De directie of RvB is verantwoordelijk voor het bewust nemen van risico’s. Zij wordt hierop afgerekend. Professionals worden dat niet, met wat voor mooie rekensommetjes ze ook goochelen.

Een business continuity plan richt zich op risico’s die niet groot genoeg zijn om ze te willen vermijden. Maak het daarom niet te ingewikkeld en geef antwoord op de vraag ‘Is dat erg?’

Door uw business continuity plan kunt u als organisatie aanzienlijk besparen op uw investeringen in preventie, terwijl dit plan juist ook de mogelijkheid biedt om minder waarschijnlijke risico’s goed te managen. Jammer genoeg weten veel directies dit niet.

Risk management volgens ISO 31000 moet dienend zijn aan de managementprocessen en andere managementsystemen. Zo niet, dan leidt het tot competentiestrijd en machtsspelletjes.

Zoals alle managementsystemen bevat ook ISO 31000 voor risk management een aantal valkuilen, zoals de inbedding van risk management, eilandvorming, de relatie met andere management systemen en het verschil tussen risico’s en gebeurtenissen die ‘erg’ zijn.

Risk management volgens ISO 31000 is vooral een kans om bestaande managementsystemen te integreren in de dagelijkse bedrijfsvoering. Houd de implementatie daarom simpel en praktisch.

ISO 31000 biedt een kader voor risk management. Dit artikel geeft van de belangrijkste begrippen een samenvatting en beschrijft op hoofdlijnen de principes, het kader of framework en de processen.

Vaak wordt de NEN 7510 norm opgevat als een absolute norm, die verplicht tot het invoeren van meer dan 100 maatregelen. De beschreven maatregelen zijn echter best practices op basis waarvan iedere zorginstelling zelf de eigen norm kan vaststellen. Er is dus niet sprake van een verplichting, maar het gaat om een keuze, waardoor awareness vaak geen issue meer is en er een pragmatische invoering mogelijk wordt. Niet de norm, de auditor of de informatiebeveiliger bepaalt, maar het management, zelfs al wordt de norm opgelegd.

Beschrijving hoe het opzetten van uw Business Continuity Plan pragmatisch teruggebracht kan worden tot een behapbaar probleem dat u zelf kunt oplossen

Bedrijven die informatiebeveiliging serieus nemen en maatregelen afgestemd willen hebben op hun beleidsuitgangspunten en hun risicoprofiel, kunnen ISO 27002 gebruiken om te komen tot een passend security management systeem, inclusief een natuurlijke verbetercyclus.