8 Informatievoorziening, via welke weg?

In eerdere onderzoeken hebben we de vraag over hoe de rvc de informatie van/namens de rvb ontvangt niet direct gesteld. Wel kwam deze vraag indirect naar voren in interviews als het ging over digitalisering en dan met name cyberweerbaarheid. We hebben ons deelrapport in 2022 niet voor niets de titel ‘Welk risico vormt de commissaris zelf’ meegegeven. Dat zouden we prima nog eens kunnen herhalen want ondanks dat het gebruik van een online portal, op basis van de interviews toen en nu, wel lijkt te zijn gestegen, zien we een hele duidelijke instemming dat een rvc zo’n portal gebruikt niet terug. Slechts drie benchmarks kunnen daar duidelijk mee instemmen. De onderzoeksresultaten laten ook zien dat niet elke rvc zo’n portal gebruikt. Met name in kleinere organisaties lijkt e-mail nog steeds de meest gebruikte manier om de informatie van/namens de rvb naar de rvc te krijgen. We zien over de hele linie wel een sterke wens om het gebruik van onversleutelde e-mail terug te dringen. In dat laatste kunnen we ons helemaal vinden, maar we verbazen ons over het ontbreken van een duidelijke instemming bij het gebruik van een portal dan wel versleutelde e-mail. De vraag is of de organisatie, en ook de rvc zelf, wel voldoende stilstaat bij het informatieproces van/namens de rvb. Hoe veilig en werkbaar zijn de huidige methoden en met welk doel gaat de organisatie/rvc dan over op een portal? Staat men stil bij de gedachte of die doelen van het in gebruik nemen van een online portal worden bereikt? Denkt men bijvoorbeeld na over het wel of niet mogen downloaden uit zo’n portal? Of welke stukken wel en welke stukken niet geschikt zijn om te uploaden en downloaden? Of moet elke commissaris de mogelijkheid hebben om stukken te downloaden ter eigen archivering?

Bij diverse organisaties is en wordt vastgelegd dat een organisatie verplicht is medewerking te verlenen aan het beschikbaar stellen van stukken en notulen van rvc-vergaderingen indien een(ex-)commissaris daar op een later moment de beschikking over moet krijgen in verband met bijvoorbeeld een rechtszaak. Ook het krijgen van een logboek van eventueel later aangebrachte veranderingen kan in dergelijke contractueel vastgelegde afspraken zijn opgenomen. Een aantal commissarissen is de laatste jaren mede aansprakelijk gesteld voor situaties bij het bedrijf waar zij destijds commissaris waren.Het automatisch ter beschikking krijgen over de destijds op een rvc geagendeerde punten met onderliggende stukken en de betrokken notulen en besluitenlijsten bleek om het eufemistisch te zeggen niet erg vanzelfsprekend te zijn.
Het ziet er niet naar uit dat in de nabije toekomst commissarissen en rvb-leden minder aansprakelijk gesteld zullen worden dan nu gebruikelijk. Ons advies is dus: regel de zaken nu, voordat je terzijnertijd misschien met je rug tegen de muur staat. Voorkomen is beter dan genezen.

Niet opgenomen in onze vragenlijst, maar meerdere keren genoemd tijdens interviews, is het gebruik van een mondelinge toelichting vanuit de rvb en het gebruik van WhatsApp om informatie te ontvangen en/of te delen. Vaak heeft de rvc een eigen WhatsAppgroep en een aparte WhatsAppgroep met daarin de bestuurder(s). We vragen ons ten eerste sterk af of rvc’s heldere afspraken hebben gemaakt over wat ze daar wel en niet in delen. Ten tweede vragen wij ons af of rvc’s zich afvragen wat er met die (meta)data kan gebeuren…? Niet wat er op dit moment wel of niet mee gebeurt.

In het kader van toenemende geopolitieke spanningen is het de vraag of een commissaris nog kan volstaan met een ‘gratis’, veelal Amerikaans, e-mailadres waarin rvc-stukken worden ontvangen. Wij denken dat een e-mailadres van Outlook, Gmail, Yahoo niet langer of eigenlijk al heel lang niet, de juiste plek is om (on)gevoelige rvc-informatie te ontvangen. Niets is unhackable, maar een commissaris kan best de moeite nemen een betaalde Europees of zelfs Nederlandse account aan te schaffen.