Den rolle, I mangler, findes ved at spørge til de opgaver, der ikke bliver løst. Hvem tager IT-beslutningerne i dag? Hvem svarer, når en kunde spørger til sikkerheden? Hvem ved, hvor persondataene ligger, og hvad de bruges til? Og er teknologien en del af det, I sælger? Svarene peger mod henholdsvis en IT-chef eller CTO, en sikkerhedsansvarlig, en databeskyttelsesrådgiver eller en teknologichef for produktet. Når rollen er fundet, kan I tage stilling til modellen.
Start med opgaverne
Mange ledelser begynder med en titel, de har hørt om, og spørger derefter, om den passer. Det giver ofte et skævt resultat, fordi titlerne dækker forskelligt hos forskellige udbydere. Gå den modsatte vej. Skriv de IT-opgaver ned, der skaber usikkerhed, forsinkelse eller diskussion i ledelsen, og spørg til hver af dem, hvem der ejer den i dag.
Spørgsmålene nedenfor er ordnet efter de fire områder, hvor behovet oftest opstår. Brug dem på et ledelsesmøde, og notér svarene, også dem, der lyder “det ved vi ikke”. Inddrag gerne de medarbejdere, der i praksis tager sig af IT i dag. De ved, hvor tiden går, og hvilke spørgsmål de ikke kan svare på.
Beslutninger og leverandører
- Hvem beslutter, hvilke systemer virksomheden skal bruge?
- Hvem forhandler med leverandørerne, og hvem læser kontrakterne, før de skrives under?
- Hvem ved, hvad I samlet betaler for IT, og om pengene bruges rigtigt?
- Hvem tager affære, hvis den samme fejl vender tilbage igen og igen?
Et godt kontrolspørgsmål er, hvornår virksomheden sidst sagde nej til et forslag fra en leverandør, og hvem der traf den beslutning. Kan ingen huske det, mangler der en modpart.
Er svaret direktøren, leverandøren selv eller “den, der er bedst til IT”, mangler I en strategisk IT-rolle. Handler de fleste svar om den daglige opfølgning på driften, er det snarere en driftsrolle. Forskellen er beskrevet på IT-chef og CTO udefra og IT-driftschefen udefra.
Sikkerhed og kundekrav
- Hvem svarer, når en kunde sender et spørgeskema om informationssikkerhed?
- Hvem har vurderet, hvilke risici der er størst for virksomheden?
- Hvem ved, om virksomheden er omfattet af NIS2 eller leverer til nogen, der er?
- Hvem leder arbejdet, hvis I bliver ramt af et angreb?
Bliver spørgeskemaerne liggende, eller udfyldes de af leverandøren uden at nogen i ledelsen har læst dem, peger det mod en sikkerhedsansvarlig. Et andet signal er, at forsikringsselskabet stiller spørgsmål om sikkerheden ved fornyelsen af policen, og at svarene gives på bedste skøn. Sikkerhedsrollen og dens forskellige navne forklares på CISO, vCISO og cyber security advisor.
Persondata
- Hvem ved, hvilke personoplysninger I behandler, og hvor de ligger?
- Hvem svarer, når en kunde eller medarbejder beder om indsigt?
- Hvem har vurderet, om I er forpligtet til at udpege en databeskyttelsesrådgiver?
Mange virksomheder har både kundedata, medarbejderdata og data om leverandørernes kontaktpersoner. Overblikket over, hvor de ligger, og hvem der har adgang, er grundlaget for alt det andet.
Databeskyttelsesrådgiveren (DPO) er den eneste af rollerne, som loven i visse tilfælde kræver. Spørgsmålet om pligten er gennemgået i Hvornår skal virksomheden have en DPO?, og rollen i sin helhed på DPO: databeskyttelsesrådgiveren. Er der ingen pligt, kan behovet stadig være der, fordi kunder og samarbejdspartnere stiller krav.
Produktet
- Er software, en app eller en digital tjeneste en del af det, I sælger?
- Har I egne udviklere eller en udviklingspartner?
- Hvem træffer beslutninger om produktets arkitektur og teknologi?
Svarer I ja til de to første, er behovet et andet end i en virksomhed, der bruger IT som værktøj. Så handler rollen om produktet, udviklingen og den tekniske gæld. Også en virksomhed, der lader en partner udvikle en app eller en kundeportal, har brug for, at nogen ejer de tekniske valg, fordi partneren ellers træffer dem alene. Skellet uddybes i artiklen om software som produkt.
Når svarene peger flere steder hen
Det er almindeligt, at svarene peger mod to roller. Produktionsvirksomheden med tre leverandører og en stor kunde, der stiller sikkerhedskrav, kan have brug for både en IT-chef og en sikkerhedsansvarlig. Prioritér den rolle, hvor manglen koster mest i dag, og overvej, om de to kan dækkes af samme person. Rækkefølgen kan også bestemmes af kalenderen. Har en vigtig kunde givet en frist for dokumentation af sikkerheden, kan den rolle komme først, selv om IT-beslutningerne generelt har ligget længere uden ejer.
Nogle roller kan samles, andre bør holdes adskilt. Den, der træffer IT-beslutningerne, bør ikke samtidig være den, der kontrollerer databeskyttelsen. Hvilke kombinationer der fungerer, afklares i Kan én ekstern dække flere roller?.
Det skal I lade være med
- At vælge rolle ud fra den seneste overskrift · tag udgangspunkt i jeres egne opgaver.
- At overlade spørgsmålene til leverandøren · den har sin egen interesse i svaret.
- At besvare spørgsmålene alene · økonomi, salg og produktion ser forskellige mangler.
- At løse alt på én gang · én rolle ad gangen giver plads til at lære samarbejdet at kende.
- At springe persondataene over · pligten til en DPO knytter sig til jeres kerneaktiviteter, så også små virksomheder kan være omfattet.
Det skal I kræve af den eksterne
- En gennemgang, der bekræfter eller justerer jeres egen vurdering af rollen.
- Ærlighed, hvis behovet viser sig at være et andet end det, I spurgte efter.
- En klar beskrivelse af, hvad rollen omfatter, og hvad der ligger uden for.
- Oplysning om bindinger til leverandører, så anbefalingerne kan vurderes for sig.
- En plan for, hvordan rollen kan skaleres op eller ned, når behovet ændrer sig.
Sådan bruger I svarene
Saml svarene på én side, og markér de opgaver, som ingen ejer i dag:
- ☐ Opgaver om beslutninger og leverandører uden ejer.
- ☐ Opgaver om sikkerhed og kundekrav uden ejer.
- ☐ Opgaver om persondata uden ejer.
- ☐ Opgaver om produktet uden ejer.
Den gruppe med flest markeringer viser, hvor I bør begynde. Tag derefter stilling til, om behovet er midlertidigt eller varigt, og om det kræver en fast andel af tiden eller en ansættelse. Gem siden med svarene. Den er et godt udgangspunkt for den første samtale med en ekstern leder og for gennemgangen ved start.
Kilder
- Databeskyttelsesforordningen på eur-lex.europa.eu: reglerne i artikel 37 om, hvornår der skal udpeges en databeskyttelsesrådgiver.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tegnene på manglende IT-ledelse · Rollerne i ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
