Godmorgen alle sammen og velkommen her til vores webinar. Vi er rigtig glade for, at I vælger at bruge jeres onsdag morgen sammen med os. Jeg hedder Kenneth. Jeg hedder partner i Implement. Vi har set DORA af et emne, som virkelig har optaget rigtig mange mennesker. Vi arbejder med det til dagligt ved den finansielle sektor, og der kan vi i den grad se, at det er et emne, som vi har brug for at tale meget mere om. Inden vi går i gang, så vil jeg gerne lige nævne, at den her optagelse er live fra vores studie her i Hellerup. Det er en, som vi vil dele med jer, umiddelbart efterfølgende. Og det er også en, som I vil kunne se gentagende gange, og den vi vil kunne se via vores hjemmeside. Spørgsmål må I meget gerne skrive til os. Der er sådan en chat i jeres tv, hvor I vil kunne skrive, hvis I har en kommentar og et spørgsmål. Det vil jeg så løbende prøve at fange og stille til dem, vi har ved bordet i dag. Men DORA. DORA er et navn, som vi virkelig har taget mange gange, især det sidste halvanden års tid. Siden januar 2025, der har vi jo ligesom skulle forholde os til en ny verden. Den gamle ledelsesbekendtgørelse 5, bil A5, som dengang håndterede IT-styring, den er nu erstattet af et helt nyt rammeverk. Det er klart, det har gjort tingene nemmere, men det har bestemt også gjort tingene noget mere komplekst og svært. Ikke kun at få det på skrift, ikke kun fra ledelserne, ikke kun fra dem i forretningen, men også generelt at få det til at leve. Og det er de emner, som vi bl.a. vil berøre i dag. Hvordan kan du få det til at blive forandret, men også forankret? I dag har vi kørt vores webinar i fire dele. Den første del vil vi sætte tilbage og sige, hvad der er sket, hvad er gået godt, hvad er gået ikke så godt. Del 2 vil vi prøve at kigge på, hvad der kigger tilsynet faktisk efter. Vi er begyndt at få de første inspektioner, og vi ved også, at der er nogen, der kører PT. Så vi vil prøve at vende, hvad er status for de inspektionsbesøg. Så vil vi give lidt fremad i del 3. Sige det næste år, halvandet år. Hvad så? Er der noget, vi skal bruge lidt mere krudt på? Noget, vi skal stoppe med at gøre? Noget, vi skal gøre endnu mere? Og så slutligt del 4. Det er egentlig dem, der ikke har haft et tilsynsbesøg endnu. Hvad kan man gøre? Nogle gode, meget lavpraktiske, praksisnære gode råd. Det er heldigvis ikke kun mig, der skal sidde her. Det tror jeg også, I vil blive trætte af kun at høre på. Men jeg har til gengæld besøg af tre rigtig dygtige eksperter. Og hvis jeg lige skal lave en lille introduktion, så har vi først Claus, som er min gode kollega Claus Andersen fra Implement. Claus, du har jo over 25 års erfaring inden for compliance, governance og risikostyring. Og du har drevet mange DORA implementeringer og primært håndterer de lidt større aktører. Så har vi Michael. Michael, som jo har en lang karriere bag sig fra Danske Bank og senest sad som forretningsdirektør i Pensam Bank. Du har siddet fra et ledelsesperspektiv og skulle forholde dig til bestyrelse og direktion. Hvordan får man håndteret DORA i den kontekst, som man skulle, da den blev implementeret. Her har vi dig, Frey. Du er IT-governance-konsulent. Du sidder da i Middelfarts Barikasse. Og før det, der var du i Nordfyns Bank, hvor du sad som IT-ansvarlig. Hvor du håndterede hele den design og implementering, der skete på det tidspunkt. Du har også selv lavet noget, der hedder dorastatus.dk, hvor du lidt forsøger at hjælpe primært de mindre virksomheder til at sige, hvordan kan du operationelt komme i gang og lave sådan en form for portal. I dag har vi altså en blanding af både den teoretiske, men ikke mindst også den praktiske håndtering af DORA. Men jeg synes bare, vi skal komme i gang. Så velkommen til her og velkommen til derude. Men det første år, som jeg kort sagde fra starten af, så har vi jo haft en tidlig ledelsesbekendtgørelse på ILA 5. Vi har haft nogle andre tværgående lovgivninger, hvor vi skulle forholde os til IT-risikostyring. Nu har vi en knage at hænge tingene på. Der er noget klarhed, der er noget transparent, selvom det selvfølgelig har været svært at få tilpasset sin organisation. Men jeg vil gerne starte med dig, Michael. Du sad jo som forretningsdirektør i et institut med en 50-60 ansatte. Hvordan taklede I opgaven i ledelsen? Kan du bruge at sætte bord på, hvad I tænkte og hvad I gjorde? Ja, meget gerne. Som du selv var inde på, så kommer vi jo fra ledelsesbekendtgørelsen i ILA 5, som jo i sig selv var en opgave og noget nyt at skulle forholde sig til. Så vi prøvede jo at bygge vores DORA-indsats på bagkant af det. Det vil sige, at vi selvfølgelig helt governance-mæssigt forsøgte at starte med at bygge en struktur. Definere, hvem skal være involveret. Hvor mange ressourcer skal vi bruge på det her? Vi havde noget erfaring at trække på. Men det her viser sig jo at være noget helt andet relativt hurtigt for os. Hvad er det for nogle enheder, vi skal være involveret? Det var ikke et IT-projekt, fandt vi hurtigt ud af, fordi IT med al respekt forstår ikke nødvendigvis forretningen. Forretningen forstår ikke nødvendigvis selve IT setup'et. Så hvem skal være involveret, når vi skal finde ud af, hvad det er for nogle kritiske processer, vi har osv. Så det vi prøvede at starte ud med at lave, det var at få et overblik over, hvem ved hvad. Hvilken struktur skal vi bygge på det her? Skal vi have flere ressourcer, end vi har i dag? Og når man er et forholdsvis lille institut, så har det jo selvfølgelig også nogle begrænsninger i sig selv. Så det var det, vi prøvede at starte ud med og dannes overblik over. Og så har vi jo arbejdet os ind i det derfra stille og roligt. Forstod bestyrelsen? Er det hvert fald et dyr? Det vil jeg mene. Men det der jo er svært som bestyrelse, i øvrigt også som direktion og ned gennem et hierarki, det er jo at få ordentlig forståelse for sammenhængen mellem en proces på et kundeniveau. I hvert fald noget af så en kritisk proces, hvor ligger vores svagheder. Når man ligesom har fået et samlet overblik over hvad er væsentligt at have styr på, så skal man jo have defineret noget risici. Skal man have vurderet, hvor man sætter ind. Der er nogle afhængigheder til en datacentral og så videre og så videre. Jeg er sikker på, at bestyrelsen hos os, der ved jeg, at jeg var der selv, havde en forståelse af, at det var en stor opgave. Men det var