Briefing
Situationen
Maria leder ett inköpsteam på åtta personer. Johan i teamet har på egen hand byggt ett verktyg som automatiserar leverantörsuppföljningen — något IT sa skulle ta sex månader. Verktyget fungerar utmärkt och sparar teamet timmar varje vecka. Nu har tre andra team hört talas om Johans lösning och vill ha den. Problemet: ingen vet riktigt var datan lagras, verktyget är kopplat till Johans personliga konto, och ingen har kollat GDPR-aspekterna. Som ledningsgrupp behöver ni bestämma både hur fallet hanteras och vilken princip ni vill etablera för liknande initiativ framöver.
Diskussion
Frågor att brottas med
Innovation utan bromsklossar
- 1.Vilken signal sänder vi om vi stoppar Johans verktyg — och vilken om vi släpper det vidare som det är?
- 2.Vad skulle behöva vara sant om ägarskap, data och drift för att vi tryggt kan låta tre andra team använda det?
- 3.Hur ser en 'sanktionerad sandlåda' konkret ut hos oss — vem äger den och vilka regler gäller där?
Risken vi inte ser
- 1.Om verktyget läcker leverantörsdata om sex månader — vem skulle vi peka på, och stämmer det med dagens beslut?
- 2.Vilka av våra nuvarande policyer hade Johan behövt bryta mot för att bygga något snabbt — och vad säger det om policyerna?
- 3.Vad händer den dag Johan slutar — har vi då ett verktyg eller ett problem?
Ramverk · Sanktioneringsstegen
Att luta sig mot
Idé
Någon ser ett behov och formulerar en hypotes — fortfarande på papper, ingen data rör sig.
Sandlåda
Bygg och testa i en avgränsad miljö med fejkdata eller anonymiserat — tydlig tidsram.
Pilot
Ett team använder skarpt med dokumenterad ägare, datakälla och riskbedömning godkänd av IT/DPO.
Produkt
Lyfts in i ordinarie förvaltning — versionerad, övervakad, ej beroende av en enskild person.
Sunset
Avveckla planerat när verktyget inte längre behövs eller ersätts av något bättre.
Beslut
Möjliga vägval
- AStoppa spridningen omedelbart, behåll Johans användning tills vidare och starta en formell pilot.
- BLyft verktyget centralt: IT tar över ägarskap, bygger om mot godkända datakällor och rullar ut till intresserade team.
- CTillåt fortsatt användning i ursprungsteamet men förbjud spridning tills GDPR-granskning är gjord.
- DAnvänd fallet som anledning att etablera en sanktionerad sandlåda för hela organisationen.
Triggers
Kasta in när diskussionen fastnar
- ▸Ett av de intresserade teamen jobbar med leverantörer som hanterar personuppgifter.
- ▸Johan har semester om tre veckor och ingen annan vet hur verktyget fungerar.
- ▸Ert IT-team har precis sagt nej till en liknande beställning från ett annat affärsområde.
För facilitatorn
Tips för att få ut mer
- Be deltagarna placera Johans verktyg på sanktioneringsstegen individuellt innan ni diskuterar — visa sedan spridningen i rummet.
- Om diskussionen fastnar i 'tillåta vs förbjuda', tvinga fram en tredje väg: 'vad skulle vi behöva bygga centralt för att göra Johans lösning onödig?'
Reflektion
Att ta med sig
- "Förbereder vår nuvarande chefsutbildning chefer för att möta Johan — och de tre teamen som vill ha verktyget? Vad saknas?"
- "Vilken typ av initiativ vill vi se mer av i organisationen, och vad i dagens beslut sänder den signalen?"