V roce 2018 napsal Timothy Brown, tehdy ředitel informační bezpečnosti softwarové firmy SolarWinds, do interní prezentace jednu větu. Současný stav bezpečnosti nechává firmu velmi zranitelnou, pokud jde o kritická aktiva.1
O rok později napsal do další prezentace, že přístupy a oprávnění ke kritickým systémům a datům jsou nevhodné.1 Inženýrský manažer mu mezitím poslal formulář o přijetí rizika, ve kterém stálo, že počet bezpečnostních problémů nalezených za poslední měsíc překročil kapacitu týmů, které je mají opravit.1
Psal to. Označoval to. Posílal to dál. Podle žaloby to nebyla jedna prezentace ani jeden formulář, ale řada zpráv a rozhovorů mezi lety 2018 a 2020.1
Neměl v ruce rozpočet na bezpečnost. Neřídil inženýrské týmy, které měly ty problémy opravit. A nerozhodoval o tom, co se o rizicích napíše investorům.
V prosinci 2020 se ukázalo, že do produktu té firmy pronikl útočník a přes něj se dostal ke státním institucím i k tisícům zákazníků. V říjnu 2023 podala americká komise pro cenné papíry žalobu pro podvod a selhání vnitřních kontrol. Žalovala společnost a jmenovitě jednoho člověka.1
Byl to on. Ten, kdo to celé roky psal a posílal dál.
Pro pořádek: soud v roce 2024 většinu těch nároků zamítl a spor pokračoval v mnohem užším rozsahu. Na mechanismu to nemění nic. Ukazuje ho to ostřeji, protože ten člověk strávil roky v roli, ve které nesl odpovědnost za stav, který nemohl změnit.
Proč to skoro vždycky přečteme špatně
Když se ptáme, jestli má někdo dobrou práci, ptáme se na smysl. Dělá něco, na čem mu záleží? Je to správná otázka a je malá. Říká, proč do té role šel. Neříká nic o tom, jestli mu ta role dovolí svůj úkol splnit.
A protože je smysl vidět hned a rozpor v roli není vidět skoro nikdy, čte se ten rozpor jako slabost člověka. Nejdřív ho tak čte okolí. Za pár měsíců ho tak začne číst i on sám.
Pokračování článku
Zbytek textu otevřete e-mailem.
Zadejte adresu a článek bude hned celý. Posíláme i další poznatky o tom, jak se mění fungování organizací a co to znamená pro práci, rozhodování a výsledky.
Hackman a Oldham v práci o designu pracovních rolí ukázali, že výkon a angažovanost nestojí na motivaci, ale na strukturálních podmínkách.2 Jestli má člověk autonomii, jestli vidí výsledek své práce a jestli dostává zpětnou vazbu. Smysl je nutná podmínka. Sám o sobě nestačí.
Lerner a Tetlock shrnuli, co se stane, když člověk nese odpovědnost za výsledek, ale nemá kontrolu nad podmínkami, za kterých ho má dosáhnout.3 Nejdřív se snaží víc. Pak začne své výsledky obhajovat dopředu. Nakonec přechází od zkoumání k obraně. Energii spotřebuje ochrana pozice, ne práce.
Ta poslední fáze je ta, kterou organizace vidí jako první a čte ji nejhůř. Vypadá jako ztráta zájmu. Ve skutečnosti je to konečný stav procesu, který běžel měsíce a nikdo si ho nevšiml, protože výsledky ještě chodily.
Cena za stejný výkon roste. Výkon zatím drží. A protože výkon drží, nikdo se na tu cenu neptá.
Brown nebyl v roli, ve které se dalo vyhrát. Byl v roli, ve které se dalo jenom dokumentovat, že prohrává.
Návrh, který neschválilo obchodní oddělení
Thomas Haider byl v letech 2003 až 2008 ředitelem compliance ve společnosti MoneyGram, tedy ve firmě zajišťující převody peněz po celém světě prostřednictvím sítě partnerských poboček. Jeho oddělení dostávalo hlášení o podvodech a vědělo, kteří partneři jsou rizikoví. Oddělení pro potírání podvodů proto navrhlo pravidlo, jak takové partnery ukončovat nebo kázeňsky postihovat.
