Koncerner: når HR, jura og IT sidder hvert sit sted

I en koncern ligger HR ofte i datterselskabet, jura i moderselskabet og IT i et fælles servicecenter eller hos en ekstern leverandør. En intern undersøgelse skal derfor koordineres på tværs af selskaber, og det kræver tre ting fra starten: Det skal være klart, hvilket selskab der ejer undersøgelsen, hvem der har mandat til at bede de andre om hjælp, og hvordan beslutninger dokumenteres ét sted. Uden den afklaring går tiden med at finde ud af, hvem der må hvad, mens data forsvinder.

Artiklen er til HR, compliance og jura i koncerner. Den handler om koordinering og roller, ikke om selskabsretten. Spørgsmål om dataansvar, overførsel af data mellem selskaber og koncernens kompetencer skal vurderes af en advokat.

→ Koncerner: fælles Microsoft 365 ved salg eller tvist

Hvorfor koncerner har særlige udfordringer

• Flere arbejdsgivere. Medarbejderen er ansat i ét selskab, men data kan ligge i et andet.
• Flere dataansvarlige. Hvert selskab kan være dataansvarligt for sine egne medarbejderes data, selv om systemet er fælles.
• Fælles IT. Et servicecenter eller en leverandør har teknisk adgang til alt, men skal have en instruks fra det rigtige selskab.
• Forskellige politikker. IT-politik, personalehåndbog og kontrolregler kan være forskellige fra selskab til selskab.
• Interessekonflikter. Sagen kan berøre ledere i flere selskaber eller forholdet mellem selskaberne.

Afklar fra starten

• Hvilket selskab ejer undersøgelsen? · Det er typisk arbejdsgiverselskabet, men det skal besluttes
• Hvem er sagsejer? · Én person med mandat på tværs
• Hvem er dataansvarlig for de data, der skal gennemgås? · Afgør, hvem der skal godkende behandlingen
• Hvem kan give instruks til fælles IT? · Instruksen skal komme fra den rigtige
• Hvilke politikker gælder for medarbejderen? · Det er arbejdsgiverselskabets regler, der typisk gælder

Skriv svarene ned i et kort mandat, som godkendes af den ledelse, der har kompetencen. Står ledelsen i et af selskaberne selv i sagen, går det et niveau op.

→ Udpeg én sagsejer

Hvad gør I nu, i rækkefølge

1. Udpeg sagsejer og ejerselskab. Gør det samme dag, mistanken opstår.
2. Giv fælles IT en skriftlig instruks om bevarelse. Instruksen kommer fra sagsejeren med henvisning til mandatet. Den beskriver præcist, hvilke konti, postkasser og systemer der skal bevares.
3. Saml de relevante politikker. IT-politik, personalehåndbog og eventuelle kontrolaftaler for medarbejderens selskab.
4. Involvér databeskyttelsesrådgiveren, hvis koncernen har en.
5. Afgræns undersøgelsen og tag stilling til, om data fra andre selskaber skal indgå.
6. Aftal rapportering. Hvem får hvad at vide, og hvornår?

→ Databeskyttelsesrådgiveren (DPO) i en intern undersøgelse

Fælles IT: hvem bestemmer?

Fælles IT er ofte den største kilde til forvirring. Servicecentret eller leverandøren har adgang til alle selskabers data, men skal kun handle efter instruks fra den, der har ret til at give den. Det beskytter både IT og sagen.

Sørg for:

• at instruksen er skriftlig,
• at den angiver, hvilket selskab og hvilken sag den gælder,
• at IT skriver ned, hvad der er gjort og hvornår,
• at IT ikke på eget initiativ gennemgår data,
• at kun de nødvendige personer i IT kender til sagen.

Har fælles IT en relation til den undersøgte, eller arbejder den undersøgte selv i IT, kræver det særlig omtanke. Så kan det være nødvendigt at lade en ekstern part stå for sikringen.

