Risico's aanmaken en bewerken

Dit artikel gaat over het risico-record zelf en niet over de scores: aanmaken, classificeren, de assets koppelen die het bedreigt en de controls die het behandelen, een eigenaar toewijzen, en archiveren zodra het niet meer van toepassing is. Voor het scoren, zie Risicobeoordelingen uitvoeren.

Nieuwe risico's toevoegen

Een risico heeft alleen een naam nodig om te bestaan; classificatie, koppelingen en scores kunnen allemaal later.

Risico aanmaken

1. Ga naar de Risico's pagina via het hoofdmenu
2. Klik op "Risico toevoegen" rechtsboven in het overzicht
3. Het aanmaakformulier opent waar je risico informatie kunt invullen

Risico informatie invullen

Alleen de naam is verplicht; een eigen ID en eigenaar kun je nu of later toevoegen.

Verplichte velden:

• Naam - Kies een duidelijke, beschrijvende naam voor het risico
• Bijvoorbeeld: "Malware installatie op systemen" of "Onvoldoende managementbetrokkenheid"

Optionele velden:

• Eigen ID - Jouw eigen referentienummer (bijv. "R.IT.01", "R.HR.03")
• Eigenaar toewijzen - Selecteer de verantwoordelijke persoon uit de dropdown
• Beschrijving - Leg uit wat dit risico inhoudt en waarom het relevant is

Risico opslaan

1. Controleer alle ingevulde informatie
2. Klik "Aanmaken" om het risico aan te maken
3. Het nieuwe risico verschijnt in je overzicht met initiële status

Risico informatie bewerken

Het detailpaneel bevat de eigen velden van het risico en zijn classificatie-attributen.

Risico details openen

1. Klik op een risico naam in het overzicht
2. Selecteer de "Details" tab in de risico interface
3. Alle bewerkbare velden worden getoond

Basis informatie aanpassen

Eenmaal aangemaakt kunnen de naam, geldigheidsperiode, risicobereidheid en omschrijving van een risico nog worden aangepast.

Bewerkbare velden in Details tab:

• Naam - Pas risico naam aan
• Eigen ID - Wijzig voor betere referentie
• Geldig van / Geldig tot - Stel geldigheidsperiode in
• Risicobereidheid - Bepaal acceptabele risiconiveaus
• Beschrijving - Uitgebreide risico beschrijving

Zo bewerk je informatie:

1. Klik in het betreffende veld
2. Pas de tekst of datum aan
3. Klik op de Update knop links onder of rechts bovenin het scherm om de wijzigingen op te slaan

Risico classificatie

Attributen laten je een risico taggen met het domein, de categorie of de dreigingsgroep waartoe het behoort.

Attributen toevoegen:

1. Scroll naar de "Attributen" sectie
2. Klik "Attribuut toevoegen"
3. Vul een titel in (bijv. "DOMAIN", "RISICO CATEGORIE")
4. Vul een waarde in (bijv. "Apparatuur", "Informatierisico")
5. Attributen helpen bij filteren en rapporteren

Voorbeelden van nuttige attributen:

• DOMEIN - IT, HR, Financiën, Operaties
• BEDREIGING GROEP - Cyber, Fysiek, Personeel, Extern
• IMPACT TYPE - Financieel, Reputatie, Operationeel, Compliance

Middelen koppelen aan risico's

Middelen koppelen legt vast wat het risico daadwerkelijk bedreigt, en dat suggereert weer welke controls erop horen.

Waarom assets koppelen?

Door bedrijfsmiddelen te koppelen leg je vast welke systemen, data of processen door dit risico bedreigd worden.

Middelen selecteren

1. Ga naar de "Middelen" sectie in de Details tab van het risico
2. Bekijk beschikbare bedrijfsmiddelen in de lijst
3. Selecteer relevante assets door checkboxes aan te vinken
4. Koppelingen worden automatisch opgeslagen

Selectie criteria:

• Directe blootstelling - Asset wordt rechtstreeks bedreigd door dit risico
• Kritieke afhankelijkheid - Asset is essentieel voor bedrijfsvoering
• Data gevoeligheid - Asset bevat vertrouwelijke informatie
• Compliance impact - Asset valt onder regelgeving

Eigenaren en verantwoordelijkheden

Een risico heeft een eigenaar nodig voordat zijn beoordeling voorbij Niet toegewezen kan komen.

