Når et datterselskab driver sin egen IT, kan koncernen ikke gå ud fra, at den har adgang til at måle den. Mandat, adgang og omfang skal aftales, og det sker gennem ejerstyringen: en koncernpolitik, en beslutning i datterselskabets bestyrelse eller en skriftlig aftale mellem selskaberne.
Det er en pointe, mange koncerner først møder, når en lokal direktør spørger, med hvilken ret hovedkontoret vil se hans systemer. Spørgsmålet er rimeligt, og svaret bør ligge klar, før målingen begynder.
Hvad loven siger, og hvad den ikke siger
Selskabsloven definerer en koncern som et moderselskab og dets dattervirksomheder. En dattervirksomhed er under moderselskabets bestemmende indflydelse, som foreligger ved mere end halvdelen af stemmerne eller ved aftale, vedtægt, ret til at udpege flertallet i bestyrelsen eller faktisk flertal (§§ 5-7).
Samtidig har hvert kapitalselskab med bestyrelse sit eget ansvar. Bestyrelsen er efter § 115, nr. 2, forpligtet til at holde øje med, om selskabet har de nødvendige procedurer til at styre sine risici og kontrollere sig selv internt. Pligten ligger i datterselskabets bestyrelse lige så vel som i moderselskabets.
I de paragraffer, artiklen bygger på, findes der ingen regel, der giver moderselskabets ledelse en almindelig ret til oplysninger eller adgang hos datterselskabet. Spørgsmålet er heller ikke undersøgt i selskabsretlig litteratur her. Artiklen beskriver derfor praksis og er ingen juridisk vurdering. Har I tvivl om jeres konkrete struktur, er det et spørgsmål til koncernens jurist.
NIS 2 gælder selskab for selskab
NIS 2-loven gælder pr. enhed. I myndighedens vejledning om lovens rækkevidde er enheden den juridiske person bag et CVR-nummer, så moder og datter med separate numre tæller som to. Er datterselskabet omfattet, er det dets eget ledelsesorgan, der godkender foranstaltningerne og fører tilsyn med dem (§ 7). Hvilke selskaber loven rammer, og hvordan en audit efter den skæres til, står under den almene auditmetode og NIS2-audit.
Tre veje til mandat
- Koncernpolitik · Hvad den giver: Fælles krav og ret til måling i alle selskaber, der har tiltrådt politikken · Hvad den kræver: At hvert datterselskabs ledelse har tiltrådt den
- Beslutning i datterselskabets bestyrelse · Hvad den giver: Et konkret mandat til netop denne måling · Hvad den kræver: At moderselskabets repræsentanter i bestyrelsen rejser sagen
- Skriftlig aftale mellem selskaberne · Hvad den giver: Præcis adgang, omfang og fortrolighed · Hvad den kræver: Forhandling og underskrift i begge selskaber
Den mest holdbare løsning er ofte en kombination: en koncernpolitik, der fastslår, at alle selskaber deltager i den fælles måling, og en kort beslutning i hvert datterselskabs bestyrelse, der giver adgang og udpeger en lokal kontaktperson.
Adgang til hvad?
Mandatet skal sige, hvad koncernen må se. En typisk liste rummer politikker og procedurer, risikovurderinger, oversigter over systemer og leverandører, logfiler i et aftalt omfang, interview med nøglepersoner og fysisk adgang til lokaler. Jo mere præcist det står, jo færre diskussioner opstår der undervejs.
Driver en ekstern leverandør datterselskabets IT, rækker koncernens mandat kun til datterselskabet. Adgangen hos leverandøren afhænger af datterselskabets kontrakt. Kontrollen af leverandøren er et emne for sig, som kontrollen af IT-leverandøren handler om.
Omfanget skal skrives ned
Omfanget aftales sammen med mandatet: hvilke systemer, lokationer og processer der indgår, og hvilke der holdes ude. Når et datterselskab har egen IT, opstår der let grå zoner. Et fælles mailsystem kan være drevet centralt, mens forretningssystemet er lokalt. Skriv for hvert område, hvem der ejer det, og om det måles i datterselskabet eller centralt.
Når koncernen har en intern audit-funktion
For den interne audit-funktion beskriver IIA’s Global Internal Audit Standards, at mandatet kan omfatte hele organisationen eller en del af den, fx efter geografi eller anden opdeling. Begrænsninger i omfang og adgang skal efter standarderne frem til bestyrelsen, og revisionsplanen skal begrunde, hvis et højrisikoområde står uden assurance. Det binder funktionen, ikke datterselskabet. Men det betyder, at et datterselskab, der afviser adgang, ikke stille glider ud af billedet. Det bliver synligt for bestyrelsen.
Et tænkt forløb
En koncern har seks datterselskaber, hvoraf to driver deres egen IT (tænkt eksempel). Koncernpolitikken siger, at alle selskaber deltager i den årlige måling, men kun fire bestyrelser har tiltrådt den. De to selskaber med egen IT er netop dem, der mangler. Den lokale direktør i det ene siger ja til et interview, men nej til at udlevere logfiler og leverandøraftaler.
Med et klart mandat havde spørgsmålet været afgjort på forhånd. Uden det må koncernen vælge mellem at presse på, at acceptere en tyndere måling eller at vente et år. Den bedste vej er som regel at bringe sagen op i datterselskabets bestyrelse, hvor moderselskabets repræsentanter kan foreslå en beslutning om adgang. Imens bør målingen af selskabet stå med en markering af, hvad der ikke kunne ses.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at mandatet er på plads i hvert datterselskab, før målingen sættes i gang, og at nogen har overblik over, hvilke selskaber der har tiltrådt koncernpolitikken. Det kræver også en klar opdeling af, hvad der drives centralt og lokalt.
Uden mandat bliver målingen afhængig af den lokale ledelses velvilje. Det giver huller i koncernbilledet, og hullerne ligger typisk dér, hvor der er mest at skjule. Bestyrelsen i moderselskabet ser et samlet tal, som i virkeligheden dækker færre selskaber, end den tror.
Det skal I lade være med
- At påstå en lovbestemt ret til adgang hos datterselskabet · grundlaget er ejerstyring og aftale.
- At gå uden om datterselskabets bestyrelse · den har sit eget ansvar efter § 115.
- At lade grå zoner mellem central og lokal drift stå uafklarede · de bliver målt to gange eller slet ikke.
Det skal gennemgangen kunne vise
- ☐ Mandatets grundlag i hvert datterselskab (politik, beslutning eller aftale).
- ☐ En liste over, hvad koncernen har adgang til hos hvert selskab.
- ☐ Omfanget pr. selskab med opdeling i central og lokal drift.
- ☐ Afviste eller begrænsede adgange, og hvem der er orienteret om dem.
Kilder
- Lovbekendtgørelse nr. 331 af 20. marts 2025 (selskabsloven), §§ 5-7 og 115, læst 14. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Anvendelsesområdet, maj 2025, kap. 1, læst 14. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 2024, standard 6.1, 6.3 og 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over jeres datterselskaber og skriv ud for hvert, hvad mandatet til den fælles måling hviler på.
Læs også: Fælles tjenester og shared service · Afgrænsning af en koncernvurdering
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
