6. SÆRLIGE DAGSORDNER I BESTYRELSESARBEJDET

I denne sektion ser vi nærmere på nye områder, der allerede har eller i stigende grad vinder indpas i bestyrelsens arbejde. Dels affødt af forventede nye krav til virksomhederne og dels affødt af nyere anbefalinger fra god selskabsledelse [Note 7], samt nye fokusområder for værdiskabende bestyrelsesarbejde.

I årets undersøgelse viderefører vi analysen af IT- og cyberrisici, ESG og den grønne omstilling samt den geopolitiske dagsorden. Samtidig er AI tilføjet som et nyt fokusområde. På tværs af disse områder går vi et spadestik dybere i hvordan virksomhederne arbejder med de særlige dagsordner og forståelsen af bestyrelsens rolle heri. Alle områder der potentielt kan ende med at blive en mere fast del af rammer og arbejdsmodus for værdiskabende bestyrelsesarbejde.

22. Bæredygtighed (ESG)

Arbejdet med grøn omstilling har i stigende grad udviklet sig til et bredere ESG-fokus. I 2026 fremstår ESG mindre som et særskilt initiativ og mere som et integreret styringsspor i
virksomhedernes strategi, risikostyring og rapportering. Det afspejler en modning, hvor ESG i stigende grad håndteres som en del af bestyrelsens løbende arbejde frem for et enkeltstående projekt.

Alligevel viser undersøgelsen, at ESG fortsat langt fra er fuldt integreret i bestyrelsesarbejdet. Godt halvdelen af virksomhederne (52 %) har i dag en formel ESG-strategi. Sammenhængen med virksomhedsstørrelse er tydelig: kun 18 % af virksomheder med under 10 mio. kr. i omsætning har en strategi, mens det gælder 63 % i segmentet 100 – 250 mio. kr. og 79 % blandt de største virksomheder. Det peger på, at ESG i stigende grad er blevet en strukturel ledelsesopgave i større virksomheder, mens mindre virksomheder fortsat arbejder mere ad hoc eller reaktivt. Startups skiller sig ud ved, at 23 % har en ESG-strategi – lidt højere end blandt de mindste etablerede virksomheder (< 10 mio. kr.), hvor andelen er 18 %. Det kan tyde på, at nye virksomheder i højeregrad bygger ESG ind fra starten, mens mange små, etablerede virksomheder endnu ikke har formaliseret arbejdet.

TABEL: ESG STRATEGI (Har selskabet en ESG strategi?)
	Ja	Nej
Startup	23%	77%
< 10 m. kr.	18%	82%
10 – 20 m. kr.	35%	65%
20 – 50 m. kr.	51%	49%
50 – 100 m. kr.	59%	41%
100 – 250 m. kr.	63%	37%
> 250 m. kr.	79%	21%

Omkring 40 % af virksomhederne har fortsat ingen ESG-aktiviteter. Sammenholdt med tidligere undersøgelser tyder det på en polarisering hvor virksomhederne i højere grad har valgt side. Enten er ESG blevet en del af den strategiske styring – eller også har området endnu ikke fundet vej til bestyrelsens prioriteringer eller er fravalgt.

TABEL: ESG MÅL (Har selskabet opsat ESG mål?)
	Ja	Nej
Startup	23%	77%
< 10 m. kr.	18%	82%
10 – 20 m. kr.	30%	70%
20 – 50 m. kr.	37%	63%
50 – 100 m. kr.	48%	52%
100 – 250 m. kr.	56%	44%
> 250 m. kr.	73%	27%

Når virksomheder arbejder systematisk med ESG, omsættes strategien ofte til konkrete mål. 44 % af virksomhederne har i dag mål for deres ESG-indsats. I de største virksomheder gælder det 73 %, hvilket indikerer, at ESG i stigende grad håndteres som et målbart ledelsesområde. I mindre virksomheder er niveauet væsentligt lavere, hvilket understreger, at operationalisering af ESG fortsat er en udfordring i mange bestyrelser.
ESG-rapportering er ligeledes ved at blive en realitet – men primært i de større virksomheder. Samlet rapporterer 32 % allerede på ESG, mens yderligere 12 % planlægger at gøre det. Blandt virksomheder med omsætning over 250 mio. kr. rapporterer to tredjedele allerede. I de mindre virksomheder er rapportering fortsat sjælden og i start-up stort set fraværende med 5%. Det understøtter billedet af markant stigning i rapportering blandt de større virksomheder, mens de mindre fortsat halter langt efter. Siden 2024 er det store midtersegment, som planlægger at rapportere forsvundet. Det kunne indikere en udvikling i to næsten lige store spor, dem der har ESG på bestyrelsens radar, og dem der ikke har eller ønsker det.

