Reakce na incident s EA fokusem

Pilíř: Krizová reakce · Oddíl: Organizační obrana

Plány reakce na incidenty obvykle počítají s kybernetickým útokem, požárem nebo pracovním úrazem; příručka, kterou sepsali Cichonski a kol. (2012), popisuje pro bezpečnostní incidenty cyklus přípravy, detekce a analýzy, omezení, odstranění a obnovy a vyhodnocení. Incident, o kterém píše Kompendium, vypadá jinak: oznámení, že vlivný vedoucí dlouhodobě manipuluje podřízenými; zjištění, že výzkumná skupina funguje jako uzavřená skupina s vysokou kontrolou; koordinovaná kampaň proti zaměstnanci; odhalení, že vedení soustavně zkreslovalo informace pro nejvyšší orgán. Takový incident má psychologický, právní, personální i komunikační rozměr současně. Když se s ním zachází jako s „personální záležitostí“, je obvykle potlačen – a oběti odcházejí. Kapitola přenáší strukturu bezpečnostní reakce na tento druh incidentu; přenos je interpretací knihy.

Vymezení a teoretický rámec

Organizační výzkum krizí ukazuje, že krize není jen vnější událost, ale selhání schopnosti organizace porozumět tomu, co se děje. Pearson a Clair (1998) definují organizační krizi jako událost s nízkou pravděpodobností a vysokým dopadem, která ohrožuje životaschopnost organizace a vyznačuje se nejasností příčin, následků i prostředků řešení. Weick (1993) na rozboru požáru v Mann Gulch popsal, jak se pod tlakem rozpadá společné porozumění situaci (sensemaking) a s ním i struktura skupiny. Pro epistemický incident to znamená, že organizace musí mít strukturu připravenou předem, protože v okamžiku krize ji nevytvoří.

Druhým rámcem je psychologie zrady. Freyd (1996) ukázala, že trauma způsobené někým, na kom je člověk závislý, má zvláštní povahu, protože oběť má silný důvod zradu nevidět; toto pojetí rozvádí heslo trauma ze zrady. Smith a Freyd (2014) pojem rozšířili na instituce: institucionální zrada nastává, když organizace, na níž lidé závisejí, nezabrání škodě nebo na ni reaguje tak, že poškozeným ještě uškodí. Smith a Freyd (2013) u obětí sexuálního násilí ukázali, že institucionální zrada je spojena s horšími následky, než jaké odpovídají samotné události. Reakce na incident je proto sama o sobě buď ochranou, nebo pokračováním škody.

Riziko v daném prostředí

Ve firmě se incident často objeví jako hromadná stížnost nebo jako odchod několika lidí z jednoho týmu. Ve škole jako podezření na zneužívání vztahu pedagoga k žákovi, kde se přidávají povinnosti vůči orgánu sociálně-právní ochrany dětí podle zákona č. 359/1999 Sb., o sociálně-právní ochraně dětí, a vůči policii (viz povinné oznámení). Na univerzitě jako souhrn stížností doktorandů, v nemocnici jako kombinace stížnosti personálu a rizika pro pacienty. V médiích a v neziskových organizacích bývá incident veřejný dřív, než ho organizace stihne vyhodnotit. Ve veřejné správě se může týkat i zneužití pravomoci úřední osoby, které postihuje zákon č. 40/2009 Sb., trestní zákoník.

Společným rizikem je reakce, která chrání instituci místo lidí – to, co Smith a Freyd (2014) nazývají institucionální zradou. Typickými obrannými reakcemi organizace jsou bagatelizace, přesunutí oběti místo podezřelého, „mediace“ mezi nerovnými stranami a zpochybnění důvěryhodnosti stěžovatelů. Freyd (1997) pro obrannou reakci obviněného zavedla zkratku DARVO – popřít, zaútočit, obrátit role oběti a pachatele – a stejný vzorec lze podle výkladu knihy pozorovat i u institucí.

Strukturální zranitelnosti a detekční znaky

Prvním znakem zranitelnosti je chybějící plán pro tento druh incidentu, kdy věc řeší personální útvar sám bez eskalace. Druhým je chybějící klasifikace závažnosti, takže vážný incident se neeskaluje. Třetím je rozhodování osoby, které se incident týká, nebo jejího blízkého spolupracovníka. Čtvrtým je chybějící kontakt na externí odborníky a pátým improvizovaná komunikace, která vytváří rozpory (Pearson a Clair, 1998). Každý z těchto znaků zvyšuje pravděpodobnost, že reakce sklouzne k institucionální zradě (Smith a Freyd, 2014).

