Een koopgids voor risicomanagementsoftware die je misschien van de aankoop afbrengt

De meeste slechte softwareaankopen liggen al vast vóór de eerste demo. Bij risicomanagement speelt dat sterker dan in de meeste andere categorieën.

Meestal gaat het zo. Een oprichter ziet een leverancier op een conferentie, of een vakgenoot noemt de tool die die gebruikt. Er wordt een demo gepland. De demo is goed, want demo’s zijn gemaakt om goed te zijn. Daarna volgen een functievergelijking met twee concurrenten, prijsonderhandelingen en een inkooporder. Ergens in dat hele proces wordt de enige vraag die er werkelijk toe doet nooit hardop gesteld: waartegen proberen we ons te beschermen?

Het resultaat is een specifiek soort mislukking. Geen slechte tool. Een goede tool die precies doet waarvoor die is ontworpen, maar een probleem oplost dat je niet had.

Deze gids behandelt wat de categorie werkelijk inhoudt, waarop je moet letten, wat het kost en oplevert, en vervolgens een keuzeproces in vijf stappen. Drie van die stappen doorloop je voordat je ook maar één leverancier bekijkt. Begin je met een functiechecklist, dan begin je bij stap vier. Dat is ongeveer waar de spijt vandaan komt.

Een waarschuwing vooraf: voor een flink deel van de lezers zal de eerlijke conclusie zijn dat je niet nodig hebt wat wij verkopen, of dat je helemaal niets hoeft te kopen. Waar dat geldt, zal ik dat zeggen. Een koopgids die je niet van een aankoop kan afbrengen, is geen gids maar een brochure.

Wat is integraal risicomanagement eigenlijk?

Begin bij de term, want de meeste van deze software wordt onder die noemer verkocht. Het is dus goed om helder te hebben wat die betekent.

Integraal risicomanagement, oftewel enterprise risk management (ERM), houdt in dat je alle risico’s voor een organisatie vanuit één samenhangend overzicht identificeert, beoordeelt en beheert. Iedere afdeling beheert haar risico’s dus niet langer afzonderlijk.

Dat laatste is de kern. Vóór ERM beheerde het financiële team financiële risico’s, IT de cyberrisico’s, juridische zaken de rechtszaken en operations de operationele risico’s. Niemand had het volledige overzicht. ERM ontstond om alles op één kaart te zetten. Zo kunnen de directie en het bestuur de totale risicoblootstelling van de organisatie zien en over afdelingen heen prioriteiten stellen, in plaats van binnen afzonderlijke silo’s.

In de praktijk maakt ERM-software die afstemming op grote schaal mogelijk. Een risicoregister met alle geïdentificeerde risico’s. Een manier om ze te scoren en te rangschikken. Beheersmaatregelen die eraan zijn gekoppeld. Workflows om verantwoordelijken aan te wijzen en risicobeperking te volgen. En rapportages die helder genoeg zijn voor de risicocommissie van het bestuur.

Het is een belangrijke discipline en, op de schaal waarvoor die is ontwikkeld, een onvermijdelijke. Een gereguleerde instelling met honderden beheersmaatregelen en elf normenkaders kan risico’s niet met een spreadsheet beheren. ERM-platforms bestaan omdat dat probleem reëel is.

Toch is er iets wat je al vroeg moet beseffen, omdat het de rest van deze gids bepaalt. ERM is ontworpen om risico’s te coördineren die een organisatie binnen zichzelf kan zien. Het interne risicoregister staat centraal. Het is nooit gebouwd om namens jou de wereld buiten je organisatie te volgen. Voor sommige soorten bedrijven zit juist daar het grootste deel van het risico. Houd dat in gedachten.

Het probleem met functies als vertrekpunt

“Risicomanagementsoftware” is niet één ding. Het is een label voor meerdere productcategorieën die elkaar niet kunnen vervangen. De duurste fout in deze markt is de ene categorie kopen en de mogelijkheden van een andere verwachten.

