En intern undersøgelse går bedst, når den køres som et lille projekt i en fast rækkefølge: først bevarer I, så afgrænser I, så sikrer og gennemgår I, så taler I med medarbejderen, og til sidst samler I resultatet i en rapport, ledelsen kan beslutte ud fra. Den typiske fejl er at springe direkte til undersøgelsen. Så mister I beviser, og I risikerer at krænke medarbejderens rettigheder undervejs.
Denne side er hovedsiden for interne undersøgelser på sitet. Den er bygget som en tidslinje fra den første time til sagen lukkes, med en tjekliste til hver fase og henvisninger til de artikler, der går i dybden. Den passer til de fleste sager: illoyal adfærd, misbrug af virksomhedens systemer, uregelmæssigheder i økonomien eller en konflikt mellem medarbejdere, hvor digitale spor betyder noget.
Tidsangivelserne er vejledende. En lille sag med én medarbejder og én postkasse kan være afklaret på få uger. En sag med flere personer og mange datakilder tager længere tid. Det vigtigste er ikke tempoet, men rækkefølgen.
→ Interne undersøgelser og digitale beviser
Tidslinjen på én side
- Time 0 · Fase: Mistanken skrives ned · Resultat: Et sagligt notat og én sagsejer
- Dag 0-2 · Fase: Bevaring · Resultat: Intet kan slettes, intet er gennemgået
- Dag 1-5 · Fase: Afgrænsning og grundlag · Resultat: Konkrete spørgsmål og et kommissorium
- Uge 1-3 · Fase: Sikring og gennemgang · Resultat: Dokumenterede fund
- Efter gennemgangen · Fase: Samtale · Resultat: Medarbejderens forklaring i et referat
- Uge 3-6 · Fase: Rapport og beslutning · Resultat: Ledelsens beslutning på et skriftligt grundlag
- Bagefter · Fase: Afslutning · Resultat: Sagsmappe, slettedato og læring
Faserne kan overlappe, men de må ikke byttes om. Bliver I presset til at springe et trin over, så skriv i beslutningsloggen, hvem der besluttede det, og hvorfor.
Nogle sager starter et andet sted end hos en leder. Kommer mistanken via whistleblowerordningen, gælder der særlige regler for, hvem der må vide hvad, og for beskyttelsen af den, der har indberettet. Tidslinjen er den samme, men kredsen og kommunikationen skal tilpasses. Og kommer der et brev fra en modpart eller en myndighed, før I selv har opdaget noget, er det advokaten, der skal ind først, fordi der kan være frister og pligter til at bevare data.
Time 0: mistanken skrives ned
Skriv mistanken ned, før I gør noget andet. Hvad har I set, hørt eller fået at vide, hvornår og af hvem? Skriv det sagligt og uden konklusioner. “En kunde har fortalt salgschefen, at kunden er blevet kontaktet fra en privat mailadresse” er brugbart. “Medarbejderen stjæler kunder” er det ikke.
Udpeg derefter én person, der ejer sagen. Vedkommende styrer forløbet, fører en beslutningslog og er den, alle andre går til. Uden en sagsejer træffer flere personer beslutninger hver for sig, og det er dér, beviser forsvinder.
Hold kredsen lille. Kun dem, der skal handle, får besked. Det beskytter både sagen og den medarbejder, mistanken retter sig mod, hvis den viser sig at være forkert. Tjek også, om nogen i kredsen er for tæt på sagen, for eksempel en nær kollega, en ven eller den nærmeste chef.
- ☐ Mistanken er skrevet ned sagligt og dateret.
- ☐ Én sagsejer er udpeget.
- ☐ Kredsen er besluttet, og den er lille.
- ☐ Ingen i kredsen er inhabil.
→ Udpeg én sagsejer · Hvem skal vide hvad, og hvornår? · Den undersøgende er inhabil
Dag 0-2: bevar, før I undersøger
Det første, I gør med IT, er at stoppe alt, der kan slette. I kigger ikke i noget endnu. I sørger bare for, at det findes, når I er klar til at kigge.
- Konti: Spær om nødvendigt, men slet intet.
- Postkasse og cloud-lager: Bed IT om at sætte et hold, så indholdet ikke kan slettes.
- Udstyr: Computer og telefon tages ud af brug, hvis medarbejderen er fritstillet eller fratrådt. Ingen geninstallation, og ingen tænder og slukker for at “se efter”.
- Logs: Tjek, hvor længe revisionslogs gemmes, og sørg for, at de ikke udløber.
- Backup: Tag den relevante backup ud af rotation.
Bevaringen kan sættes i gang, selv om advokaten endnu ikke har set på sagen. Den er ikke en undersøgelse, og den kræver ikke, at nogen ser på indholdet.
- ☐ IT har bekræftet på skrift, hvad der er bevaret, og at intet er slettet.
- ☐ Udstyret er lagt til side og mærket med dato og navn.
- ☐ Logs og backup er sikret mod udløb.
