Når mistanken angår direktøren, er det bestyrelsen, der skal eje sagen, typisk gennem formanden. Direktøren og den del af ledelsen, der refererer til direktøren, skal holdes ude af beslutninger, bestilling og rapportering. Bestyrelsen bør hurtigt få en advokat og en uvildig IT-sagkyndig, som ikke har bindinger til direktionen, og den skal kortlægge direktørens adgange, før noget ændres.
Det er en af de sværeste situationer, en bestyrelse kan stå i. Direktøren har ofte adgang til alt, kender IT-leverandøren personligt og er den, medarbejderne normalt går til. Den sædvanlige vej for en intern sag går gennem den person, sagen handler om. Artiklen beskriver, hvordan bestyrelsen organiserer sig, og hvad den skal være opmærksom på i de første dage.
Advokatsitet beskriver, hvordan mails og bestyrelsesmateriale kan blive bevis i spørgsmål om ledelsesansvar.
→ Ledelsesansvar: mails og bestyrelsesmateriale som bevis
Hvem beslutter?
Bestyrelsen som helhed har ansvaret, men i praksis skal én person eje sagen. Det er typisk formanden. Er formanden tæt på direktøren eller selv en del af det, sagen handler om, bør bestyrelsen udpege en anden. Aftal i bestyrelsen, hvem der ejer sagen, og skriv det ned.
Hold kredsen lille, også i bestyrelsen. Er direktøren selv medlem af bestyrelsen, eller er der medlemmer med tætte bånd til direktøren, skal det overvejes, hvordan de holdes uden for sagen, indtil der er et grundlag. Tal med advokaten om det.
Hvem bestiller, og hvem modtager rapporten?
- Hvem bestiller? · Bestyrelsen eller dens advokat
- Hvem er kontaktperson? · Den, der ejer sagen i bestyrelsen
- Hvem modtager rapporten? · Bestyrelsen eller dens advokat
- Hvem må ikke informeres? · Direktøren og dem, der refererer direkte
Vælg advokat og IT-sagkyndig uden bindinger til direktionen. Brug ikke selskabets faste advokat, hvis advokaten arbejder tæt sammen med direktøren. Brug ikke selskabets IT-leverandør til sikringen, hvis leverandøren er valgt af eller tæt på direktøren.
→ Bestyrelsen vil have en uvildig undersøgelse
Kortlæg direktørens adgange først
En direktør har ofte rettigheder, som ingen andre har:
- administratorrettigheder i Microsoft 365, Google Workspace eller andre systemer,
- adgang til netbank og betalingsgodkendelse,
- adgang til økonomisystem, lønsystem og HR-system,
- adgang til andres postkasser og filer,
- direkte kontakt med IT-leverandøren og mulighed for at bestille ændringer,
- adgang til logs, der kan vise, hvad der er sket.
Kortlæg det, før noget ændres. En direktør med administratorrettigheder kan se, når der sættes bevarelse på, og kan i nogle systemer slette eller ændre logs. Planlæg derfor bevaring og sikring sammen med den IT-sagkyndige, så det sker i den rigtige rækkefølge.
→ Mistanke mod IT-administratoren: når den mistænkte har nøglerne
De første skridt
- Bestyrelsen udpeger en sagsejer og beslutter, hvem der kender til sagen.
- Sagsejeren kontakter en advokat uden bindinger til direktionen.
- Advokaten og sagsejeren kontakter en uvildig IT-sagkyndig.
- Adgange kortlægges, så det er klart, hvem der kan stoppe sletning, og hvem der kan se, at det sker.
- Bevaring og sikring planlægges og gennemføres, før direktøren orienteres.
- Beslutninger skrives ned i en log, som kun sagsejeren og advokaten har adgang til.
Tidsplan
Bestyrelsen arbejder normalt i et roligt tempo med faste møder. En sag som denne kræver, at sagsejeren kan handle inden for timer eller dage. Aftal på forhånd, hvilke beslutninger sagsejeren kan træffe alene, for eksempel at bestille en sikring, og hvilke der kræver hele bestyrelsen. Ellers risikerer I, at data forsvinder, mens der indkaldes til et ekstraordinært møde.
