I et almindeligt selskab er der ejere, som kan stille spørgsmål på generalforsamlingen, hvis sikkerheden halter. En fond har ingen ejere. Svaret på, hvem der så stiller spørgsmålene om fondens IT-sikkerhed, hviler på fondens særlige konstruktion: bestyrelsen er selv den øverste instans og må derfor selv sørge for at blive udfordret. Ejer fonden virksomheder, får bestyrelsen desuden en anden rolle, nemlig som ejer, der skal afgøre, hvad den vil vide om test i datterselskaberne, uden at overtage deres ledelse.
En ledelse uden ejere over sig
Både lov om erhvervsdrivende fonde og fondsloven beskriver i § 1, stk. 2, en fond som en juridisk person med en formue, der er udskilt fra stifteren, og hvor ingen fysisk eller juridisk person uden for fonden har ejendomsretten til formuen. Der er en fondsmyndighed, som fører tilsyn med, at loven og vedtægten overholdes. For erhvervsdrivende fonde er det efter § 24 Erhvervsstyrelsen. Men fondsmyndigheden er ikke en ejer, der løbende spørger til den daglige drift.
I en erhvervsdrivende fond skal bestyrelsen efter § 38 alene varetage fondens formål og interesser og påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller. Har fonden ingen direktion, varetager bestyrelsen efter § 38, stk. 2, også den daglige ledelse. Teksten er ikke juridisk rådgivning, og reglerne for jeres fond afhænger af, hvilken lov den hører under, og af vedtægten.
Fondens egne systemer
En fond kan have systemer og data, der er attraktive for andre: oplysninger om ansøgere og legatmodtagere, bevillingsprocessen, betalinger og forvaltningen af formuen. En svaghed kan ramme fondens omdømme, de mennesker, der har søgt, og i værste fald formuen selv.
Uden ejere må bestyrelsen selv stille de spørgsmål, en ejer ellers ville stille:
- Hvad er kronjuvelerne · ansøgerdata, bevillingsbeslutninger, adgang til konti og investeringer? → Kronjuveler
- Hvem driver systemerne · en lille sekretariatsstab, en administrator eller en ekstern leverandør?
- Hvornår er de sidst afprøvet · af nogen, der ikke selv driver dem?
- Hvad sker der, hvis noget går galt · er der et beredskab, og ved bestyrelsen, hvem der handler?
I fonde, hvor administrationen er lagt ud, er det særligt vigtigt at vide, hvad aftalen med administratoren siger om sikkerhed og test. → Ansvar ved outsourcing
At blive udfordret, når ingen udfordrer
Komitéen for god Fondsledelse har udarbejdet anbefalinger, som erhvervsdrivende fonde efter lovens § 60 skal redegøre for, om de følger. Anbefalingerne beskriver blandt andet formandens opgave med at sikre, at bestyrelsen varetager sine opgaver af ledelsesmæssig, strategisk og kontrolmæssig art, og at nye medlemmer modtager relevant information om risici.
For sikkerheden kan bestyrelsen skabe den udfordring, ejerne ellers ville give, på flere måder. Den kan bede om en uafhængig test og selv modtage resultatet. Den kan lade revisor fortælle, hvad revisionen har set på, og hvad den ikke har set på. Og den kan sætte sikkerheden på dagsordenen ved bestyrelsens årlige evaluering. → Det uafhængige blik
Fonden som ejer af virksomheder
Ejer fonden en eller flere virksomheder, får bestyrelsen to roller. Anbefalingerne for god fondsledelse siger, at bestyrelsen skal varetage fondens interesser i forhold til dattervirksomhederne, blandt andet ved et engageret ejerskab, og at der løbende bør være den fornødne dialog med bestyrelsen i dattervirksomhederne. De lægger også vægt på en vis afstand, så fondens bestyrelse kan føre kontrol som ejer, mens datterselskabets bestyrelse leder virksomheden.
For sikkerhedstesten betyder det, at fondens bestyrelse som udgangspunkt ikke selv bestiller test i datterselskaberne. Det er datterselskabets ledelse, der har ansvaret for at have procedurer for risikostyring og interne kontroller. Fondens bestyrelse kan til gengæld gøre det klart, hvad den som ejer forventer at høre.
