אני שופט מדד סייבר לפי ההחלטה שהוא מאפשר לקבל. אם המספר עולה, יורד או מפסיק להיות אמין, מה החברה צריכה לעשות אחרת? התשובה יכולה להיות שינוי בתקציב, בצוות, בהשקת שירות, ביחסים עם ספק, בתכנון ההתאוששות או בהסכמה מפורשת להישאר חשופים. אם איש אינו יכול להצביע על פעולה שתשתנה בעקבות המדד, אני שואל מדוע הוא תופס מקום בחומר שמוגש לדירקטוריון.
זהו מבחן תובעני, משום שלוח מחוונים יכול להיראות מסודר מאוד ולהותיר את ההכרעות הקשות ללא מענה. מספר ההתרעות, ההודעות שנחסמו, ההדרכות שהושלמו והממצאים שנסגרו מתאר פעילות. הנתונים האלה יכולים לעזור למנהלים להפעיל את מערך האבטחה. לבדם הם אינם מסבירים אם החברה מסוגלת לקיים התחייבות חיונית בזמן השבתה, לחזור לפעילות שאפשר לסמוך עליה או להחליט בזמן כדי לצמצם פגיעה.
אני הייתי בונה את הדיון סביב השבתה, אמון והתאוששות. השבתה מחייבת לברר אילו שירותים חיוניים עלולים להיעלם ומה יקרה לאנשים התלויים בהם. אמון מחייב לברר אם מידע, עסקאות ותקשורת עדיין אמינים מספיק לשימוש. התאוששות מחייבת לברר אם אפשר לחדש פעילות ברמה מתקבלת על הדעת בתנאים קשים. המדדים המועילים קושרים את שלוש השאלות לבחירות שהדירקטוריון יכול לפקח עליהן וההנהלה יכולה לבצע.
מתחילים בהחלטה ורק אחר כך בוחרים מספר
הייתי מבקש מההנהלה לנסח את ההחלטה המוצעת לפני שהיא מעצבת תרשים. השאלה ״האם לממן מסלול התאוששות עצמאי לשירות אספקת ההזמנות?״ נותנת למדידה תכלית. השאלה ״כמה משימות גיבוי הסתיימו בהצלחה?״ משאירה את המשמעות העסקית פתוחה. השלמת גיבויים עשויה להיות ראיה חשובה, אבל ערכה תלוי בשאלה אם אפשר לשחזר באמצעותם שירות בתוך משך ההשבתה שהחברה מוכנה לשאת.
לכל מדד המגיע לדירקטוריון אני רוצה חמישה רכיבים: התחייבות עסקית, כלל המגדיר ראיה מספקת, גבול המחייב החלטה, מנהל אחראי ותגובה אפשרית. ההתחייבות מסבירה מה חשוב. כלל הראיות מסביר מה ייחשב הצלחה. הגבול מסמן מתי נדרשת פעולה, המנהל אחראי לתוצאה והתגובה מבהירה מה החברה מסוגלת לשנות. סף שאין לצדו תגובה מעשית הוא הודעה על בעיה, ולא מנגנון שמאפשר לנהל אותה.
הייתי מבחין גם בין החלטות השמורות לדירקטוריון לבין החלטות שנמסרו להנהלה. חברי הדירקטוריון עשויים לאשר השקעה מהותית בחוסן, לערער על חשיפה שהתקבלה או לבחון מחדש את הנכונות לשאת סיכון במסגרת אסטרטגיה. הם אינם צריכים לאשר כל פעולת בידוד או לנהל משא ומתן על כל חריגה טכנית. המדד מתאים לרמת הדירקטוריון כאשר הוא מראה אם החלטות ההנהלה עדיין מתיישבות עם ההתחייבויות שעליהן הדירקטוריון מופקד.
לכן הייתי פותח בשאלה: ״איזו החלטה בתקופת התכנון הקרובה עשויה להשתנות בעקבות הראיה הזאת?״ אחריה הייתי שואל: ״מה צריך לקרות כדי שנשנה את עמדתנו הנוכחית?״ שתי השאלות מונעות מהדוח להפוך להקראה קבועה של מספרים שפירושם אינו משתנה. הן גם מאפשרות לגלות שהנתון רלוונטי לצוות תפעולי, אך אינו מצדיק זמן דיון של הדירקטוריון.
