Bowtie-analyse met voorbeeld

Een bowtie-analyse is een risicomethode waarbij je één ongewenste gebeurtenis in het midden zet, links alle oorzaken en rechts alle gevolgen. Tussen oorzaak en gebeurtenis teken je de preventieve barrières, tussen gebeurtenis en gevolg de herstelbarrières. Het plaatje lijkt op een vlinderdas, vandaar de naam. Je ziet in één oogopslag welke maatregelen een ongeluk tegenhouden en welke de schade beperken.

De bowtie staat als techniek beschreven in IEC 31010:2019 en is uitgewerkt in het naslagwerk Bow Ties in Risk Management van CCPS en het Energy Institute. Binnen certificering gebruik je de bowtie vooral voor ernstige risico’s bij gevaren en risico’s in ISO 45001, bij VCA en de Veiligheidsladder, en steeds vaker voor scenario’s in de risicoanalyse voor ISO 27001.

Waar komt de bowtie-methode vandaan?

De vroegste bekende vermelding is cursusmateriaal van het Britse chemiebedrijf ICI uit 1979. Shell maakte de methode in de jaren negentig tot bedrijfsstandaard voor veiligheidsrisico’s, waarna andere sectoren volgden. Inmiddels wordt de bowtie gebruikt in de procesindustrie, luchtvaart, zorg, bouw en informatiebeveiliging.

De onderdelen van een bowtie

Een bowtie heeft zeven vaste onderdelen. Gebruik deze namen, dan begrijpt iedere auditor of veiligheidskundige je diagram.

Onderdeel	Betekenis	Voorbeeld (dakwerk)
Gevaar	Iets met potentieel om schade te doen	Werken op hoogte
Topgebeurtenis	Het moment dat je de controle verliest	Persoon valt van het dak
Oorzaken (bedreigingen)	Wat tot de topgebeurtenis kan leiden	Uitglijden, struikelen over materiaal, dakrand bezwijkt
Preventieve barrières	Maatregelen links: voorkomen dat het gebeurt	Randbeveiliging, valbeveiliging, LMRA
Gevolgen	Wat er na de topgebeurtenis kan gebeuren	Ernstig letsel, overlijden
Herstelbarrières	Maatregelen rechts: schade beperken	Valstop met harnas, BHV, reddingsplan
Escalatiefactoren	Wat een barrière kan laten falen	Haast, slecht weer, harnas niet gekeurd

Het verschil met een risicomatrix: de matrix geeft één score per risico. De bowtie laat zien welke maatregelen dat risico laag houden, en of je er niet te afhankelijk bent van één barrière.

Voorbeeld: bowtie-analyse voor vallen van hoogte

Een dakdekkersbedrijf met VCA en ISO 45001 maakt een bowtie voor zijn grootste risico. Zo ziet de vlinderdas eruit in tekst.


OORZAKEN              PREVENTIEF               TOP-           HERSTEL                GEVOLGEN
                                               GEBEURTENIS
Uitglijden op nat  -> antislip schoeisel,  ->              -> valstop met harnas  -> ernstig letsel
dak                   werk stoppen bij regen   Persoon         en ankerpunt
Struikelen over    -> opgeruimde werkplek,  -> valt van     -> reddingsplan en     -> blijvend letsel
materiaal             LMRA bij start            het dak        getrainde BHV'er
Dakrand bezwijkt   -> randbeveiliging      ->              -> snelle alarmering   -> overlijden
                      volgens plan                             112 met locatie

Het team werkt elke barrière uit in een tabel. Daarmee wordt de bowtie een werkdocument in plaats van een plaatje.

Barrière	Kant	Eigenaar	Hoe weet je dat hij werkt?	Escalatiefactor	Extra maatregel
Randbeveiliging	Preventief	Uitvoerder	Werkplekinspectie bij start	Tijdelijk weggehaald voor materiaal	Alleen weg met vergunning en harnas
LMRA bij start	Preventief	Elke monteur	Ingevulde LMRA in app	Haast, routine	Steekproef door uitvoerder
Valstop met harnas	Herstel	Monteur	Keuring harnassen jaarlijks	Harnas niet gedragen	Toolbox, sanctiebeleid
Reddingsplan	Herstel	Projectleider	Oefening per jaar	Niemand weet waar het plan ligt	Plan in de bus en in de app

De analyse laat een zwakke plek zien. Drie van de vier barrières hangen af van gedrag van de monteur. Daarom kiest het bedrijf extra voor technische maatregelen, zoals vaste randbeveiliging. Dat sluit aan op de arbeidshygiënische strategie uit de Arbowet en op de hiërarchie van beheersmaatregelen in ISO 45001.

Een barrière is pas een barrière als hij zelfstandig de keten kan stoppen. “Opleiding” en “procedure” zijn ondersteuning, geen barrière. Ze maken een echte barrière, zoals een harnas, betrouwbaarder.

Bowtie-analyse voor informatiebeveiliging

De bowtie werkt ook buiten veiligheid. Een SaaS-bedrijf met ISO 27001 maakt een bowtie voor de topgebeurtenis “aanvaller krijgt toegang tot klantdata”.

Kant	Onderdeel	Voorbeeld
Oorzaak	Gestolen wachtwoord	Phishingmail
Preventief	Barrière	Multifactorauthenticatie op alle accounts
Oorzaak	Onbekende kwetsbaarheid	Verouderde bibliotheek in de applicatie
Preventief	Barrière	Maandelijks patchen en kwetsbaarheidsscan
Herstel	Barrière	Logging met alarm bij afwijkend downloadgedrag
Herstel	Barrière	Incidentprocedure en datalekmelding binnen 72 uur
Gevolg	Schade	Datalek, boete, klantverlies

Zo zie je welke maatregelen uit Annex A bij elk scenario horen. Handig bij het onderbouwen van je verklaring van toepasselijkheid.

Stap voor stap een bowtie-analyse maken

Kies het gevaar en de topgebeurtenis

Neem een risico dat in je risicomatrix rood of oranje scoort. De topgebeurtenis is het moment van controleverlies, nog niet de schade.

Benoem oorzaken en gevolgen

Werk met mensen uit de praktijk. Vijf tot acht oorzaken en drie tot vijf gevolgen is meestal genoeg.

Zet de barrières erin

Eerst de maatregelen die er al zijn. Per barrière: wie is eigenaar en hoe controleer je dat hij werkt?

Zoek escalatiefactoren

Vraag per barrière: wanneer faalt hij? Bedenk daar een extra maatregel voor.

Gebruik de bowtie

Koppel barrières aan inspecties, toolboxen en audits. Pak de bowtie erbij na een incident: welke barrière faalde?

Bowtie na een incident

Na een ongeval of bijna-ongeval is de bowtie een sterk hulpmiddel bij het ongevalsonderzoek. Je kijkt welke barrières faalden en waarom. Voor het zoeken naar de diepere oorzaak per gefaalde barrière combineer je hem met een root cause analyse.

Veelgemaakte fouten bij een bowtie-analyse

De topgebeurtenis is al de schade. “Overlijden” is een gevolg. De topgebeurtenis is “persoon valt”.
Barrières die geen barrière zijn. “Bewustwording” stopt geen val.
Te veel in één bowtie. Eén topgebeurtenis per diagram. Maak er liever meer.
Geen eigenaar per barrière. Dan controleert niemand of hij nog werkt.

Meer lezen

Risicomatrix maken - eerst scoren, daarna de grootste risico’s uitwerken met een bowtie
Taak risico analyse (TRA) - risico’s per taak op de werkvloer
LMRA bij VCA - de laatste barrière vlak voor het werk