Risico is een bandbreedte, geen score. Uitgedrukt in euro's, de eenheid waarin de rest van de strategie wordt gewogen.
Kernuitdagingen
Je risicobeeld komt als een rood-oranje-groene matrix de bestuurstafel op. Maar een kleur ordent risico niet, en de investering erachter is niet te verdedigen.
90%
risicoparen niet eenduidig te vergelijken
Een kwalitatieve matrix kan van willekeurige risicoparen het overgrote deel niet eenduidig vergelijken, en kan een kleiner risico hoger plaatsen dan een groter. Het is een nuttig communicatiemiddel, maar het zegt niets over hoeveel.
Cox, What's Wrong with Risk Matrices, Risk Analysis (2008), peer-reviewed.
64%
board-alignment met de CISO
Jij levert volwassenheidsscores en incidentcijfers, de board wil strategische afweging en investeringsefficiëntie. Twee eenheden voor hetzelfde probleem. Board-alignment met de CISO daalde van 84 naar 64 procent.
Proofpoint Voice of the CISO 2025, n=1.600.
80%
incidenten ondanks een control die had moeten stoppen
Een groen patch- of volwassenheidspercentage zegt niet of de blootstelling kleiner is geworden. Het overgrote deel van de incidenten gebeurt ondanks een control die het had moeten tegenhouden, dus telt of de control werkt, niet of hij er is.
Orde van grootte; Nagomi 2025, vendor-onderzoek.
Toezicht en bestuur vragen niet welke kleur het risico heeft. Ze vragen of er genoeg gebeurt, wat de afweging is, en in welke orde van grootte we blootstaan. Dat is het verschil tussen een kleur op papier en een onderbouwde bandbreedte die een toezichthouder en een verzekeraar accepteren.
Het verschil
Niet of je risico scoort, maar of je het uitdrukt in bandbreedtes en scenario's met aannames die je kunt navragen, en of het een beslissing scherper maakt.
Likelihood en impact subjectief op een schaal van 1 tot 5, geplot op een matrix. Niet vergelijkbaar tussen scenario's en niet te wegen tegen de rest van de strategie.
Verlies als bandbreedte per scenario, in dezelfde eenheid waarin de board de rest weegt. Geen alles-of-niets, maar een afweging tussen scenario's.
Een cijfer dat de schijn van precisie wekt, of een schok-bedrag zonder bandbreedte. De aannames eronder blijven onzichtbaar en zijn niet te toetsen.
Een geïnformeerde schatting met bandbreedte, betrouwbaarheid en expliciete aannames. Geen waarheid, wel navolgbaar en te verdedigen aan de bestuurstafel.
Effectiviteit wordt gemeten in of een maatregel is ingericht. Wat de maatregel aan blootstelling wegneemt in euro's, blijft onbeantwoord.
We vertalen dekking, capability en betrouwbaarheid van je controls naar financiële impact, zodat je twee investeringen vergelijkt op wat ze werkelijk wegnemen.
Het cijfer wordt het doel. Een rapport met getallen dat de CISO zelf naar boven moet vertalen en dat geen keuze scherper maakt.
We modelleren om een keuze scherp te maken: welke investering neemt de meeste blootstelling weg, wat kan wachten, wat is de afweging. Het getal is een middel.
Hoe het werkt
Links wat in de kwantificering gaat, in het midden de volgorde die diagnosticeert en verdedigt, rechts wat je overhoudt. Je bestaande risk register en rapportage blijven staan.
Het onderscheid
De scherpste val van dit domein: een platform of een FAIR-model uitrollen en het cijfer tot doel maken, in plaats van te beginnen bij welke beslissing het scherper moet maken.
Daarom beginnen onze architecten bij de diagnose. Niet welk model wij draaien, maar welke risico's er in euro's werkelijk toe doen en welke keuze het cijfer scherper maakt. Het model is een denkstructuur, geen aanbod.
Je bestaande risk register en rapportage blijven staan. Wij bepalen welke risico's er in euro's toe doen, drukken ze uit in bandbreedtes met aannames, en houden dat herhaalbaar. Een model is een middel, geen doel.
Je krijgt onze expertise zonder zelf een model en een methode op te bouwen. Wij draaien de cyclus; de besluiten over accepteren, mitigeren of overdragen en het eigenaarschap blijven bij jou.
De markt levert een rapport dat de CISO zelf naar boven moet vertalen. Dezelfde senior die het cijfer opbouwt, bespreekt het met de board en de CFO en verdedigt de aannames.
Aan de slag
Geen modelleerproject van maanden. Eén gesprek waarin we bepalen welke risico's er in euro's werkelijk toe doen, en of je huidige risicobeeld de board een afweging geeft of alleen een kleur.