TABEL: ESG RAPPORTERING
	Ja	Planlægger	Nej
Startup	5%	12%	83%
< 10 m. kr.	10%	7%	84%
10 – 20 m. kr.	18%	12%	71%
20 – 50 m. kr.	23%	13%	64%
50 – 100 m. kr.	30%	19%	51%
100 – 250 m. kr.	47%	11%	42%
> 250 m. kr.	66%	8%	26%

Et interessant træk i årets undersøgelse er, at oplevede eksterne krav til ESG er faldet i forhold til tidligere målinger i 2022 og 2024, hvilket er sammenfaldende med EU Omnibus pakken. Samtidig er flere virksomheder gået fra intention til konkrete aktiviteter. Det kunne indikere, at ESG i stigende grad er ved at gå fra kravdrevet dagsorden til en mere integreret del af virksomhedens drift og ledelse.

TABEL GRØN OMSTILLING

TABEL: ESG GRØN OMSTILLING
	2024	2024	2026	2026
	På dagsordenen	Mødt med krav	På dagsordenen	Mødt med krav
Startup	34%	10%	19%	5%
< 10 m. kr.	30%	15%	18%	4%
10 – 20 m. kr.	59%	19%	31%	8%
20 – 50 m. kr.	62%	21%	45%	11%
50 – 100 m. kr.	72%	38%	58%	19%
100 – 250 m. kr.	75%	46%	59%	24%
> 250 m. kr.	84%	63%	70%	29%

Ser man på de konkrete ESG-dimensioner, er klima og grøn omstilling fortsat det mest udbredte ESG-område på bestyrelsens dagsorden. I 2026 har 70 % af de største selskaber (> 250 mio. kr.) grøn omstilling på dagsordenen, ligesom 59 % i segmentet 50 – 250 mio. kr., 58 % i 50 – 100 mio. kr. De mindste selskaber ligger markant lavere, her har kun en mindre del grøn omstilling fast på agendaen, og mange angiver fortsat ingen indsats.

TABEL ESG INDSATS

TABEL: ESG INDSATS
	Grøn omstilling	Socialt ansvar	Governance
Startup	25%	20%	25%
< 10 m. kr.	26%	31%	40%
10 – 20 m. kr.	42%	38%	40%
20 – 50 m. kr.	60%	58%	68%
50 – 100 m. kr.	73%	70%	68%
100 – 250 m. kr.	77%	75%	77%
> 250 m. kr.	83%	84%	84%

For socialt ansvar og governance ses et lignende mønster. Andelen af virksomheder med temaerne på dagsordenen – samt konkrete aktiviteter eller mål – stiger markant med virksomhedens størrelse. Blandt de største virksomheder har omkring to tredjedele socialt ansvar og op mod syv ud af ti governance på agendaen. For de mindste virksomheder er billedet omvendt, hvor 60 – 80 % fortsat ikke har nogen indsats. Det understreger, at en struktureret governance-tilgang endnu kun i begrænset omfang er slået igennem i virksomheder med under 20 mio. kr. i omsætning.
Samlet peger resultaterne på, at ESG er ved at bevæge sig fra projekt til struktur. For bestyrelsen betyder det, at fokus i stigende grad flytter sig fra principper og hensigtserklæringer til prioritering, målsætning og løbende opfølgning. ESG bliver dermed i stigende grad et spørgsmål om governance: hvordan bestyrelsen integrerer bæredygtighed i strategi, risikostyring og værdiskabelse.

23. IT og Cyber risiko på dagsordenen

IT- og cyber risici er på dagsordenen i 75 % af virksomhederne, hvilket er en beskeden fremgang på ca. fem procentpoint i forhold til 2024[Note 1]. Det er fortsat en betydelig andel af virksomhederne, som ikke forholder sig systematisk til området, hvilket må betegnes som bemærkelsesværdigt i lyset af den stigende digitale afhængighed, trusselsbilledet og den generelle regulatoriske udvikling.

