Een nieuwe dimensie voor security management: sturen op integer gedrag.

Transcriptie

1 Een nieuwe dimensie voor security management: sturen op integer gedrag. Inleiding Security management heeft in het afgelopen decennia te maken gehad met grote veranderingen. Was er in de begin jaren 2000 nog alle aandacht voor het risico Terrorisme, tegenwoordig is het risico Cybercrime erg actueel. Als je kijkt naar de top 10 van risico s die jaarlijks voorbij komen uit onderzoeken, zijn het toch voornamelijk de interne risico s die verder lijken toe te nemen. Verschillende onderzoeken geven ook alarmerende cijfers; 25% van de managers staat niet afwijzend tegenover omkoping als het bedrijfsrendement ermee gediend is, 1.26 miljard euro criminele schade bij retail in 2011, waarvan gemiddeld 1.300,- schade per eigen werknemer, 8% van de medewerkers geeft aan al eens bedrijfsgeheimen verkocht te hebben. Om nog maar niet te spreken van de vele voorbeelden van integriteitschendingen die in de media worden behandeld. Huidig beleid van correctie en preventie werkt niet goed Security management richt zich van oudsher voornamelijk op externe risico s, waarbij de meeste bedrijven wel voorzien zijn van hekwerken, camerasystemen en toegangscontrole. Als het gaat om het voorkomen van de interne risico s, zoals bijvoorbeeld fraude, lekken van informatie, sabotage, et cetera, dan blijken de maatregelen veel minder voor de hand te liggen. De meeste bedrijven vallen dan terug op correctie en sanctie, wat zoveel betekend dat als er een dader valt aan te wijzen, de organisatie rigoureus te werkt gaat, door de medewerker (lees dader) te ontslaan en deze als voorbeeld te stellen voor rest. Helaas gaat men dan vaak verder zonder preventieve maatregelen te implementeren en gokt het bedrijf er simpelweg op dat dit soort incidenten voorlopig niet meer voorkomen. Los van het feit dat dit vanuit Risico Management niet wenselijk is, is het zeer de vraag of dit beleid effectief is. Daarbij zijn er, mede ingezet door de recessie, grote veranderingen gaande binnen organisaties. De onzekerheid bij medewerkers over hun baan en de rigoureuze maatregelen die leidinggevenden moeten nemen, leveren vaak grote onrust op. Bedrijven reageren momenteel vooral op de veranderende economie en markten, maar ze zouden ook oog dienen te hebben voor de veranderingen op het gebied van integriteit. Immers; werkt de recessie juist niet meer schendingen in de hand? Security bewustzijn binnen bedrijven blijft achter Een ander zwak punt is dat het thema security management niet leeft bij de medewerkers. Wanneer medewerkers proberen door de mazen van het net te glippen, wordt Security-beleid hard geconfronteerd met haar grenzen. De hard controls zijn prachtig, maar ze werken alleen goed als de medewerkers meewerken. Veel security-managers zijn zich hiervan bewust, maar tot heden lukte het niet om veel enthousiasme te mobiliseren voor ontwikkelen van soft controls zoals integer gedrag en betrokkenheid (security awareness). Het beleid werkt vooral niet, doordat leidinggevenden niet voldoende voorbeeld gedrag vertonen, of niet actief medewerkers durven aan te spreken op gedrag. De security manager moet derhalve verder kijken dan preventieve maatregelen en op zoek gaan naar sturing meer op integer gedrag. Dat kan hij echter niet alleen, daarvoor moet hij optrekken samen met de leiding van de organisatie.