Risico eigenaren toewijzen

De eigenaar is de persoon die uiteindelijk verantwoordelijk is voor hoe het risico wordt beheerd.

Eigenaren instellen:

1. Zoek de "Eigenaren" sectie aan de rechterkant van Details tab
2. Klik het gebruiker icoon
3. Type gebruikersnaam en selecteer uit dropdown
4. Meerdere eigenaren mogelijk voor gedeelde verantwoordelijkheid

Uitvoerders toewijzen:

• Personen die uitvoerende taken doen voor risicobehandeling
• Vaak operationele medewerkers of specialisten
• (toekomstige feature) Automatisch toegewezen aan nieuwe handmatige taken

Beoordelaars aanwijzen:

• Personen die risicobeoordeling taken uitvoeren
• Meestal risk managers of compliance officers
• Onafhankelijk van implementatie team
• (toekomstige feature) Automatisch toegewezen aan nieuwe risicobeoordelingstaken

Risico levenscyclus beheren

Een risico moet geactiveerd worden voordat het meetelt, en archiveren bewaart de historie zodra het niet meer van toepassing is. Verwijderen doet dat niet.

Risico activatie

Een risico wordt "Active" wanneer:

• De "Geldig van" datum in het verleden ligt
• De "Geldig tot" datum in de toekomst ligt (of leeg is)
• Er maatregelen gekoppeld zijn aan het risico

Actieve risico's:

• (toekomstige feature) Worden meegenomen in geplande risicobeoordelingen
• Zichtbaar in dashboards en rapportages

Risico archivering

Archiveer een risico zodra het echt niet meer relevant is, in plaats van het te verwijderen, zodat de historie bewaard blijft.

Wanneer archiveren:

• Risico is niet meer relevant
• Bedrijfsactiviteit die risico veroorzaakte is gestopt
• Externe omstandigheden maken risico irrelevant
• Risico is samengevoegd met ander risico

Archivering proces:

1. Selecteer één of meerdere risico's met checkboxes in overzicht
2. Klik "Archiveren" knop bovenaan tabel
3. Bevestig archivering - risico's verdwijnen uit dagelijks overzicht
4. Historische data blijft beschikbaar voor audit

Effect van archivering:

• Risico verschijnt in "Gearchiveerd" tab
• Alle koppelingen blijven bewaard maar verborgen
• Geen nieuwe beoordelingen of behandelingen
• Rapportages houden geen rekening met gearchiveerde risico's

Risico verwijdering

Verwijder een risico alleen als het nooit had mogen bestaan: een testinvoer, een duplicaat, of data die niet bewaard mag worden.

Wanneer verwijderen:

• Test risico met onjuiste informatie
• Duplicaat risico per ongeluk aangemaakt
• Gevoelige informatie die niet bewaard mag worden
• Organisatie vereist permanent verwijderen

Verwijdering proces:

1. Selecteer risico's met checkboxes
2. Klik "Verwijderen" knop bovenaan tabel
3. Bevestig permanent verwijderen - onomkeerbare actie
4. Alle gekoppelde data wordt volledig gewist

Risico behandeling plannen

Zodra de behandeling is bepaald, zijn de gekoppelde controls wat die behandeling uitvoert, dus vanaf dat moment monitor je hun effectiviteit.

Behandelstrategieën koppelen

Behandeling stel je in vanuit het eigen Beoordeling-tabblad van het risico, en Verminderen kiezen is wat vereist dat je controls koppelt.

Na risicobeoordeling:

1. Ga naar de "Beoordeling" tab van het risico
2. Selecteer of wijzig behandeloptie (Verminderen, Accepteren, Overdragen, Vermijden)
3. Bij "Verminderen" - Koppel relevante beheersmaatregelen
4. Voeg motivatie toe in het Opmerkingen veld

Maatregelen effectiviteit monitoren

Behandeling is geen eenmalige beslissing. Check periodiek of de gekoppelde controls nog steun bieden tegen nieuwe dreigingen.

