Restrisico is wat overblijft zodra je maatregelen werken. Je scoort het risico twee keer: één keer zoals het zou zijn zonder maatregelen, en opnieuw met je maatregelen meegerekend. Dat tweede getal is het restrisico, en dat is het getal dat je tegen je risicobereidheid afzet.
Inherent en rest
Beide getallen zijn het bewaren waard, want het verschil ertussen is het enige directe bewijs dat een maatregel iets doet.
| Inherent risico | Restrisico | |
|---|---|---|
| Gescoord | Vóór maatregelen | Na maatregelen |
| Beantwoordt de vraag | Hoe erg kan dit worden als we niets doen? | Hoe erg is het nu, gegeven wat we doen? |
| Gebruikt voor | Bepalen welke risico's maatregelen verdienen | Besluiten of je accepteert, en de waarde van maatregelen aantonen |
Scoort een risico vóór en na hetzelfde, dan verlagen je maatregelen het niet. Dat is iets om uit te zoeken en niet om vast te leggen, want meestal betekent het dat de maatregel een ander risico adresseert dan waaraan hij is gekoppeld.
Accepteren is een besluit, geen vanzelfsprekendheid
Restrisico onder je risicobereidheid mag je accepteren. Wat telt, is dat die acceptatie expliciet is: een naam, een datum en een reden. Een risico dat niemand heeft geaccepteerd maar dat ongemerkt in het register staat, is de variant waar auditors bezwaar tegen maken.
Zit je erboven, dan heb je drie opties in plaats van één: maatregelen toevoegen, het risico overdragen via verzekering of contract, of de activiteit staken. Niets doen kan ook, maar dan als vastgelegd besluit op het juiste niveau.
Hoe je het scoort
De meeste methoden gebruiken voor beide rondes dezelfde schaal, zodat de twee getallen vergelijkbaar zijn. In Tidal Control stel je waarschijnlijkheid en impact in voor het inherente risico, kies je een behandeling, en stel je ze daarna opnieuw in met je maatregelen erbij.
Zie de kans- en impactmatrix voor het raster waarop beide scores landen, en scoor opnieuw zodra de maatregelen wijzigen in plaats van bij de volgende jaarlijkse beoordeling.