooit goed landt, en na een paar maanden is het enthousiasme verdwenen.

Mijn ervaring is dat eenvoud de beste investering is. Een beperkte lijst met de tien meest relevante risico's, gekoppeld aan duidelijke eigenaren en besproken in elk regulier overleg, levert meer op dan een uitgebreid systeem dat niemand gebruikt. Start klein, maak het werkend, en bouw daarna uit.

Conclusie

Risicomanagement is geen administratieve exercitie, het is een stuurinstrument. Wie het zo benadert, investeert in gesprekken in plaats van formats, in eigenaarschap in plaats van registratie, en in tijdige actie in plaats van periodieke rapportage. De organisaties die dat begrijpen, worden minder verrast, en als ze al verrast worden, reageren ze sneller. Meer over de aanpak van WI-Solutions? Bekijk onze risicomanagement dienst.

---