Turvallisuus- ja liikejohto puhumaan samaa kieltä

Turvallisuus- ja liikejohdon taustat ovat hyvin erilaiset. Yrityksen sisällä näiden kahden ryhmittymän tulisi oppia puhumaan samaa jargonia, yrittäjä ja hallitusammattilainen Jukka Laakso neuvoo.

Liikkeenjohtajilla on tyypillisesti monipuolinen ja vahva koulutustausta, jossa yhdistyvät taloudellinen osaaminen, strateginen ajattelu ja johtamisopinnot.

Turvallisuuden ammattilaiset jakaantuvat usein kolmeen ryhmittymään: kyberturvallisuuden, henkilöstöturvallisuuden ja fyysisen turvallisuuden ammattilaisiin. Lisäksi turvallisuuden vaatimustenmukaisuutta korostetaan hyvässä hallintotavassa ja muun muassa rahoitukseen liittyvissä riskeissä.

"Kyberturvallisuusväellä on usein ICT- tai koodaritausta. Fyysisestä turvallisuudesta vastaavien taustat löytyvät esimerkiksi poliisista, puolustusvoimista tai pelastustoimesta sekä alaan erikoistuneista oppilaitoksista", Jukka Laakso kertoo.

"Useat ovat hankkineet lisää alaa tukevaa huippukoulutusta."

"Yhteinen nimittäjä näille kuitenkin on, että useat ovat hankkineet lisää alaa tukevaa huippukoulutusta."

Kaikki eri ryhmittymät puhuvat omaa ammattikieltään. Kuinka sitten saada kaikki puhumaan samaa kieltä, yrityksen omaa jargonia, jossa jopa terminologiat ymmärrettäisiin samalla tavalla?

"Turvallisuudesta vastaavien tulee olla organisaatiossa riittävän korkealla, jotta saadaan liiketoimintoja palveleva puheyhteys riskienhallinnasta ylimmän johdon kanssa", Laakso neuvoo.

"Johdossa usein ihmetellään, miksi turvallisuus on yrityksen sisällä eri ”siiloissa”, koska tuolloin viestintä vaikeutuu, kustannustehokkuus ei ole optimoitu ja kokonaiskuva rapautuu."

Liiketoiminnan luonteesta riippuen olisi hyvä, että turvallisuusasioita käsiteltäisiin johtoryhmän kokouksissa ja hallituksen kokouksissa kvartaaleittain tai ainakin kerran vuodessa vuosikellon mukaisesti turvallisuusorganisaation kertomana.

Laakso vertaa kahta roolia, joita turvallisuusammattilaisella voi olla yrityksessä. Hän voi olla joko operatiivinen turvallisuuspäällikkö tai strateginen turvallisuusjohtaja.

Operatiivinen turvallisuuspäällikkö vastaa hankinnoista, huolloista, auditoinneista ja reagoinnista.

Strategisen turvallisuusjohtajan työnkuvaan kuuluvat riskien hinnoittelu, investointien priorisointi, tilannekuva johdon työkaluna sekä strategisen neuvonantajan rooli.

Strategisen turvallisuusjohtajan työnkuvaan kuuluvat riskien hinnoittelu, investointien priorisointi, tilannekuva johdon työkaluna sekä strategisen neuvonantajan rooli.

Muutos roolista toiseen voi olla vaikeaa. Laakso huomauttaa, että strategisen turvallisuusjohtajan rooli otetaan, sitä ei anneta ja se on oleellinen yrityksien kannalta tarkasteltuna.

Laakso kehuu asenteiden muuttuvan vauhdilla turvallisuusihmisten keskuudessa.

"Olen huomannut, että monella turvallisuusjohtajilla on valtava halu kehittää omaa osaamistaan ja hyödyntää uusimpia ratkaisuja riskienhallinnassa ja saattaa näitä kehitysideoita johdolle."

"Samoin regulaatiovaatimukset yrityksille nostavat myös yritysjohdon kiinnostusta turvallisuusasioihin."

Laakso on järjestänyt Boardmanin kanssa hallitusammattilaisille koulutuksia kyberfyysisestä turvallisuudesta. Ne ovat olleet todella suosittuja. Jo teema itsessään on kiinnostava, sillä kyberfyysisyys on monelle uusi termi.

Nykyajan sabotaasiuhkien alla fyysinen turvallisuus on korostunut. Yrityksen toiminnan kannalta tärkeät fyysiset tilat tulee olla tarkkaan suojattuja. Turvallisuustekniset järjestelmät ovat käytännössä tietoverkkoon liitettyjä komponentteja, joissa kaikissa on samat haavoittuvuudet kuin tietojärjestelmien kyberturvallisuudessa. Näitä ei voi nykyisin käsitellä erillisinä kokonaisuuksina.

