Restrisico

Resterend risiconiveau na implementatie van mitigerende maatregelen.

Restrisico is wat overblijft zodra je maatregelen werken. Je scoort het risico twee keer: één keer zoals het zou zijn zonder maatregelen, en opnieuw met je maatregelen meegerekend. Dat tweede getal is het restrisico, en dat is het getal dat je tegen je risicobereidheid afzet.

Inherent en rest

Beide getallen zijn het bewaren waard, want het verschil ertussen is het enige directe bewijs dat een maatregel iets doet.

Inherent risicoRestrisico
GescoordVóór maatregelenNa maatregelen
Beantwoordt de vraagHoe erg kan dit worden als we niets doen?Hoe erg is het nu, gegeven wat we doen?
Gebruikt voorBepalen welke risico's maatregelen verdienenBesluiten of je accepteert, en de waarde van maatregelen aantonen

Scoort een risico vóór en na hetzelfde, dan verlagen je maatregelen het niet. Dat is iets om uit te zoeken en niet om vast te leggen, want meestal betekent het dat de maatregel een ander risico adresseert dan waaraan hij is gekoppeld.

Accepteren is een besluit, geen vanzelfsprekendheid

Restrisico onder je risicobereidheid mag je accepteren. Wat telt, is dat die acceptatie expliciet is: een naam, een datum en een reden. Een risico dat niemand heeft geaccepteerd maar dat ongemerkt in het register staat, is de variant waar auditors bezwaar tegen maken.

Zit je erboven, dan heb je drie opties in plaats van één: maatregelen toevoegen, het risico overdragen via verzekering of contract, of de activiteit staken. Niets doen kan ook, maar dan als vastgelegd besluit op het juiste niveau.

Hoe je het scoort

De meeste methoden gebruiken voor beide rondes dezelfde schaal, zodat de twee getallen vergelijkbaar zijn. In Tidal Control stel je waarschijnlijkheid en impact in voor het inherente risico, kies je een behandeling, en stel je ze daarna opnieuw in met je maatregelen erbij.

Zie de kans- en impactmatrix voor het raster waarop beide scores landen, en scoor opnieuw zodra de maatregelen wijzigen in plaats van bij de volgende jaarlijkse beoordeling.

Veelgestelde vragen

Wat is restrisico?
Restrisico is het risico dat overblijft nadat je maatregelen zijn getroffen. Het is wat er van het inherente risico resteert na mitigatie, en het is nooit automatisch nul.
Wat is het verschil tussen inherent risico en restrisico?
Inherent risico is de blootstelling vóór maatregelen; restrisico is de blootstelling erna. Het verschil tussen die twee is wat je maatregelen daadwerkelijk opleveren.
Wie moet het restrisico accepteren?
De risico-eigenaar, niet het securityteam. ISO 27001 vereist dat de risico-eigenaar het risicobehandelplan goedkeurt en het resterende risico expliciet accepteert; die vastgelegde acceptatie is wat een auditor wil zien.