Yrityksen turvallisuutta voi ajatella sateenvarjona, joka suojaa ihmisiä, tietoja, omaisuutta ja toimintaa. Se kannattaa avata jo ennen ensimmäisiä pisaroita, sillä yhden osa-alueen puutteet voivat vaarantaa koko liiketoiminnan jatkuvuuden. Turvallisuus tarkoittaa riskien ehkäisemistä, suojauksista huolehtimista ja häiriöihin varautumista ennen kuin joku joutuu kysymään, missä suunnitelma on.

Sateenvarjon alle mahtuu kahdeksan toisiinsa kytkeytyvää turvallisuuden osa-aluetta. Pelkkä sateenvarjo ei kuitenkaan suojaa ketään, jos se makaa maassa. Katoksen sadetta vastaan se muodostaa vasta, kun joku pitää sitä kädessään. Tämä on perusturvallisuutta. 

Turvallisuuden osa-alueet

Tiedon tulee olla oikeiden ihmisten saatavilla oikeassa muodossa ja oikeaan aikaan riippumatta siitä, onko se järjestelmässä, paperilla vai ihan tavallisissa keskusteluissa. Kahvihuone ei siis ole käyttöoikeusryhmä. Tiedon luottamuksellisuutta, eheyttä ja saatavuutta turvataan esimerkiksi käyttöoikeuksilla, salassapidolla, asiakirjojen turvallisella säilytyksellä ja varmuuskopioinnilla.

Tietoturvan digitaalisella puolella suojataan järjestelmiä, verkkoja, palveluja ja niistä riippuvaa toimintaa häiriöiltä ja hyökkäyksiltä. Monivaiheinen tunnistautuminen, päivitykset, verkkoliikenteen valvonta sekä kyberpoikkeamiin varautuminen kuuluvat työkalupakkiin; pelkkä toive siitä, ettei kukaan huomaa meitä, ei kuulu. Yritykselle kyse on käytettävyydestä: kun sähköposti, laskutus tai asiakasrekisteri ei aukea, ei aukea työpäiväkään.

Ihmisiä, toimitiloja, laitteita ja muuta omaisuutta suojataan luvattomalta pääsyltä, varkauksilta ja vahingoilta lukituksella, kulunvalvonnalla, vierailukäytännöillä ja turvallisilla tilajärjestelyillä. Ovenkin tarkoitus on toimia suojana, ei pelkkänä sisustuselementtinä.

Työstä ja työympäristöstä aiheutuvia tapaturmia, terveyshaittoja ja haitallista kuormitusta ehkäistään ergonomialla, turvallisilla työmenetelmillä, perehdytyksellä ja kuormitukseen puuttumisella. Hyvän työpäivän ei tarvitse tuntua selviytymiskilpailulta. Yritykselle tämän puutteet näkyvät sairauspoissaoloina, keskeytyksinä ja osaamisen menetyksenä eli suoraan siinä, mitä ehditään tehdä.

Tulipaloja ja muita onnettomuuksia ehkäistään ja hätätilanteisiin varaudutaan pelastussuunnitelman, esteettömien poistumisreittien, alkusammutusvalmiuden ja poistumisharjoitusten avulla. Poistumisreitin on oltava aina vapaa kulkemiseen. Se on reitti ulos, ei varaston lisähylly.

Ihmistä kohdellaan kunnioittavasti ilman uhkailua tai epäasiallista kohtelua. Työyhteisössä saa kysyä, kertoa huolista, myöntää virheitä ja olla eri mieltä ilman nöyryyttämisen pelkoa. Kysymysmerkki ei siis saa olla urariski, eikä virheen kertominen saisi vaatia suurempaa rohkeutta kuin sen korjaaminen.

Keskeisten palvelujen ja tehtävien pitää jatkua tai palautua myös häiriöissä. Siksi tarvitaan jatkuvuus- ja palautumissuunnitelmia, sijaisjärjestelyjä, vaihtoehtoisia toimintatapoja ja kriisiviestintää. Varasuunnitelma kannattaa tehdä silloin, kun koneet vielä toimivat, ei vasta silloin, kun ainoa toimiva yhteys on katsekontakti kollegaan.

Kun vahinko sattuu, vakuutus voi auttaa laskun kanssa, mutta vakuutuskirja ei itsessään sammuta paloa. Omaisuus-, vastuu-, keskeytys- ja kybervakuutukset kattavat taloudellisia seurauksia sopimusehtojen ja korvausrajojen mukaisesti. Ne eivät korvaa ennaltaehkäisyä.