Dag 1-5: afgræns og vurdér grundlaget
Nu beslutter ledelsen, hvad undersøgelsen skal svare på. Formulér det som konkrete spørgsmål. “Har medarbejderen sendt kundelister til en privat mailadresse i perioden fra januar til marts?” er bedre end “Hvad har medarbejderen lavet?”
Afgrænsningen beskriver, hvilke personer der er omfattet, hvilke systemer og datakilder der skal med, hvilken periode der er relevant, og hvem der må se materialet. Den skrives ned i et kommissorium, som er undersøgelsens opdrag.
Afgrænsningen er også jeres beskyttelse. En smal og saglig undersøgelse er lettere at forsvare end en bred gennemgang af alt. Tjek samtidig, om I har grundlag for at gennemgå medarbejderdata: IT-politik, orientering af medarbejderne og eventuel overenskomst eller kontrolaftale.
Tag også stilling til, om og hvornår medarbejderen skal orienteres, og om tillidsrepræsentanten skal inddrages. Begge dele afhænger af sagen og skal vurderes, ikke glemmes.
- ☐ Spørgsmålene er formuleret konkret.
- ☐ Kommissoriet er skrevet og godkendt af ledelsen.
- ☐ Grundlaget for at gennemgå data er vurderet af advokaten.
- ☐ Spørgsmålet om orientering og tillidsrepræsentant er vurderet og noteret.
→ Afgrænsning: personer, data og perioder · Skabelon: kommissorium · GDPR-tjekliste før en intern undersøgelse · Skal den undersøgte orienteres?
Uge 1-3: sikring og gennemgang
Når afgrænsningen er på plads, sikres data forsvarligt. Det betyder forensiske kopier af udstyr og eksport af cloud-data, så de kan dokumenteres og efterprøves. Det er en opgave for en IT-sagkyndig, ikke for jeres egen IT-medarbejder, særligt hvis sagen kan ende i en tvist.
Gennemgangen sker derefter i kopierne, ikke i originalerne. Typisk bruger man søgeord, tidsperioder og bestemte afsendere og modtagere for at finde det relevante. Ledelsen bidrager med viden om kundenavne, projekter og interne udtryk, som en udefrakommende ikke kender. Alt, der gennemgås, logges: hvem, hvornår og hvad.
Støder I på noget uden for opdraget, stopper I og tager det op med sagsejeren. Det skal ikke bare lægges til sagen. Det samme gælder private data: de lægges til side og noteres.
Sygemelder medarbejderen sig undervejs, ændrer det ikke ved, at data allerede er bevaret. Men det kan påvirke tidsplanen for samtalen og kræver en ny vurdering.
- ☐ Data er sikret forensisk, og sikringen er dokumenteret.
- ☐ Søgeord og perioder er aftalt og skrevet ned.
- ☐ Gennemgangen sker i kopier.
- ☐ Fund uden for opdraget er håndteret efter aftale.
→ Søgeord i en intern undersøgelse · Tilfældigt fund under undersøgelsen · Sygemelding midt i undersøgelsen
Efter gennemgangen: samtalen med medarbejderen
Samtalen kommer, når I ved, hvad materialet viser, ikke før. Forbered, hvilke konkrete forhold I vil spørge til, hvilke dokumenter I vil vise, og hvilke I venter med, hvem der deltager, om medarbejderen kan tage en bisidder med, og hvem der skriver referat.
Referatet skrives under samtalen eller lige efter og gerne godkendes af begge parter. Medarbejderens forklaring skal kunne sammenholdes med de digitale spor. Forklarer medarbejderen noget, I ikke havde tænkt på, så skal det undersøges, før I konkluderer. En god forklaring kan ændre sagen helt.
- ☐ Spørgsmål og dokumenter er forberedt.
- ☐ Deltagere og bisidder er afklaret.
- ☐ Referatet er skrevet og forelagt medarbejderen.
→ Hvornår viser I de digitale beviser i samtalen? · Skabelon: referat af samtalen
Uge 3-6: rapport og beslutning
Rapporten samler, hvad undersøgelsen viste. Den indeholder spørgsmålene, undersøgelsen skulle besvare, datagrundlaget og afgrænsningen, fundene med henvisning til dokumentationen, medarbejderens forklaring, usikkerheder og det, der ikke kunne afklares, og en konklusion pr. spørgsmål.
Ledelsen træffer beslutningen på baggrund af rapporten. Beslutningen er ledelsens, ikke den IT-sagkyndiges. Den IT-sagkyndige beskriver, hvad data viser. Advokaten vurderer, hvad det betyder juridisk. Ledelsen beslutter, hvad virksomheden gør.
- ☐ Rapporten svarer på hvert spørgsmål i kommissoriet.
- ☐ Usikkerheder er beskrevet, ikke skjult.
- ☐ Beslutningen og begrundelsen er skrevet i beslutningsloggen.
→ Undersøgelsesrapporten: en struktur, ledelsen kan bruge
Bagefter: afslutning og opbevaring
Sagen er ikke slut, når beslutningen er truffet. Ophæv bevarelsen med omtanke, men først når advokaten har vurderet, om der kan komme en tvist. Saml rapport, beslutningslog, referater og listen over sikrede data i en adgangsbegrænset sagsmappe. Fastsæt en slettedato, fordi materialet indeholder persondata og ikke skal gemmes længere end nødvendigt.
