Bestyrelsens tilsyn med risici: ansvar, rapportering og opfølgning

Risikostyring i bestyrelsen: fra overblik til aktiv overvågning

Bestyrelsen er virksomhedens øverste strategiske ledelse og træffer de langsigtede beslutninger, der sætter rammen for retning og udvikling. Direktionen står for den daglige drift; bestyrelsen har det overordnede ansvar.

Tilsynet gælder ikke kun regnskabet. Bestyrelsen skal forholde sig til strategi, økonomi og væsentlige risici, sikre forsvarlig organisering, føre tilsyn med direktionen og kontrollere økonomi, rapportering og kapitalberedskab. Den skal også sikre, at lovgivning og vedtægter overholdes, og at større investeringer og dispositioner besluttes på et oplyst grundlag.

Bestyrelsen skal sikre nødvendige procedurer for risikostyring og intern kontrol og løbende modtage nødvendig rapportering om selskabets økonomi. Compliance-programmer skal ikke bare eksistere, men bruges effektivt i driften.

Overvågningen har tre faste led: identificér de væsentlige risici, modtag løbende rapportering om dem, og følg op på, om kontrollerne virker. For hver risiko bør bestyrelsen kunne se sandsynlighed, konsekvens, eksisterende kontroller, ansvarlig person og næste opfølgningspunkt.

Bestyrelsens tilsynspligt og det kollektive ansvar

Bestyrelsen er et kollektivt ledelsesorgan, men det enkelte medlem har et selvstændigt ansvar for at deltage aktivt, søge nødvendig information og reagere på kritiske forhold. Ansvaret kan derfor ikke skjules bag en beslutning truffet af bestyrelsen som helhed.

Et bestyrelsesmedlem bliver ikke automatisk ansvarligt, fordi en beslutning viser sig forkert eller fører til tab. Vurderingen afhænger af beslutningsgrundlaget, bestyrelsens handlinger, den tilgængelige information og af, om medlemmet har handlet forsvarligt.

Ansvar kan få både økonomiske og strafferetlige konsekvenser. Strafferetligt bestyrelsesansvar forudsætter typisk grov uagtsomhed eller forsæt, hvor den enkelte aktivt har medvirket til eller undladt at forhindre en lovovertrædelse. Manglende opfølgning på compliance og intern kontrol kan udgøre grov uagtsomhed.

Kan det dokumenteres, at en overtrædelse skyldes mangelfuld ledelse eller kontrol, kan alle bestyrelsesmedlemmer holdes ansvarlige. Ansvaret hviler ikke kun på den enkeltes handlinger, men også på en kollektiv ansvarlighed.

Overvågningen består i at indhente information, vurdere den og handle, når risici ændrer sig. Det er den personlige pligt, der ligger bag det kollektive ansvar.

Hvordan bestyrelsen identificerer og vurderer væsentlige risici

Kortlægningen bør tage udgangspunkt i virksomhedens strategi og de processer, hvor risici kan opstå. En praktisk opdeling er strategiske, finansielle, operationelle, juridiske og compliance-relaterede risici. For hver risiko bør bestyrelsen kunne se sandsynlighed, konsekvens, eksisterende kontroller, ansvarlig person og næste opfølgningspunkt.

Konkrete risikoområder, som bestyrelsen skal kunne håndtere, omfatter blandt andet overtrædelser af markedsføringsloven eller forbrugeraftaleloven, databeskyttelsesforordningen (GDPR), bogføringsloven eller årsregnskabsloven, skatte- og momslovgivningen, arbejdsmiljøloven og miljølovsovertrædelser. Dertil kommer økonomi og kapitalberedskab.

For finansielle virksomheder skal god risikostyring følge §§ 70 og 71 i lov om finansiel virksomhed og bekendtgørelse om ledelse og styring af pengeinstitutter m.fl.

For it- og cybersikkerhed bør bestyrelse og direktion løbende og systematisk arbejde med risikostyring og risikoanalyse. Bestyrelsesmedlemmer bør desuden regelmæssigt vurdere virksomhedens risikoprofil og sikre, at compliance-programmer bruges effektivt.

Metoden er gentagende: Bestyrelsen vurderer risikoprofilen regelmæssigt og holder compliance-programmer op mod den daglige drift. Ændrer en risikos sandsynlighed eller konsekvens sig, bør det udløse nye kontroller og et nyt opfølgningspunkt.

Top 5 risikoområder for danske bestyrelser

Rapportering, interne kontroller og procedurer

Bestyrelsen fastlægger rammerne for risikostyring og intern kontrol. Efter Selskabslovens § 115 skal bestyrelsen overvåge og sikre effektive procedurer for risikostyring og interne kontroller, så juridiske, finansielle og operationelle risici mitigeres. Det kræver ikke blot strategier og politikker, men også at de implementeres og efterleves i den daglige drift.

