Artikkelforfatter: Carl-Petter Stav, seniorrådgiver Sikkerhet & beredskap, Agenda Risk
Den russiske invasjonen av Ukraina, pandemi, Kinas globale ambisjoner og en påfølgende ny sikkerhetspolitisk og kommersiell verden med klare deglobaliseringstrender burde være en vekker om betydningen av solid geopolitisk risikostyring. Verden har endret seg, og i dag er næringsliv og handelspolitikk et betydelig virkemiddel i den sikkerhetspolitiske verktøykassen. «Business er sikkerhetspolitikk». Sivilsamfunnet og næringslivet her hjemme er de mest attraktive målene for russiske hybride virkemidler i en periode der Norge har fått økt betydning som garantist for gass til Europa.
Behovet for et godt rammeverk for geopolitisk risikostyring er større enn noensinne. Likevel virker det som at mange finner det enkelt å snakke om, men vanskeligere å omsette i praksis.
Det er forståelig at oppgaven fremstår kompleks. Heldigvis er metode og prosesser for å samle data og informasjon for å si noe rettidig og relevant om fremtiden veldokumentert. Dette er kjernen i etterretningsarbeid, og geopolitisk risikostyring bør være en av flere etterretningsoppgaver som løses i privat næringsliv etter samme metode under et utvidet «Business Intelligence» begrep. I denne artikkelen skal jeg peke på noen enkle lærdommer man kan ta med seg fra de menneskene og organisasjonene som samler inn, analyserer og produserer etterretninger hver dag, og si litt om hvordan dette kan komme til nytte i privat sektor.
God og helhetlig risikostyring vil for de aller fleste innebære at geopolitisk risiko settes på agendaen, og er følgelig et styre- og ledelsesansvar på lik linje med all annen risikostyring. God risikostyring krever innsikt (etterretninger). Styret og ledere bør derfor starte med å definere virksomhetens etterretningsbehov, som igjen danner grunnlaget for organisasjonens business intelligence eller etterretningsstrategi. Man må definere hvordan man ønsker å bruke kapasiteten, hvilke oppgaver de er tenkt å løse, man må kanskje gjøre nødvendige organisatoriske tilpasninger, og ikke minst finne de riktige menneskene for å løse oppdraget.
Hvis vi starter med erfaringer fra det organisatoriske aspektet er det nyttig å ha i bakhodet at mens et godt team kan svare på spørsmålene dine, vil et fabelaktig team gjøre mye mer. Et fabelaktig team kan peke på hvilke spørsmål du egentlig bør stille, hva du bør være mest bekymret for, og til og med identifisere konkurransefortrinn du ikke visste eksisterte. Skal man lykkes med det siste, krever det at teamet kjenner organisasjonen svært godt, og at de er godt kjent med de strategiske målsettingene og prosessene som ligger til grunn. Ønsker du et team som leverer produkter med strategisk effekt, sørg for at de er organisert deretter. Legg til rette for at de kan trekke på mest mulig kunnskap og kompetanse fra resten av organisasjonen, og at de kan gå i dialog på tvers uten at organisatoriske skillelinjer eller produksjonskrav i linjene senker tempoet.
Det neste på listen er å finne de rette menneskene. I et komplett team trenges det innhentingsledelse og analysekraft med forståelse for metodikk, prediktiv analyse, etterretningsproduksjon og fremstilling. Teknologi er gjennomgående, og de må vite hvilke data og hvilken informasjon som må hentes inn, hvilke kilder de bør bruke, hvordan dataene og informasjonen skal organiseres, og ikke minst hvordan informasjonen skal prosesseres for å skape gode etterretninger som kan gi effekt.
Hvilke individer er best egnet til å gi oss pålitelig informasjon, og hvor finner vi disse? Hvordan kan offentlig tilgengelige bilder gi oss relevant informasjon? Hvilke dokumenter kan vi få tak i, og finnes de online eller offline? Hvordan organiserer vi OSINT- innsatsen på en effektiv måte? Hvilke juridiske implikasjoner har alt dette, og hvordan sørger vi for at vi jobber innenfor alle aktuelle lovverk? Hvordan reduserer vi kulturell skjevhet i de vurderingene vi gjør, og hvordan luker vi det ut i kildene vi bruker? Når bør vi hente inn supplerende informasjon fra andre kilder?
Dette er bare noen eksempler på spørsmål som teamet bør kunne svare på, og innhentingsledelse som prosess bør stå øverst på agendaen når arbeidet starter.
