Risicomanagement volgens ISO 31000:2018 is een internationale richtlijn die organisaties helpt onzekerheid mee te nemen in besluitvorming, governance en dagelijkse processen.
Laatst bijgewerkt: 2026. Dit artikel is informatief bedoeld en vervangt niet de officiële normtekst van ISO 31000:2018 of nationale toelichtingen van bijvoorbeeld NEN. Voor definities, formele formuleringen en toepassingsgrenzen blijft de norm zelf leidend.
Waarom de principes in 2018 anders zijn geformuleerd
De editie van 2018 bracht ISO 31000 terug naar de kern: risicomanagement moet waarde creëren en beschermen door betere beslissingen mogelijk te maken. Waar de editie van 2009 uitgebreider en procedureler werd gelezen, legt de 2018-versie meer nadruk op integratie, inclusiviteit, cultuur, dynamiek en het gebruik van de beste beschikbare informatie. Dat is geen cosmetische wijziging. Organisaties die nog met 2009-termen werken, merken vaak dat risicomanagement vooral in aparte registers, audits of compliance-overleggen blijft hangen.
De praktische betekenis is dat risico niet pas aan het einde van een project, investering of wijziging besproken hoort te worden. Het hoort aanwezig te zijn bij strategiekeuzes, portfoliosturing, change control, contractbesluiten, securitymaatregelen en managementreviews. In een managementsysteem zoals ISO-training en certificering wordt dit vaak zichtbaar doordat risicodenken wordt gekoppeld aan beleid, rollen, processen en verbetercycli in plaats van aan één jaarlijks document.
De 8 principes van ISO 31000:2018
ISO 31000:2018 noemt acht principes die samen bepalen of risicomanagement bruikbaar is in de praktijk. Ze zijn geen losse slogans. Elk principe moet herkenbaar worden in hoe besluiten worden voorbereid, wie wordt betrokken, welke informatie wordt gebruikt en hoe de organisatie leert van veranderingen.
1. Geïntegreerd
Risicomanagement is geïntegreerd wanneer het deel uitmaakt van normale sturing en uitvoering. Het staat dan niet naast de organisatie, maar is ingebouwd in strategie, projectgovernance, inkoop, operationele processen, informatiebeveiliging, business continuity en rapportage.
Een praktisch voorbeeld is een investeringsvoorstel waarin risico’s, kansen, afhankelijkheden en beheersmaatregelen standaard worden meegewogen voordat budget wordt toegekend. Bij informatiebeveiliging sluit dit aan op de manier waarop risico’s worden vertaald naar beleid, controles en verbeteracties binnen ISO 27001-achtige managementsystemen. Het bewijs dat dit principe leeft, is niet het bestaan van een risicoregister, maar het feit dat besluiten aantoonbaar veranderen door risicoinformatie.
2. Gestructureerd en alomvattend
Risicomanagement is gestructureerd en alomvattend wanneer de organisatie een consistente aanpak gebruikt om risico’s te identificeren, analyseren, evalueren, behandelen, monitoren en rapporteren. Dat betekent niet dat elk team hetzelfde formulier op dezelfde manier moet invullen. Het betekent wel dat risico’s vergelijkbaar genoeg worden beschreven om prioriteiten te kunnen stellen.
In de praktijk helpt een vaste risicotaxonomie, duidelijke beoordelingscriteria en een ritme voor herziening. Een organisatie kan bijvoorbeeld per kwartaal risico’s laten actualiseren op basis van incidenten, audits, klantklachten, leverancierssignalen en strategische wijzigingen. Een veelgemaakte fout is dat alleen financiële of historische verliesdata worden gebruikt. Daardoor blijven opkomende risico’s, gedragsrisico’s en ketenafhankelijkheden buiten beeld.
3. Op maat gemaakt
Risicomanagement is op maat gemaakt wanneer de aanpak past bij de context, doelstellingen, omvang, complexiteit en risicobereidheid van de organisatie. Een kleine organisatie heeft niet dezelfde tooling of rapportagelaag nodig als een internationale groep, maar beide hebben helderheid nodig over eigenaarschap, prioriteiten en escalatie.
Voor een kleinere organisatie kan dit betekenen dat er met lichte sjablonen, korte maandelijkse risicogesprekken en een eenvoudig dashboard wordt gewerkt. Voor een grotere organisatie kan hetzelfde principe leiden tot portfoliorapportages, risicocomités en koppeling met enterprise risk management. De toets is of de aanpak beslissingen ondersteunt; een zwaar systeem dat niet wordt gebruikt is minder effectief dan een eenvoudige werkwijze die consequent in overlegstructuren terugkomt.
