Gap-analyse mot ISO og regelverk

En gap-analyse svarer på ett spørsmål: hva skiller organisasjonen slik den er i dag fra kravene den skal oppfylle? Svaret er ikke en karakter, men en liste over konkrete avstander, sortert etter hva som haster.

Analysen måler to ting samtidig, og det er viktig å skille dem. Det første er om kravet i det hele tatt er dekket. Det andre er om det er mulig å vise at det er dekket. En virksomhet kan gjøre alt riktig og likevel stryke på en revisjon, fordi ingenting av det etterlater spor. Motsatt kan et velskrevet dokumentarkiv dekke over at praksis ser helt annerledes ut.

Hva en gap-analyse faktisk er

Kravene kommer fra en standard, et regelverk eller en kunde. De sier hva som skal være på plass, sjelden hvordan. Gap-analysen oversetter kravene til noe som kan observeres i nettopp denne virksomheten, og vurderer hvert punkt mot det som faktisk finnes.

Arbeidet består av fire deler. Vi avklarer omfanget, slik at vurderingen treffer riktig del av virksomheten. Vi går gjennom dokumentasjonen. Vi snakker med dem som utfører arbeidet, fordi dokumentet sjelden forteller hele historien. Til slutt vurderer vi modenhet per område, prioriterer og setter opp et veikart.

Resultatet skal kunne brukes av to lesere med ulike behov. Ledelsen trenger et bilde av risiko og ressursbehov. De som skal gjøre jobben trenger en liste med konkrete oppgaver, en eier per oppgave og en rekkefølge som gir mening.

Hvorfor analysen har blitt raskere

Den dokumentbaserte delen av arbeidet er endret de siste årene. Tidligere gikk de første ukene med til å samle inn, sortere og lese. Nå kan det arbeidet gjøres på få dager, og analytikerens tid brukes på vurdering i stedet for leting. Det som ikke har blitt raskere, er å observere praksis og å endre atferd.

Gapet, tegnet opp

En modenhetsprofil viser hvor organisasjonen står på hvert styringsområde, og hvor kravene forutsetter at den står. Avstanden mellom flatene er gapet.

Figur 1, illustrasjonseksempel: et typisk utgangspunkt målt mot nivået kravene forutsetter. Tallene er konstruerte for å vise formen på et gap, ikke hentet fra en kunde.

Figur 2, illustrasjonseksempel: forskjellen mellom det som står skrevet og det som faktisk gjøres. Denne avstanden er den vanligste overraskelsen i en gap-analyse, og den er også den som koster mest å lukke.

Seks trinn fra ingenting til forbedring

Modenhet graderes for å gjøre vurderingen etterprøvbar. Uten en skala blir svaret «det er litt varierende», og da kan ingen prioritere. Trinnene under er en vanlig måte å gradere på. I et oppdrag tilpasses skalaen standarden og virksomheten.

Nivå 0: Ikke på plass

Området er ikke håndtert. Ingen finner noe når man spør etter det.

Nivå 1: Tilfeldig

Noe gjøres, men det avhenger av enkeltpersoner og gjentas ikke likt.

Nivå 2: Beskrevet

Det finnes et dokument. Praksis følger det bare delvis.

Nivå 3: Innført

Prosessen brukes i det daglige, og de som utfører den kjenner den.

Nivå 4: Etterprøvbar

Utførelsen etterlater bevis. En revisor kan se at det skjedde.

Nivå 5: Forbedres

Resultatene måles, og målingene fører til endringer som følges opp.

Hva vi ser etter, og hva vi ser på

En gap-analyse vurderer to ting samtidig: om kravet er dekket, og om det er mulig å vise at det er dekket. Det andre er ofte det som mangler.

Område	Hva som vurderes	Hva som utgjør bevis
Styring	Mandat, roller, beslutningslinjer, ledelsesforankring	Protokoller, beslutninger, godkjente policyer
Risiko	Metodikk, gjennomførte vurderinger, behandling og eierskap	Risikoregister, behandlingsplaner, navngitte eiere
Dokumentasjon	Styrende og operasjonelle dokumenter, versjonskontroll	Gyldige dokumenter, revisjonsdatoer, godkjenninger
Kontroller i drift	Om kontrollene er innført og virker	Logger, innstillinger, stikkprøver, testresultater
Kompetanse	Opplæring, bevisstgjøring, rollespesifikk kunnskap	Kursbevis, tester, deltakelse
Leverandører	Kritiske avhengigheter, krav i avtaler, oppfølging	Leverandøroversikt, avtaler, vurderinger
Måling	Mål, indikatorer, rapportering til ledelsen	Rapporter, utvikling over tid, grunnlag til ledelsens gjennomgang
Hendelser	Oppdagelse, håndtering, læring, varslingsplikter	Hendelseslogg, evalueringer, øvelser

Hva som går fort nå, og hva som fortsatt tar tid

Gap-analyser har tradisjonelt startet med ukevis med dokumentinnsamling. Noen skulle finne policyene, noen skulle finne den siste versjonen, og noen skulle lese gjennom alt. Den delen er ikke lenger flaskehalsen.

