Mange styrer bruker fortsatt papirer, e-post og usystematiske mapper. Det øker risikoen for brudd på personvern og svekker tillit og beslutningskvalitet fordi dokumenter håndteres, deles og slettes uten tilstrekkelig kontroll. Her får du vite hvorfor, og hva styret kan gjøre for å redusere risikoen.
Styrearbeid har endret seg mye de siste årene, men arbeidsmetodene har ikke alltid fulgt med. Mange styrer risikerer lovbrudd fordi de bruker e-post og lokale mapper til å håndtere sensitive dokumenter med personopplysninger. Denne praksisen gjør at styret mangler kontroll over tilgang, versjoner og historikk. Konsekvensene kan være alt fra juridisk risiko og personlig ansvar til svekket beslutningskvalitet og tillitstap. Ansvar for sikker og forsvarlig styring ligger hos styret, spesielt styreleder og daglig leder. Det er viktig å gå gjennom styrets egne rutiner og praksis for å redusere risikoen.
I 1999 fryktet mange en digital dommedag. Frykten skyldtes teknisk gjeld og manglende tilpasning til den digitale virkeligheten. Over 25 år senere arbeider mange styrer fortsatt på samme måte som da, med papirer sendt på e-post, signert på papir og lagret i permer eller på tilfeldige mapper på den enkeltes PC. Internasjonale undersøkelser viser at få styrer har tatt i bruk verktøy som ivaretar styreansvarets krav til kontroll og etterprøvbarhet. 1999-spørsmålet fungerer som et speil. Dersom rutinene minner om en tid med svak tilgangskontroll, mangelfull logging og tilfeldig sletting, er det et tydelig faresignal.
E24 har publisert en kronikk fra Ernst & Young (EY) Norge som påpeker at ni av ti styremedlemmer risikerer brudd på personvernlovgivningen. En hovedårsak er svak kontroll på hvordan styredokumenter håndteres, deles, lagres og slettes. Selv i digitalt modne virksomheter er e-post, vedlegg og spredte mapper fortsatt utbredt. Det gjør tilgang, versjoner og historikk krevende å styre.
Veilederen forklarer hvilke praksiser som skaper risiko, årsakene bak og hvilke følger manglende kontroll har for etterlevelse, kvalitet og tillit. Den er skrevet for styremedlemmer, daglig leder, styresekretærer og kandidater til slike roller.
Den praktiske hverdagen i mange styrer er preget av verktøy og rutiner som oppleves som raske og kjente. E-post, Word og spredte mapper gir en følelse av kontroll, men i praksis mangler styret helhetlig oversikt, sporbarhet og etterprøvbarhet. Når møteinnkallinger, agendaer og protokoller sendes som vedlegg, når historikk blir liggende i personlige innbokser, og når tilgang for tidligere styremedlemmer ikke fjernes, oppstår det et strukturelt avvik mellom faktisk praksis og lovens krav. Det er ikke unikt for et fåtall. Det er den daglige realiteten for mange.
Selv i virksomheter med høy digital modenhet skjer styrearbeidet ofte i kanaler som ikke er designet for sensitiv behandling. Styredokumenter vil, med høy sannsynlighet, inneholde personopplysninger om ansatte, kandidater, kunder, eiere og partnere. Når slike data deles via e-post og lagres i private mapper, er det lett å miste kontroll på hvem som har tilgang, hvor lenge informasjonen lagres og om sletting faktisk skjer. Dette gapet mellom praksis og krav er kjernen i advarselen E24 løfter frem.
Styreverv er personlig, og mange bruker én e-postadresse for alle verv. Når dokumenter fra ulike styrer samles i samme innboks og ofte i like tråder, øker risikoen for feil mottaker, feil vedlegg, sammenblanding av taushetsbelagt informasjon og manglende etterprøvbarhet. Dette er vanskelig å oppdage i etterkant og gjør hendelser krevende å dokumentere.
I tillegg til sikkerhetsutfordringene bidrar e-post til ustrukturert og fragmentert kommunikasjon. Viktig informasjon forsvinner lett i lange tråder eller overses i overfylte innbokser. For styremedlemmer med flere verv blir det krevende å holde oversikten, og det finnes ingen garanti for at alle jobber i samme versjon.
