Slik snakker du med ledelsen om risikostyring

Du har gjennomført en grundig risikovurdering. Du kjenner detaljene, tallene og begrunnelsene. Nå står du foran ledelsen med ti minutter til å gjøre kunnskapen din relevant. Du skal overbevise mennesker som tenker forretning – ikke trusselkataloger.

Det er her mange gode risikovurderinger mister gjennomslagskraft. Ikke fordi innholdet er feil, men fordi ingen oversetter det til virksomhetens språk.

Ledelsens ansvar er skjerpet – men språket henger etter

Å beskytte virksomhetens verdier og ta informerte beslutninger har alltid vært en kjerneoppgave for toppledelsen. I dag er kravene imidlertid betydelig høyere. Med ny lovgivning som NIS2 har cybersikkerhet og risikostyring gått fra å være et operativt IT-spørsmål til et direkte ledelsesansvar.

Ledelsen og styret skal ikke bare godkjenne rammene. De skal føre reelt tilsyn med at tiltakene blir gjennomført. Dersom de forsømmer denne oppgaven, kan det få personlige konsekvenser.

Det krever en endring i måten dere kommuniserer på. En årlig statusrapport er ikke lenger tilstrekkelig. Ledelsen trenger løpende og anvendelig innsikt.

Likevel opplever mange compliance- og sikkerhetsansvarlige at det er vanskelig å nå frem med budskapet. Materialet er ofte utarbeidet av fagfolk for fagfolk – i stedet for for beslutningstakere som skal kunne handle på et informert og forståelig grunnlag.

Snakk om konsekvenser – legg metoden i vedlegget

Den vanligste fallgruven er å presentere risikostyring slik du selv har lært den: metodisk, systematisk og full av faguttrykk.

Ledelsen tenker motsatt. Den ønsker svar på tre spørsmål, i denne rekkefølgen:

1. Hva kan gå galt?
2. Hva betyr det for virksomheten?
3. Hva skal til for å unngå det?

Begynn derfor alltid med konsekvensen. Unngå formuleringer som: «Vi har identifisert 14 risikoer i kategorien høy.» Snakk i stedet om den reelle påvirkningen: Hvilke systemer er sårbare? Hvilke kunder eller leveranser blir berørt? Hva kan det koste virksomheten økonomisk og omdømmemessig dersom noe går galt?

Hvordan dere har vurdert sannsynlighet, og hvilken trusselkatalog dere har brukt, er avgjørende å kunne dokumentere. Men legg det i vedlegget. Det hører ikke hjemme i innledningen til presentasjonen.

Bygg budskapet rundt tre spørsmål

Du får raskere ledelsens oppmerksomhet dersom du strukturerer rapporteringen rundt tre sentrale spørsmål:

• Hvor står vi akkurat nå? Gi en rask og visuell oversikt over risikonivået. Et heatmap eller annen oversiktlig grafikk kan avdekke mønstre på få sekunder, mens en lang liste kan skape forvirring.
• Hva har endret seg siden sist? Ledelsen husker sjelden detaljene fra forrige kvartal, men den reagerer på utvikling. Har risikobildet blitt bedre eller verre – og hvorfor?
• Hva trenger vi fra dere? Avslutt alltid med en tydelig anmodning. Krever situasjonen en beslutning, en prioritering eller et budsjett? Uten en konkret oppfordring til handling gir du bare ledelsen informasjon – ikke et grunnlag for å handle.

Vær forberedt på de tre spørsmålene som alltid kommer

Uansett hvor godt du forbereder materialet, vil ledelsen stille oppfølgingsspørsmål. Sørg for at du har svarene klare på forhånd:

1. «Er vi bedre eller dårligere stilt enn i fjor?»
   Dette krever at du viser utviklingen over tid – ikke bare et øyeblikksbilde.
2. «Hva skal til for å lukke gapet?»
   Dette krever at risikobehandlingen er koblet direkte til konkrete oppgaver, ansvarlige personer og en tidsplan – ikke bare intensjonserklæringer.
3. «Hva er egentlig risikoappetitten vår?»
   Dette krever at dere har avklart med ledelsen hva virksomheten er villig til å akseptere. Uten en slik avklaring er det stor sannsynlighet for at dere har svært forskjellige forventninger til hva som krever handling.

Å avklare risikoappetitten er én samtale. Å vite hvordan du presenterer risiko slik at ledelsen faktisk tar stilling til den, er noe annet.

I webinaret vårt, «Risikorapportering som får ledelsen til å handle», forteller vår CEO ærlig hva som får ham til å handle på bakgrunn av en risikorapport. Lone Forland gir deg samtidig konkrete teknikker som hjelper deg med å få denne typen spørsmål avklart i din neste presentasjon.

Se webinaret på forespørsel.

Bygg tillit gjennom faste rutiner

En sterk presentasjon kan gjøre inntrykk én gang. Den virkelige tilliten mellom risikofunksjonen og ledelsen bygges imidlertid over tid.

Når du rapporterer med en fast frekvens, blir ledelsen kjent med formatet. Den begynner å stole på tallene fordi den ser at de utvikler seg konsistent fra kvartal til kvartal.

Dette er også et krav i NIS2: Ledelsen skal løpende føre tilsyn med risikostyringen. Det krever en tilbakevendende struktur – ikke et årlig skippertak.

La plattformen gjøre det tunge arbeidet

Samtalen med ledelsen blir langt enklere når risikodataene samles på ett sted og automatisk omsettes til visuelle oversikter.

Med et samlet risikodashboard kan du raskt vise det aktuelle risikonivået, utviklingen over tid og fordelingen på tvers av kritiske verdier. Dermed kan du bruke tiden på den viktige dialogen med ledelsen i stedet for på å bygge presentasjoner.

Det er nettopp dette NorthGRC er utviklet for – enten du arbeider med risikostyring basert på ISO 27005 eller navigerer i kravene i NIS2 og ledelsens ansvar.

Det samme gjelder leverandørrisiko. Når leverandør- og tredjepartsstyringen er koblet direkte til risikovurderingen, kan du demonstrere i sanntid hvordan sikkerhetsnivået hos én enkelt leverandør påvirker hele virksomheten. Det er et argument som fanger oppmerksomheten til enhver leder.