Nesten en halv million regneark. To uker. Ett kart.

Store virksomheter investerer tungt i ERP-systemer, dataplattformer og moderne samhandlingsverktøy. Likevel ligger mange forretningskritiske prosesser fortsatt i Excel-filer som bare én eller noen få medarbeidere forstår.

Excel er et svært godt verktøy. Det er fleksibelt, tilgjengelig og lar fagpersoner løse problemer raskt uten å vente på et større utviklingsløp. Men fleksibiliteten har også ulemper: Filene kopieres, endres og bygges videre på. Over tid kan midlertidige løsninger bli permanente prosessverktøy - uten tydelig eierskap, dokumentasjon eller versjonskontroll.

Når personen som kjenner filen slutter, blir syk eller går av med pensjon, kan et regneark plutselig bli et driftsproblem.

Men hvordan finner man de kritiske filene når det finnes rundt 500 000 av dem?

Et problem som er for stort for manuell kartlegging

En av kundene våre sto overfor akkurat denne utfordringen. I SharePoint-miljøet lå det rundt 500 000 Excel-filer. Prognosemodeller, rapportering og filer med koblinger til ERP-systemet levde uregistrert i delte områder. Kunden manglet en samlet oversikt over:

• hvilke filer som fortsatt var aktive
• hvilke som støttet kritiske forretningsprosesser
• hvem som eide og forvaltet dem
• hvilke som inneholdt makroer eller eksterne koblinger
• hvilke som hentet data fra ERP-systemer eller dataplattformen
• hvilke som kunne inneholde personopplysninger
• hvilke som burde migreres, beholdes, arkiveres eller vurderes for sletting

En tradisjonell data governance-tilnærming ville gjerne startet med intervjuer, workshops og manuell kartlegging av prosesser og filer. Slike aktiviteter er fortsatt nødvendige når prosessene skal forstås og forbedres. Utfordringen er å vite hvor innsatsen bør settes inn.

Manuell gjennomgang av rundt 500 000 filer er i praksis ikke et realistisk startpunkt. Vi valgte derfor å begynne med et avgrenset fastprisforprosjekt på to uker.

Målet var ikke å rydde hele landskapet på to uker. Målet var å etablere et dokumentert faktagrunnlag, måle hvor godt metoden fungerte og gjøre en eventuell fullskalering planleggbar.

En agent som kartlegger før menneskene prioriterer

Vi bygget en agentbasert analyse som undersøkte filene og samlet tekniske, strukturelle og organisatoriske signaler. Målet var ikke å la en språkmodell ta beslutninger på egen hånd, men å gi kunden en prioritert oversikt over hvor risikoen sannsynligvis lå.

Prinsippet var enkelt:

Deterministisk der det er mulig, modell der det er nødvendig.

Prosessen besto av fem steg:

1. Kode hentet filmetadata og tekniske kjennetegn fra kundens miljø.
2. Deterministiske analyser identifiserte blant annet makroer, eksterne koblinger, struktur, eierskap og tilgjengelig versjonshistorikk.
3. Modellen vurderte en kompakt evidenspakke og klassifiserte filens sannsynlige rolle, for eksempel rapportering, prognose, datapipeline eller referansedata.
4. Hvert modellsvar ble kontrollert mot et fast skjema før lagring.
5. Filer med mangelfull evidens eller usikre resultater ble sendt til manuell gjennomgang.

Modellen crawlet ikke miljøet, skrev ikke til filene og så aldri hele filen. Koden sto for innhenting, lagring og rapportering. All evidens ble behandlet som ja, nei eller ukjent. En fil som ikke kunne leses, ble derfor ikke automatisk klassifisert som ufarlig.

Hva leverte vi på to uker?

I forprosjektet leste og indekserte vi ca. 13 000 filer fra målrettet utvalgte områder. Av disse ble rundt 8 000 filer klassifisert langs fire dimensjoner: kritikalitet, type, plattformkobling og risiko.

Kunden satt igjen med:

• en regenererbar landskapsrapport over funnene
• en kjørende skanner og metadatautforsker i eget miljø
• et klassifiseringsrammeverk med målt treffsikkerhet
• en gjennomgangskø med eksplisitt begrunnelse for hver fil
• et dokumentert beslutningsgrunnlag og en anbefaling for neste fase

Innlesingen gikk med en målt hastighet på rundt 1 300 filer i timen. Klassifiseringen behandlet rundt 300 filer i timen per strøm. Modellkostnaden var rundt 14 øre per klassifisert fil i utvalget (GTP 5.6 Luna).

Basert på de målte ratene estimerte vi modellkostnaden for hele bestanden til omtrent 40 000-65 000 kroner, avhengig av hvor mye forhåndsskåringen kunne sortere bort. Dette er kun modellkostnaden - ikke utvikling, kvalitetssikring eller faglig oppfølging - men det viste at maskinell behandling ikke var den viktigste flaskehalsen. Prøv å sammenligne den prisen med et klassisk data governance prosjekt fra et klassisk konsulenthus!

Ingen kundedata forlot kundens miljø

Løsningen hadde kun lesetilgang til kildene og fikk tilgang område for område. Analyse og modellkjøring skjedde i kundens egen skytenant. Ingen fildata forlot miljøet, og ingen tredjepart trente på dem.

