Jest poniedziałek, godzina 8:00. Dostajesz pytanie od dziennikarza: „Czy potwierdzają Państwo, że…”. Chwilę później ktoś przesyła Ci zrzut ekranu rozmowy opublikowanej na Facebooku, pod którą jest już ponad 500 komentarzy. Dzwoni prezes i pyta: „Kto przygotuje komunikat? Natychmiast!”.

Wiele firm w takiej sytuacji robi to samo: siada do pisania oświadczenia. I właśnie wtedy może rozpocząć się drugi kryzys.

Komunikat przygotowany bez sprawdzenia faktów może zawierać nieprawdziwe informacje. Wypowiedź bez konsultacji prawnej może narazić firmę na dodatkowe konsekwencje. Brak oceny bezpieczeństwa może doprowadzić do ujawnienia informacji, których nie należy publikować. Nieodpowiedni ton może sprawić, że organizacja zamiast odbudować zaufanie odbiorców, jeszcze je straci.

W kryzysie liczy się nie tylko to, co firma powie, ale też to, czy ma do tego podstawy i czy jej działania potwierdzają składane deklaracje.

Dlatego skuteczne zarządzanie kryzysem wymaga współpracy trzech obszarów: Public Relations, prawa i bezpieczeństwa. Nie powinny one działać kolejno, przekazując sobie problem z rąk do rąk. Powinny pracować równolegle, wymieniać informacje i wspólnie oceniać konsekwencje podejmowanych decyzji.

Jak to wygląda w praktyce? Przyjrzyjmy się trzem przykładom. Nie mają one pokazać wzorowej współpracy. Wskazują raczej, co mogło zawieść, gdy jej zabrakło, albo jak powinna wyglądać.

Green Caffe Nero: fakty i empatia w jednym komunikacie

Jest lato 2018 roku. Klienci kawiarni Green Caffe Nero w okolicach Legionowa skarżą się na dolegliwości żołądkowe po zjedzeniu ciastek z kremem. Sanepid potwierdza salmonellę, a u jednej osoby rozpoznano sepsę. W mediach i w internecie pojawiają się nieprzychylne komentarze oraz spekulacje o braku higieny w lokalach.

Prezes, Adam Ringer, nagrywa wideo, w którym przeprasza i bierze na siebie odpowiedzialność. Jednocześnie wskazuje dostawcę i upały jako możliwe źródło problemu oraz zapowiada rekompensaty dla poszkodowanych.

Komunikacja miała mocne strony: opierała się na faktach, czyli ustaleniach Sanepidu, zawierała konkretną ofertę pomocy dla poszkodowanych, a jej ton był bardzo „ludzki”. Nie wiemy jednak, czy komunikatowi wcześniej przyjrzał się prawnik. Przy deklaracji rekompensat i wskazaniu winnego powinien to zrobić, bo takie wypowiedzi mają skutki wykraczające poza wizerunek. Wskazanie dostawcy może wpłynąć na późniejsze spory, a obietnica odszkodowań tworzy oczekiwania, którym firma będzie musiała sprostać.

Wniosek? Empatia jest niezbędna, ale musi iść w parze z ustaleniami faktycznymi i realnymi działaniami. PR nie powinien obiecywać tego, czego firma nie może zapewnić. Prawo i bezpieczeństwo nie mogą natomiast ograniczać się do wskazywania ryzyk. Ich zadaniem jest także pomóc organizacji znaleźć rozwiązanie odpowiedzialne i możliwe do wdrożenia.

CD Projekt: komunikat jest też dokumentem prawnym

Grudzień 2020 roku. Premiera jednej z najbardziej oczekiwanych gier ostatnich lat, Cyberpunk 2077. Produkt okazał się niedopracowany, a liczne problemy techniczne, szczególnie na konsolach starszej generacji, wywołały falę krytyki. CD Projekt przeprosił graczy, zapowiedział poprawki i umożliwił ubieganie się o zwrot pieniędzy. Gra została też usunięta z PlayStation Store.

