Fang risikoen, når nogen ser den

Observationer

Observationen sker på en tirsdag, ikke i risikotimen

Det meste af det, en organisation har brug for at vide om sin egen risiko, bliver set af nogen, der ikke har nogen grund til at åbne en complianceplatform. Det bliver nævnt ved en vagtoverlevering, og så går dagen videre.

• De, der står tættest på udstyret, er dem, der er mindst tilbøjelige til at have et login.
• Når risikoarbejdet kommer rundt igen, er den detalje, der betød noget, blevet blød i kanten.
• Ingen udfylder en formular, der koster dem en brugeroprettelse, en adgangskode og et gæt på, hvilket modul det hører under.

Observationer

Ét link, uden login, et halvt minut på telefonen

Linket er offentligt, der er ikke noget login foran det, og formularen er bevidst kort. Det er samtidig det andet sted i platformen, hvor nogen uden en plads kan lave noget brugbart.

• Åbn linket på telefonen, skriv hvad du har set, send. Ingen brugerkonto, og ingenting at installere.
• Man skal ikke vide, hvilket risikoområde det hører til, og konsekvens og sandsynlighed kan stå tomme.
• Den anden vej uden login går den modsatte retning: en vurdering, I selv har sendt ud om en navngiven aktivitet. En observation er det modsatte, ingen har bedt om den.

Observationer

Hver observation har et navn på sig

Den, der indberetter, angiver navn og e-mail. Det har en åbenlys fordel, og én ting, vi hellere siger ligeud, end at I selv opdager den.

• Fordelen: den, der vurderer den, kan gå direkte tilbage og spørge, hvad personen faktisk så.
• Det kontante: observationer har altid en afsender og er aldrig anonyme.
• Så det er ikke en whistleblowerkanal, og det skal ikke præsenteres for jeres kollegaer som en.

Observationer

Et menneske læser den og omdanner den eller lukker den

Alt det, der bliver meldt ind, lander i en indbakke med en ejer. Derfra går det én af to veje, og begge er et resultat.

• Omdan den til et risikoscenarie i ét skridt, og den ansvarlige for området får automatisk besked.
• Derfra følger den det normale vurderingsforløb: konsekvens, sandsynlighed og en begrundelse på begge.
• Eller luk den. Ikke alt skal blive en risiko, og at vurdere åbent er det, der holder folk til at melde ind.

Observationer

Den modtager, hvad et menneske melder ind, og ikke mere

Tre ting, der er lette at antage til vores fordel, så dem siger vi selv.

• Vi abonnerer ikke på eksterne sikkerhedsadvarsler på jeres vegne. Den, der læser en og vurderer, at den betyder noget, melder den ind gennem samme link.
• Platformen registrerer det, et menneske melder ind. Den scanner ikke jeres systemer, og den rejser ikke selv en sag, så det er ikke en SIEM.
• Vi vurderer heller ikke relevansen for jer. Nogen hos jer læser hver observation og træffer den beslutning.