Den første time efter en mistanke handler ikke om at finde ud af, om mistanken er rigtig. Den handler om at sørge for, at det stadig kan undersøges i morgen. Gør så lidt som muligt, men gør det rigtige: hold kredsen lille, stop alt, der kan slette, og skriv ned, hvad I ved.
Tjeklisten er lavet til at blive printet og lagt i lederhåndbogen. Den passer til de fleste situationer: mistanke om, at en medarbejder tager data med, misbruger en adgang, har ændret i tal eller opfører sig illoyalt over for virksomheden. Punkterne står i den rækkefølge, de typisk skal tages. Spring dem over, der ikke passer, men skriv ned, at I har sprunget dem over.
Minut 0-10: Træk vejret, og hold kredsen lille
- ☐ Fortæl ikke andre om mistanken endnu. Heller ikke ledergruppen.
- ☐ Udpeg én person, der ejer sagen. Typisk den øverste leder, der ikke selv er involveret.
- ☐ Find ud af, om den involverede har administratoradgang til IT, økonomi eller HR. Så skal IT ikke have besked gennem den person.
- ☐ Konfrontér ikke medarbejderen. Ikke i dag.
- ☐ Skriv ikke om mistanken i en mail, en Teams-chat eller en kalenderinvitation med en sigende titel.
Den største risiko i den første time er, at mistanken når frem til den, det handler om. Så kan data nå at forsvinde, før nogen har set på dem. → Intern undersøgelse: hvem skal vide hvad, og hvornår?
Minut 10-25: Skriv ned, hvad I ved
Tag et stykke papir eller et dokument, som kun sagsejeren har adgang til. Skriv:
- ☐ Hvem mistanken angår, og hvilken stilling vedkommende har.
- ☐ Hvad der konkret har givet mistanke, og hvornår I blev opmærksomme på det.
- ☐ Hvem der har fortalt jer det, og hvordan.
- ☐ Hvilke systemer og hvilket udstyr medarbejderen har adgang til.
- ☐ Om nogen allerede har kigget i mails, filer eller udstyr, og i så fald hvem og hvornår.
Skriv det, I har set eller hørt. Ikke det, I tror. “En kunde nævnte i telefonen kl. 10.15, at de havde fået et tilbud fra en anden virksomhed med vores priser” er bedre end “Medarbejderen sælger vores kunder videre”.
Minut 25-40: Stop det, der kan slette
Det her er det eneste tekniske punkt i den første time. Det skal gøres af en, I stoler på, og som ikke selv er tæt på sagen.
- ☐ Bed IT eller IT-leverandøren om at stoppe automatisk sletning for medarbejderens postkasse, OneDrive eller Drev og chats. Ikke slette, ikke flytte, kun stoppe.
- ☐ Bed om, at backup ikke overskrives for den relevante periode.
- ☐ Bed om, at revisionsloggen eksporteres, eller at det sikres, at den ikke udløber.
- ☐ Bed om, at computer og telefon ikke geninstalleres, nulstilles eller fjernslettes.
- ☐ Skriv ned, hvem I bad om hvad, og hvornår.
Spær ikke medarbejderens konto i den første time, medmindre der er en akut risiko for skade, som er større end risikoen for at advare. Det er en afvejning, som I gerne må tage med advokaten. Er der en akut risiko, fx at medarbejderen er ved at overføre penge eller slette en kundedatabase, så luk adgangen, men skriv ned, hvornår og hvorfor.
Minut 40-60: Ring til de rigtige
- ☐ Advokat: Kan vurdere, hvad I må, og hvilke juridiske skridt der kan komme på tale.
- ☐ IT-sagkyndig: Kan vurdere, hvad der skal sikres, og hvor hurtigt.
- ☐ Forsikring: Kun hvis der kan være tale om et tab, der er dækket. Tjek policen.
Det er bedre at ringe for tidligt end for sent. Et kort opkald forpligter ikke til en hel sag. Haster det, så sig det. Hastesager koster ekstra hos de fleste rådgivere, også hos Nielco IT. → Pris og tilbud
Det må I ikke gøre i den første time
- Kigge i medarbejderens mail · Det kan være i strid med reglerne og efterlader spor i loggen
- Tænde computeren og se efter · Tidsstempler ændres, og det kan ikke gøres om
- Bede IT finde beviserne · IT skal bevare, ikke undersøge
- Spørge kolleger, om de har set noget · Mistanken spreder sig, og vidner påvirker hinanden
- Konfrontere medarbejderen · Data kan forsvinde samme aften
- Slette eller spærre kontoen · Postkasse og filer kan forsvinde
Reglerne for, hvad en arbejdsgiver må kontrollere, afhænger af jeres IT-politik, orientering af medarbejderne og eventuel overenskomst eller kontrolaftale. Tjek det, før nogen åbner noget.
Hvem gør hvad i den første time?
- Sagsejer · Holder kredsen lille, skriver notat, ringer til advokat
- IT eller IT-leverandør · Stopper sletning, rører ikke data
- HR · Finder kontrakt, klausuler og IT-politik frem
- Advokat · Vurderer næste skridt
- IT-sagkyndig · Vurderer, hvad der skal sikres og hvornår
I en lille virksomhed er sagsejer og HR ofte den samme person. Det er i orden. Det vigtige er, at én person har overblikket og fører notatet.
Hvis I er i tvivl om, hvor alvorligt det er
Mange ledere venter, fordi de ikke vil gøre en stor sag ud af noget, der måske er en misforståelse. Det er en forståelig reaktion, men den koster ofte beviser. At bevare data er ikke det samme som at anklage nogen. Det er en neutral handling, som beskytter både virksomheden og medarbejderen. Viser mistanken sig at være forkert, kan I ophæve bevarelsen igen, og ingen andre end sagsejeren og IT behøver at vide, at den har været der. Det, der ikke kan gøres om, er sletning.
Hvis medarbejderen allerede er stoppet
Er medarbejderen fratrådt, er tempoet et andet. Konti og udstyr kan være på vej til at blive slettet eller genbrugt som en del af den normale offboarding. Stop det først, og brug derefter tjeklisten for de første 48 timer. → Medarbejderen er stoppet: de første 48 timer
Hvis mistanken angår en leder eller ejer
Går mistanken på en direktør, en medejer eller en anden med vide adgange, skal sagen ejes af en anden: bestyrelsesformanden eller en anden ejer. Involvér advokaten med det samme, og lad ikke IT få besked gennem den normale ledelseslinje.
Når den første time er gået
Efter den første time skal I have:
- ☐ én sagsejer,
- ☐ et notat med det, I ved,
- ☐ en bekræftelse fra IT på, at sletning er stoppet,
- ☐ en aftale med advokat og eventuelt IT-sagkyndig,
- ☐ en liste over, hvem der kender til sagen.
Så har I købt jer tid. Resten af det første døgn handler om at sikre data ordentligt og beslutte, hvad der skal undersøges. → De første 24 timer
Gem tjeklisten, før I får brug for den
Tjeklisten virker bedst, hvis den ligger klar. Print den, læg den i lederhåndbogen, og skriv navne og telefonnumre på advokat, IT-leverandør og IT-sagkyndig bag på. En kortere version på én side findes som lommekort. → Lommekort: hvis vi får mistanke
Læs også: Skabelon til intern log over beviser · Skabelon: kommissorium for en intern undersøgelse · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
