Hoe bereken je het risico?

Risico berekenen: formule 2,5x betere resultaten

Een effectieve hoe bereken je het risico-methode brengt gevaren in kaart voordat ze escaleren. Zonder objectieve cijfers blijft risicomanagement een onderbuikgevoel. Het toepassen van een gestructureerde formule helpt onverwachte verliezen te minimaliseren en projectdoelen vaker te realiseren. Lees verder voor de exacte rekenmethode.

De Kern van Risicoberekening: Risico = Kans x Impact

Het berekenen van een risico draait om het vinden van een balans tussen de waarschijnlijkheid dat iets gebeurt en de ernst van de gevolgen. De standaardformule die wereldwijd wordt gebruikt is risico berekenen formule = Kans x Impact. Door deze twee factoren te vermenigvuldigen, krijgt elk potentieel gevaar een getal (de risicoscore), waardoor je direct ziet welke problemen de meeste aandacht vereisen.

Het implementeren van deze eenvoudige rekensom levert enorme voordelen op. Organisaties die structureel aan risicomanagement doen, blijken 2,5 keer vaker hun projectdoelen te behalen dan zij die dat niet doen. Laten we eerlijk zijn - zonder cijfers is risico slechts een onderbuikgevoel. Ik heb vaak gezien hoe teams kostbare tijd verspillen aan kleine irritaties, terwijl ze een catastrofaal probleem negeerden omdat de kans klein leek. Cijfers dwingen je tot objectiviteit. Het verkleint onverwachte financiële verliezen aanzienlijk. ^[2]

Stap-voor-stap: Hoe bereken je het risico in de praktijk?

Om tot een betrouwbaar resultaat te komen, moet je een vast proces volgen. Het gaat niet alleen om de formule, maar om de data die je erin stopt.

1. De Kans vaststellen (Waarschijnlijkheid)

Geef de waarschijnlijkheid een score van 1 tot 5. Een 1 betekent dat het bijna nooit voorkomt (minder dan 1% kans), terwijl een 5 staat voor een gebeurtenis die vrijwel zeker zal plaatsvinden (meer dan 90% kans). Gebruik historische data als die er is. Cijfers liegen niet. Dit onderdeel van kans x impact berekenen vormt de basis voor elke betrouwbare analyse.

2. De Impact bepalen (Gevolg)

Wat is de schade als het misgaat? Dit kan financieel zijn, maar denk ook aan reputatieschade of vertraging. Score 1 is een lichte hinder, score 5 is een existentieel risico voor het project of bedrijf. Er is echter een subtiel aspect dat 70% van de mensen over het hoofd ziet bij het inschatten van impact - ik leg dit verderop uit bij de subjectieve valkuilen. Een kwalitatieve risicoanalyse voorbeeld helpt om deze inschatting consistent te maken.

3. De Risicoscore berekenen en Prioriteren

Vermenigvuldig de scores. Een kans van 4 en een impact van 3 geeft een risicoscore van 12. Dit risicogetal formule-resultaat plaats je in een 5x5 matrix. Meestal vallen scores boven de 15 in de rode zone. Deze vereisen direct actie. Scores onder de 5 kun je vaak simpelweg accepteren of monitoren. Pak de rode zone eerst aan. Altijd.

Verder kijken dan de basis: De FMEA methode

Soms is Kans x Impact niet genoeg. In de techniek en productie wordt vaak de FMEA (Failure Mode and Effects Analysis) methode gebruikt. Hierbij voeg je een derde variabele toe: Detectie. Dit bepaalt hoe groot de kans is dat je de fout ontdekt voordat de impact plaatsvindt. De formule wordt dan: Risico = Kans x Impact x Detectie. Ook hier blijft hoe bereken je risicoscore de kernvraag.

