Når resultatet er dårligt: sådan fortæller direktionen det til bestyrelsen

En sikkerhedstest, der afslører alvorlige svagheder, sætter direktionen i en ubehagelig situation: resultatet skal fremlægges for den bestyrelse, der har spurgt, om sikkerheden er i orden. Det rigtige svar er at fortælle det, som det er, og samtidig komme med en plan og et navn på den, der har ansvaret. Det hviler på en enkel erfaring fra al ledelse: dårlige nyheder bliver ikke bedre af at blive pyntet, men de bliver lettere at håndtere, når modtageren kan se, at nogen har taget fat.

Et dårligt resultat er ikke en dårlig test

Testen har gjort det, den skulle. Den har fundet svagheder, før en angriber gjorde det. Det er værd at sige højt i bestyrelsen, fordi det flytter samtalen fra skyld til handling. En test uden fund kan betyde, at sikkerheden er god, men også at testen var smal. En test med alvorlige fund betyder, at virksomheden nu ved noget, den ikke vidste før, og kan gøre noget ved det.

Det betyder ikke, at resultatet skal tales ned. Bestyrelsen skal forstå, at svaghederne var reelle, og hvad de kunne have ført til. → Godt eller skidt: hvordan ledelsen læser resultatet

Fortæl det tidligt og selv

Bestyrelsen bør høre om et alvorligt resultat fra direktionen, før den hører det andre steder. Det gælder især, hvis resultatet kan få betydning for kunder, forsikring eller samarbejdspartnere. Vent ikke på det næste ordinære møde, hvis det ligger langt ude. En kort orientering til formanden kan være nok, indtil sagen kan behandles ordentligt.

Det er også direktionens opgave at fortælle det, ikke IT-chefens eller testerens alene. De kan deltage og svare på spørgsmål, men det er direktionen, der står inde for virksomheden over for bestyrelsen. → Skal testeren selv fremlægge for bestyrelsen?

Tre ting, bestyrelsen skal have

Hvad testen viste · beskrevet som konsekvens for forretningen, fx at kundeoplysninger kunne hentes af uvedkommende, eller at driften kunne stoppes. Undgå tekniske detaljer, og undgå at gøre fundene mindre, end de er.
Hvad der sker nu · en plan med de vigtigste rettelser, hvem der gør dem, og hvornår de forventes at være på plads. Hvis noget allerede er rettet, så sig det, men kun hvis det er kontrolleret.
Hvad bestyrelsen skal beslutte · fx ekstra midler, en ændret prioritering eller accept af en risiko i en periode. Skriv anbefalingen ved hvert punkt.

Bestyrelsen vil også spørge, hvordan det kunne ske. Et ærligt svar er bedre end et forsvar. Hvis årsagen er manglende ressourcer, en leverandør, der ikke har levet op til aftalen, eller beslutninger, der blev truffet for år tilbage, så sig det. Det giver bestyrelsen mulighed for at rette årsagen og ikke kun symptomerne. → Budget til rettelser

Ansvar uden syndebukke

Et dårligt resultat kan friste til at finde en skyldig. Det britiske NCSC skriver i sin vejledning til bestyrelser, at bestyrelsesmedlemmerne sætter tonen for sikkerhedskulturen, og at det er afgørende at lære af hændelser for at forstå, hvorfor noget skete, og undgå det fremover. Det samme gælder for fund i en test. Hvis medarbejdere oplever, at et dårligt resultat fører til, at nogen bliver hængt ud, vil de næste gang være mindre villige til at fortælle om problemer.

Det betyder ikke, at ingen har ansvaret. Direktionen bør sige klart, hvem der ejer opfølgningen, og bestyrelsen bør holde direktionen fast på det. Ansvar handler om, hvem der retter, ikke om, hvem der får skylden. → Ingen syndebukke

Bestyrelsens del af samtalen

Måden, bestyrelsen tager imod nyheden på, afgør, hvordan den næste dårlige nyhed bliver fortalt. Hvis reaktionen er vrede eller mistillid, lærer direktionen, at det er bedre at vente eller at pynte. Hvis reaktionen er spørgsmål til planen og en klar beslutning, lærer direktionen, at åbenhed betaler sig.

Bestyrelsen bør derfor spørge til tre ting: om planen er realistisk, om der mangler ressourcer, og hvordan bestyrelsen får at vide, at rettelserne virker. Den bør også spørge, om andre dele af virksomheden kan have de samme svagheder, selv om de ikke var med i testen. Det er ikke et tegn på mistillid at bede om et uafhængigt blik på opfølgningen. Det er en del af tilsynet, og det beskytter også direktionen, hvis sagen senere bliver taget op af kunder eller myndigheder.

Et tænkt eksempel

En logistikvirksomhed har fået testet sit kundesystem og sine forbindelser til samarbejdspartnere. Resultatet viser, at en tidligere medarbejders adgang stadig virkede, og at den gav adgang til forsendelsesdata for alle kunder. Direktøren ringer til bestyrelsesformanden samme uge og sender en kort skriftlig orientering.

På det ekstraordinære møde fremlægger direktøren fundet, at adgangen er lukket og kontrolleret, og at de øvrige fund er sat i en plan med ejer og dato. Direktøren fortæller også, at der ikke har været en fast procedure for at lukke adgange, når folk stopper, og at det skyldes en beslutning om at spare på administrationen. Bestyrelsen beslutter at afsætte midler til en ny procedure og beder om status på hvert møde, indtil den er på plads. Bestyrelsen beder også om at få at vide, om der er tegn på, at adgangen er blevet misbrugt.

Det skal I lade være med

At vente på det ordinære møde, hvis det er langt væk · en kort orientering til formanden er bedre end tavshed.
At pynte på resultatet · det undergraver tilliden, når sandheden kommer frem.
At gemme sig bag rapporten · bestyrelsen skal have direktionens forståelse, ikke kun testerens ord.
At komme uden en plan · en dårlig nyhed uden en plan efterlader bestyrelsen uden noget at beslutte.
At pege på enkeltpersoner · forklar årsagen, og placer ansvaret for opfølgningen.
At love, at det ikke sker igen · lov i stedet, at bestyrelsen får status, indtil sagen er lukket.

Hvad kan og ikke kan konkluderes

En åben fremlæggelse viser, at direktionen har overblik og tager resultatet alvorligt, og den giver bestyrelsen et grundlag for at træffe beslutninger. Den ændrer ikke på, at svaghederne har været der, og den siger intet om, hvorvidt de er blevet udnyttet, før testen fandt dem. Det spørgsmål kræver en særskilt vurdering. Planen er heller ikke det samme som resultatet. Først når rettelserne er gennemført og kontrolleret, kan bestyrelsen betragte sagen som lukket. → Status på rettelserne

Tjekliste før mødet

☐ Er formanden orienteret, hvis det næste møde ligger langt ude?
☐ Er fundene beskrevet som konsekvens for forretningen?
☐ Er der en plan med ejer og dato for de vigtigste rettelser?
☐ Er det, der er rettet, også kontrolleret?
☐ Er årsagerne beskrevet ærligt?
☐ Er bestyrelsens beslutninger samlet med en anbefaling?

Kilder

NCSC (UK), Board Toolkit: Developing a positive cyber security culture: bestyrelsesmedlemmer sætter tonen for sikkerhedskulturen; læring af hændelser er nøglen til at forstå, hvorfor noget skete, og undgå det fremover.

Senest gennemgået: oktober 2026.