Hvor skal styredokumentene ligge? Hva aksjeloven § 1-6 krever av lagring og leverandør

5. august 2021 sendte Finanstilsynet en tilsynsrapport til styret i Kommunalbanken. Tilsynet gjaldt bankens styreportal, levert som en skytjeneste. Finanstilsynet skrev at sertifiseringer etter ISO/IEC 27001 eller SOC 2-revisjoner ikke nødvendigvis er dekkende for å sikre etterlevelse av regelverket. Rapporten påpekte blant annet at banken ikke reviderte leverandørpersonellets tilganger, og at avtalen manglet revisjonsrett.

Kort fortalt: Aksjeloven § 1-6 krever at dokumentasjon etter aksjeloven utarbeides og oppbevares på betryggende måte, er i lesbar form og er tilgjengelig fra Norge. Elektronisk lagring er likestilt med papir. Loven peker ikke ut en teknologi, så styret må selv kunne vise at lagringen er sikker, at dokumentene kan hentes fram, og at leverandøren kan kontrolleres.

Hva betyr «på betryggende måte» i aksjeloven?

Bestemmelsen kom inn i aksjeloven med lovendringene Stortinget vedtok 6. juni 2017. Aksjeloven § 1-6 sier at dokumentasjon som kreves utarbeidet etter loven, skal utarbeides og oppbevares på betryggende måte. Dokumentasjonen skal være i lesbar form og tilgjengelig fra Norge. Krav om at noe skal være skriftlig, er ikke til hinder for elektroniske løsninger.

Loven definerer ikke «betryggende» nærmere, men departementet kan gi forskrift om oppbevaringstid, hva som anses som betryggende og sikkerhetsnivået for signatur. Formuleringen beskriver et resultat, ikke en teknologi. I praksis handler det om at dokumentene ikke skal kunne endres uten spor, ødelegges eller gå tapt, og at de kan hentes fram når de trengs.

Hvilke styredokumenter gjelder kravet for?

Kravet gjelder dokumentasjon som aksjeloven krever utarbeidet. For styret er styreprotokollen det viktigste eksemplet. Den skal oppbevares i hele selskapets levetid (§ 6-29).

Sakspapirer, styrepresentasjoner og e-poster er ikke alltid dokumentasjon loven krever. De er likevel ofte det som forklarer hvorfor styret besluttet som det gjorde. Mange styrer velger derfor å oppbevare dem sammen med protokollen, med samme sikkerhetsnivå.

Er ISO 27001 nok?

Nei, ikke alene. Det er hovedpoenget i Finanstilsynets rapport fra 2021. En sertifisering viser at leverandøren har et styringssystem for informasjonssikkerhet. Den viser ikke at akkurat deres oppsett, deres avtale og deres tilgangsstyring oppfyller kravene som gjelder for dere.

Det gjelder også oss. Admincontrol er sertifisert etter ISO 27001:2022 av DNV og har SOC 2 Type II og Cyber Essentials Plus, se informasjonssikkerhet hos Admincontrol. Det er et godt utgangspunkt, men det er ikke et svar dere kan lime rett inn i deres egen risikovurdering.

Hva bør styret spørre leverandøren av styreportalen om?

Funnene i tilsynsrapporten kan leses som en sjekkliste. Disse spørsmålene er relevante for alle, ikke bare for banker:

• Endringer: Har leverandøren en dokumentert prosess for endringer i løsningen, og kan dere se den?
• Leverandørens tilganger: Hvem hos leverandøren kan se dataene deres, krever det samtykke, og blir det logget?
• Styring og kontroll: Hvem hos leverandøren har ansvaret for at IKT-driften er under kontroll?
• Avtalen: Gir den dere, og for finansforetak også Finanstilsynet, rett til å kontrollere og revidere leverandøren?
• Utgang: Hvordan eksporteres og slettes alle data hvis dere avslutter avtalen?
• Tilgjengelighet: Hvor lagres og behandles dataene, og hvilke underleverandører er involvert?

For tilgangsstyringen er NSMs grunnprinsipper for IKT-sikkerhet et nyttig utgangspunkt, også for selskaper som ikke er underlagt sektorregler.

Holder det ikke med fillagringen vi allerede har?

Det kan det gjøre. IT-sjefen som sier at selskapets eksisterende samarbeidsplattform har flerfaktorautentisering og kryptering, har ofte rett i det. Paragraf 1-6 krever ikke en egen styreportal.

Spørsmålet er om styrets behov er dekket i praksis. Kan tilgang begrenses per sak når et styremedlem er inhabilt? Forsvinner tilgangen når et medlem går ut av styret? Ligger den signerte protokollen sammen med underlaget, og vil den gjøre det om tjue år? En generell plattform kan konfigureres for dette. Det krever at noen eier oppsettet over tid.

I Admincontrols styreportal er tilgang per rolle og per dokument, aktivitetslogg, signering og arkiv bygget inn. Les mer i veiledningen for sikker lagring i styreportal og om hvorfor tofaktorautentisering er viktig.

Hva er fortsatt vanskelig?

«Tilgjengelig fra Norge» høres enkelt ut. I en tid der skytjenester bygger på kjeder av underleverandører i flere land, er det ikke alltid like lett å svare presist på hvor dataene faktisk befinner seg, og hvem som i ytterste konsekvens kan få tilgang til dem.

Det er ingen sertifisering som avgjør det spørsmålet for styret. Svaret ligger i avtalen, i oversikten over underleverandører og i om dere faktisk har kontrollert det leverandøren lover. Det er styrets ansvar å stille spørsmålet, selv når svaret er ubehagelig.

Vil du gå gjennom spørsmålene over med oss? Bruk kontaktskjemaet for en uforpliktende prat.

Ofte stilte spørsmål om lagring av styredokumenter

Kan styredokumenter lagres i skyen?

Ja. Elektronisk utarbeidelse og oppbevaring er likestilt med papir. Kravet er at lagringen er betryggende, at dokumentene er i lesbar form og at de er tilgjengelige fra Norge (aksjeloven § 1-6).

Må styredokumentene lagres i Norge?

Ordlyden i § 1-6 krever at dokumentasjonen er tilgjengelig fra Norge. Den sier ikke at den må lagres i Norge. Sektorregler, avtaler og personvernregler kan likevel stille strengere krav.

Hvor lenge må styreprotokoller oppbevares?

I hele selskapets levetid, jf. aksjeloven § 6-29.

Gjelder IKT-forskriften for alle selskaper?

Nei. IKT-forskriften gjelder for foretak under Finanstilsynets tilsyn, som banker og andre finansforetak [VERIFY: virkeområde]. Spørsmålene i tilsynsrapporten er likevel nyttige for alle styrer.

Hva bør stå i avtalen med leverandøren av styreportalen?

Som et minimum: databehandleravtale, oversikt over underleverandører, regler for leverandørens tilgang til data, rett til kontroll og revisjon, og hvordan data eksporteres og slettes ved avslutning.

Kilder

• Finanstilsynet: Tilsynsrapport Kommunalbanken AS, 5. august 2021
• Stortinget: Lovvedtak 99 (2016–2017), vedtatt 6. juni 2017 (ny § 1-6)
• Aksjeloven §§ 1-6 og 6-29
• NSM: Grunnprinsipper for IKT-sikkerhet