En god rapport fra en intern undersøgelse svarer på de spørgsmål, ledelsen stillede, i den rækkefølge de blev stillet, og skelner tydeligt mellem det, der er dokumenteret, det, der er sandsynligt, og det, der ikke kunne afklares. Den skal kunne læses af en travl direktør eller et bestyrelsesmedlem uden teknisk baggrund, og den skal samtidig kunne tåle at blive læst af en advokat eller en modpart, hvis sagen ender i en tvist.
Artiklen er til den leder eller sagsejer, der skal skrive eller bestille rapporten, og til den bestyrelse, der skal læse den. Den giver en struktur, som passer til de fleste interne undersøgelser, og beskriver, hvordan rapporten fra en IT-sagkyndig passer ind.
Rapporten er ledelsens beslutningsgrundlag
Rapporten er ikke selve beslutningen. Den samler de fakta, ledelsen skal bruge for at beslutte, om der skal ske noget: en advarsel, en afskedigelse, et krav, en forbedring af kontroller eller ingen ting. Derfor skal rapporten være neutral i sproget og ærlig om usikkerheder. En rapport, der lyder som en anklage, er svagere end en rapport, der bare viser, hvad der er fundet.
Strukturen
1. Resumé
Én side med de vigtigste konklusioner, ét svar pr. spørgsmål. Skriv svarene klart: “Ja”, “Nej”, “Delvist” eller “Kunne ikke afklares”, efterfulgt af en kort begrundelse. Mange læsere læser kun resuméet, så det skal kunne stå alene.
2. Baggrund og opdrag
Hvad udløste undersøgelsen, hvem besluttede den, og hvilke spørgsmål skulle den besvare? Henvis til mandatet og afgrænsningen.
→ Afgrænsning: personer, data og perioder
3. Fremgangsmåde
Hvad er gjort, i hvilken rækkefølge, og af hvem? Hvilke datakilder er sikret og gennemgået, og hvilke er ikke? Hvilke søgeord og perioder er brugt? Hvem er interviewet? Fremgangsmåden er det afsnit, en modpart vil læse grundigst.
4. Fund pr. spørgsmål
Tag spørgsmålene ét ad gangen. For hvert spørgsmål:
- hvad viser materialet,
- med henvisning til den konkrete dokumentation (bilag, udtræk, log),
- hvad har medarbejderen forklaret,
- hvordan hænger forklaringen sammen med materialet.
Hold fakta og vurderinger adskilt. “Loggen viser, at filen blev downloadet den 3. marts kl. 22.14 fra medarbejderens konto” er et faktum. “Det er sandsynligt, at medarbejderen selv downloadede filen” er en vurdering, som skal begrundes.
5. Usikkerheder og begrænsninger
Hvad kunne ikke undersøges, og hvorfor? Manglede der logs? Var en telefon ikke tilgængelig? Er der alternative forklaringer, som ikke kan udelukkes? Dette afsnit gør rapporten stærkere, ikke svagere. En rapport uden usikkerheder virker sjældent troværdig.
6. Konklusion
Saml svarene på spørgsmålene. Konklusionen må ikke gå videre end fundene. Har undersøgelsen afsløret svagheder i virksomhedens egne rutiner, for eksempel manglende logning eller for brede adgange, kan de nævnes her som anbefalinger, adskilt fra konklusionerne om de konkrete forhold.
7. Bilag
Mandat, afgrænsning, søgeordsliste, log over beviser, referater, medarbejderens bemærkninger og eventuel rapport fra den IT-sagkyndige.
Sproget
- “Medarbejderen har stjålet data” · “Filerne er sendt til en privat adresse”
- “Det er bevist” · “Materialet viser” eller “det er dokumenteret, at”
- “Tydeligvis”, “selvfølgelig” · Lad fakta tale
- Tekniske forkortelser uden forklaring · Kort forklaring første gang
Brug de samme betegnelser hele vejen. Kalder I det “arbejdscomputeren” ét sted, så skriv ikke “laptoppen” et andet. Skriv tidspunkter med dato og tidszone, når det er relevant.
