En sikkerhedstest kan nemt ende som et punkt under eventuelt, hvor direktøren nævner, at IT har haft besøg af en tester. Om testen bliver et redskab for bestyrelsen eller blot en orientering, afhænger i høj grad af formanden. Svaret hviler på formandens særlige opgave: at lede bestyrelsens arbejde, så de rigtige emner kommer på dagsordenen, er forberedt, og bliver fulgt op. Formanden skal ikke forstå testen teknisk, men skal sørge for, at bestyrelsen kan føre tilsyn med den.
Formandens rolle efter loven og anbefalingerne
I et aktieselskab vælger bestyrelsen efter selskabsloven § 122 selv sin formand, medmindre vedtægterne siger andet. Efter § 123 skal formanden sikre, at bestyrelsen holder møde, når det er nødvendigt, og påse, at alle medlemmer indkaldes. Bestyrelsen skal efter § 130 have en forretningsorden, og loven nævner blandt andet arbejdsdeling og tilsyn med direktionens daglige ledelse som emner, bestyrelsen bør overveje at regulere dér.
Komitéen for god Selskabsledelse beskriver i sine anbefalinger formanden som den, der organiserer, indkalder og leder bestyrelsens møder, og peger på årshjulet som en måde at sikre, at bestyrelsen kommer igennem sine opgaver. Anbefalingerne retter sig mod børsnoterede selskaber, men andre bestyrelser kan bruge dem som inspiration. Teksten er ikke juridisk rådgivning, og formandens opgaver kan være beskrevet anderledes i jeres vedtægter og forretningsorden.
Sæt testen på dagsordenen
Formanden afgør i praksis, hvad bestyrelsen bruger tid på. Sikkerhed konkurrerer med strategi, regnskab og ansættelser, og uden en bevidst beslutning kommer emnet først op, når noget er gået galt.
- Fast plads · et tilbagevendende punkt i årshjulet, hvor bestyrelsen hører om planlagte test og status på opfølgningen. → Bestyrelsens årshjul
- Særskilt punkt · når der skal tages stilling til omfang, budget eller en risiko, der skal accepteres.
- Orientering · når en test er gennemført efter planen, og der ikke kræves en beslutning.
Ved at skelne mellem de tre giver formanden direktøren et klart signal om, hvad bestyrelsen forventer at få forelagt. Formanden kan også bruge dagsordenen til at sætte tempo: hvis en test har været udskudt to gange, er det et punkt i sig selv, og bestyrelsen kan spørge, hvad der står i vejen. På samme måde kan formanden sørge for, at et punkt om opfølgning ikke forsvinder, blot fordi den egentlige test ligger et år tilbage.
Forbered punktet med direktøren
Den vigtigste samtale finder sted før mødet. Formanden og direktøren kan aftale, hvad punktet skal ende med: en beslutning, en drøftelse eller en orientering. Det gør det lettere for direktøren at skrive et oplæg, der passer til formålet, og det sparer bestyrelsen for at læse materiale, der ikke fører nogen vegne.
Formanden kan bede om, at oplægget svarer på enkle spørgsmål: Hvilke systemer omfattede testen, og hvilke lå uden for? Hvad betyder fundene for forretningen? Hvad har direktionen besluttet, og hvad skal bestyrelsen tage stilling til? Hvem ejer opfølgningen? Spørgsmålene, det enkelte medlem kan stille på mødet, er samlet i → Spørgsmål, bestyrelsen kan stille.
Hvis formanden selv mangler forudsætninger, er det rimeligt at bede direktøren eller IT-chefen om en kort gennemgang før mødet. Formanden behøver ikke at kunne svare på alt, men skal kunne lede en drøftelse, hvor de andre medlemmer tør spørge.
Orientering mellem møderne
Bestyrelsen mødes kun nogle gange om året, mens et alvorligt fund kan dukke op en tilfældig tirsdag. Formanden bør derfor aftale med direktøren, hvornår formanden skal orienteres uden for møderne. Det kan for eksempel være, hvis testen viser tegn på, at nogen allerede har været inde i systemerne, hvis et fund kan berøre kunder eller myndigheder, eller hvis rettelser kræver penge ud over det aftalte.
Aftalen bør skrives ned, gerne i forbindelse med forretningsordenen eller direktionsinstruksen. Så ved direktøren, hvad der udløser et opkald, og formanden kan regne med, at ingen besked betyder, at intet af den art er sket. Formanden afgør derefter, om resten af bestyrelsen skal orienteres med det samme, eller om det kan vente til næste møde. → Bestyrelsens tilsyn
Hvornår bestyrelsen selv skal beslutte
Den daglige ledelse ligger hos direktionen. Efter selskabslovens § 117 omfatter den dog ikke dispositioner, der efter selskabets forhold er af usædvanlig art eller stor betydning; dem kan direktionen som udgangspunkt kun foretage efter særlig bemyndigelse fra bestyrelsen. Om en sikkerhedstest eller dens følger hører til den kategori, afhænger af virksomheden.
Formanden kan bruge nogle pejlemærker til at vurdere, om et emne skal til beslutning i bestyrelsen:
- Risikoen er usædvanlig · fx en test af systemer, hvis nedbrud kan standse produktionen.
- Beløbet til rettelser er stort · i forhold til budgettet eller selskabets størrelse.
- En alvorlig risiko foreslås accepteret · frem for at blive rettet.
- Resultatet berører omverdenen · kunder, ejere eller myndigheder skal måske have besked.
Er bestyrelsen i tvivl, er det bedre at tage beslutningen end at lade den glide. Fordelingen mellem direktion og bestyrelse er beskrevet nærmere i → Direktionens og bestyrelsens roller.
Opfølgning og protokol
Efter mødet skal det, der blev besluttet, kunne findes igen. Selskabsloven § 128 kræver, at der føres protokol over bestyrelsens forhandlinger, og et medlem, der er uenig i en beslutning, har ret til at få sin mening ført til protokol. Formanden kan sikre, at protokollen nævner, hvad der blev besluttet om testen, hvem der ejer opfølgningen, og hvornår punktet kommer igen. → Hvad bør stå i referatet?
Ved den årlige evaluering af bestyrelsens arbejde kan formanden også spørge, om bestyrelsen har fået det, den har brug for til at føre tilsyn med sikkerheden. Var oplæggene forståelige? Kom punkterne op i tide? Blev aftalen om orientering mellem møderne brugt, og virkede den? Svarene kan bruges til at justere årshjulet, direktionsinstruksen og forventningerne til næste oplæg, så arbejdet bliver lidt bedre for hver runde.
Det skal I lade være med
- At lade testen komme op under eventuelt · uden forberedelse bliver der hverken drøftelse eller beslutning.
- At overlade al forberedelse til direktøren · aftal formålet med punktet sammen.
- At undlade at aftale, hvornår formanden skal ringes op · så afgøres det i en presset situation.
- At tage beslutninger alene mellem møderne · formanden orienteres, men bestyrelsen beslutter.
- At glemme protokollen · uden den kan opfølgningen ikke dokumenteres.
Hvad kan og ikke kan konkluderes
En formand, der leder arbejdet med sikkerhedstesten bevidst, giver bestyrelsen et bedre grundlag for tilsyn og gør det lettere at se, om opfølgningen fungerer. Det gør ikke formanden ansvarlig for testens indhold, og det afgør ikke, om sikkerheden er tilstrækkelig. Hvilke opgaver formanden konkret har, afhænger af selskabsform, vedtægter og forretningsorden.
Formandens tjekliste
- ☐ Har sikkerhedstesten en fast plads i årshjulet?
- ☐ Er det aftalt med direktøren, hvad punktet skal ende med?
- ☐ Er det skrevet ned, hvad der udløser en orientering af formanden mellem møderne?
- ☐ Ved bestyrelsen, hvilke beslutninger om testen den selv skal træffe?
- ☐ Står beslutninger og ejer af opfølgningen i protokollen?
Kilder
- Selskabsloven, LBK nr. 331 af 20/03/2025: § 117, stk. 1, om direktionens daglige ledelse og dispositioner af usædvanlig art eller stor betydning; § 122 om valg af formand i aktieselskaber; § 123 om formandens pligt til at sikre møder og indkalde alle medlemmer; § 128 om protokol og retten til at få en afvigende mening indført; § 130 om forretningsordenen.
- Komitéen for god Selskabsledelse, Anbefalinger for god Selskabsledelse (2020): afsnit 2 om formanden, der organiserer, indkalder og leder møderne, og om årshjulet; afsnit 5 om risikostyring som fast emne på årshjulet.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Uenighed mellem bestyrelse og direktion · Ny i bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