Doorlopende evaluatie:

• Controleer regelmatig of gekoppelde maatregelen effectief zijn
• Update risicobeoordeling als omstandigheden wijzigen
• Pas behandeling aan bij nieuwe bedreigingen
• Wijzigingen worden automatisch gedocumenteerd in Feed tab

Bulk bewerkingen

Door meerdere risico's tegelijk te selecteren pas je dezelfde eigenaar, hetzelfde attribuut of dezelfde archiefactie op alle toe.

Meerdere risico's tegelijk beheren

Door meerdere risico's tegelijk te selecteren kun je ze in één actie archiveren of verwijderen.

Beschikbare bulk operaties:

• Archiveren - Verplaats meerdere risico's naar archief
• Verwijderen - Permanent verwijderen van geselecteerde risico's

Bulk workflow:

1. Selecteer risico's met checkboxes links in overzicht
2. Relevante knoppen verschijnen bovenaan de tabel
3. Kies gewenste actie en bevestig

Niet mogelijk voor bulk:

• Risico beschrijvingen bewerken
• Attributen beheren
• Asset koppelingen aanpassen
• Rapporteren over de geselecteerde risico's

Risico rapportage

Exporteer het risicoregister wanneer je het buiten Tidal nodig hebt, voor managementrapportage of een audit.

Export functionaliteit gebruiken

Het geëxporteerde bestand is een momentopname, geen live koppeling.

Risico rapport genereren:

1. Klik "Rapport exporteren" rechtsboven in overzicht
2. Excel bestand wordt gedownload met:
   • Risico namen en IDs
   • Inherente -en restrisico scores
   • Behandelstatus en gekoppelde maatregelen
   • Asset koppelingen
   • Control-effectiviteit per gekoppeld Risico

Rapportage toepassingen:

• Management presentaties over risicoprofiel
• Audit documentatie voor compliance
• Trend analyse over tijd
• Benchmark vergelijking met vorige periodes
• Monitoren van impact van ineffectieve controls op actuele restrisico's

Best practices voor risicobeheer

Een risicoregister blijft bruikbaar als risico's uit meer dan één bron worden geïdentificeerd, consistent worden benoemd, en volgens een vast ritme worden nagekeken.

Risico identificatie

Risico's komen sneller naar boven als meer dan één perspectief ernaar zoekt, niet alleen degene die het register invult.

Systematische aanpak:

• Gebruik templates voor standaard risico's
• Betrek verschillende perspectieven (IT, HR, Operations, Legal)
• Analyseer historische incidenten in je organisatie
• Monitor externe bedreigingen in je sector

Risico naamgeving

Een risiconaam is alleen nuttig als hij specifiek genoeg is om iets mee te doen: "Datalekken door phishing" is beter dan "Cyberrisico".

Duidelijke conventies:

• Specifiek en meetbaar - "Datalekken door phishing" vs "Cyberrisico"
• Organisatie relevant - Focus op daadwerkelijke bedreigingen
• Consistente structuur - Gebruik vaste format per categorie
• Vermijd jargon - Begrijpelijk voor alle stakeholders

Reguliere reviews

Een risicoregister blijft alleen accuraat als iemand het op een vast ritme nakijkt, niet alleen na een incident.

Onderhoudsritme:

• Maandelijkse check - Nieuwe risico's identificeren (in zeer dynamische omgevingen)
• Kwartaal evaluatie - Bestaande risico's herbeoordelen
• Jaarlijkse herziening - Complete risicoportfolio doorlichten
• Ad-hoc updates - Na significante wijzigingen of incidenten

Volgende stappen

Nu je risico's kunt aanmaken en beheren:

• Voer systematische beoordelingen uit voor alle geïdentificeerde risico's
• Koppel effectieve maatregelen aan hoge risico's
• Monitor behandeling voortgang via dashboards
• Rapporteer regelmatig aan management over risicoprofiel

Voor operationele guidance over beoordelingen, zie Risicobeoordelingen uitvoeren.