Miten turvallisuuden osa-alueet liittyvät toisiinsa?

Turvallisuuden osa-alueet muodostavat toisiaan tukevan kokonaisuuden, eivät erillisiä saarekkeita. Niitä yhdistävät riskien tunnistaminen, selkeät vastuut, henkilöstön osaaminen, toimivat kontrollit ja jatkuva seuranta.

Yhden osa-alueen puutteet voivat heikentää myös muita: esimerkiksi puutteellinen kulunvalvonta voi vaarantaa sekä henkilöstön että luottamukselliset tiedot, kun taas kyberhäiriö voi keskeyttää liiketoiminnan ja aiheuttaa taloudellisia menetyksiä.

  • Tietoturva, kyberturvallisuus ja fyysinen turvallisuus suojaavat samaa kokonaisuutta eri suunnista. Digitaalisen tiedon suojaaminen edellyttää myös laitteiden, tilojen ja paperiasiakirjojen turvallisuutta.
  • Henkinen ja psykologinen turvallisuus sekä työturvallisuus tukevat turvallista toimintaa ja varhaista puuttumista. Kun huolista ja virheistä voi kertoa, myös tietoturvapuutteet, vaaratilanteet ja epäillyt väärinkäytökset tulevat helpommin esiin.
  • Pelastusturvallisuus ja fyysinen turvallisuus suojaavat ihmisiä ja omaisuutta onnettomuuksissa. Niiden suunnittelussa on sovitettava yhteen esimerkiksi luvattoman pääsyn estäminen ja turvallinen poistuminen.
  • Toiminnan jatkuvuus ja varautuminen kokoavat osa-alueet yhteen, henkilöstön, tilojen, tietojen, järjestelmien ja toimittajien on tuettava keskeisten palvelujen ylläpitoa ja palautumista.
  • Vakuutusturva täydentää ennaltaehkäisyä ja varautumista kattamalla sovittuja taloudellisia seurauksia vakuutusehtojen mukaisesti. Se ei yksin palauta menetettyä tietoa, luottamusta tai toimintakykyä. 

 

Perusturvallisuus on kaiken perusta

Turvallisuudessa on myös paljon inhimillistä ja tuttua. Palataan hetkeksi sateenvarjoon. Kahdeksan osa-aluetta ovat sen ruodot: ne antavat muodon ja kannattelevat kangasta. Mutta katoksen alla oleminen edellyttää, että joku pitää sateenvarjosta kiinni – ja se, joka sitä pitää, tarvitsee kokemuksen siitä, että apua on saatavilla. Perusturvallisuuden tunne rakentuu jo varhaisissa ihmissuhteissa kokemuksesta, että tarpeisiin vastataan johdonmukaisesti. Kun lapsella on turvaton olo, hän ei etsi tarkistuslistaa tai turvallisuuspolitiikan uusinta versiota, vaan turvallista läheistä tai vaikka tuttua nallea tai vilttiä. Siitä syntyy luottamusta itseen ja muihin, ja juuri sitä samaa luottamusta tarvitaan työpaikalla, kun jotain menee pieleen.

Me aikuisetkin tarvitsemme ohjeiden rinnalle kokemuksen siitä, että joku kuuntelee ja auttaa. Perusturvallisuus ei siis ole yksi kahdeksasta osa-alueesta eikä sateenvarjon yhdeksäs ruoto. Se on käsi, joka pitää sateenvarjoa pystyssä ja ilman sitä kahdeksan hyvää ruotoa ovat kangasta maassa.

Turvallisuus ei asu vain mapissa

Liian yksityiskohtainen ohje voi tehdä meidät sokeiksi kokonaisuudelle: ”Onko ovi lukossa?” Check, vaikka vieressä ikkuna on sepposen selällään, koska siitä ei ollut listalla omaa ruutua. Hyvä tarkistuslista tukee ajattelua, ei korvaa sitä. Välillä on nostettava katse paperista ja huomattava, mistä oikeasti tuulee.