מגדירים את היחידה העסקית שמודדים
אי אפשר לטעון טענה משמעותית על כיסוי נכסים קריטיים לפני שמגדירים מה קריטי ומה פירוש הכיסוי. אני הייתי מתחיל בשירותים העסקיים החיוניים וממפה את התלויות שלהם. שירות עשוי להסתמך על יישומים, זהויות, חיבורי רשת, נתונים, ציוד תפעולי, אנשים וספקים חיצוניים. רכיב קטן מבחינה טכנית יכול לקבוע אם השירות כולו מסוגל לעבוד.
מכאן נובעת בחירה ביחידת המדידה. ספירת מכשירים עשויה להתאים לצוות תפעולי. ספירת שירותים קריטיים שההגנות על התלויות החיוניות שלהם נבדקו עשויה להתאים לדירקטוריון. שתי נקודות המבט יכולות להיות נכונות, אך הן עונות על שאלות שונות. חברה יכולה להגן על רוב המכשירים ובכל זאת להשאיר זהות ניהול משותפת חשופה. האחוז יהיה מדויק, והבסיס להחלטה עסקית יישאר חלקי.
הייתי דורש להציג עם כל תוצאה גם את המכנה שלה. כיצד נקבעה האוכלוסייה הקריטית? מתי נבחנה לאחרונה? אילו חברות בנות, רכישות, ספקים וסביבות תפעול אינם נכללים? מה קורה כשאין בעל אחריות ברור לתלות מסוימת? נכסים לא מוכרים צריכים להופיע כאי־ודאות המחייבת בירור, ולא להיעלם בשקט מחישוב הכיסוי. אחרת, היעדר ידיעה עלול להיראות בטעות כהיעדר חשיפה.
יש כאן פשרה בין רוחב הבדיקה לעומקה. מיפוי מלא דורש זמן, ואילו מיפוי צר עלול להחמיץ תלויות משותפות. הייתי מתחיל בשירותים שכישלונם יגרום לתוצאות החמורות ביותר, מציג במפורש מה נשאר מחוץ למפה ומממן בירור במקום שבו החסר עשוי לשנות החלטה מהותית. הדירקטוריון צריך לראות גם את האוכלוסייה שנבדקה וגם את העבודה הנדרשת כדי לדעת אם היא מספיקה.
הגדרת היחידה העסקית חשובה גם לחלוקת האחריות. אם דוח אחד מתייחס ליישום ודוח אחר לשירות התלוי בכמה יישומים, לכאורה סותרים עלולים להיות רק תיאורים של גבולות שונים. הייתי מבקש לקשור את הנתונים להתחייבות אחת ברורה: איזו פעולה החברה צריכה להמשיך לבצע, עבור מי ובאילו תנאים. כך אפשר לברר אם ההגנה על הרכיבים אכן תומכת בתוצאה העסקית שהובטחה.
התאוששות צריכה להחזיר שירות שאפשר להשתמש בו
תוצאות תרגילי התאוששות היו מרכיב מרכזי בדוח שלי. הייתי שואל אם שירות קריטי הוכיח התאוששות בהתאם לדרישה עסקית מוגדרת, בתנאים מוצהרים ועם ראיות לכך שאפשר להשתמש בפעילות ששוחזרה. הפעלת יישום היא אבן דרך אחת. חיבור התלויות שלו, אימות המידע והעמדת העובדים במצב שמאפשר להם לפעול הם דרישות נפרדות.
לתרגיל משמעותי יש היקף ושעון מוגדרים. איזה אירוע מתחיל את המדידה? האם הזמן כולל גילוי של ההשבתה, אישור להתחיל בשחזור, איתור פרטי גישה, יצירת קשר עם ספק ואימות התוצאה? איזו רמת שירות נחשבת חזרה לפעילות? אם מתחילים למדוד רק אחרי שכל תנאי הפתיחה הקשים כבר הושלמו, אפשר לתאר במדויק ביצוע טכני ובה בעת להמעיט במשך ההשבתה שהעסק יחווה.
הייתי מציג לכל שירות את תנאי ההתאוששות הנדרש, את התוצאה שהודגמה, את גיל הראיה ואת התלויות שלא נפתרו. כאשר הזמן רלוונטי, הייתי משווה את משך ההתאוששות שהודגם לסבילות שאושרה ומציג את המרווח שנותר. גם תרגיל שעבר דורש בחינה אם המרווח קטן, במיוחד כאשר נהנה מהכנה מראש או מאנשים שלא בהכרח יהיו זמינים באירוע אמיתי.
