13.10.2026

Kuinka ketterä kriittisyysluokittelu pelastaa paitsi aikaa, myös ihmishenkiä  Julkisissa organisaatioissa käytetään paljon aikaa tiedonhallintalain edellyttämien kuvausten laatimiseen ja ylläpitämiseen. Tiedonhallintamalliin kuvataan palvelut, prosessit, tietovarannot, tietojärjestelmät, tietovirrat sekä niiden väliset riippuvuudet. Lisäksi ylläpidetään palvelukuvauksia, tietojärjestelmäsalkkuja, kokonaisarkkitehtuurikuvauksia ja muita tiedonhallinnan rakenteita. Nämä kuvaukset mielletään usein ensisijaisesti lakisääteisiksi velvoitteiksi, joiden tarkoituksena on täyttää viranomaisvaatimukset.  Todellisuudessa niiden merkitys on huomattavasti suurempi. Kuvaukset muodostavat organisaation yhteisen tilannekuvan siitä, mitä palveluita tuotetaan, mitä tietoa niiden toteuttaminen edellyttää ja millaisista järjestelmistä, prosesseista sekä riippuvuuksista toiminta rakentuu. Ilman tätä ymmärrystä organisaation johtaminen perustuu helposti oletuksiin eikä tietoon.  Tiedonhallintalain vaatimusten täyttäminen ei olekaan varsinainen päämäärä. Todellinen hyöty syntyy vasta silloin, kun tiedonhallintamallin tietoja hyödynnetään käytännön johtamisessa, riskienhallinnassa, varautumisessa, tietoturvassa ja toiminnan kehittämisessä. Vasta silloin tiedonhallinnan kuvaukset muuttuvat dokumenteista päätöksenteon välineiksi.  Esimerkkinä toimintojen kriittisyysluokittelu  Kun vakava kyberhyökkäys, pitkä sähkökatko tai muu merkittävä häiriötilanne lamauttaa toimintaa, johdon on kyettävä tekemään nopeasti päätöksiä siitä, mitä palautetaan ensimmäisenä ja mitä voidaan odottaa. Näitä päätöksiä ei voida tehdä pelkän kokemuksen tai mututuntuman perusteella. Tarvitaan tieto siitä, mitä palveluita organisaatio tuottaa, mihin lakisääteisiin tehtäviin ne liittyvät, mitä tietojärjestelmiä niiden tuottaminen edellyttää ja millaisia riippuvuuksia niiden välillä on. Juuri tätä tietoa tiedonhallintamalliin ja sen taustalla oleviin kuvauksiin on vuosien ajan kerätty.   Kriittisyysluokittelu muodostaa sillan tiedonhallinnan kuvausten ja käytännön varautumisen välille. Se muuttaa palvelukuvaukset, tietojärjestelmäsalkut ja arkkitehtuurikuvaukset konkreettiseksi tiedoksi siitä, mikä organisaatiossa on aidosti tärkeää silloin, kun kaikki ei ole käytettävissä samanaikaisesti.  Kokonaisarkkitehtuurin ja tiedonhallinnan kompassi jättiorganisaatiossa  Hyvinvointialueuudistus yhdisti lukuisia aiemmin erillisiä organisaatioita, palveluita, prosesseja ja tietojärjestelmiä yhdeksi kokonaisuudeksi. Tässä mittakaavassa kokonaisarkkitehtuurin ja tiedonhallinnan hallinta on käytännössä mahdotonta ilman selkeitä prioriteetteja.  Kriittisyysluokittelu tarjoaa kokonaisarkkitehtuurille ja tiedonhallinnalle suunnan. Se auttaa tunnistamaan, mitkä palvelut, tietojärjestelmät, tietovirrat ja riippuvuudet ovat toiminnan kannalta kaikkein merkittävimpiä. Koska kaikkia järjestelmiä ei voida kehittää, suojata tai varmentaa samalla tasolla, kriittisyysluokittelu auttaa kohdistamaan kaikkein tiukimmat vaatimukset sinne, missä niiden pettäminen aiheuttaisi suurimman vahingon.  Miksi luokittelu ei ole vain hallinnollinen harjoitus?  