Kryzys odbił się nie tylko na relacjach z graczami, lecz także na sytuacji spółki i zaufaniu inwestorów. W Stanach Zjednoczonych wniesiono pozew zbiorowy, w którym zarzucono wprowadzanie inwestorów w błąd co do jakości gry i jej działania na konsolach. Sprawa zakończyła się ugodą, w ramach której przewidziano 1,85 mln dolarów na rozliczenie roszczeń.

To przykład kryzysu, w którym firma musi jednocześnie komunikować się z różnymi grupami odbiorców. Gracze oczekują informacji o produkcie, poprawkach i zwrotach. Inwestorzy potrzebują rzetelnych informacji o sytuacji spółki. Media szukają odpowiedzi na pytanie, dlaczego produkt nie spełnił oczekiwań. Komunikaty kierowane do tych grup mogą się różnić formą i szczegółowością, ale muszą opierać się na spójnych faktach.

Jak w takiej sytuacji powinny współpracować PR, prawo i bezpieczeństwo?

  • Bezpieczeństwo i zespoły techniczne dostarczają danych o skali problemów, ich przyczynach, wpływie na użytkowników oraz możliwościach i terminach naprawy.
  • Prawo analizuje ryzyko związane z deklaracjami spółki, obowiązki informacyjne wobec rynku i inwestorów oraz potencjalne roszczenia.
  • PR odpowiada za jasność przekazu, dopasowanie komunikacji do poszczególnych grup odbiorców i konsekwencję w wyjaśnianiu sytuacji.

Najważniejsza lekcja jest prosta: komunikat nie służy wyłącznie poprawianiu wizerunku. Może mieć również znaczenie prawne, regulacyjne i finansowe. Obietnica terminu naprawy, deklaracja dotycząca jakości produktu czy informacja przekazana inwestorom powinny mieć oparcie w danych i zostać ocenione pod kątem konsekwencji.

PR nie powinien samodzielnie rozstrzygać kwestii prawnych, podobnie jak prawnik nie powinien sam decydować o całej strategii komunikacyjnej. Potrzebna jest wspólna ocena tego, co można powiedzieć, co należy powiedzieć i co organizacja rzeczywiście jest w stanie zrobić.

Morele.net: bezpieczeństwo, czas i konsekwencje

W grudniu 2018 roku Morele.net poinformowało o incydencie związanym z wyciekiem danych klientów. Zdarzenie dotyczyło około 2,2 mln osób. Klienci obawiali się wykorzystania danych do prób wyłudzeń i phishingu, a krytyka dotyczyła między innymi czasu i sposobu informowania o zagrożeniu.

Sprawa miała też konsekwencje regulacyjne. Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę karę, która następnie była przedmiotem postępowań sądowych i administracyjnych. W ich toku ponownie analizowano wysokość kary oraz ocenę zabezpieczeń.

Ten przykład dobrze pokazuje, że podczas incydentu bezpieczeństwa czas, wiarygodność i treść komunikacji zależą od jakości współpracy między zespołami.

Zanim firma poinformuje klientów o naruszeniu, musi ustalić, co się wydarzyło. Nie może jednak w nieskończoność czekać na pełny obraz sytuacji. Dlatego współpraca trzech obszarów powinna rozpocząć się jak najwcześniej:

  • Bezpieczeństwo identyfikuje charakter incydentu, ustala, jakie dane mogły zostać ujawnione, ocenia ryzyko dla osób, których dane dotyczą, i podejmuje działania ograniczające skutki naruszenia.
  • Prawo określa obowiązki wynikające z przepisów, w tym ewentualną konieczność zgłoszenia naruszenia organowi nadzorczemu i poinformowania osób, których dane dotyczą. Pomaga także ustalić terminy i zakres wymaganych informacji.
  • PR przygotowuje komunikację dla klientów, mediów i pozostałych interesariuszy. Wyjaśnia, co wiadomo, jakie działania podjęto i co odbiorcy powinni zrobić, aby ograniczyć ryzyko.

