Børsnoterede selskaber: sikkerhedstesten, anbefalingerne for god selskabsledelse og oplysninger til markedet

For et børsnoteret selskab er en sikkerhedstest ikke kun et internt anliggende mellem direktion, IT og bestyrelse. Selskabet redegør offentligt for sin selskabsledelse, har et lovpligtigt revisionsudvalg og er underlagt regler om, hvad markedet skal have at vide. Svaret på, hvad det betyder for testen, hviler på tre spor: anbefalingerne for god selskabsledelse forventer en bestyrelse, der forholder sig til selskabets væsentlige risici, revisionsudvalget har en rolle i tilsynet med kontrol og risiko, og et testresultat skal håndteres med omtanke, fordi selskabet har særlige oplysningsforpligtelser. Ledelsen skal ikke selv vurdere de juridiske spørgsmål, men den skal vide, hvornår de skal stilles.

Anbefalingerne og risikostyringen

Børsnoterede selskaber skal efter årsregnskabsloven udarbejde en redegørelse for selskabsledelsen efter følg eller forklar-princippet, og Komitéen for god Selskabsledelse har udarbejdet de anbefalinger, redegørelsen tager udgangspunkt i. I afsnittet om risikostyring skriver komitéen, at bestyrelsen bør identificere og forholde sig til de selskabsspecifikke risici, og at risikostyring bør indgå som et fast emne på bestyrelsens årshjul.

Anbefaling 5.1.1 handler om, at bestyrelsen tager stilling til de væsentligste risici med udgangspunkt i strategi og forretningsmodel. Kommentaren nævner, at oplysningerne om risikostyring, hvis det er relevant, kan udvides med digitale risici. Anbefalingerne nævner ikke sikkerhedstest, men en uafhængig test er et af de redskaber, bestyrelsen kan bruge til at få et grundlag for sin stillingtagen til de digitale risici. Hvis bestyrelsen vælger at fravige en anbefaling, skal det forklares i redegørelsen. Det giver en anledning til at spørge, om selskabets beskrivelse af sin risikostyring svarer til det, der faktisk sker. En bestyrelse, der skriver, at den forholder sig til digitale risici, bør kunne pege på, hvordan den gør det, og hvornår risiciene sidst er afprøvet af nogen uafhængig. → Risikovillighed

Revisionsudvalgets rolle

Revisorloven § 31, stk. 1, kræver, med visse undtagelser, at virksomheder af interesse for offentligheden etablerer et revisionsudvalg, og børsnoterede selskaber hører efter lovens definition til den gruppe. Udvalgets lovbestemte opgaver i § 31, stk. 3, knytter sig til regnskab, revision og bæredygtighedsrapportering.

Anbefalingerne går videre. Efter anbefaling 3.4.3 bør revisionsudvalget ud over de lovbestemte opgaver blandt andet bistå bestyrelsen med at gennemgå de interne kontrol- og risikoområder for at sikre styring af de største risici. Hvis selskabet følger anbefalingen, er det naturligt, at revisionsudvalget også ser på, hvordan IT-risici afprøves og følges op. Hvordan opgaven kan skrives ind i kommissoriet, er beskrevet i → Revisionsudvalget og sikkerhedstesten.

Når testresultatet kan være følsomt for markedet

Markedsmisbrugsforordningen definerer i artikel 7 intern viden som blandt andet specifik viden, der ikke er offentliggjort, som direkte eller indirekte vedrører en udsteder, og som mærkbart ville kunne påvirke kursen, hvis den blev offentliggjort. Efter artikel 17 skal en udsteder hurtigst muligt offentliggøre intern viden, der direkte vedrører udstederen, og forordningen giver under visse betingelser mulighed for at udsætte offentliggørelsen.

Et almindeligt testresultat med fund, der rettes efter planen, vil ikke nødvendigvis have den karakter. Men en test kan afdække forhold, hvis betydning er svær at vurdere, for eksempel at nogen allerede har haft adgang til systemerne, eller at en central del af forretningen kan stoppes. Om en oplysning er intern viden, er en juridisk vurdering, som ledelsen skal have hjælp til. Teksten er ikke juridisk rådgivning, og den vurderer ikke, om noget er intern viden.

Aftal vejen, før testen går i gang

Det vigtigste, ledelsen kan gøre, er at aftale på forhånd, hvad der sker, hvis testen afdækker noget alvorligt. Selskabet kan allerede have procedurer for, hvordan mulig intern viden vurderes og håndteres. Testen bør kobles til dem, så det ikke er IT eller testeren, der skal vurdere, om noget er kursfølsomt.