Kuvittele tilanne, jossa vakava kyberhyökkäys, laaja sähkökatko tai pandemia iskee. Resurssit ovat rajalliset, ja johdon on tehtävä nopeasti vaikeita päätöksiä siitä, mitä toimintoja pelastetaan ensimmäisenä. Ilman etukäteen tehtyä systemaattista priorisointia tietoon perustuva päätöksenteko on mahdotonta.  Kriittisyysluokittelu antaa organisaatiolle kriisin tiekartan. Se on paitsi lakisääteinen ja eettinen velvoite myös käytännön riskienhallinnan työkalu. Sen avulla voidaan kohdistaa investointeja, varautumistoimenpiteitä ja resursseja niihin yksiköihin, joiden häiriintyminen aiheuttaisi vakavimmat seuraukset ihmisille, palveluille ja yhteiskunnalle.   Eroon tyhjän paperin tuskasta MVP-ajattelulla  Monessa organisaatiossa kriittisyysluokittelu epäonnistuu jo ennen kuin työ ehtii kunnolla alkaa. Syy on usein sama: liikkeelle lähdetään tyhjältä pöydältä.  Valistunut arvaus ensin Istekin avustuksella Pohjois-Savon hyvinvointialueella lähestyimme asiaa toisin. Hyödynsimme tiedonhallintamallin kuvauksia, palvelurakenteita, organisaatiotietoja ja asiantuntijoiden kokemusta luodaksemme ensimmäisen version luokittelusta. Tavoitteena ei ollut täydellinen analyysi, vaan riittävän hyvä lähtökohta yhteiselle keskustelulle.   Korjaaminen on helpompaa kuin luominen  Palveluyksiköille annettiin valmis pohja arvioitavaksi. Ne saivat mahdollisuuden nostaa tai laskea omaa kriittisyysluokkaansa perustelujen kera. Käytännössä havaitsimme nopeasti saman asian, jonka moni tunnistaa omasta työstään: jonkun toisen tekemän arvion korjaaminen on huomattavasti helpompaa kuin aloittaa työ täysin tyhjästä.  ”Tavoitteena oli saavuttaa 80 prosenttia hyödyistä noin 20 prosentilla työmäärästä. Täydellisyyttä tärkeämpää oli saada organisaatiolle ensimmäinen yhteinen näkemys siitä, mikä on kriittistä.” Miten arvottaminen tehdään käytännössä?  Arvioinnissa huomio siirrettiin pois tietojärjestelmistä ja teknologiasta suoraan toimintaan. Kysymys ei ollut siitä, kuinka tärkeä jokin järjestelmä on, vaan siitä, mitä tapahtuu ihmisille, palveluille ja organisaatiolle, jos kyseistä toimintoa ei voida toteuttaa.  Arvioinnissa hyödynnettiin kriittisten kohteiden kriittisyysluokittelun menetelmää ja työkalua. Pohjaa räätälöitiin vastaamaan Pohjois-Savon hyvinvointialueen organisaatiorakenteeseen ja siinä käytettiin neljää keskeistä näkökulmaa:  terveyden tai hengen vaara;  lakisääteisten tehtävien toteutuminen;  taloudelliset vaikutukset;  ja maine- ja luottamusvaikutukset.   Yhteinen arviointikehikko mahdollisti eri toimintojen vertailun samalla asteikolla riippumatta siitä, arvioitiinko tehohoitoa, pelastustoimintaa, kotihoitoa, lastensuojelua tai hallinnon palveluita.   Mitä saimme aikaan?  Ensimmäisessä arviointikierroksessa luokiteltiin lähes 200 palvelu- ja toimintayksikköä. Tuloksena syntyi koko hyvinvointialueen kattava prioriteettilista, joka kertoo missä järjestyksessä toimintoja tulee palauttaa vakavan häiriön jälkeen. Luokittelun perusteella 15 % toiminnoista sijoittui korkeimpaan kriittisyysluokkaan, 28 % seuraavaan luokkaan, 45 % kolmanteen luokkaan ja 12 % matalimpaan luokkaan.   