4. Inclusief
Risicomanagement is inclusief wanneer relevante belanghebbenden tijdig en passend worden betrokken. Dit geldt niet alleen voor directie, risk en compliance. De eerste lijn, projectteams, operationele medewerkers, leveranciers, klanten en soms toezichthouders kunnen signalen zien die in centrale rapportages ontbreken.
Een praktisch voorbeeld is een wijzigingsproces waarin security, operations, procurement en business owner samen beoordelen wat de wijziging betekent voor continuïteit, privacy, klantafspraken en operationele capaciteit. Inclusiviteit betekent daarbij niet dat iedereen over alles beslist. Het betekent dat besluitvormers toegang krijgen tot perspectieven die nodig zijn om onzekerheid realistisch te beoordelen.
5. Dynamisch
Risicomanagement is dynamisch wanneer het reageert op veranderingen in de interne en externe context. Nieuwe wetgeving, geopolitieke spanningen, cloudmigraties, leveranciersproblemen, personeelsverloop, cyberdreigingen en marktverschuivingen kunnen het risicoprofiel snel veranderen.
Dit principe wordt zichtbaar in horizon scanning, scenarioanalyse, lessons learned en snelle herijking na incidenten of near misses. Bij business continuity en crisisvoorbereiding is dit bijzonder belangrijk: plannen die niet worden aangepast na wijzigingen in processen, locaties, leveranciers of IT-architectuur verliezen hun waarde. Een nuttige indicator is het aantal risicobeoordelingen of maatregelen dat aantoonbaar is aangepast naar aanleiding van nieuwe signalen.
6. Beste beschikbare informatie
Risicomanagement gebruikt de beste beschikbare informatie wanneer besluiten worden gebaseerd op relevante, actuele en betrouwbare gegevens, maar ook rekening houden met beperkingen en onzekerheden. De beste informatie is zelden perfect. Het gaat om een evenwicht tussen feiten, aannames, expertise, scenario’s en tijdigheid.
Voorbeelden zijn incidentdata, auditbevindingen, dreigingsinformatie, prestatie-indicatoren, leveranciersrapportages, financiële analyses en externe ontwikkelingen. Een veelvoorkomende implementatiefout is dat organisaties wachten op volledige zekerheid of juist te veel vertrouwen op oude data. In beide gevallen kan besluitvorming traag of misleidend worden. Goede risicorapportages maken daarom expliciet welke aannames zijn gebruikt en waar onzekerheid blijft bestaan.
7. Menselijke en culturele factoren
Risicomanagement houdt rekening met menselijke en culturele factoren wanneer gedrag, prikkels, leiderschap, competenties en informele besluitvorming serieus worden meegenomen. Veel risico’s ontstaan niet doordat beleid ontbreekt, maar doordat mensen onder druk afwijken, signalen niet melden of risico’s anders interpreteren.
Dit principe wordt concreet in training, speak-upmechanismen, duidelijke escalatielijnen en managementgedrag dat open bespreking van onzekerheid ondersteunt. Als projectteams risico’s alleen groen rapporteren omdat rode risico’s als falen worden gezien, is het risicobeeld onbetrouwbaar. Hetzelfde geldt wanneer bonussen, deadlines of budgetdruk risicovol gedrag aanmoedigen.
8. Voortdurende verbetering
Risicomanagement verbetert voortdurend wanneer de organisatie systematisch leert van resultaten, incidenten, audits, externe veranderingen en feedback. De PDCA-cyclus is hiervoor bruikbaar: plan de aanpak, voer uit, controleer de werking en verbeter waar nodig.
Een praktische invulling is om per managementreview niet alleen de grootste risico’s te bespreken, maar ook de kwaliteit van het risicoproces zelf. Zijn risico-eigenaren actief? Worden maatregelen op tijd afgerond? Worden lessons learned verwerkt in processen? Voor organisaties die al met kwaliteitsmanagement werken, sluit dit goed aan op bestaande ISO 9001-achtige verbetercycli.
Van principes naar een werkend operating model
De acht principes krijgen pas betekenis wanneer ze worden vertaald naar governance en ritme. Dat begint met duidelijke rollen: de eerste lijn beheert risico’s in de uitvoering, de tweede lijn stelt kaders en ondersteunt, en de derde lijn geeft onafhankelijke assurance. Senior management en bestuur verbinden risico’s met strategie, risicobereidheid en portfoliokeuzes.
Een bruikbaar operating model legt vast waar risico’s worden besproken en wie beslissingen mag nemen. Denk aan strategische planningsrondes, investeringscommissies, projectbeslispoorten, change advisory boards, leveranciersreviews en managementreviews. In elk van die momenten hoort duidelijk te zijn welke risicoinformatie nodig is, welke tolerantie geldt en wanneer escalatie verplicht is.
