Werken als Risk Consultant

Wat doet een Risk Consultant?

Een Risk Consultant helpt een organisatie om haar risico's in beeld te krijgen en om te bepalen welke maatregelen het eerst nodig zijn. De consultant werkt als adviseur bij een afgebakende vraag. Dat verschilt van iemand die het risicobeheer van één organisatie doorlopend uitvoert, zoals de Risk Manager. Wat er in een opdracht precies gebeurt, verschilt per organisatie.

Een voorbeeld laat zien hoe een opdracht van begin tot eind loopt. Een middelgrote organisatie wil weten welke cyberrisico's ze loopt en wat ze eerst moet aanpakken. De consultant begint met de afbakening: welke systemen en processen horen erbij? Daarna volgen gesprekken met de IT-beheerders, de eigenaren van de bedrijfsprocessen en het management, en soms een workshop waarin iedereen samen naar de risico's kijkt.

De consultant beoordeelt de risico's, legt vast welke maatregelen er al zijn en schrijft een rapport met een plan van aanpak, in volgorde van belangrijkheid. Het eindgesprek met het management is het moment waarop het advies beslissingen oplevert. De beslissing ligt daarna bij de organisatie zelf.

Voor welke opdrachten word je ingezet?

Opdrachten verschillen van organisatie tot organisatie, en de vacature zegt welke focus er is. Een paar soorten opdrachten komen in het werk van een Risk Consultant terug:

• Een risicobeoordeling van systemen of processen. Je brengt in kaart welke risico's er zijn en hoe groot ze zijn. Zie de skillpagina voor risk assessment.
• Het opzetten van een risicomanagementproces of risicoregister. Dat kan op basis van ISO 31000, een norm met principes en richtlijnen voor risicomanagement. Die norm kan dienen als gedeeld vertrekpunt, zodat afdelingen met dezelfde termen over kans en gevolg praten.
• Een gap-analyse voor nieuwe regelgeving. Bij DORA zet je de eisen naast de bestaande contracten en afspraken. Bij NIS2 kunnen de maatregelen uit artikel 21 het uitgangspunt zijn. De uitleg van de wet staat in de pagina over DORA en de pagina over NIS2. De interpretatie ligt bij de klant en haar juristen.
• Een beoordeling van leveranciersrisico's. Je kijkt welke risico's leveranciers meebrengen en of de organisatie een overzicht van die leveranciers heeft.
• Een zelfbeoordeling of scenario-workshop. Afdelingen beoordelen zelf hun risico's en beheersmaatregelen, of ze bespreken aan de hand van scenario's wat er mis kan gaan.
• Het voorbereiden van een audit of certificering. Je helpt om vooraf te zien waar de organisatie nog niet aan de eisen voldoet.

Advies of toetsing: waar ligt de grens?

Adviseren betekent helpen verbeteren, risico's benoemen en opties geven. Toetsen betekent onafhankelijk beoordelen of iets werkt. De IIA beschrijft in haar Statement of Position over het Three Lines Model dat adviserend werk bestaat uit het helpen van het management bij het verbeteren van processen, het identificeren van risico's of het ontwerpen van oplossingen. Een adviseur hoort geen managementbeslissingen te nemen, en de rollen in een adviesopdracht moeten duidelijk zijn vastgelegd.

Volgens dezelfde tekst kan zekerheid niet geloofwaardig zijn als de beoordelaar het proces ontwerpt of uitvoert, of eigen eerdere beslissingen beoordeelt. Een consultant die een proces heeft ontworpen, kan daar dus niet zonder meer ook onafhankelijke zekerheid over geven. Organisaties maken hier afspraken over, en die afspraken bepalen mede welke opdrachten een consultant kan aannemen.

Welke taken horen bij de functie?

Het European Cybersecurity Skills Framework (ECSF) van ENISA, gepubliceerd op 19 september 2022, beschrijft twaalf typische rolprofielen voor cybersecurityprofessionals. Voor de Risk Consultant bestaat geen officiële rolbeschrijving, en de titel is geen eigen ECSF-profiel. Het profiel dat het dichtst in de buurt komt, is de Cybersecurity Risk Manager, met onder meer Cybersecurity Risk Assurance Consultant als alternatieve titel. De consultant voert dezelfde soort taken uit, maar dan voor opdrachtgevers. Het profiel gaat over cybersecurity. Risicoadvies kan breder zijn, bijvoorbeeld over uitbesteding of regelgeving.

Het profiel vraagt om de cybersecurityrisico's van de organisatie te beheren, in lijn met de strategie, en om de risicomanagementprocessen en rapporten te ontwikkelen, bij te houden en te communiceren. In gewone taal komt dat neer op de volgende taken:

• een aanpak voor risicobeheer ontwikkelen
• bijhouden welke middelen (assets) de organisatie heeft
• bedreigingen en kwetsbaarheden van ICT-systemen in kaart brengen en beoordelen
• risico's inschatten en passende maatregelen voorstellen
• volgen of de maatregelen werken en of het risiconiveau acceptabel blijft
• het geheel communiceren in rapporten

Het profiel noemt twee opleverproducten: een Cybersecurity Risk Assessment Report en een Cybersecurity Risk Remediation Action Plan. In de praktijk van een consultant komen die twee bij elkaar: een beoordeling en een plan van aanpak.

Welke skills heb je nodig?

