Därför behöver internrevisionen ge tid att tänka

Caroline Kraft arbetar som rådgivare och internrevisor inom informationssäkerhet, kontinuitet och kvalitet. Genom sitt företag Just Zimple hjälper hon organisationer att omsätta standarder och regelkrav i ett praktiskt förbättringsarbete. När hon efter två dagar hos en kund drog slutsatsen att nästa års internrevision borde kunna genomföras på kortare tid fick hon därför ett oväntat svar.

Kundens säkerhetschef höll inte med.

– Han sa: ”Jag gillar att vi har tid för diskussionerna. De här dagarna ger mycket utrymme för reflektion.”

Svaret fick henne att tänka om. Den tid som kunde se överflödig ut i revisionsplanen fyllde i själva verket en viktig funktion. Säkerhetschefen var ensam i sin roll, hade även ansvar för it och saknade personer att regelbundet diskutera styrning, struktur och informationssäkerhet med.

Internrevisionen gav honom ett efterlängtat tillfälle att lyfta blicken.

– Vi springer väldigt fort, arbetar i våra silos och genomför våra aktiviteter. Informationsklassning, riskanalys och kontroller i Annex A – check, check, check. Men hur ofta stannar vi upp och frågar hur allt faktiskt hänger ihop? säger Caroline Kraft.

Dokumentet är inte målet

Caroline Kraft har mött verksamheter där informationsklassningen har genomförts, dokumenterats i ett kalkylblad och sedan blivit liggande. Aktiviteten är avslutad, men resultatet används inte för att fatta beslut.

Det är ett exempel på hur arbetet kan tappa kontakten med sitt egentliga syfte. Informationsklassning görs inte för att organisationen ska kunna säga att den är genomförd. Klassningen ska visa vilken information som är viktig, vilket skyddsbehov den har och vilka åtgärder som därför är relevanta.

– Varför ska vi genomföra en massa aktiviteter om vi inte använder resultatet till någonting?

Samma problem kan uppstå inom riskhantering, målstyrning och kontinuitetsarbete. Varje område får sin ansvariga, sin metod och sina dokument. Trots att delarna påverkar varandra hanteras de i separata spår.

Internrevisionen kan bli ett tillfälle att dra i trådarna mellan dem. Vad betyder verksamhetens övergripande mål för säkerhetsarbetet? När ska en risk lyftas till ledningen? Vilken information krävs för att en prioriterad leverans ska fungera? Och varför har olika delar av organisationen skilda sätt att bedöma samma slags risk?

Det är frågor som sällan kan besvaras genom att enbart kontrollera om rätt dokument finns.

Från avvikelsejakt till förbättring

Caroline Kraft har själv suttit på kundsidan under externa revisioner. Erfarenheten har lärt henne hur stor skillnad arbetssättet kan göra – både för upplevelsen av en extern revision och för den verksamhetsnytta som en internrevision skapar.

En revision kan vara korrekt genomförd och ändå lämna verksamheten utan nya insikter. Revisorn konstaterar att underlagen finns, prickar av kraven och går vidare. Det kan behövas, men det räcker inte för att skapa utveckling.

– Revisionen är en del av förbättringsarbetet. Jag vill att kunden efteråt ska känna: ”Wow, nu har vi massor av bra idéer till hur vi faktiskt kan bli bättre.”

Det kräver en revisor som är nyfiken och pragmatisk. Caroline Kraft beskriver hur hon ibland börjar tekniska intervjuer med att säga att hon inte är den tekniska experten och därför kommer att ställa enkla frågor. Just de frågorna kan göra det nödvändigt för verksamheten att förklara varför en åtgärd finns, hur den används och vilken nytta den skapar.

Revisorns uppgift är inte att tala om för specialisterna hur de ska sköta sina områden. Värdet ligger snarare i att se samband, utmana invanda antaganden och hjälpa organisationen att upptäcka glapp mellan olika delar av styrningen.

Börja i verksamhetens leverans

Ett sätt att skapa helhet är att utgå från det som verksamheten faktiskt måste kunna leverera. Först därefter identifieras informationen, systemen, människorna och leverantörerna som leveransen är beroende av.

Det perspektivet kan förena kvalitet, informationssäkerhet, riskhantering och kontinuitet. I stället för att varje funktion gör sin egen kartläggning kan verksamheten bygga en gemensam bild av vad som är viktigt och var resurserna gör störst nytta.

Det handlar inte om att skapa ännu ett ledningssystem vid sidan av verksamheten. Alla organisationer har redan processer för hur arbetet bedrivs, styrs och följs upp. Uppgiften är att bygga vidare på det som finns och väva in kraven där de hör hemma.

Annars finns risken att organisationen blir kravstyrd: en rad för varje kontroll i Iso 27001, ytterligare krav från andra standarder och regelverk samt separata underlag för varje specialistområde. Samma process, exempelvis incident- eller leverantörshantering, kan då beskrivas och granskas flera gånger.

Med verksamhetens leveranser som gemensam utgångspunkt blir det lättare att se att flera krav kan mötas genom samma välfungerande process.

En internrevision måste naturligtvis pröva om ledningssystemet uppfyller kraven och fungerar som avsett. Men om arbetet stannar vid kontroll går en stor del av möjligheten förlorad.

– Vi behöver inte alltid göra mer. Ibland behöver vi bara hinna tänka.

Fem tips för en internrevision som skapar verklig förbättring

1. Börja med syftet

Klargör vad varje aktivitet och kontroll ska åstadkomma. Fråga inte bara om informationsklassningen är gjord, utan hur resultatet påverkar skydd och prioriteringar.

2. Följ sambanden

Undersök hur mål, risker, processer, information och åtgärder hänger ihop. Leta särskilt efter delar som hanteras i olika organisatoriska silos.

3. Utgå från leveransen

Fråga vad verksamheten måste kunna leverera och vilka människor, system, informationsmängder och leverantörer som krävs för det. Då blir prioriteringarna mer konkreta.

4. Ge samtalen utrymme

Planera inte revisionsdagarna så hårt att varje minut fylls av kontrollfrågor. De oväntade resonemangen kan leda till de viktigaste insikterna.

5. Avsluta framåtriktat

Redovisa avvikelser, men fånga också förbättringsidéer, möjliga samarbeten och frågor som organisationen behöver arbeta vidare med. En bra revision ska skapa handlingskraft.