svært at få forælde vores krop på den, før vi ligesom var klar til forælde vores at sætte ind. Så vil jeg lige kigge på dig lidt, Høj. Ja. Du har jo så siddet i et midterpengestud, og nu sidder du så i en mellemstor sparekasse. Du har tidligere sagt, at mange ligesom har implementeret doer som knumskydninger. Det er rigtigt. Også uden at have grundforståelsen på plads. Præcis. Hvad mener du det? Hvad mener jeg det? Det er jo lidt i forlængelse af, hvad han også sagde. Der var jo en implicit fortro på, at doer var en forlængelse af bil A5. Så man gik i gang med at kigge på det, man allerede havde. Og begyndte at se, hvordan vi kunne få det til at passe ind i den her doervirkelighed, vi havde gjort. Udfordringen var jo med doer. Det er jo noget væsentligt større rammeværk. Bil A5 er jo bare et par sider i en lov. Hvorimod doer, det er jo både lov og regulative dokumenter osv. Så det der skete, det var jo, at man gik faktisk i gang med at bygge huset uden at læse vejledningen. Og derfor kommer de her knupskydninger, hvor man siger, så har vi lavet politik eller en forretningsgang osv. Udfordringen, der har været, det er, at man måske på et sent tidspunkt, Der skal du også sige, at da vi jo skulle være i gang med at implementere det, der var nogle af dokumenterne jo slet ikke færdiggjort endnu. Så vi var i gang med at implementere et hus, uden en at have læst vejledningen. Men væsentlige dele af den vejledning var jo heller ikke færdig. Så bliver det sådan en knupskydning. Det er jo derfor, vi stod i den situation, hvor vi gjorde. Alle RTS'er var ikke hele... Det var de nemlig, i særdeles af det er RTS'er. Kan du prøve lige at sige, hvordan gav du opgaven af? Jamen jeg tror, at vi bare tog det i banken på samme måde som mange andre gjorde, men relativt også relativt tidligt opdaget. Hvor vi blev nødt til at tage et spadestik dybere og fandt ud af for eksempel, at det som bliver hele fundamentet i DOA, det er jo, at du skal kende din forretning. Du skal finde ud af, hvad er det for nogle forretningsfunktioner, du har, og hvad for nogle af de ene, dem er kritisk og vigtigt i. Fordi det er alt samme materiale, du skal bruge i din efterfølgende implementering af DOA. Så det var der, hvor vi stråtte lidt på bremsen og siger, vi bliver nødt til at kende vores struktur, vi bliver nødt til at have fundamentet på plads. Når det var på plads, så kunne vi jo fortsætte med registeret og alle de andre ting, der skulle være på plads også. Det må ikke have været nemt. Det har været meget, meget svært. Og i sigt dels også, når man har været i Pengeinstitut ude i provinsen. Ja, jeg har med ingen tvivl. Claus, som jeg kort præsenterede dig, har jo siddet med flere oposnelde DOA-implementeringer hos primært de finansielle aktører. Når du har siddet derude i institutterne, er der et typisk mønster for, hvornår går det godt? Hvornår går det ikke så godt? Er det lidt omkring rammeværket, IKT-hælden, så kan du prøve at sige et prøve på, hvad er det, du har oplevet derude? Ja, det er jo et af privilegierne ved at være konsulent. Det er, at man får lov til at øve sig, og man får lov til at prøve et par gange. Jeg synes, baseret på de her to-tre år, vi har arbejdet med DOA, synes jeg læring er, at de institutter, som for alvor har taget en top-down approach, hvor man tidligt har identificeret, hvad der var kritisk og vigtigt, og har lavet det være styrende for ens implementering. De har haft en langt større grad af succes, end dem, som er startet det modsatte sted. Vi oplevede også tidligt i DOA-projekterne, at der var en interesse i at få sådan et fuldstændigt overblik over alle artiklerne, og så tage det sådan en artikel bare artikel. Og det føltes jo meget sådan betryggende, fordi vi kom frem over isen, vi fik løst nogle problemer, vi fik gjort elefanten lidt mindre. På et tidspunkt så ramte vi bare ind i en mur, der hed, at hvad er vores kritiske og vigtige funktioner? Og hvis vores kritiske og vigtige funktioner ikke er klart defineret og styrende for hele vores implementering, så rammer vi bare, så får vi bygget et alt for stort hus, som Frej siger. Så det var en af de afgørende ting. Men for at kunne identificere det, der er kritiske og vigtigt, det kræver også en smule mod. Og hvem er det, der tager beslutning om, hvad der er kritiske og vigtigt? Og hvor meget kan være kritiske og vigtigt? Og jeg tror, at den problemstilling gælder for et lille institut. Det gælder sandsynligvis også for en mellemstore, og det gælder også for en stor. Kompleksiteten er jo bare større i et større institut, hvor man har flere forretningsområder, og man kan have større diskussioner på tværs af forretninger om, hvad der egentlig er kritiske, hvis man både har banker og realkreditter og andet på bøgerne. Så der er noget omkring den tidlige identifikation af siffrene. Der er noget omkring modet til at beslutte. Og så er der også noget omkring det at mobilisere på tværs. Du nævnte også, Michael og du Frey, at DORA er jo sådan en holistisk regulering. Og det betyder, at der er rigtig mange stakeholder, som vi skal både aktivere og motivere i den her samtale. Og det har heller ikke været nemt alle steder, fordi ved siden af implementeringen af DORA, så har vi jo, eller mange som ikke er konsulenter, har jo et fuldstilsarbejde ved siden af, hvor de driver deres øvrige gerning. Så jeg synes, at læring omkring de der tre elementer, og jeg synes dem, der har gjort det modsatte, har haft en lidt svær rejse derhen. Desværre. Jeg synes, de punkter, du nævnte til sidst, Kenneth, med rammeværket, og tredjeparterne osv. Det er super relevante punkter. Det er også svært. Fordi det illustrerer måske en anden problemstilling, som du rammer ind i, det er, at vi måske ikke alle sammen havde fuldstændig styr på penalhuset, da DORA trådte i kraft. Altså, hvad hedder det, manglende procesoerblik, manglende overblik over tredjeparter, manglende sådan detaljforståelse af, at det var dybden i vores proces. Der var måske nogen i vores forretning, der i detaljen forstod, hvordan kreditprocessen var. Men hvordan det ligesom blev aggregeret op gennem systemet, var ikke klart for alle. Og jeg tror, at de færreste finansielle virksomheder har sådan en pixiebogs forklaring af deres forretning. Det tror jeg i virkeligheden. Noget, jeg også lige gad høre om, hvis vi lige kigger på dig fra, når I lavede implementeringen, hvordan samarbejdet I på tværs af forsvarsværende? Altså, fordi nu er du både specialist, der skal have den ind, men opvendt, så skal du også sikre dig, at tingene ligesom spiller ind. Og så skal du bare lige sætte på og på, hvordan... Ja, det bliver simpelthen nødt til at være et godt samarbejde i implementeringsfasen. Ja, det er, at der er en fælles mål, og det er at få det her dyr, for at sige det som det er, implementeret på en god og ordentlig måde. Og når man føler sig tryg på, at rammerne i forhold til kontrolrammerne er på plads, så er det der, hvor man siger, at nu træder vi tilbage i vores forsvarslinjer og begynder at få det til at køre. Men det er en opgave, man løfter af fællesskaber, som jo også påkræver en ledelsesmæssig og direktionsmæssig bevågenhed, og accepte os. Ja. Nej, men tak. Og I skal jo egentlig huske derude, at hvis I får spørgsmål undervejs, så skal I bare skrive dem, så skal jeg nok fange dem op og så stille her. Det var lidt omkring del 1, hvor vi har set tilbage, hvordan vi har tagtet det. Så hvis vi lige kigger sådan... Hvad så nu? Sådan her, hvor vi står, og med hvad vi hører på vandrørene, så er der jo nogle temaundersøgelser, der kører på, og der sker mange ting, der kommer, og vi har allerede set nogle inspektioner, der er blevet offentliggjort. Og det er jo klart, der kan vi jo godt se, at der er nogle mangler, der går igen. Altså den der med, som vi talte lidt før om, den der uklar dorramme. Hvordan skal vi takle den? Hvordan har helseshåndtering været, eller styringen i det? Der har været noget IT-beredskab, som dels skulle være på plads, men den skulle også selvfølgelig testes. Og den der ansvarsfordeling, hvem gør hvad, i den her nye kørende. Så med baggrund i de her udfordringer, der er, nu har du lige sagt før, Frej, hvordan du gjorde det. I forhold til os, du har jo også siddet i bankdata, og nu er du i Netcompany i det gamle STC. Ja. Hvordan har det været sådan generelt derude, når man skulle bygge det her? Har det været lidt som Claus, op fra og ned, eller har du set nogle andre former for implementeringer, hvis du skulle kigge nu? Der kunne være bedre eller værre, eller? Altså ting, vi kunne gøre anderledes eller bedre? Ja, præcis. Jeg tror, hovedbudskabet, det mener jeg faktisk også, jeg har sagt i en præsentation, vi har haft sammen før, det er, jeg tror, forudsætningen for, at man går i gang med en ordentlig implementering af DOA, det er at forstå, hvad er det, man har med at gøre. Men det er ikke endnu et billigt til ledelsesbekendtgørelsen. Man skal forstå kompleksiteten, og man skal også sikre sig, at ens direktion forstår det her, og ens bestyrelser har også indsigt, for det er ultimativt også dem, der står til ansvar for det. Så første skridt vil jo være, som jeg nok har skrevet i dagens bogen, og så med god, klassisk, dydig projektledelse, få det delt op i de små bidder, der skal til, og få gennemført din milepæl, få lavet din analyse, få grundlaget på plads, begynd at følge det træ, som er i forordning med, at når du har din forretningskonsekvensanalys på plads, så kan du lave din disaster recovery plan, du kan føde ind i Registro of Information, så du kan begynde at berige din strategi og politik og forretningsgrange også. Så jeg tænker, at mit umiddelbare og mit nok stærkeste råd, hvis man skulle gøre det igen, eller hvis man skulle starte i en ny bank og sige, at nu skal jeg ikke til at dore, så tænker jeg faktisk, at man skal tage den alvorligt og forstå helt præcis, hvad der var med at gøre og respektere den. Og netop med det, du siger, det vil jeg gerne bygge videre til dig, Michael, fordi selve den håndtering, at kende sin forretning og så på den måde bygge en strategi, og så den strategi, hvordan den så kan fyde nedad. Når du sidder i ledelsesorganet i et pengestud, hvordan griber man overhovedet det an? Ja, det er en god spørgsmål. Fordi vi kan jo se, at det er noget, der går igen på at påbudde det netop. Ja, altså jeg tror, for at fange nogle af de ord, der er blevet nævnt også, det er jo klassisk at sige, men det der med at kende sin forretning. Jeg vil påstå, at det starter der, at der er noget væsentligt i det der helt grundlæggende. Det gør man som regel også i en bestyrelse, selvfølgelig. Men for at forstå, hvor ens risici ligger, har man brug for at forstå, ikke i detaljer, men hvorhenne er der nogle processer, der er kritisk og vigtige, hvor er vores pains. Og det der så bliver øvelsen for en bestyrelse og en topledelse, det er jo at forstå, som du var inde på Claus, det her med at få det puljet op og aggeret, sådan så man ikke får i en bestyrelse præsenteret et detaljeret dir af et værk over samtlige processer i ens forretning. Men ligesom, hvor har vi på kundesiden, leverandørsiden, hvor ligger de forskellige væsentlige ting henne? Så har man en grundlæggende forståelse for det, man har et grundlag til at kunne forholde sig til nogle risici. Så der selvfølgelig er nogen i organisationen, der har smagt på og lagt et eller andet lag på af overblikket, sådan som man i en bestyrelse og en topledelse har mulighed for at kunne vælge ud fra det grundlag, man har fået præsenteret. Der hvor man prioriterer at sige, så det her vi sætter ind, det her vi er tilfreds med, her der skal vi hurtigst muligt på plads også. Så det stiller store krav til en bestyrstor forretning, men de er jo i den grad afhængige af, at organisationen bag formår at give det overblik. Og det vi fandt ud af, det var jo, at en IT-afdelingen, en forretningsenhed osv. havde jo en enormt stor glæde af at forstå processer på tværs af IT og forretning og serviceorganerne. Og der ligger mange øjne åbner i det, men her er det jo et spørgsmål om at efterleve noget regulering. Men sidegevindsen er jo at forstå sin forretning bedre og på den måde også at have et godt overblik, og at god ro i maven kan prioritere. Og jeg kan jo lige sige her, at vi har lidt fra publikum derude, og der kan man sige, at Christen siger, at tilsynets forventninger til test af ekstra strategi, den er jo også interessant. Hvordan håndterer man det oppe i et bestyrelsesøje med? Ja. Jeg kan sige, at der er meget enighed derude også. Claus? Det, der kunne også være interessant lige at høre dig om, det er de her mangler, som vi så også ser. Nu kan vi se, at der står mange tredjeparter, hældensisrisiko og alle de her ting. I