Den IT-sagkyndiges rapport
Er der brugt en IT-sagkyndig, leverer vedkommende typisk sin egen rapport om sikring og tekniske fund. Den indgår som bilag, og jeres rapport henviser til den. Gentag ikke hele den tekniske rapport. Træk de konklusioner ud, der svarer på jeres spørgsmål, og henvis til, hvor de står.
Den tekniske rapport bør selv være skrevet, så den kan efterprøves af en anden sagkyndig. Det er en del af grunden til, at den skal leveres af en uvildig sagkyndig.
→ Rapportskrivning i digital forensic
→ Sådan læser ledelsen IT-rapporten
Når mistanken ikke holdt
Nogle undersøgelser ender med, at mistanken ikke kan bekræftes, eller at den viser sig at være forkert. Så er rapporten lige så vigtig. Den dokumenterer, at virksomheden tog mistanken alvorligt, undersøgte den sagligt og nåede frem til et resultat. Skriv det lige så tydeligt som en bekræftende konklusion: “Undersøgelsen har ikke fundet tegn på, at kundelister er sendt ud af virksomheden.”
Overvej også, hvordan medarbejderen skal have besked. En medarbejder, der har været under mistanke, har krav på at vide, at sagen er afsluttet. Tal med advokaten om, hvad der skal siges, og hvordan.
Rapporten til bestyrelsen
Handler sagen om ledelsen, eller har den økonomisk eller omdømmemæssig betydning, skal bestyrelsen ofte have rapporten. Bestyrelsen har brug for resuméet, usikkerhederne og en anbefaling om næste skridt. Overvej, om bestyrelsen skal have hele rapporten med bilag eller en version uden følsomme persondata. Skriv ned, hvem der har fået hvilken version.
Hvem skriver rapporten?
I mindre sager kan sagsejeren skrive rapporten selv, med den IT-sagkyndiges rapport som bilag. I større sager, eller når sagen handler om ledelsen, er det ofte advokaten, der skriver den samlede rapport. Uanset hvem der skriver, bør en anden læse den igennem for at tjekke, at fakta og vurderinger er adskilt, og at konklusionen ikke går videre end grundlaget.
Hvem gør hvad
- Sagsejer · Skriver eller bestiller rapporten
- IT-sagkyndig · Leverer teknisk rapport og forklarer fund
- Advokat · Gennemgår, eller skriver rapporten i større sager
- Ledelse / bestyrelse · Læser og træffer beslutning
Det skal I lade være med
- Skrive konklusionen først og finde fakta bagefter.
- Udelade det, der taler for medarbejderen. Det kommer frem alligevel, hvis sagen ender i en tvist.
- Skjule usikkerheder.
- Sende rapporten bredt rundt. Den indeholder persondata og fortrolige oplysninger. Del den med dem, der skal beslutte, og læg den i sagsmappen.
- Lave udkast i mailtråde. Arbejd i ét dokument med versionshistorik.
Udkast og endelig version
Gem udkast med dato, og skriv, hvem der har kommenteret hvad. Hvis rapporten ændres efter kommentarer fra ledelsen, skal ændringerne være faglige, ikke et forsøg på at få konklusionen til at passe. Den endelige version dateres og underskrives eller godkendes af den, der har skrevet den. Skal rapporten deles med medarbejderen eller en modpart, aftaler I det med advokaten, så I ved, hvad der kan udleveres, og hvad der skal skjules af hensyn til andre.
→ Intern undersøgelse trin for trin
Hvornår skal I have hjælp udefra?
Har sagen digitale spor, der er afgørende for konklusionen, bør den tekniske del dokumenteres af en uvildig IT-sagkyndig, så den kan tåle at blive efterprøvet. Nielco IT er IT-sagkyndig med retssagserfaring og skriver rapporter om sikring og tekniske fund til virksomheder, advokater og domstole. Haster rapporten, koster hastesager ekstra. → Pris og tilbud
Læs også: Den sikre sagsmappe: hvor gemmer I materialet undervejs? · Typisk forløb: sådan ser en sag om datatyveri ud fra start til slut
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
