Een kmo kan dit op de eenvoudigste en duurste manier merken: een opdracht loopt vertraging op, een bestelling loopt vast, een bestand verdwijnt, een controle wordt overgeslagen. Op dat moment is operationeel risicobeheer niet langer een concept uit een handboek, maar wordt het het verschil tussen een probleem dat wordt opgevangen en een probleem dat zich herhaalt. Daarom is het raadzaam om het te behandelen als een continu proces, en niet als een checklist die pas na een incident tevoorschijn wordt gehaald.
In de praktijk is het operationele risico het risico om geld, tijd of reputatie te verliezen als gevolg van processen, mensen, systemen of externe gebeurtenissen die niet naar behoren functioneren. De Italiaanse toezichthouders hebben al een gestructureerde aanpak vastgesteld, gebaseerd op interne en externe gegevens, scenario's en factoren met betrekking tot de operationele context en interne controles, volgens een kwantitatieve en preventieve benadering van de Banca d'Italia. Voor een kmo komt het er simpelweg op neer dat je moet weten waar het misgaat, hoeveel het je kost en hoe je dit vroegtijdig kunt opmerken.
Een fout in het magazijn die een verzending in de war stuurt, een storing in het bedrijfsbeheersysteem die de facturering blokkeert, ongeoorloofde toegang waardoor gevoelige gegevens worden blootgesteld. Dit is operationeel risicobeheer in zijn meest concrete vorm: in de gaten houden waar de bedrijfscontinuïteit in het gedrang kan komen en ingrijpen voordat de schade structureel wordt.
Voor een MKB-bedrijf zijn de belangrijkste oorzaken meteen herkenbaar. Mensen maken fouten, processen lopen vast, systemen vallen uit, de buitenwereld verandert de spelregels. Classificatie is juist nuttig omdat het voorkomt dat je alles een ‘algemeen probleem’ noemt en je dwingt om onderscheid te maken tussen een invoerfout, een gebrekkige procedure en een IT-storing.
De Banca d'Italia noemt in het AMA-kader vier essentiële componenten: interne verliesgegevens, externe verliesgegevens, scenarioanalyses en factoren met betrekking tot de operationele context en de interne controles van de Banca d'Italia. Voor een MKB-bedrijf betekent dit dat er een visie moet worden ontwikkeld die zich niet beperkt tot het verleden, maar ook kijkt naar wat er zou kunnen gebeuren en in hoeverre de interne controles daadwerkelijk standhouden.
Praktische regel: als een gebeurtenis zich kan herhalen zonder dat iemand dit tijdig opmerkt, is er al sprake van een slecht beheerd operationeel risico.
Deze aanpak werkt omdat hij de dagelijkse praktijk omzet in besluitvorming. Je hoeft niet te wachten op een groot verlies om te beseffen dat een procedure moet worden herzien; vaak volstaan kleine, terugkerende incidenten, ongebruikelijke vertragingen en afwijkingen in de processtromen. Operationeel risicobeheer is er juist op gericht om prioriteit te geven aan deze knelpunten, voordat ze de marge en het vertrouwen ondermijnen.
Een duidelijke classificatie voorkomt twee veelvoorkomende fouten: het onderschatten van ‘onschuldige’ risico’s omdat ze triviaal lijken, en het overschatten van de meer zichtbare risico’s, louter omdat ze veel ophef veroorzaken. In de bedrijfspraktijk blijft de meest bruikbare taxonomie die welke een onderscheid maakt tussen personen, processen, systemen en externe gebeurtenissen. Deze is eenvoudig genoeg om door een afdelingshoofd te worden gebruikt, maar degelijk genoeg om als basis te dienen voor een echte risicokaart.
