Bestyrelsens rolle, når IT‑ledelsen ligger uden for huset

En bestyrelse kan lade en ekstern person lede IT-arbejdet, men ansvaret for selskabets organisation flytter ikke med. Bestyrelsen skal derfor vide, hvem den eksterne er, hvad personen må beslutte, og hvilken rapportering der kommer retur. Det kræver tre ting: et klart mandat skrevet ned af direktionen, en fast rapportering, som bestyrelsen faktisk læser, og en plan for, hvad der sker, hvis samarbejdet ophører. Artiklen forklarer baggrunden i selskabsloven og giver bestyrelsen en liste med spørgsmål.

Hvad selskabsloven siger om bestyrelsens opgaver

I kapitalselskaber med en bestyrelse varetager bestyrelsen efter selskabslovens § 115 den overordnede og strategiske ledelse og skal sikre en forsvarlig organisation af selskabets virksomhed. Bestemmelsen opregner en række forhold, bestyrelsen skal påse. Blandt dem er, at der findes de fornødne procedurer for risikostyring og interne kontroller, og at direktionen udøver sit hverv på behørig måde og efter bestyrelsens retningslinjer. Efter § 117 varetager direktionen den daglige ledelse, og dispositioner af usædvanlig art eller stor betydning kræver som udgangspunkt særlig bemyndigelse fra bestyrelsen.

Loven nævner ikke IT direkte. For mange virksomheder er systemer, data og leverandøraftaler dog så centrale for driften, at det ligger nær at se dem som en del af organisationen og risikostyringen. Hvordan bestemmelserne skal forstås i jeres selskab, og hvad de konkret indebærer for jeres bestyrelse, er et spørgsmål til selskabets advokat. Gennemgangen her er praktisk og erstatter ingen juridisk vurdering.

Den eksterne rolle set fra bestyrelsesbordet

Når IT-ledelsen hentes udefra, bliver den eksterne en brik i den organisation, bestyrelsen har ansvaret for at have overblik over. Bestyrelsen ansætter normalt ikke den eksterne selv. Det gør direktionen inden for sine rammer. Bestyrelsens opgave er at vide, at rollen findes, at den er beskrevet, og at den rapporterer på en måde, som giver et retvisende billede.

Tænk på produktionsvirksomheden med 40 ansatte, hvor direktøren har hentet en ekstern IT-chef ind på nogle dage om måneden. Bestyrelsen hører om det i et bilag til et møde. Et halvt år senere står virksomheden over for et skift af ERP-system, og bestyrelsen opdager, at ingen har besluttet, om den eksterne indstiller valget, eller om direktøren gør. Spørgsmålet kunne være afklaret fra starten.

Hvilke roller der findes, og hvad hver af dem ejer, står samlet under rollerne i ekstern IT-ledelse.

Det bør bestyrelsen spørge direktionen om

Spørgsmålene kan stilles på det møde, hvor bestyrelsen orienteres om den eksterne rolle, og de kan gentages ved den årlige gennemgang af risici.

1. Hvilken rolle har den eksterne, og hvem i direktionen refererer personen til?
2. Hvad må den eksterne beslutte alene, hvad skal indstilles, og hvad forbliver hos direktionen?
3. Hvilke leverandører taler den eksterne med på selskabets vegne, og med hvilken fuldmagt?
4. Hvordan og hvor ofte rapporterer den eksterne, og hvad når frem til bestyrelsen?
5. Har den eksterne bindinger til nogen af selskabets leverandører?
6. Hvor ligger dokumentationen, og hvem ejer den?
7. Hvad sker der med adgange og viden, hvis samarbejdet stopper?

Svarene bør foreligge skriftligt, så bestyrelsen kan vende tilbage til dem. Er svaret på et af spørgsmålene, at det ikke er afklaret, er det i sig selv en nyttig oplysning og et naturligt punkt til opfølgning.

Spørgsmål 2 og 3 hænger sammen med mandatet, som bør være skrevet ned, før den eksterne begynder at tale med leverandører.

