Risicomatrix maken (kans × impact) met voorbeeld
Een risicomatrix is een tabel waarin je risico’s scoort op twee assen: de kans dat iets gebeurt en de impact als het gebeurt. Vermenigvuldig je die twee, dan krijg je een risicoscore. Die score bepaalt de kleur in de matrix en daarmee hoe snel je actie neemt.
De risicomatrix is de meest gebruikte methode voor de risicoanalyse die ISO-normen vragen in hoofdstuk 6. Je gebruikt hem bij risicomanagement voor ISO 9001, de risicoanalyse voor ISO 27001 en het beoordelen van gevaren en risico’s in ISO 45001. De techniek staat beschreven in IEC 31010:2019 als consequence/likelihood matrix, en sluit aan op de risicomanagementrichtlijn ISO 31000 . Hoe die niet-certificeerbare richtlijn je hele risicoproces ordent, lees je op ISO 31000 uitgelegd.
Is een risicomatrix verplicht voor ISO-certificering?
Nee. Geen enkele ISO-managementsysteemnorm schrijft een risicomatrix voor. De normen vragen dat je risico’s en kansen systematisch bepaalt en beoordeelt. Een matrix is de eenvoudigste manier om dat aantoonbaar te doen.
| Norm | Paragraaf | Wat de norm vraagt |
|---|---|---|
| ISO 9001 | 6.1 | Risico’s en kansen bepalen en maatregelen plannen |
| ISO 27001 | 6.1.2 | Criteria voor risicobeoordeling vastleggen, gevolgen en waarschijnlijkheid inschatten, herhaalbare resultaten |
| ISO 45001 | 6.1.2 | Gevaren identificeren en arbo-risico’s beoordelen |
| ISO 14001 | 6.1 | Risico’s en kansen rond milieuaspecten en wettelijke eisen |
ISO 27001 is het strengst: de auditor wil zien dat twee mensen met dezelfde criteria tot een vergelijkbare score komen. Daarvoor heb je vastgelegde schalen nodig, zoals hieronder.
Stap 1: schalen voor kans en impact vastleggen
Een matrix werkt alleen als iedereen hetzelfde verstaat onder “3” of “groot”. Leg daarom per score een beschrijving vast. Dit is een template voor een 5-puntsschaal die je kunt aanpassen.
| Score | Kans | Impact |
|---|---|---|
| 1 | Zeer klein: minder dan eens per 10 jaar | Verwaarloosbaar: geen merkbaar gevolg, schade onder € 1.000 |
| 2 | Klein: eens per 3 tot 10 jaar | Klein: één klant geraakt, herstel binnen een dag |
| 3 | Mogelijk: eens per 1 tot 3 jaar | Merkbaar: meerdere klanten, schade tot € 25.000 |
| 4 | Waarschijnlijk: jaarlijks of vaker | Groot: verlies van een belangrijke klant, meldplicht |
| 5 | Zeer waarschijnlijk: maandelijks of vaker | Zeer groot: letsel, boete, voortbestaan in gevaar |
De bedragen zijn een voorbeeld. Een bedrijf met € 2 miljoen omzet trekt de grenzen anders dan een bedrijf met € 200 miljoen. Bij ISO 45001 beschrijf je impact in letsel (EHBO, verzuim, blijvend letsel) in plaats van euro’s.
Stap 2: de 5x5-risicomatrix opstellen
Vermenigvuldig kans en impact. Zo ontstaat een matrix met scores van 1 tot 25. Spreek daarna af welke kleur bij welke score hoort, en wat elke kleur betekent.
| Kans ↓ / Impact → | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|
| 5 | 5 geel | 10 oranje | 15 rood | 20 rood | 25 rood |
| 4 | 4 groen | 8 geel | 12 oranje | 16 rood | 20 rood |
| 3 | 3 groen | 6 geel | 9 geel | 12 oranje | 15 rood |
| 2 | 2 groen | 4 groen | 6 geel | 8 geel | 10 oranje |
| 1 | 1 groen | 2 groen | 3 groen | 4 groen | 5 geel |
| Kleur | Score | Wat je doet |
|---|---|---|
| Groen | 1-4 | Accepteren, jaarlijks herbeoordelen |
| Geel | 5-9 | Maatregel overwegen, eigenaar benoemen |
| Oranje | 10-14 | Maatregel plannen binnen een kwartaal |
| Rood | 15-25 | Direct actie, directie informeren |
Deze grens tussen acceptabel en niet-acceptabel heet je risicoacceptatiecriterium. Bij ISO 27001 moet je die expliciet vastleggen en door de directie laten goedkeuren.
