Når bestyrelse og direktion er uenige om sikkerhedsniveauet

Uenighed mellem bestyrelse og direktion om sikkerhed opstår, når den ene part mener, at virksomheden er tilstrækkeligt beskyttet, og den anden ikke gør. Den bliver let fastlåst, fordi ingen af parterne kan bevise sin opfattelse. Løsningen hviler på to ting, som begge parter kan se på: en ramme for, hvor meget risiko virksomheden vil leve med, og et faktuelt grundlag for, hvor virksomheden står. En sikkerhedstest kan levere en del af det faktuelle grundlag. Rammen skal ledelsen selv formulere.

Find ud af, hvad I egentlig er uenige om

Før uenigheden kan løses, skal den deles op. Bag en sætning som vi gør for lidt kan der ligge fire forskellige ting.

Uenighed om fakta · bestyrelsen tror, at et system er sårbart, direktionen tror det ikke.
Uenighed om risiko · begge er enige om svagheden, men ikke om, hvor alvorlig den er for forretningen.
Uenighed om penge · begge er enige om risikoen, men ikke om, hvad det er værd at bruge på at fjerne den.
Uenighed om tillid · bestyrelsen er usikker på, om den får et retvisende billede fra direktionen.

Hver type kræver sit eget svar. Uenighed om fakta kan afklares med en undersøgelse. Uenighed om risiko og penge afklares med en beslutning. Uenighed om tillid kræver, at bestyrelsen får et grundlag, den selv kan vurdere. En drøftelse kan køre fast, fordi parterne tror, de er uenige om det ene, mens de i virkeligheden er uenige om det andet.

Rammen gør uenigheden konkret

Det britiske NCSC beskriver i sit værktøj til bestyrelser, at bestyrelsen er ansvarlig for, at risici for strategien identificeres, vurderes og håndteres i overensstemmelse med virksomhedens risikovillighed. NCSC peger på, at en fastsat risikovillighed for cyberrisici hjælper med at definere, hvor meget risiko organisationen vil håndtere, og dermed gør det lettere at træffe beslutninger.

Når rammen er besluttet, skifter drøftelsen karakter. Spørgsmålet er ikke længere, om sikkerheden er god nok i almindelighed, men om et konkret forhold ligger inden for eller uden for det, ledelsen har vedtaget. Det er en drøftelse, som kan afsluttes. → Risikovillighed

Er der ingen ramme, bliver hver uenighed en ny forhandling. Så er det bedre at bruge kræfterne på at blive enige om rammen end på at vinde den enkelte diskussion.

Testen som fælles faktagrundlag

En sikkerhedstest kan flytte en uenighed om fakta til et spørgsmål, der har et svar. Hvis bestyrelsen frygter, at kundedata kan nås udefra, og direktionen mener, at de er godt beskyttet, kan en test af netop det scenarie give et konkret og dokumenteret svar inden for opgavens grænser.

Det kræver, at begge parter er enige om spørgsmålet, før testen bestilles. Lad bestyrelsen formulere sin bekymring, og lad direktionen sige, hvad den forventer, at testen vil vise. Så kan resultatet ikke bagefter afvises som irrelevant af den part, der ikke fik ret. → Hvad testen kan svare på

Når tilliden er spørgsmålet, kan det være en fordel, at testen udføres af en part uden ansvar for systemerne, og at bestyrelsen får mulighed for at høre resultatet direkte. → Skal testeren selv fremlægge for bestyrelsen?

Når testen ikke løser det

Et testresultat afgør ikke en uenighed om risiko eller penge. Begge parter kan læse det samme fund og nå til forskellige konklusioner om, hvor hurtigt det skal rettes, og hvad det må koste. Her hjælper det at holde fast i rollerne. Direktionen foreslår, hvordan risikoen håndteres, og begrunder det. Bestyrelsen vurderer, om forslaget ligger inden for rammen, og tager stilling, hvis det ikke gør.

NCSC fremhæver også, at kommunikationen mellem bestyrelse og forretning kræver en indsats fra begge sider. Bestyrelsen skal have en tilstrækkelig forståelse af sikkerhed, og de, der kender driften, skal have mulighed for at rejse problemer og anbefale handlinger. En direktion, der føler sig mistænkt, og en bestyrelse, der føler sig holdt hen, har begge en del af opgaven.

Hvem har det sidste ord?

I et selskab med både bestyrelse og direktion er udgangspunktet, at bestyrelsen fastlægger rammerne, og direktionen driver virksomheden inden for dem. Det betyder ikke, at bestyrelsen skal tage stilling til hver enkelt rettelse. Men når en uenighed handler om, hvor meget risiko virksomheden løber, eller om en stor udgift skal prioriteres frem for andet, kan det være en sag for bestyrelsen. → Direktionens og bestyrelsens roller

Direktionen har ret til at sige fra og til at få sin vurdering ført til referat. Bestyrelsen har ret til at træffe en anden beslutning end den, direktionen anbefaler. Det sunde forløb er, at uenigheden bliver sagt højt, at beslutningen træffes af det rette organ, og at begge parter derefter arbejder efter den.

Handler uenigheden om penge, så gør den konkret: hvad vil rettelserne koste, hvad bliver udskudt, og hvad er risikoen ved at vente? Et budget, der er lagt, før resultatet kommer, gør den drøftelse lettere. → Budget til rettelser

Et tænkt eksempel

I en producent af medicinsk udstyr ønsker bestyrelsen, at hele produktionsnetværket testes, fordi den har læst om angreb på industrivirksomheder. Direktionen mener, at nettet er godt adskilt fra kontoret, og at pengene er bedre brugt på at skifte et gammelt lagersystem.

Formanden foreslår, at de først enes om rammen: produktionen må ikke kunne stoppes fra kontornettet. Derefter bestilles en afgrænset test af netop den adskillelse. Testen viser, at adskillelsen holder, men at en leverandørs fjernadgang går uden om den. Begge parter havde delvis ret. Uenigheden handler nu om, hvor hurtigt fjernadgangen skal lukkes, og det er en beslutning, direktionen kan foreslå og bestyrelsen godkende.

Det skal I lade være med

At diskutere sikkerhed i almindelighed · del uenigheden op i fakta, risiko, penge og tillid.
At bestille en test for at få ret · bliv enige om spørgsmålet først.
At lade uenigheden ligge · en uafklaret risiko er også en beslutning, bare uden ejer.
At gøre det personligt · uenighed om sikkerhed er ikke kritik af den enkelte direktør.
At glemme referatet · notér, hvad der blev besluttet og hvorfor.

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan afgøre, om et bestemt scenarie lod sig gennemføre, og dermed fjerne en del af uenigheden om fakta. Den kan ikke afgøre, hvor meget risiko virksomheden skal leve med, og den kan ikke erstatte et tillidsfuldt samarbejde mellem bestyrelse og direktion.

Tjekliste ved uenighed om sikkerheden

☐ Er det klart, om uenigheden handler om fakta, risiko, penge eller tillid?
☐ Har ledelsen en vedtaget ramme for risikovillighed?
☐ Er begge parter enige om spørgsmålet, før en test bestilles?
☐ Er det afklaret, hvem der foreslår, og hvem der beslutter?
☐ Er uenigheden og beslutningen ført til referat?

Kilder

NCSC, Cyber Security Toolkit for Boards: bestyrelsens ansvar for at håndtere risici i overensstemmelse med risikovilligheden, fastsat risikovillighed for cyber som støtte til beslutninger, og afsnittet Effective communications om indsatsen fra både bestyrelse og forretning.

Senest gennemgået: oktober 2026.