Når teamet er på plass og arbeidsprosessene er definert bør styret og ledelsen prioritere organisasjonens informasjonsbehov. Prioriteringen sikrer at man aldri glipper på det som betyr mest, og en systematisk og langsiktig satsing er nødvendig for å kunne si noe fornuftig om fremtiden. Det vil alltid være ledelsens privilegium å omprioritere, men husk at all reaktiv innsats vil gå på bekostning av evnen til å se fremover. Prioriteringen vil forhåpentligvis ha en klar sammenheng med selskapets strategi og gjenspeile det som er det absolutt viktigste i kommende periode. Offensivt eller defensivt. Mange vil kanskje oppleve at det å prioritere informasjonsbehov er mer utfordrende enn det høres ut som, men også her bør et team med forståelse for organisasjonen (og strategien) være i stand til å presentere et godt utgangspunkt. Og husk å revidere prioriteringene med jevne mellomrom for å sikre at de riktige spørsmålene blir stilt.
Når teamet nå skal samle inn, prosessere og produsere for å bringe klarhet i hvilke trusler, risikoer og muligheter som ligger i fremtiden vil det være nyttig å lene seg på to metodiske verktøy; scenarioer og indikatorer. Scenarioene kan være både strategiske og operasjonelle, og man kan vurdere et bredt sett av indikatorer knyttet til hvert enkelt scenario. Strategiske indikatorer kan typisk være forhold som politisk stabilitet, økonomiske trender, sosial uro og klimaendringer. Dette er ting som kan påvirke aktiviteten på sikt, og indikatorene kan brukes til å vurdere hvorvidt man går i retning av et scenario hvor den strategiske innrettingen bør revurderes. Operasjonelle indikatorer kan knyttes til faktorer som er kritiske for en gitt aktivitet eller operasjon, og disse bør følge alle tenkelige avhengigheter så langt som mulig, og i prioritert rekkefølge.
Hvor lenge kan vi opprettholde produksjonen dersom vi får begrenset tilgangen til gass, stål, gummi, skip, logistikkruter, luftrom, landområder, personell eller elektrisitet? Hva skjer med våre eiendeler i utlandet dersom en krise oppstår? Kan vi si at vi har kontroll på dataene våre hvis serveren står i et land som har et avhengighetsforhold til en tredje stat med helt andre prinsipper enn oss selv? Hvorfor er dysprosium, neodym og Mongolia av interesse for oss? Og hvordan kan våre strategiske indikatorer og vurderinger bidra til å si noe om hvordan dette ser ut om fem år?
Identifiser hva dere er avhengige av for å få hjulene til å gå rundt, og lag indikatorer som gjør at trusler mot dette oppdages så raskt som mulig. En tilleggseffekt av arbeidet med scenarioer og indikatorer er at det skaper strategisk bevissthet, som kan brukes til å legge gode planer som kan iverksettes på et stadium hvor konkurrentene enda ikke har sett hva som er i ferd med å skje. Så er det opp til teamet å sette sammen bitene i puslespillet og svaret på det viktigste spørsmålet: Hva betyr dette egentlig for oss?
Vær forberedt på at fra tid til annen er svaret at noe må gjøres. Noen ganger er det ikke annet enn en god mulighet som bør utnyttes, men det kan også bety at dere bør endre den strategiske innretningen. I hvilken grad man velger å omsette etterretning i handling er ledelsens privilegium, men det vil være ubrukelig, og kanskje til og med skadelig, hvis teamet av en eller annen grunn ender opp med å fortelle deg bare det du ønsker å høre. Sistnevnte finnes det flere gode eksempler på, mer kjent som etterretningsfadeser. Etterretninger er ikke alltid godt nytt, og det må man lære seg å verdsette.
Avslutningsvis er det greit å huske at det å implementere en etterretningskapasitet er en investering. Man må lære seg å bruke denne kapasiteten før avkastningen virkelig kommer. Og det handler ikke bare om å redusere risiko, men også om å skape muligheter, sikre kontinuitet i aktiviteten, og utvikling av strategi basert på innsikt, kunnskap og gode vurderinger.
Vi tror flere større virksomheter i Norge i tiden fremtiden vil ha behov for denne kapasiteten; for noen vil det være naturlig å bygge kapasitet og kompetanse på egenhånd, mens for andre vil det være mer formålstjenlig å kjøpe «Intelligence as a Service».
Om artikkelforfatteren: Carl-Petter Stav har nærmere 20 års erfaring fra etterretnings- og sikkerhetsrelatert arbeid og svært bred erfaring innen fagområdet; nasjonalt og internasjonalt, både operativt og strategisk nivå, sivilt og militært. Han har jobbet med geopolitisk risiko, herunder trusler fra statlige og ikke-statlige aktører i alle domener (cyber/teknologi/mennesker). Han har ledet analysearbeid og operative avdelinger både i Norge og i utlandet i forbindelse med militære operasjoner og kriser, og hatt ansvar for operasjonell risikohåndtering og sikkerhet. Han har også jobbet med beredskapsplanlegging og øving/trening. Carl-Petter har nylig gjennomført en videreutdannelse i informasjonssikkerhetsledelse ved Harvard.