Hvad bør stå i referatet, når bestyrelsen har behandlet testen?

Når bestyrelsen har behandlet resultatet af en sikkerhedstest, er referatet det, der står tilbage. Det er referatet, der senere viser, hvad bestyrelsen vidste, hvad den besluttede, og hvem der fik opgaven. Hukommelsen svigter, og bestyrelser skifter sammensætning, men referatet bliver. Et godt referat beskriver derfor beslutninger og opfølgning, ikke fundene i detaljer. Det hviler på to hensyn: referatet skal kunne bruges som dokumentation for bestyrelsens arbejde, og det må ikke i sig selv blive en risiko, hvis det kommer i de forkerte hænder.

Referatet som dokumentation

I aktie- og anpartsselskaber, hvor bestyrelsen har flere medlemmer, siger selskabslovens § 128, at der føres en protokol over forhandlingerne, som underskrives af de tilstedeværende medlemmer. Et medlem, der ikke er enig i en beslutning, har efter stk. 2 ret til at få sin mening skrevet ind. Loven siger ikke, hvad protokollen skal indeholde om bestemte emner, og efter § 130, stk. 2, bør bestyrelsen selv overveje, om forretningsordenen skal have bestemmelser om protokoller. Teksten er ikke juridisk rådgivning.

Det er altså op til bestyrelsen, hvor detaljeret referatet om sikkerhed skal være. Det kan aftales i forretningsordenen, fx hvordan fortrolige bilag håndteres, og hvem der skriver referatet, når et punkt kræver særlig diskretion. Men referatet er det sted, hvor det senere kan ses, at bestyrelsen har taget emnet alvorligt. Når en kunde, et forsikringsselskab eller en revisor spørger, hvad ledelsen har gjort, er referatet en del af svaret. → Har vi gjort, hvad vi kunne?

Det, der bør stå

Hvad blev behandlet · at bestyrelsen har fået forelagt resultatet af en sikkerhedstest, hvilken del af virksomheden den omfattede, og hvornår den blev gennemført.
Det overordnede resultat · en kort beskrivelse i forretningens sprog, fx at testen viste alvorlige svagheder i adgangen til kundedata, eller at de testede systemer holdt.
Beslutningerne · hvad bestyrelsen besluttede, fx at godkende planen, afsætte midler eller acceptere en risiko i en periode.
Ansvar og frister · hvem der ejer opfølgningen, og hvornår bestyrelsen hører om status igen.
Forbehold · hvad testen ikke omfattede, hvis det har betydning for beslutningen.
Uenighed · hvis et medlem ikke var enig, og ønskede det ført til protokol.

Punkterne kan stå på få linjer. Det er ikke længden, der giver værdi, men at beslutningerne er tydelige og kan følges op. En god prøve er, om et nyt bestyrelsesmedlem kan læse referatet om et år og forstå, hvad der blev besluttet, og hvorfor.

Det, der ikke bør stå

Referatet bør ikke indeholde tekniske detaljer om svaghederne. Det gælder fx, hvilke systemer der er sårbare og på hvilken måde, eller hvilke rettelser der endnu ikke er gennemført. Et referat kan blive delt bredere end selve rapporten, fx med revisor eller nye bestyrelsesmedlemmer, og det opbevares længe. Hvis de indeholder detaljer, kan de blive en vejledning for den, der vil udnytte svaghederne.

Henvis i stedet til rapporten og til direktionens oplæg som bilag, der opbevares med begrænset adgang. Aftal, hvem der har adgang til bilagene, og hvor længe de gemmes. Det kan med fordel stå i forretningsordenen eller i en fast praksis for bestyrelsens materiale. Så kan det dokumenteres, hvad bestyrelsen fik forelagt, uden at detaljerne ligger i selve referatet. → Hvem skal kende resultatet?