Een pragmatische manier om prioriteiten te stellen is per principe te beoordelen hoe volwassen de organisatie is en hoe groot de impact op doelstellingen is. Kies vervolgens per kwartaal twee verbeterfocussen en borg de acties in de managementreview-agenda. Zo blijft de verbetering bestuurbaar en voorkomt de organisatie dat alle principes tegelijk in abstracte programma’s verdwijnen.
Hoe meetbaar wordt of de principes echt werken
Effectief risicomanagement laat sporen na in gedrag en besluitvorming. Het meten van de principes vraagt daarom meer dan tellen hoeveel risico’s in een register staan. De betere vraag is of de organisatie eerder, scherper en consistenter beslissingen neemt door risicoinformatie.
Leading indicators kunnen helpen omdat ze vroeg signaleren of de werkwijze functioneert. Voor integratie kan worden gekeken naar het aandeel belangrijke besluiten waarbij een risicobeoordeling is vastgelegd. Voor inclusiviteit kan de organisatie volgen welke functies of stakeholders daadwerkelijk bijdragen aan risicogesprekken. Voor dynamiek kan worden gemeten hoeveel risico’s of maatregelen zijn aangepast na externe signalen, incidenten of lessons learned.
Ook kwalitatieve signalen zijn belangrijk. Een principe leeft wanneer eerste-lijnteams risico’s met eigenaar en maatregel registreren zonder dat compliance daar telkens om vraagt, wanneer managementreviews leiden tot herprioritering, en wanneer risicobereidheid wordt gebruikt bij portfolio- of klantbesluiten. Het tegenovergestelde signaal is een risicoregister dat keurig wordt bijgewerkt maar geen invloed heeft op budget, planning, controles of stop-go-besluiten.
Veelgemaakte fouten bij implementatie
Een terugkerende fout is dat de principes worden vertaald naar posters, beleidszinnen of awarenessmateriaal zonder procesmatige verankering. Medewerkers kennen dan de termen, maar zien niet wanneer en hoe zij risico’s moeten wegen. De oplossing ligt meestal niet in meer terminologie, maar in betere beslispoorten, eenvoudiger sjablonen en heldere eigenaarschap.
Een tweede fout is te centrale organisatie van risicomanagement. Als risk of compliance alle risico’s probeert te beheren, raakt de eerste lijn buitenspel en ontstaat een papieren werkelijkheid. De rol van de tweede lijn is vooral kaderstelling, begeleiding en challenge; risico-eigenaarschap hoort bij de mensen die doelstellingen realiseren en processen aansturen.
Een derde fout is het negeren van cultuur en menselijk gedrag. Risicomanagement faalt vaak niet door een ontbrekende matrix, maar door druk, aannames, stilzwijgen of onduidelijke escalatie. Daarom moeten training, leiderschap en besluitvorming samen worden bekeken. De norm helpt daarbij, maar de werking ontstaat in dagelijkse keuzes.
ISO 31000 in relatie tot andere kaders
ISO 31000 is een algemene richtlijn voor risicomanagement en is niet bedoeld als certificeerbare managementsysteemnorm. Dat onderscheid is belangrijk. Organisaties kunnen ISO 31000 gebruiken als denkkader naast normen of raamwerken zoals ISO/IEC 27001 voor informatiebeveiliging, ISO 22301 voor business continuity, ISO 9001 voor kwaliteitsmanagement, COSO ERM of sectorspecifieke governance-eisen.
De waarde zit in samenhang. ISO 31000 helpt om risico’s aan doelstellingen en besluitvorming te koppelen; andere kaders kunnen vervolgens specifieke eisen, controles of processen invullen. Wie deze relaties helder maakt, voorkomt dubbel werk en zorgt dat risico-informatie uit security, kwaliteit, continuïteit, finance en operations in één bestuurbaar beeld samenkomt.
De principes toepassen zonder onnodige complexiteit
De meest effectieve toepassing begint klein en concreet. Kies een paar bestaande overlegmomenten waar beslissingen al worden genomen, voeg daar expliciete risicovragen aan toe en zorg dat uitkomsten worden vastgelegd. Vervolgens kan de organisatie beoordelen of informatie tijdig genoeg is, of de juiste mensen meedoen en of acties daadwerkelijk worden opgevolgd.
Readynez biedt daarnaast trainingen voor professionals die hun kennis van ISO, security en risicogerelateerde managementsystemen willen verdiepen via Unlimited Security Training. Wie wil bespreken welke leerroute past bij een organisatiecontext kan contact opnemen.