נניח ששירות הזמנות נדרש לחזור לפעילות בתוך חלון זמן שהעסק הגדיר. בתרגיל משוחזר מסד הנתונים בתוך החלון, אך הצוות אינו מסוגל לקבוע אילו הזמנות התקבלו לפני ההשבתה. ההחלטה אינה בהכרח לרכוש תשתית מהירה יותר. ייתכן שצריך לממן יכולת התאמה ובירור של העסקאות, לשנות את אופן רישומן או להסכים להשבתה ארוכה יותר כדי לשמור על שלמות ההזמנות. הייתי מדווח שתנאי התאוששות עדיין לא הושלם, ומתעד את שחזור מסד הנתונים כראיה תומכת בלבד.
גם לבדיקות יש מחיר: הן צורכות זמן עבודה ועלולות ליצור סיכון תפעולי. כאשר השבתה מלאה אינה מתאימה, הייתי מתקדם דרך תרגילים מוגבלים ומבהיר בדיוק מה עוד לא נבדק. חזרה עם ספק משתף פעולה היא ראיה מועילה ליכולת תיאום. היא אינה מוכיחה שאפשר להתאושש בלעדיו. אני רוצה שהדירקטוריון יבין אילו הנחות הועמדו למבחן ואילו ממשיכות לשמש הנחות עבודה.
הייתי נזהר גם מהרחבת מסקנה מעבר לתנאי התרגיל. שירות שהצליח להתאושש כאשר צוות מסוים וכלי מסוים היו זמינים הוכיח יכולת בתנאים האלה. כדי להסתמך על אותה תוצאה בתרחיש אחר צריך לברר אילו הבדלים עשויים להיות מהותיים. אין צורך לפסול את הראיה; צריך לדעת לאיזו התחייבות היא נותנת תמיכה ומה עדיין דורש החלטה או בדיקה.
כיסוי חייב להסביר תוצאה, ולא רק אחוז
מדד הכיסוי שלי היה מתמקד בשאלה אם התלויות הקריטיות עומדות ברמת הגנה מוגדרת. היא עשויה לכלול שליטה בגישה בעלת הרשאות גבוהות, מידע שניתן לשחזר, הפרדה בין סביבות ויכולת להבחין בפעילות חשודה. הדרישות המסוימות צריכות לנבוע מהדרכים שבהן השירות עלול להיכשל. רשימת בדיקה אחידה יכולה ליצור עקביות ובה בעת להסתיר הבדלים בתוצאות הכישלון.
הייתי נמנע ממיצוע של בקרות שונות לציון הגנה אחד. ניטור טוב אינו מפצה על היעדר עותק שניתן לשחזר. בדיקת הרשאות שהושלמה אינה מפצה על פרט גישה משותף שאין דרך לבטל במהירות. כאשר תנאי חיוני לחוסן השירות, הייתי מציג את החסר במפורש. ציונים משולבים יכולים לעזור לארגן פרטים, אבל הדירקטוריון צריך לראות חולשות שיכולות להכריע את התוצאה גם כשהממוצע נראה טוב.
נניח שההנהלה מדווחת שכמעט כל המערכות הקריטיות שזוהו עומדות בדרישות הבסיס. החריגה היא שירות הזהויות שבו משתמשים כמה יישומים המייצרים הכנסות. סגירת פערים קטנים רבים תשפר את האחוז מהר יותר מתיקון התלות המשותפת הזאת. הייתי מבקש להסביר את ריכוז ההשלכות ואת אפשרויות הצמצום. ייתכן שהבחירה הנכונה היא להעביר עובדים לטיפול בשירות הזהויות, גם אם מגמת הכיסוי הכוללת נעצרת לזמן מה.
כיסוי גם מתיישן. שינויים בארכיטקטורה, בגישה, בספקים ובבעלות יכולים לבטל את תוקפה של הערכה קודמת. הייתי מציג מתי הכיסוי אומת ואילו שינויים מחייבים אימות חוזר. הצהרת בעל תפקיד, בדיקת תצורה והדגמת יכולת בתרגיל הן סוגים שונים של ראיות. אין להציג אותן כאילו הן מספקות אותה רמת ודאות.
אני גם רוצה לדעת מה משמעותה של חריגה בתוך השירות המסוים. האם היא משאירה מסלול יחיד לביצוע פעולה חיונית? האם קיימת הגנה זמנית שאפשר להפעיל בפועל? האם סגירתה תלויה בהשבתה מתוכננת או בשיתוף פעולה של ספק? ההקשר הזה מסייע להנהלה להסביר מדוע פער אחד קודם לאחר, ולדירקטוריון לבחון את סדר העדיפויות בלי להחליף את הצוות הטכני.
