Ja, mange roller kan samles hos én ekstern person, og i mindre virksomheder er det ofte den mest praktiske løsning. IT-chef og IT-driftschef ligger tæt, og det samme gør IT-chef og CTO i en virksomhed, der både bruger IT og har et mindre digitalt produkt. Kombinationen bliver vanskelig, når den samme person skal vurdere eller overvåge beslutninger, vedkommende selv har truffet. Det gælder især DPO-rollen, hvor databeskyttelsesforordningen stiller krav om uafhængighed, og i mindre grad sikkerhedsrollen, når den lægges sammen med ansvaret for driften.
Hvorfor spørgsmålet melder sig
En virksomhed med 30 ansatte kan sagtens have brug for én, der prioriterer IT-investeringerne, én, der holder øje med sikkerheden, og én, der kan svare på spørgsmål om persondata. Ingen af behovene er store nok til en selvstændig aftale, og tre eksterne personer giver tre sæt møder, tre rapporter og en direktør, der skal binde det hele sammen. Derfor er det fristende at samle alt hos én.
Fordelen er reel. Én person kender helheden, ser sammenhængen mellem et nyt system og de krav, det udløser, og taler med leverandørerne med samme stemme. Ulempen viser sig først, når rollerne skal holde hinanden i ave. Hvilke roller der findes, er beskrevet under rollerne i ekstern IT-ledelse.
Roller, der ligger naturligt sammen
Nogle kombinationer giver sig selv, fordi opgaverne glider over i hinanden, og fordi ingen af rollerne har til formål at kontrollere den anden.
- IT-chef og IT-driftschef. Den ene fastlægger retningen og indkøbene, den anden følger op på, at leverancerne virker. Med få leverandører er der sjældent grund til at dele opgaven. Driftsrollen er beskrevet under IT-driftschefen udefra.
- IT-chef og CTO. I virksomheder med et mindre produkt ved siden af den almindelige drift kan samme person dække begge, så længe produktet ikke kræver daglig teknisk ledelse af et udviklingsteam.
- CISO og cyber security advisor. Betegnelserne bruges om samme rolle med forskelligt omfang og kan uden videre ligge samlet.
- CISO og en driftsnær Cyber Protection Officer. Begge arbejder med beskyttelse af systemerne, blot på hvert sit niveau.
Når den samme person skal kontrollere sig selv
Sikkerhedsrollen har en indbygget kontrolfunktion. Den skal vurdere, om de valg, der er truffet om systemer, leverandører og adgange, giver en acceptabel risiko. Ligger rollen hos den person, som har truffet valgene, bliver vurderingen en selvevaluering. Det kan fungere i en lille virksomhed, når ledelsen ved, at det er sådan, og har taget stilling til det.
Tænk på grossisten med 35 ansatte, hvor den eksterne IT-chef har valgt en ny driftsleverandør og samtidig er sikkerhedsansvarlig. Viser leverandørens backup sig senere at være utilstrækkelig, er det samme person, der skal påpege fejlen i sit eget valg. Mange vil gøre det redeligt. Ledelsen har dog intet uafhængigt blik at holde vurderingen op imod.
To greb gør kombinationen mere robust. Det ene er en gennemgang af sikkerheden med faste mellemrum, udført af en anden end den, der har ansvaret. Det andet er, at beslutninger med stor betydning for sikkerheden lægges frem for direktionen med en skriftlig risikovurdering, så valget er synligt. Hvem der beslutter hvad, bør stå i mandatet.
DPO’en står et særligt sted
DPO er den rolle, der har sværest ved at dele stol med andre. Databeskyttelsesforordningens artikel 38, stk. 3, kræver, at rådgiveren ikke modtager instrukser om udførelsen af sine opgaver. Artikel 38, stk. 6, tillader, at rådgiveren har andre opgaver, men den dataansvarlige skal sikre, at de ikke fører til en interessekonflikt.
En IT-chef bestemmer, hvilke systemer persondata behandles i, og hvordan. En DPO skal overvåge, om behandlingen overholder reglerne. Samles de to roller, overvåger personen sine egne beslutninger. Samme problem opstår, når DPO-rollen kombineres med andre ledelsesposter, der fastlægger formål og midler for behandlingen. Hvordan konflikten vurderes, og hvilke interne roller der typisk kolliderer, er uddybet i Kan IT-chefen også være DPO?.
En sikkerhedsrolle uden beslutningskompetence over systemerne er lettere at forene med DPO, fordi den rådgiver frem for at beslutte. Vurderingen afhænger af rollebeskrivelsen, og den skal foretages konkret og skrives ned. Hvor de tre roller skiller sig fra hinanden, kan I læse i artiklen om DPO, CPO og CISO.
Tiden skal række til alle rollerne
En samlet aftale skal også kunne bære opgaverne. Sikkerhedsarbejdet bliver let det, der skubbes, når driften brænder, og en henvendelse fra en registreret med en frist kan ikke vente til næste måned. Aftalen bør derfor beskrive, hvor stor en del af timerammen der som udgangspunkt går til hver rolle, og hvordan der prioriteres, når de konkurrerer. Hvordan en fast ramme fungerer på tværs af roller, står i Deltid som model.
Det skal I lade være med
- At samle roller, fordi det er nemt · tag stilling til hver kombination for sig.
- At give DPO-rollen til den, der træffer IT-beslutningerne · forordningen kræver, at konflikten undgås.
- At lade sikkerheden vurderes alene af den, der valgte løsningen · få et uafhængigt blik med jævne mellemrum.
- At bruge én samlet timeramme uden fordeling · den rolle, der larmer mest, tager tiden.
- At glemme afløseren · ligger alt hos én, rammer et fravær flere funktioner på samme tid.
Det skal I kræve af den eksterne
- ☐ En rollebeskrivelse pr. rolle, også når én person dækker flere.
- ☐ En skriftlig vurdering af mulige interessekonflikter, før aftalen underskrives.
- ☐ Rapportering, hvor hver rolle har sit eget afsnit.
- ☐ Åbenhed, når en anbefaling berører en beslutning, personen selv har truffet.
- ☐ Accept af, at en anden kan efterprøve sikkerheden med faste mellemrum.
Flere krav til den første samtale findes i kravlisten til en ekstern IT-leder.
Sådan vurderer I en kombination
Skriv de roller op, I har brug for, og stil to spørgsmål til hvert par. Skal den ene rolle kontrollere den andens beslutninger? Kan begge opgaver nås inden for samme timeramme? Er svaret ja til det første, bør rollerne ligge hos to personer, eller ledelsen skal bevidst acceptere selvevalueringen og notere det. Er svaret nej til det andet, skal rammen udvides, eller en rolle skal placeres et andet sted.
Næste skridt er at gennemgå rollerne efter behov og markere, hvilke af dem der kan dele person.
Kilder
- Databeskyttelsesforordningen, (EU) 2016/679: artikel 38, stk. 3, om at rådgiveren ikke modtager instrukser, og stk. 6 om andre opgaver og interessekonflikter.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvilken rolle mangler I? · Timeramme, svartid og tilgængelighed
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