Daarom is een functiechecklist het verkeerde vertrekpunt. Zo’n checklist veronderstelt dat je al weet in welke categorie je zoekt. De meeste kopers weten dat niet, en de demo vertelt het hun niet. Elke leveranciersdemo is immers zo opgezet dat de eigen categorie de hele markt lijkt te beslaan.

Het proces hieronder heeft daarom een bewuste volgorde. Eerst je risicogebied. Dan de categorie. Vervolgens zelf bouwen of kopen. Pas daarna functies en leveranciers. Zo werkt het.

Stap één: breng je risicogebied in kaart vóór je een leverancierssite opent

Je kunt geen tool kiezen om je risico te beheren voordat je hebt opgeschreven wat dat risico eigenlijk is. Dat klinkt vanzelfsprekend. Bijna niemand doet het voordat die gaat zoeken, en daarom is dit stap één.

Niet abstract, maar concreet. Ga zitten en beantwoord drie vragen eerlijk.

Wat kan ons daadwerkelijk geld of geloofwaardigheid kosten? De echte risico’s, waarvoor je verantwoording zou moeten afleggen, niet de risico’s die op papier grondig klinken.

Waar zit elk risico? Binnen het bedrijf of daarbuiten? Dit onderscheid is belangrijker dan alle andere.

En hoe zouden we nu ontdekken dat het is gebeurd, en hoe snel? Wees zo eerlijk dat het ongemakkelijk wordt. Als het werkelijke antwoord bij een risico is “we horen het wanneer iemand het ons vertelt”, schrijf dat dan op.

Het onderscheid tussen binnen en buiten bepaalt alles wat volgt. Een bedrijf waarvan de risico’s vooral intern zijn, zoals de eigen beheersmaatregelen, medewerkers en systemen, heeft een fundamenteel andere tool nodig dan een bedrijf waarvan de risico’s zitten bij externe entiteiten waarover het geen zeggenschap heeft. Die twee bedrijven kunnen dezelfde leverancier bekijken, maar één van hen maakt dan een fout.

Wil je dit gestructureerd aanpakken, dan hebben we geschreven over risico’s goed in kaart brengen en de dimensie die de meeste risicokaarten overslaan. Maak eerst die kaart. Alles daarna wordt eenvoudiger.

Stap twee: bepaal in welke categorie je werkelijk zoekt

Vijf categorieën delen hetzelfde label. Hieronder staan ze kort en zonder voorkeur beschreven.

ERM- en GRC-platforms. De hierboven beschreven centrale registratiesystemen. Risicoregisters, beleidsbeheer, bestuursrapportages en workflows. Archer, LogicGate, OneTrust, Resolver. Als je honderden beheersmaatregelen en een risicocommissie op bestuursniveau hebt, heb je er een nodig. Bestaat je bedrijf uit elf mensen, dan vrijwel zeker niet.

Automatisering van beveiliging en compliance. Interne beheersmaatregelen en certificering volgens normenkaders. SOC 2, ISO 27001. Vanta, Drata, Sprinto, Hyperproof. Als je aan grote ondernemingen verkoopt en je eigen beveiligingsniveau moet aantonen, is dit de juiste categorie, en het is een goede.

Identiteit en AML. Klanten verifiëren en screenen bij onboarding en daarna. Sumsub, Persona, Onfido. Als je gebruikers of bedrijven onboardt en verantwoordelijk bent voor hun risico op financiële criminaliteit, heb je dit nodig.

Aanbieders van risicogegevens. De onbewerkte gegevensstromen, zoals sancties, negatieve media en handelsregisters. LexisNexis Risk Solutions, Moody’s, OpenCorporates. Het zijn bouwstenen, geen eindproducten. Jij of je leverancier bouwt daar de analyselaag bovenop.

