Vragen of je niets vergeten bent is vragen naar iets wat je niet weet - risicoregisseurs.nl
Iedereen herkent dat wel. Auto vol ingepakt, laatste check door het huis gedaan en dan bij het op slot draaien van de voordeur die vraag die je nooit met zekerheid kunt beantwoorden: zijn we niks vergeten? In zo'n privésituatie dan wuif je dit weg door te stellen dat je met je bankpassen en creditcard verwacht dat je het wel gaat redden, je stapt in en rijdt weg. Om je vervolgens, hopelijk niet, na 200 kilometer af te vragen of je het gas wel dicht gedraaid hebt.
Dat antwoord van die creditcard die werkt vaak niet als je een dergelijke vraag gesteld wordt op je werk. Dit zal nog minder worden getolereerd als je de beveiligingsmanager bent of de leidinggevende van deze beveiligingsmanager of zelfs de baas hier weer boven. Zeker een vraag van het management of 'ons' niks kan gebeuren, daar wil men maar al te graag een luid JA op horen. En vaak wordt dan ook gezegd wat de ander wil horen.
Feitelijk zou het antwoord hierop moeten zijn, dat je dit niet voor 100% met zekerheid kunt garanderen. En dan de stilte laten vallen. Wie durft?
Want dat is wel wat het is. Als beveiligingsmanager ben je verantwoordelijk voor een gedeelte van de risico's die de organisatie loopt. Bij fysieke beveiliging gaat het dan om de risico's die het gevolg zijn, van bewust kwaadwillig menselijk handelen gericht tegen de organisatie. Dreigingen van natuurlijke aard sluit je misschien op voorhand uit, waaronder aardbevingen en overstromingen. Fysieke beveiliging is ook geen informatiebeveiliging, dus zo wordt nog een grote groep van risico's uitgesloten.
Je bent er als beveiligingsmanager verantwoordelijk voor dat een deel van de risico's onder controle wordt gebracht. Daarbij ben je zelf voor deze risico's niet verantwoordelijk, want dat is de proceseigenaar. Deze zal moeten aangeven welke risico's hij in zijn processen ziet, welke daarvan realistisch zijn en welke de organisatie niet wenst te accepteren. Voor het deel dat hiervan overblijft, is het de verantwoordelijkheid van de beveiligingsmanager om de juiste mix van beveiligingsmaatregelen te treffen, die deze risico's tot een minimum reduceren. En dan nog, dan kun je niet garanderen dat een risico zich niet voordoet. 100% zekerheid is een utopie.
Maar beter wel dat je als beveiligingsmanager je processen dusdanig structureert, dat je de beste zekerheid voor de organisatie weet te realiseren. Met een continu proces, waarbinnen lering wordt getrokken uit incidenten, risicoacceptaties en audits. Met dit lerend vermogen versterk je continu de basis: het beveiligingsbeleid, het dreigingsprofiel en de programma's van eisen, waarbij je op basis van de risico's van de organisatie maatregelen hanteert, die passen bij de zwaarte van het risico dat je loopt.
Door een dergelijk proces zo in te regelen laat je vanuit beveiliging zien dat je de realistische, onacceptabele risico's zo goed als mogelijk onder controle hebt. En dat je daarmee een beveiliging hebt gerealiseerd, die deze risico's afdekt voor een investering die past bij de schade die je mogelijk zou ondervinden als een risico zich – ondanks dit alles – zal voltrekken.