Koncerner og datterselskaber: hvem bestiller testen, og hvem ejer resultatet?

I en koncern er det ikke altid klart, hvem der skal tage initiativ til en sikkerhedstest. Moderselskabet har måske en fælles IT-afdeling og en koncernpolitik, mens datterselskabet har sin egen direktion, sine egne kunder og sine egne systemer. Svaret er, at begge niveauer har en rolle, og at fordelingen skal aftales tydeligt. Det hviler på, at hvert selskab i koncernen har sin egen ledelse med sit eget ansvar, og at moderselskabet samtidig har brug for et samlet billede.

Teksten er ikke juridisk rådgivning. Hvordan ansvaret konkret er fordelt, afhænger af selskabsformerne, koncernens opbygning og de aftaler, der er indgået mellem selskaberne.

To ledelser, to ansvar

Et datterselskab er en selvstændig virksomhed med sin egen ledelse. Den ledelse har ansvaret for, at selskabet er forsvarligt organiseret, også selvom IT leveres af moderselskabet. Det svarer til situationen, hvor driften er købt hos en ekstern leverandør: arbejdet kan ligge andre steder, ansvaret gør ikke. → Ansvaret ved outsourcing

Moderselskabets ledelse har på sin side ansvaret for koncernen som helhed. Den skal vide, om der er risici i datterselskaberne, som kan ramme resten af koncernen, og om koncernens fælles systemer er beskyttet.

Det betyder, at datterselskabets direktion ikke kan nøjes med at henvise til, at koncern-IT tager sig af det. Og at moderselskabet ikke kan nøjes med en politik, uden at vide, om den bliver fulgt.

Tre mulige opbygninger

Hvem der bør bestille testen, afhænger af, hvordan IT er organiseret i koncernen.

Fælles IT for hele koncernen · moderselskabet driver systemerne for alle. Det er naturligt, at koncernen bestiller test af de fælles systemer, men datterselskaberne bør have indflydelse på, hvad der testes, og adgang til det, der vedrører dem.
Selvstændig IT i datterselskaberne · hvert selskab driver sine egne systemer. Datterselskabet bestiller selv, mens moderselskabet kan stille krav om, at der testes, og om, hvad der skal rapporteres.
En blanding · fælles mail og økonomi, men egne fagsystemer, webshops eller produktionsanlæg i datterselskaberne. Det er den sværeste at styre, fordi grænserne skal tegnes system for system, og fordi de flytter sig, når koncernen samler eller deler systemer.

I alle tre tilfælde er det nyttigt med en oversigt over, hvilke systemer der ejes af hvem, og hvem der har ansvaret for at teste dem. → Hvem i ledelsen skal eje sikkerhedstesten?

Hvem ejer resultatet

Resultatet af en test bør ejes af den ledelse, der skal handle på det. Er det datterselskabets systemer, er det datterselskabets direktion, der skal beslutte, hvad der rettes, og hvilke risici der accepteres. Er det koncernens fælles systemer, ligger beslutningen hos den, der driver dem.

Det skaber et praktisk problem, når fund i de fælles systemer rammer et datterselskab. Datterselskabet bærer risikoen, men kan ikke selv rette. Her skal det være aftalt, hvordan datterselskabet får besked, hvordan det kan påvirke prioriteringen, og hvem der træffer den endelige beslutning. Uden en sådan aftale ender fundene let mellem to stole. → Når to leverandører peger på hinanden

Rapportering op i koncernen

Moderselskabet har brug for et samlet billede, men ikke nødvendigvis for alle detaljer. En fælles skabelon kan gøre det muligt at sammenligne datterselskaberne og følge udviklingen.

Hvad blev testet · og hvad blev ikke testet.
De væsentligste fund · beskrevet som risici for forretningen.
Beslutningerne · hvad rettes, hvornår og af hvem, og hvad accepteres.
Status · hvor langt opfølgningen er kommet siden sidst.
Behov for hjælp · forhold, som datterselskabet ikke kan løse alene.

Det giver koncernledelsen mulighed for at se, hvor der er brug for ressourcer, og for at opdage, hvis samme svaghed går igen flere steder. Hvem i hvert selskab der skal kende detaljerne, er et særskilt spørgsmål. → Hvem skal kende resultatet?

Når moderselskabet ligger i udlandet, kan der komme en koncernpolitik med faste krav til test, rapportering og leverandører. Den danske ledelse skal stadig vurdere, om politikken dækker de forhold, der gælder for selskabet i Danmark, for eksempel danske kunders krav eller dansk lovgivning. Den skal også sikre, at resultatet kan forklares for den danske bestyrelse, selvom rapporten er skrevet til en koncernfunktion i et andet land.

Hvem betaler

Spørgsmålet om betaling kan blokere en ellers fornuftig beslutning. Hvis koncernen stiller krav om en test, men datterselskabet skal betale, kan testen blive lagt så smalt som muligt. Hvis koncernen betaler, kan datterselskabet føle, at det ikke har indflydelse. Der er ingen rigtig model, men den bør være besluttet, før testen bestilles, så den ikke bliver forhandlet, mens omfanget fastlægges. Hvad der påvirker omfanget, og dermed hvordan opgaverne prissættes, kan ses under pris og tilbud. → Hvem betaler testen?

Et tænkt eksempel

En koncern inden for landbrugsmaskiner har et moderselskab og tre danske datterselskaber: salg, service og et værksted med egen webshop til reservedele. Mail, økonomi og lønsystem er fælles og drives af koncern-IT. Webshoppen drives af værkstedet selv.

Koncerndirektionen beslutter, at de fælles systemer testes hvert år på koncernens regning, og at hvert datterselskab tester sine egne systemer efter en fælles plan. Værkstedets direktør bestiller en test af webshoppen og ejer resultatet. Et af fundene viser, at webshoppen har en forbindelse til det fælles økonomisystem, som er bredere end nødvendigt. Det bliver rapporteret til koncern-IT efter en fast aftale, og koncern-IT retter det. Koncernbestyrelsen får et samlet resumé fra alle tre selskaber og kan se, at ingen fund er faldet mellem to stole.

Det skal I lade være med

At lade datterselskabets ledelse henvise til koncern-IT · ansvaret for selskabet ligger stadig hos dens egen ledelse.
At stille krav fra koncernen uden at følge op · en politik er ikke et billede af, om den bliver fulgt.
At lade fund i fælles systemer ligge mellem selskaberne · aftal, hvem der beslutter.
At forhandle betalingen, mens omfanget fastlægges · beslut fordelingen på forhånd.
At sende alle detaljer op i koncernen · giv hvert niveau det, det skal bruge.

Hvad kan og ikke kan konkluderes

En klar aftale om, hvem der bestiller, ejer og rapporterer, kan få sikkerhedstest i en koncern til at give både datterselskabet og moderselskabet det, de har brug for. Den kan ikke afgøre det juridiske ansvar i en konkret sag, og den erstatter ikke en vurdering af, om koncernens opbygning er hensigtsmæssig for sikkerheden. → Flerårig testplan

Tjekliste: test i koncernen

☐ Er det klart, hvilke systemer der ejes af koncernen, og hvilke af datterselskaberne?
☐ Er det aftalt, hvem der bestiller og ejer resultatet for hver del?
☐ Ved datterselskabet, hvordan det får besked om fund i fælles systemer?
☐ Er der en fælles skabelon for rapportering op i koncernen?
☐ Er betalingen besluttet, før testen bestilles?

Senest gennemgået: oktober 2026.