Beslutningsprosesser i håndtering av en digital hendelse – en Garbage Can tilnærming

Abstract

IKT16 var en stor nasjonal øvelse hvor deltakerne trente på å håndtere et stort cyberangrep mot Norge. Formålet med øvelsen var å sette Norge i bedre stand til å møte en stor digital hendelse. I en slik øvelse blir det tatt mange beslutninger, gjerne under et betydelig tidspress og med begrenset tilgjengelig informasjon. I denne studien har vi sett nærmere på de prosessene som leder til beslutninger, og hvilke forutsetninger som ligger til grunn for at beslutninger blir tatt. Dette kan gi bedre grunnlag for å forstå disse prosessene, og dermed grunnlag for bedre beslutningstaking. Der teoretiske rammeverket for studien er The Garbage Can Model of Organizational Choice (GCM). Modellen legger til grunn at beslutninger tas når problemer og løsninger kobles sammen og tidspunktet for en beslutning er til stede. Videre er det et kjerneområde i modellen at deltakerne i beslutningsprosessene ofte er de som vurderer problemene som viktige nok, altså de som investerer mest tid og ressurser i dem. Deltakere kan også være personer som tilfeldigvis har blitt plassert i situasjoner hvor det er nødvendig å ta beslutninger. Forklaringen på det sistnevnte er en svakhet i modellen. For å vise at tilfeldigheter sjelden forklarer gruppesammensetninger og gruppedynamikk, bruker vi Stacey og teorien om komplekse responderende prosesser. I våre øyne bidrar dette til å styrke GCM som forklaringsmodell for beslutninger. Studien ble gjennomført som en observasjonsstudie hos en sentral aktør mens øvelsen pågikk. Funnene våre viser at det er særlig for beslutninger med middels viktighet, eventuelt middels kompleksitet, at Garbage Can-prosesser gjør seg gjeldende. Som en del av mediespillet ble det for eksempel gitt innspill om andre typer hendelser enn de som var kjernen i øvelsen. Den aktøren vi observerte, brukte uforholdsmessig mye tid på å følge et slikt spor. Denne beslutningen ble tatt av en tilsynelatende tilfeldig sammensatt gruppe som var til stede da innspillet kom, og derfra ble det løftet inn i kriseledelsen. Et annet funn var at kriseledelsen var preget av endring i personell fra møte til møte. Endringene skyldtes at faste medlemmer var opptatt på annet hold og sendte stedfortredere. Det påvirket gruppedynamikken. Uten at vi vet noe om hvordan utfallet av ulike saker ville blitt dersom kriseledelsen hadde hatt de samme deltakerne gjennom hele øvelsen, er det støtte i GCM for å antyde at det har påvirket beslutningene. Beslutninger som resultat av Garbage Can-prosesser er en naturlig del av enhver organisasjon. Folk kommer sammen i formelle og uformelle settinger og tar beslutninger. Disse prosessene kan ikke nødvendigvis kontrolleres, men påvirkes best gjennom deltakelse. Kontinuerlig jobbing med tiltak for å skape en omforent forståelse av og aksept for virksomheters mål kan også bidra til å redusere opportunisme og andre personlige agendaer hos deltakere i beslutningsprosesser.

IKT16 was a large national exercise where actors practiced on handling a large cyber attack against Norway. The exercise aimed at improving the national ability of managing a large digital event. Several decisions are made during the course of such a large-scale exercise, often with short time frames and with limited information available. In this study, we have examined the processes leading to decisions and the required conditions needed for decisions to be made. The study's theoretical framework is The Garbage Can Model of Organizational Choice (GCM) The model assumes that decisions are made when problems and solutions are paired, and a choice opportunity exists. Moreover, the model emphasizes that the participants in decisionmaking processes have a varying interest in the problem, which in turn affects the outcome. According to the model, participants can also be in a decision-making situation based on coincidence. We consider the reliance on coincidence as an explaining element of participation as a weakness of the model, and we use Stacey and the theory of Complex Responsive Processes to argue that group composition and group dynamics rarely are the result of coincidence. In our view, being able to explain these phenomena strengthens GCM's explanatory power. The study was conducted as an observational study at one of the participating organizations during the exercise. Our findings suggest that especially decisions with medium importance or medium complexity result in Garbage Can-processes. For example, during the exercise the media play introduced events completely different from the cyber attack core of the exercise. The studied organization spent a lot of time following up on one such event. The decision to do so was made by an apparently coincidental group, which really just was the people being around when the event was played. However, the decision to follow up on this sidetrack event did go all the way to the crisis management group. We also found that, although it is meant to be a static and well-defined group, the crisis-management group changed a lot from meeting to meeting. Heavy use of deputies surely influenced the dynamics of the crisis management group. Although we cannot point to exactly if and how this affected the decisions made, we find support in GCM for the supposition that varying participation did in fact affect the decisions in some way. Decisions stemming from Garbage Can-processes are a natural part of every organization. People come together in formal and informal settings making small and big decisions. Human interaction is uncontrollable and can at best be influence by participation. Continuous efforts to build a unified understanding and acceptance of organizational goals may also reduce individual opportunism and personal agendas in decision-making.