Dager

Det dokumenterte

Policyer, prosedyrer, registre, avtaler og rapporter. Med Berigos egne verktøy gjøres materialet klart for analyse, og vurderingen mot kravene faller på plass på få dager i stedet for uker.

Uker

Det som må observeres

Om kontrollene virker, om folk gjør som beskrevet, og om bevisene finnes. Dette krever intervjuer, stikkprøver og innsyn i systemene, og det lar seg ikke forsere.

Måneder

Endringen i organisasjonen

Ny atferd, nye vaner og et nytt syn på hvordan arbeidet skal gjøres. Her ligger den egentlige jobben, og den er den samme som før verktøyene kom.

Tidsangivelsene er størrelsesordener for et avgrenset omfang, ikke en lovet leveringstid. Hva som er realistisk i et konkret oppdrag, avklares før arbeidet starter.

Verktøyene bak tempoet

Berigo bruker egne verktøy under AI Data Optimizer til å gjøre virksomhetens dokumentasjon klar for analyse. Dokumentgrunnlaget kartlegges raskt, det som mangler blir synlig tidlig, og analytikerens tid går til faglig vurdering i stedet for til innsamling og sortering. Det er vurderingen kunden betaler for, og den blir bedre når grunnlaget er komplett fra første dag.

Funnene legges inn i TrustAlign, Berigos egen portal for styring, risiko, etterlevelse og revisjonsstøtte. Der får kravene, gapene, tiltakene, ansvaret og fristene en fast plass, og status kan følges av både ledelsen og de som gjør jobben. Portalen gir i seg selv verken sertifisering eller etterlevelse. Den gjør arbeidet synlig og etterprøvbart mens det pågår.

Verktøy flytter flaskehalsen, de fjerner den ikke. Når oversikten kommer på noen dager i stedet for noen uker, blir det tydeligere hva som egentlig står i veien, og det er sjelden mangel på dokumenter.

Positiv og negativ friksjon

Enhver sikkerhetskontroll koster noe. Den koster tid, oppmerksomhet eller et ekstra steg. Spørsmålet er ikke om kontrollen skaper friksjon, for det gjør den alltid. Spørsmålet er om friksjonen betaler seg.

Bremsene på en bil er det enkleste bildet. Kvalitetskontrollen før bilen forlater fabrikken tar tid, og den forsinker produksjonen. Den er likevel positiv friksjon, fordi bremsene virker når noen trenger dem. En kontroll som bare krever en signatur på at noen har sett på bremsene, koster like mye tid og gir ingenting. Det er negativ friksjon.

«Det skal være vanskelig å jukse, og det skal være vanskelig å stjele.»

Robert I. Sutton, professor emeritus i Management Science and Engineering ved Stanford School of Engineering, på spørsmål om en friksjonsfri arbeidsplass er idealet. Svaret hans var nei.

Huggy Rao, professor i organisasjonsatferd ved Stanford Graduate School of Business, har sammen med Sutton forsket på dette i sju år, og de samlet arbeidet i The Friction Project fra 2024. Rao beskriver friksjon som hindringer, og poenget hans er at hindringer virker begge veier: de kan hemme, og de kan muliggjøre. God friksjon får folk til å stanse opp og tenke seg om. Dårlig friksjon overvelder, utmatter og forvirrer.

Rao knytter god friksjon til beslutninger som ikke kan gjøres om. Skal noe slettes, publiseres, kjøpes eller gis bort, er det verdt å legge inn et steg som tvinger fram et øyeblikks ettertanke. Beslutninger som lett kan reverseres, fortjener det motsatte. Ledelsesoppgaven blir da todelt: fjern friksjonen som gjør det riktige tungvint, og legg inn friksjon der det gale skal bli vanskelig.

Kontroll	Hva den koster	Hva den gir	Dom
Fire øyne på en irreversibel endring	Minutter per endring	Fanger feilen mens den ennå kan reverseres	Positiv
Gjenopprettingstest av sikkerhetskopien	Noen timer, noen ganger i året	Gjør en antakelse om til en dokumentert evne	Positiv
Tilgangsgjennomgang før fornyelse	En time per leder per kvartal	Fjerner tilganger som har overlevd sitt formål	Positiv
Passordbytte hver 90. dag	Alle ansatte, fire ganger i året	Gir forutsigbare varianter av det samme passordet	Negativ
Godkjenningsskjema ingen leser	En signatur per forespørsel	Dokumenterer at noen signerte, ikke noe mer	Negativ
Blokkering av et verktøy uten å tilby et alternativ	En hindring hver dag	Flytter arbeidet til en privat konto i stedet	Negativ

Eksemplene over er valgt for å vise skillet, ikke for å felle en dom over en bestemt virksomhet. Den samme kontrollen kan være positiv ett sted og negativ et annet, og det avhenger av hva den faktisk fanger opp hos nettopp dere.