Continue risk intelligence over entiteiten. Monitoring van externe entiteiten waarbij je risico loopt, maar waarmee je geen transacties uitvoert, zoals portfoliobedrijven, tegenpartijen en oprichters. Dit is onze categorie. Ik noem die als één van de vijf, niet als het antwoord op je vraag, want voor de meeste lezers zal dat niet het geval zijn.

Het belangrijkste is dat deze categorieën geen concurrenten zijn. Een fintech kan er drie nodig hebben. Koop je een ERM-platform terwijl je eigenlijk entiteitsmonitoring nodig had, dan krijg je geen slechtere versie van monitoring. Je krijgt een archiefkast, en een dure ook.

We hebben alle vijf hier uitgebreid in kaart gebracht, voor als je vastloopt bij stap twee. Dat is de stap waar de meeste mensen vastlopen.

Stap drie: beslis of je zelf bouwt of koopt

Dit is de vraag waarmee serieuze kopers werkelijk worstelen. De meeste gidsen slaan die over omdat het antwoord soms “koop niets” is. Ik schrijf het toch op.

Als je risico duidelijk is afgebakend, je ontwikkelaars en een datateam hebt en de behoefte stabiel is, kun je soms de onderliggende gegevensstromen in licentie nemen en de tooling zelf bouwen. Sommige grote organisaties doen precies dat, en voor hen is het de juiste keuze.

De gegevens zijn niet de reden waarom de meeste organisaties die dit proberen er spijt van krijgen. Gegevens zijn het makkelijke deel en die kun je kopen. Het moeilijke deel is de relevantielaag: tienduizend onbewerkte signalen per week terugbrengen tot de vier die ertoe doen. En die laag vervolgens onderhouden wanneer bronnen veranderen, formaten verschuiven en hiaten in de dekking ontstaan. Daar zit het grootste deel van het werk in. Het houdt nooit op en wordt in de planning bijna altijd onderschat.

De eerlijke toets: als je het onderscheiden van signaal en ruis binnen je risicogebied als kerncompetentie zelf wilt beheersen en daar blijvend mensen voor wilt inzetten, bouw dan zelf. Moet het vooral werken en wil je er geen team voor aansturen, koop dan. De meeste bedrijven horen bij de tweede categorie en praten zichzelf de eerste in.

Waarop letten bij software voor integraal risicomanagement?

Als stap twee je naar een ERM- of GRC-platform leidt, omdat je risico’s vooral intern zijn en je schaal een centraal registratiesysteem rechtvaardigt, dan onderscheidt het volgende een goed platform van een duur platform.

Een risicoregister dat mensen daadwerkelijk gebruiken. Het register is het hart van een ERM-systeem. Een register dat niemand bijwerkt, is slechts een database met de zorgen van vorig jaar. Eenvoudige invoer is hier belangrijker dan uitgebreide functionaliteit.

Koppeling van beheersmaatregelen aan risico’s die aansluit bij je werkelijke bedrijfsvoering. De waarde van ERM is dat je ziet welke maatregelen welke risico’s afdekken en waar de hiaten zitten. Als het koppelen van één maatregel twintig minuten duurt, doet niemand het en veroudert het overzicht.

Rapportages die het bestuur zonder discussie accepteert. Dit is vaak de werkelijke reden voor de softwareaankoop, dus test het rechtstreeks. Kan het platform met één klik iets opleveren dat je risicocommissie zal lezen?

Een workflow die verantwoordelijkheid toewijst. Een risico zonder verantwoordelijke krijgt geen opvolging. Goede ERM-tools maken verantwoordelijkheid expliciet en bewaken die. Zwakke tools laten risico’s eindeloos zonder verantwoordelijke in een register staan.

Ondersteuning van normenkaders als je die nodig hebt. Werk je volgens ISO 31000, COSO of een specifiek regelgevingskader, dan moet het platform daar standaard op aansluiten, zonder dat je het achteraf passend hoeft te maken.

