Eind augustus, maandagochtend. De parkeerplaats zit weer vol, bij het koffieapparaat staat een rij en iedereen vertelt in het kort waar hij is geweest. Op je scherm staan 340 ongelezen mails. Ergens deze week zakt dat weer in en draait de tent gewoon.
En dan komt het advies. Elk moment in het jaar verschijnen de berichten dat je moet oppassen voor phishingmails, want volle inboxen en afgeleide mensen klikken sneller door. Op zich waar. Alleen is er buiten je bedrijf deze zomer niets veranderd. Criminelen hebben geen zomerreces gehad en zijn niet ineens weer actiever geworden na de zomer omdat jij terug bent van de camping.
Wat wél veranderde, zat binnen.
Denk even terug aan wat er de afgelopen vier weken in je bedrijf is gebeurd. Halve bezetting. Twee van je vier mensen op de administratie weg. De enige die het pakketsysteem echt begrijpt, onbereikbaar in Italië. Klanten die gewoon doorbestelden, leveranciers die gewoon doorfactureerden. En het werk ging door, want dat doet het altijd.
Dat is geen rommelperiode. Dat is een oefening.
Grote organisaties betalen er geld voor: een oefening waarin je nabootst dat er iets misgaat en kijkt hoe je organisatie zich houdt. Wie neemt de besluiten als de gebruikelijke persoon er niet is? Waar loopt het vast? Wat doen mensen als de afgesproken route niet werkt? Zo’n oefening kost een dagdeel en een flinke factuur, en achteraf krijg je een rapport met wat er beter kan.
Jij hebt die oefening net gehad. Vier weken lang, in het echt, en hij heeft je niets gekost.
Kijk maar eens hoe je zo’n oefening normaal opzet. Je haalt sleutelfiguren weg, je zet er tijdsdruk op, en je kijkt of de afspraken het houden als niemand ze kan handhaven. Dat is vrij precies wat augustus met je bedrijf heeft gedaan. Het is trouwens ook precies de situatie tijdens een echt incident: onderbezetting, haast, en de mensen die je nodig hebt zitten er net niet. Wat vier weken vakantie niet overleefde, overleeft een ransomware-avond ook niet. Ik schreef eerder dat incidenten nu eenmaal gebeuren en dat alleen de chaos optioneel is. Dit is de goedkoopste manier om erachter te komen hoe dat bij jou zou uitpakken.
Van een betaalde oefening krijg je achteraf een rapport. Van deze niet. De uitslag ligt wel gewoon in je bedrijf, in de hoofden van je mensen. Alleen vraagt niemand hem op.
Die uitslag bestaat uit de omwegen die je mensen hebben genomen om het werk door te laten gaan. De collega die de betalingen van iemand anders overnam en die rechten nog steeds heeft. Het gedeelde account dat “even voor deze twee weken” werd aangemaakt. Het vierogenprincipe dat het niet redde omdat het tweede paar ogen in Frankrijk zat.
Vierogenprincipe: bij sommige handelingen, meestal betalingen of wijzigingen in vaste gegevens, moet er altijd een tweede persoon meekijken en akkoord geven. Simpel en verrassend effectief, want de meeste vergissingen en een hoop fraudepogingen komen niet langs iemand die er nuchter naar kijkt.
Hier zit de afslag die makkelijk verkeerd gaat. De reflex bij zo’n lijstje is dat het overtredingen zijn en dat je er wat van moet zeggen. Dat snap ik ook wel, er zijn tenslotte afspraken gemaakt die niet zijn nagekomen.
Alleen neemt niemand een omweg voor de lol. Mensen zoeken een sluiproute als de hoofdweg dicht zit terwijl het werk gewoon doorgaat. Elke omweg die iemand deze zomer heeft genomen, is dus bewijs dat er iets wringt tussen wat er is afgesproken en hoe het werk in de praktijk loopt.
Wat er precies wringt, weet je nog niet. Soms is de afspraak zelf onwerkbaar. Soms deugt de afspraak prima, maar wist niemand dat er een nette manier was om er met jouw goedkeuring omheen te gaan. En soms was er domweg niemand beschikbaar, en had geen enkel beleid dat kunnen oplossen. Drie verschillende problemen met drie verschillende oplossingen, en je hoort welke het is alleen als iemand het je vertelt.
Daar zit meteen het ongemak. Bij dertig tot honderdvijftig man heb je geen team dat de hele dag meekijkt of het allemaal nog klopt. Je mensen zijn dat team. Reageer je op de eerste omweg met “dat had je niet mogen doen”, dan hoor je de tweede nooit meer. Zelden uit onwil trouwens. Het is meestal dat iemand een keer heeft gemerkt dat eerlijk zijn ongemakkelijk werd.
En dan de nuance die dit uitvoerbaar houdt, want ik zeg hier niet dat je alles moet laten zitten. Dat gedeelde account gaat gewoon dicht. Die goedgekeurde wijziging van een rekeningnummer controleer je gewoon alsnog. Het verschil zit in twee dingen die vaak op één hoop belanden: hoe je reageert op degene die het je vertelt, en hoe je reageert op het risico zelf. Dat eerste mag mild. Dat tweede hoeft dat helemaal niet te zijn.
Wil je hier deze week iets mee, dan is het één vraag per team, en de formulering doet er meer toe dan je zou denken. Vraag niet wie zich niet aan de afspraken heeft gehouden, want dan moet iemand iets bekennen en krijg je het nette antwoord. Vraag: waar liep je de afgelopen weken vast, en wat heb je toen gedaan om toch door te kunnen? Daar hoeft niemand iets voor toe te geven, en je krijgt precies dezelfde informatie.
Doe het wel nu. Over twee weken weet niemand meer wat er tijdelijk was en waarom, staat dat gedeelde account er nog steeds, en is “even zo geregeld” gewoon “hoe we het doen”. Het kost je een halfuur, en het is de enige keer dit jaar dat die informatie nog vers genoeg is om er iets mee te kunnen.
Ik ben wel benieuwd wat er bij jou uit zou komen. En eerlijk gezegd nog benieuwder of je het eerlijke antwoord zou krijgen of het nette. Laat het me weten, ook als je die vraag liever niet stelt :-)