Illusionen om modstandskraft

Hvorfor de fleste organisationer føler sig mere sikre, end de er, og hvad der skal til for at lukke det hul.

Hvornår har I sidst for alvor spurgt jer selv, om organisationens sikkerhedsniveau passer til den risiko, I faktisk står over for?

De fleste ledere bærer mere risiko, end de er klar over. Og når risikoen bliver til virkelighed, opdager de, at de kan tåle langt mindre, end de troede.

Det er ikke en kritik. Det er et mønster. Og at forstå det kan være den vigtigste forretningssamtale, I endnu ikke har taget.

Sikkerhedsmodenhed er ikke enten-eller. I er ikke enten sikre eller usikre.

I befinder jer et sted på en skala, og afstanden mellem hvor I tror, I er, og hvor I faktisk er, er det hul, der holder bestemte mennesker i organisationen vågne om natten.

Illusionen om modstandskraft skyldes sjældent forsømmelse. Den kommer af en farlig og forståelig kombination: en sund risikovillighed, parret med en ufuldstændig forståelse af, hvad risikoen betyder, og en begrænset evne i organisationen til at bære den, hvis den bliver til virkelighed.

Selvtilliden er ægte. Evnen til at bakke den op er det måske ikke.

Og illusionen holder sig, blandt andet fordi den bliver belønnet. Audits bliver bestået. Rapporter bliver arkiveret. Certifikater kommer i glas og ramme.

De fleste organisationers incitamenter favoriserer i al stilhed det, der ligner sikkerhed, frem for sikkerheden selv.

Det er ikke kynisme, det er rationel adfærd i et system, der måler på de forkerte ting. Men rationel adfærd i et system, der ikke virker, giver stadig resultater, der ikke virker.

Et sted i jeres organisation ved nogen det allerede.

Spørgsmålet er, om den viden er nået frem til dem, der har magten til at handle på den.

Den person er ofte ikke den, man ville forvente. Det er typisk dem, der løser problemerne og tænker dem igennem, folk med et dybt kendskab til situationen og begrænset lyst til at betale den politiske pris for at blive hørt.

De mangler måske mandat, budget eller den tyngde i organisationen, der skal til for at løfte samtalen opad. Viden findes. Hullet er strukturelt. Og det er i det hul, mellem det der vides, og det der besluttes, at hændelser bliver uundgåelige.

De fleste brud kræver ikke en avanceret modstander. De kræver en ulåst dør og et øjebliks uopmærksomhed. De organisationer, der rammes hårdest, er ikke altid de mindst tekniske. Det er ofte dem, der var mest sikre på, at de havde styr på det.

Sikkerhed er ikke raketvidenskab.

Medmindre I er NASA. Så er det.

Pointen er proportionalitet. Det rigtige sikkerhedsniveau er ikke det mest avancerede. Det er det, der ærligt afspejler, hvad I beskytter, hvad I kan miste, og ikke mindst hvad I kan gøre, når noget går galt.

God risikotænkning begynder med et åbent sind over for, hvad der realistisk kan ske. Ikke sandsynlighedsscorer, men ægte intellektuel ærlighed om trusselsbilledet.

For fem år siden ville de fleste europæiske organisationer have afvist en pandemi som fjern og cyberkonflikt som en andens problem. Verden ændrer sig hurtigere end risikoregistrene, og at lukke døren for trusler for tidligt er i sig selv en form for eksponering.

Når I er enige om, hvad der realistisk kan ske, bliver nogle andre spørgsmål langt mere nyttige. Hvor eksponerede er I, og er det forskelligt fra aktiv til aktiv?

Kan I opdage, reagere og komme på fode igen? Og kan I handle? Eller ville indsatsen række ud over jeres mandat og jeres midler?

At veje, hvor let noget er at rette op på, mod konsekvensen er et ærligere prioriteringsværktøj end nogen sandsynlighedsmatrix. Det flytter samtalen fra, om noget kunne ske, til hvad I ville gøre ved det.

Her er noget, der sjældent bliver sagt højt om de rammeværk, der styrer vores virksomheder (ISO, NIS2, DORA og deres modstykker).

Læst med compliance-briller bliver de en tjekliste. Noget der skal opfyldes, dokumenteres og fremvises. Læst med forbedring for øje bliver de noget andet: et spejl.

Ethvert seriøst rammeværk er, læst med den rette hensigt, i bund og grund det samme dokument. Det spørger: Hvad er vigtigt for jer, hvad truer det, hvordan ville I opdage det, og hvad ville I gøre?

Compliance stiller de spørgsmål for at skabe dokumentation.

Transformation stiller dem for at skabe ærlighed.

Den, der læser for compliance, ender med et certifikat. Den, der læser for forbedring, ender med en køreplan for transformation bygget på selvindsigt. En køreplan, der beskytter det vigtige, bruger ressourcerne ansvarligt og hviler på en åben og ærlig beskrivelse af, hvor organisationen står.

Åbenhed er ikke en sårbarhed. Det er fundamentet, som reel modstandskraft bygges på. I kan ikke beskytte det, I ikke vil anerkende. I kan ikke forbedre det, I kun iscenesætter.

Rammeværkerne tog ikke fejl. Det gjorde læsningen af dem.

Det skifte, der betyder noget, er ikke teknisk. Det er en transformation. Det begynder ikke med et nyt værktøj eller en ny politik, men med en ærlig samtale om hullet mellem opfattelse og virkelighed. En samtale, der inddrager dem, der allerede ved det, giver dem mandat til at sige det og når op til det ledelsesniveau, hvor beslutningerne kan træffes.

Den samtale har et naturligt udgangspunkt. Saml jeres ledelse og spørg ikke "er vi sikre?", men "hvis noget gik alvorligt galt i morgen, ville vi så opdage det, ville vi være klar, og kunne vi handle?"

Lad det ærlige ubehag ved det spørgsmål gøre sit arbejde. Det, der kommer frem, er ikke en svaghed. Det er begyndelsen på en transformation bygget på noget solidt: virkeligheden.

I stillede spørgsmålet én gang, da I læste dette. Tag det nu med ind i det rum, hvor beslutningerne træffes.

Ikke "er vi sikre?"

Men hvis vi ikke var, ville vi så vide det, og kunne vi gøre noget ved det?

Dette er den første artikel i en serie om sikkerhed, risiko og organisatorisk transformation. Den anden er Uafklaret risiko er en transformation, der venter på lov.