Et tænkt eksempel: En fond ejer hovedparten af en maskinfabrik og et mindre ejendomsselskab. Fondens bestyrelse beslutter, at begge datterselskaber én gang om året skal give en kort redegørelse for deres væsentlige IT-risici og for, hvad der er afprøvet. Maskinfabrikkens bestyrelse fremlægger en test af produktionsnettet og en plan for to alvorlige fund. Ejendomsselskabet har ikke testet og forklarer hvorfor. Fondens bestyrelse spørger ind, men overlader beslutningen til datterselskabets ledelse og noterer, at emnet tages op igen ved næste redegørelse.
Hvad fonden kan forvente at høre
Fondens forventninger kan formuleres som spørgsmål, datterselskabets bestyrelse svarer på i den løbende dialog:
- Overblik · har datterselskabet et billede af sine væsentlige IT-risici, og hvordan prioriteres de?
- Afprøvning · bliver de vigtigste systemer afprøvet af nogen uafhængig, og hvornår skete det sidst?
- Opfølgning · bliver alvorlige fund rettet, og følger datterselskabets bestyrelse op?
- Alvorlige forhold · hvad skal fonden have at vide med det samme, fx ved et alvorligt fund eller en hændelse?
Svarene bør komme som en kort redegørelse, ikke som tekniske rapporter. Det beskytter fortroligheden i datterselskabet og holder rollerne adskilt. Hvordan en koncern kan fordele bestilling og resultat, er beskrevet i → Koncerner og datterselskaber.
Fortrolighed og åbenhed
Fonde har en forpligtelse til åbenhed over for omverdenen, og anbefalingerne lægger vægt på transparens over for blandt andre bevillingsmodtagere og samfundet. Det kan stå i et spændingsforhold til fortroligheden om sikkerhedsfund. Medlemmer af ledelsen i en erhvervsdrivende fond må efter lovens § 57 ikke uberettiget videregive, hvad de får kendskab til under hvervet.
Bestyrelsen kan løse spændingen ved at være åben om, at fonden arbejder med sikkerheden, og hvordan bestyrelsen fører tilsyn, men ikke om konkrete svagheder. → Hvad må vi sige offentligt om vores sikkerhedstest?
Det skal I lade være med
- At vente på, at nogen udefra spørger · i en fond er det bestyrelsen selv, der skal spørge.
- At antage, at fondsmyndigheden fører tilsyn med IT-sikkerheden · tilsynet handler om lov og vedtægt.
- At bestille test i datterselskaberne direkte · det udvisker ansvaret for deres ledelse.
- At bede om tekniske rapporter fra datterselskaberne · bed om en kort redegørelse.
- At gøre åbenhed til åbenhed om svagheder · fortæl om arbejdet, ikke om fundene.
Hvad kan og ikke kan konkluderes
En fondsbestyrelse kan erstatte den udfordring, ejere ellers giver, ved selv at bede om uafhængige test og ved at sætte klare forventninger til datterselskaberne. Det kan ikke flytte ansvaret for datterselskabernes sikkerhed til fonden, og det afgør ikke, om sikkerheden i fonden er tilstrækkelig. Hvordan reglerne anvendes, afhænger af fondstype, vedtægt og ejerstruktur.
Tjekliste til fondsbestyrelsen
- ☐ Ved vi, hvilke af fondens egne data og systemer der er mest kritiske?
- ☐ Er de afprøvet af nogen, der ikke selv driver dem?
- ☐ Har vi beskrevet, hvad vi som ejer forventer at høre fra datterselskaberne?
- ☐ Er det aftalt, hvad datterselskaberne skal melde med det samme?
- ☐ Skelner vi mellem åbenhed om arbejdet og fortrolighed om fund?
Kilder
- Lov om erhvervsdrivende fonde, LBK nr. 321 af 20/03/2025: § 1, stk. 2, om fondsbegrebet; § 24 om Erhvervsstyrelsen som fondsmyndighed; § 38, stk. 1 og 2, om bestyrelsens opgaver, herunder procedurer for risikostyring og interne kontroller; § 57 om tavshedspligt; § 60 om redegørelse for anbefalingerne for god fondsledelse.
- Fondsloven, LBK nr. 2020 af 11/12/2020: § 1, stk. 2, om fondsbegrebet for fonde, der ikke er erhvervsdrivende.
- Komitéen for god Fondsledelse, Anbefalinger for god Fondsledelse 2025: om engageret ejerskab og dialog med bestyrelsen i dattervirksomhederne, afstand mellem fondens og dattervirksomhedernes bestyrelser, formandens opgaver og transparens.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Frivillig bestyrelse i en forening eller selvejende institution · Ejere og investorer
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
