Normwijzer.nlHulp bij certificering in Nederland

Hulp nodig bij jouw certificering?

Wij helpen je verder. Vertel wat je nodig hebt en wij brengen je in contact met tot 3 specialisten.

Waar kunnen we je mee helpen?
Skip to Content
KennisbankISO 31000 risicomanagement

ISO 31000: de richtlijn voor risicomanagement

ISO 31000 is de internationale richtlijn voor risicomanagement. De norm beschrijft principes, een kader en een proces waarmee elke organisatie risico’s kan herkennen, beoordelen en beheersen. De actuele versie is ISO 31000:2018 , met als titel “Risk management - Guidelines”.

ISO 31000 is niet certificeerbaar. Het is een richtlijn met aanbevelingen, geen lijst met eisen waar een auditor op kan toetsen. Toch gebruik je hem veel: als onderbouwing voor de risicoparagraaf in normen die wel certificeerbaar zijn, zoals risicomanagement bij ISO 9001 en de risicoanalyse voor ISO 27001. In Nederland geeft NEN  de norm uit.

ISO 31000 definieert risico als “het effect van onzekerheid op doelstellingen”. Een risico kan dus negatief én positief uitpakken. Dat is ruimer dan het dagelijkse “wat kan er misgaan”.

Kun je gecertificeerd worden voor ISO 31000?

Nee, een organisatie kan geen ISO 31000-certificaat halen. De richtlijn gebruikt het woord “zou moeten” en niet “moet”. Er is dus niets om tegen te auditen. Een certificerende instelling die een ISO 31000-certificaat voor je bedrijf aanbiedt, levert geen geaccrediteerd certificaat. Hoe je dat controleert, staat op certificaat controleren.

Wel bestaan er persoonscertificaten. Opleiders bieden trainingen met examen aan, zoals ISO 31000 Risk Manager. Dat zegt iets over de kennis van een medewerker, niet over je organisatie.

VraagAntwoord
Is ISO 31000 een eisennorm?Nee, een richtlijn
Kan je organisatie gecertificeerd worden?Nee
Bestaat er een persoonscertificaat?Ja, via opleiders
Is ISO 31000 verplicht?Nee, nergens wettelijk verplicht
Waarom dan gebruiken?Als bewezen aanpak voor de risico-eisen in andere normen

Hoe zit ISO 31000 in elkaar?

ISO 31000 heeft drie bouwstenen. De principes zeggen waarom, het kader zegt hoe je het organiseert, het proces zegt wat je doet.

BouwsteenHoofdstukInhoud
Principes4Acht kenmerken van goed risicomanagement, zoals geïntegreerd, gestructureerd, op maat en continu verbeterend
Kader5Leiderschap en betrokkenheid in het midden, met integreren, ontwerpen, invoeren, evalueren en verbeteren eromheen
Proces6Communiceren, context bepalen, risico’s beoordelen en behandelen, monitoren en rapporteren

Het kader lijkt op de PDCA-cyclus: ontwerpen, invoeren, evalueren en verbeteren. Daardoor past ISO 31000 goed bij elk managementsysteem met de High Level Structure.

Het risicoproces van ISO 31000 stap voor stap

Hoofdstuk 6 is het deel dat je in de praktijk het meest gebruikt. Het proces ziet er zo uit.

Communicatie en raadpleging

Betrek de mensen die het risico kennen of er last van hebben. Dit loopt door alle andere stappen heen.

Toepassingsgebied, context en criteria

Bepaal waarover de analyse gaat en wanneer een risico acceptabel is. Die grens heet in de praktijk vaak de risicobereidheid.

Risico’s identificeren

Zoek wat er kan gebeuren, waardoor en met welk gevolg voor je doelen.

Risico’s analyseren

Bepaal kans en gevolg, bijvoorbeeld met een risicomatrix.

Risico’s evalueren

Vergelijk de uitkomst met je criteria. Welke risico’s vragen actie, welke accepteer je?

Risico’s behandelen

Kies een maatregel: vermijden, verkleinen, delen (bijvoorbeeld verzekeren of uitbesteden) of bewust accepteren.

Monitoren en beoordelen

Controleer of maatregelen werken en of er nieuwe risico’s zijn.

Vastleggen en rapporteren

Leg uitkomsten vast en bespreek ze, bijvoorbeeld in de managementreview.

Voorbeeld: ISO 31000 toepassen in een klein installatiebedrijf

Een installatiebedrijf met 25 medewerkers wil voor ISO 9001 een risico-analyse maken die verder gaat dan een losse lijst. Het gebruikt het ISO 31000-proces als opbouw voor zijn risicoregister.

StapUitwerking
ContextDoel: projecten op tijd en binnen budget opleveren. Scope: alle installatieprojecten
CriteriaScore boven 12 op een 5x5-matrix vraagt een maatregel binnen een maand
RisicoLeverancier van warmtepompen kan niet op tijd leveren
OorzaakEén leverancier, lange levertijden in de markt
AnalyseKans 4, gevolg 4, score 16
EvaluatieBoven de grens, dus behandelen
BehandelingTweede leverancier kwalificeren en levertijd in offertes opnemen
MonitoringElk kwartaal levertijden per leverancier bekijken
RapportageIn de jaarlijkse managementreview

Het verschil met een losse risicolijst: de criteria staan vooraf vast. Het bedrijf discussieert dus niet meer per risico of het “erg genoeg” is.

Hoe gebruik je ISO 31000 naast certificeerbare normen?

ISO 31000 vervangt geen enkele eis. Je gebruikt hem om de risico-eisen van andere normen goed in te vullen.

NormParagraafHoe ISO 31000 helpt
ISO 90016.1Structuur voor risico’s en kansen, zonder dat de norm een methode voorschrijft
ISO 270016.1.2 en 6.1.3Basis voor de risicobeoordeling; de hulprichtlijn ISO 27005 bouwt op ISO 31000 voort
ISO 450016.1.2Risicoproces naast de gevaren en risico’s voor ISO 45001
ISO 223018.2Risicobeoordeling naast de business impact analyse
ISO 134857.1Voor productrisico’s geldt de eigen norm ISO 14971, met een vergelijkbare logica

Voor de technieken zelf, zoals een bowtie-analyse of een FMEA, verwijst ISO 31000 naar de begeleidende norm IEC 31010.

Veelgemaakte fouten bij het gebruik van ISO 31000

  • Zeggen dat je ISO 31000-gecertificeerd bent. Dat kan niet. Zeg dat je risicomanagement is ingericht volgens ISO 31000.
  • Alleen de matrix gebruiken. Zonder vooraf vastgestelde criteria wordt elke score een discussie.
  • Kansen vergeten. ISO 31000 kijkt naar onzekerheid in beide richtingen.
  • Een los risicoproject. Het eerste principe is dat risicomanagement is geïntegreerd in je gewone werk, niet in een apart document.
  • Te veel theorie voor een klein bedrijf. Gebruik het proces als kapstok, niet als verplichte rapportstructuur.

Meer lezen

Risicomatrix makenBowtie-analyse