En IT-undersøgelse giver jer en rapport, der beskriver, hvad der er sikret, hvad der er undersøgt, hvad der er fundet, og hvor sikre fundene er. Den giver jer ikke en dom. Ledelsen skal læse den med tre spørgsmål for øje: Hvad er konklusionen? Hvor stor er usikkerheden? Hvilken beslutning skal vi træffe nu? Resten af rapporten er dokumentation for, at konklusionen holder.
Mange ledere får en IT-rapport i hånden for første gang midt i en sag. Den kan være lang og fuld af tekniske ord. Artiklen hjælper jer med at finde det, ledelsen skal bruge, og med at undgå de typiske fejl, når rapporten skal omsættes til beslutninger. Advokatsitet har en gennemgang set fra advokatens side, med fokus på brugen i retten.
→ Sådan læser du en IT-sagkyndig rapport
Hvad I får ud af en undersøgelse
En IT-undersøgelse kan typisk svare på spørgsmål som:
- Er der kopieret, sendt eller slettet filer, og hvornår?
- Har en konto været brugt fra et sted eller en enhed, der ikke passer?
- Hvem har ændret en oplysning i et system, og hvornår?
- Hvilke beskeder er sendt, og til hvem?
Den kan sjældent svare på, hvorfor noget er sket, eller hvad en person tænkte. Den kan heller ikke altid knytte en handling til en bestemt person, hvis flere har haft adgang til den samme konto eller enhed. Det er ledelsens og advokatens opgave at vurdere det samlede billede.
Rapportens typiske opbygning
- Sammenfatning · Konklusionen i få linjer
- Opdrag og spørgsmål · Om det er de rigtige spørgsmål
- Det sikrede materiale · Om noget mangler
- Metode · Om den kan efterprøves
- Fund · Fakta, ofte med tidslinje
- Vurdering og usikkerhed · Hvor sikker konklusionen er
- Bilag · Detaljer til advokat og sagkyndige
Start med sammenfatningen. Læs derefter opdraget, så I ved, hvad rapporten skulle svare på. Læs så vurderingen og usikkerhederne. Fund og bilag kan I gå i dybden med sammen med advokaten.
Konklusion: hvad er sagt, og hvad er ikke sagt?
Læs konklusionen ordret. En IT-sagkyndig formulerer sig typisk forsigtigt. Der er stor forskel på “filerne er kopieret til et USB-drev” og “der er spor, der er forenelige med, at filerne er kopieret til et USB-drev”. Den første er en konstatering. Den anden er en vurdering med forbehold.
Spørg den IT-sagkyndige, hvis I er i tvivl om, hvad en formulering betyder. Det er bedre at spørge end at læse mere ind i rapporten, end der står.
Usikkerhed er ikke en svaghed
En god rapport beskriver usikkerheder og alternative forklaringer. Det kan virke frustrerende, når I gerne vil have et klart svar. Men en rapport, der ikke nævner usikkerheder, er sværere at forsvare. Modparten vil lede efter dem, og det er bedre, at I kender dem først.
Typiske usikkerheder er:
- data, der ikke kunne sikres, fordi de var slettet eller udløbet,
- en konto eller enhed, som flere har haft adgang til,
- tidsstempler, der kan være påvirket af indstillinger eller synkronisering,
- handlinger, der kan have en uskyldig forklaring.
Hvilken beslutning skal I træffe?
Rapporten er et grundlag for en beslutning, ikke beslutningen selv. Typiske næste skridt er:
- at gå videre med en ansættelsesretlig reaktion, efter rådgivning fra advokat,
- at kræve data tilbage eller kræve, at de slettes,
- at forhandle en løsning med modparten,
- at gå rettens vej,
- at lukke sagen, fordi mistanken ikke holdt,
- at bestille en supplerende undersøgelse.
Tag beslutningen sammen med advokaten, og skriv ned, hvad der blev besluttet og hvorfor.
