Budget, prioritering og måling over tid

En modenhedsrapport har kun værdi, hvis den ændrer noget. Anbefalingerne skal i en rækkefølge, gabene skal blive til en køreplan, og nogen skal beslutte, hvem der betaler for at lukke fundene. Året efter skal en ny måling kunne vise, om det virkede, uden at metoden har flyttet sig under jer. Artiklerne her handler om den vej. De beskriver prioritering, investeringssag og risikoaccept uden beløb, og de viser, hvordan en måleserie holdes ærlig gennem fald, genvurderinger og store forandringer.

Temaet er skrevet til CISO og IT-direktør, der skal omsætte rapporten til handling, og til bestyrelsen og revisionsudvalget, der skal følge, om pengene og indsatsen går derhen, hvor gabene er.

Fra rapport til prioritering

• Prioritering af anbefalinger: risiko, indsats og afhængigheder Risiko, indsats og afhængigheder.
• Fra rapport til flerårig køreplan med målniveauer Målniveau, dato og handlinger.
• Fra modenhedsgab til investeringssag Gabet koblet til en uacceptabel risiko.
• Følger pengene fundene? Sikkerhedsbudgettet holdt op mod de laveste scorer Indsatserne holdt op mod scorerne.
• Hvem betaler for at lukke enhedens fund: central pulje eller lokalt budget? Central pulje eller lokalt budget.
• Risikoaccept af fund: hvem må acceptere hvad i en koncern? Mandat og tolerance.
• Fundregistret for hele koncernen: ejer, frist og status ét sted Ejer, frist og status ét sted.

Måleserien

• Måling over tid: sammenlign år for år uden at snyde jer selv Metode, omfang og skala ligger fast.
• Når scoren falder: sådan forklares et tilbageskridt Strengere måling eller dårligere sikkerhed.
• Genvurdering: fuld gentagelse eller kun de områder, der har flyttet sig? Fuld eller delvis gentagelse.
• Opfølgende måling i de enheder, der halter Afgrænset til det, der haltede.
• Modenhedsscore i enhedsledernes mål og bonus Personlig interesse i tallet.

Store forandringer

• Outsourcing af driften: mål niveauet før og efter overdragelsen Før og efter overdragelsen.
• Centralisering af IT og sikkerhed: mål før og efter To målinger om reorganiseringen.

Hvad det kræver, og hvad det koster at lade være

Det kræver en prioritering, der kan forklares, og en køreplan, hvor hvert område har et målniveau og en dato. Det kræver et fælles fundregister, regler for risikoaccept og en beslutning om, hvem der betaler. For måleserien kræver det, at metode, omfang og skala ligger fast, og at hver ændring står i rapporten.

Uden det bliver rapporten liggende, og de laveste scorer får ingen indsats, fordi andre ønsker kommer først. Næste måling viser et fald eller en stigning, ingen kan forklare, og bestyrelsen kan ikke afgøre, om investeringerne har virket.

Det skal I lade være med

• At prioritere efter, hvad der er lettest · risikoen bestemmer rækkefølgen.
• At lade enheden acceptere en risiko over tolerancen · den hører hjemme højere oppe.
• At skjule et skift i metoden · det skal stå i rapporten.
• At knytte bonus til et tal, der ikke efterprøves · tallet bliver pænere end virkeligheden.

Det skal gennemgangen kunne vise

• ☐ Hvordan anbefalingerne er prioriteret, og hvem der besluttede rækkefølgen.
• ☐ Hvilke fund der er accepteret, af hvem og inden for hvilken tolerance.
• ☐ Om sikkerhedsindsatsen ligger i de områder, hvor gabene er størst.
• ☐ Hvilke ændringer i metode, omfang og skala der er sket siden sidste måling.

Senest gennemgået: november 2026.

Næste skridt

• Prioritering af anbefalinger
• Måling over tid

Læs også: Modenhed: hvad der måles · Typiske fund i store organisationer

→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT