Cele mai periculoase vulnerabilități sunt cele despre care nu știi că există.
Majoritatea organizațiilor nu sunt surprinse de problemele pe care le cunosc. Sunt surprinse de cele pe care nu le-au identificat niciodată.
Acesta este unul dintre cele mai importante lucruri pe care le învățăm atunci când analizăm incidente critice, situații de criză, amenințări de securitate, intervenții complexe sau evenimente care au produs consecințe semnificative.
Rareori, după un incident major, organizațiile concluzionează: „Știam exact unde este problema și am ales să o ignorăm.”
Mult mai des apar concluzii precum:
• „Nu ne-am imaginat că acest lucru se poate întâmpla.”
• „Nu am anticipat acest scenariu.”
• „Nu am observat această vulnerabilitate.”
• „Am crezut că suntem pregătiți.”
Și tocmai aici apare una dintre cele mai mari provocări pentru orice instituție, companie sau structură operațională:
Cum identifici riscurile pe care încă nu le vezi?
Iluzia pregătirii.
Multe organizații consideră că sunt pregătite pentru că:
• Au proceduri.
• Au oameni cu experiență.
• Au echipamente moderne.
• Au sisteme informatice.
• Au planuri de intervenție.
• Au responsabilități definite.
• Au participat la exerciții.
Toate acestea sunt importante. Dar există o diferență majoră între existența unor resurse și capacitatea reală de a le utiliza eficient atunci când presiunea devine maximă.
O procedură poate fi foarte bine scrisă. Însă nu procedura va lua decizia atunci când informațiile sunt incomplete.
• Procedura NU va gestiona stresul.
• Procedura NU va coordona oameni din structuri diferite care trebuie să acționeze rapid.
• Procedura NU va interpreta corect comportamentul unei persoane aflate în criză.
• Procedura NU va decide dacă o intervenție trebuie accelerată, amânată sau schimbată complet.
Aceste responsabilități aparțin oamenilor. Iar oamenii reprezintă, în același timp, cea mai valoroasă resursă și cea mai complexă variabilă a oricărei organizații.
Când descoperi o vulnerabilitate contează mai mult decât existența ei.
Orice organizație are vulnerabilități. Acest lucru este normal. Nicio instituție, companie, structură de securitate sau echipă operațională nu funcționează într-un mediu perfect.
Așadar, întrebarea nu este dacă există vulnerabilități. Întrebarea este când sunt descoperite.
Dacă o problemă este identificată în timpul unei analize, al unui exercițiu sau al unei evaluări obiective:
• Există timp pentru corectare.
• Există timp pentru adaptare.
• Există timp pentru pregătire.
• Există timp pentru dezvoltarea unor capabilități suplimentare.
Dacă aceeași problemă este descoperită în timpul unei crize reale, consecințele pot fi incomparabil mai greu de gestionat. În acel moment nu mai vorbim despre îmbunătățire. Vorbim despre impact.
Cât poate costa o vulnerabilitate neidentificată?
Costul nu este întotdeauna financiar. Uneori este operațional. Alteori este reputațional. În anumite situații, poate fi uman.
O informație care nu ajunge la timp la factorul decident poate schimba cursul unei intervenții.
O evaluare greșită a nivelului de risc poate expune inutil personalul.
O coordonare insuficientă între echipe poate transforma o situație controlabilă într-o criză majoră.
O decizie întârziată poate permite escaladarea unui incident.
O tehnologie implementată fără integrare reală în procesele operaționale poate genera confuzie în loc să reducă riscul.
Un exercițiu care testează doar procedurile, dar nu și procesul real de luare a deciziilor, poate crea o falsă senzație de siguranță.
Pentru instituțiile responsabile de siguranță publică, consecințele pot însemna pierderea controlului operațional, expunerea inutilă a personalului, afectarea încrederii publice sau, în cele mai grave situații, pierderi de vieți omenești.
Pentru companii, consecințele pot însemna întreruperea activității, pierderi financiare, afectarea reputației, litigii, pierderea încrederii clienților sau incapacitatea de a gestiona rapid un incident major.
Pentru firmele de pază și protecție, consecințele pot însemna reacții întârziate, evaluări greșite ale riscului, comunicare deficitară cu beneficiarul, expunerea agenților sau pierderea contractelor în urma unui incident gestionat necorespunzător.
În toate aceste situații, costul real nu este dat doar de vulnerabilitatea în sine. Costul real apare atunci când vulnerabilitatea este descoperită prea târziu.
De ce experiența nu este întotdeauna suficientă.
