Werken als Operational Risk Analyst

Wat doet een Operational Risk Analyst?

Een Operational Risk Analyst zoekt uit wat er mis kan gaan en of de beheersing daarvan werkt. Dat werk hoort bij het vakgebied risicomanagement. Er is geen officiële rolbeschrijving voor deze functie, en ook het Europese vaardighedenraamwerk ECSF van ENISA kent geen profiel voor operationeel risico. Deze pagina steunt daarom op het Basel-kader en vakduiding, en elke werkgever vult de functie op eigen wijze in. De kern: gebeurtenissen vastleggen, oorzaken zoeken en nagaan wat er moet verbeteren.

Neem een incident in een betalingsproces. Een batch is niet doorgelopen, en klanten zien hun betaling een dag later. De analist legt de gebeurtenis vast: wat er gebeurde, wanneer, in welk proces en wat het gevolg was. Daarna spreekt de analist met de procesverantwoordelijke en de IT-beheerder en zoekt de oorzaak. Was een controle niet uitgevoerd? Bestond hij niet? Was hij te zwak opgezet? Het antwoord bepaalt welke beheersmaatregel faalde.

Daaruit volgt een voorstel, bijvoorbeeld een aanvullende controle of een alarm. De analist volgt of de actie wordt uitgevoerd en kijkt of een vergelijkbare batch in een ander proces hetzelfde zwakke punt heeft. De gebeurtenis gaat in de gebeurtenissendataset van de organisatie en kan later een rol spelen in een scenario-analyse.

Een tweede voorbeeld is het werkoverleg voor een zelfbeoordeling. De analist zit met een procesverantwoordelijke en een paar medewerkers aan tafel, tekent het proces uit en vraagt bij elke stap wat er mis kan gaan, welke controle dat opvangt en hoe zeker men is dat die controle werkt. Blijkt een controle handmatig te zijn en van één persoon af te hangen, dan legt de analist vast dat het restrisico hoger ligt dan de procesverantwoordelijke dacht. Daarna bespreekt de analist wat er kan veranderen.

Het werk bestaat uit bewijs zoeken en vastleggen, minder uit meningen. Een goed rapport zegt wat is gezien, welke bron dat laat zien, wat de analist daarvan vindt en wat er moet gebeuren.

Wat is operationeel risico?

Operationeel risico is het risico op verlies door ontoereikende of falende processen, mensen en systemen, of door externe gebeurtenissen. De kapitaalverordening voor banken (de CRR, zoals gewijzigd bij Verordening (EU) 2024/1623) gebruikt die omschrijving, en het Basel-kader van het Bazelcomité ook. Juridisch risico, modelrisico en ICT-risico horen erbij. Strategisch risico en reputatierisico horen er niet bij.

Per bron van verlies een voorbeeld. Een proces faalt als een betaalbatch niet wordt gecontroleerd. Een mens maakt een fout, bijvoorbeeld een verkeerd ingevoerde betaling. Een systeem valt uit, bijvoorbeeld een koppeling die stilligt. Een externe gebeurtenis ligt buiten de organisatie, zoals een storing bij een leverancier.

Modelrisico is het terrein van de rolgids Model Risk Analyst. Voor ICT-risico is de rolgids IT Risk Manager een logisch vervolg.

Hoe past de functie in het Three Lines Model?

Het Three Lines Model verdeelt het beheer van risico over drie lijnen. De eerste lijn zijn de bedrijfsonderdelen. Ze identificeren en beoordelen hun eigen operationele risico's, richten beheersmaatregelen in en rapporteren over het risicoprofiel en de restrisico's. De tweede lijn is een onafhankelijke risicofunctie die een eigen beeld vormt en de eerste lijn ondersteunt en challenget. De derde lijn is onafhankelijke toetsing, en internal audit voert die uit.

Het Basel-kader verwacht dat een bank het model toepast op alle onderdelen van operationeel risico, ook ICT-risico. Het Institute of Internal Auditors (IIA) publiceerde op 8 juli 2026 een nieuwe Statement of Position over het model, die het eerdere positiepaper vervangt. Volgens de IIA gelden de principes voor alle organisaties. Het gaat om rollen, niet om afdelingen, en organisaties richten ze verschillend in. Rollen kunnen in de praktijk overlappen, en dat vraagt om duidelijke verantwoordelijkheden en waarborgen voor objectiviteit.

