Ved en intern undersøgelse af økonomien er svaret som regel: alle tre, men med hver sin rolle. Advokaten leder undersøgelsen og vurderer de juridiske spørgsmål. Revisoren gennemgår tal og regnskab. IT-sagkyndige sikrer og analyserer data om, hvem der gjorde hvad i systemerne. Det vigtigste for bestyrelse og ejere er at beslutte, hvem der har ansvaret for helheden, og at rollerne bliver beskrevet, før arbejdet begynder.
Hvorfor det er svært at vælge
Mange virksomheder ringer først til den rådgiver, de kender bedst, og det er ofte revisoren. Det er et naturligt valg, fordi revisoren kender regnskabet. Men en intern undersøgelse handler sjældent kun om tal. Den handler også om personer, ansættelsesret, persondata, mulige krav og digitale spor. Hvis én rådgiver skal klare det hele, bliver der huller, eller rådgiveren arbejder uden for sit felt. Det opdager man ofte først, når modpartens advokat stiller spørgsmål til, hvordan data er hentet, eller hvorfor en samtale blev holdt, før beviserne var sikret. Så er det for sent at gøre det om.
Hvad de tre kan
Revisor
- gennemgår bogføring, bilag og afstemninger,
- opgør beløb og påvirkning af regnskabet,
- vurderer interne kontroller og hvor de har svigtet,
- kender regnskabsregler og rapporteringskrav.
Revisoren er typisk ikke specialiseret i at sikre computere, mails og logs, så de kan forklares i en retssag.
Advokat
- leder undersøgelsen og sørger for, at den holder sig inden for lovens rammer,
- rådgiver om ansættelsesret, persondata og kontrol med medarbejdere,
- vurderer, om der er grundlag for krav, og hvordan de skal rejses,
- tager sig af samtaler og korrespondance med de involverede.
Advokaten er typisk ikke specialist i regnskab eller IT og skal have hjælp til begge dele.
IT-sagkyndig
- sikrer data fra computere, telefoner, mail, cloud og systemer på en måde, der kan dokumenteres,
- analyserer logs og spor: hvem var logget ind, hvad blev ændret, og hvornår,
- undersøger, om filer, bilag eller mails er ændret eller slettet,
- skriver en rapport, der kan bruges af advokat og revisor og i en eventuel tvist.
IT-sagkyndige vurderer ikke regnskabet og giver ikke juridisk rådgivning.
→ IT-sikkerhedsfirma, revisionsfirma eller IT-sagkyndig: hvad er forskellen?
Hvem skal lede undersøgelsen?
- Lille sag, et klart afgrænset forhold, ingen forventet tvist · Ledelsen selv med støtte fra revisor
- Sagen angår en medarbejder og kan føre til afsked eller krav · Advokat
- Sagen kan angå direktionen · Bestyrelsen med en uvildig advokat
- Sagen handler primært om, hvem der gjorde hvad i systemerne · Advokat med IT-sagkyndig som central bidragyder
Ved sager, der kan angå ledelsen, bør bestyrelsen overveje en uvildig undersøgelse. → Bestyrelsen vil have en uvildig undersøgelse
Rækkefølgen
- Sikring først. Før nogen begynder at analysere, skal data sikres. Det gælder bogføring, netbank, mail, filer og computere. Ellers risikerer I, at revisorens og advokatens gennemgang ændrer spor, eller at data forsvinder.
- Kommissorium. Beskriv, hvad der skal undersøges, hvem der gør hvad, og hvem der får resultatet. → Skabelon: kommissorium for en intern undersøgelse
- Parallelt arbejde. Revisor og IT-sagkyndig arbejder hver med sit, og advokaten samler.
- Afstemning undervejs. Fund fra den ene kan pege på noget, den anden skal se på.
- Rapport og beslutning. Advokaten samler konklusionerne, og ledelse eller bestyrelse beslutter, hvad der skal ske med de involverede og med eventuelle krav.
→ Advokat, IT-sagkyndig og intern IT i samme sag: arbejdsgangen
Uvildighed
Den revisor, der har revideret regnskabet, kan have en interesse i resultatet, fordi spørgsmålet kan blive, om revisionen burde have opdaget problemet. Det betyder ikke, at revisoren ikke kan hjælpe, men bestyrelsen bør overveje, om en anden revisor skal stå for undersøgelsen.
Det samme gælder IT. Hvis jeres egen IT-leverandør har drevet de systemer, der skal undersøges, eller hvis leverandøren står tæt på de involverede, bør sikringen laves af en uvildig. Nielco IT sælger ikke produkter og har ingen leverandørpartnerskaber, og der laves altid et konflikttjek, før der gives et overslag.
Advokatsitet har en side om forskellen på IT-revision og IT-sagkyndig bistand set fra advokatens side: → IT-revision eller IT-sagkyndig?
I den lille virksomhed
I en virksomhed med få ansatte er der sjældent en bestyrelse, der kan tage over, og ejeren er ofte både direktør og den, der har opdaget problemet. Her kan det være fristende at klare det selv med revisorens hjælp. Det kan gå, hvis sagen er lille og ikke forventes at ende i en tvist. Men så snart der er tale om afsked, krav eller en medarbejder, der afviser, er det en god idé at få en advokat ind. Og ejeren bør ikke selv gå ind i medarbejderens computer eller mail for at lede efter spor. Det kan ændre data og skabe problemer med reglerne om kontrol og persondata.
Omkostninger og budget
En undersøgelse med flere rådgivere koster, og ledelsen bør have et skøn over omkostningerne, før arbejdet går i gang. Bed hver rådgiver om et overslag for sin del, og aftal, hvordan I bliver orienteret, hvis det ændrer sig. Afgrænsning er det bedste værktøj til at holde omkostningerne nede: jo mere præcist kommissoriet er, jo mindre tid går der med at lede de forkerte steder.
Persondata undervejs
Alle tre rådgivere kommer til at behandle personoplysninger om medarbejdere og måske kunder. Aftal, hvem der er dataansvarlig, om der skal indgås databehandleraftaler, og hvordan materialet opbevares og slettes bagefter.
Typiske fejl
- Revisoren starter, før data er sikret. Gennemgangen kan ændre spor, og data kan forsvinde imens.
- Ingen har det samlede ansvar. Hver rådgiver laver sin del, men ingen samler.
- Advokaten kommer for sent ind. Samtaler med medarbejdere er allerede holdt, og der er skrevet mails, der kan skade sagen.
- Egen IT undersøger. IT-medarbejderen kender de involverede eller har selv adgang til de berørte systemer.
- Rollerne er ikke skrevet ned. Bagefter er der uenighed om, hvem der skulle gøre hvad, og hvem der betaler.
Spørgsmål til bestyrelsen
- Hvem ejer sagen, og hvem rapporterer til hvem?
- Er der nogen i ledelsen eller blandt rådgiverne, der kan være inhabil?
- Er data sikret, og hvem har gjort det?
- Er der et kommissorium?
- Hvornår og hvordan bliver bestyrelsen orienteret?
Hvornår skal I have hjælp udefra?
Så snart en intern undersøgelse af økonomien kan føre til afsked, krav eller en tvist, bør både advokat og IT-sagkyndig være med fra starten. Revisoren er en vigtig del, men sjældent den, der skal stå alene. Kommer sagen fra et fund hos revisoren, så læs: → Revisoren har fundet noget: næste skridt for ledelsen
Denne artikel handler om virksomheders undersøgelse af egne forhold og om civile sager.
Læs også: Revisoren har taget forbehold: hvad kan I dokumentere digitalt? · Skift af bogføringssystem: bevar historik og ændringslog
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