Accepterede risici

Når bestyrelsen beslutter at leve med en risiko, er det en af de vigtigste beslutninger at få skrevet ned. Det bør fremgå, hvad risikoen handler om i forretningstermer, hvorfor den accepteres, hvem der har ansvaret for at holde øje med den, og hvornår den tages op igen.

Uden en sådan note er det svært senere at se, om risikoen var kendt og accepteret, eller om den blev overset. Det har betydning både for bestyrelsens egen opfølgning og for, hvordan beslutningen kan forklares over for andre. En accept uden dato har det med at blive permanent, uden at nogen har besluttet det. → Risikovillighed

Opfølgningen i de næste referater

Det første referat er kun begyndelsen. Når status på rettelserne behandles på senere møder, bør referatet vise, hvad der er gennemført, hvad der er forsinket, og om der er truffet nye beslutninger. Så kan bestyrelsen og andre se en sammenhængende linje fra testen til den dag, sagen blev lukket.

Når bestyrelsen beslutter, at sagen er lukket, bør det også stå i referatet, med en kort begrundelse. Det er den sidste brik i sporet. Hvis sagen lukkes med forbehold, fx fordi et forhold er overført til næste test, bør forbeholdet også fremgå. → Bestyrelsens tilsyn med opfølgningen

Et tænkt eksempel

En revisionsvirksomhed med en bestyrelse på fire har behandlet resultatet af en test af sine klientsystemer. Referatet fylder et halvt afsnit. Det nævner, at bestyrelsen har fået forelagt resultatet af testen af klientportalen og fjernadgangen, at testen viste en alvorlig svaghed i fjernadgangen, som er rettet og kontrolleret, og at to mindre alvorlige forhold er sat i en plan.

Bestyrelsen godkendte planen og accepterede, at det ene forhold først rettes, når et systemskifte er gennemført. Den administrerende direktør ejer opfølgningen, og status gives på næste møde. Ét medlem ønskede ført til protokol, at det mente, risikoen burde håndteres før systemskiftet. Direktionens oplæg er vedlagt som fortroligt bilag. Ingen tekniske detaljer står i selve referatet. Da bestyrelsen et år senere skal beslutte omfanget af næste test, kan den på få minutter se, hvad der blev accepteret, og hvorfor.

Det skal I lade være med

At skrive tekniske detaljer i referatet · henvis til fortrolige bilag.
At nøjes med at skrive, at punktet blev drøftet · skriv, hvad der blev besluttet.
At glemme ansvar og frister · uden dem er opfølgningen svær at måle.
At skrive accepterede risici uden begrundelse · så kan beslutningen ikke forklares senere.
At lade sagen forsvinde fra referaterne · skriv også, når den er lukket.

Hvad kan og ikke kan konkluderes

Et godt referat dokumenterer, at bestyrelsen har fået resultatet forelagt, har truffet beslutninger og har fulgt op. Det kan ikke dokumentere, at rettelserne virker, eller at virksomheden er sikker. Det giver heller ingen garanti for, hvordan andre vil vurdere bestyrelsens indsats. Men uden et referat er det svært at vise noget som helst, og bestyrelsen risikerer at skulle genskabe forløbet ud fra hukommelsen. → Kan rapporten bruges mod os?

Tjekliste til referatet

☐ Fremgår det, hvad der blev behandlet, og hvad testen omfattede?
☐ Er resultatet beskrevet kort og i forretningens sprog?
☐ Står beslutningerne tydeligt med ansvar og frister?
☐ Er accepterede risici skrevet ned med begrundelse og dato for ny vurdering?
☐ Er tekniske detaljer holdt ude og henvist til fortrolige bilag?

Kilder

Selskabsloven, LBK nr. 331 af 28/03/2025: § 128 om protokol over forhandlingerne i det øverste ledelsesorgan og retten til at få en afvigende mening indført; § 130, stk. 2, om forhold, bestyrelsen bør overveje at regulere i forretningsordenen, herunder protokoller.

Senest gennemgået: oktober 2026.