Wat is human risk?
Human risk is de kans dat menselijk gedrag—intentioneel of onbedoeld—leidt tot een security-incident of operationele verstoring.Dit risico ontstaat niet in theorie, maar in de dagelijkse praktijk: hoe medewerkers omgaan met systemen, data, leveranciers en procedures—vooral onder tijdsdruk, bij verstoringen of in complexe keten interacties. Het wordt niet bepaald door wat in beleid staat, maar door wat er daadwerkelijk gebeurt.
‍
De huidige situatie
De meeste organisaties hebben substantieel geïnvesteerd in e-learning, phishing-simulaties en awareness-campagnes. Deze investeringen hebben het bewustzijn verhoogd en gedrag verbeterd.Tegelijkertijd stagneert de vooruitgang in veel organisaties: kennis is op orde, maar incidenten ontstaan nog steeds door suboptimale gedragspatronen, culturele factoren en procesgebreken.
‍
Het fundamentele verschil
Awareness richt zich op wat mensen weten. Human risk wordt bepaald door wat mensen doen—en of dat gedrag haalbaar, logisch en effectief is binnen hun werkcontext.De kritieke vragen zijn:
‍
• Capability (vermogen): Beschikken medewerkers over de juiste vaardigheden om veilig te handelen?
• Opportunity (gelegenheid): Is veilig werken praktisch haalbaar in de dagelijkse operatie en keteninteracties?
• Motivation (motivatie): Wordt veilig gedrag beloond of bemoeilijkt door bestaande processen, cultuur en prikkels?
‍
Savion's aanpak
Savion richt zich op gedragsverandering in context. We koppelen gedrag, cultuur en processen aan concrete risico's en maken human risk een volwaardige risicocategorie in uw besturingsmodel—net zo beheersbaar en meetbaar als technische risico's.

Fase 1: Baseline & Prioritering
We starten met een gestructureerde nulmeting van human risk binnen uw specifieke context:
‍
• Welke processen en rollen zijn kritisch voor continuïteit en veiligheid?
• Waar ontstaan de belangrijkste risico's vandaag?
• Welke gedrags- en procespatronen liggen daaronder?
‍
Dit levert een concreet startpunt en identificeert waar interventies het meeste effect hebben. U krijgt een heldere baseline die als referentie dient voor verdere professionalisering.
‍
Fase 2: Programmaontwerp
Op basis van de baseline ontwerpen we een behavior-first programma met duidelijke prioriteiten, doelgroepen en interventies.Dit is geen verzameling losse acties, maar een gestructureerde aanpak die training en phishing combineert met:
‍
• Procesaanpassingen die veilig werken praktisch haalbaar maken
• Werkinstructies en hulpmiddelen afgestemd op kritieke momenten
• Leiderschapscommunicatie die veilig gedrag versterkt
• Tooling-optimalisaties die wrijving verminderenHet programma is gebaseerd op bewezen gedragsmodellen en afgestemd op uw sector, dreigingslandschap en organisatiecultuur.
‍
Fase 3: Managed Delivery
Savion levert dit als managed dienst met een vaste cadans:
‍
• Maandelijkse en kwartaalse activiteiten: Training, simulaties, campagnes en interventies
• Periodieke metingen: Gedragsindicatoren, meldingspatronen en incident-analyse
• Executive rapportages: Dashboards en inzichten voor CISO, management en auditors
• Continue bijsturing: Aanpassingen op basis van data, feedback en veranderende dreigingen
‍
Governance
Uw team behoudt de regie over strategie en prioriteiten. Savion zorgt dat het programma draait, doorontwikkelt en aantoonbaar risico verlaagt—zonder uw team te belasten met operationele uitvoering.

