Sikkerhed som punkt på direktionsmødet

Bestyrelsen behandler sikkerheden nogle gange om året, men rettelserne efter en sikkerhedstest skal gennemføres i ugerne og månederne imellem. Det er direktionens opgave at holde dem i gang, og det sker lettest, når sikkerhed er et fast punkt på direktionens egne møder. Punktet hviler på en enkel arbejdsdeling: bestyrelsen sætter rammen og fører tilsyn, mens direktionen sørger for, at det besluttede bliver til virkelighed.

Hvorfor direktionen skal have sit eget punkt

I aktie- og anpartsselskaber med en bestyrelse varetager direktionen efter selskabslovens § 117 den daglige ledelse og skal følge de retningslinjer og anvisninger, bestyrelsen har givet. Når bestyrelsen har godkendt en plan efter en sikkerhedstest, er det derfor direktionen, der skal føre den ud i livet. Loven siger ikke noget særskilt om IT-sikkerhed, og den fastsætter ikke, hvordan direktionen skal organisere sit arbejde. Teksten er ikke juridisk rådgivning.

I virksomheder uden bestyrelse, eller med en anden selskabsform, er behovet det samme. Så er det direktionen eller ejerne selv, der både sætter rammen og følger op, og så er det endnu vigtigere, at opfølgningen har en fast plads.

Uden et fast punkt er risikoen, at sikkerheden kun kommer op, når noget går galt, eller når bestyrelsen spørger. Så er det for sent at rette kursen før bestyrelsesmødet, og direktionen kommer til at forklare forsinkelser i stedet for at have forebygget dem. → Status på rettelserne

Hvor ofte

Der er ingen fast regel for, hvor tit punktet skal på dagsordenen. Det afhænger af, hvor meget der er i gang. I perioden lige efter en test, hvor de vigtigste rettelser skal gennemføres, kan det være nødvendigt at se på status ved hvert møde. Når de væsentlige fund er håndteret, kan punktet blive sjældnere og kortere. En virksomhed med få systemer og én leverandør kan klare sig med et kort punkt en gang om måneden, mens en virksomhed med mange leverandører kan have brug for tættere opfølgning. Begge dele kan være rigtige.

Det vigtigste er, at hyppigheden er en beslutning og ikke en tilfældighed. Skriv den ned, og tag den op igen, når situationen ændrer sig, fx når en ny test er bestilt, eller når en leverandør er blevet skiftet. → Bestyrelsens årshjul

Hvad punktet bør indeholde

Punktet bør være kort, så det ikke fortrænger andre emner. Et fast format gør det let at forberede og let at læse.

Status på rettelserne · hvad er gennemført og kontrolleret, hvad er forsinket, og hvorfor?
Nye forhold · hændelser, nye kundekrav, ændringer hos leverandører eller nye systemer, der påvirker risikoen.
Beslutninger · hvad skal direktionen tage stilling til nu, fx ekstra ressourcer eller en ændret prioritering?
Sager til bestyrelsen · hvad skal bestyrelsen orienteres om, og hvornår?

Hvis der ikke er noget nyt, kan punktet klares på et par minutter. Det er ikke spild af tid. Det er netop den korte bekræftelse, der gør, at direktionen opdager det, når noget ændrer sig.

Den, der forbereder punktet, behøver ikke være en direktør. Det kan være IT-chefen eller en anden, der har overblikket. Men en direktør bør eje punktet og stå inde for, hvad der rapporteres videre. → Opfølgning i ledelsen

Når rettelser går i stå

En af de vigtigste opgaver for direktionen er at se, når opfølgningen går i stå, og gribe ind, før det bliver et problem. Tegn kan være, at den samme sag står som forsinket flere møder i træk, at forklaringen skifter, eller at ingen kan sige, hvornår den bliver løst.

Direktionen kan løse den slags sager hurtigt, fordi den har myndighed over prioriteringen. Det kan handle om at flytte folk fra et andet projekt, at give en leverandør en tydelig besked eller at acceptere en risiko i en periode og sige det åbent. Det afgørende er, at sagen ikke bare står på listen igen ved næste møde. Hvis løsningen ligger uden for direktionens ramme, fx fordi den kræver midler ud over budgettet, er det en sag for bestyrelsen. → Når rettelserne går i stå

Forbindelsen til bestyrelsen

Direktionens punkt er det, der gør bestyrelsens tilsyn muligt. Når direktionen har fulgt sagen løbende, kan den give bestyrelsen et præcist billede uden at skulle samle oplysninger i sidste øjeblik. Det er også direktionen, der skal vurdere, om noget er så alvorligt, at bestyrelsen skal orienteres før det næste ordinære møde.

Sammenhængen virker kun, hvis de to niveauer bruger samme sprog og samme oversigt. Brug derfor den samme statusoversigt i begge sammenhænge, blot i kortere form for bestyrelsen. Hvis virksomheden har et risikoregister, er det naturligt at bruge det som fælles grundlag. Referaterne fra direktionens møder giver desuden et spor, hvis en kunde, en revisor eller et forsikringsselskab senere spørger, hvad virksomheden gjorde efter testen. → Risikoregisteret

Et tænkt eksempel

En vognmandsforretning med en direktion på to har fået testet sit planlægningssystem og sin hjemmeside. Direktørerne beslutter at have sikkerhed som punkt på hvert andet ugemøde, indtil de tre vigtigste rettelser er gennemført. Den administrerende direktør ejer punktet, og den eksterne IT-leverandørs kontaktperson sender en kort status dagen før.

Efter seks uger står den samme rettelse som forsinket for tredje gang. Direktionen ringer til leverandøren under mødet og får en dato. Den skriver beslutningen i referatet og orienterer bestyrelsesformanden, fordi forsinkelsen påvirker en frist, bestyrelsen har sat. Da de tre rettelser er gennemført, beslutter direktionen at tage punktet op én gang om måneden.

Det skal I lade være med

At vente på bestyrelsesmødet · så er det for sent at rette kursen.
At lade punktet være uden ejer · en direktør bør stå inde for det.
At gøre punktet så langt, at det fortrænger andet · et fast og kort format er bedre.
At acceptere den samme forsinkelse flere gange · tag stilling, og grib ind.
At bruge en anden oversigt end bestyrelsen · det skaber forvirring.

Hvad kan og ikke kan konkluderes

Et fast punkt på direktionsmødet sikrer, at opfølgningen efter en sikkerhedstest ikke glider ud, og at bestyrelsen får et retvisende billede. Det sikrer ikke, at rettelserne virker. Det kræver en kontrol, fx en ny test af de rettede forhold. Punktet erstatter heller ikke bestyrelsens tilsyn, men det gør tilsynet lettere at udøve. Et punkt, der er blevet rutine, kan også miste sin skarphed, så spørg med mellemrum, om formatet stadig viser det vigtige.

Tjekliste til direktionens punkt

☐ Er det besluttet, hvor ofte sikkerhed er på dagsordenen?
☐ Ejer en navngiven direktør punktet?
☐ Er formatet fast og kort?
☐ Bruges samme statusoversigt som over for bestyrelsen?
☐ Er det klart, hvornår bestyrelsen skal orienteres før næste møde?

Kilder

Selskabsloven, LBK nr. 331 af 28/03/2025: § 117 om direktionens daglige ledelse, pligten til at følge bestyrelsens retningslinjer og anvisninger og dispositioner af usædvanlig art eller stor betydning.

Senest gennemgået: oktober 2026.