In sede nessuno sapeva dire chi potesse pubblicare a nome dell'azienda.

Non era un'azienda senza processi. Era un'azienda i cui processi si fermavano al confine di ogni mercato.

Undici mercati gestivano ciascuno la propria presenza social, ed era la scelta giusta: un post su un nuovo terminal in un Paese non interessa in un altro, e i team locali conoscevano il proprio pubblico. Ogni mercato sceglieva il proprio strumento di pianificazione, o non ne usava nessuno. Ogni mercato custodiva le proprie credenziali.

Il team centrale del brand, in sede, definiva le linee guida, distribuiva un pacchetto di asset trimestrale e poi scopriva che cosa era stato pubblicato guardando i canali come un qualsiasi utente. Quando un post regionale andava corretto, la correzione partiva via email a una lista di distribuzione e veniva applicata alla velocità che il mercato decideva.

Erano le credenziali la parte che metteva a disagio il team sicurezza. L'accesso a un canale aziendale era un nome utente e una password in un foglio di calcolo su un disco condiviso, distribuito a chiunque ne avesse bisogno quel trimestre. Nel gruppo esistevano sei fogli del genere. Quando qualcuno lasciava l'azienda, gli veniva ritirato il portatile e disattivata la casella email, e la password che conosceva restava valida esattamente come la settimana prima.

L'esposizione non era teorica, e la reportistica arrivava con sei settimane di ritardo per costruzione.

Un audit interno degli accessi è stato tentato e non è stato possibile completarlo. Sono emersi tre canali senza un proprietario attuale identificabile: account creati anni prima per una campagna, ancora attivi, ancora con il nome dell'azienda, ancora raggiungibili da chiunque avesse mai ricevuto quel foglio. L'audit non è riuscito a stabilire quante persone avessero credenziali funzionanti, perché il foglio registrava a chi era stato dato l'accesso, mai a chi era stato tolto.

La governance aveva la stessa forma. Due degli undici mercati operano con vincoli normativi su come vanno formulate le promesse di servizio. La verifica di conformità dei contenuti social avveniva via email, prima della pubblicazione, in linea di principio. Dopo non restava alcuna traccia di che cosa fosse stato verificato e da chi, quindi dimostrare che fosse avvenuto dipendeva dal ritrovare la conversazione email giusta.

Il quadro globale del rendimento veniva assemblato ogni trimestre da due analisti in circa tre settimane: undici esportazioni, intervalli di date incoerenti, metriche definite in modo diverso da strumento a strumento. Quando il consiglio vedeva il numero, descriveva un trimestre chiuso sei settimane prima, e nessuno poteva approfondirlo senza far rifare tutto il lavoro.

L'accesso ha smesso di essere qualcosa che una persona sa ed è diventato qualcosa che un ruolo possiede.

Gli undici mercati hanno mantenuto l'autonomia su che cosa dire. La sede ha ottenuto una risposta difendibile su chi può dirlo.

Useful whether or not you ever open NOWScale: these are the parts that generalise.