Hallituksen jäsenellä on suuri vastuu ja huolellisuusvelvoite, jotka tulevat laistamme. Yrityksen toimintakyky poikkeustilanteissa kiinnostaakin ymmärrettävästi tämän takia hallitusammattilaisia.

"Keskisuurella tai suurella yrityksellä on tyypillisesti 11 hallituksen kokousta vuodessa. Niistä yksi voi olla pidempi strateginen kokous, mutta muuten ne ovat kahdesta neljään tunnin mittaisia kokouksia."

"Eli hallitus on koolla pyöreästi noin 40 tuntia vuodessa."

Riskienhallinta on yleensä vakioteema hallitusten kokouksissa kerran vuodessa vuosikellon mukaisesti, mutta muutaman tunnin kokouksessa laajaa riskienhallinnan kokonaiskuvaa ei ehditä käsittelemään kovin pitkäkestoisesti.

"Turvallisuusorganisaatioiden on syytä miettiä, miten riskienhallinnan asiat tarjotaan johdolle ja hallituksille tehokkaasti koottuna säännöllisesti ja hyvissä ajoin ennen kokouksia."

"Hallituksen jäsenen on vaikea paneutua riskeihin kunnolla, sillä aikaa on vähän ja riskien kirjo suuri. Tämän vuoksi turvallisuusorganisaatioiden on syytä miettiä, miten riskienhallinnan asiat tarjotaan johdolle ja hallituksille tehokkaasti koottuna säännöllisesti ja hyvissä ajoin ennen kokouksia."

Laakso painottaa, että turvallisuuden laiminlyönti voi tulla valtavan kalliiksi. Ei vain liiketoiminnan häiriöistä johtuvista suorista kustannuksista, vaan esimerkiksi mainehaitta voi tulla vielä kalliimmaksi.

"Meillä on yhtiöitä, joilla on tosi vahva brändi. Se voi olla joissain tapauksissa yhtiön arvosta jopa lähes puolet."

Varaudu eri aikajänteillä ja skenaarioilla

Huoltovarmuuskeskus julkaisi sotilaallisen uhan skenaarion ja harjoitustyökalun yrityksille. Yksikönjohtaja Jarna Hartikainen suosittelee tutustumaan myös Ukrainan opeista tehtyyn koosteeseen.

Huoltovarmuuskeskus julkaisi keväällä 2026 kuvitteellisen skenaarion yhteiskunnan kestokykyä haastavasta äärimmäisestä kriisistä: Suomen joutumisesta sotaan.  Skenaario ei ole ennuste, vaan kuvitteellinen tapahtumakulku. Se kuvaa mahdollisen tilanteen kehittymisen kriisiytymisestä eskalaation kautta pitkittymiseen ja miten se haastaisi yhteiskunnan palveluja, tuotantoa ja infrastruktuuria.

Huoltovarmuuskeskuksen mukaan yritysten puolelta on jo pitkään toivottu tällaista skenaariota ja sitä kautta yhteistä varautumisperustaa. Skenaarion julkaisulla haluttiin varmistaa, että mahdollisimman laajalla yritysjoukolla on mahdollisuus varautua ja harjoitella yhtenäisin perustein myös ääritilanteisiin.

Skenaario oli jo vuoden 2025 lopulla jaettu luottamuksellisena aineistona huoltovarmuuskriittisten yritysten verkostolle, ja se tuotiin myös koko yrityskentän käyttöön. Skenaarion valmisteluun osallistui asiantuntijoita Puolustusvoimista, Traficomin Kyberturvallisuuskeskuksesta sekä Lupa- ja valvontavirastosta.

Skenaariossa kuvataan mahdollinen sotilaallisen uhan kehittyminen vaihteittain Suomessa. Siinä on selkeät aikajänteet, kuinka kriisi kehittyisi. Näin yritykset voivat harjoitella todenmukaisesti, miten kriisi vaikuttaa yrityksen toimintaan.

Harjoittelun tueksi Huoltovarmuuskeskus on aiemmin julkaissut Häiriöhyrrä-harjoitustyökalun, jossa on joukko kysymyksiä eri teemoista. Sitä voi myös hyödyntää, kun yritykset käyvät läpi skenaarioita.

Skenaariossa kriisin ensimmäisen kolmen kuukauden aikana Suomessa tapahtuisi muun muassa laajaa moninaista hybridivaikuttamista ja häiriöitä sähkönjakelussa, tietoliikenneyhteyksissä, polttoainejakelussa sekä toimitusketjuissa.

Samalla kansalaiset ryhtyisivät hamstraamaan polttoainetta, elintarvikkeita, lääkkeitä ja käteistä. Työvoiman jaksaminen ja saatavuus heikkenisivät kriisin edetessä.

