Werken als Risk Manager

Wat doet een Risk Manager?

Een Risk Manager beheert het proces waarmee een organisatie haar risico's in beeld brengt, beoordeelt en laat behandelen, afgestemd op de strategie. Het risico zelf is niet van de Risk Manager. Dat blijft bij de mensen die het werk doen en bij het management. De Risk Manager bewaakt het proces, adviseert en zorgt dat risico's zichtbaar worden. Het vakgebied heet risicomanagement.

De titel Risk Manager heeft geen vaste inhoud. Bij sommige organisaties gaat het over operationele risico's, zoals processen, mensen en systemen. Bij andere over financiële risico's, zoals krediet- of marktrisico, bij weer andere over cyber- en informatierisico's. Deze gids gaat uit van de brede, organisatiebrede kant en van het cyberdeel. Bedoel je de financiële modelkant, lees dan de vacature. Zoek je werk met deze titel, kijk dan bij de vacatures voor Risk Manager.

Een werkweek ziet er per organisatie anders uit. Bij sommige organisaties begeleidt de Risk Manager een risicosessie met een afdeling, houdt het risicoregister bij, schrijft een rapportage voor het management en adviseert over een nieuw project. Neem een organisatie die een nieuwe leverancier wil kiezen voor een kernproces. De Risk Manager vraagt wat er gebeurt als die leverancier uitvalt, welke gegevens daar terechtkomen en of er een alternatief is. Samen met de eigenaar van het proces maakt hij of zij een korte risicobeoordeling en stelt behandelopties voor, zoals afspraken in het contract, een tweede leverancier of extra controle. Het management besluit. Daarna volgt de Risk Manager of de maatregelen er komen.

De rol is geen auditor, want die kijkt onafhankelijk achteraf mee. De Risk Manager voert de maatregelen ook niet zelf uit: dat doet de eerste lijn.

Hoe loopt een risico door het risicoproces?

De internationale norm ISO 31000 geeft principes en richtlijnen voor het beheersen van risico's en kan volgens ISO door elke organisatie worden gebruikt, ongeacht omvang, activiteit of sector. De norm schetst een aanpak voor het identificeren, analyseren, evalueren, behandelen, monitoren en communiceren van risico's. ISO schrijft dat het good practice richtlijnen biedt, maar geen certificeerbare norm is.

Zo loopt het leveranciersvoorbeeld door die stappen:

1. Identificeren. Wat kan misgaan als de leverancier uitvalt of gegevens lekt?
2. Analyseren. Hoe waarschijnlijk is dat, en wat zijn de gevolgen voor het proces?
3. Evalueren. Is dit acceptabel, of vraagt het om actie?
4. Behandelen. Vermijden, verminderen, delen of accepteren. Bij de leverancier kan dat een contractafspraak, een tweede leverancier of extra controle zijn.
5. Monitoren. Werkt de maatregel, en verandert het risico?
6. Communiceren. Wie moet dit weten, en wie besluit?

Hoe je kans en impact inschat, hoort bij de risicobeoordeling. Bij sommige organisaties gebeurt dat met een risicoregister en een schaal voor kans en impact, bij andere met scenario's. Dat is een werkwijze, geen vaste rekenregel.

Het restrisico is wat overblijft nadat de maatregelen zijn genomen. Dat accepteert niet de Risk Manager, maar de eigenaar of het management. Het proces is bovendien geen eenmalig traject maar een cyclus: het European Cybersecurity Skills Framework spreekt van de volledige risicomanagementcyclus.

Waar zit de Risk Manager in de organisatie?

Organisaties die werken volgens het Three Lines Model verdelen het risicowerk over drie lijnen. De eerste lijn is de dagelijkse eigenaar van het risico. Het management ontwerpt en voert de processen en beheersmaatregelen uit. De tweede lijn geeft deskundige ondersteuning, advies, challenge en monitoring. Daar horen rollen als de Risk Manager en de Compliance Officer. De derde lijn is de interne audit, die onafhankelijke assurance geeft over governance, risicomanagement en beheersing. Het Three Lines Model Statement of Position van The IIA uit 2026 beschrijft dit.

