Hvem betaler? Testen mellem afdelinger og projekter

Når en sikkerhedstest bliver droppet, er det ikke nødvendigvis, fordi nogen er imod den. Det kan være, fordi ingen har den på sit budget. IT mener, at salg skal betale, når kunden kræver testen. Salg mener, at det er IT’s område. Projektet mener, at testen hører til driften efter lanceringen. Svaret på, hvem der skal betale, hviler på et enkelt princip: udgiften bør ligge hos den, der ejer risikoen eller har gavn af resultatet, og fordelingen bør være besluttet, før behovet opstår.

Det er en ledelsesopgave, fordi ingen af afdelingerne kan afgøre det alene. Uden en beslutning bliver svaret forhandlet fra gang til gang.

Fordelingen kan virke som intern bogføring, men fordelingen påvirker, hvad der bliver testet. Den, der betaler, kan få lov at bestemme omfanget. Hvis salgsafdelingen betaler for at opfylde en kundes krav, bliver testen let formet efter kundens spørgeskema. Hvis IT betaler af et stramt driftsbudget, bliver den let så smal som muligt.

Begge dele kan være fornuftige i sig selv, og der er intet galt i, at den, der betaler, har en stemme. Problemet opstår, når betaleren bestemmer, uden at nogen har set på helheden. → Kundekrav eller egne behov

Fire almindelige modeller

Der er ikke én rigtig model. Det afgørende er, at den er valgt bevidst.

Centralt sikkerhedsbudget · alle test betales fra én pulje, som ledelsen fordeler. Det giver overblik og gør det lettere at prioritere mellem områderne.
Systemejerens budget · den afdeling, der ejer systemet, betaler for at få det testet. Det knytter udgiften til ansvaret, men kan føre til, at fælles systemer ingen ejer har.
Projektets budget · nye løsninger betaler deres egen test, før de går i drift. Det sikrer, at testen er med fra starten, men dækker ikke det, der allerede kører.
Blandet model · faste test af eksisterende systemer betales centralt, mens nye projekter betaler deres egen.

Den blandede model kan være et godt valg, fordi den skelner mellem det, der kører, og det, der bygges. → Sikkerhedstest i projektbudgettet

Når en kunde er anledningen

Kommer kravet fra en kunde, er det fristende at lade det kundeansvarlige område betale. Det kan give mening, hvis testen kun handler om den løsning, kunden bruger. Men resultatet kan blive brugt bredere: til andre kunder, til forsikringen og i bestyrelsen.

Overvej derfor, om udgiften skal deles, eller om den skal ligge centralt med kundens krav som én af flere begrundelser. Det vigtigste er, at kundeområdet ikke kan skære testen til, så den kun svarer på det ene spørgeskema, hvis den samtidig skal dække virksomhedens egne behov. → Én test, flere modtagere

Rettelserne følger ikke altid med

En test, der er betalt, er kun halvdelen. Rettelserne koster også, og de kan lande et andet sted end testen. Fund i et fælles system kan kræve arbejde fra flere afdelinger, og fund i en kundeløsning kan kræve udviklingstid, som produktområdet ikke har budgetteret med.

Aftal derfor, hvem der betaler rettelserne, samtidig med at testen fordeles. En simpel regel er, at den, der ejer systemet, ejer rettelsen, medmindre ledelsen beslutter andet for et konkret fund. Uden en sådan regel kan fundene ende i en strid om budgetter, mens de bliver liggende. → Afsæt penge til rettelserne, før testen bestilles

Fælles systemer uden en naturlig ejer

Kontornettet, mailen og adgangen hjemmefra bruges af alle og ejes måske af ingen. Hvis testen betales af systemejeren, falder netop disse områder ud, fordi ingen afdeling vil bære udgiften for de andre.

Her er en central pulje det enkleste svar. Alternativt kan ledelsen udpege en ejer for de fælles systemer, fx IT, og give den ejer et budget, der også dækker test. Det kan også være en løsning at fordele udgiften efter, hvor mange medarbejdere hver afdeling har, men det kræver mere administration. Det vigtige er, at de fælles områder ikke bliver glemt, fordi de ikke passer ind i afdelingsstrukturen. → Hvem i ledelsen skal eje sikkerhedstesten?

Hvad ledelsen bør kunne se samlet

Når udgifterne ligger i flere budgetter, mister ledelsen let overblikket. Hver afdeling kan redegøre for sin egen del, men ingen kan sige, hvad virksomheden samlet bruger på at teste sin sikkerhed, og hvilke områder der slet ikke er dækket.

Bed derfor om en samlet oversigt, uanset hvilken model der er valgt. Den behøver ikke være detaljeret. Den skal vise, hvilke test der er gennemført eller planlagt, hvem der har betalt, og hvilke rettelser der venter på et budget. Med den oversigt kan direktionen og bestyrelsen se, om fordelingen virker, eller om nogle områder systematisk bliver valgt fra, fordi de ligger i en afdeling med et stramt budget. Oversigten gør det også lettere at besvare en kunde eller en forsikring, der spørger, hvordan virksomheden arbejder med test, uden at svaret skal stykkes sammen fra flere afdelinger.

Et tænkt eksempel

En virksomhed, der sælger og servicerer industrikøkkener, har tre afdelinger med hver sit budget: salg, service og administration. Servicemedarbejderne bruger en portal, hvor kunderne også kan se deres maskiner og bestille reservedele. En stor kunde beder om en test af portalen.

Salg vil ikke betale, fordi portalen ejes af service. Service mener, at testen kun er nødvendig på grund af salgsaftalen. Direktøren beslutter, at test af eksisterende systemer fremover betales af en central pulje under administrationen, at portalens ejer i service betaler rettelserne, og at salg deltager, når omfanget aftales, så kundens spørgsmål bliver besvaret. Beslutningen tager ét møde og en kort note i referatet. Næste år står testen i administrationens budget, og ingen behøver at forhandle om den igen.

Det skal I lade være med

At lade fordelingen være uafklaret · testen bliver udskudt, mens afdelingerne forhandler.
At lade betaleren alene bestemme omfanget · helheden forsvinder, når hver afdeling kun ser sit eget.
At glemme de fælles systemer · det, ingen ejer, bliver ikke testet.
At fordele testen uden at fordele rettelserne · så opstår striden bagefter.
At skifte model fra gang til gang · det gør budgetterne uforudsigelige.

Hvad kan og ikke kan konkluderes

En klar fordeling af udgifterne gør det mere sandsynligt, at test bliver bestilt til tiden, og at rettelserne har en betaler. Den siger intet om, hvorvidt der testes det rigtige, eller om budgettet er stort nok. Fordelingen er et styringsgreb, og den skal ses sammen med ledelsens prioritering af, hvad der skal testes.