Når modenhedsscoren falder, er det første spørgsmål, om sikkerheden er blevet dårligere, eller om målingen er blevet strengere. Svaret findes ved at gå faldet igennem område for område og holde det op mod de ændringer i metode, omfang og auditor, der er sket siden sidst.
Forklaringen til bestyrelsen er praksis. ENISA’s NIS360 er et eksempel på, hvordan en måler skiller metodeændringer fra reelle ændringer.
Et eksempel fra en stor måler
ENISA’s NIS360 vurderer de kritiske sektorer i EU. Rapporten bruger faste kerneindikatorer, der går igen fra udgave til udgave, så udviklingen kan følges. Modellen justeres også for, at selvvurderinger har indbyggede skævheder.
Det er to greb, en koncern kan bruge, når scoren falder. De faste indikatorer viser, om faldet også ses i den del af målingen, der ikke er ændret. Kalibreringen minder om, at selvvurderinger ofte giver et for pænt billede, og at et fald efter et skift til ekstern vurdering kan være en korrektion snarere end en forværring.
Fire spørgsmål, før faldet forklares
Det er almindelig praksis at stille fire spørgsmål.
Er metoden ændret? Gik koncernen fra selvevaluering til ekstern vurdering, eller fra spørgeskema til stikprøver, er et fald forventeligt. Bevisdybden er steget, og områder, der før blev vurderet på et ja, skal nu dokumenteres.
Er omfanget ændret? Kom et opkøbt selskab med i målingen, kan det trække koncerntallet ned, selv om de øvrige selskaber står stille eller er rykket frem.
Er auditoren ny? En ny auditor kan vurdere anderledes. Det er værd at se, om faldet er jævnt fordelt, hvilket peger på en anden vurderingsstil, eller samlet i få områder, hvilket oftere peger på reelle ændringer.
Er der sket noget i virkeligheden? Har en nøgleperson forladt koncernen, er et system faldet ud af support, eller er en proces gået i stå efter en reorganisering? Det er de reelle årsager.
Faldet område for område
En samlet score skjuler mere, end den viser. Det er praksis at bryde faldet ned på områder og selskaber. Ofte viser det sig, at få områder står for hele faldet, og at de fleste er uændrede eller bedre.
Det er nyttigt at sortere faldene i tre grupper:
- Metodefald · Kendetegn: Ses kun i områder, hvor bevisdybden er øget · Hvad der skal ske: Forklares i metodenoten; nyt udgangspunkt
- Omfangsfald · Kendetegn: Skyldes nye enheder i målingen · Hvad der skal ske: Vises med og uden de nye enheder
- Reelt fald · Kendetegn: Ses også i den faste kerne og har en konkret årsag · Hvad der skal ske: Ind i køreplanen med ejer og frist
Opdelingen er sitets forslag. Den gør det lettere at tale om faldet uden at bortforklare det.
Forklaringen til bestyrelsen
Det er praksis at forklare et fald i fire led: hvad der er faldet, hvorfor, hvor meget der skyldes måling og hvor meget virkelighed, og hvad der gøres ved den reelle del.
Bestyrelsen bør få den forklaring, før den ser tallet, eller samtidig med. Et fald uden forklaring skaber uro og kan føre til forhastede beslutninger. Et fald med en klar forklaring kan være et tegn på, at målingen er blevet bedre.
Det er også vigtigt at være ærlig om den reelle del. En forklaring, der kun peger på metoden, mister troværdighed, hvis den faste kerne også viser et fald. Enheder, der ikke kan genkende deres fald, har deres egen artikel: når enheden er uenig i sin score.
Et nyt udgangspunkt
Når faldet skyldes en strengere metode, er det praksis at bruge den nye måling som nyt udgangspunkt for serien. De gamle tal beholdes, men med en markering af, at de er lavet efter en anden metode. Så kan udviklingen fremover følges fra et ærligt grundlag. Hvordan serien holdes sammenlignelig, er emnet i måling over tid.
Et tænkt eksempel
Et tænkt eksempel: En koncern har i tre år målt med selvevaluering og en let gennemgang. I år er målingen lavet med interview og stikprøver i alle selskaber, og et nyt selskab er kommet med. Koncernens samlede score falder.
Når faldet brydes ned, viser det sig, at det nye selskab står for en del af faldet. Uden det er faldet mindre. Af det resterende fald ligger det meste i områder, hvor stikprøverne har afsløret, at dokumentation manglede. Det er metodefald. Men ét område, beredskab, falder også i den faste kerne, fordi en øvelse ikke blev gennemført efter en reorganisering. Det er et reelt fald.
Forklaringen til bestyrelsen kan så lyde sådan: Scoren er faldet. En del skyldes det nye selskab, en del en grundigere metode, og en mindre del er en reel forværring i beredskab, som nu er ført ind i køreplanen med en frist. Den nye måling er udgangspunktet for serien fremover.
Eksemplet viser, at en forklaring godt kan rumme både metode og virkelighed i samme rapport.
Hvad det kræver, og hvad det koster at lade være
Det kræver en metodenote ved hver måling, en fast kerne i målingen og tid til at bryde faldet ned, før rapporten går til bestyrelsen.
Uden den analyse kan et fald, der skyldes bedre måling, blive læst som svigt, og et reelt fald kan blive bortforklaret som metode. Begge dele skader tilliden til målingen.
Det skal I lade være med
- At præsentere et fald uden forklaring · bestyrelsen skal have årsagen samtidig.
- At forklare alt med metoden · den faste kerne afslører det.
- At justere de gamle tal, så kurven ser jævn ud · marker skiftet i stedet.
Det skal gennemgangen kunne vise
- ☐ En metodenote med ændringer siden sidst.
- ☐ Faldet brudt ned på områder og selskaber.
- ☐ En opdeling i metodefald, omfangsfald og reelt fald.
- ☐ De reelle fald ført ind i køreplanen med ejer og frist.
Kilder
- ENISA, NIS360, tredje udgave, 28. maj 2026, bilag B, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bryd jeres seneste fald ned på områder, og sorter hvert fald i en af de tre grupper, før rapporten sendes.
Læs også: Selvevaluering eller ekstern vurdering · Det opkøbte selskab i måleserien
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