En realistische schaalbaarheid. Sommige ERM-tools zijn qua prijs en opzet gericht op de Fortune 500 en overspoelen een middelgroot bedrijf met onnodige complexiteit. Andere zijn zo eenvoudig dat het nauwelijks meer dan opgewaardeerde spreadsheets zijn. Stem de zwaarte af op je omvang.

Het werkelijke rendement van risicomanagementsoftware

Elke leverancier heeft een ROI-calculator, en de meeste zijn oefeningen in creatief vermenigvuldigen. Hier volgt een eerlijk beeld van waar het rendement werkelijk vandaan komt, en waar niet.

Het minder tastbare, maar reële rendement is tijd. Risicowerk dat analisten dagen kostte, zoals bewijs verzamelen, verantwoordelijken najagen en rapportages samenstellen, wordt door software overgenomen. Dit is meetbaar en het rendement dat je het makkelijkst kunt onderbouwen, al wordt het ook het makkelijkst overdreven.

Het moeilijker te meten, grotere rendement is vermeden verlies. Dat is lastig te kwantificeren, omdat je een prijs hangt aan gebeurtenissen die niet hebben plaatsgevonden. Een vroeg ontdekt risico kost minder dan hetzelfde risico dat laat wordt ontdekt, soms vele malen minder. Het probleem is dat een jaar zonder incidenten er hetzelfde uitziet als je software drie rampen heeft voorkomen of als er helemaal geen dreigden. Geen calculator kan je vertellen wat het was.

Om dit concreet te maken, bereken je de kosten van één gemist risico. Wat kost één materieel risico dat te laat wordt ontdekt je werkelijk, aan direct verlies, herstel, juridische kosten, reputatie en tijd van het senior management? Zet de softwarekosten af tegen dat bedrag. Dan gaat de berekening niet meer over functies, maar over verwachte waarde.

We hebben precies hiervoor een volledig rekenmodel gebouwd. Als je de uitgave tijdens een budgetbespreking moet verdedigen, heb je immers een getal nodig dat kritische toetsing doorstaat, geen vermenigvuldigingsfactor van een leverancier.

Eén waarschuwing. Wantrouw elke ROI-berekening die de grootste historische ramp in je sector neemt en die vermenigvuldigt met een verondersteld preventiepercentage van honderd procent. Geen enkele tool voorkomt alles. Een model dat daarvan uitgaat, verkoopt je een gevoel, geen prognose.

De functies die hun plek werkelijk verdienen

In elke categorie voorspellen sommige functies daadwerkelijk of je blij zult zijn met de aankoop. Andere zijn vooral demo-theater. Dit is het eerlijke onderscheid.

Dekking die past bij je risicogebied. Let op de formulering. Niet “de meeste bronnen”, want dat is een cijfer voor de bühne. Het gaat om de juiste bronnen voor de risico’s die je werkelijk loopt. Een tool die elfduizend bronnen afdekt waarvan geen enkele jouw specifieke risico raakt, dekt niets af dat voor jou van belang is.

De verhouding tussen signaal en ruis. Vraag rechtstreeks naar het percentage fout-positieven en wantrouw wie dat niet wil bespreken. Een tool die vierhonderd meldingen per week oplevert die niemand leest, doet functioneel hetzelfde als een tool die niets oplevert, maar kost meer. Filtering is het product. Dekking is de grondstof.

Herleidbaarheid naar de bron. Ik zeg er duidelijk bij dat wij dit belangrijk vinden, dus weeg dat mee. Is elk resultaat te herleiden tot een primaire bron die je kunt openen en controleren, of krijg je een conclusie die je maar moet vertrouwen? Dit wordt steeds belangrijker nu meer tools samenvattingen genereren. Het is een terechte vraag voor elke leverancier op de markt, ook voor ons. Het juiste antwoord is een link, geen alinea.

