Advarer: For mange sikkerhets­krav i an­skaffelsene kan svekke sikker­heten

Benjaminsen har sittet på innkjøpssiden i det offentlige og har vært innom både e-tjenesten og PST. Han har også erfaring fra PwC, og nå er han rådgiver i Styrmand. Et lite konsulenthus, som han beskriver det selv.

– Voksende problem

– Sikkerhetskrav er et voksende problem i offentlige anskaffelser. Det blir flere og flere krav, mer og mer detaljerte, sier han. Det var på Sikkerhetsfestivalen på Lillehammer, som fremdeles pågår, at han tok opp offentlige anskaffelser og hva de har å si for sikkerheten.

De mange kravene gjør det vanskelig både for kunden som stiller alle disse kravene og for leverandøren som skal bruke tid og ressurser på å svare på dem. Terje Benjaminsen stiller innkjøperne spørsmål om de gjør ordentlige risikovurderinger. – Vet du hva slags verdier du har, eller stiller du bare masse krav for å være sikker? utfordrer han.

Skriving, ikke sikkerhet

Dagens anskaffelsesprosesser mener han at handler mer om å være skoleflink enn å ha de beste løsningene:

– Er du skoleflink, er du god til å svare på offentlige anskaffelser, eller er det et KI-svar som ser like ut fra alle leverandørene? Disse svarene skal scores fra 0 til 10. Du scorer nesten på hvor flinke de er til å skrive, ikke på hvor sikker løsningen er, mener Benjaminsen.

Promillekrav

Anskaffelsesprosessen skal egentlig føre til at kunden velger den beste leverandøren med den beste kvaliteten og prisen og en så god kontrakt som mulig. Styrmand-rådgiveren går gjennom sikkerhetskravene i et eksempel på en anskaffelse på denne måten:

Ta en anskaffelse som vekter kvalitet 70 prosent og pris 30 prosent. Av de 70 prosentene utgjør kanskje ikke-funksjonelle krav 20 prosent. Hvis sikkerhet er 40 prosent av det igjen, så står du igjen med at sikkerheten teller snaue seks prosent av totalen.

– Så stilles det 50 sikkerhetskrav. Hvert krav teller da litt over 0,1 prosent. Hvis du får tilbud fra fem leverandører, skal du sitte der og evaluere 250 krav. Hvor mange timer går det til dette? Og så teller hvert krav en promille for å finne den beste leverandøren og lage den beste kontrakten. Hvis løsningen som du får, allerede er ferdig utviklet, kommer du ikke til å få noe bedre ved å stille sykt mange krav, sier Benjaminsen.

Mister innovative leverandører

Sett at du vil ha med de små leverandørene. Med 700 sider i konkurransegrunnlaget er det mange små som ikke vil bruke tid på å levere tilbud. – Du risikerer ikke å få de små og mellomstore leverandørene som har de nye, gode, supersikre løsningene. De klarer ikke å henge med på å svare på alt, sier han.

Benjaminsen har opplevd selv å arbeide med en anskaffelse der den mest spennende leverandøren ble borte underveis.

– Det var en ganske liten sak, men kontrakten og anskaffelsen ble så stor at den beste leverandøren ikke gadd å levere tilbudet. Det var for mye arbeid og for lite penger, sier han.

Han understreker at dette bare var inntrykket hans på forhånd, og at konkurransen kunne ha endt med at en annen leverandør fikk kontrakten. – Men det er kjedelig å miste en god kandidat, sier han.

Glemmer faktiske trusler

Når anskaffelsen handler om sikkerhet, kan mengden av krav i stedet svekke sikkerheten. – For mange formelle krav kan redusere fokuset på de faktiske truslene der ute. Både innsidetruslene og truslene utenfra. Sårbarheter kan utnyttes, sier Benjaminsen.

– Så er det prioriteringen. Når alt er viktig, når alt er kritisk, da er ingenting kritisk. Du må tørre å ta det standpunktet at noe er viktig. Du må koble til konkrete risikoer. De viktigste verdiene i selskapet. Og når det skjer noe i verden, hvordan påvirker det deg som virksomhet?

Færre og klarere krav

Løsningen til Terje Benjaminsen er færre og klarere krav. – Da kan vi bedre sikkerheten, men det krever en faglig trygghet. Fokuser på kritiske krav, risikobaserte krav. Hva er viktig? Se litt på bør-krav og må-krav. Det er på bør-kravene leverandørene får poeng. Det er på bør-kravene du vinner konkurransen, sier han og fastslår:

– Det dyreste som finnes for en leverandør, er å bli nummer to. Det er ingen trøstepremie for å komme på pallen. Du har brukt hundrevis av timer som ikke ga effekt.