Risico's rond contracten worden meestal ergens anders bijgehouden dan de contracten zelf: in een risicomatrix, een spreadsheet of het hoofd van één persoon. Daardoor gaan ze bij de eerstvolgende reorganisatie verloren.
Vanaf nu leg je ze vast bij het contract waar ze uit voortkomen.
Basis of uitgebreid
Je koppelt per contract een risicoanalyse, in twee varianten:
Basis: voor het merendeel van je portefeuille. Snel vastleggen wat er kan misgaan, hoe erg dat zou zijn en wie erover gaat.
Uitgebreid: voor contracten waar meer aan vasthangt. Een volledigere analyse voor je grootste leveranciers, je kritieke dienstverlening of alles wat onder een certificeringstraject valt.
Beide varianten leggen kans en impact vast, zodat je kunt zien welke risico's daadwerkelijk urgentie hebben en welke kunnen wachten. En belangrijker: wie wat moet oppakken. Een risico zonder eigenaar is een aantekening, geen beheersmaatregel.
Begin bij de leveranciers met toegang tot je gevoeligste informatie, niet bij de grootste facturen. Dat zijn vaak niet dezelfde partijen. Zie ons artikel over ISO 27001 en NEN 7510.
KPI's en SLA's per contract
In dezelfde release: je monitort nu belangrijke KPI's en SLA's per contract.
Heb je met een leverancier afgesproken dat storingen binnen vier uur worden opgelost, of dat er per kwartaal wordt gerapporteerd, dan leg je dat vast bij het contract in plaats van in een aparte afspraak die niemand terugvindt.
Taken die vanzelf verschijnen
Het onderdeel dat in de praktijk het meeste verschil maakt: automatische taken verschijnen op het takenbord, op naam van de verantwoordelijke persoon.
Dat is het verschil tussen een risicoanalyse die is gemaakt en een risicoanalyse die wordt uitgevoerd. Een beheersmaatregel zonder taak blijft een voornemen. Een taak met een naam en een datum op het takenbord gebeurt.
Hetzelfde geldt voor KPI's: het moment waarop je moet toetsen of een leverancier zijn afspraken nakomt, komt vanzelf langs bij degene die erover gaat.
Waarom bij het contract en niet ernaast
Drie redenen die we terughoren van gebruikers:
Het blijft actueel. Een risico bij het contract wordt herzien wanneer het contract wordt herzien. Een losse risicomatrix niet.
Het komt terug in je rapportage. Risico's tellen mee in de rapportage over je portefeuille, zonder dat je twee bronnen hoeft te combineren.
Het is aantoonbaar bij een audit. "Wanneer is deze leverancier voor het laatst beoordeeld, en door wie" is een vraag met een antwoord, in plaats van een zoektocht.
Zo begin je
- Open een contract in het register
- Koppel een basis- of uitgebreide risicoanalyse
- Leg kans, impact en een verantwoordelijke vast
- Voeg de KPI's of SLA-afspraken toe die je wilt monitoren
- De bijbehorende taken verschijnen op naam op het takenbord
Meer staat op de functiepagina's risicobeheer en taken. Voor juridische teams is deze pagina het startpunt.
Veelgestelde vragen
- Hoe leg je risico's per contract vast in Looop?
- Open een contract, koppel een basis- of uitgebreide risicoanalyse en leg per risico kans, impact en een verantwoordelijke vast. Looop berekent een score en zet de bijbehorende taken op naam op het takenbord.
- Kun je KPI's en SLA's per contract bewaken?
- Ja. Per KPI leg je een streefwaarde, richting en meetfrequentie vast. Looop plant de meetmomenten als taak in en laat per meting zien of de leverancier op norm zit of afwijkt.
- Waarom risico's bij het contract vastleggen en niet in een losse matrix?
- Omdat ze dan actueel blijven als het contract wordt herzien, meetellen in je rapportage en bij een audit aantoonbaar zijn: wanneer is deze leverancier voor het laatst beoordeeld, en door wie?
