Elke organisatie heeft een paar contracten die, als het misgaat, echt pijn doen. Het probleem is dat bijna niemand precies weet welke dat zijn. Ze zitten verspreid tussen honderd andere contracten, en het risico zit zelden op de eerste pagina.
Een risicomatrix lost dat op. Niet als bureaucratische oefening, maar als een manier om in een middag te zien waar je aandacht naartoe moet.
Kort antwoord: deel contractrisico's in vijf typen in (juridisch, financieel, compliance, privacy, operationeel). Geef elk risico een score voor kans en impact en vermenigvuldig die: hoge scores pak je eerst aan. Kies per risico een strategie (accepteren, vermijden, beperken of overdragen) en geef het een eigenaar, een deadline en een reviewdatum.
Vijf typen contractrisico
| Type | Wat kan er misgaan | Voorbeelden |
|---|---|---|
| Juridisch | Je zit vast aan ongunstige of onduidelijke afspraken | Onbeperkte aansprakelijkheid, eenzijdig wijzigingsrecht van de leverancier, toepasselijk recht in het buitenland |
| Financieel | Het contract kost meer dan verwacht | Stilzwijgende verlenging, ongecontroleerde indexatie, afnameverplichting die je niet haalt |
| Compliance | Je voldoet niet aan wet- of regelgeving | Ontbrekende verwerkersovereenkomst, eisen uit de Cyberbeveiligingswet, sectorspecifieke regels |
| Data privacy | Persoonsgegevens zijn niet goed beschermd | Verwerker buiten de EU, geen afspraken over datalekken of verwijdering na afloop |
| Operationeel | De dienstverlening valt weg of schiet tekort | Eén leverancier zonder alternatief, leverancier in financiële problemen, SLA die structureel wordt gemist |
De risicomatrix: kans maal impact
Geef elk risico twee scores:
- Kans: laag (1), midden (2) of hoog (3)
- Impact: laag (1), medium (2), hoog (3) of kritiek (4)
Vermenigvuldig ze, en je hebt een score van 1 tot 12.
Een vuistregel voor wat je met de score doet:
- 1–2: accepteren en jaarlijks herbeoordelen
- 3–4: bewaken, bijvoorbeeld met een KPI of een vast evaluatiemoment
- 6–8: actief beperken, met een eigenaar en een deadline
- 9–12: direct actie, en escaleren naar de directie
Waarom impact vier niveaus heeft en kans er drie? Omdat het verschil tussen "hoog" en "kritiek" bij impact ertoe doet: een storing die een dag kost is iets anders dan een storing die je bedrijf stillegt. Bij kans is dat onderscheid vaak niet zinvol te maken.
Vier manieren om met een risico om te gaan
| Strategie | Wat je doet | Voorbeeld |
|---|---|---|
| Accepteren | Je neemt het risico bewust, omdat het klein is of de maatregel duurder dan de schade | Een indexatie die iets hoger uitvalt dan verwacht bij een klein contract |
| Vermijden | Je gaat het contract of de clausule niet aan | Geen exclusiviteit tekenen; een andere leverancier kiezen |
| Beperken | Je verkleint de kans of de impact | Een aansprakelijkheidsplafond, een exitplan, een tweede leverancier achter de hand |
| Overdragen | Je legt het risico bij een ander | Een verzekering, een vrijwaring, een bankgarantie van de leverancier |
Geef elk risico waar je iets mee doet een eigenaar, een deadline voor de maatregel en een reviewdatum. Zonder die drie blijft een risico een notitie in een spreadsheet.
Waar verstoppen risico's zich in het contract?
Deze clausules verdienen bij elk belangrijk contract een tweede blik:
- Aansprakelijkheid en vrijwaring: is er een plafond, en geldt dat voor beide partijen?
- Boeteclausules en service credits: wat krijg je, en wat moet je zelf betalen?
- Exclusiviteit en afnameverplichtingen
- Eenzijdige wijzigingsrechten van de leverancier, bijvoorbeeld voor prijzen of voorwaarden
- Stilzwijgende verlenging en de opzegtermijn
- Intellectueel eigendom van wat er voor jou wordt gemaakt
- Verwerking van persoonsgegevens en datalekken
- Overmacht: wat valt eronder, en wat gebeurt er dan?
- Change of control: wat als de leverancier wordt overgenomen?
- Exit: krijg je je data terug, en hoe lang heeft de leverancier om mee te werken?
Twijfel je over de verhouding tussen jouw voorwaarden en die van de leverancier? Lees dan inkoopvoorwaarden versus algemene voorwaarden. Voor privacyrisico's is verwerkersovereenkomst: wat moet erin? het startpunt.
In een middag aan de slag
- Kies je twintig belangrijkste contracten, op jaarwaarde én op hoe afhankelijk je ervan bent. Die twee lijstjes zijn vaak niet hetzelfde.
- Loop per contract de clausulelijst hierboven door en noteer wat opvalt.
- Geef elk risico een type, kans en impact.
- Kies een strategie voor alles met een score vanaf 6, met een eigenaar en een deadline.
- Plan een reviewdatum, en herbeoordeel in elk geval bij elke verlenging.
Prestatieafspraken en risico's liggen in elkaars verlengde. Een leverancier die structureel zijn SLA mist, is een operationeel risico. Lees daarom ook SLA's en KPI's in leverancierscontracten bewaken.
Risicobeheer in Looop
In Looop leg je risico's vast op het contract waar ze bij horen, in alle pakketten:
- Type, kans en impact, met een automatische score van 1 tot 12, precies zoals in de matrix hierboven.
- De clausule waar het risico in zit, zodat je niet hoeft te zoeken.
- Een strategie (accepteren, vermijden, beperken of overdragen) met de concrete maatregel.
- Een eigenaar, deadline en reviewdatum, en een markering voor hoog risico of compliance-relevantie.
- Eén overzicht van alle risico's over je hele portefeuille, gesorteerd op score.
Dat risicobeheer en contractbeheer in één systeem zitten, scheelt meer dan je denkt: een risico staat altijd naast het contract, de opzegdatum en de prestaties van de leverancier.
Veel contractrisico's zitten in een paar clausules. Lees verder over aansprakelijkheid beperken, het boetebeding en force majeure.
Veelgestelde vragen
- Wat is een contractrisico?
- Een contractrisico is de kans dat een contract je organisatie schade berokkent: financieel, juridisch, operationeel, op het gebied van compliance of privacy. Denk aan een leverancier die omvalt, een onbeperkte aansprakelijkheid of een verwerker die persoonsgegevens lekt.
- Hoe maak je een risicomatrix voor contracten?
- Geef elk risico een score voor kans (laag, midden, hoog) en impact (laag, medium, hoog, kritiek), en vermenigvuldig die. Zo krijg je een score van 1 tot 12. Risico's met een hoge score pak je als eerste aan; lage scores accepteer je bewust.
- Welke clausules bevatten de meeste risico's?
- Aansprakelijkheid en vrijwaring, boeteclausules, exclusiviteit en afnameverplichtingen, eenzijdige wijzigingsrechten, stilzwijgende verlenging, intellectueel eigendom, gegevensverwerking, overmacht en change-of-control-bepalingen.
- Hoe vaak moet je contractrisico's herbeoordelen?
- Minimaal jaarlijks, en altijd bij een verlenging, een wijziging van het contract of een gebeurtenis bij de leverancier zoals een overname, een datalek of financiële problemen. Geef elk risico een vaste reviewdatum.