2 Kent u dat? De beveiligers hebben al meerdere malen geklaagd over het feit dat de rokers de achterdeur laten openstaan. Hierdoor ontstaat er een gat in de beveiliging. Ook managers van afdelingen zijn gesignaleerd op deze rook plek. Na herhaaldelijke meldingen, zonder resultaat, heeft de beveiliging het maar opgegeven. Zonder sturing werken beheersmaatregelen niet De afgelopen jaren heeft sturing op integriteit wel meer aandacht gekregen, maar de aanpak blijft voornamelijk gericht op voorkomen van schendingen door het inbrengen van gedragscodes en reglementen. Veel organisaties denken dat gedragscodes en reglementen wel afdoende werken. De realiteit is dat veel medewerkers een gedragscode hebben ondertekend, maar dat ze zich er niet door laten leiden, laat staan dat ze zich ermee verbonden voelen. Hierdoor is dit middel niet meer dan een juridische borging geworden, voor het geval de organisatie een sanctie wil inzetten. Een gemiste kans, aangezien een effectieve aanpak van integriteit juist veel kosten kan besparen. De aanpak van integriteit gaat in onze optiek dan niet over het aanpakken van schendingen, maar over het verbeteren van een open cultuur en het versterken van een positieve houding: het bevorderen van integer gedrag en het stimuleren van security bewustzijn. Het gaat over het veranderen van het correctie en sanctie beleid, naar het toegroeien naar positief gedrag en coöperatie. Geen politierol van de leidinggevende, door daders van schendingen op te sporen en aan te pakken, maar juist tijd en energie stoppen in wederzijds vertrouwen en verantwoordelijkheden creëren. De ultieme mix Security management en integriteit zijn dus nauw met elkaar verweven. In een integere organisatie begrijpen medewerkers waarom bepaalde (beveiliging)maatregelen zijn genomen en houdt men zich hier aan, omdat dat het beste is voor iedereen. Indien medewerkers door de mazen van het security beleid heen willen glippen, dan dienen ze te worden aangesproken door leidinggevende of collega s. Gewoon, op een normale en collegiale manier. Uiteraard zijn er ook preventieve maatregelen en worden controles ingebouwd en worden serieuze schendingen aangepakt. Dat blijft! Want vertrouwen moet niet verward worden met naïviteit.

3 Laissez Faire gedrag in teams versus elkaar aanspreken Productiebedrijf in Rotterdam. Hebben grote fraude ontdekt. In latere workshops met teams op de werkvloer blijken veel mensen signalen te hebben gezien. Deze signalen zijn echter niet doorgegeven. Oorzaak lag in gedrag leidinggevenden. Verschillende signalen waren gegeven aan deze leidinggevenden, echter er werd niets mee gedaan. Effect: fraude werd voortgezet nu bij een grotere groep medewerkers, immers het werd toch gedoogd? Het bouwen aan vertrouwen begint ook als een organisatie goed kijkt naar het doel van de beheersmaatregelen die worden ingezet. Welk risico dient deze af te dekken? Past de maatregel in de bestaande processen, of stoort dit teveel. Als maatregelen teveel het proces verstoren en eigenlijk ook niets toevoegen, dan kun je vooraf al inschatten dat medewerkers zich hier niet aan zullen houden. Juist dan is het goed om samen met deze medewerkers te kijken naar haalbare maatregelen, die wel effectief ingezet kunnen worden. Dan gaat met op zoek naar wederzijds vertrouwen en verantwoordelijkheid voor het gezamenlijk afdekken van een bepaald risico. Effectieve maatregelen? Werken met een model Als we de security- en controle maatregelen de harde maatregelen noemen en de manier waarop er sturing wordt gegeven aan het gedrag van de medewerkers de zachte maatregelen zijn, dan dient een integere organisatie op zoek te gaan naar de ultieme mix van harde en zachte maatregelen waar leidinggevende en medewerkers zich aan committeren. De security manager moet derhalve verder kijken dan preventieve maatregelen en op zoek gaan naar sturing op integer gedrag. Dat kan hij echter niet alleen, daarvoor moet hij optrekken samen met de leiding van de organisatie. En dat is exact de nieuwe rol van deze security manager.