forhold til de programmer, du har siddet med, er man egentlig reelt i branchen derude? Jeg vil gerne svare på de spørgsmål på to måder, fordi jeg tror, at de største institutterne er ret langt. Men det er jo også virksomheder, som er modne i deres indkøbsfunktion, som har stærker professionel leverandørsstyring efter kontrakten er underskrevet. De har dokumenteret, veldrevne incident management processer. Nogle af de ting, som for alvor er svært. Jeg tror bare, at virkeligheden er, at hvis man bliver et mellemstort eller et mindre institut, så er det nogle af de her ting, der bliver svært, fordi man måske ikke er så godt hjulpet af at have den samme grad af ressourcer til sårighed. Fordi det, som tilsynet peger på her, jeg tror, at vi kommer til at se mange tilsynsrapporter, der peger på de samme problemstillinger. Fordi det her, det er ikke nødvendigt. Det er ikke enkelt. Fordi hvis du ikke har en centraliseret procurement-funktion, hvor du har overblik over alle dit indkøb og alle dine kontrakter, hvordan i himmelens navn skal du så få hænderne omkring det? Hvis det er kontraktejeren, som selv er ansvarlig for opfølgning og gennemgang af revisionsrapporter, så er nogle ting jo svære. Det at få forhandlet exit-klausuler kan være problematisk. Det at få testet og etableret continuity-planer er ikke enkelt. Det er et af de områder, hvor det desværre bliver bekosteligt at være lille. Fordi kravene er jo de samme. Og derfor er det, at i min optik, så handler det jo om, at man er ekstremt spids på, hvad der er risikofyldt og væsentligt for os. og har modet til at prøve at gøre opgaven så lille som muligt, så vi fokuserer kun på nålene. Og så prøver vi at se bort fra alle det høstakke, som godt kan mudre billedet. Og hvis vi ikke gør det, så får vi nogle svære samtaler med tilsynet, fordi vi ikke er i stand til at dokumentere, at vi er i kontrol med det, der er kritisk og vigtigt. Jeg tror, at løsningen er at blive spids på det, der er kritisk og vigtigt. Og så tror jeg også, at det handler endnu mere om, og det ved jeg, at man gør, at søge de fællesskaber, der er, så man lærer hinanden. De to mindre institutter, der alviner hinanden med lægger i to forskellige geografiske områder, kunne jo godt have en interesse i at tale sammen og genbruger og lærer hinanden i en fart, i stedet for at gøre noget andet. Så jeg tror, at løsningen for at komme, det løser jo ikke problemet omkring kortlæggen af dine egne tredjeparter, du spørger i et andet institut, men du kan blive, om ikke andet kan du få bekræftet din tilgang. Du kan måske få lidt hjælp til noget metode og noget værk. Og så er der nok også en samtale i mange institutter om, hvordan vi formodnet og professionaliseret, ikke bare vores indkøbsfunktion, men også vores evne til at følge op på vores tredjeparter. Fordi de krav, tilsynet stiller, er jo rimelige, det er jo rigtigt, fordi DOR handler jo egentlig ikke om regulering, det handler om resiliens. Og hvis du gerne vil være resiliens i dine institut, så stiller det nogle krav til dine tredjeparter. Og hvis du ikke kan formidle det, og du ikke kan følge op, men opgaven er jo bare stor, det er jo det, der er i virkeligheden, så derfor handler det om at gøre det, der er vigtigt, så begrænset som muligt, så du kan bruge kræfterne på det rigtige. Og med det vil jeg faktisk gerne køre overgangen fra et spørgsmål, vi har her. Det vil jeg stille til dig, Frej, fordi du er også gang i rigtig mange netværk derude. Ja. Så du har også godt indblik i sektoren. Og der bliver spurgt det her, om vi tror, om der med tiden kommer en mere standardiseret standard på, hvordan du skal håndtere opbygning af rammeværk for en bank, forsikring, pension med videre. Kommer der en eller anden pakke, tror du? Det kunne der måske godt være. Der kunne jo være nogle brancheforeninger. Jeg ved blandt andet, at LOPI, altså Organisationen for Lokale Pengeinstitutter, har lavet noget indsats. Jeg tænker, det må være baseret lidt på udbud og efterspørgsel. Jeg har jo lavet en hjemmeside, hvor jeg ved siden af mit arbejde forsøger at formidle viden omkring, hvordan DOA kan laves. Og det gør jeg ud fra den konstatering, at der ikke er viden på tværs af de tre brancher. Pengeinstitutter, forsikringer og pensionsbranchen. Hvor som jo alle tre skal efterleve DOA. Det er jo vigtigt at huske, det er jo ikke kun Pengeinstitut, det er jo også de to andre, vi skal huske på. Så jeg tænker, der vil nok være potentiale af dig i allerhøjeste grad. Det er også bare vigtigt at huske, at den her grundpakke, den frasiger jo ikke, at man skal kende sin egen butik. Der ligger en masse benarbejde i, at du kender dine kritisk vigtige funktioner, du kender dine kontrakter, og du også har det kørende. Og så kan man også huske, at det er ikke for en dialog med Open Lumen, der kan jo også være et selskab, der har DOA, men de kan jo eje et selskab, der skal efterleve en historie. Præcis. Der er jo mange ting i det. Jeg har også hørt, hvad er jeres erfaringer i forhold til, hvordan virksomhederne arbejder med CEF'er, er i forhold til, om DOA jo dækker langt flere services. For eksempel applikationer, funktionsbegrebet dækker jo bredt på alle services. Så erfaringer, hvordan man arbejder med det. Jeg ved, at I har været på tværs. Er I stor bror? Jeg synes, det er et relevant spørgsmål. Jeg tror, det er meget sådan selskabsindividuelt, hvordan man har tilgået det. Jeg synes stadigvæk, at den store betragtning, det handler om at få identificeret og få kortlagt det, der er kritisk og vigtigt, at bruge det som styrende. Hvordan man gør det i praksis? Et godt spørgsmål på, hvordan man gør det i praksis? Ja, præcis. Det vi har set, det er, at vi har taget udgangspunkt i eksisterende rammeværker, altså processmodellering. Vi har taget udgangspunkt i økonomisk værdi. Vi har prøvet at starte et sted. Og det var nok ikke det rigtige sted at starte. Men vi startede jo for to, et halvt, tre år siden med at forsøge at finde det, der var kritisk og vigtigt. Men i samtaler med stakeholders eller beslutningstager, synes jeg, at vi blev gode til at få kortlagt det. Vi tror på, at det er jo i dialogen mellem stakeholders, at vi er i stand til at prioritere. At identificere noget, der kritisk og vigtigt, er ikke en skrivebordsøvelse. Det er måske i højere grad en samtaleøvelse, hvor vi er i stand til at få