Mensen vormen een risico wanneer ze over onvoldoende vaardigheden beschikken, wanneer rollen onduidelijk zijn of wanneer er ruimte ontstaat voor fraude en herhaalde fouten. In de detailhandel en bij e-commerce kan bijvoorbeeld een verkeerd ingevoerde handmatige transactie de voorraad, prijzen of retourzendingen beïnvloeden, en verspreidt de fout zich snel.
Processen worden kwetsbaar wanneer er sprake is van te langdurige procedures, overbodige goedkeuringen of niet-gedocumenteerde stappen. De Italiaanse richtlijnen inzake methoden voor de beoordeling van operationele risico’s spreken van een overgang van een eenvoudige boekhoudkundige benadering naar een meer analytische benadering, gebaseerd op controles, signalen en het in kaart brengen van zwakke punten (LIUC-documentatie). Voor een MKB-bedrijf betekent dit dat het proces zo moet worden ontworpen dat het herhaalbaar is, en niet alleen dat het „op papier klopt“.
De systemen omvatten software, infrastructuur en cyberbeveiliging. De FINMA benadrukt de noodzaak van een volledige inventarisatie van kritieke hardware en software, met een duidelijk omschreven risicotolerantie en aandacht voor beschikbaarheid, vertrouwelijkheid en integriteit volgens de FINMA. Voor een bedrijf vertaalt zich dit in een concrete vraag: welke bedrijfsmiddelen mogen niet eens een uur stilvallen?
Externe gebeurtenissen zijn onder meer storingen in de levering, wijzigingen in de regelgeving en logistieke onderbrekingen. In een e-commercebedrijf is één kritieke partner die vertraging oploopt of één wijziging in de betalingsstroom al voldoende om een risico te doen ontstaan dat niet binnen het bedrijf zelf ontstaat, maar onmiddellijk doorwerkt in de resultaten.
Een goede risicokaart hoeft niet mooi te zijn, maar moet wel nuttig zijn. Als een item niet duidelijk in een van de vier categorieën past, is het meestal geen nieuw risico, maar een slecht beschreven risico. Door hier orde op zaken te stellen, wordt al het andere eenvoudiger, van de beoordeling tot de monitoring.
In een MKB-bedrijf werkt risicobeoordeling het beste als deze concreet blijft. Men begint met eenvoudige instrumenten, verzamelt betrouwbare signalen en verdiept de analyse alleen voor risico’s die een reële impact hebben op de kosten, de bedrijfscontinuïteit of de reputatie. De waarschijnlijkheids- en impactmatrix is vaak de eerste stap, omdat deze het mogelijk maakt om snel beslissingen te nemen, zonder te hoeven wachten op een te omvangrijk systeem.
De kwalitatieve matrix dient om structuur aan te brengen in de beoordeling van het team. Er worden waarschijnlijkheid, impact en operationele prioriteit toegekend, zodat een onderscheid kan worden gemaakt tussen risico’s die onmiddellijke maatregelen vereisen en risico’s die onder observatie kunnen blijven.
Voor een MKB-bedrijf ligt het voordeel in de praktische bruikbaarheid. Een goed beschreven risico wordt onderdeel van het dagelijkse werk, terwijl een slecht beschreven risico een vaag idee blijft en niet helpt bij het bepalen waar tijd en budget in moeten worden geïnvesteerd.
In de Italiaanse documentatie over de Europese basismethode wordt een kapitaalvereiste genoemd van 15% van de relevante indicator van het Ministerie van Economie en Financiën. Voor een kmo gaat het er niet om die berekening klakkeloos over te nemen, maar om de onderliggende logica te begrijpen, een operationele blootstelling om te zetten in een vergelijkbare maatstaf en deze te gebruiken om samenhangende prioriteiten vast te stellen.
Een niet-gemeten risico is niet klein, maar slechts moeilijk waarneembaar.
