Krisehåndtering er hvordan en organisasjon tar beslutninger når situasjonen overstiger det normale prosesser og planer kan håndtere. Det er ikke det samme som hendelsesrespons, som inneholder et kjent problem ved bruk av kjente prosedyrer. En krise er definert av usikkerhet og av nivået valg må tas på: ufullstendig informasjon, konkurrerende prioriteringer og konsekvenser som går utover driften til omdømme, regulering og tillit.
- Det kjennetegnende er beslutningsmyndighet, ikke størrelsen på arrangementet.
- En erklært krise suspenderer normale beslutningsruter og erstatter dem bevisst.
- Terskler må avtales før dagen, ellers erklærer ingen noe.
- Kommunikasjon er en del av responsen, ikke en ettertanke.
- Det som blir vurdert etterpå er kvaliteten på beslutningene, ikke bare resultatet.
Hva er krisehåndtering?
De fleste organisasjoner har en kontinuitetskapasitet og en hendelsesprosess, og antar at en krise er dekket sammen. Det er den vanligvis ikke. Kontinuitetsplaner forteller folk hvordan de skal fortsette å jobbe når en kjent aktivitet blir forstyrret. Hendelsesprosedyrer forteller tekniske team hvordan de skal håndtere en kjent problemkategori. Ingen av dem svarer på hva de skal gjøre når situasjonen er ukjent, informasjonen er omstridt, og valgene innebærer avveininger uten forutsett prosedyre.
Det er det gapet krisehåndtering fyller. Det er et lite sett med forhåndsavtalte ordninger: hvem kan erklære en krise, hvem samles, hva den gruppen har myndighet til å bestemme uten å gå tilbake til vanlig styring, og hvordan beslutninger og begrunnelsen deres registreres mens de tas.
Den ligger ved siden av forretningskontinuitet snarere enn inni den. Kontinuitetsplanen kan godt bli påkalt under en krise, og blir det ofte, men krisen er laget over å bestemme hva organisasjonen gjør med konsekvenser planen ikke dekker.
Når blir en hendelse en krise?
Organisasjoner tar feil i begge retninger. Noen erklærer krise for alt som er synlig, noe som utmatter teamet og devaluerer mekanismen. Andre erklærer aldri krise, og ledere improviserer rundt en prosedyre som ble utformet for noe mindre. Veien ut er å definere grensene på forhånd, på aksen som faktisk skiller dem: hvem som må bestemme.
| hendelsen | Crisis | Katastrofe | |
|---|---|---|---|
| Hvem bestemmer | Vaktholdet, innenfor gjeldende prosedyre og delegert myndighet. | Et sammenkalt kriseteam med forhåndsgodkjent myndighet. | Ledelse, ofte sammen med eksterne byråer. |
| Hva står på spill | Tjenestekvalitet og et definert driftsresultat. | Flere utfall samtidig, inkludert omdømme, regulatorisk posisjon og tillit. | Fysisk sikkerhet, levedyktigheten til et sted eller en organisasjon. |
| Hva responsen optimaliserer for | Gjenopprette tjenesten så raskt som prosedyren tillater det. | Den minst dårlige totalposisjonen, å bevisst akseptere noen tap. | Livssikkerhet først, deretter inneslutning, så alt annet. |
| Hvor det er dokumentert | Hendelsesprosedyrer og kjørebøker. | Kriseordninger: terskler, team, beslutningsrettigheter, logg. | Nød- og evakueringsplaner, koordinert eksternt. |
| Hvordan det ender | Tjenesten er gjenopprettet og saken er stengt. | En beslutning om å trekke seg, tatt av den samme myndigheten som erklærte den. | Ekstern avslutning, deretter en lang restitusjon. |
Den midterste kolonnen er den de fleste organisasjoner ikke har skrevet ned. Merk også at alvorlighetsgrad ikke er aksen. En liten teknisk feil kan bli en krise hvis konsekvensene er omfattende og den riktige responsen er genuint uklar, mens et stort driftsavbrudd med en innøvd løsning kan forbli en hendelse gjennom hele prosessen.
Det er et større bilde bak dette.
Denne siden dekker én del av forretningsrobusthet. Real Resilience – IOs rammeverk for å koble sammen sikkerhet, personvern og AI-styring – er der hele bildet kommer sammen.
Hvem sitter i kriseteamet, og hva kan de bestemme seg for?
Et kriseteam bør være lite nok til å kunne ta beslutninger. Utover omtrent syv personer blir det et orienterende publikum, og beslutningene flyttes til en roligere samtale et annet sted. Det mest nyttige du kan gjøre på forhånd er å skrive ned hva hver rolle har fullmakt til å gjøre uten å søke ytterligere godkjenning, og hva hver rolle bevisst ikke må gjøre.
| Rolle | Får bestemme alene | Burde ikke gjøre |
|---|---|---|
| Kriseleder | Erklære og trekke seg, sette prioriteringer, forplikte utgifter innenfor en avtalt grense. | Å kjøre enhver arbeidsflyt personlig. Lederens jobb er å bestemme, ikke å fikse. |
| Drift | Iverksett kontinuitetsordninger og omfordel folk mellom aktiviteter. | Venter på at det tekniske bildet er komplett før vi starter løsninger. |
| Teknologi | Teknisk inneslutning og gjenopprettingssekvensering innenfor de avtalte målene. | Ekstern orientering, eller forhandling av prioriteringer direkte med kunder. |
| kommunikasjon | Utsted forhåndsgodkjente holdingavtaler og velg kanal og tidspunkt. | Å komme med påstander om årsak eller tidsramme som teamet ikke har bekreftet. |
| Juridisk og personvern | Gi råd om varslingsplikter og ivareta bevis og taushetsplikt. | Fungere som en bremsekloss på driftsbeslutninger som er korrekt tatt av lederen. |
| Loggist | Registrer hver avgjørelse, informasjonen den hvilte på og tidspunktet. | Delta i beslutningene de registrerer. |
Loggisten er den rollen som oftest blir utelatt, og den som mest pålitelig lønner seg. En samtidig oversikt over hva som var kjent og når, er det som lar deg forsvare en rimelig avgjørelse som endte dårlig, og som er nesten umulig å rekonstruere etterpå. Enhver rolle trenger også en navngitt stedfortreder, fordi en krise som begynner klokken to om morgenen eller i løpet av en ferie ikke er et spesialtilfelle.
Hvordan håndteres egentlig en krise?
Sekvensen nedenfor er ikke en prosedyre som skal følges strengt. Det er settet med trekk som må ha en eier, fordi kriser i praksis går galt i skjøtene snarere enn midt i en enkelt aktivitet.
Erklæring er trinnet som avgjør hvordan resten går. Inntil noen med autoritet kaller situasjonen en krise, fortsetter organisasjonen å anvende normal prosess på en unormal hendelse, og hver time brukt på det begrenser alternativene. Derfor trenger terskelen et navn og en person knyttet til den, i stedet for å hvile på dommer i øyeblikket.
Å bestemme og kommunisere går parallelt, ikke i rekkefølge. Å vente på sikkerhet før man sier noe er en avgjørelse i seg selv, og vanligvis den feile, fordi stillhet fylles av andres beretninger.
Å aktivere kontinuitetsplanen er vanligvis en av kriseteamets tidligste beslutninger, snarere enn en separat prosess som pågår ved siden av. Kriseteamet bestemmer hva organisasjonen gjør med konsekvenser planen ikke når.
Hva skal krisekommunikasjon dekke?
Fire målgrupper, med ulike behov og ulike klokker. De ansatte må vite hva de skal gjøre og hva de skal si hvis de blir spurt, og de trenger det først, fordi de vil bli spurt. Kundene må vite hva som er berørt og hva de kan forvente, enkelt sagt, før de finner det ut andre steder. Leverandører og partnere må kanskje handle. Regulatorer og tilsynsmyndigheter har forpliktelser, og hvilke av dem som gjelder avhenger av arrangementets art.
Når det gjelder den siste gruppen, vær presis om hva som faktisk gjelder for deg, i stedet for å påta deg en generell plikt. Der hendelsen involverer et brudd på personopplysninger, setter den britiske GDPR en varslingsfrist på 72 timer fra man blir oppmerksom på bruddet, der bruddet oppfyller risikoterskelen. Sektorregimer har sine egne ordninger, og organisasjoner som omfattes av NIS 2, står overfor separate rapporteringstrinn som er angitt i veiledningen for krisehåndtering i NIS 2. Hvilken av disse som binder deg, er et spørsmål som må avgjøres på forhånd, fordi midt i en krise er et dårlig tidspunkt å etablere den på.
Forbered forberedende uttalelser før du trenger dem. Ikke detaljerte manus, som aldri passer til arrangementet, men godkjente strukturer som lar kommunikasjonen si noe nøyaktig i løpet av den første timen uten å sammenkalle en utkastkomité.
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Hvordan praktiserer du krisehåndtering?
Teknisk gjenopprettingstesting og kriseøvelser er forskjellige aktiviteter, og den ene erstatter ikke den andre. En gjenopprettingstest beviser at et system kommer tilbake. Den sier ingenting om hvorvidt lederne dine kan ta en omstridt beslutning med delvis informasjon mens telefonen ringer. De fem nivåene av teknisk testing dekkes av katastrofegjenopprettingsplanen.
Kriseøvelser fungerer annerledes. De er scenariobaserte, de holder bevisst tilbake informasjon, og verdien ligger i ubehaget. En nyttig øvelse setter det faktiske kriseteamet i et rom med et scenario som ikke har noe klart svar, injiserer ny informasjon underveis som ugyldiggjør en tidligere beslutning, og krever at de kommuniserer eksternt under tidspress. Det du tester er om autoriteten er tydelig, om tersklene betyr noe, og om folk kan bestemme seg uten enstemmig enighet.
To vaner gjør øvelsene verdt det. Bruk scenarier som er plausible for organisasjonen din, i stedet for dramatiske, og inkluder minst ett der det riktige svaret er å akseptere et tap. Team som bare har øvd på scenarioer som kan gjenopprettes, har en tendens til å nøle når et genuint offer er nødvendig. Registrer beslutningene og gjennomgå dem etterpå basert på resonnementet deres, ikke på om resultatet tilfeldigvis var bra.
Hvordan kobles krisehåndtering til bedrifters robusthet?
Krisehåndtering er den skarpeste testen på om styringen har produsert noe. Alt kriseteamet trenger på dagen ble enten bygget på forhånd eller er ikke tilgjengelig: å vite hvilke aktiviteter som er viktige, hvilke leverandører som står bak dem, hvilke data som er involvert, hvem som eier hva, og hva du allerede har fortalt kundene at du ville gjøre.
Resilience Loop kjører informasjonssikkerhet under ISO 27001 , databeskyttelse under ISO 27701 og AI-styring under ISO 42001 som ett sammenkoblet system. En krise forblir sjelden innenfor ett av disse domenene. En løsepengevirushendelse er en sikkerhetshendelse, et personvernspørsmål med varslingskonsekvenser og et kontinuitetsproblem samtidig, og et team som må konsultere tre separate systemer for å fastslå hvilke data som var involvert, mister timer de ikke har. Å kjøre dem som én driftsmodell er det som gjør svaret tilgjengelig på minutter. Den bredere strukturen er beskrevet i rammeverket for forretningsrobusthet.
Hvordan beviser du at krisehåndteringen din fungerer?
Kriseavtaler er blant de vanskeligste tingene å bevise, fordi det du vil demonstrere er en evne snarere enn et dokument. Hva som kan vises: selve avtalene med datoer og godkjenning, terskler og hvem som har hver myndighet, øvelseslogger med deltakere og scenarioer, beslutningslogger fra øvelser og fra eventuelle reelle hendelser, funnene og endringene som er gjort som et resultat.
Beslutningsloggen er det mest overbevisende artefaktet du kan ha, og det ingen produserer i ettertid. Det er også det som tydeligst skiller en organisasjon som øver fra en som eier en plan. Hvordan man bygger bevis som et biprodukt av arbeidet i stedet for å sette det sammen senere, er beskrevet i hvordan man beviser motstandskraft , og motstandskraftspoengsummen gir deg et grunnlag å måle mot.
Hvorfor velge ISMS.online for krisehåndtering?
Et kriseteam jobber ut fra det de kan finne i løpet av de første ti minuttene. ISMS.online er bygget slik at informasjonen allerede er der.
- Et syn på hva som avhenger av hvaAktiviteter, systemer, leverandører og data kartlagt sammen, slik at spørsmål om omfang har svar umiddelbart.
- Roller og autoritet registrertnavngitte eiere og stedfortredere med gjennomgangsdatoer, slik at teamsammensetningen er aktuell snarere enn historisk.
- Øvelses- og beslutningsrapporter: fange opp scenarier, deltakere, beslutninger og funn på samme sted som arrangementene.
- Varslingskontekst for håndenforpliktelsene knyttet til rammeverkene og kontraktene dine oppbevares sammen med hendelsen, ikke i et separat arkivsystem.
- Ett kontrollsett, hvert rammeverkkartlegg én gang og bruk på nytt på tvers av ISO 22301, ISO 27001, ISO 27701 og ISO 42001.
- Korrigerende tiltak sporet frem til avslutningFunn fra en øvelse blir arbeid med en eier, ikke et avsnitt i en rapport.
- Bygget for britiske og regulerte markeder: utviklet for organisasjoner som må bevise motstandskraft for å vinne og beholde kontrakter.
Se hvordan det passer sammen på plattformen for forretningsrobusthet , eller bestill en demonstrasjon.
Spørsmål og svar
Hva er forskjellen mellom krisehåndtering og hendelsesrespons?
Hendelsesrespons håndterer et anerkjent problem ved hjelp av etablerte prosedyrer, med myndighet allerede delegert til vakthavende team. Krisehåndtering håndterer situasjoner der problemet er ukjent, informasjonen er ufullstendig og valgene innebærer avveininger uten forutsett prosedyre. Den praktiske forskjellen er nivået beslutninger tas på og hvor mye skjønn innsatspersonene har.
Hvem skal kunne erklære en krise?
Et lite antall navngitte personer, hver med en stedfortreder, og ideelt sett inkludert noen tilgjengelig utenom arbeidstid som ikke er medlem av den utøvende makt. Å begrense erklæringen til én ledende person betyr at mekanismen avhenger av vedkommendes tilgjengelighet. Terskelen bør skrives ned slik at erklæringen er å anerkjenne en definert tilstand snarere enn å ta en karrierebeslutning.
Trenger vi en egen krisehåndteringsplan?
Du trenger separate ordninger, men de bør være korte. Det nyttige innholdet er terskler, teamet og deres beslutningsrettigheter, kontaktruter som fungerer når systemer ikke fungerer, kommunikasjonsstrukturer og hvordan beslutninger loggføres. Et langt krisedokument er et tegn på at kontinuitetsinnhold har blitt duplisert inn i det. Referer til kontinuitetsplanen og gjenopprettingsbøkene i stedet for å gjenta dem.
Hvor ofte bør kriseteamet øve?
Minst én gang i året med det virkelige teamet til stede, og igjen når medlemskapet endres vesentlig. Fordi kriseteam består av erfarne personer, er øvelser det første som utsettes, og et team som ikke har øvd sammen er i praksis en liste med navn. Kortere, hyppigere scenariodiskusjoner er lettere å holde og avdekker fortsatt mesteparten av tvetydigheten om autoritet.
Er krisehåndtering dekket av en standard?
Ingen enkelt standard er dedikert til dette, men det er adressert i flere. ISO 22301 dekker struktur for hendelsesrespons og kommunikasjon som en del av et system for styring av forretningskontinuitet, og ISO 22361 gir veiledning spesifikt om krisehåndtering. ISO 27001 bidrar gjennom sine hendelseshåndteringskontroller for informasjonssikkerhet. Ved å arbeide i henhold til ISO 22301 får du et styringssystem som sørger for at ordningene holdes eide, utøvd og gjennomgått.