Detekčním znakem probíhajícího selhání je posun pozornosti od otázky „co se stalo a kdo je v ohrožení“ k otázce „jak to bude vypadat navenek“. Tento posun je pochopitelný, ale Weick (1993) ukazuje, že ztráta společného rámce porozumění vede k rozhodnutím, která situaci zhoršují. Je třeba ho odlišit od legitimní péče o komunikaci, která má v plánu své místo, ale nemá řídit zjišťování faktů.

Ochranné struktury

Základem je plán reakce na epistemické incidenty s definicemi, úrovněmi závažnosti a eskalací, vycházející ze struktury bezpečnostní reakce (Cichonski a kol., 2012). Krizový tým má předem určené role: vedoucí reakce, právník, personalista, příslušná osoba podle zákona č. 171/2023 Sb. nebo etický ředitel, komunikace a zástupce nejvyššího orgánu; u incidentů s dětmi nebo pacienty i odborník na jejich ochranu. Platí pravidlo vyloučení: kdo je incidentem dotčen nebo má střet zájmů, není v krizovém týmu. U incidentů vyšší závažnosti je povinné informovat nejvyšší orgán.

Plán dále obsahuje smluvně zajištěné externí odborníky, dostupné bez zdlouhavého výběru, a postupy pro první den, první týden a další období. Jejich smyslem je to, co Pearson a Clair (1998) označují za podmínku úspěšného zvládnutí krize: předem vybudovanou připravenost, která nahradí improvizaci. Inspirací může být i nasazení krizového týmu v klinickém kontextu a narativní rozměr reakce na incident.

Role, odpovědnosti a právní rámec

Vedoucí reakce koordinuje a rozhoduje o postupu. Právník posuzuje povinnosti a rizika, personalista zajišťuje pracovněprávní opatření a podporu a příslušná osoba zajišťuje postup podle zákona č. 171/2023 Sb., o ochraně oznamovatelů. Útvar komunikace připravuje sdělení – viz PR obrana narativu –, zástupce nejvyššího orgánu dohlíží na nezávislost a psycholog nebo program asistence zaměstnancům zajišťuje podporu dotčených.

Zákonné povinnosti je třeba posoudit hned na začátku. Trestní zákoník, zákon č. 40/2009 Sb., ukládá u vymezených závažných trestných činů povinnost je oznámit nebo překazit; zákon č. 359/1999 Sb. stanoví povinnosti vůči orgánu sociálně-právní ochrany dětí; nařízení (EU) 2016/679 a zákon č. 110/2019 Sb. upravují zpracování osobních údajů dotčených i podezřelých. Které povinnosti se uplatní, závisí na povaze incidentu a posuzuje je právník (srov. povinné hlášení).

Postup v čase

První den je triáží. Posoudí se bezprostřední riziko – ohrožení zdraví, bezpečnosti, dětí, pacientů a riziko sebepoškození dotčených (viz akutní suicidální riziko) –, zajistí se bezpečí dotčených oddělením od podezřelého, kontaktní osobou a podporou a zajistí se důkazy (uchování důkazů, blokace mazání). Určí se závažnost, svolá se krizový tým, informuje se nejvyšší orgán podle úrovně a posoudí se zákonné povinnosti. Pořadí odpovídá zásadě, že omezení škody předchází analýze (Cichonski a kol., 2012).

V prvním týdnu se rozhoduje o interním vyšetřování, o dočasných opatřeních vůči podezřelému bez předjímání viny a o komunikaci dovnitř a ven. V dalším období probíhá vyšetřování, opatření, podpora a učení po incidentu, které odpovídá fázi vyhodnocení v bezpečnostní reakci (Cichonski a kol., 2012). Klíčové je, aby byl postup předem schválený a aby ho krizový tým nemusel vymýšlet v okamžiku, kdy je pod tlakem (Weick, 1993).

Vzdělávání a trénink

Krizový tým jednou ročně prochází cvičení na anonymizovaném scénáři, například hromadné stížnosti na vedoucího s mediálním zájmem. Cvičení prověří role, kontakty, rozhodování pod tlakem a komunikaci (Pearson a Clair, 1998). Členové týmu se učí rozpoznat typické obranné reakce organizace – DARVO, bagatelizaci, přesouvání viny – i u sebe samých, protože instituce podle Smith a Freyd (2014) zradu často páchá bez zlého úmyslu, z ochoty chránit vlastní pověst.