Det skal bestyrelsen modtage

Bestyrelsen har brug for et kort og regelmæssigt overblik. Detaljerne hører til i direktionen. En rapport til bestyrelsen kan bestå af få punkter:

• De væsentligste risici på IT og informationssikkerhed og ændringer siden sidst.
• Status på større beslutninger og projekter, der er i gang.
• Hændelser, der har påvirket driften eller data, og hvad der blev gjort.
• Forhold, hvor den eksterne vurderer, at ledelsen bør træffe en beslutning.
• Afvigelser fra budget og plan.

Hyppigheden afhænger af selskabets størrelse og afhængighed af IT. For mange selskaber kan et fast punkt på dagsordenen et par gange om året være passende, suppleret af besked mellem møderne, når noget væsentligt sker. Hvordan rapporteringen bygges op fra den eksterne til direktionen, er beskrevet under rapportering til ledelsen.

Er virksomheden omfattet af NIS2, stiller den lovgivning sine egne krav til ledelsen. Hvordan de forskellige roller kan bidrage, er gennemgået i artiklen om NIS2 og valg af rolle.

Når bestyrelsen selv vil tale med den eksterne

Det kan give mening, at den eksterne en gang om året deltager i et bestyrelsesmøde og fremlægger sin vurdering. Bestyrelsen får dermed et direkte indtryk og kan stille opfølgende spørgsmål. Aftal på forhånd med direktionen, hvordan det foregår, så den eksterne ikke kommer i en position, hvor direktionens ansvar for den daglige ledelse undergraves. Den eksterne bør kunne sige sin mening frit og samtidig kende sin plads i strukturen.

Bestyrelsen kan også bede om at blive orienteret, hvis den eksterne og direktionen er uenige om et væsentligt forhold. Den ordning bør være kendt af alle parter og stå i opgavebeskrivelsen.

I mindre selskaber er bestyrelsen ofte tæt på driften, og formanden kender måske den eksterne personligt. Det gør det ekstra vigtigt at holde rollerne adskilt. Bestyrelsens spørgsmål går gennem direktionen eller foregår på møder, hvor direktionen er til stede, så den eksterne ikke ender med at have to chefer med hver sine forventninger.

Det skal I kræve af den eksterne

• ☐ Rollebeskrivelse på skrift, godkendt af direktionen.
• ☐ Rapportering i et format, der kan bruges direkte i bestyrelsens materiale.
• ☐ Åbenhed om bindinger til selskabets leverandører.
• ☐ Vilje til at fremlægge for bestyrelsen, når den beder om det.
• ☐ Dokumentation, der ligger i selskabets systemer.
• ☐ En plan for overdragelse, hvis samarbejdet ophører.

Det skal I lade være med

• At tro, at ansvaret følger med kontrakten · bestyrelsen og direktionen har fortsat ansvaret for organisationen.
• At nøjes med mundtlige orienteringer · uden skriftlig rapportering er der intet at følge op på.
• At lade den eksterne rapportere direkte til bestyrelsen uden om direktionen · det skaber uklarhed om, hvem der leder.
• At glemme den eksterne i årshjulet · rollen hører med, når bestyrelsen gennemgår risici og organisation.
• At behandle IT som et rent teknisk emne · tegnene på, at ingen ejer beslutningerne, er ofte organisatoriske, se tegn på manglende IT-ledelse.

Næste skridt for bestyrelsen er at bede direktionen om rollebeskrivelsen og mandatet og at sætte IT-ledelsen på dagsordenen ved næste møde.

Kilder

• Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver og § 117 om direktionens daglige ledelse.

Senest gennemgået: november 2026.

Næste skridt

• Mandat: hvad må den eksterne beslutte på jeres vegne?
• Rapportering: hvad ledelsen skal se, og hvor ofte

Læs også: Rollerne i ekstern IT-ledelse · Hvad er en CISO, og hvem har brug for en?

→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT