Meine Erkenntnis
Sicherheitsverantwortliche müssen schlechte Nachrichten ohne Strafe melden können; der CEO darf nach Kosten und Folgen jeder Empfehlung fragen.
Mein Vorgehen
Ich würde Eskalationssignale, gemeinsame Risikobegriffe und einen direkten Kanal für Dringendes vereinbaren. Ich erwarte Optionen mit Konsequenzen.