Hvad er governance?

I virksomhedssammenhæng dækker governance over, hvordan organisationen ledes, styres og kontrolleres. Det handler om, hvordan beslutninger træffes, hvem der har ansvaret, og hvordan ansvaret er fordelt og bliver udøvet.

Centrale elementer i governance:

Roller og ansvar‍

Det er essentielt at vide, hvem der har ansvaret for hvilke opgaver, og hvordan det ansvar udmøntes i praksis.

Eksempel: NIS2-direktivet placerer ansvaret for godkendelse og kontrol af sikkerhedsforanstaltninger hos den øverste ledelse. Det er dog typisk andre i organisationen, der udarbejder risikovurderinger og foreslår foranstaltninger. God governance sikrer klarhed i roller, ansvar og rapporteringsgange.

Principper og politikker‍

Modne organisationer har centrale politikker, der guider beslutningstagning og sikrer sammenhæng mellem strategi og praksis.

Eksempel: ISO 27001 kræver en informationssikkerhedspolitik godkendt af topledelsen. Den danner ramme for daglige beslutninger i fx IT-afdelingen og sikrer alignment med virksomhedens overordnede målsætninger.

{{factbox-dark}}

Transparens og ansvarlighed‍

Governance handler også om åbenhed og accountability (ansvarlighed). Organisationen skal kunne dokumentere sine beslutninger og handlinger over for myndigheder, kunder og interessenter.

Eksempel: GDPR artikel 5 stiller krav om, at virksomheder ikke bare behandler persondata lovligt – de skal kunne påvise det. Det betyder, at de skal kunne dokumentere deres compliance, eksempelvis over for Datatilsynet.

Kontrol og dokumentation‍

Governance risikerer at blive en papirtiger, hvis der ikke følges op. Effektiv governance kræver løbende kontrol med, om regler og politikker faktisk efterleves.

Eksempel: ISO 27002 (Annex A) beskriver 93 kontroller, fx adgangsstyring og funktionsadskillelse. En god governance-struktur sikrer, at disse kontroller implementeres og efterleves.

Lidt firkantet sagt: God governance betyder, at man siger, hvad man gør, gør det man siger – og dokumenterer det.

Når man har styr på sin governance, kaldes det en governance-model. Den kan du læse mere om i denne artikel, hvor vi giver konkrete eksempler inden for databeskyttelse og informationssikkerhed.