Den rådgivende bestyrelse og sikkerhedstesten

Mindre virksomheder har ikke altid en formel bestyrelse, men nogle ejere har samlet en rådgivende bestyrelse eller et advisory board til at give sparring. Spørgsmålet er, hvilken rolle den kan spille, når virksomheden overvejer eller har fået en sikkerhedstest. Svaret hviler på forskellen mellem at rådgive og at lede. Et rådgivende organ kan udfordre, spørge og dele erfaring, men beslutningen og ansvaret bliver hos ejeren og den formelle ledelse. Brugt rigtigt kan organet være den stemme udefra, som en ejerleder ellers mangler.

Teksten er ikke juridisk rådgivning.

Hvad der adskiller rådgivning fra ledelse

Selskabsloven beskriver i § 111 de ledelsesstrukturer, et aktie- eller anpartsselskab kan vælge: en bestyrelse med en direktion under sig, eller en direktion med et tilsynsråd. En rådgivende bestyrelse er ikke nævnt i loven. Den er en aftale mellem virksomheden og de personer, der sidder i den, og dens opgaver og rettigheder afhænger af den aftale.

For sikkerhedsarbejdet betyder det, at det er den formelle ledelse, der beslutter, om virksomheden skal teste, hvad der skal rettes, og hvilke risici der accepteres. Den rådgivende bestyrelse kan pege på, at noget bør undersøges, men den kan ikke pålægge direktionen at gøre det. Og hvis noget går galt, er det ikke organets medlemmer, men ledelsen, der skal stå til ansvar for, hvad der blev besluttet. → Ledelsens ansvar for IT-sikkerhed

Den forskel er en styrke. Rådgiverne kan tale frit, fordi de ikke skal forsvare beslutningerne bagefter.

Hvad organet kan bidrage med

En ejerleder kan have både ansvaret for forretningen og for IT, og det gør det svært at se sig selv efter i kortene. Et rådgivende organ kan give det udefra-blik, der ellers mangler.

Spørgsmålene, ingen andre stiller · hvornår blev der sidst testet, og hvad kom der ud af det?
Erfaring fra andre virksomheder · uden navne og detaljer, men med en fornemmelse af, hvad der kan gå galt.
Hjælp til at prioritere · hvad betyder mest for forretningen, hvis noget står stille?
Et sparringsrum for dårlige nyheder · et sted, hvor ejeren kan drøfte et dårligt resultat, før det skal fortælles til kunder eller bank.
Kontinuitet · organet kan huske at spørge til opfølgningen ved næste møde.

Det sidste punkt er ikke uvæsentligt. En test, som ingen spørger til bagefter, kan let blive en rapport i en skuffe. → Hvem i ledelsen følger op på testen?

Hvad organet ikke bør gøre

Rådgiverne bør ikke selv læse den tekniske rapport eller vurdere fundene. Det er ikke deres opgave, og rapporten bør kun deles med dem, der skal rette fundene. Giv i stedet organet et kort resumé af, hvad testen skulle svare på, hvad den viste, og hvad ejeren har besluttet. → Hvem i virksomheden skal kende resultatet?

Vær også opmærksom på interessekonflikter. Hvis et medlem af den rådgivende bestyrelse selv sælger IT-ydelser eller sikkerhedsprodukter, er det uheldigt, at samme person anbefaler, hvem der skal teste, eller hvad der skal købes bagefter. Det behøver ikke være et problem, men det bør siges højt, og det bør være ejeren, der vælger.

Endelig bør organet ikke blive et sted, hvor beslutninger udskydes. En rådgivende bestyrelse kan anbefale at vente, men den, der beslutter at vente, er ejeren.

Sådan kommer sikkerhedstesten på dagsordenen

En rådgivende bestyrelse kan mødes sjældnere og kortere end en formel bestyrelse, og så er der ikke plads til lange gennemgange. Til gengæld kan sikkerhed få et fast, kort punkt med tre spørgsmål, der stilles hver gang:

Hvad har vi testet, og hvornår? · så organet kan se, om noget vigtigt aldrig er blevet undersøgt.
Hvad er status på de alvorlige fund? · så opfølgningen ikke glider ud.
Hvad har ændret sig siden sidst? · nye systemer, nye leverandører eller nye kunder med krav.

Hvis svarene giver anledning til bekymring, kan organet anbefale, at ejeren tager en egentlig beslutning, for eksempel om en ny test eller om penge til rettelser. → Tid til en sikkerhedstest

Når ejeren og rådgiverne ser forskelligt på det

Det kan ske, at rådgiverne mener, at virksomheden bør teste, mens ejeren synes, at det kan vente. Her viser forskellen på rådgivning og ledelse sig i praksis. Ejeren har ret til at sige nej, men bør gøre det som en bevidst beslutning og ikke ved at lade punktet glide af dagsordenen.

Et godt greb er at bede ejeren formulere, hvad der skal til, før en test giver mening: en ny kunde med krav, et nyt system, en ændring i driften. Så har organet noget konkret at spørge til ved næste møde, og ejeren har selv sat kriteriet. → Hvornår kan ledelsen sige nej?

Omvendt kan rådgiverne tage fejl. De kender ikke virksomhedens systemer i detaljer, og en bekymring fra et andet erhverv passer ikke altid. Det er ejerens opgave at forklare, hvorfor en anbefaling ikke følges, og rådgivernes opgave at acceptere svaret, hvis det er gennemtænkt.

Et tænkt eksempel

En tegnestue med en ejer og en håndfuld medarbejdere har en rådgivende bestyrelse med en tidligere bankdirektør og en ejer af en anden rådgivningsvirksomhed. Tegnestuen har aldrig fået testet noget, og ejeren håndterer selv kontakten til IT-leverandøren.

På et møde spørger den tidligere bankdirektør, hvad der ville ske, hvis tegningsarkivet blev låst. Ejeren ved det ikke. Organet anbefaler, at ejeren afklarer med leverandøren, hvad en test af fjernadgangen og arkivet ville omfatte, og at punktet tages op igen ved næste møde. Ejeren bestiller testen og fortæller organet om resultatet i et kort resumé. Rådgiverne ser aldrig rapporten, men de spørger til opfølgningen, indtil de alvorlige fund er rettet.

Det skal I lade være med

At lade organet beslutte · det rådgiver, ejeren og ledelsen beslutter.
At sende den tekniske rapport til rådgiverne · et resumé er nok.
At overse interessekonflikter · spørg, om nogen har en egen interesse i valget af tester eller løsning.
At glemme at følge op · brug organet til at huske de åbne punkter.
At bruge organet som syndebuk · ansvaret for beslutningen ligger hos ledelsen.

Hvad kan og ikke kan konkluderes

En rådgivende bestyrelse kan gøre det mere sandsynligt, at sikkerhed bliver drøftet, og at en test bliver fulgt op. Den kan ikke overtage ledelsens ansvar, og den erstatter ikke en formel bestyrelse i selskaber, der har eller skal have en.

Tjekliste til den rådgivende bestyrelse

☐ Er det klart, at organet rådgiver og ikke beslutter?
☐ Har sikkerhed et fast, kort punkt på dagsordenen?
☐ Får organet et resumé frem for rapporten?
☐ Er eventuelle interessekonflikter sagt højt?
☐ Følger organet op på de alvorlige fund ved næste møde?

Kilder

Selskabsloven, LBK nr. 331 af 28/03/2025: § 111 om de ledelsesstrukturer, et kapitalselskab kan vælge mellem (bestyrelse og direktion eller direktion og tilsynsråd). Loven nævner ikke rådgivende bestyrelser.

Senest gennemgået: oktober 2026.