Korkeimman prioriteetin joukkoon nousivat odotetusti esimerkiksi ensihoito, päivystys, tehohoito, kriittiset leikkaus- ja valvontayksiköt, pelastustoiminta sekä muut välittömästi ihmisten terveyteen ja turvallisuuteen vaikuttavat palvelut. Samalla tunnistettiin myös sosiaalihuollon, lastensuojelun, vammaispalveluiden ja kotiin annettavien palveluiden merkitys. Tulokset osoittivat, että hyvinvointialueen kriittinen toiminta on huomattavasti laajempi kokonaisuus kuin pelkkä sairaalatoiminta.   Kriittisyysluokittelu ei pääty palveluihin  Moni ajattelee, että kriittisyysluokittelun lopputuloksena syntyy lista tärkeimmistä palveluista. Todellisuudessa varsinainen hyöty alkaa vasta tämän jälkeen. Kun tärkeimmät palvelut on tunnistettu, voidaan selvittää niiden toteuttamiseen tarvittavat tietojärjestelmät, prosessit, tietovarannot, toimitilat, laitteet ja ulkoiset palvelut. Toisin sanoen voidaan tunnistaa ne riippuvuudet, joiden varassa kriittiset palvelut toimivat.   Tässä kohtaa tiedonhallintamallin, tietojärjestelmäsalkun ja kokonaisarkkitehtuurin merkitys korostuu uudella tavalla. Ne tarjoavat tiedon siitä, mitä palvelut tarvitsevat toimiakseen ja mitä vaikutuksia häiriöllä on koko organisaation tasolla.  Pohjois-Savon hyvinvointialueen työssä havaittiin esimerkiksi, että samat tietoliikenneyhteydet, tunnistuspalvelut ja infrastruktuuripalvelut tukevat useita kriittisiä toimintoja samanaikaisesti. Tällaiset yhteiset riippuvuudet muodostavat usein kaikkein merkittävimmät riskit ja samalla tärkeimmät kehittämiskohteet.   Johtamisvastuun ja varautumisen selkäranka  Kriittisyysluokittelu ei ole itsetarkoitus. Sen tarkoitus on tukea johtamista.  Kun palveluiden prioriteettilista on valmis ja johdon hyväksymä, siitä tulee koko organisaation yhteinen lähtökohta varautumiselle, jatkuvuudenhallinnalle, tietoturvalle, tiedonhallinnalle ja kokonaisarkkitehtuurille. Se kertoo, mihin palautumistoimet kohdistetaan ensimmäisenä, mitä järjestelmiä tulee suojata vahvimmin ja mihin rajalliset resurssit kannattaa investoida.   Tärkein oppimme on ollut se, että tiedonhallinnan kuvauksia ei tehdä vain lain vaatimusten täyttämiseksi. Niiden todellinen arvo syntyy vasta silloin, kun niitä hyödynnetään organisaation toiminnan turvaamisessa.  Lopulta kyse ei ole Excelistä, tiedonhallintamallista tai arkkitehtuurikuvauksesta. Kyse on siitä, että tiedämme mikä organisaatiossamme on aidosti tärkeää silloin, kun kaikki ei toimi suunnitellusti. Kriisin hetkellä ei ole aikaa aloittaa analysointia. Silloin tarvitaan valmiiksi laadittu tiekartta. Kriittisyysluokittelu on juuri se tiekartta.  Kirjoittajista Sofia Rönkkö toimii kokonaisarkkitehtina Pohjois-Savon hyvinvointialueella. Hän on kokenut arkkitehtuurityön kehittäjä, jolla on syvällistä osaamista kokonaisarkkitehtuurista ja tiedonhallinnasta.  Tommi Tervo toimii johtavana konsulttina Istekissä. Hän on käytännönläheinen johtamisen ammattilainen, jolla on pitkä kokemus hankkeiden ja arkkitehtuurityön ohjaamisesta sekä ICT-varautumisesta.  Sofia ja Tommi puhuvat aiheesta myös Istekin Lataus26-asiakaspäivillä Oulussa 10.11.2026.