Uafklaret risiko er en transformation, der venter på lov

Hvorfor afstanden mellem at vide og at handle er en ledelsesbeslutning og ikke en driftsfejl.

Et sted i jeres organisation blev der holdt et møde. De rigtige mennesker var i rummet, dem der forstod systemerne, kendte hullerne og havde lavet vurderingen ærligt. De fremlagde deres fund. Risiciene blev dokumenteret. Samtalen var konstruktiv.

Og så gik alle tilbage til arbejdet.

Ikke fordi risiciene ikke var reelle. Ikke fordi folkene i rummet var ligeglade. Men fordi den beslutning, der faktisk ville ændre noget, budgettet, prioriteringen, retningen, hørte hjemme i et helt andet rum. Et rum, der aldrig rigtig fik det samme møde.

Kan I genkende det, så læs videre.

Ansvar som standard

Ansvaret for sikkerhed ligger som standard på driftsniveauet. Det ligger hos dem, der er tættest på systemerne, processerne og sårbarhederne. Og de mennesker gør i de fleste organisationer et bemærkelsesværdigt stykke arbejde inden for de rammer, de har fået.

Men de beslutninger, der faktisk ændrer noget, ligger ikke der. Budget, bemanding, værktøjer, strategiske prioriteter: ingen af dem er driftsbeslutninger. Det er ledelsesbeslutninger. Og afstanden mellem dem, der forstår risikoen, og dem, der har myndighed til at gøre noget ved den, er ikke en personlig fejl. Den er strukturel.

Dem, der forstår risikoen, har sjældent magten til at gøre noget ved den. Dem, der har magten, har sjældent hele billedet.

Det er her, de fleste sikkerhedsprogrammer stille og roligt går i stå. Ikke på det tekniske niveau, men på det niveau, hvor nogen med reel myndighed skal se på det ærlige billede og beslutte, hvad der skal ske.

Et signal, der ligger lige for øjnene af jer

Et nyttigt signal ligger lige for øjnene af jer. Hvem rapporterer sikkerhed til i jeres organisation?

Svaret fortæller mere om, hvordan risiko forstås på ledelsesniveau, end noget politikdokument nogensinde kan. Når sikkerhed hører under IT, bliver det typisk behandlet som et teknisk problem, en andens bekymring, der først dukker op, når noget går i stykker. Når sikkerhed rapporterer gennem en compliance-funktion, handler samtalen om, hvad der skal dokumenteres, frem for hvad der skal besluttes. Når sikkerhed ligger tættere på ledelsen, med en reel linje til direktionen eller bestyrelsen, bliver det typisk behandlet som det, det faktisk er: en forretningsrisiko, der kræver forretningsbeslutninger.

Ingen af de strukturer er forkerte i sig selv. Men hver af dem former den samtale, der følger. Og den samtale afgør, om risikoen nogensinde når frem til det rum, hvor der kan handles på den.

Det er værd at se ærligt på i jeres egen organisation, ikke som en omstrukturering, men som en diagnose. Hvor sikkerhed hører hjemme i organisationen, er ofte den tydeligste indikator for, om ansvarshullet er strukturelt eller tilfældigt. Og strukturelle huller kræver strukturelle beslutninger for at blive lukket.

Modenhed er et udgangspunkt

Modenhed er et nyttigt begreb, men kun hvis det læses ærligt. Hvor en organisation befinder sig på modenhedsskalaen, er ikke en dom. Det er et udgangspunkt. En ærlig beskrivelse af, hvad der kunne nås inden for de eksisterende rammer, med de mennesker, værktøjer og den vejledning, der var til rådighed.

Driftsteamet fejlede ikke i at nå et højere modenhedsniveau. De nåede det niveau, der var muligt med det, de havde fået. Den forskel betyder enormt meget, fordi den ændrer, hvor den næste samtale skal finde sted.

At gå fra ét modenhedsniveau til det næste er ikke en driftsopgave. Det er en ledelsesbeslutning. Det kræver, at nogen med myndighed siger: Vi investerer her, vi prioriterer det her, vi giver den vejledning og de ressourcer, der skal til for at ændre noget. Uden den beslutning vil driften fortsætte med at gøre sit bedste. Og det bedste vil forblive præcis, hvad det altid har været: det bedst mulige inden for uændrede rammer.

Høj modenhed er ikke nødvendigvis det samme som høj sikkerhed. Og lav modenhed er ikke nødvendigvis det samme som at have fejlet. Det kan simpelthen være det ærlige resultat af beslutninger, der aldrig blev truffet.