Tijd tot de eerste waarde. Dagen, weken of een implementatie van zes maanden met aanvullende advieskosten? Voor sommige categorieën is een lange implementatie onvermijdelijk. Bij andere is het een teken dat het product jou nodig heeft om de configuratie uit te voeren.

Aansluiting op hoe je team al werkt. Een tool waarvoor mensen moeten inloggen op een apart dashboard dat ze vergeten te openen, wordt na zes weken genegeerd, hoe goed de detectie ook is. De tool moet het team bereiken waar het al werkt.

Meldingen en escalaties die iemand verantwoordelijk maken. Detectie zonder toewijzing is ruis. De beste tools koppelen een aangewezen verantwoordelijke en een reactietermijn aan hun bevindingen. Zwakke tools tonen alleen de bevinding en beschouwen de taak als afgerond.

En de totale kosten, inclusief menselijke inzet. De licentie is één bedrag. De persoon die de tool beheert is een ander bedrag, en dat is vaak hoger. Een goedkope tool waarvoor een fulltime analist nodig is, is geen goedkope tool.

Wat je verleidt, maar dat niet zou moeten doen: een gelikte interface, het kale aantal bronnen, uitgebreide functies die je nooit gebruikt en een demo met een zorgvuldig gekozen voorbeeld. Dit voelt allemaal als relevante informatie tijdens een beoordeling, maar voorspelt vrijwel niets over de vraag of je over een jaar blij bent met je aankoop.

Welke functies bieden de meeste praktische waarde?

Als ik de bovenstaande lijst moest terugbrengen tot de drie kenmerken die het betrouwbaarst bepalen of je een tool blijft gebruiken of er stilletjes mee stopt, dan zijn het deze.

Filtering, vóór alles. De volledige waarde van risicosoftware zit in het terugbrengen van grote hoeveelheden informatie tot een korte lijst met zaken die werkelijk je aandacht verdienen. Een tool die dit goed doet, is het behouden waard, ook als die elders zwak is. Een tool die dit slecht doet, is waardeloos, ook als die verder overal sterk is, omdat je erin verdrinkt.

Daarna controleerbaarheid. Je zult op enig moment moeten handelen op basis van wat de software je vertelt. Mogelijk moet je die actie verantwoorden tegenover een toezichthouder, een LP of een bestuur. Als je de bewering niet tot een bron kunt herleiden, handel je op vertrouwen. Dat is binnen een risicofunctie geen verdedigbare positie.

Daarna aansluiting op je workflow. De tool met de beste detectie ter wereld faalt als die zich ergens bevindt waar je team nooit kijkt. Praktische waarde hangt er deels van af of de tool daadwerkelijk wordt gebruikt, en gebruik wordt vooral bepaald door waar de informatie verschijnt.

Stap vijf: toets de vier manieren waarop het misgaat

Toets vóór ondertekening wat je wilt kopen aan de vier oorzaken van de meeste teleurstellingen in deze categorie. Elk daarvan is eigenlijk een vraag die je hardop aan de leverancier moet stellen. Let op hoe die antwoordt.

De lege bak is de specifieke ERM-valkuil die extra aandacht verdient. Een centraal registratiesysteem is geen bron van risk intelligence. Het ordent wat je invoert en vindt zelf niets. Bedrijven kopen ERM in de verwachting dat het externe risico’s ontdekt, en stellen maanden later vast dat het register precies bevat wat iemand erin heeft getypt. Als je iets nodig had dat actief op zoek gaat naar informatie, is een ERM-platform niet de oplossing. Door dit vóór ondertekening vast te stellen, voorkom je veel teleurstelling.

Een opmerking over AI, nu elke leverancier ermee adverteert

Elk product in deze markt heeft tegenwoordig AI op de homepage staan, ook het onze. De aanwezigheid ervan zegt dus niets. De nuttige vraag is specifieker.

