Waarom is een zorg nog geen risico?
Een zorg is een vaag gevoel dat er iets mis kan gaan. Vergelijk het met een onderbuikgevoel, zoiets wil je bij de aanvang van je project wel benoemen. Alleen weet je nog niet precies waardoor het komt, wat er gaat gebeuren en wat het je project kost. Een risico is daarentegen veel concreter. IPMA omschrijft een risico als een gebeurtenis die in de toekomst kan plaatsvinden, door een bepaalde oorzaak, met negatieve gevolgen voor je project.
Het verschil zit dus in 3 dingen: de oorzaak, de gebeurtenis en het gevolg. Een zorg noemt er hooguit 1. Een risico noemt ze alle 3. En pas als je die 3 kent, kun je inschatten hoe waarschijnlijk het is en hoe groot de schade kan zijn.
Een voorbeeld. Tijdens de kick-off vraagt iemand of er nog risico’s zijn, en hoppa, binnen 5 minuten staat het whiteboard vol. Planning krap. Budget spannend. IT? Iedereen knikt instemmend. Daarna gebeurt er weinig mee, want wat moet je met “IT?” Een losse kreet kun je niet wegen en ook niet aanpakken. Daarvoor heb je een scherpere omschrijving nodig. In IPMA Compact staat een zinsconstructie die precies dat doet.
Hoe schrijf je een risico op?
Je schrijft een risico op in 3 delen: doordat (oorzaak), ontstaat het risico dat (gebeurtenis), met als gevolg dat (impact). Het boek IPMA Compact geeft een voorbeeld uit de productie. In de vakantieperiode zijn er te weinig vakbekwame medewerkers. Daardoor ontstaat het risico dat de machines niet goed worden gebruikt, met afgekeurde producten als gevolg.
Zie je wat er gebeurt? Opeens weet je waar je kunt ingrijpen: bij de oorzaak, bij de gebeurtenis of bij het gevolg. Die 3 aangrijpingspunten kom je straks weer tegen bij de maatregelen.
Is elke onzekerheid een risico?
Nee. Volgens IPMA is iets alleen een risico als je niet weet of een gebeurtenis plaatsvindt. Weet je dat wel, dan heb je iets anders aan de hand. Er zijn 2 situaties die vaak met risico’s worden verward.
- Een onzekere schatting
Twijfel je of het testen 10 of 15 dagen kost? Dan voelt dat als een risico, toch is het er geen. Het testen gebeurt namelijk hoe dan ook. Alleen de duur is onzeker. IPMA noemt een schatting daarom een geplande activiteit met onzekerheid over tijd of kosten. Die onzekerheid reken je uit met een onzekerheidsanalyse. - Een issue
Is je specialist vandaag ziek? Dan is er niets onzekers meer aan. Het speelt nu, en dan heb je een issue. Een issue is een gebeurtenis die al is opgetreden of die je vrijwel niet meer kunt vermijden. Het vraagt om directe actie. Een risico ligt in de toekomst, daardoor heb je nog tijd om rustig te kiezen hoe je reageert.
Kort gezegd; de vraag bij een risico is: gebeurt het? Bij een schatting is dat hoeveel? en bij een issue wat doen we nu?
Hoe bepaal je hoe groot een risico is?
Per risico kijk je naar 2 dingen: hoe waarschijnlijk is het en hoe groot is de impact? De waarschijnlijkheid hangt samen met de oorzaak, de impact met het gevolg. Bij impact denk je aan doorlooptijd, kosten en kwaliteit, maar ook aan veiligheid of milieu.
Beiden geef je een score. Het boek noemt een schaal van 1 tot 5. Een fijnere schaal lijkt nauwkeuriger, maar geeft schijnzekerheid. Met een grovere schaal kun je risico’s te weinig van elkaar onderscheiden.
