Company Protection Officer er en betegnelse for den person, der skal beskytte virksomheden, men der findes ingen fælles definition af, hvad beskyttelsen omfatter. Titlen kan dække fysisk sikring af bygninger, sikkerhed for medarbejdere, beredskab og forretningskontinuitet, beskyttelse af viden og forretningshemmeligheder eller et samlet ansvar for virksomhedens risici. Den er ikke beskrevet i dansk lovgivning, og den er ikke beskyttet. Når titlen dukker op, er det derfor opgavebeskrivelsen og mandatet, ledelsen skal se på, før den antager noget om indholdet.
Hvorfor titlen er så åben
De fleste ledelsestitler har et nogenlunde kendt kerneområde. En IT-chef har ansvaret for IT, en økonomichef for økonomien. Company Protection Officer peger på et formål, at beskytte virksomheden, og lader det stå åbent, hvad der skal beskyttes mod. Derfor vælger nogle virksomheder titlen, når de vil samle flere sikkerhedsopgaver hos én person, mens andre bruger den om en ren vagt- og adgangsfunktion.
Forkortelsen gør det ikke lettere. CPO bruges også om Chief Privacy Officer og Cyber Protection Officer, og uden for sikkerhedsområdet om helt andre ledelsesroller. Forkortelsens tre IT-betydninger er sammenlignet i CPO: tre betydninger af samme forkortelse.
Fem områder, titlen kan dække
Når virksomheder beskriver rollen, falder opgaverne typisk inden for et eller flere af disse områder.
- Fysisk sikring · adgangskontrol, nøgler og kort, alarmer, kameraer og aftaler med vagtselskaber.
- Medarbejdernes sikkerhed · rejser, arbejde alene, trusler mod ansatte og håndtering af ubudne gæster.
- Beredskab og kontinuitet · planer for brand, strømsvigt, oversvømmelse og nedbrud, og øvelser i, hvordan virksomheden holder kritiske funktioner kørende.
- Viden og forretningshemmeligheder · tegninger, opskrifter, kundelister og tilbudsmateriale, der ikke må slippe ud, og de regler og adgange, der skal holde dem inde.
- Det samlede risikobillede · en fælles risikovurdering på tværs af IT, bygninger, mennesker og leverandører, som ledelsen kan prioritere ud fra.
En person kan sagtens have ansvaret for alle fem. Det kræver dog bred erfaring og et mandat, der rækker ind i flere afdelinger. Har rollen kun ét eller to af områderne, bør titlen og opgavebeskrivelsen sige det tydeligt.
Forholdet til CISO og sikkerhedsrollen
Overlappet med informationssikkerhedschefen, CISO’en, ligger især i punkt 4 og 5. Ejer en Company Protection Officer også IT-sikkerheden, har virksomheden reelt samlet CISO-rollen og den fysiske sikkerhed hos én person. Ejer den det ikke, skal det fremgå, hvem der så gør, og hvordan de to deler risikovurderingen. CISO-rollen er beskrevet i Hvad er en CISO?, og sikkerhedsledelse hentet udefra er samlet på CISO, vCISO og cyber security advisor.
Tag produktionsvirksomheden med 40 ansatte og tre leverandører. Den har en driftsleverandør til IT, et vagtselskab til bygningerne og en leverandør af adgangskort. Ingen af dem ser det samlede billede. En intern medarbejder kan få titlen Company Protection Officer og ansvaret for at koordinere de tre, mens den tekniske IT-sikkerhed vurderes af en ekstern sikkerhedsansvarlig. Det er en fornuftig opdeling, så længe den står skrevet.
Forveksl heller ikke titlen med Cyber Protection Officer, som også forkortes CPO. Den betegnelse bruges om en rolle, der ligger tæt på CISO’en og handler om beskyttelse af systemer og data mod angreb. En Company Protection Officer kan have den samme opgave som en del af sit ansvar, men titlen siger det ikke af sig selv. Står der kun CPO i et dokument, er det første spørgsmål derfor, hvilken af betydningerne afsenderen mener.
Når titlen kommer udefra
Ofte er det ikke virksomheden selv, der vælger titlen. Den kan stå i et spørgeskema fra en kunde, i en koncernpolitik fra et moderselskab eller i et tilbud fra en leverandør. I de situationer er det fristende at give titlen til den nærmeste og gå videre.
Spørg i stedet, hvad modparten forventer. Vil kunden vide, hvem der svarer for den fysiske sikkerhed på jeres lager? Vil moderselskabet have en kontaktperson for beredskab? Vil leverandøren sælge en pakke, hvor titlen følger med? Svaret afgør, om I allerede har en person, der løfter opgaven, og om det blot handler om at pege på vedkommende. De spørgsmål, der hjælper med at få forkortelsen på plads, står samlet på CPO: tre roller med samme forkortelse.
Sådan skriver I opgavebeskrivelsen
En opgavebeskrivelse for rollen behøver ikke være lang, men den skal besvare de samme spørgsmål, uanset hvilke områder rollen dækker.
- ☐ Hvilke af de fem områder rollen omfatter, og hvilke der ligger hos andre.
- ☐ Hvilke beslutninger rollen må træffe selv, og hvilke der skal forelægges direktionen.
- ☐ Hvem rollen rapporterer til, og hvor ofte.
- ☐ Hvilke leverandører rollen styrer eller følger op på.
- ☐ Hvordan rollen arbejder sammen med IT-chef, CISO og eventuel DPO.
- ☐ Hvilken dokumentation rollen holder ajour, fx risikovurdering og beredskabsplaner.
Spørgsmålet om, hvad en ekstern person må beslutte på virksomhedens vegne, er uddybet i artiklen om mandat og beslutningskompetence.
Det skal I lade være med
- At svare på et spørgeskema med en titel · peg på den person og de opgaver, der faktisk findes.
- At antage, at titlen omfatter IT-sikkerhed · spørg, og skriv svaret ind i beskrivelsen.
- At samle alt hos én uden mandat · en bred rolle uden adgang til de relevante afdelinger bliver en postkasse.
- At oprette rollen ved siden af en eksisterende sikkerhedsansvarlig · uden en klar fordeling opstår der dobbeltarbejde og huller.
Det skal I kræve af den eksterne
Skal en ekstern person bære hele eller dele af rollen, så kræv følgende.
- ☐ En skriftlig afgrænsning af, hvilke beskyttelsesområder aftalen dækker.
- ☐ Dokumenteret erfaring inden for netop de områder.
- ☐ En fælles risikovurdering, der kan læses af ledelsen og bruges af andre roller.
- ☐ Oplysning om bindinger til leverandører af sikringsudstyr eller vagtydelser.
- ☐ Fast rapportering til direktionen med de risici, der kræver en beslutning.
Lav som det første en liste med de fem områder og navnet på den, der bærer hvert af dem hos jer. Står der intet navn ud for et område, er det dér, en eventuel rolle skal begynde. Hvordan beskyttelsesrollerne fordeler sig blandt de øvrige roller, er samlet på Rollerne i ekstern IT-ledelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Chief Privacy Officer · Ordliste om ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
