Briefing
Situationen
Maria leder ett inköpsteam på åtta personer. Johan i teamet har på egen hand byggt ett verktyg som automatiserar leverantörsuppföljningen — något IT sa skulle ta sex månader. Verktyget fungerar utmärkt och sparar teamet timmar varje vecka. Nu har tre andra team hört talas om Johans lösning och vill ha den. Problemet: ingen vet riktigt var datan lagras, verktyget är kopplat till Johans personliga konto, och ingen har kollat GDPR-aspekterna. Som ledningsgrupp behöver ni bestämma både hur fallet hanteras och vilken princip ni vill etablera för liknande initiativ framöver.
Diskussion
Frågor att brottas med
Innovation utan bromsklossar
- 1.Vilken signal sänder ni som ledningsgrupp om ni stoppar Johans verktyg — och vilken om ni släpper det vidare som det är?
- 2.Vad måste ni som chefer säkerställa kring ägarskap, data och drift för att tryggt kunna låta tre andra team använda det?
- 3.Hur ser en 'sanktionerad sandlåda' ut hos er konkret — vem i ledningen äger den och vilka regler gäller där?
Risken vi inte ser
- 1.Om verktyget läcker leverantörsdata om sex månader — vem av er chefer bär ansvaret, och stämmer det med dagens beslut?
- 2.Vilka av era nuvarande policyer ser ni som ledare att Johan behövt bryta mot för att bygga något snabbt — och vad säger det er om policyerna?
- 3.Vad händer den dag Johan slutar — ser ni som chefer att ni då har ett verktyg eller ett problem?
Ramverk · Sanktioneringsstegen
Att luta sig mot
Idé
Någon ser ett behov och formulerar en hypotes — fortfarande på papper, ingen data rör sig.
Sandlåda
Bygg och testa i en avgränsad miljö med fejkdata eller anonymiserat — tydlig tidsram.
Pilot
Ett team använder skarpt med dokumenterad ägare, datakälla och riskbedömning godkänd av IT/DPO.
Produkt
Lyfts in i ordinarie förvaltning — versionerad, övervakad, ej beroende av en enskild person.
Sunset
Avveckla planerat när verktyget inte längre behövs eller ersätts av något bättre.
Beslut
Möjliga vägval
- AStoppa spridningen omedelbart, behåll Johans användning tills vidare och starta en formell pilot.
- BLyft verktyget centralt: IT tar över ägarskap, bygger om mot godkända datakällor och rullar ut till intresserade team.
- CTillåt fortsatt användning i ursprungsteamet men förbjud spridning tills GDPR-granskning är gjord.
- DAnvänd fallet som anledning att etablera en sanktionerad sandlåda för hela organisationen.
Triggers
Kasta in när diskussionen fastnar
- ▸Ett av de intresserade teamen jobbar med leverantörer som hanterar personuppgifter.
- ▸Johan har semester om tre veckor och ingen annan vet hur verktyget fungerar.
- ▸Ert IT-team har precis sagt nej till en liknande beställning från ett annat affärsområde.
För facilitatorn
Tips för att få ut mer
- Be deltagarna placera Johans verktyg på sanktioneringsstegen individuellt innan ni diskuterar — visa sedan spridningen i rummet.
- Om diskussionen fastnar i 'tillåta vs förbjuda', tvinga fram en tredje väg: 'vad skulle vi behöva bygga centralt för att göra Johans lösning onödig?'
Reflektion
Att ta med sig
- "Förbereder vår nuvarande chefsutbildning er som chefer för att möta Johan — och de tre teamen som vill ha verktyget? Vad saknas?"
- "Hur agerar du som chef om detta scenario händer i ditt team eller din avdelning?"