Disse vanlige praksisene utgjør den største risikoen for lovbrudd. Hver for seg kan de virke uproblematiske, men sammen svekker de styrets kontroll, sporbarhet og etterlevelse.
Fellesnevneren er mangel på helhetlig struktur, samlet historikk og tydelig tilgangsstyring. Det gjør enkelthandlinger sårbare og hele styrets praksis vanskelig å etterprøve.
Når styret svikter handler sjelden om vond vilje, men om en kombinasjon av vaner, manglende kunnskap og uklart eierskap. Her er en oversikt over de vanligste årsakene.
Samlet viser disse faktorene hvorfor styret ofte mangler den nødvendige kontrollen.
Når styret mister kontroll på tilgang, versjoner og historikk, får det følger som går langt utover tekniske detaljer. Konsekvensene rammer etterlevelse, kvalitet i beslutninger og tillit. Punktene under oppsummerer de vanligste utslagene du bør se etter.
Dette er ikke bare et juridisk problem. Det er et styringsproblem som direkte påvirker kvaliteten på styrets arbeid.
Sjekklisten under hjelper styret å vurdere hvor sårbar dagens praksis er. Les hvert punkt og svar ja eller nei, uten tolkning eller unntak. Tell antall ja-svar for en enkel risikovurdering, 0 til 2 lav, 3 til 5 moderat, 6 eller flere høy. Noter hvilke punkter som traff, og hvilke situasjoner som utløste ja. Hvis flere i styret svarer ulikt, tyder det på manglende felles forståelse og økt risiko. Bruk resultatet som grunnlag for en intern gjennomgang av praksis.
Svarene gir et direkte bilde av styrets risikobilde. En høy poengsum er et tydelig faresignal. Det viser at styret kan stå overfor alvorlige konsekvenser, ikke bare i form av lovbrudd, men også for kvaliteten på styrearbeidet og tilliten fra eiere, ansatte og andre interessenter.
Under ser du to scenarioer som viser hvordan e-postrutiner kan skape både sikkerhetsbrudd og svakere beslutninger.
En e-posttråd i styret pågår over flere dager. Et oppdatert dokument med personopplysninger sendes ved en feil til et tidligere styremedlem i konflikt med selskapet. Feilen oppdages først når vedkommende svarer i tråden. Da ligger dokumentet allerede i flere innbokser og på ulike enheter. Det tidligere styremedlemmet videresender e-posten til sin advokat for å synliggjøre at styret mangler kontroll. En intern gjennomgang avdekker at tilgangsstyring og sletting ikke følger regelverket. Resultatet er svekket omdømme og økt risiko for sanksjoner. Hendelsen viser at gamle rutiner ikke tåler dagens krav.
Styret skal beslutte en investering. Saksansvarlig sender et oppdatert beslutningsgrunnlag på e-post. I en eldre e-posttråd svarer et styremedlem med en tidligere versjon vedlagt. Flere styremedlemmer forbereder seg til møtet med ulike tall. I møtet viser det seg at deltakerne har ulike forutsetninger, og saken må utsettes. Etterpå bruker administrasjonen tid på å rydde i versjoner, journalføre korreksjoner og informere interessenter. Hendelsen viser hvordan versjonsglidning og manglende systemer direkte svekker kvaliteten i styrets beslutninger.
Gapet mellom lovens krav og vanlig praksis er reelt for mange styrer. Personopplysninger behandles uten tilstrekkelig kontroll, dokumentflyten er uoversiktlig, og etterprøvbarhet er svak. Dette er ikke et rent IT-spørsmål. Det er en del av styrets kjerneansvar for forsvarlig organisering og kontroll.
Ansvaret ligger hos styret som kollegium, med særskilt ansvar hos styreleder og daglig leder. Samtidig er det ofte styresekretæren som ser svakhetene tydeligst, fordi vedkommende håndterer dokumenter og prosesser i praksis. Styret kan ikke individualisere ansvaret bort. Når praksis er utdatert, øker risikoen for brudd, bøter og svekket styring. Budskapet er enkelt. En kritisk gjennomgang av egen praksis er første og nødvendige steg for å redusere risiko og sikre etterlevelse.