Endringsledelse – en forutsetning for informasjonssikkerhets- og GDPR-prosjekter

En endringsprosess er å gå fra en eksisterende situasjon eller tilstand til en fremtidig situasjon eller tilstand. Dette er, som de fleste kjenner til, enklere sagt enn gjort – og en del av endringsprosessene feiler.

Med dette som bakgrunn er det viktig å se på erfaringer og ulike forhold avgjørende for en endringsprosess. 

Sentrale nøkkelområder:

• Visjon og mål for endringsprosessen
• Kartlegging av endringshistorikk
• Modenhet og interessenter
• Kultur, forankring og eierskap
• Forventningsstyring
• Brukerperspektiv
• Kompetanse og organisasjonstilpasning
• Kommunikasjonsplaner og gjennomføring av ulike aktiviteter

Våre erfaringer, fra mange år ute hos kunder, viser hvor viktig det er at slike forhold planlegges og håndteres på en god måte for å oppnå oppsatte mål, gevinster og nytteverdier for organisasjonen.

Noen av nøkkelpunktene for å oppnå en suksessrik endringsprosess er ikke uventet: informasjon, kommunikasjon og opplæring. Vi vil sette søkelyset på disse forholdene – forutsatt forankring om mål og eierskap for endringsprosessen.

Tre av stegene på veien til en vellykket endringsprosess

1. Interessentanalyse

Utgangspunktet for informasjon, kommunikasjon og opplæring vil være en interessentanalyse med beskrivelse av interesse og påvirkning for den enkelte interessent (målgruppe) vis-à-vis endringen.

2.Informasjons- og kommunikasjonsplan

Neste trinn er å se dette i sammenheng med utarbeiding av en informasjons- og kommunikasjonsplan samt en egen opplæringsplan som er fullt og helt tilpasset interessentene. Eksempelvis kan dette være ansatte sentralt og desentralt, medlemmer, elever, tillitsvalgte og så videre.

3. Innføring

Påfølgende trinn blir innføringen og implementeringen av aktiviteter for de angitte planene. Som en del av dette er det viktig at det er satt av nok ressurser og midler. I tillegg må det alltid tas høyde for endringshistorikken og modenheten i organisasjonen. Her er det viktig å avklare endringsmodenheten i organisasjonen.

Tenk deg en enkel skala for bevisstgjøring. Ett ytterpunkt på skalaen vil være at organisasjonen er vant til å håndtere endringer, har høy endringsmodenhet og mindre endringer som skal innføres. Dette gir lavere risiko ved innføringen, samt lavere behov for tiltak i form av ovenfor angitte nøkkelområder for endringsledelse. Et annet ytterpunkt på skalaen vil være at organisasjonen har lav endringsmodenhet og større endringer som skal innføres – hvilket kan gi mange risikoforhold ved innføringen, samt et stort behov for endringsledelse.

Vi har erfart at mange organisasjoner feilvurderer sin egen endringsmodenhet og har manglende satsing på endringsledelse. Dette kan gi en rekke uheldige konsekvenser som samlet fører til manglende oppnåelse av mål, nytteverdier og gevinster for organisasjonen.

Erfaring fra informasjonssikkerhetsprosjekter: Prioriter tiltak for å endre kulturen

Vår erfaring fra informasjonssikkerhets- og GDPR-prosjekter er at personvernforhold påvirker en rekke ulike interessenters arbeidsprosesser. Videre har EU, saker i media med Facebook og ikrafttreden av nye norske personvernregler som innbefatter GDPR, medført større endringsprosesser for den enkelte organisasjon.

Dette sammen med at endringsmodenheten erfaringsmessig ofte ikke er så høy, gjør at gjennomføringsperioden også blir et viktig nøkkelelement. Med andre ord må det settes av nok tid for innføringen. I denne sammenheng burde det nevnes at selv om en rekke informasjons-, kommunikasjons- og opplæringstiltak kan være godt planlagt, bør det planlegges for at det kan oppstå uforutsette forhold og også mulig endringsmotstand under innføringen.

Samlet sett må det tas høyde for at man kan håndtere en rekke forhold, og det kan være alle varianter av små og større tiltak som bør settes inn. Det enkleste eksemplet, som ofte går igjen, er at både informasjons-, kommunikasjons- og opplæringsrunder må kjøres flere ganger. Dette av den enkle grunn at informasjonssikkerhets- og personvernforhold trenger tid for å synke inn, reflekteres rundt, gjøres noe med og bli en del av kulturen i organisasjonen.