Den saknade pusselbiten för ett framgångsrikt säkerhetsarbete är sällan brist på teknik eller kompetens. Det är brist på ledarskap. Att kunna leda och styra området är avgörande för att åtgärder som ska öka robustheten ska få genomslag i hela verksamheten. Ledningen behöver förstå och styra säkerhetsarbetet som en strategisk verksamhetsfråga. Samtidigt ska den som leder säkerhetsarbetet i allt större grad leda människor och driva förändring, och inte enbart hantera säkerhetsfrågor. I det här blogginlägget utforskar organisationspsykologen Joakim Jonassen och säkerhetsexperten Annamaria Sundbye Feldt varför ledarskap spelar en avgörande roll för att skapa motståndskraft.
I ett tidigare blogginlägg beskrev Annamaria varför trygga beslutsfattare är en förutsättning för att integrera säkerhetsarbetet i verksamhetens strategiska, taktiska och operativa styrning. Här bygger vi vidare på samma spår och utforskar vad ett sådant ledarskap innebär i praktiken.
Vi befinner oss i en tid där förutsättningarna ständigt förskjuts och det som gällde igår inte nödvändigtvis gäller i morgon. Säkerhetsområdet präglas av ett högt förändringstempo. Nya regelverk skapar ökade krav på styrning, kontroll och ansvarstagande. Samtidigt utvecklas tekniken i snabb takt och förändrar både vad organisationer kan göra, hur de arbetar och vilka hot de möter.
Förändringen handlar dock inte bara om teknik. Den påverkar också våra beteenden, våra arbetssätt och relationen mellan människor, verksamhet och teknik. I takt med att digitaliseringen fördjupas växer också beroendena, mellan system, leverantörer och organisationer. Det skapar nya möjligheter, men också nya risker att förstå och hantera.
Att leda en verksamhet på högsta nivå innebär ansvar för helheten. Säkerheten är en självklar del av det ansvaret. Du behöver inte vara expert. Däremot behöver du förstå tillräckligt för att kunna styra säkerhetsarbetet som en strategisk verksamhetsfråga, fatta välgrundade beslut och ställa rätt frågor. Att kunna leda säkerhetsfrågorna är inte bara en naturlig följd av frågornas ökande tyngd utan också en efterlevnadsfråga, exempelvis för verksamheter som omfattas av cybersäkerhetslagen, där ledningens ansvar för säkerhetsarbetet har förtydligats.
Ledarskapet förändras inte bara i organisationens högsta ledning. Även den som leder säkerhetsarbetet rör sig i dag på en betydligt större och mer komplex spelplan. Säkerhetsområdet har breddats, professionaliserats och blivit mer integrerat i verksamheten. Fler specialistkompetenser behöver samverka och säkerhetsfrågorna berör allt fler delar av organisationen. Det ställer nya krav på den som leder säkerhetsarbetet. Tidigare kunde en säkerhetschef lyckas genom att identifiera risker och formulera krav. Idag räcker inte det. När säkerhetsfrågor påverkar hela verksamheten behöver den som leder säkerhetsarbetet skapa förståelse hos chefer, hjälpa till att prioritera mellan motstridiga behov, bygga relationer i verksamheten och få andra att ta ansvar för säkerheten.
Säkerhetsarbete blir framgångsrikt först när ledningen ser det som en integrerad del av verksamhetsstyrningen och den som leder säkerhetsarbetet tar rollen som ledare för förändringen, inte enbart som expert på säkerhetsfrågor. Det räcker alltså inte längre att säkerhetsledaren har rätt svar. Framgången avgörs i allt högre grad av förmågan att få andra att agera utifrån dem.
Vad är det egentligen som gör att säkerhetsarbetet inte får genomslag, trots investeringar i teknik, processer och kompetens? För att förstå det behöver vi lämna de tekniska lösningarna och rikta blicken mot organisationen och människorna i den.
Som organisationspsykolog möter Joakim ofta organisationer som har investerat i rätt system, rätt policyer och rätt utbildningar, men som ändå inte lyckas skapa en verklig säkerhetskultur. Orsaken är sällan teknisk. Den är mänsklig.
En av de mest underskattade barriärerna är beslutsoförmågan på ledningsnivå. Inte för att intresset saknas, utan för att frågorna upplevs som svårtillgängliga. Resultatet blir ett vakuum där säkerhetsansvariga arbetar utan tydliga mandat och ledningen godkänner sådant som de inte alltid förstår konsekvenserna av. Forskning om organisationsförändring är tydlig. Kulturen formas uppifrån. Inte nödvändigtvis genom det bästa policydokumentet utan genom vad ledare faktiskt prioriterar och följer upp.
