Wat erop inwerkt

Deze pagina werkt de band invloeden en beoordeling uit het geheel verder uit. Het doel, het concern en het principe komen uit dat geheel; de maatregel en de controle uit Van zorg tot bewijs.^{A B}

ISO 31000 begint het risicoproces met het vastleggen van de externe en interne context, en laat het eindigen in monitoring en review.¹ ArchiMate verbindt een driver met een assessment, en een capability met wat een actor kan.¹³

Het schema volgt die volgorde: context (driver en vermogen), beoordeling, uitkomst (onzekerheid), en een terugkoppeling via signalen. De scenario-route bovenaan is een aanvulling voor wat zich niet laat beoordelen.^{1 8 9}

PESTLE is een gangbaar raamwerk om de externe omgeving te verkennen. Het gaat terug op het werk van Aguilar uit 1967 over het scannen van de bedrijfsomgeving.³

BMM noemt als interne influencers onder meer aannames, waarden (expliciet en impliciet), gewoontes, infrastructuur, kwesties en middelen.²

Voor één persoon zijn de belangrijkste interne drivers tijd, gewoontes en aannames. Ze sturen veel keuzes en staan zelden op papier: “ik doe dit naast mijn werk”, “ik vergeet waarom ik iets besloot”.²

NIST onderscheidt in risicobeoordelingen threat events (gebeurtenissen) van predisposing conditions: omstandigheden die de kans vergroten dat een gebeurtenis schade doet.⁴

De indeling trend, gebeurtenis en conditie breidt dat uit met de trend: een verschuiving die geen moment kent, maar wel een richting. Elke soort vraagt een andere reactie.^{4 11}

In informatiebeveiliging is een kwetsbaarheid een zwakte die door een bedreiging kan worden benut.⁵ In de SWOT-analyse staan sterkte en zwakte voor de interne kant.¹²

ISO/IEC 33020 beschrijft zes niveaus van procesvermogen, van onvolledig (niveau 0) tot innoverend (niveau 5).⁶

Voor één persoon volstaan drie treden. Het verschil tussen de tweede en de derde is het belangrijkste: iets bestaat, of het is aangetoond dat het werkt.^{6 B}

Richting, tijdshorizon, zekerheid en herzien-als maken een beoordeling geschikt voor kansen en voor ontwikkelingen die nog niet spelen.¹

Het IPCC onderscheidt in zijn rapporten likelihood (de waarschijnlijkheid van een uitkomst) van confidence (het vertrouwen in een bevinding, gebaseerd op de hoeveelheid en kwaliteit van het bewijs en de mate van overeenstemming).⁷

Knight onderscheidde in 1921 risico, waarvan de kansverdeling bekend of te schatten is, van onzekerheid in engere zin, waarvan die verdeling onbekend is.⁸

De labels feit, afgeleide en hypothese doen voor een beoordeling wat confidence doet bij het IPCC. “Waarschijnlijkheid: hoog” betekent weinig als het oordeel een hypothese is. Beide horen erbij.⁷

Waar ook de waarschijnlijkheid niet te schatten is, zoals bij de toekomst van AI of van platforms, is een beoordeling schijnprecisie. Daar is een andere aanpak nodig: scenario's.^{8 9}

De TOWS-matrix koppelt externe factoren (kansen, bedreigingen) aan interne (sterktes, zwaktes) en leidt uit elke combinatie een soort strategie af.¹² Risicoidentificatie kijkt naar onzekerheden en naar mogelijke interne en externe gebeurtenissen.¹

Elke onzekerheid is een combinatie van drie: driver × vermogen × doel. Leg je haar zo vast, dan worden twee patronen zichtbaar. Welke drivers drukken samen op één doel? En welk zwak vermogen keert bij meerdere dreigingen terug? Dat laatste is waar een maatregel de meeste waarde heeft.^{12 5}

Meerdere onzekerheden bundelen zich in één concern: de vraag zoals een belanghebbende die stelt. Het concern is de brug naar view B, waar maatregel, ADR en controle volgen.^{A B}

Wack beschreef in 1985 hoe Shell scenario's gebruikte: niet om de toekomst te voorspellen, maar om beslissers voor te bereiden op meerdere mogelijke toekomsten.⁹

RAND ontwikkelde robust decision making: zoek niet de beste keuze voor de meest waarschijnlijke toekomst, maar een keuze die in veel mogelijke toekomsten redelijk uitpakt.¹⁰

Werkwijze in het klein: neem de twee grootste onzekerheden als assen, bijvoorbeeld blijven platforms open of sluiten ze zich? en wordt herkomst waardevoller of onverschilliger? Dat geeft vier toekomsten. Een keuze die in alle vier overeind blijft, is robuust.^{9 10}

Principes zijn robuuste keuzes. Een regel als “bouw alsof het platform nog één jaar heeft” is een stresstest-scenario, als regel geformuleerd. Daarom loopt in het schema de scenario-route uit op een principe.¹⁰

Ansoff wees in 1975 op zwakke signalen: vroege, onvolledige aanwijzingen voor een verandering, waarop je kunt reageren voordat de verandering vaststaat.¹¹ ISO 31000 maakt monitoring en review tot een vast onderdeel van het hele proces.¹

De voorwaarden waaronder een besluit opnieuw bekeken moet worden, zijn de signalen van dat besluit: de drivers die je in de gaten houdt. Door ze per beoordeling vast te leggen (veld herzien als), weet je waar je op let, en hoef je niet alles periodiek opnieuw te beoordelen.¹¹

Ook de controle uit view B is een signaal. Slaagt een hersteltest, dan gaat het vermogen herstellen van aanwezig naar beproefd; faalt hij, dan wordt een zwakte zichtbaar.^{1 B}

ISO 31000 noemt bij risicoidentificatie (§6.4.2) uitdrukkelijk kansen naast bedreigingen, en vermogens naast kwetsbaarheden.

Toets: nalezen in de normtekst.¹ Klopt het, dan wordt het driver × vermogen-principe in §07 een feit.

Drie treden van rijpheid volstaan voor één persoon.

Toets: bij het beschrijven van de vermogens nagaan of er vermogens zijn die tussen twee treden vallen.

Het juridische en de eigen tijd sturen meer keuzes dan nu zichtbaar is.

Toets: de bestaande ADR's nalopen op impliciete juridische of tijdsoverwegingen.

Met het veld herzien als is periodiek opnieuw beoordelen grotendeels overbodig.

Toets: na een jaar nagaan hoeveel herzieningen door een signaal kwamen, en hoeveel door toeval.