Bow-Tie en 6W-methode
De verhoogde risico’s worden bij Accolade uitgewerkt aan de hand van de Bow-Tie methode. Met deze methode wordt het risico (de gebeurtenis) overzichtelijk weergegeven, inclusief oorzaken (links) en gevolgen (rechts). Links van de oorzaken staan de beheersmaatregelen benoemd die dit zouden moeten voorkomen (preventief, rechts van de gevolgen staan de beheersmaatregelen die de impact beperken (detectief en correctief).
Met de Bow-Tie methode worden risico’s visueel weergegeven en worden deze direct verbonden aan de bestaande beheersmaatregelen. Zo wordt ook direct inzichtelijk of beheersmaatregelen ontbreken, bijvoorbeeld als er geen preventieve maatregelen in de weergave staan.
De beheersmaatregelen die in de Bow-Tie benoemd worden, worden volgens de 6W methode uitgewerkt. Deze methode zorgt ervoor dat de uitwerking concreet en controleerbaar is. In de uitwerking worden de volgende vragen beantwoord, vanuit de 1e lijn beheersmaatregelen:
- Waarom worden beheersmaatregelen uitgevoerd?
- Wie voeren deze beheersmaatregelen uit?
- Welke beheersmaatregelen worden uitgevoerd?
- Wanneer worden de beheersmaatregelen uitgevoerd?
- Waar worden de bevindingen vastgelegd?
- Waarop wordt de conclusie gebaseerd?
Tot slot worden de 2e lijn controles benoemd die bij de uitwerking horen. Deze worden ook opgenomen in het intern controleplan dat wordt opgesteld.
Onderstaand een voorbeeld van een risico uitwerking, waarin de zowel de Bow-Tie als de 6W methode is uitgewerkt. Het bovenste deel betreft de Bow-Tie methode, het onderste deel de 6W uitwerking.
Type maatregelen
Bij Accolade hanteren we voor de beheersmaatregelen drie categorieën: preventieve-, detectieve- en correctieve maatregelen. Onderstaand worden ter verduidelijking diverse voorbeelden benoemd.
Preventieve maatregelen
- Functiescheidingen in het systeem
- Procuratieregeling en goedkeuring op facturen
- Integriteitscode
- Agressietraining
Detectieve maatregelen
- Interne controles op datakwaliteit
- Steekproeven op toewijzingen
- Factuurcontroles
- Monitoring van datalekken m.b.v.datalekgregister
Correctieve maatregelen
- Opstellen verbeterplan n.a.v. opmerking Autoriteit Woningcorporatie
- Melding maken bij interne- of externe vertrouwenspersoon
- Informatiebrief vocht- en schimmelaanpak naar huurders
- Escalatie van Concerncontroller naar RvC