Ett annat vanligt mönster är mål som mäter efterlevnad snarare än beteende. Exempel på sådana mål är “antal genomförda utbildningar” och “andel anställda som har signerat policyn”. Sådana mål kan bidra till ett nuläge men är otillräckliga för att förstå helheten. Det vi egentligen behöver följa är om människor agerar annorlunda i vardagen, om de rapporterar misstänkta händelser, ställer frågor och förstår hur de ska omsätta krav på säkerhet inom sitt ansvarsområde. Mätetal styr uppmärksamhet. Mäter vi bara regelefterlevnad, är det regelefterlevnad vi odlar.
En tredje utmaning är synen på säkerhet som ett projekt med ett slutdatum. Många organisationer genomför en insats, bockar av ett krav och går vidare. Till nästa incident inträffar. Forskning om organisationer i högriskmiljöer, från flyg till sjukvård, visar att det som skiljer de mest tillförlitliga organisationerna åt inte är fler regler, utan kollektiv vaksamhet och strukturer för lärande. Nyare forskning går ett steg längre och argumenterar för att vi behöver sluta mäta säkerhet enbart genom det som går fel och börja förstå varför saker vanligtvis går rätt. Och för att det ska vara möjligt krävs psykologisk trygghet där medarbetare vågar lyfta problem utan rädsla för konsekvenser. Organisationer där det inte är tryggt att flagga för risker är strukturellt blinda för sina egna sårbarheter.
Vi ser dessa utmaningar i såväl privat som offentlig sektor med organisationer som konsekvent underskattar den organisatoriska dimensionen. Ett visst resultat förväntas, men när beteendet inte förändras uppstår förvåning. Att integrera säkerhet på riktigt är en större förflyttning än de flesta ledningsgrupper räknar med. Det berör hur beslut fattas, hur risker kommuniceras och hur ansvar fördelas på alla nivåer.
Ledarskap i säkerhetsarbetet handlar därför inte om att bli expert på sakfrågor. Det handlar om att ställa rätt frågor, skapa utrymme för att lyfta risker och göra säkerhet till en del av hur verksamheten faktiskt leds, från en punkt på agendan till ett sätt att tänka. Det innebär också att skapa förutsättningar för samverkan genom att tydliggöra gemensamma mål, uppmuntra samarbete och ställa krav på att olika delar av verksamheten arbetar tillsammans.
Säkerhetsarbetets framgång hänger inte ensidigt på fler eller vassare säkerhetsexperter. De behövs utan tvekan för att lösa områdets utmaningar. Givet dagens föränderliga landskap ökar dock betydelsen av ledarskapet; om ledningen tar ett strategiskt ansvar för säkerhetsfrågorna och om den som leder säkerhetsarbetet har förmåga att leda människor, skapa engagemang och driva förändring.
Att bygga ett systematiskt säkerhetsarbete är ett verksamhets- och förändringsarbete. Säkerhetsfrågorna behöver integreras i samma strukturer för planering, prioritering, resurssättning och uppföljning som andra verksamhetsövergripande frågor. När säkerhet blir en naturlig del av hur verksamheten leds ökar också förutsättningarna för att skapa verklig motståndskraft.
• Se till att frågor om säkerhet, risker och beroenden blir en naturlig del av beslut om verksamhetens utveckling, investeringar och förändringar.
• Involvera säkerhetsansvariga tidigt i verksamhetsutvecklingen, så att säkerhetsaspekten kan påverka beslut innan de är fattade.
• Följ upp hur säkerhetsfrågor hanteras i verksamheten och omsätts i det dagliga arbetet: Hanteras risker strukturerat? Samverkar olika funktioner? Har chefer förutsättningar att fatta välgrundade beslut som inkluderar säkerhetsaspekten? Det som mäts påverkar utfallet.
• Skapa forum där verksamheten och stödjande resurser kan planera och prioritera tillsammans.
• Uppmuntra en kultur där medarbetare vågar lyfta problem och risker.
Säkerhetsområdet kommer att fortsätta förändras i hög takt. Nya hot, ny teknik och nya regelverk kommer att ställa organisationer inför nya utmaningar. Den avgörande frågan blir därför inte vilka krav som kommer härnäst, utan om organisationen har ledare som kan omsätta dem i handling.