To pravidlo se nikdy nezavedlo. Důvod je zaznamenaný v soudních dokumentech a je to jedna z nejpřesnějších vět o odpovědnosti bez pravomoci, jakou znám. Nebylo schváleno obchodním oddělením.4
Obchodní oddělení Haiderovi nepodléhalo. Rozhodovalo o tom, kdo v síti zůstane, protože každý partner znamenal objem. Compliance mohlo navrhovat. Schvaloval někdo jiný.
V prosinci 2014 uložil americký úřad pro potírání finanční kriminality osobní pokutu ve výši jednoho milionu dolarů. Ne firmě. Jemu.5 Spor skončil v roce 2017 vyrovnáním. Zaplatil 250 tisíc dolarů a přijal tříletý zákaz vykonávat funkci compliance u kteréhokoli poskytovatele převodů peněz.4
Obchodní oddělení, které to pravidlo neschválilo, nezaplatilo nic.
Brown psal prezentace, které nikam nevedly. Haider navrhoval pravidla, která neprošla. Oba byli v roli, kde se odpovědnost přidělovala shora a pravomoc končila jinde, a oba za to nakonec zaplatili osobně.
Za co přesně ručíte
Ta interní prezentace z roku 2018 měla svého autora chránit. Ukazovala riziko, pojmenovávala ho a posílala dál. Nakonec posloužila jako důkaz proti němu.
U toho se vyplatí zastavit. Dokumentování rizika je standardní rada, kterou dostane každý manažer v podobné situaci. Piš to. Eskaluj to. Měj to v e-mailu. Chrání vás to jen tehdy, když ta role zároveň dává pravomoc s tím rizikem něco udělat. Jinak vyrábíte důkazní materiál o tom, že se o tom riziku vědělo.
Organizace, která přidělí odpovědnost bez pravomoci, si nevyrábí odpovědného člověka. Vyrábí si člověka, na kterého se dá ukázat. A dělá to bez zlého úmyslu, protože každý jednotlivý krok dává smysl. Bezpečnost přece někdo řídit musí. Compliance přece někdo šéfovat musí. Rozpočty přece nemůže mít každý.
Ten, kdo tu roli takhle postavil, pak čte výsledek jako problém toho, koho do ní dosadil. Nenašel si cestu k týmu. Neuměl to prosadit. Nebyl dost silný. Ta interpretace je pohodlná a je v ní zrnko pravdy, což je přesně to, co jí dává sílu. Silnější člověk by v té roli možná vydržel déle. Nevydržel by v ní napořád, protože ta konstrukce nemá výstup, ve kterém se vyhrává.
Otázka pro toho, kdo role staví, tedy nezní, jestli je ten člověk dost odolný. Zní, za co přesně ručí a jestli k tomu má skutečnou pravomoc, nebo jen její zdání.
Někde ve vaší firmě teď někdo otevírá prezentaci a píše do ní větu o riziku, které nemůže odstranit. Označí ji, uloží a pošle dál, protože to je všechno, co mu ta role dovoluje.
Zdroje
- U.S. Securities and Exchange Commission (2023). SEC Charges SolarWinds and Chief Information Security Officer with Fraud, Internal Control Failures. Tisková zpráva 2023-227. https://www.sec.gov/newsroom/press-releases/2023-227
- Hackman, J. R., & Oldham, G. R. (1976). Motivation through the design of work: Test of a theory. Organizational Behavior and Human Performance, 16(2), 250–279. https://doi.org/10.1016/0030-5073(76)90016-7
- Lerner, J. S., & Tetlock, P. E. (1999). Accounting for the effects of accountability. Psychological Bulletin, 125(2), 255–275. https://doi.org/10.1037/0033-2909.125.2.255
- Crowell & Moring (2017). A $250,000 Settlement with FinCEN Puts AML Compliance Officers in the Cross-Hairs (včetně zjištění, že navržené pravidlo na ukončování rizikových partnerů neschválilo obchodní oddělení).
- Financial Crimes Enforcement Network (2014). FinCEN Assesses $1 Million Penalty and Seeks to Bar Former MoneyGram Executive from Financial Industry. https://www.fincen.gov/news/news-releases/fincen-assesses-1-million-penalty-and-seeks-bar-former-moneygram-executive
