Børsnoterede virksomheder skal i redegørelsen for virksomhedsledelse beskrive hovedelementerne i deres interne kontrol- og risikostyringssystemer i forbindelse med regnskabsaflæggelsesprocessen. Kravet gælder systemerne omkring regnskabet, ikke cybersikkerhed i almindelighed. Loven nævner ikke cyber.
Hvad virksomheden derudover vil oplyse om digitale risici, er et valg. Komitéen for god Selskabsledelse siger, at oplysningerne om risikostyring kan udvides med digitale risici, hvis det er relevant. Artiklen forklarer forskellen, og hvordan en måling kan underbygge teksten.
Hvem bestemmelsen gælder
Årsregnskabsloven gælder i dag som lovbekendtgørelse nr. 402 af 23. marts 2026. § 107 b gælder virksomheder med værdipapirer, der handles på et reguleret marked inden for EU eller EØS. Andre virksomheder er ikke omfattet af bestemmelsen.
Hvad der skal stå
Efter § 107 b, stk. 1, skal redegørelsen bl.a. indeholde oplysninger om den kodeks for virksomhedsledelse, virksomheden følger, og eventuelle fravigelser, en beskrivelse af sammensætningen af ledelsesorganer og udvalg og i nr. 6 en beskrivelse af hovedelementerne i virksomhedens interne kontrol- og risikostyringssystemer i forbindelse med regnskabsaflæggelsesprocessen.
Stk. 2 siger, at virksomheder, der kun har andre værdipapirer end aktier optaget til handel, kan undlade en række af punkterne, men ikke nr. 6. Redegørelsen kan efter stk. 3 og 4 gives i ledelsesberetningen eller på hjemmesiden med en henvisning.
Nr. 6 handler om regnskabsaflæggelsesprocessen. Det er en tolkning, at IT-kontroller omkring de systemer, der bruges til regnskabet, fx adgangsstyring og ændringsstyring i økonomisystemet, hører til de kontroller, der beskrives. Loven siger det ikke direkte. Ordet cyber findes ikke i lovens bestemmelser.
Ledelsesberetningen
§ 99 om ledelsesberetningen siger, at den bl.a. skal beskrive de væsentligste aktiviteter og den forventede udvikling, herunder særlige forudsætninger og usikre faktorer. Bestemmelsen nævner ikke cyber- eller IT-risici. Om en cyberrisiko er en usikker faktor, der skal nævnes, er en konkret vurdering for den enkelte virksomhed.
Hvad Komitéen anbefaler
Komitéen for god Selskabsledelse anbefaler i kapitel 5 fra december 2020, at bestyrelsen tager stilling til de væsentligste risici og redegør for dem og for risikostyringen i ledelsesberetningen. Kommentaren til anbefaling 5.1.1 siger, at oplysningerne om risikostyring, hvis relevant, kan udvides med digitale risici og supplere den lovpligtige redegørelse i forbindelse med regnskabsaflæggelsesprocessen.
Formuleringen er “kan” og “hvis relevant”. Det er altså en mulighed, ikke en pligt. Anbefalingerne er følg-eller-forklar for børsnoterede selskaber.
Komitéen skriver også, at det kan være en fordel at bruge den samme struktur i redegørelsen fra år til år. Det gør det lettere for læseren at se ændringer.
Hvad en måling kan underbygge
Vælger virksomheden at skrive om digitale risici, skal teksten kunne stå for et eftersyn. Det er praksis, at en gentagen måling kan underbygge udsagn som disse.
- At der er en systematisk tilgang · målingen viser, at sikkerheden vurderes efter et kendt rammeværk.
- At der er en udvikling · måleserien viser, om niveauet er steget, og hvor der er arbejde tilbage.
- At bestyrelsen er involveret · behandlingen af målingen i bestyrelsen viser, at emnet er på dagsordenen.
Teksten i redegørelsen bør være overordnet. Den skal ikke gengive scoren eller fundene, men den skal kunne føres tilbage til et grundlag, hvis revisor eller andre spørger.
Revisors rolle
Revisor læser ledelsesberetningen og redegørelsen som en del af revisionen, men en revisionspåtegning er ikke en erklæring om virksomhedens cybersikkerhed. Hvad revisors påtegning siger og ikke siger, er beskrevet i revisors påtegning og IT-revision.
Når redegørelsen skal skrives
I praksis skrives redegørelsen ofte af økonomifunktionen, mens viden om IT-kontrollerne ligger hos IT og sikkerhed. Det er god praksis at lade de to funktioner læse teksten sammen, før den godkendes. Så sikres det, at beskrivelsen af kontrollerne omkring regnskabssystemerne svarer til virkeligheden, og at eventuelle udsagn om digitale risici kan underbygges.
Det er også værd at holde teksten op mod det, bestyrelsen har behandlet i årets løb. Har bestyrelsen drøftet en væsentlig cyberrisiko, bør det overvejes, om den hører hjemme i ledelsesberetningens omtale af risici. Det er en konkret vurdering, som selskabet selv må foretage sammen med sine rådgivere.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den, der skriver redegørelsen, kender afgrænsningen i nr. 6 og ved, hvilket grundlag virksomheden har for eventuelle udsagn om digitale risici. Det kræver også, at strukturen holdes fast fra år til år.
Lader man være, kan redegørelsen enten sige for lidt om kontrollerne omkring regnskabssystemerne eller love for meget om cybersikkerhed uden grundlag. Begge dele er svære at forsvare, hvis nogen spørger. Artiklen er ikke juridisk rådgivning.
Det skal I lade være med
- At skrive, at § 107 b kræver oplysninger om cybersikkerhed · den taler om regnskabsaflæggelsesprocessen.
- At skrive udsagn om digitale risici uden grundlag · de skal kunne føres tilbage.
- At skifte struktur hvert år · Komitéen anbefaler samme struktur.
Det skal gennemgangen kunne vise
- ☐ En beskrivelse af kontrollerne omkring regnskabsaflæggelsen.
- ☐ Et grundlag for eventuelle udsagn om digitale risici.
- ☐ Samme struktur i redegørelsen fra år til år.
- ☐ Bestyrelsens behandling af de væsentligste risici.
Kilder
- Årsregnskabsloven, LBK nr. 402 af 23. marts 2026, §§ 99 og 107 b, læst 14. november 2026.
- Komitéen for god Selskabsledelse, Anbefalinger, 2. december 2020, kapitel 4 og 5, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs jeres seneste redegørelse, og markér de udsagn om risikostyring og digitale risici, der ikke har et grundlag, I kan pege på.
Læs også: Revisorlovens § 31 · Dansk koncern med notering i USA
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
