Derfor må du planlegge for å håndtere situasjoner der manus mangler

Oktober er Nasjonal Sikkerhetsmåned, og mange virksomheter organisasjoner og enkeltpersoner går sammen for å øke bevisstheten og styrke beredskapen mot digitale trusler. Det er både riktig og nødvendig, for trusselbildet blir stadig mer komplekst, og ingen bør ignorere risikoen for et alvorlig cyberangrep.

Samtidig er det en fare for at fokuset blir for ensidig. For kriser kommer fortsatt i mange former: Brann. Ekstremvær. Produksjonsstans. Sabotasje. Voldshendelser. Bortfall av kritisk infrastruktur. Ulykker på arbeidsplassen. Feil hos leverandører. Omdømmekriser. Reisende ansatte som havner midt i en internasjonal hendelse.

Mange av disse hendelsene har dessuten én ting til felles: De følger sjelden manus.

Vi planlegger gjerne for det vi kjenner, det som sannsynligvis kan skje. Eller det vi erfarte skjedde sist det var en krise. Men virkeligheten gir oss noe annet. Det ser vi gang på gang – at den krisen som traff, det var noe helt annet enn vi hadde tenkt kunne skje.

God beredskap handler om å være forberedt. Risikoanalyser, beredskapsplaner, varslingsrutiner, øvelser og scenariotenkning er grunnmuren i enhver robust virksomhet.

Likevel vet alle som har stått i en reell krise at virkeligheten sjelden passer perfekt inn i scenarioene man har øvd på.

Cyberangrepet viser seg å være en leverandørsvikt, brannen du trodde var en HMS-hendelse utvikler seg til en mediesak. Strømbruddet varer ikke i to timer, men i to døgn. Ekstremværet rammer ikke hovedkontoret, men den kritiske underleverandøren.

Et godt planverk gir deg retning, men ikke nødvendigvis svaret. Det betyr ikke at planene er dårlige. Tvert imot.

Den virkelige verdien av beredskapsarbeidet ligger ofte ikke i at krisen blir akkurat slik du forventet, men at organisasjonen har utviklet evnen til å håndtere det uventede.

Fordi beredskap handler også om improvisasjon – og menneskene som skal lede og utføre arbeidet.

Det handler om mennesker

Mange forbinder beredskap med prosedyrer og sjekklister. Det er viktige verktøy, men de er bare halve bildet. Den andre halvparten handler om mennesker, om situasjonsforståelse, beslutningsevne og samarbeid under press.

Når informasjonen er mangelfull, tidsvinduet er kort og konsekvensene potensielt store, er det ikke planen som løser krisen. Det er menneskene som bruker den.

Derfor bør målet med øvelser ikke bare være å teste om planen fungerer. Det bør også være å lære opp og trene organisasjonen på å håndtere usikkerhet.

• Hva gjør dere når ingen av tiltakskortene passer?
• Hvordan prioriterer dere når flere kriser oppstår samtidig?
• Hva gjør dere dersom nøkkelpersoner ikke er tilgjengelige?
• Hvordan skaper dere situasjonsforståelse når informasjonen er motstridende?

Dette er spørsmål som ofte avgjør utfallet av en krise.

Krisestaben må være bygget for det ukjente

I en tidligere artikkel på Beredskapsbloggen: Hvordan sette krisestab? – F24  understreker beredskapsrådgiver i Viljr, Espen Scavenius, at god krisehåndtering først og fremst handler om enkelhet, struktur og riktige beslutninger. Han peker på at detaljerte planer ofte kommer til kort når virkeligheten avviker fra scenarioet, og at en mer prinsipiell og robust tilnærming derfor er nødvendig.

En god krisestab samler relevant kompetanse, etablerer en felles situasjonsforståelse, setter prioriteringer og fordeler oppgaver. Rollen er ikke å løse alle faglige utfordringer selv. Rollen er å skape struktur og retning når resten av organisasjonen trenger det mest.

For når krisen ikke passer inn i planen, må prosessen fortsatt fungere.

De første minuttene er viktigere enn den perfekte planen, og en erfaring som går igjen fra mange alvorlige hendelser er at organisasjoner ofte taper verdifull tid på å forsøke å forstå alt før de handler. I virkeligheten er beslutningsgrunnlaget nesten alltid ufullstendig.

Derfor anbefaler Scavenius en enkel møtestruktur:

• Hva vet vi?
• Hva kan dette utvikle seg til?
• Hva er viktigst akkurat nå?
• Hvilke konkrete tiltak skal gjennomføres?

Deretter går organisasjonen ut og handler. Ikke fordi alle svarene er på plass. Men fordi krisen ikke venter.

Scavenius beskriver nettopp dette som kjernen i effektiv kriseledelse: korte statusmøter, tydelig fokus og rask gjennomføring av tiltak mellom møtene.

Digital sikkerhet fortjener oppmerksomheten den får i oktober. Men den viktigste lærdommen denne sikkerhetsmåneden er kanskje at beredskap må være bredere enn cybersikkerhet alene.

De mest robuste virksomhetene bygger ikke separate siloer for cyber, HMS, fysisk sikkerhet, kontinuitet og krisehåndtering. De bygger en organisasjon som er i stand til å oppdage, forstå og håndtere uønskede hendelser uavhengig av hva som utløser dem.

Fordi den neste krisen sannsynligvis ikke blir identisk med det dere øvde på sist.

Nettopp derfor skal dere øve. Ikke for å lære et manus utenat. Men for å bli gode til å håndtere situasjoner der manus mangler.

Hvis alarmen går i morgen, og hendelsen viser seg å være noe helt annet enn det dere har planlagt for:

Vil organisasjonen først lete etter riktig prosedyre? Eller er dere trygge på at krisestaben kan skape struktur, retning og gode beslutninger, selv når situasjonen er ny?

• Meld deg på digitalt event 18. november: Crisis Readiness Day

• Se også webinaret: Innføring i effektiv kriseledelse

Bjørn H Stuedal

Bjørn H Stuedal er Senior Marketing Manager i F24 Nordics. Han har mer enn 25 års erfaring som rådgiver innen beredskap og krisekommunikasjon for offentlige og private virksomheter i Norge og Europa, i tillegg til 7 års erfaring som journalist. Stuedal har vært med på å designe løsninger for digital krisehåndtering helt fra slutten av 1990-tallet og har ledet implementeringen av slike løsninger for en rekke både nasjonale og internasjonale aktører. Han har utdanning innen markedskommunikasjon og PR fra BI Master of Management, samt innen Sosiale medier fra NTNU og innen Kunstig Intelligens fra Høgskolen i Østfold.