ISO 31000 en het Three Lines Model: risico's beheersen en verdelen

Wat is ISO 31000?

ISO 31000 is een internationale norm met principes en richtlijnen voor risicomanagement. ISO beschrijft de norm als een aanpak voor het identificeren, analyseren, evalueren, behandelen, monitoren en communiceren van risico's binnen een organisatie. De huidige uitgave is ISO 31000:2018, de tweede editie, gepubliceerd in februari 2018. De norm is ontwikkeld door de technische commissie ISO/TC 262 (Risk management) en telt 16 pagina's.

Volgens ISO kan elke organisatie de norm gebruiken, ongeacht omvang, activiteit of sector. Ze geeft een gemeenschappelijke aanpak voor elk type risico, is niet specifiek voor een branche en kan worden toegepast op elke activiteit, inclusief besluitvorming op alle niveaus.

Bij de publicatie van de uitgave van 2018 schreef ISO dat risico sindsdien wordt gedefinieerd als het "effect van onzekerheid op doelstellingen". ISO omschrijft de norm als een combinatie van principes, een kader (framework) en een proces, en noemt als voordelen richtlijnen om risicomanagement in te voeren, hulpmiddelen om het op de organisatie af te stemmen en criteria om het te monitoren, beoordelen en te verbeteren.

ISO 31000 zegt niet welke risico's je moet beheersen. Het zegt hoe je risicomanagement inricht en in de organisatie verankert. Daardoor ligt de norm naast vakspecifieke kaders, zoals die voor informatiebeveiliging.

Hoe ziet het risicoproces van ISO 31000 eruit?

Het risicoproces van ISO 31000 bestaat uit zes werkwoorden: identificeren, analyseren, evalueren, behandelen, monitoren en communiceren. Het is geen checklist die je één keer afvinkt. In de uitgave van 2018 legde ISO meer nadruk op het iteratieve karakter van risicomanagement.

Een voorbeeld maakt het concreet. Een organisatie wil een applicatie naar de cloud verhuizen, en de risicobeoordeling van die verhuizing loopt zo:

• Identificeren. Welke gegevens staan in de applicatie, wie krijgt toegang, en welke uitval of lekken zijn denkbaar?
• Analyseren. Hoe groot is de kans, en wat is de impact als de gegevens onbeschikbaar of openbaar worden?
• Evalueren. Past dat binnen wat de organisatie bereid is te dragen, of is een maatregel nodig?
• Behandelen. Bijvoorbeeld extra toegangsbeheer, versleuteling of een andere leverancier, of het risico bewust accepteren.
• Monitoren. Loopt het risico op of af na de verhuizing, en werken de maatregelen?
• Communiceren. De uitkomst en de beslissing gaan naar de eigenaar van de applicatie, het management en zo nodig het bestuur.

Het proces begint opnieuw zodra er iets verandert, bijvoorbeeld een nieuwe leverancier. Het hoort bij besluitvorming, strategie en planning, niet alleen bij een losse risicolijst. ISO 31000:2018 legt de nadruk op het leiderschap van het hoogste management, dat risicomanagement in alle activiteiten moet verankeren, te beginnen bij de governance. Volgens de voorzitter van ISO/TC 262 moeten het kader en het proces ook worden geïntegreerd met managementsystemen, onder meer voor strategie en planning, IT, corporate governance, compliance en beveiliging.

Is ISO 31000 te certificeren en wat is de stand van de norm?

Nee, ISO 31000 is een richtlijn en kan niet voor certificering worden gebruikt. Je kunt je risicomanagement wel vergelijken met de norm, en de norm biedt houvast voor interne of externe auditprogramma's. ISO noemt de norm daarmee een internationaal erkende maatstaf om je praktijk tegen af te zetten.

De stand van de norm op 5 november 2026 staat op de ISO-pagina van ISO 31000. ISO 31000:2018 is voor het laatst beoordeeld en bevestigd in 2023, en blijft daarmee geldig. De status is "International Standard to be revised". De norm wordt vervangen door ISO/DIS 31000, de derde editie. Dat ontwerp (Draft International Standard) is in de enquêtefase bij de ISO-leden, en ISO noemt de status "Under development".

Volgens de site van ISO op 5 november 2026 kost de norm CHF 135 als PDF of ePub. ISO verkoopt de norm in het Engels, Frans, Spaans en Arabisch.

Wat is het Three Lines Model?

Het Three Lines Model is een model van The Institute of Internal Auditors (IIA). Het beschrijft hoe rollen in een organisatie samenwerken om governance, risicomanagement, compliance en beheersing te ondersteunen. Het is een bijgewerkte versie van de Three Lines of Defense. De IIA publiceerde het op 8 september 2020 als positiepaper, en die positiepaper is inmiddels vervangen (zie hieronder). Wat governance, risk en compliance in de praktijk samen betekenen, lees je in wat GRC is.

Management in de eerste lijn bezit en beheert risico's en is verantwoordelijk voor het ontwerp en de werking van processen en beheersmaatregelen. Rollen in de tweede lijn zorgen voor specialistische kennis, ondersteuning, monitoring en uitdaging om risicomanagement, compliance en beheersing te versterken. De interne auditfunctie in de derde lijn geeft onafhankelijke en objectieve assurance en geeft daarnaast advies, zonder managementverantwoordelijkheid te nemen. Boven de drie lijnen houdt het bestuur (de board) toezicht.

De IIA noemt vijf principes. In eigen woorden:

• Het bestuur bepaalt het doel, de risicobereidheid en de verwachtingen, en houdt toezicht op de strategische doelen.
• Goed toezicht vraagt betrouwbare, evenwichtige informatie over prestaties, risico's en beheersing.
• Bestuur en hoger management leggen verantwoordelijkheid vast door rollen en taken te definiëren.
• Afzonderlijke bronnen van assurance, waaronder een onafhankelijke, geven het bestuur vertrouwen dat governance, risicomanagement, compliance en beheersing werken zoals bedoeld.
• Advies vult assurance aan met inzichten, perspectieven en opties.

Risicobereidheid (risk appetite) is in de IIA-woordenlijst de soort en hoeveelheid risico die een organisatie bereid is te accepteren om haar strategie en doelen te halen, vastgesteld door het bestuur.

Assurance helpt bevestigen of governance, risicomanagement, compliance en beheersing toereikend en effectief zijn. Advies helpt nieuwe vraagstukken, verbeterpunten en kansen te signaleren. Beide worden in alle drie de lijnen geleverd, maar de aard en de diepte verschillen per lijn. De IIA-tekst over het model beschrijft dit verder.

Het model is geen organogram. Het beschrijft rollen en relaties en schrijft geen organisatiestructuur voor. Hoeveel aparte eerste-, tweede- en derdelijnsrollen een organisatie nodig heeft, hangt volgens de IIA grotendeels af van de aard en omvang van de risico's, en regelgeving kan die behoefte begrenzen. Het Three Lines Model is geen wet. Het is een model van een beroepsvereniging voor internal auditors.

Wat doet elke lijn in security, risk en compliance?

De indeling hieronder is een duiding, geen vaste structuur. Per lijn zie je wat de IIA beschrijft en hoe dat in security, risk en compliance kan uitpakken.

Eerste lijn. Een productowner en een IT-beheerteam bezitten het risico van een cloudapplicatie, voeren de maatregelen uit en volgen of die werken. Een SOC, een security engineer of een IAM-engineer voert beheersmaatregelen uit en werkt daarmee vaak in of dicht bij de eerste lijn.

Tweede lijn. Een information security officer, een risk manager en een compliance officer stellen beleid en methode vast, adviseren, toetsen de analyse en dagen de eerste lijn uit. Een compliance officer werkt vaak als onderdeel van de tweede lijn.

Derde lijn. Interne audit beoordeelt later of het geheel van risicomanagement, beleid en controles werkt zoals bedoeld, en meldt dat aan het bestuur of de auditcommissie.

Wie een maatregel ontwerpt en bedient, is niet de beste persoon om te beoordelen of die goed werkt. De IIA noemt dat een risico op zelfbeoordeling. Daarom hebben een tweede lijn die zelf maatregelen uitvoert, en een interne audit die beleid schrijft, extra waarborgen nodig.

Onafhankelijk betekent in het model onder meer wie aan wie rapporteert, wie bepaalt wat er wordt onderzocht, de toegang tot informatie, de middelen en de bescherming tegen vergelding. Het betekent niet dat de lijnen niet met elkaar praten. Volgens de IIA is een periode van ten minste 12 maanden tussen de verantwoordelijkheid voor een proces of besluit en het geven van assurance daarover doorgaans voldoende om de objectiviteit van de beoordelaar te beschermen.

Wat is er nieuw in de versie van 2026?

Het Three Lines Model verscheen in 2020 als positiepaper, en die staat op de site van de IIA als vervangen. Op 8 juli 2026 publiceerde de IIA een Statement of Position over het model, die de vorige positiepaper vervangt. IIA Nederland meldde dat bericht op 15 juli 2026. De IIA-pagina met Statements of Position noemt deze versie actueel. Artikelen die nog naar de versie van 2020 verwijzen, kunnen daarom achterhaald zijn.

Volgens de IIA blijft de kernstructuur van het model ongewijzigd, als principe-gebaseerd kader. De herziening verduidelijkt hoe assurance en advies in de drie lijnen samen bijdragen aan governance, risicomanagement, compliance en beheersing. Het document richt zich primair op bestuurders, hoger management en chief audit executives.

De IIA benadrukt in de versie van 2026 de volgende punten:

• onafhankelijkheid als continuüm;
• samenwerking tussen de lijnen en het steunen op elkaars werk (coördinatie en reliance);
• praktijkrichtlijnen voor organisaties die geen aparte assurancefuncties hoeven te hebben.