Turvallisuus on myös itsessään tunne, ei vain tunne siitä, että kaikki ruudut on rastitettu. Maailman kaikki tarkistuslistat ja pöytäkirjat eivät yksin luo todellista turvallisuuden tunnetta, vaikka niistä saisi rakennettua komean suojamuurin neuvotteluhuoneeseen. Tarvitaan toimivia käytäntöjä ja kulttuuria, jossa uskaltaa sanoa: ”Nyt ei ehkä mennyt ihan oikein.” Ja vastaukseksi tulee ”Hyvä kun kerroit, korjataan yhdessä”, ei ”Kuka tämän mokasi?” Tarkistuslistat ovat tarpeellisia, mutta ne eivät nosta kättään virheen merkiksi. Sen tekee ihminen, jolla on riittävän turvallinen olo.

Turvallisuuskulttuurin paras versio ei ole ”politiikka 4.2”, vaan arjessa todeksi osoitettu lupaus siitä, ettei ketään jätetä yksin vaikeassakaan tilanteessa.

Kaikkea ei tarvitse osata itse

Kokonaisuuden hallinta edellyttää eri alojen osaamista ja selkeitä vastuita – ja sen myöntämistä, että kaikkea ei tarvitse osata itse. On tunnistettava, milloin tarvitaan toisen asiantuntemusta. Mekään Grant Thorntonilla emme yritä sovittaa jokaista turvakypärää päähämme, vaan keskitymme omiin vahvuuksiimme: riskienhallintaan, sisäiseen valvontaan, tiedonhallintaan ja kyberturvallisuuteen. Muiden osa-alueiden erityistehtävät jätämme niiden asiantuntijoille. Omien rajojen tunnistaminen ei vähennä turvallisuutta, vaan vahvistaa sitä.

Tiedon- ja riskienhallinnan asiantuntijamme tukenasi

Joachim von Schantz

CIO
Helsinki  Toimipiste
Näytä koko profiili

Juha-Pekka Keimmo

Riskienhallintapalvelut, Osakas, KHT
Helsinki  Toimipiste
Näytä koko profiili

    Grant Thornton tukenasi

    Näin autamme yritysturvallisuuden ja riskienhallinnan kehittämisessä

    Me Grant Thorntonilla autamme sinua johtamaan turvallisuutta. Kokoamme riskienhallinnasta ja turvallisuuden johtamisesta, tietoturvasta ja kyberturvallisuudesta, toiminnan jatkuvuudesta sekä sisäisestä valvonnasta ja väärinkäytösriskien hallinnasta yhden kokonaisuuden. Sovitamme sisällön ja vastuut yhdessä kanssasi toimeksiantosi rajauksen mukaan.

    Riskienhallinta ja turvallisuuden johtaminen

    Autamme tunnistamaan ja hallitsemaan riskejä, kehittämään sisäistä valvontaa ja hyvää hallintoa sekä ratkaisemaan IT Governance -kysymyksiä. Health Check -tarkastus tuottaa tilannekuvan riskienhallinnan tasosta, kehityskohteet ja konkreettisia toimintasuosituksia.

     

    Tietoturva ja kyberturvallisuus

    Tarjoamme räätälöityjä tiedonhallinta- ja kyberturvallisuuspalveluja, kuten tietoturva-auditointeja, politiikkojen arviointeja ja due diligence -selvityksiä. Autamme suunnittelemaan asiakkaan tavoitteisiin sopivaa tietoturvakehystä sekä tukemaan kyberriskien hallintaa ja NIS2-vaatimuksiin vastaamista.

    Toiminnan jatkuvuutta tukevat kehityshankkeet

    Tiedonhallinta-, kyberturvallisuus- ja projektinhallintapalvelumme tukevat turvallisten toimintatapojen kehittämistä ja muutosten hallintaa. Autamme huomioimaan tietoturvan ja tietosuojan digitaalisissa hankkeissa. Mahdollisen jatkuvuussuunnittelun ja harjoittelun sisällöstä sovitaan erikseen kunkin toimeksiannon yhteydessä.

    Sisäinen tarkastus ja kontrollien kehittäminen

    Tarjoamme kokonaan tai osittain ulkoistettua sisäistä tarkastusta sekä neuvontaa sisäisen valvonnan kehittämiseksi. Näin tuemme riskienhallinnan ja prosessien arviointia; tarkastusten kohteet ja laajuus sovitaan erikseen.

     

    Väärinkäytösriskit ja luottamus

    Forensic-palveluissamme selvitämme väärinkäytösepäilyjä, tuemme sisäisen valvonnan kehittämistä ja arvioimme liikekumppaneihin liittyviä riskejä. Tämä tukee organisaation luotettavaa toimintaa, mutta ei sellaisenaan tarkoita psykologisen turvallisuuden tai työhyvinvoinnin erityispalvelua.