Et kommissorium er det korte dokument, der fastlægger, hvad en intern undersøgelse skal svare på, hvem der laver den, hvilke data den må bruge, og hvem der får resultatet. Det skrives, før undersøgelsen går i gang, og det godkendes af den, der ejer sagen, typisk direktionen eller bestyrelsen. Uden et kommissorium vokser undersøgelser, data bliver brugt til mere end aftalt, og rapporten svarer på noget andet end det, ledelsen havde brug for.
Skabelonen nedenfor er skrevet til virksomheder med 5-200 ansatte. Den er bevidst kort. Et kommissorium på to sider bliver læst og brugt. Et på tyve gør ikke. Tilpas den sammen med jeres advokat, og gem hver version med dato.
Hvornår skal I bruge et kommissorium?
- når en mistanke skal undersøges systematisk, og ikke bare afklares med en samtale,
- når en ekstern advokat, revisor eller IT-sagkyndig skal hjælpe,
- når bestyrelsen skal have en rapport,
- når undersøgelsen kan ende i en afskedigelse, et erstatningskrav eller en tvist.
Er I stadig i den første time, så vent med kommissoriet. Sørg først for, at data bevares. → Tjekliste: den første time ved mistanke
Skabelonen
Kopiér punkterne ind i et dokument, og udfyld dem. Skriv kort og konkret.
1. Sagens navn og ejer
- Kodenavn for sagen:
- Sagsejer (navn og rolle):
- Godkendt af (direktion eller bestyrelse), dato:
- Version og dato for denne version:
Brug et kodenavn, ikke medarbejderens navn. Kommissoriet kan blive læst af flere, end I forventer.
2. Baggrund
Beskriv i 3-5 sætninger, hvad der har givet anledning til undersøgelsen. Skriv fakta: hvad blev opdaget, hvornår og af hvem. Undgå konklusioner.
3. Formål og spørgsmål
Skriv de konkrete spørgsmål, undersøgelsen skal besvare. Fx:
- Er der sendt kundelister eller tilbud til eksterne adresser i perioden?
- Er der kopieret filer fra fællesdrevet til eksterne enheder eller private konti?
- Har der været login til økonomisystemet fra ukendte enheder?
Spørgsmålene skal kunne besvares med ja, nej eller “kan ikke afgøres”. “Find ud af, hvad der er sket” er ikke et spørgsmål. → Afgrænsning: hvilke personer, data og perioder skal med?
4. Afgrænsning
- Personer: hvilke medarbejdere eller konti omfattes?
- Periode: fra og til hvilken dato?
- Systemer: hvilke systemer og datakilder må bruges?
- Undtaget: hvad er udtrykkeligt ikke med (fx private mapper, helbredsoplysninger, kommunikation med fagforening)?
Afgrænsningen er jeres vigtigste værn mod, at undersøgelsen bliver bredere end nødvendigt. Det beskytter både medarbejderne og virksomheden.
5. Mandat og roller
- Sagsejer · Må: Beslutter, godkender ændringer
- Advokat · Må: Rådgiver, leder evt. undersøgelsen
- IT-sagkyndig · Må: Sikrer og analyserer data inden for afgrænsningen
- HR · Må: Ansættelsesretlige spørgsmål, samtaler
- IT eller IT-leverandør · Må: Bevarer og udleverer data efter instruks
Skriv, hvem der må gennemgå indhold, og hvem der kun må håndtere data teknisk. Det er to forskellige ting.
6. Data og behandling
- Hvilke data sikres, og hvem sikrer dem?
- Hvor opbevares materialet, og hvem har adgang?
- Hvilket behandlingsgrundlag bruges? Er databeskyttelsesrådgiveren inddraget?
- Er IT-politik, kontrolaftale og eventuel overenskomst tjekket?
- Hvornår og hvordan slettes materialet, når sagen er slut?
Reglerne om medarbejderkontrol og persondata skal tjekkes konkret, før data gennemgås.
7. Frister og milepæle
- Data sikret senest:
- Første status til sagsejer:
- Samtale med den undersøgte (hvis relevant):
- Rapport senest:
Sæt også en dato for, hvornår kommissoriet skal genovervejes, hvis der ikke er svar. Frister holder undersøgelsen i gang, og de gør det muligt for ledelsen at stoppe en undersøgelse, der ikke fører nogen vegne, før den bliver for dyr.