Lav en enkel plan for de første to uger: hvornår data bevares, hvornår sikringen er færdig, hvornår bestyrelsen orienteres, og hvornår der tages stilling til at tale med direktøren. Planen kan ændres, men den giver retning.
Det skal bestyrelsen ikke gøre
- Konfrontere direktøren, før data er bevaret.
- Bede direktøren om at “sende det materiale, vi har brug for”.
- Bede økonomichefen eller en anden medarbejder om at undersøge sin egen chef.
- Bruge bestyrelsesportalen eller selskabets mail til at drøfte sagen, hvis direktøren har adgang til dem.
- Sende materiale rundt i hele bestyrelsen.
Når direktøren også er ejer
I mange mindre selskaber er direktøren også medejer, og bestyrelsen består af andre ejere eller familie. Så er sagen både en ledelsessag og en ejersag. Ejeraftalen kan have bestemmelser om, hvad der sker ved misligholdelse, og om adgang til selskabets oplysninger. Tag den frem tidligt, og lad advokaten vurdere den. Vær opmærksom på, at de øvrige ejere kan have egne interesser i sagens udfald, og at uafhængigheden derfor skal sikres gennem en ekstern advokat og en uvildig IT-sagkyndig.
Medarbejderne
Medarbejdere, der har set noget, kan være i en svær position. De arbejder for direktøren og kan frygte konsekvenser. Har selskabet en whistleblowerordning, kan den være en vej for medarbejdere til at give oplysninger. Bestyrelsen skal være opmærksom på, at der kan være regler, der beskytter dem, der har indberettet.
Forsikringen
Selskabet kan have en ledelsesansvarsforsikring, der kan få betydning, hvis der rejses krav mod direktøren eller bestyrelsen. Tjek betingelserne, og tal med advokaten om, hvornår forsikringsselskabet skal underrettes. Underretningen kan være omfattet af frister.
Rapportering i bestyrelsen
Når undersøgelsen skrider frem, skal bestyrelsen orienteres. Aftal, hvad der rapporteres, hvor ofte og hvordan. Bestyrelsen har brug for status og beslutningspunkter, ikke alle detaljer. Skriv referater af bestyrelsesmøder om sagen sagligt og med advokatens hjælp, fordi de selv kan blive en del af sagen.
→ Rapportering til bestyrelsen om en intern undersøgelse
Når direktøren skal orienteres
På et tidspunkt skal direktøren have mulighed for at forklare sig. Det sker typisk, når data er sikret, og når bestyrelsen har et overblik over, hvad undersøgelsen viser. Planlæg samtalen med advokaten. Aftal på forhånd, hvad der skal ske med direktørens adgange under og efter samtalen, og om direktøren skal fritstilles, mens undersøgelsen afsluttes. Sørg for, at selskabets drift kan fortsætte, hvis direktøren ikke er til stede.
Hvis mistanken ikke holder
Det kan vise sig, at der var en god forklaring. Så er det lige så vigtigt at kunne dokumentere det. En grundig og uvildig undersøgelse beskytter også direktøren mod en uberettiget mistanke. Aftal med advokaten, hvordan sagen afsluttes, og hvad der sker med det sikrede materiale.
Hvis mistanken holder
Så skal bestyrelsen tage stilling til næste skridt sammen med advokaten. Det kan være ansættelsesretlige skridt, krav om erstatning, en forhandlet løsning eller andet. Rapporten er grundlaget, men beslutningen er bestyrelsens. Skriv beslutningen og begrundelsen ned, og aftal med advokaten, hvordan den meddeles til direktøren, til resten af ledelsen og eventuelt til selskabets ejere. Tænk også over, hvem der skal lede selskabet i overgangen, og hvordan medarbejderne orienteres, uden at der deles flere oplysninger end nødvendigt.
Læs også: Hvem ejer domænet, kontoen og dataene? · Bestyrelsen modtager en alvorlig henvendelse: de første skridt
→ Uvildig IT-undersøgelse for bestyrelsen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
