Tijdens een periodiek overleg komt een bekend risico opnieuw ter sprake. Een belangrijke medewerker bezit kennis die nauwelijks is overgedragen. Iedereen begrijpt wat er kan gebeuren als die persoon onverwacht uitvalt. Het risico staat al maanden als hoog in het overzicht.
Er staat ook een voorgenomen maatregel bij: kennis beter documenteren.
Toch verandert er weinig. Er is geen tijd gereserveerd, niemand heeft bepaald welke kennis als eerste moet worden overgedragen en er is geen moment afgesproken waarop wordt beoordeeld of de afhankelijkheid werkelijk kleiner is geworden.
Het risico is zichtbaar. De organisatie blijft er even kwetsbaar voor.
Een maatregel is nog geen actie
Zoals we in Waarom risico-overzichten rust geven, maar niets sturen beschreven, kan een actueel overzicht rust geven zonder richting te geven. Weten welke risico’s bestaan is noodzakelijk, maar verandert de werkelijkheid nog niet.
Datzelfde geldt voor het benoemen van een maatregel.
Formuleringen als ‘proces verbeteren’, ‘leverancier aanspreken’ of ‘medewerkers bewuster maken’ klinken logisch. Ze beschrijven niet wat er concreet moet gebeuren. Er ontbreekt een uitvoerbare stap, een beoogd resultaat of een moment waarop wordt beoordeeld of de aanpak heeft gewerkt.
De maatregel blijft daardoor een intentie. Het overzicht is bijgewerkt, maar het risico is niet kleiner geworden.
Waarom intenties blijven liggen
Een risico aanpakken vraagt om tijd, aandacht en soms geld. Daardoor concurreert iedere maatregel met de dagelijkse praktijk.
Algemene formuleringen zijn dan aantrekkelijk. Iedereen kan ermee instemmen, zonder dat duidelijk wordt welke capaciteit nodig is of welk ander werk minder prioriteit krijgt.
Ook het aanwijzen van een verantwoordelijke is niet voldoende. Iemand kan een naam bij de actie krijgen zonder de tijd, bevoegdheid of middelen om haar uit te voeren. De naam in het overzicht verandert dan, maar de situatie niet.
Een actie is pas uitvoerbaar wanneer degene die haar draagt ook daadwerkelijk kan handelen.
Wanneer een actie betekenis krijgt
Niet ieder risico hoeft te worden verminderd. Een organisatie kan een risico verminderen, vermijden, delen of bewust accepteren. Soms is eerst aanvullend onderzoek nodig voordat daarover verantwoord kan worden besloten.
Bij kennisafhankelijkheid is ‘kennis documenteren’ bijvoorbeeld te algemeen. Een uitvoerbare actie maakt duidelijk welke kritieke werkzaamheden overdraagbaar moeten worden, wie dat organiseert en wanneer wordt beoordeeld of een collega ze zelfstandig kan uitvoeren.
Later moet ook te begrijpen zijn waarom juist deze aanpak passend werd gevonden. Dat is belangrijk wanneer omstandigheden veranderen of het risico onvoldoende blijkt afgenomen.
Afronden is niet hetzelfde als effect bereiken
Acties worden vaak als afgerond beschouwd zodra de afgesproken activiteit is uitgevoerd. Het document is geschreven, het gesprek met de leverancier heeft plaatsgevonden of de training is gegeven.
Dat zegt nog niet dat het risico is veranderd.
Een kennisdocument kan bestaan zonder dat iemand ermee kan werken. Een leverancier kan zijn aangesproken zonder dat afspraken zijn verbeterd. Medewerkers kunnen een training hebben gevolgd zonder dat hun handelen verandert.
Daarom hoort bij een betekenisvolle actie ook een terugblik. Niet om uitgebreide rapportages te maken, maar om één vraag te beantwoorden: heeft deze actie het risico daadwerkelijk beïnvloed?
Zonder die vraag lijkt de actie afgerond, terwijl de kwetsbaarheid mogelijk onveranderd is.
Structuur verbindt risico en resultaat
Goede structuur maakt de samenhang zichtbaar tussen het risico, de gekozen aanpak, de uitvoering en het bereikte effect. Daarvoor moet duidelijk blijven:
- wat de organisatie wil bereiken;
- wie de actie kan uitvoeren;
- wanneer wordt beoordeeld of het risico is veranderd;
- waarom de gekozen aanpak passend is.
Dat hoeft geen zwaar proces te worden. Een korte en consistente vastlegging is vaak voldoende. Een centraal hulpmiddel kan helpen om die lijn vast te houden, maar neemt de afweging niet over.
Van signaleren naar sturen
Een risico wordt pas stuurinformatie wanneer het invloed heeft op wat een organisatie doet of bewust accepteert.
De relevante vraag is daarom niet alleen welke risico’s bekend zijn. Belangrijker is welke besluiten, acties en resultaten uit dat inzicht zijn voortgekomen.
Wanneer daarop geen helder antwoord bestaat, ontbreekt waarschijnlijk niet nog een analyse. Dan ontbreekt de verbinding tussen signaleren en handelen.
Zolang die verbinding ontbreekt, blijft het risico een beschrijving van wat ooit mis kan gaan. Pas wanneer inzicht zichtbaar doorwerkt in keuzes en resultaten, helpt risicobeheer om werkelijk richting te geven.