Vermenigvuldig je de 2 scores, dan krijg je een getal waarmee je risico’s kunt vergelijken. IPMA noemt dat de verwachtingswaarde. Een voorbeeld: de leverancier levert te laat. Dat is vrij waarschijnlijk (4) en de impact is gemiddeld (3). Dat geeft 4 x 3 = 12. Een datalek is minder waarschijnlijk (2), maar de impact is enorm (5). Dat geeft 2 x 5 = 10. Zo zie je in 1 oogopslag welk risico als eerste aandacht verdient.
Kun je de impact in euro’s uitdrukken? Dan rekent het nog concreter. Is er 20% kans op een tegenvaller van € 10.000? Dan is de verwachte schade € 2.000. Het boek noemt dat de verwachte geldswaarde.
Welke 8 risicomaatregelen kun je nemen?
Heb je je risico’s gewogen? Dan kies je per risico hoe je reageert. IPMA noemt 8 maatregelen. Op papier lijken ze op elkaar, toch werken ze heel verschillend. Sommige pakken de oorzaak aan, andere de gevolgen. Weer andere leggen een deel van het risico bij een ander neer of bereiden je voor op het ergste. We lopen ze 1 voor 1 met je door.
1. Vermijden of voorkomen
Je zorgt dat de waarschijnlijkheid of de impact nul wordt, zodat het risico simpelweg verdwijnt. Stel dat je project leunt op een nieuwe softwaretool die nog nergens draait. Kies je voor een bewezen tool, dan bestaat het risico van kinderziektes niet meer. Vermijden heeft wel vaak een prijs, bijvoorbeeld minder vernieuwing.
2. De risicobron verwijderen
Hier haal je de oorzaak zelf weg. Een leverancier die steeds te laat levert, is een duidelijke risicobron. Vervang je hem door een betrouwbare partij, dan is de bron van het probleem verdwenen.
3. De waarschijnlijkheid verkleinen
Soms blijft een risico gewoon bestaan. Je kunt het dan wel minder waarschijnlijk maken. Neem het vakantievoorbeeld: je kunt vooraf extra collega’s inwerken op de machines. Het tekort in de zomer is er nog steeds, alleen is de kans op fouten een stuk kleiner.
4. De impact verkleinen
Bij deze maatregel neem je aan dat het risico kan optreden. Je zorgt er alleen voor dat de gevolgen meevallen, tot een niveau dat acceptabel is. Wat er dan nog overblijft, noemt IPMA het restrisico. Bouw je in de vakantieperiode extra kwaliteitscontroles in? Dan zie je fouten meteen en hoef je geen hele partij af te keuren.
5. Het risico delen
Je deelt het risico met een andere partij, die dan een deel van de gevolgen draagt als het misgaat. Denk aan een afspraak in het contract met je leverancier of aan een verzekering. Let wel op, want delen kan zelf een nieuw risico opleveren. Daarover straks meer.
6. Accepteren
Soms is niets doen de beste keuze. Dat klinkt lui, maar het is een bewuste beslissing. Risico’s die laag scoren, accepteer je. Dat geldt ook als een maatregel meer kost dan hij oplevert. Zet het risico wel in je risicoregister, zodat iedereen ziet dat je het in de gaten houdt.
7. Accepteren of verhogen om een kans te pakken
Deze is bijzonder. Je neemt bewust meer risico, omdat er een kans tegenover staat. Het boek noemt de kans om een seizoen te verlengen. Dat levert extra op, maar je personeel loopt dan meer kans op overbelasting. Kies je na afweging toch voor die kans? Dan verhoog je het risico met open ogen.
8. Een calamiteitenplan maken
Bij deze maatregel leg je vooraf vast wat je doet als het risico toch werkelijkheid wordt. Daar hoort ook een risicobudget bij. Bij grote risico’s, zoals grondstofschaarste of valutarisico’s, spreekt het boek van een calamiteitenbudget. Daaraan moet altijd een draaiboek gekoppeld zijn. Toestemming om dat budget te gebruiken geeft meestal de stuurgroep of de opdrachtgever.
Hoe kies je de juiste maatregel?
Meestal zet je meerdere opties naast elkaar. Bij elke optie stel je 2 vragen: wat levert deze maatregel op en wat kost hij? IPMA noemt dat de kosteneffectiviteit van een maatregel. Als projectmanager zet je de opties in een advies aan de opdrachtgever. Die is eindverantwoordelijk voor het risicomanagement en maakt de keuze.