TABEL: IT- og cyber risici på dagsordenen
	Ja, Cyber er på dagsordenen	Nej, Cyber er ikke på dagsordenen
Startup	50%	50%
< 10 m. kr.	54%	46%
10 – 20 m. kr.	65%	35%
20 – 50 m. kr.	78%	22%
50 – 100 m. kr.	80%	20%
100 – 250 m. kr.	83%	17%
> 250 m. kr.	92%	8%

Det er særligt virksomheder med en omsætning over 50 mio. kr., hvor IT- og cyberrisici i stigende grad behandles på bestyrelsesniveau. I segmentet 50 – 100 mio. kr. er andelen steget med 11 procentpoint, mens selskaber med en omsætning over 250 mio. kr. har haft en stigning på 8 procentpoint og nu har IT- og cyberrisici på dagsordenen i 92 % af tilfældene. Også i segmentet 100 – 250 mio. kr. ses en fremgang, hvor 83 % nu behandler området systematisk.
I virksomheder med en omsætning under 50 mio. kr. er fremgangen mere beskeden, og niveauet indikerer fortsat en væsentlig governance-udfordring, da mellem 35 og 50 % af selskaberne slet ikke forholder sig til emnet.
Det er samtidig bemærkelsesværdigt, at 73 % af bestyrelser i virksomheder, som ikke er direkte omfattet af NIS2 eller tilsvarende regulering, alligevel har IT- og cyberrisici på dagsordenen. Det indikerer en stigende frivillig governance-modenhed og peger på, at området i højere grad drives af Forretnings- og risikoforståelse end af regulatoriske krav.
Når virksomheder, hvor IT- og cyberrisici ikke behandles på mindst ét bestyrelsesmøde om året, bliver spurgt om årsagerne, peges der primært på tre forklaringer:

1) Opgaven forventes håndteret af direktionen (42 %)

2) Andre emner prioriteres højere (36 %)

3) Området vurderes ikke som relevant (22 %)
Resultatet kan indikere, at mere modne bestyrelser i højere grad arbejder med en bevidst arbejds-og rollefordeling mellem bestyrelse og direktion. Samtidig understreger det vigtigheden af en tydelig governance-forståelse, idet delegation af opgaver ikke ændrer ved bestyrelsens juridiske ansvar for risikostyringen.

TABEL: IT OG CYBER RISIKO / OMFATTET AF NIS-2 eller tilsvarende
	Ja, Cyber er på dagsordenen	Nej, Cyber er ikke på dagsordenen
“Ikke omfattet af NIS-2 eller tilsvarende”	73%	27%
“Omfattet af NIS-2 eller tilsvarende”	93%	7%

I takt med øget regulering – herunder GDPR, NIS2 og DORA – pålægges bestyrelserne et stigende ansvar for digital robusthed. Det understreger behovet for at sikre tilstrækkelige digitale og cybersikkerhedsmæssige kompetencer i bestyrelsen. Bestyrelser bør derfor løbende evaluere behovet for opgradering af egne kompetencer eller supplering med nye kompetenceprofiler. Kompetenceudfordringen fremhæves også i Styrelsen for Samfundssikkerheds undersøgelse ’Digital sikkerhed i danske SMV’er 2024’[Note 10], hvor 21 % af SMV’erne peger på manglende viden og kompetencer som en barriere for arbejdet med it-sikkerhed. Resultaterne indikerer, at IT- og cyberrisici fortsat ofte opfattes som et operationelt frem for et strategisk governance-anliggende. Dette udgør en potentiel governance-udfordring, da bestyrelsens ansvar for risikostyring ikke kan delegeres.
Resultaterne indikerer, at IT- og cyberrisici fortsat ofte behandles som et operationelt – snarere end et strategisk – governance-anliggende, også på trods af skærpet regulering som GDPR, NIS2, DORA og CRA. Det peger på en central governance-udfordring: Bestyrelsens ansvar for risikostyring kan ikke delegeres. Dette ansvar er tydeligt forankret i selskabsloven §115 [Note 6] og forstærkes yderligere af den regulatoriske udvikling.
Cybermodenhed følger ikke trusselsbilledet. Den følger bestyrelsens governance-modenhed, se afsnit 28 – Bestyrelsens modenhed.
For mindre virksomheder tilbyder Sikkerdigital.dk værktøjet ’Systemoverblikket’ [Note 11] med konkrete og målrettede anbefalinger til de systemer og data, virksomheden har angivet. Til større virksomheder kan anbefales Center for Cybersikkerhed vejledning ’Cybersikkerhed for bestyrelse og direktion’[Note 12].