Virker bevisst treghet? Dokumentasjonen er blandet, og nyansen er poenget

Kirurgiske sjekklister er det mest studerte eksemplet på en kontroll som bevisst bremser. I pilotstudien til Verdens helseorganisasjon, publisert i New England Journal of Medicine i 2009, falt dødeligheten ved åtte sykehus fra 1,5 til 0,8 prosent, og komplikasjonene fra 11,0 til 7,0 prosent.

Da den samme sjekklisten ble gjort obligatorisk ved 101 sykehus i Ontario, fant forskerne ingen statistisk signifikant nedgang, verken i dødelighet eller komplikasjoner. Resultatet ble publisert i samme tidsskrift i 2014. Sjekklisten var den samme. Det som var forskjellig, var hvordan den ble tatt i bruk.

Der kontrollen faktisk endret arbeidsmåten, ble effekten stor og varig. En fempunkts sjekkliste for innlegging av sentralt venekateter ved 103 intensivavdelinger i Michigan ga inntil 66 prosent færre blodbaneinfeksjoner, og effekten holdt seg i atten måneder. Boeings egen gjennomgang av sjekklistens historie i luftfarten trekker samme konklusjon: sjekklister virker best som del av en samlet sikkerhetssatsing, og effekten faller når de brukes rutinemessig uten forståelse.

Lærdommen for sikkerhetsarbeid er ubehagelig presis. En kontroll blir ikke positiv friksjon av å bli innført. Den blir positiv når den endrer hva folk faktisk gjør, og det er nettopp derfor endringsledelse er den store jobben etter en gap-analyse.

Negativ friksjon er ikke gratis

En kontroll som koster uten å gi, forsvinner ikke bare i statistikken. Den har en pris som dukker opp et annet sted.

Amerikanske NIST har beskrevet fenomenet som sikkerhetstretthet, altså tretthet eller motvilje mot i det hele tatt å forholde seg til sikkerhet. Det oppsiktsvekkende i studien var at temaet dukket opp av seg selv i intervjuene, uten at forskerne hadde spurt om det. Symptomene de fant, var resignasjon, opplevelse av å miste kontroll, fatalisme, bagatellisering av risiko og unngåelse av beslutninger. Hovedrådet deres er å redusere antallet sikkerhetsvalg brukeren må ta, ikke å gjøre hvert valg mer påtrengende.

Britiske NCSC sier det enda mer direkte: tvinger man folk til det, omgår de sikkerheten for å få jobben gjort. De behandler skygge-IT som et symptom på dårlig utformet policy, ikke som illojale ansatte, og de bruker selv ordet friksjon når de forklarer at tungvinte produkter får folk til å finne veien med lavere friksjon utenom kontrollen.

Dette er grunnen til at en gap-analyse ikke bare skal telle manglende kontroller. Å fylle et gap med en kontroll som er negativ friksjon, gjør etterlevelsen dårligere, ikke bedre. Den ser riktig ut i dokumentasjonen, og den lærer organisasjonen at sikkerhet er noe man kommer seg forbi.

Derfor stiller vi tre spørsmål til hver kontroll vi anbefaler. Hva fanger den opp som ellers ville gått gjennom? Hva koster den den som må gjøre den, hver eneste gang? Og hva gjør folk i stedet dersom den blir for tung? Svarene avgjør om kontrollen hører hjemme i tiltaksplanen.

Typiske funn, og hva de fører til

Funnene under er typiske situasjoner vi kjenner igjen fra fagfeltet. De er ikke hentet fra en navngitt kunde, og ingen tall er tillagt dem.

Funn	Hva som ligger bak	Typisk tiltak
Policy godkjent for fire år siden	Dokumentet finnes og ser ryddig ut. Ingen har gjennomgått det siden, og det viser til systemer som er byttet ut.	Sett en revisjonssyklus med navngitt eier, og ta den inn i ledelsens gjennomgang.
Risikovurdering uten eiere	Risikoene er identifisert, men ingen navn er knyttet til dem, og da skjer det ingenting.	Gi hver risiko som skal behandles en eier og en frist.
Tilganger ingen fjerner	Sluttede ansatte har fortsatt kontoer, og leverandører har tilgang etter at prosjektet er over.	Innfør periodisk tilgangsgjennomgang, og knytt fjerning til sluttrutinen.
Sikkerhetskopier som aldri er gjenopprettet	Kopieringen kjører, og loggen sier vellykket. Ingen har prøvd å hente noe tilbake.	Test en gjenoppretting, dokumenter hva den krevde, og gjenta den etter plan.
Opplæring som ble holdt én gang	Alle deltok i vår. De som er ansatt siden, har ikke fått noe.	Legg opplæringen inn i onboardingen, og registrer deltakelse.
Leverandørkrav som bare står i avtalen	Avtalen sier det riktige. Ingen har kontrollert om leverandøren gjør det.	Risikoklassifiser leverandørene, og følg opp de kritiske med dokumentasjon.

Gap-analyse: hva den er, og hvorfor den går raskere nå