Planen finnes. Spørsmålet er om den virker.

De fleste virksomheter har en beredskapsplan. Færre vet om den virker. Det er denne uvissheten som er tyngst å bære for den som har ansvaret, og den kan bare reduseres på én måte.

Mange virksomheter leverer hver dag samfunnskritiske funksjoner, varer og tjenester, uten at de alltid er klar over det selv. De fleste har gjort det som forventes: utviklet en beredskapsplan, sendt nøkkelpersoner på kurs og kanskje gjennomført en øvelse. Likevel er det vanskelig å se for seg hvordan det faktisk vil oppleves når en krise rammer virksomheten, og om det som er planlagt, vil fungere i praksis.

Forskjellen på å ha en plan og å være forberedt

En beredskapsplan er en beskrivelse av hva som skal skje. Den sier ingenting om hvorvidt organisasjonen er i stand til å gjøre det. Det er en viktig forskjell, og den blir ofte først synlig når planen skal brukes. Da viser det seg at kontaktlistene er utdaterte, at rollene er beskrevet for personer som har sluttet, at planen forutsetter systemer som ikke virker, eller at de som skal samarbeide, aldri har møtt hverandre.

Ingen av disse svakhetene er uvanlige, og ingen av dem skyldes at noen ikke har gjort jobben sin. De oppstår fordi planer lages på ett tidspunkt og virksomheter endrer seg hele tiden. Det er heller ikke slik at en plan blir bedre av å bli lengre. Erfaringen er snarere at de planene som fungerer, er de som er kjent, enkle å bruke og øvd på.

Hvorfor planer sjelden testes

Det er flere grunner til at beredskapsplaner sjelden testes skikkelig. Øvelser tar tid, og hverdagen har sine egne krav. Det kan også oppleves ubehagelig å avdekke svakheter, særlig for ledere som har ansvaret. Og mange øvelser er lagt opp slik at de bekrefter at planen finnes, mer enn at de utfordrer den.

Resultatet er at virksomheten vet hva som står i planen, men ikke hvor godt den holder. I en tid der trusselbildet er skjerpet og avhengighetene mellom virksomheter er tettere enn før, er det en uvisshet som er vanskelig å forsvare, både overfor styret, tilsynsmyndighetene og dem som er avhengige av det virksomheten leverer.

Det som står på spill

Det er i krisen det viser seg om planene virker. Da rammes ikke bare virksomheten, men alle som er avhengige av det den leverer. Og etterpå er det vanskelig å dokumentere at ansvaret ble tatt, hvis det eneste man kan vise til, er en plan som ingen har prøvd.

Det motsatte er en situasjon der ledelsen vet hvor virksomheten står, der styret har dokumentasjon som kan følges år for år, og der de som skal håndtere en hendelse, har trent sammen og kjenner hverandre. Det krever ikke store ressurser, men det krever at noen stiller de riktige spørsmålene og følger opp svarene.

Fem spørsmål å starte med

Når jeg møter ledergrupper, starter jeg ofte med noen enkle spørsmål. De gir ikke en fullstendig vurdering, men de gir et første bilde av hvor mye virksomheten faktisk vet:

1. Vet dere hvilke funksjoner som må fortsette å fungere, uansett hva som skjer?
2. Er beredskapsplanen kjent av dem som skal bruke den?
3. Har ledergruppen øvd sammen på et realistisk scenario det siste året?
4. Vet dere hvilke leverandører dere ikke kan klare dere uten?
5. Kan styret dokumentere hvordan sikkerhetsarbeidet har utviklet seg over tid?

Er svaret nei eller delvis på flere av disse, er det i seg selv et viktig funn. Det betyr ikke at virksomheten er dårlig forberedt, men at den ikke vet hvor godt forberedt den er. Den uvissheten kan reduseres, men bare ved at planene og organisasjonen blir vurdert, prioritert, forbedret og målt på nytt.

De som leverer samfunnets viktigste funksjoner, bør ikke måtte gjette på dette. Det er dette ORGSEC er laget for å svare på.

Vil du vite hvor din virksomhet står? Start ORGSEC-vurderingen, eller ta de fem spørsmålene på forsiden.