De IIA noemt geïntegreerde assurance een meer volwassen vorm van coördinatie. Hulpmiddelen daarvoor zijn onder meer een assurance map en gedeelde risicotaxonomieën. Een assurance map is volgens de IIA een document op hoofdlijnen dat laat zien welke aanbieders welke risico's afdekken, zodat hiaten en overlap zichtbaar worden.

Rollen kunnen in de praktijk overlappen. Voert de interne auditfunctie zelf tweedelijnsactiviteiten uit, dan ontstaat volgens de IIA direct een risico op zelfbeoordeling. Daarvoor zijn waarborgen nodig, zoals een onderbouwde reden, openheid richting het bestuur en een andere onafhankelijke partij die assurance geeft. In sterk gereguleerde omgevingen kan regelgeving zulke constructies zelfs verbieden.

Hoe werken ISO 31000 en het Three Lines Model samen?

ISO 31000 beantwoordt de vraag hoe risico's worden beheerst. Het Three Lines Model beantwoordt wie wat doet en wie onafhankelijk toetst. De twee vullen elkaar daardoor aan: het ene beschrijft een proces, het andere een verdeling van rollen. De precieze invulling hangt af van de organisatie.

Neem een risicobeoordeling van een nieuwe dienst. Die wordt volgens het proces uit ISO 31000 uitgevoerd en bezeten door de eerste lijn, door de tweede lijn getoetst en uitgedaagd, en door de derde lijn beoordeeld op werking. Bij jouw werkgever kan de verdeling anders zijn.

De IIA schrijft dat uitbesteden de rol van een activiteit in het model niet verandert. Ook de verantwoordelijkheid van het bestuur blijft: het bestuur moet zorgen dat de activiteit effectief, waar nodig onafhankelijk en goed aangestuurd is.

Voor informatiebeveiliging kun je het risicoproces invullen met vakspecifieke kaders. ISO 27001 is een norm voor een managementsysteem voor informatiebeveiliging waarvoor organisaties zich kunnen certificeren. Vacatures waarin die norm wordt genoemd, vind je bij de ISO 27001-skill. Het NIST Cybersecurity Framework ordent cybersecurityactiviteiten. ISO 31000 beschrijft hoe je met risico's omgaat in het algemeen, ook buiten IT, en wie een risicoanalyse voor informatiebeveiliging doet, volgt vaak in grote lijnen dezelfde stappen.

Wetten als de Cyberbeveiligingswet vragen maatregelen op basis van een risicoanalyse en bestuurlijke betrokkenheid. Lees daarover in het artikel over NIS2 en de Cyberbeveiligingswet. Dat is een inhoudelijke aansluiting: risicogebaseerd werken en toezicht door het bestuur komen in beide terug.

Welke functies werken met ISO 31000 en het Three Lines Model?

Hieronder staat per functie waar die in het model vaak zit en waarmee ze werkt. Dezelfde functietitel kan bij verschillende organisaties in verschillende lijnen vallen.

Risk manager en IT-risk manager. Ze richten het risicoproces in en bewaken het, vaak in de tweede lijn, en rapporteren aan management en bestuur. Zie de vacatures voor risk managers en IT-risk managers, en de rolgids voor de risk manager. Op de werkgeverspagina zie je welke werkgevers deze functie hebben.

Information security officer en CISO. Ze vertalen het risicoproces naar informatiebeveiliging, kiezen maatregelen en rapporteren over risico's. Waar de functie in de lijnen valt, verschilt per organisatie: een CISO hoort afhankelijk van de organisatie bij de eerste of de tweede lijn, of combineert beide taken. Lees het verschil in de kennisbank, en bekijk de vacatures voor information security officers en CISO's.

Compliance officer. Ze houdt toezicht op de naleving van wetten en afspraken en adviseert de eerste lijn, meestal als onderdeel van de tweede lijn. Zie de vacatures voor compliance officers.

IT-auditor. Ze beoordeelt of risicobeheer en beheersmaatregelen werken en geeft assurance, als onderdeel van interne audit of bij een externe partij. Een IT-auditor bij een externe accountantsorganisatie werkt buiten de drie lijnen, omdat de IIA de wettelijke controle van de jaarrekening en inspecties door toezichthouders niet tot de drie lijnen rekent. Die geven assurance aan externe belanghebbenden. Lees meer in de rolgids voor de IT-auditor en bekijk de vacatures voor IT-auditors.

Operationeel-risico-analist en third-party-risk-manager. Ze brengen risico's in kaart bij processen en leveranciers, vaak in de tweede lijn; zie de vacatures voor operationeel-risico-analisten en third-party-risk-managers.

De termen ISO 31000, risicomanagement, first line, second line en three lines kunnen op vacaturepagina's voorkomen. Zoek vacatures waarin ISO 31000 wordt genoemd, of kijk in de kennisbank voor andere wetten en kaders.