3.5 Sikkerhetskultur

Verdens beste alarm hjelper ikke alene

Se for deg en bedrift med markedets dyreste sikkerhetsutstyr -- avanserte kameraer, biometriske låser, alarmer overalt. Og så holder en ansatt døra åpen for en fremmed fordi det er litt tungvint å bruke adgangskortet. I det øyeblikket er all teknologien verdt lite. Dette er hele poenget med dette kapittelet: mennesket er den viktigste sikkerhetsfaktoren.

Sikkerhetskultur handler om hvordan en organisasjon tenker, snakker og handler når det gjelder sikkerhet i det daglige. En sterk sikkerhetskultur kjennetegnes av at sikkerhet er noe alle tar ansvar for -- ikke bare sikkerhetspersonalet. Det handler om å skape et miljø der ansatte forstår hvorfor rutinene finnes, følger dem frivillig og bidrar til å forbedre dem. I dette kapittelet skal vi se på holdninger, opplæring, rapportering og bevisstgjøring -- og hvorfor ledelsen er helt avgjørende.

Holdningspyramiden og veien oppover

Det er stor forskjell på en organisasjon der sikkerhet oppfattes som en byrde, og en der det er en selvfølge. I en dårlig sikkerhetskultur ses rutiner som unødvendig byråkrati, ansatte tar snarveier, dører holdes åpne, passord deles på gule lapper, og hendelser rapporteres ikke av frykt for konsekvenser. I en god sikkerhetskultur er sikkerhet en naturlig del av hverdagen, ansatte forstår hvorfor rutinene finnes, avvik rapporteres åpent uten frykt for straff, og ledelsen går foran som gode eksempler.

Holdninger til sikkerhet kan beskrives i en holdningspyramide med fire nivåer. På nivå 1, reaktiv, reagerer man først når noe har skjedd. På nivå 2, avhengig, følger man regler fordi man må. På nivå 3, uavhengig, tar man personlig ansvar for sikkerheten. Og på nivå 4, gjensidig avhengig, passer alle på hverandre og jobber sammen. Målet er å bevege organisasjonen oppover i pyramiden -- fra reaktiv til gjensidig avhengig.

Forskjellen mellom topp og bunn er slående. En reaktiv organisasjon lager nye regler etter en alvorlig hendelse, men interessen dabber raskt av, og ledelsen leter etter noen å legge skylden på. En gjensidig avhengig organisasjon minner hverandre på å bruke adgangskort, rapporterer avvik frivillig, foreslår forbedringer, og ledelsen anerkjenner god sikkerhetsatferd. Sikkerhet blir en naturlig del av samtalene og beslutningene.

Modet til å rapportere og kraften i ledelsen

En grunnpilar i god sikkerhetskultur er systematisk avviksrapportering -- å registrere og følge opp hendelser, nestenulykker og brudd på rutiner for å lære av dem. Det som bør rapporteres er sikkerhetshendelser, nestenulykker, regelbrudd, tekniske feil, mistenkelige observasjoner og forbedringsforslag. Rapporteringsprosessen har seks steg: oppdagelse, rapportering, vurdering, tiltak, oppfølging og læring. Hvert steg betyr noe -- uten oppdagelse fanges ingenting opp, og uten læring gjentar de samme feilene seg.

Men rapportering møter barrierer. Folk frykter å bli sett på som sladrehank, er usikre på hva som er verdt å rapportere, synes skjemaene er kompliserte, eller frykter konsekvenser ved egne feil. For å overvinne dette må ledelsen tydelig kommunisere at rapportering er ønsket, at det er trygt å rapportere, og at alle rapporter følges opp og gis tilbakemelding. Frykt for negative konsekvenser er den vanligste barrieren, og en trygg rapporteringskultur er nøkkelen til å bryte den.

I tillegg er opplæring og bevisstgjøring avgjørende. Alle ansatte bør lære om adgangskontroll, besøksrutiner, brannrutiner, passordhygiene og sosial manipulasjon (social engineering). Regelmessige øvelser -- brann- og evakueringsøvelser, beredskapsøvelser og tabletop-øvelser -- holder beredskapen oppe. Og gjennom kampanjer, phishing-tester og synlig informasjon holdes sikkerheten på dagsordenen hele tiden. Men aller viktigst er ledelsens rolle. Ledelsen setter tonen for hele organisasjonen: bruker sjefen alltid adgangskort og følger rutinene selv, smitter det. Setter ledelsen sikkerhet på dagsordenen i ledermøtene og roser dem som rapporterer, skapes en kultur der det er positivt å engasjere seg i sikkerhet. Ser de ansatte derimot at sjefen tar snarveier, oppfatter de raskt at rutinene ikke er viktige.

Oppsummering

De beste tekniske systemene har liten verdi uten en god sikkerhetskultur -- de felles verdiene og holdningene som styrer hvordan sikkerhet behandles i hverdagen. Holdningspyramiden har fire nivåer, fra reaktiv via avhengig og uavhengig til gjensidig avhengig, og målet er å bevege seg oppover slik at alle tar felles ansvar.

Systematisk avviksrapportering gjennom seks steg gir læring, men møter barrierer -- særlig frykt for konsekvenser. Trygg rapportering, god opplæring i blant annet sosial manipulasjon og passordhygiene, regelmessige øvelser og kontinuerlig bevisstgjøring bygger kulturen. Aller viktigst er ledelsen, som setter tonen for hele organisasjonen ved selv å følge rutinene og anerkjenne god sikkerhetsatferd.