Én beslutningslog, ikke flere

Med flere selskaber er der risiko for, at hvert selskab fører sine egne notater. Det gør det svært bagefter at vise, hvem der besluttede hvad. Før én samlet beslutningslog, som sagsejeren ejer, og som ligger i en adgangsbegrænset mappe, som de relevante personer på tværs af selskaberne har adgang til. Det samme gælder loggen over sikrede beviser. Når en instruks går fra ét selskab til fælles IT, skal både instruksen og bekræftelsen af, at den er udført, fremgå af loggen med dato og navn.

Hvem skal vide hvad?

I koncerner breder viden sig hurtigt. Ledelser i flere selskaber, koncern-HR, compliance og IT kan alle føle, at de bør vide besked. Hold kredsen lille og navngiven. Orientér andre selskaber, når det er nødvendigt for deres opgaver, ikke for at holde dem orienteret.

→ Intern undersøgelse: hvem skal vide hvad?

Hvem gør hvad

• Sagsejer · Typisk placering: Arbejdsgiverselskab eller moderselskab · Opgave: Styrer og beslutter
• HR · Typisk placering: Arbejdsgiverselskab · Opgave: Ansættelsesforhold og samtaler
• Jura / compliance · Typisk placering: Moderselskab · Opgave: Grundlag og koordinering
• Fælles IT · Typisk placering: Servicecenter eller leverandør · Opgave: Bevarelse efter instruks
• IT-sagkyndig · Typisk placering: Ekstern · Opgave: Uvildig sikring og gennemgang

Det skal I lade være med

• Lade fælles IT handle på mundtlig besked fra en tilfældig leder.
• Gennemgå data fra andre selskaber uden at have afklaret grundlaget.
• Føre parallelle notater i hvert selskab.
• Orientere hele koncernledelsen for en sikkerheds skyld.
• Antage, at moderselskabets politikker gælder for alle medarbejdere.

Når sagen handler om ledelsen i et selskab

Retter mistanken sig mod en direktør eller en leder i et datterselskab, kan datterselskabets egen ledelse ikke styre undersøgelsen. Så er det typisk moderselskabet eller datterselskabets bestyrelse, der giver mandatet. Pas på, at den undersøgte leder ikke får kendskab til sagen gennem de normale kanaler, for eksempel fordi lederen selv har administratoradgang, modtager kopi af IT-sager eller sidder med i koncernens ledelsesgruppe. Tal med IT om, hvordan instrukser og hold kan sættes, uden at det fremgår af systemer, som den undersøgte kan se.

Når et selskab skal sælges eller udskilles

Undersøgelser i koncerner falder nogle gange sammen med et salg eller en omstrukturering. Så er der risiko for, at data bliver flyttet, opdelt eller slettet som en del af processen. Sørg for, at bevarelsen også gælder under og efter en flytning af data, og at køberen eller det nye selskab ikke overtager materiale fra undersøgelsen uden en aftale.

Afslutning på tværs

Når sagen er afsluttet, skal alle selskaber, der har bidraget, have besked om, at bevarelse kan ophæves, og hvad der skal ske med materialet. Fælles IT skal have en skriftlig instruks, ligesom ved starten. Glemmer man det, kan hold og undtagelser fra sletning stå i årevis, uden at nogen ved hvorfor.

Udenlandske selskaber i koncernen

Har koncernen selskaber i udlandet, kommer lokale regler og spørgsmål om overførsel af data oveni.

→ Sagen er i en udenlandsk afdeling: hvad gør hovedkontoret?

Hvornår skal I have hjælp udefra?

Advokaten skal med, når der er tvivl om dataansvar, retsgrundlag eller kompetence. En uvildig IT-sagkyndig er særlig nyttig, når fælles IT er tæt på sagen, eller når flere selskaber skal kunne stole på resultatet. Nielco IT er uvildig, uden leverandørpartnerskaber, og arbejder for virksomheder og advokater i hele landet. Haster det, koster hastesager ekstra. → Pris og tilbud

Læs også: Sagen er i en udenlandsk afdeling: hvad gør hovedkontoret? · Intern undersøgelse: hvem skal vide hvad, og hvornår?

→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT