Skal testeren selv fremlægge for bestyrelsen?

Når en sikkerhedstest er afsluttet, skal nogen fortælle bestyrelsen, hvad den viste. Normalt er det direktionen, men nogle bestyrelser ønsker at høre testeren direkte. Svaret hviler på, hvad bestyrelsen har brug for: et uafhængigt blik på fundene eller et samlet billede af, hvad virksomheden vil gøre ved dem. Testeren kan give det første, direktionen skal give det andet. En god løsning kan være en kombination, hvor direktionen fremlægger, og testeren er til stede under en afgrænset del af punktet.

Hvorfor bestyrelsen kan ønske at høre testeren

Bestyrelsen fører tilsyn med direktionen, og det er svært at føre tilsyn med noget, man kun hører om gennem den, der har ansvaret for det. Når direktionen eller IT både har ansvaret for systemerne og fremlægger resultatet, kan bestyrelsen have svært ved at skelne mellem fund og forklaringer. Det er ikke et udtryk for mistillid. Det er en almindelig del af godt tilsyn at kunne høre en kilde, der ikke har en interesse i udfaldet. → Et uafhængigt blik

Testeren er den eneste i forløbet, der har set systemerne udefra og ikke skal stå til ansvar for, hvordan de er sat op. Det giver et særligt grundlag for at svare på spørgsmål som: hvor alvorligt var det egentlig, og var der noget, der overraskede?

Fordele og ulemper ved en direkte fremlæggelse

Førstehåndsviden · bestyrelsen hører fundene fra den, der fandt dem, uden at de er blevet oversat undervejs.
Mulighed for at spørge · bestyrelsesmedlemmer kan stille opklarende spørgsmål til alvor og sammenhæng.
Tillid i begge retninger · direktionen viser, at den ikke har noget at skjule, og bestyrelsen får et grundlag, den selv kan vurdere.
Klarhed om grænser · testeren kan forklare, hvad der ikke var med, og hvad resultatet derfor ikke siger.

Over for fordelene står en række ulemper, som skal vejes op, før bestyrelsen beder om at høre testeren.

Testeren kender ikke forretningen · en tester kan vurdere, hvor alvorligt et fund er teknisk, men ikke, hvad det betyder for jeres kunder, kontrakter og prioriteringer.
Direktionen kan miste ejerskabet · hvis testeren præsenterer, kan planen og ansvaret blive en eftertanke.
Det kan blive for teknisk · en fremlæggelse, der ikke er tilpasset, bruger bestyrelsens tid på detaljer, den ikke kan handle på.
Fortroligheden · jo flere detaljer der kommer på et bestyrelsesmøde, jo flere har kendskab til svaghederne.
Omfanget · en fremlæggelse er en ekstra leverance, som skal aftales med testeren og påvirker opgavens omfang. → Leverancen set fra ledelsen

Hvornår det giver mest mening

En direkte fremlæggelse er ikke nødvendig hver gang. Den giver mest mening, når der er en særlig grund til, at bestyrelsen skal høre fundene uden filter:

Den første test · bestyrelsen skal lære, hvad en test kan og ikke kan, og testeren kan forklare det bedre end andre.
Et dårligt resultat · når der er alvorlige fund, er det vigtigt, at bestyrelsen forstår alvoren præcist, hverken mere eller mindre.
Uenighed eller tvivl · når bestyrelsen og direktionen ser forskelligt på resultatet. → Uenighed mellem bestyrelse og direktion
Når direktøren også er IT-ansvarlig · så er der ingen anden uafhængig kilde i rummet.

Ved løbende test af kendte systemer, hvor resultatet ligger på linje med det forventede, kan direktionens fremlæggelse være tilstrækkelig.

Sådan kan det aftales

Hvis testeren skal deltage, så aftal det, før testen går i gang, og skriv det ind i bestillingen. Det gør det lettere at planlægge, og det sender et signal om, at resultatet skal bruges i ledelsen. Spørg om, hvad deltagelsen vil påvirke i opgavens omfang, når I beder om pris og tilbud.

Fordel rollerne tydeligt:

Direktionen · åbner punktet, præsenterer planen og beder om beslutninger.
Testeren · forklarer de vigtigste fund og grænserne for testen og svarer på spørgsmål om alvor.
Formanden · sikrer, at punktet ender med beslutninger og ikke kun med forklaringer.

Det vigtigste princip er, at direktionen ikke bliver overrasket på mødet. Testeren bør gennemgå fremlæggelsen med direktionen på forhånd, så uenigheder om vurderinger kan afklares, før bestyrelsen er med. Hvis direktionen og testeren ser forskelligt på et fund, skal det siges åbent til bestyrelsen, ikke skjules. → Når resultatet er dårligt

Overvej også, om testeren kun skal være med under en del af punktet. En model er, at testeren fremlægger og svarer på spørgsmål og derefter forlader mødet, så bestyrelsen og direktionen kan drøfte prioriteringer og ansvar alene.

Efter mødet

En fremlæggelse fra testeren er kun værdifuld, hvis den efterlader spor. Notér i referatet, hvem der fremlagde, hvilke hovedpunkter bestyrelsen hørte, og hvilke beslutninger der blev truffet bagefter. Tekniske detaljer hører ikke hjemme i referatet. → Hvad bør stå i referatet?

Overvej også, hvad der sker med det materiale, testeren viste. Slides med fund og skærmbilleder bør ikke ligge i bestyrelsesportalen sammen med det øvrige mødemateriale. Det er nok, at referatet henviser til, at fundene er gennemgået, og at rapporten findes hos direktionen.

Hvis bestyrelsen har fået nye spørgsmål, som testeren ikke kunne svare på under mødet, så aftal, hvem der svarer, og hvornår. Det må gerne være direktionen, der samler svarene, så bestyrelsen ikke får to forskellige kanaler at forholde sig til.

Et tænkt eksempel

En kæde af optikere har fået sin første test af bookingsystemet og kundekartoteket. Bestyrelsen beder om at høre testeren, fordi den aldrig har haft en test før.

Direktøren og testeren gennemgår fremlæggelsen ugen før mødet. På mødet indleder direktøren med formålet og afgrænsningen. Testeren bruger et kvarter på de to vigtigste fund, forklarer, at kundernes synsprøver var tilgængelige for flere medarbejdere end tilsigtet, og svarer på spørgsmål. Et bestyrelsesmedlem spørger, om det er usædvanligt. Testeren svarer, at det ikke kan sammenlignes med andre, men at det er alvorligt, fordi det er helbredsoplysninger. Derefter forlader testeren mødet, og direktøren fremlægger planen.

Det skal I lade være med

At lade testeren præsentere planen · prioritering og ansvar hører til direktionen.
At aftale deltagelsen i sidste øjeblik · skriv den ind i bestillingen.
At overraske direktionen · gennemgå fremlæggelsen sammen på forhånd.
At gå i tekniske detaljer · fokusér på alvor, konsekvens og grænser.
At gøre det til en fast regel uden grund · vælg direkte fremlæggelse, når der er en særlig grund.

Hvad kan og ikke kan konkluderes

En direkte fremlæggelse kan give bestyrelsen et ufiltreret billede af fundene og styrke tilsynet. Den kan ikke erstatte direktionens ansvar for planen, og den gør ikke resultatet mere eller mindre alvorligt, end det er.