Et datterselskab med bestyrelse har sit eget ansvar for, at der er procedurer for risikostyring og interne kontroller. Koncernens fælles modenhedsmåling ændrer ikke på det. Bestyrelsen i datterselskabet skal derfor have en version af målingen, den selv kan bruge.
I mange koncerner sidder de samme personer i flere bestyrelser, og koncernrapporten bliver opfattet som dækkende for dem alle. Det er en praktisk løsning, men den kan efterlade datterselskabets bestyrelse uden det grundlag, den har brug for til at udfylde sin egen rolle.
Hvad § 115 siger
Selskabslovens § 115 pålægger bestyrelsen i et kapitalselskab med bestyrelse ud over den overordnede og strategiske ledelse at sørge for en forsvarlig organisation. Bestyrelsen skal bl.a. påse, at selskabet har etableret procedurer for risikostyring og interne kontroller i fornødent omfang (nr. 2), og at direktionen passer sit hverv på behørig vis (nr. 4). Bestemmelsen står i lovbekendtgørelse nr. 331 af 20. marts 2025.
Har selskabet kun en direktion, varetager direktionen også den overordnede ledelse og sørger for en forsvarlig organisation (§ 117, stk. 2).
Bestemmelsen gælder i det enkelte selskab. At koncernens måling ikke fritager datterselskabets bestyrelse for dens ansvar, er en tolkning af netop det. Loven siger ikke noget om modenhedsmålinger, og artiklen er ingen juridisk rådgivning.
Andre regler, der lægger ansvar i det enkelte selskab
NIS 2-loven gælder pr. enhed. Er datterselskabet selv omfattet, er det dets ledelsesorgan, som godkender foranstaltningerne og holder tilsyn med, at de gennemføres (§ 7). I et selskab med både direktion og bestyrelse peger § 3, nr. 20, på bestyrelsen som ledelsesorgan.
Revisorloven går den anden vej for revisionsudvalg. Et datterselskab er fritaget for kravet om revisionsudvalg, hvis modervirksomheden selv er omfattet af kravet (§ 31, stk. 9, nr. 1). Fritagelsen gælder revisionsudvalget. Den ændrer ikke bestyrelsens ansvar efter selskabsloven.
Et finanseksempel på koncernløsning
I finansielle virksomheder har revisionsbekendtgørelsen en model for, hvordan koncernen og de enkelte selskaber kan dele en funktion. Funktionsbeskrivelsen for intern revision kan udarbejdes for koncernen og tiltrædes af de enkelte koncernvirksomheders bestyrelser (§ 23, stk. 1), og revisionschefen kan ansættes for koncernen som helhed (§ 18, stk. 2).
Reglerne gælder kun finansielle virksomheder. Uden for finans er de en sammenligning. Tanken kan dog overføres: én fælles løsning, som hver bestyrelse udtrykkeligt tiltræder. Det giver en koncernmåling, som datterselskabets bestyrelse selv har taget stilling til.
Hvad datterselskabets bestyrelse bør modtage
Hvad bestyrelsen skal have, står ikke i loven. Det følgende er praksis:
- Selskabets egen score og profil, vist ved siden af koncernens målniveau.
- De fund, der vedrører selskabet, med ejer og frist.
- En klar opdeling af, hvilke kontroller selskabet selv ejer, og hvilke der leveres af koncernen.
- Udviklingen siden sidste måling.
- Hvad bestyrelsen forventes at beslutte, fx en accept af en risiko eller en prioritering.
Den tredje linje er vigtig. Leverer koncernen fx identitetsstyring eller overvågning, skal datterselskabets bestyrelse vide, at den er afhængig af en kontrol, den ikke selv styrer. Den bør kunne se, hvordan koncernen følger op på den kontrol.
Et tænkt eksempel
Et datterselskab har en bestyrelse med tre medlemmer fra moderselskabet og et lokalt medlem (tænkt eksempel). Koncernens modenhedsrapport blev gennemgået i moderselskabets revisionsudvalg i foråret. I datterselskabets bestyrelse står der intet om den i protokollen. Det lokale medlem har aldrig set rapporten.
Et halvt år senere rammes datterselskabet af en hændelse, der udnytter et fund, som stod i rapporten. Spørgsmålet bliver, hvad datterselskabets bestyrelse vidste, og hvad den gjorde. Svaret er, at den intet havde behandlet. Det er netop den situation, en selvstændig behandling i hver bestyrelse skal forhindre.
Hvordan målingen behandles i bestyrelsen
En god praksis er at sætte modenhedsmålingen på dagsordenen i datterselskabets bestyrelse, når resultatet foreligger, og at protokollere, hvad bestyrelsen har taget stilling til. Det gælder også, når bestyrelsen alene består af personer fra moderselskabet. Netop dér er risikoen størst for, at den lokale behandling glider ud, fordi alle har set koncernrapporten.
Har datterselskabet uafhængige eller lokale medlemmer, er behovet endnu tydeligere. De har ikke nødvendigvis adgang til koncernens materiale, og de har samme ansvar som de øvrige medlemmer. Et kort, selskabsspecifikt uddrag af rapporten, som sendes med indkaldelsen, giver dem mulighed for at forberede sig og stille spørgsmål på mødet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at målingen bliver delt op pr. selskab, og at hver bestyrelse får sin del i en form, den kan handle på. Det kræver også en aftale om, hvad datterselskabets bestyrelse må se af koncernens samlede tal, så fortroligheden holder.
Uden det kan datterselskabets bestyrelse komme til at stå uden dokumentation for, at den har påset risikostyringen. Efter en hændelse er det svært at vise, at bestyrelsen har udfyldt sin rolle, hvis den eneste rapport blev behandlet et andet sted.
Det skal I lade være med
- At lade koncernrapporten stå i stedet for datterselskabets egen behandling · ansvaret ligger i hvert selskab.
- At sende hele koncernbilledet til alle bestyrelser uden aftale · fortroligheden skal være på plads først.
- At udelade kontroller, som koncernen leverer · bestyrelsen skal vide, hvad den er afhængig af.
Det skal gennemgangen kunne vise
- ☐ En opdeling af målingen pr. selskab med bestyrelse.
- ☐ Protokollering af, at hver bestyrelse har behandlet sin del.
- ☐ En oversigt over kontroller, der leveres af koncernen til selskabet.
- ☐ Opfølgning på fund, der vedrører det enkelte selskab.
Kilder
- Lovbekendtgørelse nr. 331 af 20. marts 2025 (selskabsloven), §§ 115 og 117, læst 14. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 3, nr. 20, og § 7, læst 14. november 2026.
- Lovbekendtgørelse nr. 206 af 20. februar 2025 (revisorloven), § 31, stk. 9, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, §§ 18 og 23, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om modenhedsmålingen har været behandlet i hvert datterselskabs bestyrelse, og hvor det står i protokollen.
Læs også: Datterselskaber med egen IT · Hvem må se enhedernes resultater?
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