מודדים את הזמן הנדרש להחלטות בעלות השלכות
אירוע עלול לחשוף עמימות בסמכות עוד לפני שהוא חושף מחסור בכלים. לכן הייתי מודד בתרגילים, וכאשר מתאים גם בבחינת תגובות לאירועים, את הזמן הדרוש להחלטות נבחרות: בידוד שירות, הפעלת התאוששות, הגבלת עסקאות או אישור הודעה ראשונית. מטרת המדידה היא לחשוף עיכובים שאפשר לטפל בהם לפני מצב החירום הבא.
המדד זקוק לגבולות מדויקים. הייתי מפריד בין הזמן לאיסוף ראיות הנחוצות להחלטה, הזמן שבו מחכים לאדם בעל סמכות והזמן הדרוש לביצוע פעולה שכבר אושרה. לכל פרק זמן מתאים מענה אחר. מידע תפעולי טוב יותר עשוי לקצר את הראשון; האצלת סמכות וממלא מקום עשויים לקצר את השני; נהלים מתורגלים וגישה לצוותי התפעול עשויים לקצר את השלישי.
מהירות לבדה אינה יעד בטוח. החלטה מהירה הנשענת על הנחה לא מבוססת יכולה ליצור השבתה נוספת או להרוס מידע הדרוש להתאוששות. לצד משך הזמן הייתי בודק אם נעשה שימוש במידע הנדרש, אם השתתף בעל הסמכות המתאים ואם אפשר היה לבצע את הפעולה. אישור מילולי מהיר ללא דרך מעשית לבודד שירות מדגים רק חלק מהיכולת.
נניח שמתגלה פעילות חשודה בשירות הקשור לתשלומים בתקופת פעילות עמוסה. מנהל התפעול מעדיף להמשיך לתת שירות, ומנהל האבטחה ממליץ על בידוד. התרגיל מראה שאיש מהם אינו יודע מי מוסמך לקבל את ההשלכות העסקיות של ההמתנה. הייתי מדווח על שאלת הסמכות שלא הוכרעה ועל העיכוב שנוצר, ומבקש מהמנכ״ל לקבוע כלל החלטה ומחליף שנבחן בתרגול. רכישת מוצר גילוי נוסף לא תפתור ישירות את הממצא הזה.
ברמת הדירקטוריון הייתי מציג קבוצה מצומצמת של החלטות משמעותיות, פערי מוכנות ושינוי לאורך זמן. הדוח צריך להסביר אם העיכוב נבע ממידע חסר, תמריצים סותרים, סמכות לא זמינה או נוהל שאי אפשר לבצע. כך אפשר לבחון את בעיית הממשל בלי להפוך את הישיבה לניהול של אירוע מתגלגל.
לחשיפה מהותית שלא נפתרה צריך להיות בעל אחריות
מספר הסיכונים הפתוחים אינו אומר לי הרבה אם איני יודע מה פירושה של החשיפה שנותרה. הייתי מדווח על סיכונים שתוצאותיהם האפשריות עלולות לפגוע באופן מהותי בהתחייבויות החברה, לצד ההחלטה שמשאירה אותם פתוחים. זו יכולה להיות קבלה זמנית של הסיכון, תיקון שמומן, תלות בספק או מחלוקת שטרם הוכרעה. ״בטיפול״ הוא תיאור מעורפל מדי כשהוא מסתיר בחירה לגבי משך החשיפה.
לכל פריט מהותי אני רוצה לראות את השירות המושפע, התוצאה שנבחנת, ההגנות הקיימות, המנהל האחראי, מועד ההחלטה הבאה והתנאי שיבטל את ההצדקה לקבלת הסיכון. הייתי מפריד בין סיכון הממתין ליישום לבין סיכון הממתין לאישור. הראשון עשוי לדרוש כוח אדם או תזמון אחר. השני דורש הכרעה. ערבובם ברשימת עבודה אחת עלול לגרום לעיכוב בקבלת החלטות להיראות כמו עומס הנדסי.
למשך הזמן יש משמעות, אבל פריט ישן אינו בהכרח דחוף יותר מפריט חדש. הייתי מפרש את גילו לצד החשיפה ואמינות התוכנית. חריגה שיש עבורה הגנה זמנית מתוחזקת ודרך יציאה שנבדקה שונה מחריגה שמוארכת שוב ושוב מפני שאין בעל אחריות לתלות. הארכות חוזרות צריכות להביא לבחינה של ההנחה העסקית המקורית, במיוחד אם קבלת הסיכון הסתמכה על מעבר או הוצאה משימוש שנדחים בהתמדה.