Ja. Savion integreert met uw bestaande tooling.
We hanteren een platform-agnostische aanpak: u hoeft bestaande tooling niet te vervangen. In plaats daarvan integreren we uw huidige platforms in een samenhangend, behavior-first programma.
‍
In de praktijk
Uw bestaande platforms worden gebruikt voor distributie van training, phishing-simulaties en campagnes. Savion ontwerpt de strategie, segmentatie, gedragsinterventies en messaging.
‍
Waar nodig vullen we aan met:

• Maatwerkcontent die aansluit op uw sector en dreigingslandschap

• Scenario's die uw systemen, processen en echte incidenten weerspiegelen

• Communicatie die past bij uw organisatiecultuur

‍
‍Het resultaat
U behoudt uw bestaande investeringen, data en rapportages. Savion voegt het besturingsmodel toe: duidelijke doelen, meetbare uitkomsten en een programmatische aanpak die verder gaat dan "meer modules uitsturen".
Dit betekent dat uw tooling niet langer een verzameling losse activiteiten ondersteunt, maar een strategisch programma dat gedrag verandert en risico verlaagt.

Stap 1: Definiëren wat ertoe doet
We beginnen met het identificeren van wat voor uw organisatie kritisch is:
‍

• Welke incidenttypen bedreigen continuïteit en betrouwbaarheid?

• Welke processen en gedragspatronen zijn bepalend voor uw risicoprofiel?

• Welke eisen stellen uw compliance-kaders (NIS2, ISO 27001, DORA, GDPR) en cyberverzekering?

Daar koppelen we gerichte, betekenisvolle metrics aan—geen vanity metrics, maar indicatoren die daadwerkelijk risico weerspiegelen.

Stap 2: Relevante metrics
Voorbeelden van metrics die we gebruiken:
Gedragsindicatoren:

• Meldingsgedrag: percentage medewerkers dat verdachte e-mails of situaties rapporteert via de juiste kanalen

• Naleving van cruciale maatregelen in kritieke processen en keteninteracties

• Respons op simulaties: niet alleen klikpercentages, maar herstelgedrag en leervermogen

Risico-indicatoren:

• Patronen in incident- en bijna-incidentdata

• Kwetsbaarheid van kritieke rollen en processen

• Impact van concrete interventies over tijd (longitudinale metingen)

Waar mogelijk sluiten we aan op bestaande dashboards en rapportagesystemen om fragmentatie te voorkomen.

Stap 3: Executive rapportage & audit-ready bewijs

We brengen data samen in overzichtelijke rapporten en dashboards voor CISO, risicomanagement en auditors.
‍
U kunt aantonen dat u human risk actief stuurt, monitort en verbetert—met een audit trail die voldoet aan de verwachtingen van:
‍

• Bestuur en toezichthouders (NIS2, DORA, GDPR)

• Interne en externe auditors (ISO 27001, branchenormen)

• Cyberverzekeraars (risk assessment requirements)

‍
Dit maakt gesprekken met stakeholders voorspelbaar en onderbouwd, in plaats van defensief.

Focus op gedragskritieke domeinen
Savion richt zich op de delen van deze kaders waar menselijk gedrag en organisatiecultuur doorslaggevend zijn:
‍
• Awareness en training (NIS2 Article 21, ISO 27001 A.6.3, DORA ICT risk management)
• Meldplicht en incidentrespons (NIS2, GDPR, DORA)
• Ketensamenwerking en third-party risk (NIS2, DORA)•Omgang met gevoelige data (GDPR Article 32, ISO 27001)
• Robuustheid van kritieke processen (NIS2, DORA operational resilience)
‍
Gap analyse & roadmap
Met diensten zoals Human Risk Assessment en Compliance Gap Analyse brengen we in kaart waar uw huidige aanpak achterblijft bij de verwachtingen uit regelgeving en verzekeraars.U krijgt een concrete, geprioriteerde roadmap:
‍
• Welke maatregelen moeten eerst worden geïmplementeerd
• Welke evidence ontbreekt voor audits en toezicht
• Wie eigenaar is van welke acties
• Hoe u voortgang kunt aantonen

Structureel audit-ready bewijs
Omdat het programma doorloopt en meetbaar is, bouwt u structureel aan audit-ready bewijs:
‍
• Beleid en training zijn aantoonbaar gekoppeld aan gedrag en resultaten
• Metrics tonen niet alleen activiteit, maar gedragsverandering en risicoreductie
• Verbeteracties zijn gedocumenteerd en traceerbaar
‍
Dit maakt gesprekken met toezichthouders, auditors en verzekeraars voorspelbaar en onderbouwd—u rapporteert vanuit een positie van controle, niet vanuit reactie.