Kwantitatieve analyse komt van pas wanneer het risico terugkerend of kostbaar is, of verband houdt met beslissingen die een nauwkeurigere schatting vereisen. In de Italiaanse vakliteratuur wordt beschreven hoe frequentie- en ernstverdelingen van verliezen worden opgesteld, die vervolgens worden gecombineerd tot een geaggregeerde verdeling, waarbij het 99,9e percentiel wordt berekend (proefschrift Univ. Ca' Foscari). In de praktijk dient dit om in te schatten hoeveel de slechtst denkbare bedrijfsdag kan kosten.
Het gemiddelde geeft het normale gedrag weer. Het percentiel toont het uiterste deel van de verdeling, dat niet dagelijks voorkomt maar wel zwaar weegt wanneer het zich voordoet. Voor een kmo is dit onderscheid nuttig wanneer het moet kiezen of het wil investeren in een extra controle, een back-up, een procesherziening of een automatiseringsoplossing.
Risicovoorspellingsmodellen bieden juist in deze fase uitkomst, omdat ze het eenvoudiger maken om in te schatten welke gebeurtenissen voortdurende aandacht verdienen en welke met standaardcontroles kunnen worden opgevangen. Hier biedt AI een concreet operationeel voordeel, omdat het grote hoeveelheden meldingen kan verwerken, terugkerende patronen kan signaleren en een regelmatiger monitoring kan ondersteunen zonder het team te belasten met repetitieve handmatige taken.
Voor een MKB-bedrijf gaat het erom de overstap te maken van een algemene indruk naar een inschatting die bruikbaar is voor besluitvorming. Wanneer de beoordeling duidelijk is, gaat het budget niet verloren, worden de controles gericht op de punten waar ze echt nodig zijn en is het beheer van operationele risico’s niet langer slechts theorie, maar wordt het een proces.
Een controlesysteem werkt wanneer iedereen weet waar hij op moet letten en wanneer hij moet ingrijpen. Uit de internationale richtlijnen van het Bazel-comité blijkt dat bij vrijwel alle banken interne controles en interne audits het belangrijkste instrument zijn om het operationele risico te beheersen (Bazel-comité). Voor een kmo betekent dit niet dat het de bank moet kopiëren, maar wel dat het een duidelijke en duurzame structuur moet invoeren.
De eerste lijn bestaat uit degenen die het werk uitvoeren: inkoop, verkoop, bedrijfsvoering en IT. De tweede lijn stelt regels, controles en prioriteiten vast, terwijl de derde lijn onafhankelijk controleert of het systeem daadwerkelijk functioneert. Als een van deze lijnen ontbreekt, wordt het risico onzichtbaar of onbeheerst.
Voor een doeltreffende identificatie is zowel kwalitatieve als kwantitatieve informatie nodig om de risicogebieden op het vlak van operationele risico’s, ICT en beveiliging in kaart te brengen, zoals Intesa Sanpaolo in haar documentatie over operationele risico’s aangeeft. Dit punt is van cruciaal belang, want controle berust niet alleen op beleid, maar ook op gegevens, audits en geregistreerde incidenten.
Elke gebeurtenis moet een duidelijk spoor achterlaten. Als een storing, fraude of afwijking niet in een incidentbeheerproces wordt opgenomen, raakt het management het overzicht kwijt en duiken de problemen onder een andere naam weer op.
Een nuttig rapport is niet lang, maar wel duidelijk. Het moet aangeven wat er is gebeurd, welke controle heeft gewerkt, welke niet en welke acties nog moeten worden ondernomen. Wanneer het rapport verwordt tot een decoratief archief, is het bestuur al zwakker dan het lijkt.
Praktische regel: de beste interne controle is die welke tot beslissingen leidt, niet tot documenten.
In een MKB-bedrijf kan deze structuur eenvoudig blijven. Het volstaat om de verantwoordelijkheden duidelijk af te bakenen, een consistent controletraject te hanteren en een escalatieprocedure in te voeren waarmee kritieke problemen zonder vertraging worden voorgelegd aan degenen die hierover kunnen beslissen.