Volgens hetzelfde statement past niet één structuur bij elke organisatie. De behoefte aan aparte rollen hangt af van de aard en omvang van de risico's, en een persoon kan een rol vervullen die meer dan één lijn raakt. Daarom kunnen kleine organisaties rollen combineren. De raad of het bestuur bepaalt het doel en de risicobereidheid van de organisatie.

Wil je zien waar de grenzen liggen, lees dan de rolgids van de Compliance Officer en die van de IT-auditor.

Welke taken horen bij de functie?

De taken lopen van strategie tot rapportage. In gewone taal gaat het om het volgende:

• een raamwerk of risicostrategie opstellen en bijhouden;
• risico's met collega's in kaart brengen en beoordelen;
• behandelopties voorstellen en vastleggen in het register;
• de werking van maatregelen volgen en nagaan of het risico verandert;
• rapporteren aan het management;
• risicobewustzijn bevorderen, zodat collega's risico's zelf signaleren.

In het cyberdeel komt daar technisch werk bij. Het European Cybersecurity Skills Framework van ENISA (september 2022) beschrijft het profiel Cybersecurity Risk Manager, met onder meer Information Security Risk Analyst en Cyber Risk Manager als alternatieve titels. De missie is de cyberrisico's van ICT-infrastructuren, systemen en diensten continu te beheren en te zorgen dat ze op een acceptabel niveau blijven. Hoofdtaken zijn onder meer een inventaris van de bedrijfsmiddelen bijhouden en bedreigingen en kwetsbaarheden van ICT-systemen beoordelen. Het profiel noemt twee opleveringen: een Cybersecurity Risk Assessment Report en een Cybersecurity Risk Remediation Action Plan.

Welke skills heb je nodig?

De functie vraagt om technische kennis en om vaardigheden in communicatie en besluitvorming.

Technisch gaat het om risicobeoordeling en scenario's, bijvoorbeeld een scenario waarin een leverancier uitvalt. Daarbij hoort kennis van normen en kaders, zoals ISO 31000 of de NIST-publicaties, en inzicht in processen en systemen, zodat je ziet waar een risico ontstaat. Je werkt met data en rapportages. In het cyberdeel komt kennis van dreigingen, kwetsbaarheden en beheersmaatregelen erbij, en het testen en evalueren van de effectiviteit van maatregelen.

Niet-technische skills zijn de andere helft van het werk. Je stelt goede vragen aan een afdeling die haast heeft en schrijft een risico zo op dat een bestuurder het in één keer begrijpt. Je durft te zeggen dat een risico niet acceptabel lijkt, ook als de planning dat niet prettig vindt. Bij weerstand blijf je rustig en help je mensen eigenaar te worden van hun risico's. Het ENISA-profiel noemt dat het in staat stellen van eigenaren, bestuurders en andere belanghebbenden om risicogeïnformeerde beslissingen te nemen.

Welke kaders en hulpmiddelen gebruikt een Risk Manager?

Kaders zijn gereedschap en geen verplichting. ISO 31000 kan dienen als gedeelde taal voor risicomanagement. Het is een richtlijn en geen certificaat. Vacatures die de norm noemen, staan op de skillpagina voor ISO 31000.

Voor het cyberdeel zijn er ook NIST-publicaties. NIST SP 800-39 geeft richtlijnen voor het beheersen van informatiebeveiligingsrisico's op organisatieniveau, als aanvulling op bestaand risicomanagement. NIST SP 800-30 Rev. 1 geeft richtlijnen voor het uitvoeren van risicobeoordelingen. Andere kaders om te kennen zijn het NIST Cybersecurity Framework en ISO 22301 voor bedrijfscontinuïteit.