AI brengt op één gebied een fundamentele verandering: enorme hoeveelheden ongestructureerde informatie lezen en daaruit het relevante deel naar voren halen, in talen en bronnen die geen menselijk team kan afdekken. Dat is reëel en dat is het deel waarvoor je wilt betalen.

Op één gebied is AI ronduit gevaarlijk: een conclusie presenteren die je niet kunt herleiden. Een stellige maar onjuiste samenvatting die gezaghebbend in je dossier staat, is erger dan geen samenvatting. Je gaat er namelijk naar handelen zonder ooit te weten dat die onjuist was.

Het aankoopcriterium is dus niet of een tool AI heeft. Het is of je kunt controleren wat de AI je vertelt. Vraag iedereen om de bronlink en beschouw het ontbreken ervan als antwoord op een belangrijkere vraag.

Implementeren zonder de gebruikelijke spijt

De aankoop is het makkelijke deel. Tijdens de uitrol raken goede tools in onbruik. Zes zaken om goed te regelen, bewust kort gehouden.

Activeer één of twee risico’s, geen dertig. Een stortvloed op dag één leert mensen alleen om het kanaal te negeren. Zodra ze het niet meer lezen, maakt niets van wat je verder doet nog uit.

Bepaal vóór activering wie op elke melding reageert. Anders komt die bij iedereen terecht, en dus bij niemand.

Ga ervan uit dat je eerste drempelwaarden niet kloppen. Dat geldt voor iedereen. Stel ze een tijdlang maandelijks bij, niet slechts één keer.

Breng de meldingen naar de plek waar het team al werkt. Achter een dashboard waar niemand aan denkt, kunnen ze net zo goed niet bestaan.

Plan nu een evaluatiedatum. Risicotools verouderen net als beleid, en een agenda-afspraak is de enige betrouwbare manier om dat op te merken.

Dat is het. Het belangrijkste detail, hoe je de bevindingen van de tool doorstuurt en prioriteert, hebben we apart behandeld in het artikel over het doorsturen van meldingen.

Vertrouwd door compliance- en risicoteams van

BAZAAR FORTRESS

Conclusie

Goed kiezen gebeurt grotendeels voordat je ook maar één leverancier bekijkt. Breng je risicogebied in kaart. Bepaal de categorie. Beslis of je zelf bouwt. Als die drie kloppen, wordt de leveranciersvergelijking aan het eind bijna een invuloefening. Je weet immers al wat je zoekt en, net zo nuttig, wat je niet zoekt.

Doe je die drie verkeerd, dan redt geen functiematrix je. Je vergelijkt dan met grote precisie de verkeerde dingen binnen de verkeerde categorie.

Tot slot iets voor één soort lezer, omdat deze gids sterk leunt op het onderscheid tussen interne en externe risico’s. Als je bij stap één ontdekte dat je risico’s vooral buiten je eigen organisatie zitten, bij portfoliobedrijven, tegenpartijen, oprichters en entiteiten waarbij je risico loopt maar waarover je geen zeggenschap hebt, dan zal een ERM-platform alles wat je al weet prachtig ordenen. Het vertelt je alleen niets nieuws over de buitenwereld. Dat is geen tekortkoming van ERM. Daar is ERM simpelweg niet voor bedoeld.

Die buitenwereld is onze categorie.

Beady AI monitort de entiteiten waarbij je risico loopt op sancties, negatieve media, handelsregisters en identiteitsmisbruik. Elk signaal is te herleiden tot de bron. Plan een sessie en we passen het toe op je werkelijke deelnemingen, zodat je het beoordeelt op basis van je eigen risico’s in plaats van onze demo.

En als stap één je ergens anders naartoe leidde, naar Vanta, een ERM-platform, zelf bouwen of de conclusie dat een spreadsheet en een evaluatiedatum voorlopig echt genoeg zijn, dan heeft deze gids zijn werk gedaan. Ook dat is een goede en eerlijke uitkomst.