הייתי בוחן גם ריכוז. סיכונים שהתקבלו בנפרד עשויים להישען על אותו ספק, אותה פלטפורמת זהויות, אותו צוות התאוששות או אותו מנהל מוסמך. הדירקטוריון צריך להיות מסוגל לשאול אם החברה קיבלה צבר חשיפות שעלולות להפוך רלוונטיות יחד. רשימה המחולקת רק למחלקות עשויה להסתיר את הכשל המשותף המקשר בין הפריטים.
בעיניי, הצגת בעל אחריות אינה מסתיימת בשם. צריך להיות ברור איזו בחירה אותו מנהל יכול לעשות ומה מחייב העברה לגורם אחר. אם מי שרשום כאחראי אינו יכול לשנות תקציב, לקבל תנאי ספק או לאשר הגבלה תפעולית, הדוח צריך להראות היכן נמצאת ההחלטה החסרה. אחרת אפשר לייצר מראית עין של אחריות בלי מסלול שמאפשר לטפל בתוצאה.
מציגים תנועה בלי לייצר דיוק מדומה
מגמה חשובה משום שתמונת מצב אחת יכולה להסתיר שיפור או הידרדרות. עם זאת, השוואה תקפה רק כאשר ההגדרה וההיקף יציבים דיים. גילוי של נכסים קריטיים שלא היו ידועים יכול להוריד את הכיסוי המדווח בזמן שהראות משתפרת. תרגיל התאוששות מחמיר יותר יכול להציג תוצאה חלשה יותר וראיה שימושית יותר. הייתי מציג את שינוי השיטה לצד התנועה ומסביר את השלכותיו על ההחלטה.
הייתי מפריד בין שינוי במצב החברה לבין שינוי בידיעה שלנו על מצבה. סגירת פער משנה את המצב; גילוי פער משנה את הידיעה. שניהם חשובים, אך מצריכים פרשנות שונה. ענישה על גילוי כאילו היה הידרדרות שניתן היה למנוע עלולה לעודד צוותים לשמר מכנה נוח במקום לשפר את המיפוי. הדירקטוריון צריך להיות מסוגל להכיר בערכה של ראיה חדשה גם כשהיא פוגעת במראה התרשים.
לאי־ודאות מגיע ניסוח מפורש. אפשר לומר שתוצאה הודגמה בתרחיש מסוים, אומתה רק באוכלוסייה מוגדרת או תלויה בהתחייבות ספק שטרם נבחנה. הניסוחים האלה עוזרים להעריך כמה משקל הראיה יכולה לשאת. הייתי נמנע מציוני ביטחון מספריים אם אין להנהלה שיטה שאפשר להגן עליה להפקתם. מספר נוסף אינו תחליף להסבר של מה נבדק ומה חסר.
גם תוצאה עסקית אינה תמיד מתאימה לאומדן יחיד ואמין. כאשר עלות ההשבתה אינה ברורה, הייתי מציג את ההנחות המניעות את ההחלטה: אילו פעולות נעצרות, אילו התחייבויות ממשיכות לחול, איזו עבודה ניתנת לדחייה ואיזו פגיעה עלולה להימשך אחרי החזרה לפעילות. טווח עשוי להועיל אם בסיסו ברור. סכום כספי מדויק הנשען על הנחות חלשות עלול להסיט את הדיון מהתלות שצריך לטפל בה.
ספים הם הסכמות על פעולה
הייתי קובע גבולות החלטה בדיון על הסבילות העסקית ועל התגובות האפשריות. דרישת התאוששות צריכה לשקף את מה שהחברה צריכה כדי לעמוד בהתחייבויותיה, ואז להיבחן מול היתכנות ועלות. היא אינה צריכה להעתיק אוטומטית את היכולת הטכנית הנוכחית. מנגד, יעד תובעני ללא משאבים, בעל אחריות ותוכנית מעבר משאיר את ההנהלה עם דרישה שאינה יכולה לעמוד בה באופן אמין.
לכל גבול הייתי מגדיר תגובה לחריגה וגם תגובה לאי־ודאות ממושכת. תרגיל התאוששות שנכשל עשוי לחייב תוכנית תיקון ממומנת, מגבלות תפעול זמניות או קבלה רשמית של החשיפה בידי מנהל מוסמך. תלות קריטית שלא נבדקה עשויה לחייב ראיות עד נקודת בחינה מוגדרת. המתנה לכישלון ידוע לפני הסלמה עלולה להשאיר פער מידע ללא מגבלת זמן.
