TAHTO26-harjoitus toi esiin taloushallintoalan varautumisen tason
Huoltovarmuusorganisaation Taloushallinnon poolin järjestämä varautumisharjoitus TAHTO26 pidettiin toukokuun lopulla. Harjoitukseen osallistui 14 talous- ja palkkahallinnon yritystä: tilitoimistoja, talousosastoja, ohjelmistotaloja ja viranomaisia.
Harjoituksen taustaskenaario perustui Huoltovarmuuskeskuksen julkaiseman ”Suomeen kohdistuva sotilaallinen voimankäyttö ja huoltovarmuus” -skenaarion mukaiseen tilanteeseen. Harjoituksen tavoite oli simuloida alan ytimeen osuvaa vakavaa häiriötilannetta ja toimijoiden kykyä reagoida häiriöihin. Harjoituksen skenaariossa suomalaiseen yhteiskuntaan kohdistui laajasti erilaisia rajoitteita ja häiriöitä. Sähkön- ja tietoliikenteen jakelussa oli häiriöitä ja kybervaikuttamista tapahtui koko yhteiskunnassa.
Skenaariossa taloushallinto oli pahantahtoisen vaikuttamisen kohteena yhteiskuntaa läpileikkaavien prosessien vuoksi. Harjoituksessa laajasti käytössä oleva palkkahallinnon ohjelmisto joutui kyberhyökkäyksen kohteeksi ja häiriö vaikutti laajasti palkkojen maksuun. Tämä oli lähtötilanne, josta harjoituksessa mukana olevat lähtivät tilannetta setvimään omissa ryhmissään.
Roolitus puhutti paljon
Harjoituksen aikana yksi suurimmista puhuttavista teemoista oli talous- ja palkkahallinnon alan vastuunjako ja roolien jakaminen. Kenellä on vastuu, kun kriisitilanne on päällä?
Kriisitilanne voi olla esimerkiksi jokin seuraavista:
- Tunnettuun ja laajasti käytössä olevaan talous- tai palkkahallinnon ohjelmistoon tehdään laaja tietomurto, ohjelman käyttö joudutaan keskeyttämään päiviksi. Hyökkäys saattaa tapahtua useaan ohjelmiston samaan aikaan.
- Tunnettuun ja isoon tilitoimistoon saatetaan tehdä tietomurto, henkilötietoja päätyy väärien tahojen käsiin.
- Maksuliikennettä häiritään ja siten haitataan tai jopa pysäytetään yhteiskunnan toimivuuden kannalta kriittisiä prosesseja.
- Myös esimerkiksi Verohallinnon palvelut saatetaan joutua ajamaan alas tietomurron vuoksi.
Alan kannalta olennaista on se, mikä taho ottaa tällaisessa tilanteessa tiedotusvastuun. Mikä on se alan yhteen liittävä viranomainen tai taho, joka ottaa tällaisessa tilanteessa vetovastuun ja tiedottaa alaa?
Prosessikuvaukset tärkeä osa varautumista
Maksuliikennepalveluita tarjoavan Avalosys Oy:n Mia Ursin osallistui harjoitukseen. Hänen mukaansa taloushallintoalan varautuminen vaihtelee yritysten kesken.
”Suomessa on tuhansia pienempiä tilitoimistoja, joiden resurssit ja osaaminen varautumiseen ovat vääjäämättä rajallisemmat. Ala nojaa vahvasti digitaaliseen infrastruktuuriin, joten alan kokonaisresilienssin jatkuva vahvistaminen on tärkeää”, Ursin sanoo.
Ursinin mukaan jokaisen on hyvä muistaa, että mahdollisen kriisin jälkeen kestää myös jonkin aikaa palata niin sanotusti normaaliin rutiiniin.
”Tärkeänä oivalluksena harjoituksessa nousi esiin se, että itse kriisin hallinnan lisäksi toiminnan palauttaminen normaalitilaan pitkäkestoisen häiriön jälkeen on erittäin haastava ja työllistävä vaihe”, hän kertoo.
Harjoituksen aikana kävi selväksi, että työvaiheiden ja prosessien kuvaukset ovat tärkeä osa varautumista. Olisi hyvä harjoitella esimerkiksi palkanmaksun prosessia ilman ohjelmistoa pari kertaa vuodessa. Prosessikuvausten lisäksi yrityksen sisäinen roolitus ja vastuualueet on hyvä määritellä kunnolla. Kuka tekee mitäkin ja mitä esimerkiksi tilanteesta kerrotaan asiakkaille?
Suunnittelu ja varautuminen tehtävä etukäteen
Harjoituksessa simuloitu tilanne toi esiin sen, että kaikkien alan yritysten on valmistauduttava alaa tai koko yhteiskuntaa ravisuttavaan tilanteeseen etukäteen.
”Suunnittelun ja varautumisen aika on nyt eikä vasta silloin, kun jotain on jo tapahtunut. Jokainen alan yritys on velvollinen valmistautumaan häiriötilanteeseen tai jopa yhteiskunnan poikkeusoloihin. Varautumista varten löytyy erinomainen kokonaisuus Taloushallintoliiton verkkosivuilta”, sanoo valmiuspäällikkö Juuso Lehmuskoski Taloushallinnon poolista.
Taloushallintoliiton sivuille on koottu varautumisen työkaluja sekä harjoitusohje. Aiheen tiimoilta on pidetty vuoden 2026 aikana useita webinaareja, joiden tallenteet löytyvät myös sivuilta.
Kirjoittaja osallistui TAHTO26-harjoitukseen tarkkailijana.