De Operational Risk Analyst zit vaak in de tweede lijn. Bij sommige organisaties zit een analist in de eerste lijn, in een bedrijfsonderdeel; de vacature maakt duidelijk welke het is. Bij kleine banken kan onafhankelijkheid worden bereikt met functiescheiding en onafhankelijke toetsing. Bij grotere banken heeft de functie een rapportagelijn die los staat van de bedrijfsonderdelen die het risico veroorzaken. Een andere tweedelijnsrol is de Compliance Officer. Een IT Auditor past in de derde lijn.

Welke taken horen bij de functie?

Het Basel-kader noemt een aantal instrumenten om operationeel risico te vinden en te beoordelen. In het werk van de analist zijn dat de kern.

1. Gebeurtenissen vastleggen en analyseren. Je legt een incident vast, zoekt de oorzaak en kijkt welke beheersing tekortschoot, zodat het niet opnieuw gebeurt. De gebeurtenissendataset bevat interne verliezen, bijna-incidenten (near misses) en waar mogelijk externe gegevens, ingedeeld volgens één taxonomie die in de hele organisatie geldt.
2. Zelfbeoordelingen begeleiden. Je helpt bedrijfsonderdelen het inherente risico, de effectiviteit van de beheersing en het restrisico te beoordelen. Procesmapping helpt om zwakke plekken te vinden, en het risicoregister verzamelt de uitkomsten.
3. Beheersmaatregelen toetsen. Met een raamwerk voor beheersingsmonitoring toets je de belangrijkste maatregelen op een vaste manier.
4. Indicatoren volgen. Indicatoren zijn soms simpel, zoals het aantal gebeurtenissen. Gevolgd in de tijd tegen afgesproken drempels geven ze vroege signalen.
5. Scenario-analyses voorbereiden. Een scenario-analyse onderzoekt ook gebeurtenissen met een lage kans en een hoge impact. Dat gebeurt meestal in workshops met experts uit onder meer management, compliance, HR en IT-risicomanagement. Omdat het proces subjectief is, zijn goed bestuur en onafhankelijke toetsing belangrijk.
6. Interne gegevens vergelijken. Met benchmarking zet je de frequentie en omvang van interne verliezen naast de zelfbeoordelingen, om te zien of die zelfbeoordelingen kloppen.

In de tweede lijn geef je een onafhankelijk beeld van de risico's, challenget je de bedrijfsonderdelen en onderhoud je beleid en richtlijnen. Je werkt samen met collega's die andere risico's beheren, zodat er geen hiaten ontstaan.

Operationeel risico overlapt met bedrijfscontinuïteit: wat gebeurt er als een proces stilvalt? Die vraag zie je ook terug bij de Business Continuity Manager en op de skillpagina bedrijfscontinuïteit.

Welke skills heb je nodig?

De functie vraagt om technische vaardigheden en om vaardigheden in de omgang met mensen. Hieronder staat bij elke skill een voorbeeld uit het werk.

• Processen en beheersmaatregelen analyseren. Je tekent de stappen van een proces uit en ziet waar een controle ontbreekt.
• Data lezen van gebeurtenissen en indicatoren. Je telt incidenten per proces en ziet welke terugkeren.
• Een risicoregister bijhouden. Elke verbeteractie koppel je aan een risico en een eigenaar.
• Vragen stellen aan procesverantwoordelijken zonder de relatie te beschadigen. Je vraagt naar het bewijs van een controle in plaats van te suggereren dat die er niet is.
• Onderbouwd tegenspraak bieden. Je neemt een lage risicoscore niet over zonder onderbouwing.
• Helder rapporteren aan het management. Je schrijft wat je zag, welke bron dat laat zien, wat je ervan vindt en wat er moet gebeuren.

Meer over risicobeoordeling staat op de skillpagina risico-analyse.

Welke tools en technologie gebruikt een Operational Risk Analyst?