Rapporteringen skal løbende give bestyrelsen et billede af økonomien. Bestyrelsen godkender årsrapporten og har særligt fokus på, at økonomiske forhold rapporteres korrekt, og at virksomheden styrer risici og kapitalberedskab, så der er likviditet til planerne. Faste møder og rapportering sikrer, at virksomheden drives forsvarligt, og at ledelsen følger bestyrelsens retningslinjer.

Governance er de rammer, politikker og processer, der sikrer ansvarlig styring i overensstemmelse med både interne retningslinjer og eksterne krav. Governance er ikke i sig selv en lov, men afgørende for at håndtere juridiske risici og agere proaktivt i forhold til reguleringer som GDPR, NIS2 og DORA.

Uden klar ansvarsfordeling er politikker og retningslinjer ikke nok; der skal en struktur til, der omsætter governance til handling.

Lever bestyrelsen ikke op til forpligtelserne om risikostyring og interne kontroller, kan medlemmerne efter Selskabslovens § 361 stilles personligt til ansvar. Culpaansvaret betyder, at forsømmelser i bestyrelsesarbejdet kan få direkte juridiske konsekvenser.

Rapporteringen bør følge de faste bestyrelsesmøder og dække økonomi, kapitalberedskab og efterlevelse af bestyrelsens retningslinjer. Viser den afvigelser, skal bestyrelsen kunne se, hvilke handlinger der er sat i gang, og hvornår der følges op.

Vigtige lovgivningsrammer for bestyrelse i Danmark

Dokumentation som bestyrelsens beskyttelse og styringsværktøj

God dokumentation viser, hvilke oplysninger bestyrelsen havde, hvilke risici den overvejede, og hvorfor den traf en bestemt beslutning.

Bestyrelsen kan uddelegere praktiske opgaver, men ikke uden videre sit overordnede ansvar. Den skal fortsat føre relevant og dokumenteret tilsyn. Systematiske arbejdsprocesser kan mindske risikoen for fejl og gøre beslutningsgrundlaget mere gennemskueligt.

Væsentlige beslutninger skal træffes på et tilstrækkeligt oplyst grundlag. Dokumentationen bør derfor omfatte risikovurderinger, referater fra bestyrelsesmøder, beslutningsgrundlag, opfølgningspunkter og den rapportering, bestyrelsen har modtaget.

Dokumentationen bør vise, hvornår bestyrelsen modtog rapporteringen, hvad den besluttede, og hvornår opfølgningen skal ske. Det gør det muligt at efterprøve, om bestyrelsen har ført et relevant og dokumenteret tilsyn.

Opfølgning og eskalering: når risici kræver handling

Bestyrelsen skal følge op på kritiske forhold i økonomi, rapportering og compliance.

Uagtsomhed kan foreligge, hvis bestyrelsen undlader at følge op på økonomien og overser en øget risiko for, at virksomheden ikke kan betale kreditorer til tiden.

Uagtsomhed kan også foreligge, hvis bestyrelsen ikke reagerer på tydelige tegn på regnskabsfejl, som den indså eller burde have indset.

Grov uagtsomhed eller forsæt kan foreligge, hvis bestyrelsen indgår aftaler, som den ved virksomheden ikke kan betale. Det kan også foreligge, hvis bestyrelsen ikke reagerer på økonomisk misbrug, fx kendskab til underslæb.

For personligt ansvar skal der typisk være et økonomisk tab, tabet skal skyldes handlinger eller manglende handlinger, og tabet skal være en forventelig følge heraf. Ved simpel uagtsomhed dækker en bestyrelsesansvarsforsikring typisk; ved grov uagtsomhed eller forsæt dækker den typisk ikke. Det afhænger altid af den konkrete police.

Opfølgningen bør være sporet: Hvilken risiko er kritisk, hvem følger op, og hvornår rapporteres der tilbage? Eskalering sker, når kritiske forhold i økonomi, rapportering eller compliance ikke er håndteret.

Checkliste: Bestyrelsens overvågning af risici

Roller, kompetencer og løbende evaluering

Bestyrelsen kan fungere som en ressourcepulje af erfaring, viden og kompetencer – eksempelvis ekspertise inden for digitalisering, risikostyring, geopolitik, bæredygtighed, internationalisering eller salgsudvikling.

Roller og ansvar skal beskrives konkret og løbende tilpasses virksomhedens ledelsesstruktur.

Overvågningen styrkes, når bestyrelsen har adgang til ekspertise inden for risikostyring, digitalisering, geopolitik, bæredygtighed, internationalisering eller salgsudvikling. Roller og ansvar skal beskrives konkret og løbende tilpasses virksomhedens ledelsesstruktur.