→ Forhandle, gå rettens vej eller lukke sagen?
Når rapporten skal til bestyrelsen
Bestyrelsen har sjældent brug for hele rapporten. Giv en kort status med konklusionen, de vigtigste usikkerheder og den beslutning, ledelsen foreslår. Hele rapporten kan stilles til rådighed efter aftale med advokaten. Tænk over, at rapporten indeholder personoplysninger, og at den kan blive en del af en senere tvist.
→ Rapportering til bestyrelsen om en intern undersøgelse
Spørgsmål til rapportmødet
Bed om et kort møde med den IT-sagkyndige, når rapporten er færdig, gerne med advokaten til stede. Forbered spørgsmålene på forhånd:
- Hvad er det vigtigste fund, forklaret i én sætning?
- Hvilke fund er sikre, og hvilke er vurderinger?
- Hvad kunne ikke undersøges, og hvorfor?
- Findes der en uskyldig forklaring, der passer med sporene?
- Hvad vil modpartens sagkyndige sandsynligvis spørge om?
- Er der noget, der bør sikres eller undersøges nu, før det er for sent?
Skriv svarene ned. De er nyttige, når ledelsen senere skal forklare, hvorfor den traf sin beslutning.
Typiske fejl, når ledelsen læser rapporten
- At læse sammenfatningen som en dom over en person.
- At springe usikkerhederne over, fordi de “bare er forbehold”.
- At dele rapporten bredt i ledelsen eller med medarbejdere.
- At citere enkelte linjer i mails uden sammenhæng.
- At handle på rapporten, før advokaten har læst den.
- At konfrontere medarbejderen med tekniske detaljer uden forberedelse.
Hvis I er uenige med rapporten
Det kan ske, at rapporten ikke viser det, I forventede, eller at I mener, at noget er overset. Spørg den IT-sagkyndige, hvad der skal til for at undersøge det nærmere, og om det overhovedet er muligt med det sikrede materiale. Bed ikke om at få konklusionen ændret. En IT-sagkyndig skal skrive det, der kan dokumenteres, og en rapport, der er tilpasset jeres ønsker, er værdiløs i en tvist.
Er I i tvivl om kvaliteten, eller har I fået en rapport fra jeres egen IT-leverandør, kan en uvildig IT-sagkyndig læse den igennem og vurdere metode og konklusioner.
→ Second opinion på jeres IT-leverandørs undersøgelse
Rapporten som jeres egen dokumentation
Rapporten er også dokumentation for, at virksomheden har håndteret sagen ordentligt: at data blev sikret i tide, at undersøgelsen var afgrænset, og at beslutninger blev truffet på et sagligt grundlag. Gem den i jeres sikre sagsmappe sammen med beslutningsloggen. Aftal med advokaten, hvor længe den skal gemmes, og hvem der har adgang til den.
IT-rapporten og jeres samlede undersøgelsesrapport
IT-rapporten er ofte kun én del af en intern undersøgelse. Der kan også være referater af samtaler, en gennemgang af dokumenter og en juridisk vurdering. Saml det i en undersøgelsesrapport, hvor IT-rapportens konklusioner gengives korrekt og med de samme forbehold. Skriv ikke IT-fundene om med egne ord, så de lyder mere sikre, end de er.
→ Undersøgelsesrapporten: en struktur, ledelsen kan bruge
Hvem i virksomheden skal læse rapporten?
Hold kredsen lille. Typisk læser sagsejeren og advokaten hele rapporten. HR får de dele, der er relevante for en personalesag. IT får kun det, der er nødvendigt for at forbedre sikkerheden eller rette en fejl. Den, sagen handler om, kan have krav på at se dele af materialet, men det vurderes af advokaten.
Læs også: Advokat, IT-sagkyndig og intern IT i samme sag: arbejdsgangen · Når IT-driften ligger hos en ekstern leverandør: det kan I kræve
→ IT-sagkyndig for virksomheder · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