8. Rapport og modtagere
- Hvem modtager rapporten?
- Skal den være skriftlig eller mundtlig?
- Hvem må se den, og hvem må ikke?
- Skal den undersøgte orienteres om resultatet, og hvordan?
→ Undersøgelsesrapporten: en struktur, ledelsen kan bruge
9. Ændringer
Skriv, at kommissoriet kun kan ændres skriftligt af sagsejeren, og at ændringer dateres. Finder undersøgelsen noget uden for afgrænsningen, stopper den og spørger sagsejeren, før den går videre.
Et udfyldt eksempel på punkt 3 og 4
Det kan være svært at skrive spørgsmål og afgrænsning første gang. Her er et typisk eksempel, hvor en sælger har sagt op, og ledelsen har mistanke om, at kundedata er taget med. Navne og datoer er udeladt.
Spørgsmål:
- Er der i opsigelsesperioden sendt mails med vedhæftede filer fra medarbejderens arbejdsmail til private eller ukendte adresser?
- Er der hentet kundelister eller rapporter ud af CRM-systemet i perioden, og i hvilket omfang i forhold til normalt?
- Er der tilsluttet USB-enheder eller synkroniseret filer til private cloudtjenester fra arbejdscomputeren?
Afgrænsning:
- Person: kun medarbejderens egen konto og arbejdscomputer.
- Periode: fra 30 dage før opsigelsen til fratrædelsesdagen.
- Systemer: mail, CRM, OneDrive og arbejdscomputeren.
- Undtaget: mapper eller mails markeret som private, korrespondance med fagforening og læge.
Læg mærke til, at spørgsmålene ikke spørger, om medarbejderen har handlet illoyalt. Det er en juridisk vurdering, som advokaten og eventuelt en domstol skal foretage. Undersøgelsen skal levere fakta, som vurderingen kan bygge på.
Hvem skriver kommissoriet?
Sagsejeren har ansvaret, men advokaten skriver det typisk eller gennemgår det. Den IT-sagkyndige kan hjælpe med at gøre punkt 3, 4 og 6 konkrete: hvilke data der faktisk findes, hvor længe de gemmes, og hvad der kan besvares teknisk. Det giver et realistisk kommissorium i stedet for et ønskekommissorium.
Advokatsitet har en skabelon til opdraget for en IT-erklæring. Den bruges, når en IT-sagkyndig skal levere en erklæring til brug i en retssag, og den er snævrere end kommissoriet. → Skabelon: opdrag til en partsindhentet IT-erklæring
Typiske fejl
- Ingen afgrænsning af periode · Undersøgelsen bliver dyr og rammer for mange data
- Spørgsmål, der ikke kan besvares · Rapporten ender uden konklusion
- Den involverede er med i kredsen · Undersøgelsen mister troværdighed
- Kommissoriet ændres mundtligt · Ingen kan bagefter se, hvad der var aftalt
- Intet om sletning bagefter · Materialet ligger i årevis uden formål
Når undersøgelsen finder noget uventet
Det sker ofte, at en undersøgelse støder på noget, der ligger uden for kommissoriet: en anden medarbejder, en anden periode eller et helt andet forhold. Kommissoriet skal sige, hvad der så sker. Den sikre regel er, at den, der finder noget, stopper, noterer fundet kort og spørger sagsejeren. Sagsejeren beslutter så, om kommissoriet skal udvides, eller om fundet skal håndteres som en ny sag med eget kommissorium. Det holder undersøgelsen inden for det, der er godkendt, og det gør det lettere at forklare bagefter, hvorfor data blev brugt.
Kort sagt
Skriv kommissoriet, når data er bevaret, og før nogen begynder at læse. Hold det kort, konkret og dateret. Få advokaten til at gennemgå det, og lad den IT-sagkyndige tjekke, at spørgsmålene kan besvares med de data, I har.
Læs også: Tjekliste: den første time ved mistanke · Skabelon: brief til den IT-sagkyndige · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
