Farver og scorer bruges i ledelsesrapporter, fordi de kan læses på et øjeblik. Problemet er, at de også kan skjule det, ledelsen har mest brug for at vide: hvad der ligger bag, og hvad der ikke er med. Svaret er ikke at forbyde farverne, men at vide, hvad de bygger på, og at stille de spørgsmål, der får indholdet frem. Det britiske NCSC advarer i sin vejledning til bestyrelser mod at gøre faldende risikoniveauer til selve målet for succes og skriver, at risikotal let kan misforstås, når de bruges alene.
Hvorfor farver er fristende
En statusrapport med tyve linjer tekst tager tid at læse. En rapport med tyve farvede felter kan overskues med et blik. For en travl direktion eller en bestyrelse med mange punkter på dagsordenen er det en reel fordel.
Men en farve er en sammenfatning, og nogen har bestemt, hvordan den skal sammenfattes. Når den, der laver rapporten, også bestemmer, hvornår noget er grønt, kan ledelsen ikke se, om vurderingen er streng eller mild. NCSC anbefaler, at de parter, der arbejder med risikoinformationen, sammen afklarer og bliver enige om, hvad den betyder, og i hvilken sammenhæng den skal læses. Det gælder også for farverne. → Kan sikkerhed måles?
Fem faldgruber
- Grønt, fordi intet er målt · et område uden oplysninger kan fremstå grønt, fordi der ikke er registreret problemer. Fravær af data er ikke det samme som fravær af risiko.
- Én farve for flere forhold · når flere systemer eller fund samles i én farve, kan et enkelt alvorligt forhold forsvinde i gennemsnittet.
- Farven viser fremdrift, ikke risiko · grønt kan betyde, at planen følges, mens risikoen stadig er høj, fordi planen endnu ikke er gennemført.
- Gul i det uendelige · et forhold kan stå som gult møde efter møde, uden at nogen spørger, hvorfor det ikke bliver grønt eller rødt.
- Gamle farver · en farve, der bygger på en test fra sidste år, siger ikke noget om i dag, medmindre rapporten oplyser, hvornår vurderingen blev lavet.
Ingen af faldgruberne skyldes ond vilje. De opstår, fordi forenkling altid udelader noget. Det er ledelsens opgave at vide, hvad der er udeladt. Faldgruberne kan også forstærke hinanden: et samlet grønt felt, der bygger på gamle oplysninger om få systemer, kan give et billede, som ingen af dem, der har lavet rapporten, ville skrive under på, hvis de blev spurgt direkte.
Spørgsmål bag farven
Ledelsen kan bruge farverne som udgangspunkt for spørgsmål i stedet for som svar.
- Hvad betyder farven her? · risiko, fremdrift eller noget tredje?
- Hvem har sat den, og efter hvilke kriterier? · er kriterierne aftalt med ledelsen?
- Hvad bygger den på? · en sikkerhedstest, en selvevaluering eller et skøn?
- Hvornår blev den vurderet? · og hvad er sket siden?
- Hvad er ikke med? · systemer, leverandører eller dele af virksomheden, der ikke indgår.
- Hvad skal der til, for at den skifter? · både til det bedre og det værre.
Svarene behøver ikke være lange. Det vigtige er, at ledelsen har stillet spørgsmålene én gang og fået kriterierne skrevet ned. → Sikkerhedssprog for ledere
Scorer og samlede tal
Nogle rapporter giver en samlet score, fx et tal fra et til hundrede eller en karakter. En samlet score er endnu mere forenklet end en farve, fordi den sammenfatter alt i ét tal. Den kan være nyttig til at se, om noget har flyttet sig, men den siger meget lidt om, hvad der skal gøres.
Det gælder også scorer for de enkelte fund i en testrapport. Fundene kan have en alvorlighedsgrad, men den beskriver svagheden, ikke risikoen for netop jeres forretning. Den oversættelse skal IT eller testeren lave. → Fra teknisk fund til forretningsrisiko
Hvis nogen foreslår at sammenligne jeres score med andre virksomheders, bør I spørge, om tallene er beregnet på samme måde. Det er ikke givet, og uden den oplysning siger sammenligningen ikke noget. → Kan vi sammenligne os med andre virksomheder?
Sådan kan farverne bruges med omtanke
Farver kan godt have en plads, hvis de følger nogle få spilleregler. Lad farven altid stå sammen med en kort tekst, der forklarer den. Aftal kriterierne for rød, gul og grøn med ledelsen, og skriv dem ned. Skil risiko og fremdrift ad, så det er tydeligt, hvad der er tale om. Vis datoen for vurderingen. Og lad rapporten vise, hvad der ikke er med.
Det kan også være nyttigt at spørge, hvad der er ændret siden sidst. En rapport, hvor alle farverne er de samme som sidste gang, kan betyde stabilitet, men det kan også betyde, at ingen har kigget efter. → Status på rettelserne
Et tænkt eksempel
En ingeniørvirksomhed får hvert kvartal en sikkerhedsrapport fra sin IT-leverandør. Alle felter er grønne undtagen ét, som er gult. Et bestyrelsesmedlem spørger, hvad grøn betyder. Svaret er, at der ikke er registreret hændelser. Den seneste sikkerhedstest er fra for to år siden, og den omfattede kun hjemmesiden.
Bestyrelsen beder om, at rapporten fremover viser, hvad hver farve bygger på, og hvornår området sidst er undersøgt. Næste rapport har færre grønne felter og flere grå med teksten ikke undersøgt. Den er mindre beroligende, men bestyrelsen ved nu, hvor den skal sætte ind. Det gule felt viser sig at handle om fremdrift i et projekt, ikke om en risiko, og det bliver flyttet til en særskilt oversigt.
Det skal I lade være med
- At læse grønt som sikkert · spørg, hvad farven bygger på.
- At lade leverandøren alene sætte kriterierne · aftal dem med ledelsen.
- At blande fremdrift og risiko i samme farve · hold dem adskilt.
- At bruge en samlet score til at styre efter · se på indholdet bag tallet.
- At glemme datoen · en gammel farve er en historisk oplysning.
Hvad kan og ikke kan konkluderes
Farver og scorer kan give et hurtigt overblik og vise, hvor ledelsen bør stille spørgsmål. De kan ikke vise, at virksomheden er sikker, og de kan ikke erstatte en forklaring af, hvad der ligger bag. En rapport med kun grønne felter er ikke et resultat i sig selv. Den er et udgangspunkt for at spørge, hvad grøn betyder. Omvendt er en rapport med røde felter ikke nødvendigvis et tegn på, at det går dårligt. Den kan også vise, at nogen har kigget grundigt efter og fortæller ærligt om det, de fandt.
Tjekliste til ledelsesrapporten
- ☐ Er kriterierne for hver farve aftalt og skrevet ned?
- ☐ Er risiko og fremdrift vist hver for sig?
- ☐ Står der en dato ved hver vurdering?
- ☐ Fremgår det, hvad der ikke er med?
- ☐ Har hver farve en kort forklarende tekst?
Kilder
- NCSC (UK), Cyber Security Toolkit for Boards: afsnittet om at bruge risikomål med forsigtighed; faldende risikoniveauer bør ikke være selve målet for succes; risikotal kan let misforstås, når de bruges alene, og parterne bør blive enige om deres betydning og sammenhæng.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvad IT bør rapportere til ledelsen · Er svarene gode nok?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