הייתי דורש תגובה גם לשיפור. אם יכולת מסוימת הוכיחה חוסן מספק, האם ניתן להעביר משאבים לחשיפה אחרת? האם מרווח נוסף מצדיק את עלותו? האם התאוששות חזקה יותר מאפשרת יוזמה עסקית שנחשבה בעבר שברירית מדי? מדד שתמיד מבקש השקעה כאשר הוא מחמיר, ולעולם אינו משנה הקצאה כאשר הוא משתפר, מצריך בחינה. מדידה צריכה לעזור לבחור בין שימושים במשאבים מוגבלים.
יש נושאים שצריכים להישאר גלויים בלי קשר לסף. תלות קריטית אחת ללא מסלול התאוששות מעשי עשויה להצדיק החלטת הנהלה גם כאשר המדדים הכוללים נראים מספקים. לכן אני משתמש בספים כדי לתת מסגרת לשיקול דעת. לצד הכלל צריך להציג את החריגים שהשלכותיהם הופכות אותו לבלתי מספיק.
אני גם רוצה שהתגובה תהיה מוכנה לפני חציית הסף. אם כל חריגה פותחת מחדש ויכוח על מי אחראי ומה מותר לעשות, המדד מסמן קושי אך אינו מקצר את הדרך לטיפול. הסכמה מראש על סמכות, משאבים זמינים ונקודת בחינה חוזרת הופכת את הגבול להנחיה מעשית. עדיין אפשר לשנות את התגובה כאשר הנסיבות משתנות, אבל צריך להסביר את הבחירה ואת החשיפה שנותרת.
דוח קצר מספיק כדי שאפשר יהיה להחליט
הייתי מארגן את הדוח המרכזי סביב ארבעה מדדים: התאוששות שהודגמה, הגנה על תלויות קריטיות, מוכנות להחלטות באירוע וחשיפה בעלת השלכות מהותיות שטרם נפתרה. לכל אחד הייתי מצרף מגמה, הסבר על איכות הראיות, משמעות עסקית ופעולה. הפרטים הטכניים התומכים צריכים להיות זמינים לחברי דירקטוריון המבקשים לבחון את הטענה, בלי להסתיר את ההכרעה בתוך חומר העזר.
רשומה תמציתית לדוגמה יכולה לומר: ״שירות אספקת ההזמנות לא הוכיח יכולת התאמת עסקאות בהתאם לתנאי ההתאוששות שאושר. בתרגיל האחרון שוחזרה התשתית, אך שלמות העסקאות נותרה לא פתורה. ההנהלה מציעה עבודה ייעודית על ההתאמה לפני הרחבת היקף השירות. מנהל התפעול אחראי להחלטה; נהלי הביניים עדיין דורשים אימות״. הניסוח מבהיר מה לא ידוע ומה מוצע לשנות, בלי לטעון שאבן דרך טכנית אחת מוכיחה חוסן.
הייתי מסיים בהחלטות המבוקשות, בחשיפות שהתקבלו ודורשות בחינה מחדש ובהתחייבויות שיש להשלים לפני הישיבה הבאה. כאשר לא נדרשת החלטת דירקטוריון, ההנהלה צריכה לציין איזו פעולה היא מבצעת מכוח סמכותה. כך הדיון יכול להתמקד בשאלה אם הפעולות מידתיות, ממומנות ועולות בקנה אחד עם חובות החברה.
השאלות שהייתי מביא לדיון ישירות: איזו התחייבות נותרה הפגיעה ביותר? איזו ראיה תשנה את דעתנו? היכן נתון כולל חיובי הסתיר חריגה בעלת השלכות? איזה סיכון שהתקבל איבד את ההצדקה המקורית שלו? אם המדדים יישארו ללא שינוי ברבעון הבא, מה ההנהלה תעשה אחרת? תשובות מחברות את המספרים לפיקוח על החברה ולבחירה בין פעולות ממשיות.
איני מצפה מלוח מחוונים של דירקטוריון לחזות את האירוע הבא. אני מצפה שיאפשר לבחון ולערער על המוכנות ועל החשיפה. מדד שימושי מחבר תוצאה עסקית לראיה, מבהיר את גבולות הראיה ומאפשר החלטה שניתן לבצע. כאשר המספר משתנה, צריכה להיות אפשרות שגם בחירה של החברה תשתנה יחד איתו.