24. Geopolitik

De seneste år har været præget af markante globale forandringer, som påvirker virksomheder på tværs af brancher og størrelser. Handelsrestriktioner, forstyrrelser i forsyningskæder, omlægning af produktion, inflation, migration og øgede konjunkturudsving stiller nye krav til bestyrelsens risikoforståelse og strategiske overblik. Disse forhold fylder endnu mere end ved Bestyrelsesundersøgelsen 2024 – senest forstærket af udviklingen i USA. På den baggrund har vi spurgt, om bestyrelsen aktivt forholder sig til geopolitik mindst én gang årligt.

TABEL: Tager bestyrelsen stilling til Geopolitik?
	Ja	Nej	Ved ikke
Startup	29%	62%	9%
< 10 m. kr.	34%	60%	7%
10 – 20 m. kr.	33%	60%	7%
20 – 50 m. kr.	49%	48%	3%
50 – 100 m. kr.	51%	42%	7%
100 – 250 m. kr.	53%	43%	4%
> 250 m. kr.	69%	27%	4%

Som i 2024 ses en klar sammenhæng mellem virksomhedens størrelse og bestyrelsens fokus på geopolitik. I 2026 tager 54 % af bestyrelsen stilling til geopolitik, hvilket er på linje med 2024 hvor tallet var 58 %. Jo større virksomhed jo større andel af virksomhederne har geopolitik på bestyrelsens dagsorden minimum en gang om året.
Blandt virksomheder med en omsætning over 250 mio. kr. angiver 69 %, at bestyrelsen arbejder aktivt med geopolitik, mens det kun gælder 34 % af virksomheder med en omsætning under 10 mio. kr. For de større virksomheder er niveauet uændret i forhold til 2024. For virksomheder med en omsætning under 250 mio. kr. er andelen derimod faldet med 10 – 15 procentpoint. Det betyder, at det i dag kun er omkring 30 % af de mindste virksomheder, der har geopolitik på bestyrelsens dagsorden.
Billedet peger på et fortsat stabilt fokus hos de større virksomheder, mens geopolitik i mindre virksomheder synes at have mistet prioritet – på trods af, at mange af de geopolitiske risici netop rammer bredt og indirekte.
Ser vi nærmere på virksomhedernes egen vurdering af geopolitisk eksponering, fremstår samme mønster. Blandt virksomheder med en omsætning over 250 mio. kr. er det kun 27 %, der vurderer, at de i mindre grad eller slet ikke er eksponeret for geopolitisk risiko. For virksomheder med en omsætning under 20 mio. kr. gælder det derimod omkring 70 %. Der er således en tydelig sammenhæng mellem lav oplevet eksponering og manglende behandling af geopolitik på bestyrelsens dagsorden.

TABEL: Eksponeret for geopolitiske risici?
	I meget høj grad	I høj grad	I nogen grad	I mindre grad	Slet ikke
Startup	2%	7%	23%	44%	24%
< 10 m. kr.	5%	4%	16%	45%	30%
10 – 20 m. kr.	3%	10%	16%	54%	17%
20 – 50 m. kr.	5%	16%	35%	37%	7%
50 – 100 m. kr.	9%	14%	31%	36%	10%
100 – 250 m. kr.	9%	18%	31%	38%	5%
> 250 m. kr.	18%	25%	31%	25%	1%

Virksomheder, der ikke drøfter geopolitik mindst én gang årligt, er i overvejende grad de samme virksomheder, som vurderer, at de ikke er væsentligt eksponeret for geopolitiske risici. Det rejser spørgsmålet, om fraværet af fokus i sig selv kan være en risikofaktor.