Vender medarbejderen tilbage, fordi mistanken ikke holdt, skal det håndteres ordentligt. Det er også en del af undersøgelsen.
Brug afslutningen til at se på, hvad der gik godt og skidt. Manglede der logs? Tog det for lang tid at få et hold sat? Det er den bedste anledning til at forbedre jeres beredskab.
→ Medarbejderen vender tilbage efter undersøgelsen
Et typisk forløb, beskrevet som eksempel
Eksemplet er opdigtet og generisk. Det viser, hvordan tidslinjen ser ud i en almindelig sag.
En projektleder i en mellemstor virksomhed bliver mistænkt for at have givet en underleverandør fortrolige tilbudspriser. Mistanken kommer fra en kollega, der har set en mail på skærmen. Direktøren beder HR om at “finde ud af det”.
HR skriver mistanken ned samme dag og bliver udpeget som sagsejer. IT sætter et hold på projektlederens postkasse og bekræfter på skrift, at intet er slettet. Ingen kigger.
I løbet af ugen formulerer ledelsen to spørgsmål: Er tilbudspriser sendt til underleverandøren, og i givet fald hvornår og fra hvilken konto? Advokaten vurderer grundlaget, og kommissoriet skrives. En IT-sagkyndig sikrer postkassen og den bærbare computer og søger efter underleverandørens domæne og de relevante tilbudsnumre i en aftalt periode.
Gennemgangen viser nogle mails, der skal forklares. Projektlederen bliver indkaldt til en samtale med bisidder, ser mailene og giver en forklaring, som kan holdes op mod sporene. Rapporten beskriver fund, forklaring og usikkerheder. Ledelsen beslutter på det grundlag. Hele forløbet kan dokumenteres, uanset hvilken beslutning der bliver truffet.
Spørgsmål, vi ofte får
Kan vi ikke bare lade IT kigge hurtigt først?
Det er den mest almindelige fejl. Når IT “lige kigger” i postkassen, før der er truffet en beslutning, ændres spor, og IT-medarbejderen kan ende som vidne. Bed IT bevare, ikke undersøge.
Hvornår må vi konfrontere medarbejderen?
Først når data er bevaret, og helst når gennemgangen er færdig. Konfronterer I for tidligt, kan beviser blive slettet, og I har ikke noget konkret at spørge til.
Må vi udvide undersøgelsen, hvis vi finder noget nyt?
Ja, men ikke i det stille. En udvidelse kræver en ny beslutning, et opdateret kommissorium og en ny vurdering af grundlaget. Skriv det i beslutningsloggen.
Hvordan deler vi materialet internt?
Så lidt som muligt. Send ikke materiale rundt på mail. Saml det i en adgangsbegrænset mappe, som kun kredsen har adgang til.
Skal vi skrive notater undervejs?
Ja, men skriv fakta og beslutninger, ikke konklusioner. Notater med konklusioner, før gennemgangen er færdig, kan blive et problem, hvis sagen ender i en tvist.
Hvad hvis mistanken retter sig mod direktøren?
Så kan ledelsen ikke selv styre undersøgelsen. Bestyrelsen eller ejerne skal typisk tage over og bestille en uvildig undersøgelse. → Mistanke mod direktøren: hvem undersøger?
Hvem gør hvad
- Ledelse · Beslutter, afgrænser og træffer den endelige beslutning
- Sagsejer · Styrer forløbet og fører beslutningslog
- HR · Samtaler, ansættelsesforhold og dokumenter
- IT · Bevarer data og giver adgang efter aftale
- Advokat · Grundlag, rettigheder og næste skridt
- IT-sagkyndig · Sikrer og gennemgår data uvildigt
Ordforklaringer
Sagsejer: Den ene person, der styrer undersøgelsen og fører beslutningsloggen.
Kommissorium: Undersøgelsens skriftlige opdrag: spørgsmål, afgrænsning, deltagere og tidsplan.
Hold: En indstilling i mail- eller cloudsystemet, der bevarer indhold, også det, brugeren sletter.
Forensisk kopi: En kopi af et drev eller en konto, der er taget og dokumenteret, så det kan efterprøves, at den svarer til originalen.
Beslutningslog: En løbende liste over, hvem der besluttede hvad, hvornår og hvorfor.
Hvornår skal I have hjælp udefra?
Få en advokat ind, så snart sagen kan føre til afskedigelse, bortvisning eller krav mod medarbejderen. Få en IT-sagkyndig ind, når data skal sikres, så de holder i en eventuel tvist, eller når jeres egen IT er for tæt på sagen. Nielco IT sikrer og gennemgår data uvildigt som en intern IT-undersøgelse i civile sager og interne undersøgelser og underskriver en fortrolighedsaftale på forespørgsel. Er der risiko for, at data forsvinder nu, så sig det; hastesager koster ekstra. → Pris og tilbud
Læs også: Whistleblowerordningen og digitale beviser · Udpeg én sagsejer: hvorfor sager uden ejer mister beviser
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