Experiența este esențială. În situații complexe, oamenii cu experiență pot face diferența. Dar experiența singură nu elimină riscul.
Un profesionist poate avea ani de activitate în spate și totuși să fie pus în fața unui scenariu complet nou.
O echipă poate funcționa foarte bine în condiții normale, dar poate avea dificultăți atunci când presiunea, volumul informațiilor și incertitudinea cresc simultan.
Un manager poate lua decizii bune în situații obișnuite, dar poate întâmpina dificultăți într-un incident în care timpul este limitat, informațiile sunt contradictorii, iar consecințele sunt majore.
În situații de criză, nu este testată doar experiența.
• Este testată capacitatea de a interpreta rapid informații incomplete.
• Este testată comunicarea.
• Este testată coordonarea.
• Este testată capacitatea de adaptare.
• Este testat leadershipul.
• Este testată reziliența.
• Este testat modul în care oamenii iau decizii sub presiune.
De aceea, organizațiile mature nu se bazează exclusiv pe experiență. Ele o transformă în metodologie, în exerciții, în lecții învățate și în capabilități care pot fi transferate întregii organizații.
Tehnologia nu elimină riscul uman.
În ultimii ani, organizațiile au investit masiv în tehnologie.
• Inteligență artificială.
• Sisteme de monitorizare.
• Platforme de comandă și control.
• Drone.
• Soluții de analiză.
• Sisteme de comunicații.
Toate acestea pot aduce beneficii reale. Dar tehnologia nu elimină factorul uman. Tehnologia poate furniza informații, dar oamenii sunt cei care decid ce este relevant.
Da, e adevărat, tehnologia poate genera opțiuni, dar, în final, oamenii aleg.
Tehnologia poate reduce incertitudinea. Dar cei care își asumă responsabilitatea deciziei sunt tot oamenii.
Tehnologia poate accelera răspunsul. Oamenii însă decid direcția răspunsului.
Din acest motiv, investiția în tehnologie fără investiția în oameni, procese și pregătire produce adesea rezultate sub așteptări.
Astfel, performanța unei organizații nu este determinată doar de instrumentele pe care le deține. Este determinată de modul în care oamenii utilizează acele instrumente atunci când situația devine critică.
Cum îți dai seama că ai nevoie de o evaluare externă?
Există câteva semnale clare care ar trebui să determine orice organizație să își pună întrebări serioase.
• Dacă procedurile există, dar nu au fost testate în condiții apropiate de realitate, există un risc.
• Dacă exercițiile sunt previzibile, formale sau prea confortabile, există un risc.
• Dacă deciziile critice depind de câțiva oameni-cheie, există un risc.
• Dacă informațiile sunt multe, dar nu se transformă rapid în decizii, există un risc.
• Dacă lecțiile învățate după incidente sau exerciții nu produc schimbări concrete, există un risc.
• Dacă tehnologia evoluează mai repede decât capacitatea oamenilor de a o utiliza eficient, există un risc.
• Dacă oamenii știu ce au de făcut în teorie, dar nu au fost puși niciodată în scenarii realiste de presiune, există un risc.
• Dacă între structuri, departamente sau echipe există diferențe de interpretare, limbaj și priorități, există un risc.
• Dacă organizația se bazează pe ideea că „până acum nu s-a întâmplat nimic”, există un risc și mai mare.
Aceste semnale nu înseamnă că organizația este slabă. Înseamnă că organizația are oportunitatea de a identifica vulnerabilități înainte ca acestea să fie testate de o criză reală, înainte să fie prea târziu.
De ce ai avea nevoie de SPEAR?
Ai nevoie de SPEAR pentră că în multe situații, provocarea nu este lipsa procedurilor, ci înțelegerea modului în care acestea funcționează atunci când presiunea devine reală.
Nu este lipsa informațiilor. Provocarea este transformarea acestora în decizii rapide și relevante.
Nu este lipsa tehnologiei. Provocarea este integrarea acesteia în procesele operaționale și în activitatea oamenilor care trebuie să o utilizeze.
Nu este lipsa experienței. Provocarea este transformarea experienței individuale în capabilități organizaționale și lecții care pot fi aplicate în mod repetabil.
Din această perspectivă, valoarea unei organizații specializate constă în capacitatea de a analiza aspecte care, de multe ori, rămân insuficient evaluate: procesul decizional sub presiune, comunicarea operațională, coordonarea între structuri, comportamentul uman în situații complexe, integrarea tehnologiei și capacitatea reală de răspuns.
