IT-governance betyder, at det er aftalt, hvem der beslutter hvad om IT, hvor beslutningerne bliver truffet, og hvordan ledelsen følger op på dem. På dansk kan ordet oversættes til styring af IT, og emnet er ledelse frem for teknik. En mindre virksomhed behøver hverken en afdeling eller en stor model. Tre ting rækker som regel: en liste over de beslutninger, der skal have en ejer, et fast sted at træffe dem, og en kort opfølgning, som direktionen og en eventuel bestyrelse faktisk læser.
Governance og daglig IT-ledelse
IT-ledelse er at drive området: prioritere opgaver, styre leverandører og holde budgettet. Governance er rammen om det arbejde. Den fastlægger, hvem der må bestemme, inden for hvilke grænser, og hvem der kontrollerer resultatet.
Et enkelt prøvespørgsmål viser forskellen. Hvem besluttede, at driftsaftalen skulle forlænges sidste gang, og hvor står det? Kan ingen svare, mangler rammen, også selv om driften kører fint. Flere af den slags tegn er samlet under tegn på, at ingen ejer IT-beslutningerne.
Fem beslutninger, der skal have en ejer
De fleste uklarheder samler sig om fem typer beslutninger. Gå dem igennem, og skriv en ejer ved hver.
- Retning: hvad IT skal understøtte de næste år. Grundlaget er IT-strategien på én side.
- Penge: budgettet og de større investeringer, og hvem der må købe hvad. En enkel indkøbsregel er et godt sted at begynde.
- Risiko: hvilke IT-risici I lever med, og hvilke der skal ned. Risiciene samles i én liste for ledelsen.
- Systemer og leverandører: valg, forlængelse og opsigelse.
- Data og adgange: hvem der ejer oplysningerne i hvert system, og hvem der må give adgang. Den brede udgave af spørgsmålet kaldes data governance og er omtalt under Chief Data Officer.
Skriv derefter for hver type, hvem der forbereder sagen, hvem der træffer beslutningen, og hvem der skal høres. Sproget til fordelingen findes allerede i mandatet med niveauerne rådgive, indstille og beslutte. Fordelt opgave for opgave bliver det til en ansvarsmatrix, som også kaldes en IT-governance-matrix.
Skal I have en IT-styregruppe?
Beslutningerne skal have et fast sted. I mange mindre virksomheder er det et punkt på det ledelsesmøde, der holdes i forvejen. Det holder IT tæt på forretningen.
En IT-styregruppe er en lille fast gruppe, der mødes om IT-prioriteringerne. Den giver mening, når et eller flere af disse tegn passer:
- Afdelingerne konkurrerer om de samme IT-timer, og ingen afgør, hvem der kommer først.
- Flere større projekter kører samtidig og trækker på de samme folk.
- Beslutninger ligger og venter, fordi de ikke kan nå på ledelsesmødet.
- Systemerne deles på tværs, så en ændring ét sted rammer andre afdelinger.
Gruppen kan bestå af direktøren, den økonomiansvarlige, en leder fra den største brugerafdeling og IT-lederen. Møderne kan følge en fast dagsorden med prioriteringer, beslutninger til afgørelse, risici og status på aftaler. Leverandøren inviteres til de punkter, hvor den har noget at bidrage med, og går, når dens egen aftale skal vurderes. Grænsen mellem ledelse og leverandør står under IT-ledelse og IT-leverandøren.
Opfølgningen holder det i live
En fordeling, ingen følger op på, mister hurtigt sin værdi. Tre enkle redskaber holder den i brug.
- Et årshjul placerer de faste beslutninger i kalenderen.
- En beslutningslog viser, hvad der blev valgt, af hvem og hvorfor.
- En fast rapport viser, om det besluttede faktisk sker.
Spørg én gang i kvartalet: Hvilke beslutninger blev truffet uden om fordelingen? Hvad har ligget uafgjort i mere end ét møde? Er der en linje, der skal rettes? Svarene viser, om rammen passer til virksomheden, som den ser ud nu.