Eskalering · hvem i ledelsen får besked med det samme, hvis testen viser noget alvorligt?
Vurdering · hvem vurderer, om oplysningen kan have betydning for markedet, og hvem rådgiver?
Kreds · hvem kender detaljerne, og er kredsen så lille som muligt?
Testerens aftale · er der en fortrolighedsaftale, og ved testeren, hvem der skal kontaktes?

Aftalen bør også dække det modsatte tilfælde: at testen ikke finder noget alvorligt. Så ved alle, at der ikke er noget at vurdere, og at resultatet kan behandles i det almindelige forløb med revisionsudvalg og bestyrelse. Skriv aftalen ned, og lad den indgå i materialet til den, der bestiller testen. Hvordan direktionen orienterer formanden mellem møderne, er beskrevet i → Bestyrelsesformanden og sikkerhedstesten.

Offentlig omtale og årsrapport

Selskabet kan have lyst til at omtale sit arbejde med IT-sikkerhed i årsrapporten eller redegørelsen for selskabsledelsen. Det er i orden at beskrive, at selskabet får gennemført uafhængige test, og hvordan bestyrelsen følger op. Konkrete svagheder hører ikke hjemme dér. Ord, der lover mere, end testen kan bære, bør undgås, også fordi udsagnene læses af investorer. Lad den juridiske funktion eller selskabets rådgiver læse teksten igennem, før den offentliggøres, og sørg for, at den, der har ansvaret for sikkerheden, bekræfter, at beskrivelsen passer med virkeligheden. → Offentlig omtale af testen

Et tænkt eksempel

Et børsnoteret selskab, der sælger software til hospitaler, har et revisionsudvalg, som efter kommissoriet også gennemgår IT-risici. Udvalget beder direktionen om en uafhængig test af den platform, kunderne bruger. Før testen aftaler direktionen med selskabets juridiske funktion, at testeren ved et alvorligt fund kontakter IT-direktøren, som straks inddrager den juridiske funktion.

Testen finder ét alvorligt fund, som rettes inden for få dage, og ingen tegn på misbrug. Den juridiske funktion vurderer, hvad det betyder for selskabets forpligtelser. Revisionsudvalget får et kort oplæg og giver bestyrelsen en mundtlig status. I årsrapporten nævner selskabet, at platformen testes uafhængigt, men ikke fundet.

Det skal I lade være med

At lade IT eller testeren vurdere, om et fund er kursfølsomt · det er en juridisk vurdering.
At teste uden en aftalt eskaleringsvej · så afgøres det under pres.
At lade kredsen, der kender detaljerne, vokse · hold den lille.
At antage, at revisionsudvalgets lovbestemte opgaver dækker IT-sikkerhed · det afhænger af kommissoriet.
At omtale konkrete svagheder i årsrapporten · beskriv arbejdet, ikke fundene.

Hvad kan og ikke kan konkluderes

Et børsnoteret selskab kan bruge sikkerhedstest som en del af den risikostyring, anbefalingerne forventer, og kan lade revisionsudvalget følge op. Det kan ikke konkluderes, at et bestemt testresultat er eller ikke er intern viden, eller at selskabet har en bestemt oplysningspligt. Det afhænger af de konkrete omstændigheder og skal vurderes med rådgivning.

Tjekliste til ledelsen i det børsnoterede selskab

☐ Indgår digitale risici i bestyrelsens stillingtagen til de væsentligste risici?
☐ Står det i revisionsudvalgets kommissorium, om udvalget følger IT-risici?
☐ Er testen koblet til selskabets procedurer for mulig intern viden?
☐ Er det aftalt, hvem testeren kontakter ved et alvorligt fund?
☐ Er omtalen i årsrapporten gennemgået, så den ikke afslører svagheder?

Kilder

Komitéen for god Selskabsledelse, Anbefalinger for god Selskabsledelse (2020): følg eller forklar-princippet; anbefaling 3.4.3 om revisionsudvalgets bistand med interne kontrol- og risikoområder; afsnit 5 og anbefaling 5.1.1 med kommentar om risikostyring og digitale risici.
Revisorloven, LBK nr. 206 af 20/02/2025: § 1 a, nr. 3, om virksomheder af interesse for offentligheden; § 31, stk. 1 og 3, om revisionsudvalg og dets opgaver.
Markedsmisbrugsforordningen (EU) nr. 596/2014: artikel 7 om intern viden; artikel 17 om offentliggørelse og udsættelse af offentliggørelse.

Senest gennemgået: oktober 2026.