Een kans- en impactmatrix, in de praktijk meestal kortweg risicomatrix, scoort een risico op twee assen: hoe groot de kans is dat het zich voordoet, en hoe ernstig de gevolgen zijn als dat gebeurt. Die twee scores samen leveren één risicoscore op, en die bepaalt hoe dringend het risico wordt behandeld en wie ervoor moet aftekenen.
De 5×5 kans- en impactmatrix
Lees de waarschijnlijkheid in de linkerkolom en de impact in de bovenste rij. Elke cel toont waarschijnlijkheid maal impact, en de klasse waarin die score valt. De schalen en klassegrenzen hieronder zijn die van Tidal Control, dus een score die je hier leest is de score die je in het product krijgt; zie Risicobeoordelingen uitvoeren voor de werkwijze eromheen.
| Waarschijnlijkheid / Impact | 1 Onbeduidend | 2 Klein | 3 Matig | 4 Groot | 5 Extreem |
|---|---|---|---|---|---|
| 5 Vrijwel zeker | 5 Laag | 10 Gemiddeld | 15 Gemiddeld | 20 Hoog | 25 Hoog |
| 4 Waarschijnlijk | 4 Laag | 8 Gemiddeld | 12 Gemiddeld | 16 Hoog | 20 Hoog |
| 3 Mogelijk | 3 Laag | 6 Laag | 9 Gemiddeld | 12 Gemiddeld | 15 Gemiddeld |
| 2 Onwaarschijnlijk | 2 Laag | 4 Laag | 6 Laag | 8 Gemiddeld | 10 Gemiddeld |
| 1 Zeer onwaarschijnlijk | 1 Laag | 2 Laag | 3 Laag | 4 Laag | 5 Laag |
De klassegrenzen zijn 1-6 Laag, 7-15 Gemiddeld en 16-25 Hoog. Die grenzen zijn een keuze en geen rekenregel: deze indeling is onderaan bewust mild, zodat een zeldzame gebeurtenis met een ernstig gevolg niet automatisch boven een frequente uitkomt. Waar je ze legt, is de beslissing over risicobereidheid, en die hoort bij de risico-eigenaar.
De twee assen scoren
Een matrix is niets waard zonder de definities achter de cijfers. Tidal Control koppelt waarschijnlijkheid aan een kans per jaar, en juist dat voorkomt dat twee beoordelaars hetzelfde risico verschillend scoren en hun meningsverschil in een gemiddelde verdwijnt.
| Score | Waarschijnlijkheid | Impact |
|---|---|---|
| 5 | Vrijwel zeker: meer dan 90% kans per jaar | Extreem: kritieke bedreiging voor de organisatie |
| 4 | Waarschijnlijk: 51-90% kans per jaar | Groot: ernstige impact op de bedrijfsvoering |
| 3 | Mogelijk: 11-50% kans per jaar | Matig: aanzienlijke maar beheersbare gevolgen |
| 2 | Onwaarschijnlijk: 1-10% kans per jaar | Klein: beperkte impact op de organisatie |
| 1 | Zeer onwaarschijnlijk: minder dan 1% kans per jaar | Onbeduidend: verwaarloosbare gevolgen |
Wat elke klasse betekent voor de behandeling
De score is niet de uitkomst; het besluit dat eraan hangt is dat wel. In Tidal Control wordt de score voor je berekend en is de volgende stap het kiezen van een van vier behandelingen: verminderen, accepteren, overdragen of vermijden. Alleen verminderen vraagt om gekoppelde controls, want die zijn wat de score daadwerkelijk verlaagt.
| Klasse | Gebruikelijke behandeling |
|---|---|
| Hoog (16-25) | Verminderen, of de activiteit vermijden waar een alternatief bestaat. Vraagt om een benoemde eigenaar en gekoppelde controls, geen acceptatie. |
| Gemiddeld (7-15) | Meestal verminderen, soms overdragen als de blootstelling financieel is. Zo'n risico accepteren is een besluit dat iemand moet vastleggen. |
| Laag (1-6) | Vaak accepteren, vooral als behandelen meer kost dan de blootstelling. Leg de afweging in beide gevallen vast. |
Scoor het risico opnieuw zodra de controls er zijn. Die tweede score is het restrisico, en dat is de score om tegen de risicobereidheid af te zetten: alles wat daar nog boven zit, vraagt meer dan er nu ligt.
Wat ISO 27001 en ISO 27005 werkelijk eisen
ISO 27001:2022 vraagt in clausule 6.1.2 om een vastgelegd proces voor informatiebeveiligingsrisicobeoordeling: criteria voor het accepteren van risico's, criteria voor het uitvoeren van beoordelingen, en uitkomsten die consistent, valide en vergelijkbaar zijn. Over een matrix zegt de norm niets. De matrix is één manier om beoordelingen herhaalbaar te maken; de eis is die herhaalbaarheid, niet het raster.
ISO/IEC 27005 geeft de bijbehorende richtlijnen voor het beoordelen van informatiebeveiligingsrisico's, en ISO 31000 gaat over risicomanagement in het algemeen. Beide beschrijven het afwegen van kans en gevolg zonder een formaat of kleurenschema voor te schrijven. Een auditor vraagt naar je criteria en een steekproef van risico's die daaraan zijn getoetst, niet naar een specifieke matrix.
Veelgemaakte fouten
De zwaarstwegende fout is de cijfers als rekenwerk behandelen. De scores zijn ordinaal: 4 is erger dan 2, maar niet twee keer zo erg. Vermenigvuldigen levert een rangorde op, geen hoeveelheid, en een 3×4 is inhoudelijk iets anders dan een 4×3, ook al staat er in beide gevallen 12.
Dat is de kern van de al lang bestaande wetenschappelijke kritiek op risicomatrices, vooral verbonden aan Tony Cox: een matrix kan een feitelijk kleiner risico hoger rangschikken dan een groter. Gebruik hem om het gesprek te structureren, niet om het te beëindigen.
Daaruit volgen twee praktische problemen. Scores kruipen naar het midden, omdat een 3 het antwoord is dat niemand hoeft te verdedigen, en een register dat voor vier vijfde Gemiddeld is, maakt geen onderscheid.
En impact wordt vanuit het verkeerde perspectief gescoord: het ongemak voor je eigen team in plaats van het gevolg voor de klant, de betrokkene of de verplichting. Scherp de definities van de assen aan en meestal lossen beide problemen zich vanzelf op.
Tot slot legt een matrix een oordeel van één specifieke dag vast. Geef elk risico een evaluatiedatum en leg vast welke gebeurtenissen aanleiding zijn om opnieuw te scoren. Zonder die twee houd je een momentopname over van wat men een jaar geleden vreesde, en dat is precies wat een auditor opmerkt.