De Key Risk Indicators( KRI’s) dienen om een verslechtering te signaleren voordat deze tot een incident leidt. Hun kracht ligt in het vermogen om operationele gebeurtenissen om te zetten in eenvoudig te interpreteren signalen, zodat het team het probleem niet pas ontdekt nadat de schade al is aangericht. De cultuur van voortdurende monitoring is al verankerd in de internationale praktijken en richtlijnen die worden genoemd in het kader van operationele risico’s van de BIS.
Een goede KRI meet niet alles, maar meet wel wat een storing aankondigt. In de productie kan dat het aantal ongeplande stilstanden zijn, in de verkoop het percentage geblokkeerde orders, en in de IT het aantal openstaande tickets boven de drempelwaarde of de toename van afwijkingen in de logbestanden.
Een handige regel is om slechts enkele indicatoren te selecteren die verband houden met een specifieke controle of een specifiek risico. Als een KRI nooit tot een besluit leidt, is het geen risico-indicator, maar gewoon een extra stukje informatie.
Om een overzichtelijke weergave te creëren, is het raadzaam om de alarmniveaus te onderscheiden. Groen voor een situatie die onder controle is, geel voor oplettendheid, rood voor onmiddellijke actie. Als je een praktisch overzicht nodig hebt over het gebruik van strategische dashboards, denk dan aan een scherm dat alleen trends, drempelwaarden en de vereiste actie weergeeft.
Het juiste dashboard is niet bedoeld om indruk te maken op het management, maar om zo snel mogelijk de juiste maatregelen te kunnen nemen.
Het cruciale punt is het verband tussen gegevens en verantwoordelijkheid. Een KRI zonder verantwoordelijke blijft slechts een getal, terwijl een KRI met een drempelwaarde en een verantwoordelijke een bestuursinstrument wordt.
In een MKB-bedrijf gaat het er niet om een risico eenmalig te signaleren, maar het te onderscheppen terwijl het zich ontwikkelt. Wanneer controles handmatig plaatsvinden, komt de monitoring vaak te laat, omdat zwakke signalen verloren gaan tussen e-mails, bestanden, tickets en afzonderlijke rapporten. AI zorgt ervoor dat het operationele risicobeheer continu verloopt, omdat het de gegevens automatisch, consistent en altijd up-to-date analyseert.
AI blinkt uitin het opsporen van afwijkingen, omdat het afwijkend gedrag herkent nog voordat dit zichtbaar wordt in de maandelijkse rapporten. Een transactiestroom die afwijkt van het normale patroon, een storing die zich herhaalt, een ticket dat op abnormale wijze toeneemt: dit zijn signalen die een platform kan opvangen zonder te wachten op de volgende controle.
Met voorspellende analyse beperkt het systeem zich niet tot het signaleren van het probleem, maar probeert het dit in te schatten voordat het zich voordoet. Dit is nuttig bij technische processen en bij stromen met een hoge frequentie, waarbij de vertraging bij het ingrijpen zwaarder weegt dan de oorspronkelijke fout. Voor wie workflows met AI moet optimaliseren, gaat het niet alleen om het automatiseren van een stap, maar om de controle te koppelen aan de operationele workflow die deze stap genereert.
De richtlijnen voor het voortdurende beheer van operationele risico’s benadrukken juist de noodzaak van monitoring en het bijwerken van risicoprofielen en kernindicatoren, maar in de praktijk hebben veel kleine en middelgrote ondernemingen moeite om deze principes om te zetten in een proces dat daadwerkelijk uitvoerbaar is. Hier vult AI de leemte op, omdat het de gegevens koppelt aan een waarschuwing en de waarschuwing aan actie.
Het praktische verschil komt tot uiting in repetitieve gevallen, die veel tijd in beslag nemen en waardoor de echt gevoelige controles buiten beschouwing blijven. Als het systeem een patroon herkent, kan het een waarschuwing genereren, deze aan de juiste verantwoordelijke toewijzen en de controle starten zonder te wachten op een handmatige handeling.
