Om en centralisering af IT og sikkerhed gav den lovede effekt, kan vises med to målinger: én før reorganiseringen og én, når den nye organisation har fundet sin form. Målingerne skal bruge samme metode og samme områder, og de skal dække alle de enheder, der flyttes, også dem, der var sværest at samle.
Ingen kilde har målt, om centralisering forbedrer sikkerheden. Det følgende er praksis.
Hvad der typisk loves
En centralisering begrundes ofte med færre forskellige løsninger, ensartede processer, bedre overblik og stærkere faglige miljøer. For sikkerheden kan det betyde fælles adgangsstyring, fælles overvågning, én beredskabsplan og én sikkerhedsfunktion med samlet ansvar.
Vejledningen fra Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, anbefaler, at sikkerhedsorganisationen er fagligt forankret på direktionsniveau og rapporterer direkte til bestyrelsen. Det siger noget om, hvor sikkerheden bør høre hjemme i organisationen, men ikke om, hvorvidt den skal ligge centralt eller lokalt i en koncern.
Løfterne er rimelige, men de er løfter. To målinger kan vise, om de holdt.
Før-målingen
Det er praksis at lave før-målingen, mens den gamle organisation stadig er intakt. Den bør dække alle de enheder, der skal samles, og de områder, centraliseringen forventes at ændre.
Det er nyttigt på forhånd at skrive ned, hvilke områder der forventes at blive bedre, og hvor meget. Et tænkt eksempel: koncernen forventer, at overvågning og beredskab rykker et trin, fordi de samles i én funktion, mens adgangsstyring forventes at rykke, når der kommer én fælles proces.
Med forventningerne på skrift kan det bagefter afgøres, om netop den ventede effekt kom.
Overgangen
Under en reorganisering er der ofte en periode, hvor ansvaret er uklart. Gamle roller er nedlagt, nye er ikke helt på plads, og nøglepersoner kan forsvinde. Det er en risiko, der er værd at planlægge efter.
Det er praksis ikke at måle midt i overgangen, medmindre formålet netop er at se, om noget falder ned mellem stolene. En måling midt i forandringen giver et billede, der hverken siger noget om den gamle eller den nye organisation. Hvordan en måling midt i en forandring tilrettelægges, er beskrevet i måling midt i en forandring.
Efter-målingen
Efter-målingen bør laves, når den nye organisation har kørt så længe, at processerne er i brug. Den sammenholdes med før-målingen område for område og enhed for enhed.
Det er vigtigt at se på enhederne for sig. En centralisering kan løfte koncernens gennemsnit, mens enkelte enheder falder, fordi de mistede lokal viden eller lokal tilstedeværelse. En lokation, der før havde en IT-medarbejder på stedet, kan miste noget, som en central funktion ikke fanger.
Det, der ikke kan måles med en modenhedsscore
Nogle effekter af en centralisering viser sig ikke i en modenhedsvurdering. Det gælder fx, hvor hurtigt en hændelse i en fjern enhed opdages og håndteres, eller om lokale ledere stadig føler ansvar for sikkerheden.
Det er praksis at supplere de to målinger med nogle få nøgletal, der følges løbende, fx tid til at opdage og håndtere hændelser og andelen af fund, der lukkes til tiden. De skal være defineret før reorganiseringen, så de kan sammenlignes. Nøgletal mellem to vurderinger er emnet i nøgletal mellem to vurderinger.
Til bestyrelsen
Bestyrelsen godkender typisk en større reorganisering ud fra en forventet gevinst. To målinger giver bestyrelsen mulighed for at se, om gevinsten kom. Det er praksis at præsentere resultatet sammen med de forventninger, der blev skrevet ned før, så sammenligningen bliver ærlig.
Tidsplan for de to målinger
Det er praksis at lægge tidsplanen for de to målinger, samtidig med at reorganiseringen besluttes. Så bliver målingerne en del af projektet og ikke noget, der kommer bagefter.
Før-målingen bør ligge så tæt på reorganiseringens start som muligt, men før de første ændringer træder i kraft. Ligger den for tidligt, kan der være sket ændringer i mellemtiden, som ikke skyldes centraliseringen.
Efter-målingen bør ligge, når den nye organisation har kørt længe nok til, at processerne er i brug, men ikke så sent, at andre ændringer blander sig. Et tænkt eksempel er en før-måling i kvartalet før start og en efter-måling, når den nye organisation har kørt et års tid.
Det er også praksis at bruge samme part til begge målinger. Skifter den, der måler, bliver det svært at skelne mellem effekten af reorganiseringen og forskellen i vurdering.
En sidste ting er de enheder, der ikke blev centraliseret. Mange koncerner lader enkelte selskaber beholde egen IT, fx fordi de er nyopkøbte eller har særlige krav. Det er praksis at tage dem med i begge målinger som en sammenligningsgruppe. Udvikler de sig på samme måde som de centraliserede, er det et tegn på, at ændringen skyldes noget andet end reorganiseringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en før-måling af alle de enheder, der samles, skriftlige forventninger til effekten og en efter-måling med samme metode.
Uden de to målinger kan ingen sige, om centraliseringen styrkede sikkerheden. Fald i enkelte enheder kan gå ubemærket hen, fordi koncernens gennemsnit ser fint ud.
Det skal I lade være med
- At måle midt i overgangen · billedet siger hverken noget om før eller efter.
- At se kun på koncernens gennemsnit · enkelte enheder kan falde.
- At glemme at skrive forventningerne ned · så kan effekten ikke vurderes.
Det skal gennemgangen kunne vise
- ☐ En før-måling af alle de enheder, der samles.
- ☐ Skriftlige forventninger til effekten pr. område.
- ☐ En efter-måling med samme metode, enhed for enhed.
- ☐ Nøgletal, der er fulgt gennem hele reorganiseringen.
Kilder
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion, september 2023, tema 6, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de forventede effekter af reorganiseringen ned pr. område, og planlæg før-målingen, mens den gamle organisation stadig står.
Læs også: Uklart ansvar mellem koncern-CISO og enhederne · Fælles tjenester og shared service
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
