Eğitim gelişimciler olarak hepimizin gelen kutusuna düşen bir mail:
"Geçen ay denetimde bazı masalarda kilitlenmemiş ekranlar tespit edildi ve birinde müşteri kaydı açıktı. Tüm personele KVKK farkındalık eğitimi verilmesini rica ederiz."
Sonrasını da hepimiz biliyoruz. Kırk beş dakikalık bir modül hazırlanır; içinde bir kilit simgesi, bir kalkan simgesi ve kulaklığıyla gülümseyen bir stok fotoğraf çalışanı vardır. Sonuna on soruluk bir sınav eklenir, atama yapılır ve iki haftada tamamlama oranı %96'ya çıkar.
Üç ay sonra denetim yine gelir. Ekranlar yine açıktır. Tek fark şudur: ekranı açık bırakanların %96'sı artık KVKK farkındalık sertifikalıdır.
Farkındalığı kimse görmedi
Maile bir daha bakın. İçinde bir olay var, bir istek var, bir de "farkındalık" var. Olmayan şey, birinin işte yaptığı ve gözle görülebilen bir hareket.
Farkındalık, kurumsal hayatın en çok eğitimi verilen ama bugüne kadar kimsenin bir masada iş üstünde yakalayamadığı şeydir. Ölçemediğiniz için de sonunda tamamlama oranına bakarsınız, çünkü elde başka bir rakam kalmamıştır.
Talepte "farkındalık", "bilinç", "hassasiyet" ya da "kültür" kelimelerinden biri geçiyorsa bir durun. Kelimeler masum; ama henüz kimsenin sahada neyin yanlış yapıldığını tarif etmediği boşluğu çok güzel örtüyorlar.
Modülü açmadan önce beş soru
Kim? "Tüm personel" bir hedef kitle değil, bir adres defteri. Müşteri kaydını ekranda açan ekipler hangileri? Depoya ekran kilidi eğitimi atamak tamamlama oranını büyütür, denetim bulgusunu küçültmez.
Şu an ne yapıyorlar? Denetçinin gördüğü birkaç masa bir olay. Bir hafta boyunca günde iki kez katı dolaşıp kilitsiz ekranları sayarsanız elinize bir oran geçer. "Bir kere oldu" ile "her gün oluyor" arasında ciddi bir bütçe farkı vardır.
Ne yapmaları gerekiyor? "Veri güvenliğine özen göstermek", iki kişinin iki ayrı şey anlayacağı bir cümle. "Masadan kalkan ekranını kilitler" ise tartışmaya yer bırakmaz.
Kuruma neye mal oluyor? Kurumun zaten saydığı bir şeye bağlayın: tekrar eden denetim bulgusu, müşteri şikâyeti, idari para cezası.
Neden yapmıyorlar? İşin asıl düğümlendiği yer bu.
Şifre uzun, kilit süresi uzun
Katta beş kişiye sorun. Büyük olasılıkla hiçbiri "ekranı kilitlemem gerektiğini bilmiyordum" demeyecek. Onun yerine şuna benzer cevaplar gelebilir: kilidi açan şifre uzun ve çağrılar arasında günde onlarca kez yazılıyor. Otomatik kilit on beş dakikaya ayarlı. Ekip lideri de kilitlemeden kalkıyor ve kimse ona bir şey demiyor.
Bu üç cevabın ikisi bilgi işlemin, biri ekip liderinin masasında duruyor. Kırk beş dakikalık modül hiçbirine uğramıyor.
Performans sorunları üzerine yazılmış en bilinen kitaplardan birinin meşhur sorusu şudur: kişinin hayatı buna bağlı olsaydı bu işi yapabilir miydi? Yapabiliyorsa sorun bilgi eksikliği değildir ve eğitim onu çözmez (Mager ve Pipe, 1997). Kurumsal dile çevirelim: bu ayki prim ekran kilidine bağlansa, katta tek bir kilitsiz ekran kalır mıydı?
Güvenlik araştırmaları da hatayla ihlali ayırır. İhlal çoğu zaman kötü niyetten değil, kuralın işi yavaşlattığı yerde kestirmeye gitmekten doğar (Reason, 1990). Kestirmeyi eğitimle kapatamazsınız; kuralı hızlandırmanız gerekir.
Talep sahibine ne dersiniz
"Bu eğitim bir işe yaramaz" demeyin. Konuşma orada biter, üstelik karşınızdaki kişi size gerçek bir sorun getirdi. Onun yerine tek bir soru sorun:
"Bu eğitimden üç ay sonra kimin, neyi farklı yaptığını görmek istersiniz?"
İlk üç sorunun cevabı bununla kendiliğinden gelir. Geri dönüşünüzü de parçalara ayırarak yapın: eğitim yeni başlayanlara kuralı ve nedenini anlatır, kilit süresini bilgi işlem kısaltır, ekip liderleri de işe kendi masalarından başlar. Böylece "hayır" demiş olmazsınız, eğitime düşen payı doğru yere koymuş olursunuz.
Bazen cevap gerçekten "bilmiyorlar" çıkar: işe yeni başlayanlar, yeni bir sistem, değişen bir mevzuat. KVKK ve İSG eğitimlerini de zaten vereceksiniz. Mesele eğitimi vermek değil, verilince bulgunun kendiliğinden kapanacağını sanmak.
Bizim sitede de yazıyor
Kendi uyum eğitimi sayfamızda "denetime hazır kayıt" yazıyor. Doğru, kayıt hazır. Ama kayıt, ekranın kilitli olup olmadığını söylemiyor.
LearnOps'u biraz da bu yüzden kurduk. Ayrıca satılan bir modül değil; InfinityLMS'in üzerinde çalıştığı, işe "hangi eğitim?" yerine "hangi sorunu çözüyoruz?" diye başlayan bir yaklaşım. İSG tarafındaki örneğimizde tamamlama oranı yerine kaza sıklığı izleniyor. Platformda gözlem formundaki sorular eğitimlerle eşleşiyor ve "eğitimi alanlarla almayanlar arasındaki fark ne" sorusu rakamla cevaplanıyor. Ayrıntısı LearnOps sayfasında.
Bir sonraki "farkındalık" maili geldiğinde modülü açmadan önce beşinci soruyu sorun. Cevap "bilmiyorlar" çıkmazsa, %96'lık rapor size yine çok güzel görünecek; ekranlar ise yine açık kalacak.