Huoltovarmuuskeskuksen yksikönjohtaja Jarna Hartikainen muistuttaa, että varautumalla ja harjoittelemalla yrityksellä on kyky jatkaa toimintaansa poikkeusolojen ensimmäisten viikkojen ja kuukausien aikana.

"Proseduurit ovat jo valmiina ja kaikki tietävät, kuinka toimitaan ensimmäisten viikkojen aikana."

Mutta jos kriisi pitkittyy, oli kyse vaikka sotilaallisesta uhasta tai pandemiasta, yritys joutuu suunnittelemaan toimintaansa uusiksi pitkällä aikavälillä.

"Mutta kun ensimmäisten viikkojen osalta varautuminen on jo selkärangassa, niin se antaa aikaa suunnitella jatkotoimenpiteitä", Hartikainen toteaa.

Skenaarioharjoittelu auttaa yritystä miettimään vaihtoehtoisia toimintatapoja tässä hetkessä. Kannattaako vaikka käyttää useampia tavaran- tai palveluntoimittajia sekä kuljetusreittejä.

"Aina kun olet yhden varassa, niin se on iso riski. Jos on kaksi tai kolme, niin se taas yleensä kustantaa pikkuisen enemmän."

"Tällöin tulee tehdä liiketoimintalähtöinen riskiarviointi. Voidaanko elää ilman tiettyä asiaa hetki? Jos ei voida, niin kyllä silloin pitäisi jo normaalitilanteessa investoida kahteen vaihtoehtoon ja ehkä selvittää se kolmas."

Jos kriisi pitkittyy ja syvenee, yritys voi joutua muuttamaan toimintaansa radikaalisti. Yksi tällainen asia on toimintojen hajauttaminen.

"Keskittäminen on kustannustehokasta ja helppoa. Mutta jos syntyy Ukrainan kaltainen tilanne, keskitetty järjestelmä on helppo kohde viholliselle."

Ukrainassa Venäjä iskee sotilaallisten ja yhteiskunnallisten kohteiden lisäksi myös yksittäisten yritysten toimintoihin. Jos yrityksen toiminta on hajautettu kymmeneen kohteeseen tai tekemiseen, niin sitten sen toimintaa on vaikeampi täysin keskeyttää.

Hartikaisen mukaan monessa liiketoiminnassa jatkuva hajauttaminen ei välttämättä ole järkevää. Yritys voisi silti harjoitella skenaariota, jossa toiminta hajautetaan.

"Jos tilanne on päällä, niin yrityksellä on jo valmiiksi käsitys, että mitä muita tiloja voitaisiin hyödyntää ja miten toiminta hajautettaisiin."

"Hajautuksen suunnittelu ei ole hirveän kallista. Toteutus voi sitten olla. Mutta siinä kohtaa, jos on bisneksen jatkumisesta kyse, hinta on vain maksettava."

"Hajautuksen suunnittelu ei ole hirveän kallista. Toteutus voi sitten olla. Mutta siinä kohtaa, jos on bisneksen jatkumisesta kyse, hinta on vain maksettava."

Hartikainen ja hänen kollegansa ovat vierailleet Ukrainassa useita kertoja. Näiltä reissuilta on kerätty varautumisoppeja niin Suomen viranomaisille kuin yrityksillekin.

Huoltovarmuuskeskus on aiemmin jakanut Ukraina-oppeja selvityksistä ja vierailusta huoltovarmuuskriittisten yritysten muodostamalle verkostolle. Opeista on nyt julkaistu julkinen kooste kaikille organisaatioille. Siinä käydään läpi muun muassa toiminnan hajauttamista, viestinnän kehittämistä ja henkilöstön hyvinvointia.

Diplomi-insinööri Jarna Hartikainen johtaa Huoltovarmuuskeskuksessa yksikköä, joka hoitaa varautumisen suunnittelun, seurannan ja kehittämisen liki kaikilla yhteiskunnan osa-alueilla: sen vastuulle kuuluu niin digiturvallisuus, energiavarautuminen, teollisuus, logistiikka, vesi- ja elintarvikehuolto, finanssi, yhteiskuntaturvallisuus kuin sosiaali- ja terveydenhuolto.

Ennen nykyistä työtään Hartikainen työskenteli Huoltovarmuuskeskuksen digitaalisen turvallisuuden johtavana varautumisasiantuntijana. Digitaustaisena ihmisenä hän ei hätkähdä tekoälyn uhkakuvista.

"Kyberpuolella on jo pitkään tehty algoritmeilla opportunistisia hyökkäyksiä. Eli niin sanotusti hakuammuntana kammataan koko maailman verkkoa läpi ja etsitään haavoittuvuuksia."

"Se on ihan totta, että tekoäly tehostaa tätä entisestään. Toisaalta sitten taas onhan tekoäly hyödynnettävissä myös vastapuolella, eli meillä puolustajilla."