Janne Viljamaa ja Jukka Mäkitalo haastavat organisaatioiden tavat johtaa riskienhallintaa
Kun kauppojen pakastealtaat lämpenivät talotekniikkaan kohdistuneessa kyberiskussa ja sovellushaavoittuvuudet pysäyttivät taustajärjestelmiä, häiriötilanne leikkasi armottomasti läpi koko liiketoiminnan. Se vaaransi asiakaspalvelun, myynnin ja toimitusketjut. Silti moni organisaatio pyörittää turvallisuuttaan erillisissä siiloissa ja tuudittautuu kerran vuodessa katselmoitavaan Top 10 -riskilistaan.
Graniten webinaarissa teemaa ruotineet kaupallinen johtaja Janne Viljamaa ja Senior Risk & Compliance Advisor Jukka Mäkitalo vaativat yrityksiltä ryhtiliikettä. Turvallisuuden rooli on taata organisaatiolle strateginen toimintakyky ja varmistaa strateginen resilienssi kaikissa tilanteissa.
Häiriö ei kunnioita osastorajoja
Mäkitalo nostaa esiin arjen riskityön tyypillisen kompastuskiven: IT-yksikkö tunnistaa vakavan teknisen haavoittuvuuden ja ryhtyy pyörittämään sitä omassa piirissään. Muu organisaatio pidetään pimennossa aina siihen asti, kunnes järjestelmä kaatuu.
”Ei se häiriö noudata sitä organisaation normaalia vastuurajaa. Jos IT-yksikkö on tunnistanut tietoturvariskin ja käsittelee sitä omassa piirissään, mikä on muun organisaation rooli? Onko tieto jäänyt sinne IT-yksikön omaksi tiedoksi, vai tietääkö muu organisaatio, miten tilanteeseen varaudutaan?” Mäkitalo kysyy.
Mäkitalon mukaan turvallisuuden johtaminen strategisena toimintakykynä tarkoittaa kriittisten toimintojen varmistamista siten, että organisaatio kykenee saavuttamaan tavoitteensa myös vakavassa poikkeamatilanteessa. Strateginen resilienssi kuuluu koko organisaatiolle, koska riskit ja häiriötkin syntyvät arjen prosesseissa. Yksittäinen riskipäällikkö tai tietoturvajohtaja ei voi ottaa koko taakkaa harteilleen, vaan vastuu kontrollien toteutumisesta kuuluu suoraan toimintojen ja prosessien omistajille.
Excelien hautausmaalta kohti liiketoimintavaikutuksia
Mäkitalo ja Viljamaa jakavat turhautumisen staattisiin taulukoihin, joihin tieto usein hautautuu. Mäkitalo toteaa suoraan, että perinteinen taulukkolaskenta on tullut tiensä päähän nykypäivän vauhdissa.
”Excel ei enää vain yksinkertaisesti riitä nykypäivän vaatimuksiin. Tilanteet muuttuvat niin nopeasti, että kenelläkään ei ole enää kokonaiskuva hallussa”, Mäkitalo huomauttaa.
Tekniset havainnot toimitilojen sulkeutumisesta tai tietojärjestelmän häiriöstä ovat johdolle hyödyttömiä sellaisenaan. Päättäjille on pystyttävä osoittamaan selkeästi, mitkä ydinpalvelut keskeytyvät, miten asiakaslupaus vaarantuu ja millaisia euromääräisiä tappioita häiriö aiheuttaa tuntien, päivien, viikkojen tai jopa kuukausien aikana.
Myös laajempien kehityspolkujen ja skenaarioiden hallinta pelkän Excelin tai soveltumattomien tietojärjestelmien avulla ei pysty tuottamaan kokonaisvaltaista ja ajantasaista tilannekuvaa siitä, mikä tulevaisuudessa odottaa ja miten siihen voidaan vastata.
Karsi turha puhe ja johda kolmen askeleen ketjua
Kun puhe kääntyy kokonaisturvallisuuden laajoihin viitekehyksiin, Viljamaa karsii konsulttijargonin ja heittää ilmoille käytännönläheisen kysymyksen: mitä sitten? Viljamaan mukaan kokonaisuus muodostuu pohjimmiltaan kolmesta toisiinsa kytkeytyvästä vaiheesta:
- Riskienhallinta ja ennaltaehkäisy
- Jatkuvuudenhallinta
- Oppiminen
Ensimmäinen vaihe on riskienhallinta ja ennaltaehkäisy. Resurssit ovat aina rajalliset, joten riskien arvioinnilla luodaan selkeä priorisointijärjestys sille, mitä riskejä pienennetään kontrolleilla ja mitkä hyväksytään jäännösriskeinä.