aggregeret. Fordi vi kan godt identificere, du ved, 100 processer og et penge i sted. Ja. Men øvelsen er jo ikke at få identificeret det hele. Øvelsen er at få prioriteret. Prioriteringssamtalen er en samtale mellem stakeholders, hvor vi må have en eller anden form for fælles målestokker at gå efter. Vi skal have en kritiske og vigtige forretningsfunktioner. Det er jo også et spørgsmål om at have en risikobaseret tilgang. En risikobaseret målet, hvor man måske også, udefra et konsekvens -mæssigt betragtning, kan lave de her vurderinger. Men en risikobaseret tilgang handler i høj grad om mod. Det handler om modet og at have mandater til at tage en beslutning. Og at stille spørgsmål. Det lyder så revisor-agtigt, at vi har en risikobaseret tilgang. Men det er jo et andet ord for, at vi har modet til at prioritere. Vi har modet til at stille spørgsmål. Jeg vil tage det sidste spørgsmål inden vi går videre til næste del her. Og der er et spørgsmål med om I ser, og det kan måske være til dig til at starte med, Michael. Ser I en fælles observation på tværs af organisationer i forhold til, hvad der har været det sværeste på Dora EG? på Dora implementeringen? Et fælles billede af? Altså, mit billede med dem jeg har haft talt med på tværs, har jo været, at det måske kan være svært at navigere i den der virkelighed mellem at leve op til noget regulering, som kan virke tungt med styringsdokumenter og politikker og strategier og forretningsgange, hændelser, alt det her. Og så kobler det over på en hverdag. Og der tror jeg, at kodeordet, der måske går på tværs, er noget med, hvad er det, der er væsentligt for vores forretning? Altså, hvis man ser det som, det kan være svært, når det er sådan en opgave som den her, men hvis man ser det som, okay, det giver jo faktisk god mening, det er sund fornuft at have styr på. Vi har en forretning, der skal drive bedst muligt. Hvor er vores sårbarheder? Hvordan får vi bedst styr på det? Nu er der ligesom et værktøj, der kan på tværs sætte nogle ensartet ord på, at det er det herovre, der er vigtigst for vores butik. Det giver god mening, at vi har styr på, hvordan vi forholder os til det. Hvis en demandør ikke virker mere, hvad gør vi så? Har vi testet med vores datacentral, hvad vi gør, hvis det her går ned? Hvis det hele går ned? Hvis den del ikke virker? Så jeg tror, det der går igen, er måske øvelsen i at bevæge sig fra at efterleve noget teoretisk til at bruge det til noget, der giver god mening. Det er sundt fornuft at have styr og have overblik på det. Jeg vil gå videre. Tak for i hvert fald spørgsmålet. I skal endelig være ved med at spørge derude. Jeg skal nok drage dem ind. Hvis vi kigger lidt fremad. Det er næste års tid. Hvad så? Man kan sige, at vi har startet med at sige, at nu skal der også ud at leve obersnølt. Det er blandt andet meget det, som tilsynet kigger på. Vi kan ikke forestille os, at tempoet falder. Måske endda tværtimod. Tone er måske mere skærpet. Jo længere vi kommer ned her. Nogle af de ting, som jeg i hvert fald tænker højt om, der vil dominere. Det er selvfølgelig helt AI rammen. Hvordan vil det kunne påvirke DORA? Og det her med, hvordan vi kan få kulturen ind. Så vi går fra, at nu står det i en forretningsgang, fra en strategi, og nu skal det så ud at leve i alle dele i forretningen. Så det her, der vil starte med dig Claus, at hvis du sad som SISO eller på anden måde var ansvarlig for en Dora implementering. Hvad ville du egentlig bruge din tid på den næste års tid her? Jeg tror, der var nok tre eller fire sådanne tematikker, jeg ville fokusere på. Jeg ville være ret fokuseret på, at jeg havde orden i penalhuset. Fordi hvis jeg skulle svare på en temaundersøgelse, eller jeg fik et besøg fra tilsynet, eller jeg skulle redegøre overfor min bestyrelse eller min direktion, så ville jeg være sikker på, at jeg havde styr på mine ting. Og orden i penalhuset er ligesom udgangspunktet for, at vi kan begynde at effektivisere det, vi gør. Så hvis vi har styr på penalhuset, så ville jeg kigge meget på, om jeg kunne automatisere nogle af de ting, som kræver kræfter. Altså opfølgning på leverandører, hændelsesrapporteren, ROI. De elementer kan jeg automatisere det, så jeg kan flytte nogle varme hænder til noget, jeg kan automatisere. Og så ville jeg kigge på den operationelle implementering, fordi det kan man jo også se i tilsynet spørgsmål. Når rammen er på plads, så skal vi jo dokumentere, at vi gør alle de handlinger, vi beskriver, vi gør i vores forretningsgange, og som er mandatet i vores styringsdokumenter. Så i og med, at du og jeg er konsulenter, er vi jo super optaget af AI-rejsen her. Og jeg synes også, at vi er forpligtet, uanset hvem vi er, til at sige, kan vi gøre det, vi gør i dag på en smartere måde? Er der nogle af tingene, vi kan få AI-agenter til at drive for os, der gør, at vi kan flytte os i retning af at bruge kræfterne på det, der er lidt sværere? Men det kræver jo for Søren, at vi har styr på vores leverandør, at vi har styr på vores processer. I det hele taget er det, der er kritisk for derefter at kunne tage det næste skridt. Men allerede i dag er der jo eksempler på rigtig mange AI-ificerede løsninger, der gør, at vi kan horisontscanne, hvad der kommer af ny regulering. Vi kan følge op på vores leverandør. De ting, som vi købte så nogle abonnementsbaserede løsninger for, overvågning af dette og hint, det kan vi jo automatisere nu ved ganske få midler på egen hånd. Det var de der tre-fire ting, jeg ville være fokuseret på. Men jeg ville jo starte dem også med at være nysgerrig på, hvad er det tilsynet siger om vores kolleger i branchen? Man behøver jo ikke starte med den grønne blyeren, man kunne starte med den rødre blyeren, og så kunne man jo kigge på den gule og den orange fra jer bag efter. Men det her med AI, alle taler om det, noget er i gang, men der er også en vis form for skeptisk med rette som I, i forhold til at sidde i ledelsen og gøre lidt af det, som Claus-Bandet nævner her, men også sådan som kan være muligheder. Bestyrelsen, AI, muligheder, automatisering. Hvordan er dit syn, måske dit råd til, hvordan man i ledelsen skulle forholde sig til AI indenfor DOOR? Ja. Jeg er først og fremmest meget overbevist om, at man allerede i ledelserne og direktionerne og bestyrelserne er ret langt på det punkt her, så jeg er ikke sikker på, at jeg kan give dem nogle råd