W przypadku naruszenia ochrony danych nie zawsze można czekać na zakończenie pełnego dochodzenia. RODO co do zasady wymaga zgłoszenia naruszenia organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw lub wolności osób fizycznych. W określonych sytuacjach trzeba również niezwłocznie poinformować osoby, których dane dotyczą.

Dlatego PR powinien otrzymywać od zespołu bezpieczeństwa i prawników bieżące informacje, a nie czekać na jeden ostateczny raport. Komunikacja może być etapowa: najpierw informacja o potwierdzonym incydencie i podjętych działaniach, potem aktualizacja po ustaleniu kolejnych faktów.

Spór z regulatorem może być uzasadniony i prowadzony właściwą drogą prawną. Nie zwalnia to jednak firmy z obowiązku jasnego wyjaśnienia sytuacji klientom. Odbiorcy chcą przede wszystkim wiedzieć, czy ich dane są zagrożone, co firma zrobiła i jak mogą się chronić.

Wniosek? W kryzysie bezpieczeństwa ustalenia techniczne, obowiązki prawne i komunikacja nie mogą funkcjonować w odrębnych silosach. Każdy z tych obszarów wpływa na pozostałe, a opóźnienie lub błąd w jednym może zwiększyć ryzyko w pozostałych.

Jeden kryzys, trzy perspektywy, jeden zespół

Przytoczone przykłady dotyczą różnych sytuacji: zagrożenia zdrowia klientów, problemów z produktem i naruszenia ochrony danych. Łączy je wspólny mechanizm. Firma musi jednocześnie ustalić fakty, ograniczyć ryzyko, podjąć decyzje i wyjaśnić sytuację otoczeniu. Tych czterech zadań nie da się skutecznie zrealizować, jeśli każdy dział działa osobno.

PR, prawo i bezpieczeństwo mają różne kompetencje, ale wspólny cel: pomóc organizacji podjąć właściwe decyzje i przejść przez kryzys z możliwie najmniejszymi stratami dla ludzi, firmy i jej wiarygodności. Ich role powinny być jasno określone.

Bezpieczeństwo odpowiada za rozpoznanie zagrożenia i ograniczanie jego skutków. Jak najszybciej dostarcza sprawdzonych informacji o tym, co się wydarzyło, jaka jest skala problemu i jakie działania są konieczne. Nie zawsze chodzi wyłącznie o cyberbezpieczeństwo. W zależności od sytuacji może to być bezpieczeństwo produktów, procesów, pracowników lub klientów.

Prawo odpowiada za ocenę obowiązków, odpowiedzialności i ryzyka prawnego. Wskazuje, jakie działania są wymagane, jakie informacje trzeba ujawnić, jakie terminy obowiązują i jakie konsekwencje mogą mieć konkretne deklaracje. Nie powinno jednak ograniczać się do blokowania komunikatów, tylko pomagać znaleźć rozwiązanie zgodne z prawem i możliwe do zastosowania w praktyce.

PR odpowiada za komunikację z otoczeniem. Przekłada ustalenia ekspertów na zrozumiały przekaz, dobiera jego formę i ton, wskazuje potrzeby poszczególnych grup odbiorców oraz dba o spójność kolejnych komunikatów. Monitoruje też reakcje i przekazuje zespołowi informacje zwrotne, które mogą wymagać aktualizacji działań.

Te role nie są jednak szczelnymi granicami. Bezpieczeństwo musi wiedzieć, jakie informacje są potrzebne klientom. Prawnicy powinni rozumieć, jak określone sformułowania zostaną odebrane i jakie skutki mogą wywołać. PR musi wiedzieć, które fakty są potwierdzone, jakie obowiązują ograniczenia prawne i co firma rzeczywiście robi, by rozwiązać problem.

Dopiero połączenie tych trzech perspektyw pozwala przejść od reagowania na kryzys do rzeczywistego zarządzania nim.

Źródła