Toinen vaihe alkaa silloin, kun ennaltaehkäisy pettää:
”Täydellisessä maailmassa emme elä, joten silloin tällöin riskejä toteutuu ja silloin tarvitsee tehdä jotain. Meidän pitää olla varautuneita siihen, mitä akuutissa tilanteessa tehdään”, Viljamaa korostaa.
Tämä tarkoittaa konkreettista jatkuvuudenhallintaa. Organisaatiolla on oltava valmiit laukaisukriteerit, minimiprosessit kriittisen toiminnan jatkamiseksi sekä nimetyt vastuuhenkilöt ja varahenkilöt viestintään ja tilanteen johtamiseen.
Kolmannessa vaiheessa häiriöstä palaudutaan normaaliin tilaan, testataan opitut asiat ja päivitetään ennaltaehkäisevät toimet tulevaisuuden varalle. Tavoitteet, toiminnot, riskit, kontrollit ja jatkuvuussuunnitelmat muodostavat ehjän ketjun vain silloin, kun ne elävät samassa järjestelmässä.
Top 10 -riskilistat luovat valheellisen turvallisuudentunteen
Mäkitalo suomii yritysten vakiintunutta tapaa raportoida johdolle merkittävimpien riskien listauksia. Se antaa päättäjille usein täysin harhaanjohtavan kuvan organisaation turvallisuustilanteesta, kun huomio pitäisi todellisuudessa olla toiminnan jatkuvuuden varmistamisessa.
”Jos johdolle esitellään Top 10 -riskilista, se kertoo vain ne kymmenen asiaa. Toteutuvat riskit ovat kuitenkin lähes poikkeuksetta listan ulkopuolisia yllättäviä asioita, joita ei löydy kyseiseltä listalta”, Mäkitalo lataa. Lisäksi riski voi toteutua kontrolleista huolimatta ja silloin kysytään niiden suunnitelmien perään, jotka varmistavat toiminnan jatkuvuuden riskitapahtuman jälkeen.
Staattisten riskiluetteloiden sijaan johto tarvitsee tilannekuvan organisaation todellisesta varautumisen tasosta. Johdon on nähtävä, ovatko jatkuvuussuunnitelmat hyväksyttyjä ja säännöllisesti testattuja. Päättäjien pitää tietää ennalta, miten organisaatio pärjää tulevaisuuden skenaarioissa, kuten energiamarkkinoiden hintapiikeissä tai toimitusketjujen häiriöissä. Vasta reaaliaikainen näkymä toipumiskyvystä ja häiriöiden liiketoimintavaikutuksista antaa johdolle pohjan kohdentaa resurssit sinne, missä niillä turvataan elintärkeä toiminta. Tällöin toimintavarmuuden takaaminen muodostuu organisaation kyvykkyydeksi ja strateginen resilienssi kilpailutekijäksi.
Keskeiset opit: Kokonaisturvallisuuden johtaminen pähkinänkuoressa
- Strateginen resilienssi ja toimintakyky varmistaa liiketoiminnan jatkuvuuden: Turvallisuusjohtamisen tavoite on taata organisaation kyky saavuttaa tavoitteensa ja suojata kriittiset toiminnot poikkeustilanteissa. Häiriöt leikkaavat osastorajojen läpi, joten vastuu kontrolleista kuuluu suoraan liiketoimintaprosessien omistajille.
- Havainnot muutetaan liiketoimintavaikutuksiksi: Yksittäiset havainnot sidotaan suoraan prosesseihin ja euromääräisiin vaikutuksiin. Päättäjät tarvitsevat tiedon siitä, mitä palveluita häiriö keskeyttää ja millaisia taloudellisia tappioita katkos aiheuttaa eri aikajänteillä.
- Kokonaisuus rakentuu kolmesta toisiinsa kytkeytyvästä osasta: Tärkeää on kyetä yhdistämään ennaltaehkäisevä riskienhallinta, operatiiviset kontrollit sekä jatkuvuussuunnitelmat ja niiden testaukset samalle alustalle kokonaiskuvan muodostamiseksi.
- Johto tarvitsee reaaliaikaisen varautumisen tilannekuvan: Staattiset Top 10 -riskilistat vanhenevat nopeasti. Johto tarvitsee ajantasaista tietoa suunnitelmien toimivuudesta, nimetyistä vastuuhenkilöistä, tulevaisuuden skenaarioista ja toipumiskyvystä resurssien oikeaa kohdentamista varten.