Respektmodellen

Det er filosofien bag det, vi kalder Respektmodellen. Ikke fordi det lyder godt, men fordi respekt netop er det, der mangler i de fleste samtaler om sikkerhed.

Respekt for det, driftsniveauet nåede inden for sine rammer. Respekt for de ærlige huller, der ikke skyldes forsømmelse, men mangel på de ressourcer, kompetencer og den retning, der skal til for at lukke dem. Og respekt for, at det ikke er driftsteamets beslutning at lukke de huller.

Modellen placerer beslutningerne, hvor de hører hjemme. Høj risiko, den slags der truer forretningskontinuitet, omdømme eller forholdet til myndighederne, hører hjemme på strategi- og ledelsesniveau. Struktureret risiko hører hjemme i planlagte initiativer og governance-cyklusser. Driftsrisiko hører hjemme i den daglige ledelse og de faste kontroller. Ikke et hierarki af skyld. En struktur for ansvar.

Når risikoen finder sit naturlige beslutningsniveau, flytter noget sig. Driftsteamet holder op med at bære vægten af beslutninger, der aldrig var deres at træffe. Ledelsen begynder at arbejde med risiko som et strategisk input frem for en compliance-rapport. Og organisationen begynder at bevæge sig, ikke fordi den fik besked på det, men fordi de rigtige mennesker endelig traf de rigtige beslutninger.

Risikoregistret

Risikoregistret er ikke en liste over fejl. Det er en liste over beslutninger, der endnu ikke er truffet.

Hver post repræsenterer noget, organisationen allerede ved: et hul, en sårbarhed, en eksponering. Nogen dokumenterede det. Nogen vurderede det. Og så ventede det. Ikke fordi det var uvigtigt, men fordi tilladelsen til at handle på det aldrig kom fra det niveau, der kunne give den.

Når ledelsen arbejder ærligt med risikoregistret, ikke for at arkivere det, ikke for at tilfredsstille en audit, men for at beslutte, bliver det noget helt andet. Det bliver en køreplan for transformation. Hver behandlet risiko er et prioriteret initiativ, en afsat ressource, en fastlagt retning.

Men ikke alle uafklarede risici kræver det samme svar. Nogle kræver øjeblikkelig taktisk handling: en fejlkonfiguration rettet, en manglende kontrol indført, et hul i dokumentationen lukket. Andre kræver struktureret planlægning, procesforbedringer, opdaterede komponenter og et tydeligere ejerskab, fulgt over flere kvartaler med reelle ressourcer bag. Nogle afslører dybere udfordringer, der kræver undersøgelse, før noget kan rettes. Og en gang imellem afslører et mønster af risici noget mere grundlæggende end et problem, der skal løses. Det afslører en struktur, der skal transformeres.

Den linse, der gør den skelnen mulig, er enkel: Vej konsekvensen op mod, hvor let risikoen er at rette. En risiko med høj konsekvens, der er let at rette, kræver øjeblikkelig handling uanset alt andet. En kompleks risiko med moderat konsekvens hører hjemme i struktureret planlægning. En risiko med høj konsekvens, der er svær at rette, kræver undersøgelse og en strategisk beslutning. Det er ikke en matrix, der skal udfyldes. Det er en samtale, der skal tages. Ærligt, på det rigtige niveau, med de mennesker, der faktisk kan beslutte.

Udgangspunktet

Udgangspunktet ser forskelligt ud for hver organisation.

Nogle gange begynder det med en modenhedsvurdering, ikke for at få en score, men for at etablere et fælles og ærligt udgangspunkt mellem virkeligheden i driften og ledelsens opfattelse af den. Nogle gange er det en gap-analyse, der viser afstanden mellem, hvor organisationen er, og hvor dens risikovillighed siger, den burde være. Og i stigende grad ændrer assume breach-tankegangen, hvordan organisationer forbereder sig, så spørgsmålet flytter sig fra, om noget vil ske, til hvad organisationen gør, når det sker.

Den rigtige tilgang afhænger af, hvor I står. Men udgangspunktet er altid det samme. Det begynder med en ærlig beskrivelse af, hvor organisationen faktisk står, bragt op på det niveau, hvor beslutningerne kan træffes. Ikke for at blive arkiveret. For at blive besluttet.

Dette er den anden artikel i en serie om sikkerhed, risiko og organisatorisk transformation. Den første er Illusionen om modstandskraft.