lige i den sammenhæng. Men det jeg tror, de gør, det er, at de helt sikkert har forholdt sig til, hvad det her kan, og hvad det giver muligheder på sigt. Jeg er også overbevist om, at man har hævet forskellige indlægsholdere ind for at klæde dem på, fordi der er helt sikkert, og det har der jo været et stykke tid, og det arbejder man også på, er jeg ret sikker på mange steder, skal man sige kommet og blik på, hvad kan det her give at ledelse og administrativt. Det er klart, det må man være ærlig omkring, det kan også give nogle omkostningsbesparelser, men der hvor det bliver interessant og værdifuldt for alvor, tror jeg, og det er jeg også sikker på, man smager på derude, det er, hvor kan det sådan set også løfte vores kvalitet, kan det forkorte nogle ventetider på kundesiden, kan det løfte kundeoplevelsen, kan det fjerne mindre interessant arbejde for vores kollegaer ude i organisationen, så ligesom er man plusfortegnet det her, men det er klart, alt det her afhænger jo af, hvor modet man er til at tage det i brug, er det på enterprise niveau, har man nogle bagvedlægninger, modeller, eller er det ude på det enkelte skrivebord, man har fået lov at prøve at formulere nogle mails lidt bedre, eller har man en intern chat, der kan hjælpe med en, at søge de interne dokumenter frem for en, hvordan er det nu lige, vi skal gøre i sådan en situation. Der tror jeg, at man er på forskellige niveauer, og der vil jeg tro, at det man arbejder på, det er at få løftet det til en mere, skal man sige, ensartet måde at bruge det på, og selvfølgelig helt grundlæggende, apropos Dora, at have styr på sin risici i den forbindelse og sine strukturer på det. Noget af det, der kunne være sjovt at lige høre dig om fra, det er, det der ligesom holder kernepersonerne vågne om natten, altså SISO og IT-ledelser ude i et sted, tror du, det er det samme, som tilsynet fokuserer på? Det kan jeg faktisk være tvivl om, og det bunder jo også i det her grundmæssige vidensbillede af, hvad er det, Dora egentlig består af. Jeg synes lige, det er vigtigt også lige at huske på, at grunden til, at vi har Dora, det er jo at forhøjne cyberresiliensen i branchen. Det er jo ikke et regulativt dokument, som gør, at vi skal følge nogle lov. Og frugten med det her, det er, at vi faktisk forhøjner vores cybersikkerhed i pengeinstitutterne, i forsikringsselskaberne og pensionsselskaberne. Andre brancher, de går ud og tager en ISO-certificering og betaler jo dyredommen for det. Vi får det igennem Doraen, igennem lov, og det der er, at vi skal faktisk følge loven. Så det, jeg tror, det der holder siges ordene vågnelige om latten, det er nok den her med, har jeg faktisk helt og fuldstændig forstået opgaven. Er der nogle gaps, som jeg ikke er bekendt med? Er der noget, vi skal have kigget på? Og det, jeg tror tilsynet er i gang med at finde ud af de øjeblikker, det er jo at starte for en endel af, for at sige det rent udsat. Jeg tager lige et par spørgsmål. I sagde tidligere, at I forventer anværdninger fra finanssatsynet. Hvilke områder regner I med vil blive nævnt? Der er helt sikkert noget med noget hændelser. Det tror jeg. Og så er vi tilbage ved sund fornuft. De episoder og hændelser, man har haft tilbage i tid, er det noget, man forholder sig til? Er det noget, man kategoriserer? Er det noget, man lærer af? Og hvad har man så tænkt sig at gøre ved det? Hvad har man gjort på det? Det tror jeg, det kan virke banalt, men det er jeg ret sikker på, at man er meget interesseret i fra tilsynets side. At man lærer af de fejl og episoder, der sker. Og står bedre rustet til fremtiden. Så det tænker jeg helt klart er væsentligt. Så er jeg også sikker på, at man kigger på, om man har testet nogle ting. Altså beredskabsplaner osv. Om det så er knyttet op på hændelser, man har haft. Eller om det er noget, man tænker, at det her kommer måske op til at ske. Men er man så klar til at handle på det? Det er sådan de to ting, der falder mig først. Det er jeg sikker på, at de vil kigge på. Jeg synes, det er et godt bud, Michael. Jeg tror også, det handler om den operationelle implementering. Det er det. Fordi i første runde, det handler meget om, har vi styringsdokumenterne på plads? Og det skal vi nok få. Men den operationelle implementering. Jeg tror, der hvor dynamikken er høj med forandring. Der kunne også komme noget. Jeg tror også, det begynder at blive nysgerrige på hele den... I hvert fald for de større institutter, den geopolitiske tech-afhængighed er et samtalepunkt. Det kunne også godt være, hvordan AI bliver introduceret i kombinationen af AI-agtige doer. Der vil givetvis komme nogle tematikker. Lige nu vil jeg fokusere på den operationelle implementering. Jeg tror, det er der, hvor... Og jeg synes, det er ret tydeligt på både AL Sydbank og DLR. Tilsynsrapporterne. Hvor der fokus har været. Og jeg tror, det er det, at trykket kommer til at ligge lige nu. Og så skal man være nysgerrige på, hvad der sker. Fordi tilsynet er jo ret eksplicit i deres kommunikation om forventninger. Ja, og det er også noteret herude som kommentar, at som indre pengestud, er det jo svært med proportionalitetsprincippet at arbejde med. Om du er et lille pengestud, et stort, om du er en anden finansiel virksomhed. Det er svært at være i. Det er meget svært. Det er en svær betragtning. Det er virkelig... Lige det sidste spørgsmål, inden vi går videre til næste del her. Hvordan sikrer vi, at doer lever af hverdagen og ikke blot på sidelinjen? Har I god input hertil? Indarbejde de ting, der bliver tilsagt i doer. Lad dem leve som instrukser og forretningsgang. Det vil sige, at når I har en hændelse i jeres butik, så har I en beredskab, eller så har I en proces for at håndtere det som en IKT-hændelse. Der er alle de spørgsmål, der skal være besvaret for at kunne håndtere det. have de her ting på plads. Lav dine risikovurderinger. De ting, du skriver i dine forretningsgange og dine politikker. Sørg for, at det lever. Sørg for, at du har et tilbagerullet. Og du har en kontrolmekanisme, der også sikrer sig, at det bliver gjort. Og at de tre forsvarslinjer kommer i spil, hvor det er relevant. Og det bygger netop meget godt brug til del 4. Fordi nu har vi jo lidt talt om, hvad er det, som vi ser. Hvad er det, der er udkigget efter? Hvad er det, vi skal se fremadrettet? Der sidder rigtig mange derude, der nu sidder med et