Ben je klaar na je maatregel?
Bijna. Na een maatregel blijft er vaak nog iets over: het restrisico. Dat restrisico moet binnen de risk appetite vallen. Dat is de hoeveelheid en soort risico die je opdrachtgever wil accepteren om de doelen van het project te halen. Valt het restrisico daarbuiten, dan is je maatregel nog niet sterk genoeg. Let daarbij ook op een sneaky bijwerking, want een maatregel kan zelf een nieuw risico veroorzaken. Dat heet een secundair risico.
Het boek geeft een voorbeeld. Een bouwondernemer verzekert zich tegen aansprakelijkheid. Sluit de verzekeraar bepaalde contractbepalingen uit? Dan draait de ondernemer alsnog zelf op voor een deel van de schade.
Wie is verantwoordelijk voor een risico?
Elk risico krijgt een eigenaar. In eenvoudige projecten ben jij dat als projectmanager meestal zelf. Raakt een risico direct de business case? Dan ligt het bij de opdrachtgever. In complexe projecten benoem je vaak aparte risico-eigenaren.
Alles komt in het risicoregister. Daarin zet je per risico de beoordeling, de maatregelen en de status. Je werkt het register in elk geval bij bij elke faseovergang, zodat er niets tussendoor glipt.
En hoe zit het dan met kansen?
Risicomanagement gaat óók over meevallers. Een kans is iets wat in de toekomst kan gebeuren en goed uitpakt voor je project. Het boek noemt lage inflatie, waardoor materialen goedkoper kunnen uitvallen. Ook een kans schrijf je op met dezelfde zin. Volgens IPMA heeft elke projectmanager dus een dubbele opdracht: risico’s beheersen én kansen benutten.
Ga je voor IPMA C of B? Dan leer je ook 4 maatregelen om een kans echt te pakken!
Zelf aan de slag
Pak je huidige risicolijst erbij en kies de 3 vaagste punten. Herschrijf ze met de zin: ‘doordat…, ontstaat het risico dat…, met als gevolg dat... Kies daarna per risico 1 van de 8 maatregelen. Grote kans dat je lijst er daarna een stuk minder spannend uitziet.
Lagant Academy leidt projectmanagers op voor IPMA-certificering. In de IPMA D-training bereid je risicomanagement al voor de eerste trainingsdag voor, met voorbeelden uit je eigen werk. Bekijk de IPMA-trainingen van Lagant Academy en kies het niveau dat bij je past.
Veelgestelde vragen
Wat is het verschil tussen een risico en een issue?
Een risico kan in de toekomst gebeuren. Een issue speelt nu al of is niet meer te vermijden en vraagt om directe actie.
Hoeveel risicomaatregelen kent IPMA?
IPMA Compact noemt 8 risicomaatregelen: vermijden, de bron verwijderen, de waarschijnlijkheid verkleinen, de impact verkleinen, delen, accepteren, accepteren of verhogen om een kans te pakken en een calamiteitenplan maken.
Hoort risicomanagement bij het IPMA D-examen?
Ja. De begrippen, de 8 risicomaatregelen en het risicoregister horen bij de stof voor IPMA D, C en B. De 4 kansmaatregelen horen alleen bij C en B.
Bronnen
- IPMA Compact B-C-D-PMO 2025 (v3.0), Lagant Management Consultants. Competentie V11 Risico’s en kansen: V11.1 Begrippen, definities en categorieën (p. 418 tot 423), V11.2 Risicomanagementraamwerk en risicomaatregelen (p. 424 tot 430), V11.3 Risicomanagementtechnieken (p. 430 tot 436).
- IPMA Compact B-C-D-PMO 2025, paragraaf Reserves (p. 352 tot 353).
- Lagant Academy, Voorbereiding per dag IPMA D (2025).
V11 Risico’s en kansen valt in IPMA Compact onder de vaktechnische competenties (Practice).