Voorbeeld: ingevulde risicomatrix van een IT-dienstverlener
Een IT-dienstverlener met 30 medewerkers bereidt ISO 9001 en ISO 27001 voor. Dit is een deel van het risicoregister, gescoord met de schalen hierboven.
| Risico | Kans | Impact | Score | Kleur | Maatregel | Score na maatregel |
|---|---|---|---|---|---|---|
| Ransomware via phishingmail | 3 | 5 | 15 | Rood | MFA overal, offline back-up, phishingtraining | 2 × 4 = 8 |
| Sleutelfiguur netwerkbeheer valt weg | 3 | 4 | 12 | Oranje | Kennis vastleggen, tweede collega inwerken | 3 × 2 = 6 |
| Leverancier hosting failliet | 1 | 4 | 4 | Groen | Accepteren, jaarlijks financiële check | 4 |
| Verkeerde configuratie bij klant door haast | 4 | 3 | 12 | Oranje | Vier-ogenprincipe bij wijzigingen | 2 × 3 = 6 |
| Laptop verloren in trein | 4 | 2 | 8 | Geel | Schijfversleuteling (al aanwezig), accepteren | 8 |
De kolom “score na maatregel” heet het restrisico. Een auditor wil zien dat het restrisico onder je acceptatiegrens valt, of dat de directie het hogere risico bewust heeft geaccepteerd.
Leg in je register ook kansen vast, niet alleen risico’s. ISO 9001 en ISO 45001 vragen expliciet om “risico’s en kansen”. Een kans kun je met dezelfde matrix scoren, maar dan op voordeel in plaats van schade.
Welke matrix kies je: 3x3, 4x4 of 5x5?
Een grotere matrix lijkt nauwkeuriger, maar maakt het scoren lastiger. Voor de meeste mkb-bedrijven werkt 5x5 goed.
| Matrix | Voordeel | Nadeel | Geschikt voor |
|---|---|---|---|
| 3x3 | Snel, weinig discussie | Te grof, veel risico’s in het midden | Klein bedrijf, eerste risicoanalyse |
| 4x4 | Geen middenscore, dwingt keuze | Minder gangbaar | Teams die steeds “3” kiezen |
| 5x5 | Gangbaar, goed te onderbouwen | Meer discussie per score | De meeste ISO-trajecten |
Voor arbo-risico’s in de RI&E zie je in Nederland ook de methode van Fine en Kinney. Die voegt een derde factor toe: hoe vaak mensen aan het gevaar blootstaan. De score is dan waarschijnlijkheid × blootstelling × effect. Meer over de RI&E lees je op het Arboportaal en op onze pagina RI&E en ISO 45001.
Stap voor stap een risicomatrix gebruiken
Leg schalen en acceptatiecriteria vast
Laat ze goedkeuren door de directie. Ze horen in je procedure voor risicomanagement.
Verzamel risico’s
Gebruik je contextanalyse, belanghebbenden, incidenten en audits. Werk met een klein team.
Scoor kans en impact
Scoor eerst zonder nieuwe maatregelen, wel met wat al aanwezig is. Noteer waarom je een score kiest.
Kies maatregelen
Begin bij rood en oranje. Leg eigenaar en datum vast.
Herbeoordeel
Minstens jaarlijks, en direct na een incident of grote verandering. Bespreek de uitkomst in de managementreview.
Veelgemaakte fouten met een risicomatrix
- Geen beschrijving per score. Dan scoort iedereen op gevoel en zijn de resultaten niet herhaalbaar.
- Alles is geel. Wie steeds een 3 kiest, krijgt een register zonder prioriteiten.
- Gelijke score, ander risico. Kans 5 × impact 1 en kans 1 × impact 5 geven allebei 5. Een ramp met kleine kans vraagt vaak meer aandacht. Bekijk risico’s met impact 5 daarom altijd apart.
- Matrix maken en wegleggen. De auditor vraagt welke maatregel uit het register is uitgevoerd en wat het effect was.
Wanneer is een risicomatrix niet genoeg?
Voor ernstige veiligheidsrisico’s wil je zien welke barrières een ramp voorkomen. Daarvoor gebruik je een bowtie-analyse. Voor product- en procesontwerp in de industrie of medische sector is een FMEA gangbaar. Voor werkzaamheden op locatie in de bouw maak je per taak een taak risico analyse (TRA).