Anonymizovaný příklad

V technologické firmě podalo pět zaměstnanců během týdne oznámení na stejného ředitele divize. Plán incidentu neexistoval a personální útvar navrhl „mediaci“. Člen správní rady prosadil krizový tým bez účasti generálního ředitele, který byl s ředitelem divize blízce spjat. Externí vyšetřování potvrdilo vzorec a firma zavedla plán pro podobné incidenty. Kompozit ukazuje rozhodující okamžik, kdy reakce mohla sklouznout k institucionální zradě, jak ji popsali Smith a Freyd (2014), a kdy ji zastavilo pravidlo vyloučení.

Ochrana dotčené osoby

Ochrana dotčených je první prioritou, ne vedlejším produktem vyšetřování. Zahrnuje bezpečí (oddělení od podezřelého bez újmy pro dotčeného), informace o postupu, kontaktní osobu, psychologickou podporu a ochranu před odvetou podle zákona č. 171/2023 Sb. Dotčení nesmí být nuceni opakovat výpověď víckrát, než je nutné, protože každé další vyprávění může vést k retraumatizaci. Herman (1992) zdůrazňuje, že prvním krokem zotavení je obnova bezpečí a kontroly; reakce, která dotčeným bere kontrolu nad tím, co se s jejich výpovědí děje, jde proti tomuto kroku. Podezřelý má právo na spravedlivý postup a na podporu, protože i on může být v krizi.

Vyhodnocení a indikátory selhání

O selhání svědčí, když je incident klasifikován jako „personální záležitost“, potlačen, chybí formální reakce a oběti odcházejí; když krizový tým zahrnuje osoby se střetem zájmů; když se nejvyšší orgán o incidentu dozví z médií; a když se opatření omezí na přesun oběti (Smith a Freyd, 2014). Užitečnými ukazateli jsou doba od oznámení do svolání krizového týmu, podíl incidentů eskalovaných podle plánu a to, zda dotčení zůstali v organizaci a jak hodnotí postup.

Meze, kritika a otevřené otázky

Plán nezaručí dobrou reakci, pokud vedení nechce problém vidět; Pearson a Clair (1998) upozorňují, že krizová připravenost závisí na přesvědčení vedení, že krize může nastat. Příliš rychlá reakce může poškodit nevinného; příliš pomalá poškodí oběti, a kniha proto zdůrazňuje dočasná opatření bez předjímání viny (srov. riziko falešné pozitivity). Otevřené zůstává, jak zacházet s incidenty, které se týkají nejvyššího vedení nebo zakladatele, kde neexistuje nikdo „nad“ dotčenou osobou – tam nastupuje náhrada vedení a vnější orgány.

Literatura

• Cichonski, P., Millar, T., Grance, T., & Scarfone, K. (2012). Computer Security Incident Handling Guide (NIST SP 800-61 Rev. 2). National Institute of Standards and Technology.
• Freyd, J. J. (1996). Betrayal Trauma: The Logic of Forgetting Childhood Abuse. Harvard University Press.
• Freyd, J. J. (1997). Violations of power, adaptive blindness, and betrayal trauma theory. Feminism & Psychology, 7(1).
• Herman, J. L. (1992). Trauma and Recovery. Basic Books.
• Pearson, C. M., & Clair, J. A. (1998). Reframing crisis management. Academy of Management Review, 23(1).
• Smith, C. P., & Freyd, J. J. (2013). Dangerous safe havens: Institutional betrayal exacerbates sexual trauma. Journal of Traumatic Stress, 26(1).
• Smith, C. P., & Freyd, J. J. (2014). Institutional betrayal. American Psychologist, 69(6).
• Weick, K. E. (1993). The collapse of sensemaking in organizations: The Mann Gulch disaster. Administrative Science Quarterly, 38(4).

Související

Sesterské kapitoly

• Interní vyšetřování – zjištění skutkového stavu.
• Právní podpora v krizi – povinnosti a rizika.
• PR obrana narativu – komunikace během incidentu.
• Asistence zaměstnancům v krizi – podpora dotčených.

Akutní protokoly

• Nasazení krizového týmu – klinický model krizového týmu.
• Povinné oznámení v kontextu EA – kdy musí organizace oznámit.
• Akutní stabilizační protokol – první pomoc dotčenému.

Analýza a pojmy

• EA × Security: Incident Response – Narrative – narativní rozměr incidentu.
• Trauma ze zrady – proč na reakci instituce tolik záleží.
• DARVO – obranná reakce obviněného i instituce.