questionnaire-temaundersøgelse. Nogle, der ligesom har hørt, at der kommer nogen til efteråret osv. De sidder måske lige og prøver at fin-tune de ting, der ligger. Og tilsynet kigger jo ikke kun efter de her perfekte dokumenter med artikler, og det er rigtig forskrevet. Men de kigger netop på, om der er sammenhæng i hele den der værdikæde. Og ikke bare de fem søjler, om de er der, men hænger det sammen det hele. Så ud over rammen skal være der, ud over ansvaret skal være der på tværs af linjerne. Har man testet beredskab og kan bestyre sådan en egentlig forholdelse til det, der bliver rapporteret fra retningen. Så Frey, du har jo ligesom siddet og set det fra begge sider, fordi du sidder lidt og så kører den. Den, der sidder nu og venter, den, der sidder lige nu og venter på, at der sker noget, og for at tage den der røde blyant over i orden i panalhuset. Af alle de ting, vi har talt om her, hvilken rød blyant vil du tage i den her... Jeg vil simpelthen tage skoven, fundamentsskoven og sikre mig, at jeg har mit grundfundament på plads. Og fundamentet igen, det her kender du din organisation, kender du i dine forretningsfunktioner, har du klassificeret dem, og alle de ting, som hele DORA var bygget på. Sikre det på plads, og så følg den reje, som står i Dora. Har du dine beredskabsplaner? Har du dine discharge- og recovery-planer? Har du dit register på plads? Lav den. Begynd at læse fra inden af alle de ting, som du har skrevet, og som du har ude at leve i din forretning. Er det beskrevet? Bliver der faktisk lavet de IKT-rapporteringer? Er der planer for pindtest? Er der planer for beredskabstest? Bliver der lavet ordentligt afrapportering til bestyrelsen, og forstår bestyrelsen, hvad det drejer sig om? Så simpelthen god, rettidig omhoved. Start fra begyndelsen af at arbejde sig igennem det. Og det er jo så dit syn som der, hvor du sidder i forretningen. Hvis vi så kigger på ledelsen, hvordan man ligesom skal håndtere den. Og nu tænker jeg højt, skal man lave et mini-eget temainspektion? Altså, hvorhen kan man klargøre sig endnu mere, når man sidder som direktion eller bestyrelse, eller i det læger at sige, du hører det fra jeg siger fra forretningen, men du som en del af ledelsen, hvad skal du gøre klar? Ja. Altså, de fleste har formentlig haft et tilsynsbesøg, men ellers kan jeg jo sige, at sådan et tilsynsbesøg er jo ligesom en eksamen, og man plejer jo at sige, at eksamen det er jo de flitige elevers fest. Og jeg skal ikke gøre mig til dom over, om man synes det er en fest eller ej, men jeg kan i hvert fald sige, at forberedelse og en god grundlæggende indsats, gør en kæmpe forskel, altså gør sit forarbejde. Og så er vi lidt tilbage til det, vi startede webinar om, altså at forstå sin forretning, som ledelse og bestyrelse har du en afhængighed af, at organisationen hjælper dig til at have det billede, og så vil jeg lidt over i din pointe fra, med at have en god rapportering. Men for en bestyrelse og en direktion osv., handler det jo om at forstå forretningen, og kunne skælde det op i de væsentligste, kritiske, vigtige processer, hvor står vi på det. og så skal man jo vide sine pains, og der er der jo i øvrigt også en god del af en forberedelse, og imødekomme det, når man sidder over for et tilsyn. Det vil sige, være åben og ærlig om, hvor der er nogle huller, men så skal man jo selvfølgelig have en plan for, at jeg er ret overbevist om tilsyn, jeg synes er en god idé, hvordan man så har tænkt sig imødekomme det, og mitigere det. For det er jo fair nok, at man nødvendigvis ikke er på plads med alt, men det er ikke fair ikke at have en bevidsthed om det, eller hvad man så har tænkt sig at gøre ved det. Så jeg tænker, det handler om en afhængighed af, organisationen klæder dig godt på, og så skal du være åben og ærlig, men forberedelseslår alt, så kan det blive en fest, måske. Og så Claus, når du går ind og kigger på en finansiel virksomhed nu, og du ligesom får screenet lidt op, er der noget konkret, der adskiller de institutter, du har nævnt før det der fra top, og så kigger du ned, men sådan, er der noget, der adskiller de institutter, der er ude til at påbud, for dem der ikke gør? Har du sådan nogle, væk lidt praksisnære, eller et par staltips, du ligesom kan give? Sådan i forlæggelse af, at du ved, fra i synspunkter omkring faglighed, og orden i penalthuset, og Michael's element omkring forberedelsen, jeg er sådan en kæmpe foretaler for, at forberede tilsynetspersoner, søde på en god måde. Det er den der kvalitativ forberedelse, der gør, at du sådan med fuldstændig ro i maven, kan gå ind i den samtale, for du ved, du forstår agendaen, du forstår det grundlag, du forstår dine styrker, du forstår dine svagheder. Men noget af det handler også om, at øve dig. Øve dig på samtalen. sådan. Så jeg synes, vi med fordel har set, at hvis vi fuldstændig har kortlægt, hvad er det for en samtale, vi skal ind i, hvad er vores styrkepositioner, hvor har vi et udviklingspotentiale, og der hvor vi har et udviklingspotentiale, forberedt det svareberedskab. Og så er der jo ikke nogen grund til, at lede tilsynet hen til, du ved, de værste problemstillinger, men ikke har løst endnu. Så det handler jo også om, at styre narrativet, du ved, at være åben og ærlig, i forhold til den agenda, der er, og så forberede dig mest muligt. Fordi der er jo ikke, altså mine børn, og jeg går i gymaget, og du ved, der er to ting til at gå til eksamen. Det ene er, at man forstår fagstoffet. Noget andet er, at man forstår det at gå til eksamen, og forstår den der dialog, og den der kontekst, man sidder i. Og det man har øvet sig, hvis det er en direktion, der sidder og samtaler med tilsynet, at man nogenlunde er klar over, hvem der tager hvad, og hvad det er for et grundlag, vi har. Og der har vi så også med fordel, nogle gange lavet sådan, sådan et svarberedskab, alt efter, hvor meget appetit vi har på, at dele, hvor langt vi er med en plan for et eller andet. Og jeg er meget enig i det, du sagde, Mikael, hvis vi har en kendt svaget, så lad os lægge det på bordet. Men lad os lægge det på bordet, sammen med planen. Ja. Der er jo ikke nogen, der bliver slået hårdt i hovedet, for at erkende, at der er en problemstilling, og vi også har en løsning til det. Det vil vi jo gerne støtte op over, fordi tilsynet opgave er jo også, at medvirke til at sikre resiliensen. Så alene i forlængelse af det, du sagde, Mikael, du ved, øv jer, øv jer, og så forbereder jeg jer rigtig godt, ud over at modtage et PowerPoint-dæk, fra jeres organisation, en time inden. så er I bound for disaster. Fordi husk, tilsynet har jo været i de der samtaler fem eller ti eller tyve gange før. Det er første gang, vi er. Så det der med, at I måske også har en sparring session, med nogen, der også har haft tilsynsbesøg, altså sådan direktion til direktion, tror jeg faktisk også kunne være ganske givetigt, at vi kan måske få sådan beroliget, mervesystemet, hvis det er første gang, man har tilsynsbesøg, og man er fortrolig med, hvad det er for en samtale, man gør. Og det er jo ikke monstre, man sidder overfor, det er jo mennesker, der gør deres allerbedste, for at passe deres arbejde, som nu engang er følget op på vores implementering. Der er lige et spørgsmål, hvis man fra EU skulle bestemme sig for at lave et forenklingsarbejde på Doer, altså mando har man overimplementeret noget, er der sådan nogle områder, hvor I ser, der kunne man forenkle lige herovre? Det har jeg da faktisk lidt svært ved, og nu kommer jeg nok til at være rigtig upopulær, fordi jeg mener, at jeg ser Doer som en gave, fordi det er gennem det ramme, hvis man ser Doer som et rammeværk, på lige vilkår, som ISO 72100X, så er der faktisk utrolig mange gevinster i det. Hvis man skal til at forenkle det, så bliver jeg lidt bekymret for, hvad man så begynder at skære væk. Der kan godt være nogle af de forvaltningsmæssige øvelser, som måske kunne simplificeres. Men jeg vil være ked af, at man begynder at fjerne nogle kernetinger. Men forenkling kunne også godt være, at man gav mere guidance på noget. Eksempelvis fik vi præsenteret, at hvis du er et mellemstorholdet pengeinstitut, så forventer vi, at det er de her funktioner, der er kerne i din forretning. Det ved, at man havde noget guidance på det der område, og man fik at vide, at vi forventer, at det er fem kritiske og vigtige funktioner, og det er kredit, og det er sådan, at vi havde en bedre udgangspunkt for den samtale. Det tror jeg kunne spare massevis af timer, og massevis af frustration frem. Og det er jo ikke, at vi fjerner 200 artikler, og en RTS og sådan noget. Det er ikke det, der er tænktning. Men det med, at der er mere guidance på, på de ting, hvor der er det der betydelige skønselement. Det synes jeg kunne være, det kunne være en god samtale med, først omvendigt danskertilsyn, og så videre til EBE efterfølgende. Og så gå ud for et professionalitetsprincipp, i det artiklet 4 nævner du. Jeg skulle lige til at sige det, fordi jeg tror, vi arbejder jo meget med sektor-risici, som jeg ser det. Der er jo dyb afhængighed til datacentraler, for eksempel. Så alle de steder, hvor man har sammenligvandør, på tværs af nogle sektor-løsninger, der tror jeg, at professionalitetsprincippet kunne komme ud og leve for alvor. Fordi det der med, at man sidder og laver de samme ting, men afhængig af at få svaret et andet sted fra, man har ikke møn at vide indsigten, og så videre. Der tror jeg, at det ikke er et stort potential. jeg har ikke lige løsning for det, eller ved, hvem vi skal ringe til, for at få det indarbejdet. Men der kunne godt ligge noget, der virkelig kunne let mange på tværs, i stedet for, ellers skal sidde og opfinde den dybe tallerken. Vi er ved at være ved vejs ende. Tiden går hurtigt. Jeg vil gerne høre, hvis man sidder derude, og har lyst til at stille et spørgsmål, så er det nu. Vi kigger selvfølgelig ligesom igennem, at alle spørgsmål, når vi er færdige, og dem vi måske ikke har fået svaret på, eller måske skal gå dem lidt dybere i, skal vi nok sende ud bagefter på skrift. Men lige inden, måske kommer et lukkespørgsmål fra publikum, så har jeg måske bare lige det sidste. Hvis vi nu sidder med et års tid, og tilsynet laver sådan en sektorrapport, eller hvad man kalder sådan nogle ting, omkring dårer. Det vi ser nu, altså vi lige snakker om, hvad tilsynet finder, og den vinkel. Hvad vil der stå i den retroperspektiv, om et års tid? Er det det samme, eller er der nogle andre ting? Jeg tror, vi vil have flyttet os. Meget af de gaps, jeg tror, der findes i dag, det er jo implementeringsting, det er jo orden i penalhuset. Det er ting, vi ikke har fået gjort færdigt, enten fordi, at vi ikke har kommet til, eller ikke har forstået opgaven. Jeg tror meget af det, hvis vi sad i det her rum igen om et år, og havde den samme samtale, så tror jeg nok, at vi vil kunne konstatere, at nu begynder vi at have styr på penalhus, og nu begynder vi at have styr på grundlæggende ting. og så er det der, den store tilgevindelse, vi kommer frem. Det er min tanke i hvert fald. Mit bud jo er, at det afhænger i høj grad af, hvor god man i det enkelte institut, er til at lære af det, man ser fra andre tilsynsrapporteringer, og hvor god man er til at lære af hinanden, at trække på hinandens erfaringer, og hvorfor det der med, at jeg skal opfinde den dybe tallerken. Jeg tror, hvis man evner at gøre det, så tror jeg, at jeg er enig med dig. Hvis man har fortravlt med, at tage den teoretiske tilgang, så tror jeg, vi vil se meget af det samme om et år. Så jeg vil sige, det er meget afhængigt af, hvordan man griber det enkelte sted. Ja, grundlæggende prioritering. Jamen, så vil jeg bare slutte af, og tak til jer alle tre. Det har været en fornøjelse. Tiden er godt nok gået hurtigt. I er et godt selskab. Vi er gået hurtigt. Det vil være hyggeligt. Super hyggeligt. Jeg har noteret mig, at take a ways, at det her med at sige, at det er jo først reelt værdiskabende, det er jo, når man har grundforståelsen på plads. Det dyder jeg sammen. Det skal man have klar over. Så så er det her med, at man skal have det levende. Man skal have det i en sammenhæng. Man skal have det forankret, og brugstående levende, ude i forretningen. Tegs nummer to. Og så den tredje, det er jo så helt bestyrelses- eller direktionselementet i det. Det er jo ikke noget, der kan aftåres. Det er noget, man virkelig skal tage til sig. Så som jeg sagde tidligere, vi deler optagelsen. I kan tilgå ind og kigge on demand på vores hjemmeside. Og tak fordi I deltog derude. vi var omkring 85, der var tilmeldt. Så rigtig stor tak for opbakningen. Og vi glæder os rigtig meget til at se jer en anden god gang til et implement arrangement. Så god dag til alle derude, og tak for i dag.