Tilgangen ble kontrollert før kjøring. Dersom et token hadde bredere tilgang enn avtalt, skulle prosessen stoppe og varsle. Et uavhengig kontrollskript tok øyeblikksbilder før og etter kjøringen og dokumenterte at løsningen ikke hadde skrevet tilbake til kildene.

Mulige personopplysninger ble lagret som detektortype, antall og posisjon - aldri som sitert innhold. Hver filberøring og hvert modellkall ble registrert i et append-only revisjonsspor.

Dette var viktig: Analysen skulle produsere et beslutningsgrunnlag, ikke automatisere sletting eller migrering uten menneskelig kontroll.

Seks funn som skilte seg ut

Utvalget var målrettet, ikke representativt. Funnene nedenfor beskriver derfor de analyserte filene og kan ikke uten videre fremskrives til hele konsernbestanden.

Likevel viste kartleggingen tydelig at risikoen ikke bare handlet om antallet filer. Den handlet om hvordan kunnskap, kode og data var fordelt i organisasjonen.

• Ca. 93 % av filene med lesbar redigeringshistorikk hadde hatt én eneste redaktør. Det er ikke bevis på at bare én person forstår filen, men et tydelig signal om mulig personavhengighet.
• Rundt 84 % av filene som ble klassifisert som kritiske, delte struktur med minst én annen fil. Kopier av samme utgangspunkt hadde utviklet seg i ulike retninger, ofte uten en tydelig hovedversjon.
• Nesten 2 000 av de analyserte filene inneholdt makroer. Det betyr programkode som kan være forretningskritisk, men som ofte mangler versjonskontroll, tester, dokumentasjon og tydelig eierskap.
• Analysen fant rundt 900 mulige definisjonskonflikter. Det samme forretningsbegrepet var definert forskjellig i ulike filer - en mulig forklaring på hvorfor rapporter og nøkkeltall ikke stemmer på tvers av avdelinger.
• Signaler om mulige personopplysninger dukket opp utenfor de forventede områdene. Eksempelvis kunne ansattnavn ligge tusenvis av rader ned i BI-eksporter, ikke bare i mapper definert som HR-data.
• Enkelte biblioteker viste mønstre som tydet på at versjonshistorikk var deaktivert. Dette ble synlig gjennom populasjonsstatistikk. Samtidig måtte signalene fra manglende historikk behandles som ukjente, ikke som bevis på lav risiko.

Tallene avgjør ikke alene hva som er kritisk. De gjør det mulig å finne mønstre, stille bedre spørsmål og prioritere hvilke filer og områder som trenger menneskelig oppfølging.

Treffsikkerheten sitter i definisjonene

En viktig læring var at kvaliteten ikke først og fremst avhenger av å velge en «smartere» modell. Den avhang av skarpe definisjoner og gode referanseeksempler.

Med en vag instruks oppnådde klassifiseringen ca. 79 % eksakt treff på referansesettet. Etter at hver verdi var positivt definert, kjente feilmodi var beskrevet og gullcaser var lagt inn, økte resultatet til ca. 93 % eksakt treff.

Dette tallet gjelder referansesettet - ikke hele kundeutvalget. Treffsikkerheten på kundens egne filer må måles mot et manuelt klassifisert kontrollutvalg i neste fase.

Fra filkaos til en prioritert arbeidsliste

Resultatet var ikke bare en lang rapport over Excel-filer. Kunden fikk et risikobasert forslag til hva som burde skje videre med hver fil:

• Migrer når filen støttet en kritisk prosess som burde forvaltes i et kontrollert system.
• Behold når Excel fortsatt var riktig verktøy, men eierskap og dokumentasjon måtte styrkes.
• Arkiver når filen ikke lenger var aktiv, men måtte oppbevares.
• Vurder sletting når filen manglet dokumentert verdi og oppbevaringsbehov.
• Gjennomgå manuelt når evidensen var utilstrekkelig eller risikoen krevde en faglig beslutning.

I utvalget ble rundt 700 filer sendt til gjennomgang. I omtrent 450 tilfeller markerte modellen eksplisitt at et menneske måtte avgjøre. Det er ikke et svakhetstegn. Det er en sikkerhetsmekanisme som gjør den nødvendige faginnsatsen synlig og planleggbar.

Målet er ikke å bli kvitt Excel

Excel er ikke problemet. Problemet oppstår når virksomheten ikke vet hvilke regneark som har blitt systemer, hvem som forvalter dem, eller hvilken risiko de representerer.

Automatisert kartlegging erstatter ikke prosesseiere, data governance eller faglige vurderinger. Den gjør den menneskelige innsatsen mer målrettet. Maskinen kan kartlegge landskapet i stor skala. Fagfolkene må fortsatt avgjøre hvilken kopi som er offisiell, hva et begrep betyr og om en prosess fortsatt er i bruk.

Har virksomheten mange tusen Excel-filer, ukjent prosesseierskap eller kritiske makroer i SharePoint? Da trenger dere ikke nødvendigvis starte med å rydde alt.

Start med et avgrenset forprosjekt på ekte data. Finn ut hva dere faktisk har, mål hvor godt metoden fungerer - og bruk innsatsen der risikoen og verdien er størst.