AI vervangt het oordeel van de manager niet. Het maakt hem sneller, beter geïnformeerd en minder afhankelijk van toeval. Voor een MKB-bedrijf betekent dit dat er minder tijd wordt besteed aan het opsporen van het probleem en meer tijd aan het oplossen ervan.
Een MKB-bedrijf kan een degelijk systeem opzetten zonder een enorm project te starten. Het gaat erom in fasen te werken, met duidelijke, controleerbare stappen die gekoppeld zijn aan een specifiek resultaat. In de praktijk moet het proces direct leiden tot een risicokaart, duidelijk omschreven verantwoordelijkheden en snellere beslissingen. Deze aanpak sluit aan bij de Italiaanse methodologieën die identificatie, beoordeling, controles, monitoring en een actieplan ( 4AIM) combineren.
Allereerst moet je begrijpen waar het risico werkelijk vandaan komt. Breng processen, mensen, systemen en externe afhankelijkheden in kaart, en breng vervolgens de punten in kaart waar een fout, een vertraging of een operationele storing onmiddellijke gevolgen zou hebben voor de dienstverlening of de kosten.
Verzamel nu de informatie die uit de dagelijkse bedrijfsvoering voortkomt. Incidenten, bijna-ongevallen, audits, klachten en operationele afwijkingen helpen om incidentele problemen te onderscheiden van terugkerende risico’s, die een permanente opvolging en een duidelijke verantwoordelijke vereisen.
Niet alle risico’s vereisen evenveel aandacht. Gebruik een waarschijnlijkheids- en impactmatrix om te onderscheiden wat aanvaardbaar is en wat onmiddellijk moet worden aangepakt, en rangschik de risico’s vervolgens op basis van de mogelijke schade en de frequentie waarmee het probleem zich kan herhalen.
Hier wordt duidelijk of het controlesysteem daadwerkelijk functioneert. Er wordt nagegaan of de controles aanwezig zijn, of ze werken zoals bedoeld en of ze het risico dekken dat ze zouden moeten beperken. Als er een controle ontbreekt, of als de controle wel bestaat maar niet goed wordt toegepast, moet de lacune worden vastgesteld en duidelijk worden toegewezen, zonder dat er onduidelijkheid ontstaat tussen de operationele afdeling en de controlefunctie.
De laatste fase is bedoeld om het proces op de lange termijn levend te houden. Bepaal de KRI’s, drempelwaarden, de frequentie van de evaluaties en de verantwoordelijkheden voor escalatie, en gebruik deze elementen vervolgens om een monitoringsysteem op te zetten dat niet beperkt blijft tot een eenmalige controle, maar de ontwikkeling van het restrisico op de voet volgt.
De logica achter het restrisico blijft eenvoudig. Het gaat niet alleen om het aanvankelijke risico, maar ook om wat er overblijft na het nemen van de beheersmaatregelen. Wanneer een risico te hoog blijft, heeft het geen zin om er eindeloos over te discussiëren; er moet een verantwoordelijkheid worden toegewezen en een deadline worden vastgesteld. Op die manier wordt het beheer van operationele risico’s een leercyclus, en geen bureaucratische exercitie.
Als een MKB-bedrijf een kwaliteitssprong wil maken, kan AI elke fase ondersteunen, van het verzamelen van gegevens tot het continu monitoren van waarschuwingen. Een goed geconfigureerd systeem kan terugkerende signalen herkennen, afwijkingen signaleren, dashboards bijwerken en operationele rapporten opstellen zonder dat dit handmatig werk vereist. Het voordeel is niet alleen snelheid, maar ook consistentie: het team ziet eerst de problemen die ertoe doen en kan doelgerichter ingrijpen.
.svg)
.svg)
.svg)
