Uvildighed: hvorfor testeren ikke bør sælge løsningerne bagefter

En sikkerhedstest skal give ledelsen et retvisende billede af, hvor virksomheden er sårbar. Hvis den, der laver testen, også tjener penge på at rette det, testen finder, opstår der en interessekonflikt, som ledelsen ikke kan se bort fra. Det handler ikke om, at testeren nødvendigvis er uærlig. Det handler om, at ledelsen ikke kan skelne en uvildig vurdering fra en vurdering, der er påvirket af et salg. Svaret er derfor at holde de to roller adskilt, eller, hvis det ikke kan lade sig gøre, at vide præcist, hvor de mødes, og tage højde for det.

Spørgsmålet er ikke nyt. Ledelser kender det fra andre områder, hvor den, der kontrollerer, ikke bør være den samme som den, der sælger eller udfører. Princippet er det samme, når det gælder sikkerhed, men det kan blive overset, fordi testen opleves som teknisk og ikke som en kontrol.

Hvor konflikten opstår

En tester kan have interesse i resultatet på flere måder. Den tydeligste er, når testeren også sælger produkter, fx software eller udstyr, der skal løse de problemer, testen finder. Men konflikten kan også være mere stille.

Produktsalg · testeren forhandler løsninger, der passer til fundene.
Rettelsesarbejde · testeren tilbyder at udføre rettelserne mod betaling.
Driftsansvar · testeren er en del af den leverandør, der driver systemerne, og tester dermed sit eget arbejde.
Partnerskaber · testeren får provision eller fordele fra en producent.

Ingen af disse forhold gør testen ugyldig. Men de giver testeren en grund til at vurdere fundene i en bestemt retning, og ledelsen kan ikke kontrollere, om det er sket. Konflikten er også sværere at få øje på, jo mindre virksomheden er, fordi den samme lokale leverandør kan sælge, drive og rådgive på én gang. → IT-leverandøren tilbyder selv at teste

To måder, vurderingen kan blive farvet

Konflikten kan trække i to retninger. En tester, der sælger løsninger, kan have interesse i at gøre fund større, end de er, eller i at pege på netop de problemer, egne produkter løser. En tester, der også driver systemerne, kan have interesse i at gøre fund mindre, fordi de afslører fejl i eget arbejde.

I begge tilfælde er det ledelsens beslutningsgrundlag, der bliver svækket. Prioriteringen af rettelser, budgettet og svaret til bestyrelsen bygger på testerens vurdering af, hvad der er alvorligt. Hvis den vurdering ikke er fri, er resten heller ikke.

Det er også værd at huske, at en farvet vurdering ikke nødvendigvis er åbenlys. Den kan vise sig i nuancer: hvilket fund der står først, hvilke ord der bruges om alvoren, og hvilken løsning der nævnes som den naturlige. Ledelsen læser rapporten for at træffe beslutninger, og netop nuancerne styrer, hvad der bliver besluttet. → Fra fund til forretningsrisiko

Spørgsmål, ledelsen kan stille

Det er ikke svært at afdække konflikten. Det kræver bare, at ledelsen spørger direkte, før testen bestilles:

Sælger I produkter eller løsninger? · og i givet fald hvilke?
Vil I tilbyde at rette fundene? · eller holder I jer til testen og forklaringen af den?
Har I aftaler med producenter eller leverandører? · som giver jer fordele ved salg?
Har I andre opgaver for os eller vores leverandører? · nu eller tidligere?

Svarene skal ikke bruges til at udelukke nogen på forhånd. De skal bruges til at forstå, hvordan rapporten skal læses. Nielco IT sælger fx ikke produkter og har ingen leverandørpartnerskaber, men det fritager ikke ledelsen fra at stille de samme spørgsmål til enhver tester. → Spørgsmål til testeren

Når testeren også kan rette

I nogle situationer er det praktisk, at testeren hjælper med rettelserne. En mindre virksomhed har måske ingen anden at spørge, og testeren kender fundene bedst. Det kan være en fornuftig løsning, hvis ledelsen gør det bevidst. Det afgørende er, at valget er truffet af ledelsen og ikke er glidet ind som en naturlig forlængelse af testen.

Tre forholdsregler mindsker risikoen. Rapporten bør være færdig og godkendt, før der tales om rettelser, så fundene ikke bliver justeret efter et tilbud. Tilbuddet på rettelserne bør behandles som en ny opgave, der vurderes for sig. Og efterprøvningen af de vigtigste rettelser bør gerne laves af en anden end den, der har udført dem. → Leverandørens tilbud på rettelser

Testerens rolle efter rapporten

Uvildighed betyder ikke, at testeren skal forsvinde, når rapporten er leveret. Testeren kan sagtens forklare fundene, svare på spørgsmål fra IT og leverandører og hjælpe ledelsen med at forstå, hvad der haster. Det er rådgivning om fundene, ikke salg af løsningen.

Grænsen går ved, om testeren anbefaler en bestemt løsning, som testeren selv tjener på. En uvildig tester beskriver, hvad der skal opnås, fx færre konti med vide rettigheder, og lader det være op til jer og jeres leverandører, hvordan det gøres. Hvis testeren nævner flere mulige veje til målet, er det et godt tegn. Hvis kun én vej nævnes, og den tilfældigvis passer til et produkt, er det værd at spørge hvorfor. → Et uafhængigt blik

Et tænkt eksempel

En kæde af tandklinikker får tilbud fra to testere. Den ene tilbyder en test med rabat, hvis kæden samtidig køber et overvågningsprodukt. Den anden tilbyder kun testen.

Bestyrelsesformanden spørger den første, om fundene vil blive vurderet uafhængigt af produktet. Svaret er ja, men formanden bemærker, at det vil være svært for bestyrelsen at vide, om en anbefaling om overvågning kommer fra testen eller fra salget. Kæden vælger den anden tester og beslutter, at spørgsmålet om overvågning skal tages op for sig, når rapporten foreligger.

Det skal I lade være med

At antage uvildighed · spørg direkte, også hos testere, I kender.
At blande test og salg i samme tilbud · så bliver det svært at vurdere begge dele.
At lade driftsleverandøren teste sig selv alene · det giver ikke et uafhængigt billede.
At lade rapporten vente på et tilbud · fundene skal stå fast, før der tales om løsninger.
At afvise al hjælp fra testeren bagefter · forklaring af fundene er ikke en interessekonflikt.

Hvad kan og ikke kan konkluderes

En tester uden salgsinteresser giver ledelsen et mere troværdigt grundlag for prioritering og budget. Uvildighed garanterer ikke, at testen er god, og en tester med salgsinteresser kan godt levere et korrekt resultat. Pointen er, at ledelsen skal kunne vide, at vurderingen ikke er farvet, og det er lettest, når rollerne er adskilt.