Det skal bestyrelsen se
Efter selskabslovens § 115 varetager bestyrelsen den overordnede og strategiske ledelse, skal sikre en forsvarlig organisation og påse, at risikostyring og intern kontrol er på plads med de nødvendige procedurer. Efter § 117 omfatter den daglige ledelse ikke dispositioner af usædvanlig art eller stor betydning. Har selskabet ingen bestyrelse, ligger den overordnede ledelse og organiseringen hos direktionen. Loven nævner ikke IT, så koblingen er en tolkning, og hvad den betyder i jeres selskab, er et spørgsmål til selskabets advokat. Aftal under alle omstændigheder, hvilke IT-beslutninger der skal forbi bestyrelsen, fx et skift af forretningssystem.
Gælder NIS2-loven for jer, har ledelsesorganet efter § 7 to pligter: Det godkender foranstaltningerne, og det holder tilsyn med gennemførelsen. Mere står under NIS2 og ledelsens ansvar.
Bestyrelsen behøver ikke detaljerne. Et par gange om året kan den få svar på disse spørgsmål:
- Hvem ejer IT-beslutningerne, og er fordelingen ændret siden sidst?
- Hvilke større beslutninger er truffet, og hvilke er på vej?
- Hvilke væsentlige risici er åbne, og hvem har accepteret dem?
- Er der hændelser eller leverandørforhold, bestyrelsen bør kende til?
Bestyrelsens rolle går videre med spørgsmålene, når lederen af IT er ekstern.
Modeller og rammer som COBIT
Søger I på IT-governance, møder I ord som model, principper og framework. En model er blot jeres fordeling af beslutninger og fora. Principper er få sætninger om, hvordan I træffer valg, fx at hvert system har en ejer. Et framework er en færdig og mere omfattende ramme.
Et kendt eksempel er COBIT fra brancheforeningen ISACA, en ramme for styring og ledelse af IT i virksomheder. Ifølge ISACA kan den tilpasses behovet, og der findes en udgave til små og mellemstore virksomheder. COBIT er ingen lov, og I kan have orden i jeres IT-beslutninger uden den. Den kan bruges som opslagsværk, hvis en kunde, en ejer eller en revisor spørger til jeres ramme.
Et tænkt eksempel
En handelsvirksomhed med 45 ansatte har en driftsleverandør og ingen IT-chef. Direktøren beslutter strategi og budget, økonomichefen ejer økonomisystemet, og salgschefen ejer webshoppen. Den eksterne IT-leder indstiller valg af systemer og prioriterer opgaverne hos leverandøren inden for en aftalt ramme. IT er et fast punkt på ledelsesmødet hver måned, og bestyrelsen får en side to gange om året. Hele fordelingen fylder to sider.
Sådan kommer I i gang
- Find de ti seneste større IT-beslutninger, og notér, hvem der traf dem.
- Skriv en ejer ved hver af de fem beslutningstyper, og vælg stedet, hvor de skal træffes.
- Godkend fordelingen i direktionen, og sæt en dato om et halvt år, hvor den ses igennem.
Har I ingen, der kan holde sammen på det, er det typisk en opgave for en intern eller ekstern IT-leder. Rammen godkendes stadig af ledelsen.
Det skal I lade være med
- At købe en stor model for at få orden · start med fordelingen, og tilføj kun det, I bruger.
- At lade leverandøren vurdere sig selv · dens egen aftale skal vurderes uden leverandøren i lokalet.
- At oprette en styregruppe uden beslutningsret · så bliver den et orienteringsmøde.
- At lægge ejerskabet i IT alene · de store valg om systemer og data er forretningsbeslutninger.
Det skal I kræve af den eksterne
- ☐ Et udkast til fordelingen af de fem beslutningstyper, som ledelsen kan rette i.
- ☐ Ledelsen står som ejer af de beslutninger, der hører til dér.
- ☐ Opfølgning i den faste rapport, herunder beslutninger truffet på jeres vegne.
- ☐ Dokumenterne ligger i jeres egne systemer.
- ☐ Oplysning om bindinger til leverandører, inden der indstilles.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver og § 117 om direktionens daglige ledelse.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
- ISACA: COBIT: rammen og udgaven for små og mellemstore virksomheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Rollebeskrivelse og ansvarsmatrix · Årshjul for IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