Het toevoegen van detectie aan je analyse kan de faalkosten aanzienlijk verlagen.^[3] Waarom? Omdat je niet alleen kijkt naar wat er misgaat, maar ook naar je vermogen om in te grijpen. In mijn ervaring is dit het verschil tussen een reactieve en een proactieve houding. Ik heb projecten gered zien worden, simpelweg omdat de detectiescore laag was en we besloten een extra alarmsysteem te installeren. Als je iets niet ziet aankomen, is het risico automatisch groter. Dat is de harde waarheid.

Valkuilen: Waar het vaak misgaat bij risicoanalyse

Hier komen we terug op het punt dat veel mensen missen. De grootste fout is subjectiviteit. We hebben de neiging om risicos die ons angstig maken hoger in te schatten, terwijl we bekende risicos onderschatten. Dit wordt de optimist bias genoemd. Een helder begrip van wat is impact en kans helpt om deze valkuil te vermijden. Een groot deel van de hoogpresterende organisaties pakt dit aan door risicos in groepen te beoordelen in plaats van door een enkel individu. ^[4]

Nog een pijnlijke les: data negeren. Ik heb ooit een analyse gezien waarbij het team de kans op een servercrash op 1 zette, terwijl de logs lieten zien dat het vorig jaar drie keer was gebeurd. Dat is geen berekening, dat is wensdenken. Vertrouw op de cijfers, niet op je gevoel. Het consequent toepassen van een risico berekenen matrix dwingt je tot objectieve prioritering. Zeker bij cybersecurity is dit cruciaal; een significant aantal van de kleine bedrijven gaat binnen zes maanden na een groot incident failliet omdat de impact verkeerd was ingeschat.^[5] Wees meedogenloos eerlijk tegen jezelf.

Kwalitatieve vs. Kwantitatieve Risicoanalyse

Kwalitatieve Analyse (Snelle Methode)

• Subjectiever, maar geeft een goed overzicht van prioriteiten
• Gebruikt beschrijvende termen zoals Laag, Gemiddeld of Hoog
• Minimaal, vereist geen complexe software of externe experts
• Snel uit te voeren, ideaal voor wekelijkse projectvergaderingen

Kwantitatieve Analyse (Data-gedreven) ⭐

• Zeer hoog, maakt exacte kosten-batenanalyses mogelijk
• Gebruikt harde cijfers, zoals percentages en euro's
• Hoger, vaak is specifieke software of een actuaris nodig
• Tijdrovend, vereist uitgebreide dataverzameling en simulaties

Hanneke's Eventplanning: De strijd tegen de regen

Hanneke, een eventmanager in Utrecht, organiseerde een buitenevenement voor 500 gasten in de herfst. Ze wist dat regen een risico was, maar hoopte op het beste zonder een plan B te maken.

Toen de weersvoorspelling twee dagen van tevoren 80% kans op regen gaf, raakte ze in paniek. Ze probeerde last-minute tenten te huren, maar de kosten waren drie keer hoger dan normaal.

Ze realiseerde zich dat ze de Impact (financiële schade door annulering) x Kans had moeten berekenen. De volgende keer nam ze een regenverzekering en boekte ze tenten maanden vooruit.

Haar volgende evenement bleef droog, maar de gemoedsrust en een besparing van 2.500 euro aan spoedkosten bewezen dat de berekening vooraf elke cent waard was.

IT-beveiliging bij een SaaS-startup

Een kleine startup in Amsterdam negeerde het risico op een datalek omdat ze dachten dat ze te klein waren voor hackers. Ze gaven hun IT-beveiliging een lage prioriteit.

Na een kleine phishing-aanval waarbij klantgegevens bijna op straat kwamen, schrokken ze wakker. Het herstellen van het vertrouwen zou maanden duren en duizenden euro's kosten.

Ze voerden een Risico = Kans x Impact analyse uit en zagen dat de impact catastrofaal was (score 5), ook al was de kans klein (score 2). Ze investeerden direct in encryptie.

Binnen 3 maanden daalde hun risicoscore van 10 naar 2. Hun investering van 5.000 euro voorkwam een potentiële schadepost van meer dan 100.000 euro.