Een risicoregister of GRC-systeem is een systeem waarin een organisatie risico's, beheersmaatregelen, gebeurtenissen en acties vastlegt en volgt. Zo staan die gegevens op één plek en is zichtbaar welke actie bij welk risico hoort. Gebeurtenissen en indicatoren komen uit de systemen van de organisatie. Je filtert en vergelijkt ze, en daarna zet je ze in een overzicht voor het management.

Voorbeelden van gereedschap voor analyse en dashboards zijn Excel, SQL en Power BI. Excel en SQL gebruik je om gegevens te analyseren, Power BI om de uitkomst te tonen. Welke systemen een werkgever gebruikt, staat meestal in de vacature.

Welke opleiding en certificeringen passen bij een Operational Risk Analyst?

Een hbo- of wo-opleiding in bedrijfskunde, financiële economie, risicomanagement, informatica of een verwante richting is een gangbare route. Er is geen certificering die voor deze functie verplicht is. Wie zich op IT-risico richt, kan kijken naar de CRISC-certificering en de skillpagina CRISC. ISACA presenteert de CRISC als certificering voor professionals in IT-risicomanagement. Wie naar de auditkant kijkt, leest het artikel over de CISA-certificering.

Een certificering vervangt geen ervaring. Of een werkgever er waarde aan hecht, verschilt per werkgever.

Hoe word je Operational Risk Analyst?

Je kunt direct na je opleiding instromen bij een bank of verzekeraar. Zij-instroom komt ook voor, bijvoorbeeld vanuit audit, compliance, procesbeheer of operations. Een adviesorganisatie kan eveneens een route zijn.

Begin met het verschil tussen risico en beheersmaatregel. Het risico is wat er mis kan gaan, de beheersmaatregel is wat dat moet tegenhouden. Oefen daarna met het beschrijven van een proces en wat er daarin mis kan gaan. Leer tot slot data analyseren, met Excel of SQL.

Wat je kunt laten zien is een analyse van een incident, met de oorzaak en een voorstel voor verbetering. Daaraan is te zien hoe je een probleem aanpakt.

Waar werk je als Operational Risk Analyst?

Operational Risk Analysts werken bij banken, verzekeraars en pensioenuitvoerders, bij adviesorganisaties en bij andere organisaties met een risicofunctie. Zie de sectorpagina's voor financiële dienstverlening en verzekeringen en pensioenen. Het Basel-kader is het kader voor banken.

DNB vraagt jaarlijks bij verzekeraars naar hun operationele risico's, met onder meer informatiebeveiliging en cyberweerbaarheid. In het eerste kwartaal van 2025 is die uitvraag gedaan, over het jaar 2024. Op 4 december 2025 schreef DNB dat vooral kleine en middelgrote verzekeraars hun operationele risico's nog beter aantoonbaar moeten beheersen (zie het bericht van DNB). Werkgevers die deze functie zoeken, staan op de werkgeverspagina.

Waar groei je naartoe?

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt van de organisatie af.

• Senior Operational Risk Analyst. Je doet complexere analyses en draagt meer eigen verantwoordelijkheid. Zie de vacatures voor Operational Risk Analysts.
• Risk Manager. Je bewaakt risico's over meer soorten en rapporteert daarover aan het management. Zie de vacatures en de rolgids.
• IT Risk Manager. Je specialiseert je in IT-risico. Zie de vacatures en de rolgids.
• Model Risk Analyst. Je specialiseert je in de risico's van modellen. Zie de vacatures en de rolgids.
• Third Party Risk Manager. Je specialiseert je in de risico's van leveranciers en uitbesteding. Zie de vacatures en de rolgids.

Operational Risk Analyst of IT Risk Manager?

Het werk overlapt, en welke titel een werkgever gebruikt verschilt. Deze tabel zet de twee naast elkaar.

Houd je van brede procesanalyse, dan ligt operationeel risico voor de hand. Trekt techniek je meer, kijk dan naar de rolgids IT Risk Manager.

Vacatures en werkgevers

Op de vacaturepagina voor Operational Risk Analysts zie je welke vacatures open staan. Op de werkgeverspagina zie je welke organisaties de functie zoeken. Titels verschillen per werkgever, dus lees ook de omschrijving.