4 In de bovenstaand model staan de concrete "knoppen" waar men aan kan "draaien" om integriteit binnen de organisatie te versterken, hieronder kort de verklaring bij de begrippen. Zoals aangegeven blijft de harde kant belangrijk en is dit het gebied waar de security manager zijn focus heeft. De nadruk ligt echter bij de sturing via de zachte kant en gaat over bewustzijn binnen individu en teams. Is er een breed gedragen normbesef, waarop men elkaar kan aanspreken. Tonen leiders goed voorbeeldgedrag en zijn zij in staat om medewerkers aan te spreken. Met name de leidinggevende spelen hierin een essentiële rol. Goed voorbeeld gedrag en vooral actieve sturing binnen individuen en teams zullen bepalend zijn voor het slagen van het concept. Maatregelen: het geheel aan effectieve (!) beveiligings- en beheersmaatregelen gericht op het afdekken van een bepaald risico. Controleer periodiek deze maatregelen op hun werking. Normen & Codes: het geheel; aan protocollen en reglementen waarin de afspraken staan die de organisatie wil maken met zijn medewerkers over het gewenst gedrag en waar leidinggevende actief op sturen. Laat deze normen en codes meer zijn dan alleen een papieren tijger. Wegnemen verleiding: zorgen dat binnen het bedrijf waardevolle zaken en spullen geborgd zijn en dat er voldoende controle aanwezig is. Medewerkers moeten weten dat incidenten snel geconstateerd worden en controles actief worden uitgevoerd. Processen & structuren: door een sluitend geheel aan procedures en handelingen kunnen incidenten grotendeels voorkomen worden. Deze procedures zijn deels opgesteld samen met de medewerkers en verstoren de productie niet of minimaal. Ook hier dienen leidinggevenden te controleren of medewerkers en collega s zich hiernaar voegen. Bewustzijn: binnen individuen en teams dient helder te zijn welke normen er gelden en hoe de organisatie wenst dat hiermee wordt omgegaan. Dit is geen eenzijdige activiteit.

5 Zowel leidinggevenden als medewerkers dienen actief hierover te communiceren en elkaar aanspreken. Leiderschap: is verantwoordelijke manager in staat om effectief sturing te geven aan het gedrag van de medewerkers en geeft hij daarbij het juiste voorbeeld gedrag. Leidinggeven: zetten leidinggevenden de juiste tools in om deze sturing te realiseren. Zijn er bijvoorbeeld voldoende en gestructureerde werkoverleggen. Maar ook is de leider in staat om zijn mensen te controleren en loopt hij niet weg voor deze verantwoordelijkheid. Teamwork: is het team in staat om onderling goed te functioneren en durft men hier elkaar ook aan te spreken. Is er een open cultuur? De rol van de security manager De bruggenbouwer De security manager moet meer dan ooit een bruggenbouwer zijn. Hij dient op zoek te gaan naar een manier waarop hij leidinggevenden binnen de organisatie weet te mobiliseren voor zijn vakgebied. Geen standaard bewustzijn programma s, maar persoonlijke verbinding met collega s. Dit kan door managers van afdelingen persoonlijk aan te spreken, maar ook door aan te sluiten bij reguliere werkoverleggen. Ga op zoek naar de dialoog met de teams, overtuig hen over hoe security management hen kan helpen, maar ook waar de beperkingen liggen en waar een team zelf verantwoordelijk voor is. Adviseer afdelingen, of leidinggevende proactief over mogelijke risico s en bijbehorende effectieve beheersmaatregelen. Ga bij geconstateerde schendingen direct in overleg met de leidinggevende; hoe kan er samen een oplossing worden gevonden om dit voor de toekomst verder te voorkomen? De aanpak van de security manager is niet om op zoek te gaan naar schendingen en het bestraffen hiervan, maar is erop gericht dat iedereen zijn werk gewoon goed kan doen. Periodiek audits uitvoeren Voer periodiek audits of mystery guest bezoeken uit, waarbij de maatregelen gecontroleerd worden op effectiviteit. Maar leg ook vast als er risicovolle situaties zijn; liggen er waardevolle spullen voor het graaien, staan toegangen open, terwijl deze gesloten dienen te zijn, etc. Door het vastleggen hiervan op film of foto kan dit direct getoond worden bij de team tijdens teamoverleggen. Communiceer incidenten en schade Communiceer incidenten of constateringen periodiek en vertaal deze in schade voor de organisatie. Communiceer bijvoorbeeld via nieuwsbrieven of interne artikelen, of breng jaarlijks een statistiek uit met bevindingen. Door gerichte acties van de security manager gaan managers en medewerkers zich betrokken voelen, ze tonen inzet en werken goed samen. Conflicten zoekt men constructief uit, incidenten tracht men samen te voorkomen en de kwaliteit te verbeteren. Schendingen nemen af naarmate wederzijds begrip groeit. Tot heden lukte het niet om veel enthousiasme te mobiliseren voor ontwikkelen van soft controls zoals een integere houding en betrokkenheid (security awareness). Met het bovenstaande model lukt dat juist heel goed. Daarmee wordt het mogelijk de integrale systeemkant van risicomanagement te combineren met een degelijke benadering voor beleid voor professionele verantwoordelijkheid. Goed te begrijpen, goed uit te leggen, en goed uit te voeren.