Governance i Microsoft 365 som folk faktiskt följer

De flesta organisationer har en policy för Teams. Den ligger på intranätet, den är skriven av IT och den beskriver hur team ska namnges, vem som får bjuda in gäster och när team ska tas bort. Nästan ingen har läst den, och de som har gjort det kommer inte ihåg den när de skapar ett team en tisdag eftermiddag.

Governance som fungerar ber inte folk att komma ihåg regler. Den bygger in reglerna i stegen de ändå tar.

En yta har en livscykel

Varje team och sajt går igenom samma faser, och varje fas har ett ställe där en regel kan sitta.

1. Beställning. Mallen bestämmer namn, struktur, gäster och delning. Det går inte att göra fel, för det finns inget val att göra fel i.
2. Godkännande. Bara där det behövs, till exempel för ytor med gäster eller känsligt innehåll. Ett godkännande överallt lär folk att klicka igenom.
3. Skapad. Ytan får en huvudansvarig och ett datum för första granskningen.
4. Granskning. Huvudansvarig får frågor om ytan med jämna mellanrum.
5. Arkiv. När svaret är att arbetet är klart arkiveras ytan, och den finns kvar men slutar synas i vardagen.

Granskning som folk gör

En granskning som är ett formulär med sju frågor om varje yta görs en gång. Sedan ignoreras påminnelsemejlen. Det som fungerar är att fråga en sak i taget, och bara om det man faktiskt hittat:

1. Används ytan fortfarande? Fråga med underlaget: senaste filändring och senaste granskning.
2. Är det rätt personer som kommer åt den? Visa listan, inklusive de som kommer in via en grupp och de som fått behörighet direkt på sajten.
3. Finns det avstängda konton kvar? Lyft fram dem, för personer som slutat ska inte bli kvar obemärkt.
4. Delas filer utanför organisationen? Visa vilka, och låt ägaren stänga delningen direkt.

Svaren ska göra något. Förläng, ta bort en medlem, stäng en delning eller arkivera, i samma vy, och ingenting utförs förrän ägaren bekräftar. En yta där allt ser bra ut kräver ett svar, inte sju.

Gäster och extern delning är besluten som spelar störst roll

De flesta incidenter i samarbetsytor handlar inte om att någon hackat sig in, utan om att någon fortfarande har åtkomst som borde ha tagits bort. En extern konsult som slutade för ett år sedan, eller en fil som delades med en länk som alla kan öppna.

Standarden ska vara den strikta, och mallen ska öppna upp där det behövs. Inte tvärtom.

IT ska se det som kräver en människa

Den som ansvarar för helheten behöver inte en lista över alla ytor. Den behöver en lista över det som kräver åtgärd: ytor utan huvudansvarig, försenade och flaggade granskningar, ytor som gått ut och beställningar som väntar på godkännande. Allt annat sköter sig.

Så fungerar granskningen och dashboarden i TeamGenerator. Varje granskning har en genväg till ytan, varje yta har en historik över vad som hänt och vem som gjort det, och försenade granskare kan påminnas med en knapp.