Du har lavet en grundig risikovurdering. Du kender detaljerne, tallene og begrundelserne. Nu står du foran direktionen med ti minutter til at gøre din viden relevant. Du skal overbevise mennesker, der tænker i forretning – ikke i trusselskataloger.
Det er her, mange gode risikovurderinger mister deres gennemslagskraft. Ikke fordi indholdet er forkert, men fordi ingen oversætter det til forretningens sprog.
At beskytte virksomhedens værdier og træffe oplyste beslutninger har altid været en kerneopgave for topledelsen. Men i dag er kravene markant højere. Med ny lovgivning som NIS2 er cybersikkerhed og risikostyring gået fra at være et operationelt it-spørgsmål til et direkte, personligt ledelsesansvar.
Direktionen og bestyrelsen skal ikke bare nikke ja til rammerne; de skal føre reelt tilsyn med, at tiltagene bliver gennemført. Og forsømmer de den opgave, kan det få personlige konsekvenser.
Det kræver et skift i den måde, I kommunikerer på. Ledelsen har ikke længere nok i en årlig statusrapport; de skal have løbende og brugbar indsigt.
Alligevel kæmper mange compliance- og sikkerhedsansvarlige med at få budskabet igennem. Materialet bliver ofte bygget af fagfolk til fagfolk – frem for til beslutningstagere, der skal kunne handle på et oplyst og forståeligt grundlag.
Den mest almindelige faldgrube er at præsentere risikostyring, som du selv har lært den: metodisk, systematisk og fyldt med fagtermer.
En direktion tænker omvendt. De vil have svaret på tre ting i denne rækkefølge:
Start derfor altid med konsekvensen. Droppet udsagn som "Vi har identificeret 14 risici i kategorien 'høj'." Tal i stedet om den reelle indvirkning: Hvilke systemer er sårbare? Hvilke kunder eller leverancer rammer det? Hvad koster det på bundlinjen og omdømmet, hvis noget går galt?
Hvordan I har vurderet sandsynlighed, og hvilket trusselskatalog I har brugt, er afgørende at kunne dokumentere. Men gem det til bilaget. Det hører ikke hjemme i åbningen af dit oplæg.
Du får hurtigt ledelsens opmærksomhed, hvis du strukturerer din rapportering om tre centrale spørgsmål, de altid sidder med:
Uanset hvor godt du forbereder dit materiale, vil direktionen stille opfølgende spørgsmål. Sørg for at have svarene klar på forhånd:
At afstemme risikoappetit er én samtale. At vide, hvordan du præsenterer, så ledelsen rent faktisk forholder sig til den, er en anden. På vores webinar 'Risikorapportering, der får ledelsen til at handle',
fortæller vores CEO ærligt, hvad der får ham til at handle på en risikorapportering – og Lone Forland giver dig konkrete teknikker til at få netop den slags spørgsmål på plads i din næste præsentation - tilmeld dig her.
Et stærkt oplæg kan gøre indtryk én gang. Men den reelle tillid mellem risikofunktionen og direktionen opstår over tid.
Når du rapporterer i en fast kadence, lærer ledelsen formatet at kende. De begynder at stole på tallene, fordi de ser dem udvikle sig konsekvent kvartal efter kvartal.
Det er i øvrigt også et krav i NIS2: Ledelsen skal løbende føre tilsyn med risikostyringen. Det kræver en tilbagevendende struktur – ikke et årligt skippertag.
Samtalen med ledelsen bliver langt lettere, når jeres risikodata samles ét sted og automatisk oversættes til visuelle overblik.
Med et samlet risiko-dashboard viser du hurtigt det aktuelle risikoniveau, udviklingen over tid og fordelingen på tværs af kritiske aktiver — så bruger du tiden på den vigtige dialog med ledelsen i stedet for at bygge slides.
Det er præcis dét, NorthGRC er bygget til, hvad enten du arbejder med risikostyring baseret på ISO
27005 eller navigerer kravene i NIS2 og ledelsesansvaret.
Det samme gælder leverandørrisici. Når din leverandør- og tredjepartsstyring er koblet direkte til risikoscoringen, kan du demonstrere i realtid, hvordan en enkelt leverandørs sikkerhedsniveau påvirker hele virksomheden. Det er et argument, der fanger enhver direktørs opmærksomhed.