Als hulpmiddelen gebruik je een risicoregister, in een spreadsheet of in een GRC-platform, risicosessies, scenario's en rapportages. Welk kader een werkgever gebruikt, staat in de vacature. Wie één kader kent, kan een tweede sneller oppakken, omdat de vragen hetzelfde blijven.

Welke opleiding en certificeringen passen bij een Risk Manager?

Een hbo- of wo-opleiding in bedrijfskunde, econometrie, ICT, bestuurskunde of een vakrichting is een gangbare route. Mensen komen ook uit audit, compliance, projectmanagement of IT-beheer. Voor het cyberdeel passen certificeringen als CRISC, dat zich richt op risico en beheersing, en CISM, dat zich richt op security management. CISA past bij audit en CISSP bij security in brede zin. Vacatures die een van deze certificeringen noemen, vind je via de skillpagina's CRISC, CISM, CISA en CISSP.

ISO 31000 zelf is niet certificeerbaar. Een certificering vervangt ervaring niet, en werkgevers stellen eigen eisen. Voor financieel risico bestaan eigen opleidingen die deze gids niet behandelt.

Hoe word je Risk Manager?

De instroom loopt via een analistenfunctie, zoals een Operational Risk Analyst. Je kunt ook instromen via audit of compliance, via projectmanagement, of via IT-beheer of security als je het cyberdeel in wilt. Lees de rolgids van de Operational Risk Analyst voor het beginpunt.

Eerste stappen die je zelf kunt zetten: stel een risicoregister op voor een kleine casus, bijvoorbeeld een afdeling of een project. Schrijf één risico op in drie zinnen: wat kan er misgaan, wat is het gevolg en wat doe je eraan. Bereid een risicosessie voor en bedenk welke vragen je aan de eigenaar van het proces stelt.

Met zulk werk laat je zien wat je kunt: een geordende risicobeschrijving, een onderbouwde afweging en een rapport dat iemand zonder toelichting begrijpt. Het zijn geen garanties op een baan. Het is wel materiaal dat je in een sollicitatiegesprek kunt tonen.

Waar werk je als Risk Manager?

Veel soorten organisaties hebben een Risk Manager, onder meer banken, verzekeraars en pensioenfondsen, energie- en infrastructuurbedrijven, overheden, zorginstellingen, industriebedrijven en consultancybedrijven. Bekijk per sector de vacatures in financiële dienstverlening, de vacatures in verzekeringen en pensioenen, de vacatures in energie en infrastructuur of de vacatures bij de rijksoverheid. Voor werkgevers die deze rol zoeken is er de werkgeverspagina voor Risk Managers.

Risk Manager of Compliance Officer?

De twee rollen zitten dicht bij elkaar, maar het werk is anders.

De IT-auditor is een derde optie. Die werkt onafhankelijk en achteraf. In de praktijk vervaagt de grens tussen Risk Manager en Compliance Officer, zeker bij kleine teams die rollen combineren. Zie de gids van de Compliance Officer voor het andere perspectief.

Doorgroei hangt af van de organisatie en van wat je laat zien. Het volgende is een overzicht, geen belofte:

• Senior Risk Manager: de grotere of ingewikkelder risico's.
• Hoofd risicomanagement: het team en de aanpak. Bij sommige organisaties heet deze leidinggevende rol Chief Risk Officer.
• IT Risk Manager: de ICT-kant (vacatures, rolgids).
• Third Party Risk Manager: leveranciers en ketenpartijen (vacatures, rolgids).
• Risk Consultant: adviseren bij meerdere klanten (vacatures, rolgids).
• Information Security Officer: de security-kant (vacatures, rolgids).

Vacatures en werkgevers

Op de vacaturepagina voor Risk Managers zie je welke functies open staan. Werkgevers die deze rol zoeken, vind je op de werkgeverspagina voor Risk Managers.