Obiectivul este identificarea vulnerabilităților înainte ca acestea să fie descoperite de o situație reală, consolidarea capabilităților existente și creșterea capacității organizației de a lua decizii eficiente atunci când miza este cea mai mare.
În esență, este vorba despre o întrebare simplă:
Cât de bine funcționează oamenii, procesele și tehnologia împreună atunci când condițiile devin dificile?
Pentru că răspunsul la această întrebare influențează direct rezultatul oricărei intervenții, negocieri, situații de securitate sau crize operaționale.
Pentru cine este relevant SPEAR?
SPEAR este relevant pentru orice organizație în care oamenii trebuie să ia decizii importante în condiții de presiune, incertitudine și responsabilitate.
Pentru instituțiile din zona de siguranță, ordine publică, urgență sau apărare, provocarea este protejarea vieții, reducerea riscului operațional și menținerea controlului în situații complexe.
Pentru companii și corporații, provocarea este protejarea oamenilor, continuitatea activității, securitatea operațională, reputația și capacitatea de a reacționa coerent în fața unor incidente majore.
Pentru firmele de pază și protecție, provocarea este capacitatea de a evalua corect riscurile, de a comunica eficient, de a reacționa proporțional și de a proteja atât beneficiarul, cât și personalul propriu.
În toate aceste domenii, întrebarea centrală este aceeași: Cât de bine funcționează oamenii, procesele și tehnologia atunci când presiunea devine reală?
Ce se întâmplă dacă nu faci nimic?
Uneori, nimic. Pentru o perioadă. Și aici este de fapt partea periculoasă. Pentru că o vulnerabilitate neidentificată nu produce consecințe în fiecare zi. Nu atrage atenția în condiții normale. Nu apare mereu în rapoarte. Nu deranjează rutina.
Dar atunci când apare contextul potrivit, aceeași vulnerabilitate poate influența decisiv rezultatul unei situații. O lipsă de coordonare poate întârzia răspunsul. O comunicare deficitară poate crea confuzie. O decizie întârziată poate permite escaladarea. O interpretare greșită poate schimba direcția intervenției. O pregătire insuficient testată poate ceda exact când este mai mare nevoie de ea.
Acesta este costul inacțiunii. Nu doar ceea ce se întâmplă astăzi.
Ci ceea ce se poate întâmpla mâine, atunci când o organizație descoperă în timpul unei crize reale că anumite capabilități nu erau atât de solide pe cât păreau.
Prevenirea este mai ieftină decât consecințele.
O vulnerabilitate descoperită într-o analiză poate fi corectată, poate fi discutată, înțeleasă și transformată într-o lecție, poate deveni punctul de plecare pentru dezvoltare.
Dar o vulnerabilitate descoperită în timpul unei crize reale poate produce efecte ireversibile.
De aceea, organizațiile performante nu așteaptă incidentul pentru a afla dacă sunt pregătite.
• Ele își testează capabilitățile înainte.
• Își analizează procesele înainte.
• Își dezvoltă oamenii înainte.
• Își integrează tehnologia înainte.
• Își pun întrebările dificile înainte ca realitatea să le pună în locul lor.
De ce acum?
Pentru că mediul actual se schimbă mai rapid decât capacitatea multor organizații de a se adapta. Riscurile sunt mai complexe. Crizele sunt mai imprevizibile. Tehnologia evoluează accelerat. Presiunea publică este mai mare. Timpul de reacție este mai scurt. Consecințele unei erori sunt mai vizibile și mai greu de gestionat.
În acest context, pregătirea nu mai poate fi tratată ca un exercițiu formal. Trebuie să devină un proces continuu de analiză, învățare, testare și adaptare.
Concluzie:
Întrebarea nu este dacă organizația ta are proceduri. Probabil că are.
Întrebarea nu este dacă are oameni cu experiență. Probabil că are.
Întrebarea nu este dacă are tehnologie. Probabil că are.
Întrebarea reală este alta: Dacă mâine apare o situație critică, vei descoperi vulnerabilitățile într-un exercițiu controlat sau într-o criză reală?
Aceasta este diferența esențială. Pentru că cele mai costisitoare vulnerabilități nu sunt cele identificate la timp. Sunt cele descoperite pentru prima dată atunci când consecințele au început deja.
SPEAR există pentru organizațiile care nu vor să aștepte acel moment. Pentru organizațiile care înțeleg că pregătirea reală începe înainte de incident. Pentru organizațiile care vor să își protejeze oamenii, reputația, continuitatea și capacitatea de răspuns. Pentru că, în situații de criză, ceea ce nu ai identificat la timp poate deveni exact ceea ce te costă cel mai mult.