TABEL: Bestyrelses behandling / Geopolitisk eksponering
	I meget høj grad	I høj grad	I nogen grad	I mindre grad	Slet ikke
Nej, bestyrelsen har ikke geopolitik på dagsordenen	1%	4%	20%	53%	22%
Ja, bestyrelsen har geopolitik på dagsordenen	16%	26%	36%	22%	1%

Afhængighed af kritiske teknologier og leverandører er et nært beslægtet tema. Mellem 30 og 40 % af virksomhederne vurderer, at det er af stor eller meget høj betydning at være uafhængig af kritiske teknologier og leverandører, mens cirka 40 % vurderer det som moderat vigtigt. Blandt startups er billedet markant anderledes: Her angiver 41 %, at uafhængighed af kritiske teknologier og leverandører enten ikke er relevant eller kun har begrænset betydning.

TABEL: Vigtighed af at være uafhængig af kritiske teknologier og leverandører?
	Meget høj	Stor	Moderat	Begrænset	Ikke relevant
Startup	5%	20%	343%	19%	22%
< 10 m. kr.	5%	18%	24%	32%	21%
10 – 20 m. kr.	6%	25%	40%	24%	5%
20 – 50 m. kr.	5%	25%	44%	20%	6%
50 – 100 m. kr.	6%	27%	39%	21%	7%
100 – 250 m. kr.	7%	28%	40%	22%	3%
> 250 m. kr.	9%	32%	42%	15%	2%

Samlet set indikerer resultaterne, at både geopolitisk risiko og afhængighed af kritiske teknologier i høj grad opfattes som et størrelses- og modenhedsspørgsmål, se afsnit 28 – Bestyrelsens modenhed. Spørgsmålet for bestyrelsen er, om risikobilledet reelt er så forskelligt – eller om forskellen primært ligger i erkendelsen.

25. AI

AI er i stigende grad kommet på bestyrelsernes dagsorden. I 68 % af virksomhederne har AI været drøftet på bestyrelsesniveau inden for de seneste 12 måneder. Andelen stiger med
virksomhedsstørrelse og når 74 % blandt virksomheder med en omsætning over 250 mio. kr., mens niveauet ligger mellem 57 % og 70 % i de øvrige segmenter, herunder 61 % blandt startups. Det indikerer, at AI i stigende grad betragtes som et strategisk ledelsesemne, men også at en væsentlig minoritet på 32 % endnu ikke har behandlet AI på bestyrelsesniveau.

TABEL: AI PÅ DAGSORDENEN?
	Ja, AI er på dagsordenenj	AI anvendes aktivt og strategisk
Startup	61%	40%
< 10 m. kr.	57%	32%
10 – 20 m. kr.	69%	33%
20 – 50 m. kr.	67%	25%
50 – 100 m. kr.	70%	25%
100 – 250 m. kr.	74%	26%
> 250 m. kr.	68%	28%

Ser man på virksomhedernes faktiske udnyttelse af AI i forretningen, befinder de fleste sig fortsat i en tidlig modenhedsfase. Kun 28 % anvender AI aktivt og strategisk i kerneforretningen, mens 36 % har pilotprojekter i gang. Yderligere 32 % drøfter AI uden at have omsat det til konkrete initiativer. Samlet betyder det, at næsten syv ud af ti virksomheder fortsat befinder sig i afprøvning eller indledende afklaring af AI’s forretningsmæssige potentiale. Det peger på en tydelig omvendt proportionalitet mellem AI på agendaen og AI i aktiv anvendelse: AI er højt på agendaen – men lavt i reel forretningsanvendelse.
Data viser samtidig en tydelig forskel mellem drøftelse og implementering. Hvor AI relativt bredt er kommet på bestyrelsesagendaen (68 %), er den strategiske og operationelle forankring fortsat begrænset idet kun 28 % anvender AI strategisk i kerneforretningen.
Samtidig vurderer kun 7 % af virksomhederne, at AI aktuelt er irrelevant for forretningen, hvilket indikerer en generel forventning om, at AI på sigt vil få betydning for de fleste virksomheder. Samlet peger resultaterne på, at AI i stigende grad er blevet et governance- og strategiemne for bestyrelser, men at arbejdet fortsat i mange virksomheder befinder sig i en eksplorativ fase. Udviklingen understreger behovet for, at bestyrelser forholder sig aktivt til AI’s forretningsmæssige potentiale, risici og kompetencebehov, herunder hvordan AI integreres i strategi, risikostyring og forretningsudvikling. Dette forstærkes yderligere af EU’s AI Act, som øger kravene til ledelsesmæssig styring, risikohåndtering og governance omkring anvendelsen af AI.