De functie vraagt om technische kennis en om vaardigheden in gesprekken en rapportage. Bij elk punt hieronder hoort een voorbeeld uit het werk.

• Risicomethoden en -kaders kennen. Je past een methode toe, zoals die van ISO 31000 (zie de skillpagina voor ISO 31000), en legt uit waarom je die gebruikt.
• Risico's inschatten. Je bepaalt de kans en het gevolg van een risico op basis van wat je gezien hebt, en je noemt wat nog onzeker is.
• Data en bewijs lezen. Je controleert een opgave van de klant tegen de systemen en documenten die er zijn.
• Regelgeving begrijpen. Je zet de eisen van een wet of norm naast de situatie van de klant, en laat zien waar het verschil zit.
• Interviewen en workshops leiden. Je krijgt informatie van mensen die druk hebben en niet allemaal hetzelfde beeld hebben.
• Helder schrijven en presenteren. Je rapport is zo duidelijk dat het management er een besluit op kan nemen.
• Adviseren zonder te beslissen. Je geeft opties met voor- en nadelen en laat de keuze bij de mensen die verantwoordelijk zijn.
• Omgaan met tegenspraak. Als een afdeling een bevinding betwist, ga je het gesprek aan met bewijs in de hand.

Welke tools en technologie gebruikt een Risk Consultant?

Een risicoregister is een overzicht waarin risico's, beheersmaatregelen en acties zijn vastgelegd. Een GRC-systeem bewaart die gegevens in software. Een consultant kan met zo'n register werken, maar ook met een eenvoudig overzicht in een spreadsheet, zolang de werkwijze helder is.

Voor analyse en presentatie zijn Excel en Power BI voorbeelden van gereedschap. Een consultant werkt daarnaast met de methoden en sjablonen van het eigen team en vaak met de systemen van de klant. Welke tools een opdracht vraagt, zegt de vacature.

Welke opleiding en certificeringen passen bij een Risk Consultant?

Een hbo- of wo-opleiding in bedrijfskunde, informatica, accountancy, risicomanagement of een verwant vakgebied is een gangbare route. Geen certificering is verplicht.

Voor wie zich op IT-risico richt, past de CRISC-certificering (skillpagina). ISACA presenteert die als certificering voor professionals in IT-risicomanagement. De CISA-certificering (skillpagina), de CISM-certificering (skillpagina), de CISSP-certificering en de ISO 27001 Lead Auditor-opleiding passen bij sommige opdrachten. Welke past, hangt af van de focus: IT-risico, audit, security management of normen. Voor de verschillen tussen CISSP, CISM en CISA lees je de carrièregids over CISSP, CISM en CISA. Een certificering vervangt ervaring niet.

Hoe word je Risk Consultant?

Je kunt instromen via een traineeship of junior-functie bij een adviesorganisatie. Zij-instroom vanuit risk, audit, compliance of IT-beheer is ook mogelijk. Welke route het beste werkt, hangt af van je achtergrond en van wat er open staat.

Begin met de basis: leer risico's op dezelfde manier beschrijven en beoordelen, schrijf een voorbeeldrapport en oefen met interviewen en presenteren. Wat je aan een werkgever kunt laten zien, is een eigen risicobeoordeling van een casus, met een rapport en een plan van aanpak. Dat is geen garantie dat de route lukt, maar het laat zien wat je kunt.

Waar werk je als Risk Consultant?

Risk Consultants werken bij verschillende soorten organisaties. Bij sommige organisaties is dat een internationale adviesorganisatie met een afdeling voor risicoadvies, bij andere een gespecialiseerd risk- of cybersecuritybureau of een klein adviesbureau. IT-dienstverleners kunnen een adviesonderdeel hebben, en grote organisaties een intern adviesteam. Sommige consultants werken als zelfstandige per opdracht.

De klanten zitten in uiteenlopende sectoren. Op de sectorpagina's voor consultancy en data services en financiële dienstverlening zie je welke vacatures daar bij elkaar staan. Op de werkgeverspagina voor Risk Consultants zie je welke werkgevers zoeken.

Waar groei je naartoe?

Dit is een overzicht, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Senior Risk Consultant. Je neemt grotere opdrachten en hebt meer eigen klantcontact. Zie de vacatures voor Risk Consultants.
• Manager of Partner bij een adviesorganisatie. Bij sommige adviesorganisaties stuur je dan teams aan of draag je de verantwoordelijkheid voor klanten. De namen verschillen per organisatie.
• Risk Manager. Je gaat in dienst bij een organisatie en beheert het risicobeeld doorlopend. Zie de vacatures en de rolgids.
• GRC Consultant. Je adviseert breder over governance, risk en compliance. Zie de vacatures en de rolgids.
• IT Risk Manager. Je specialiseert je in IT-risico bij een klant. Zie de vacatures en de rolgids.
• Information Security Officer. Je beheert de security van een organisatie in plaats van erover te adviseren. Zie de vacatures en de rolgids.

Risk Consultant of Risk Manager?

Kies op basis van wat je wilt doen: houd je van afwisseling en van snel nieuwe organisaties leren, dan past consultancy. Wil je een organisatie van binnenuit leren kennen en die doorlopend sturen, dan past de rol van Risk Manager.

Vacatures en werkgevers

Op de vacaturepagina voor Risk Consultants zie je welke vacatures nu openstaan. Op de werkgeverspagina zie je welke werkgevers Risk Consultants zoeken.