Bedömningen ska bygga på metod, inte på tyckande

En av de vanligaste invändningarna mot säkerhetsskyddsarbete är att det verkar bygga på tyckande. Två personer läser samma lagtext, tittar på samma verksamhet och kommer fram till olika svar.

Invändningen är rimlig. Det finns ingen mall som ger ett facit, och den som letar efter en kommer inte att hitta någon.

Men skillnaden mellan en bedömning och en åsikt är inte att bedömningen har ett facit. Skillnaden är att den går att följa, pröva och ifrågasätta.

Varför det inte finns någon checklista

Lagen bygger på en avvägning som är avsedd att vara kvalitativ.

Frågan är om verksamheten har betydelse för Sveriges säkerhet. Det går inte att avgöra med tröskelvärden, eftersom betydelsen beror på vad verksamheten gör, i vilket sammanhang, och vad som skulle hända om den slogs ut eller röjdes.

En checklista skulle antingen fånga in för många eller släppa igenom för många. Båda felen är dyra, och det senare är farligt.

Jämför med cybersäkerhetslagen, som är byggd tvärtom. Den använder sektorer och storlekströsklar och går att räkna på. Priset för den tydligheten är att den träffar verksamheter mekaniskt, oavsett om det är rimligt i det enskilda fallet.

Vad som gör en bedömning prövbar

Fyra saker skiljer en metodisk bedömning från en åsikt.

Den utgår från beskriven verklighet. Verksamheten ska vara beskriven i klartext innan den bedöms. Vad ni levererar, till vem, med vilka resurser, och vad som händer om det upphör.

Den följer en fast ordning. Skyddsvärden först, sedan hot, sedan sårbarheter, sedan åtgärder. Ordningen gör att slutsatsen inte kan smyga sig in i början.

Den redovisar sina antaganden. Varje slutsats vilar på antaganden om omvärlden, om beroenden och om konsekvenser. Skrivs de ut går de att pröva. Skrivs de inte ut är de osynliga och därmed oemotsägliga.

Den går att följa baklänges. Någon utifrån ska kunna läsa slutsatsen, gå tillbaka genom stegen och se var de skulle ha resonerat annorlunda.

En bedömning som klarar de fyra kraven kan fortfarande vara fel. Men den går att granska, och den går att revidera när något ändras.

Tre saker som gör bedömningar till tyckande

Att börja i slutsatsen. Många analyser inleds med en uppfattning om huruvida verksamheten omfattas. Resten blir motivering.

Att hoppa över beskrivningen. Utan en klartextbeskrivning av verksamheten hämtas underlaget ur deltagarnas minne, och minnet är olika hos olika personer.

Att inte skriva ner varför. En slutsats utan skäl går varken att försvara eller att ändra. Den blir en position i stället för ett resultat.

Vem som gör bedömningen

Bedömningen görs av verksamhetsutövaren. Ingen myndighet gör den åt er, och ingen godkänner den i förväg.

Det betyder inte att ni är ensamma. Tillsynsmyndigheten kan svara på frågor. Men ansvaret för slutsatsen ligger hos er, och det gäller även om ni tagit hjälp utifrån.

Därför är sammansättningen av gruppen som gör arbetet ett metodval i sig. Deltar bara säkerhetsfunktionen blir bedömningen säkerhetsfunktionens. Deltar drift, it, ledning och anläggningsansvariga blir underlaget bredare och slutsatsen mer hållbar.

Det inbyggda felet ingen märker

En ledningsgrupp lutar systematiskt åt ett håll, och det beror inte på okunskap.

Ingen driver linjen att den egna verksamheten saknar nationell betydelse. Det finns ingen i rummet vars uppgift är att pröva antagandet att man är viktig. Alla incitament pekar mot ja.

Resultatet blir analyser som överskattar den egna betydelsen. Det ser ut som försiktighet. Det är i själva verket en systematisk skevhet, och den kostar pengar.

Ett kommunalägt bolag inom dricksvatten hade den skevheten i sin analys. De hade läst sin lokala oumbärlighet som nationell betydelse. Ingen i arbetet hade haft till uppgift att ifrågasätta det.

Så skapar ni motståndet i metoden

Bygg in någon som ska pröva slutsatsen.

Det kan vara en person i gruppen som får uppdraget att argumentera för nej, oavsett vad de själva tror. Det kan vara en granskning av någon utanför verksamheten. Det kan vara ett krav på att varje skyddsvärde ska motiveras med vem konsekvenserna når utanför er egen krets.

Poängen är att motståndet ska finnas i arbetssättet och inte hänga på att någon råkar vara skeptisk av läggning.

Gör det här den här veckan

Ta er nuvarande slutsats, om ni har en. Skriv ner de tre antaganden den vilar på.

Ge sedan listan till någon som inte deltog i arbetet och be dem svara på en fråga. Vilket av de här antagandena skulle du ifrågasätta först.

Om ni inte kan skriva ner tre antaganden har ni inte en bedömning. Ni har en uppfattning, och den kommer inte att hålla vid en tillsyn, i en företagsbesiktning eller den dag verksamheten förändras och någon frågar varför slutsatsen fortfarande gäller.