Den eksterne IT-leder skriver udkastet til IT-strategien, de øvrige roller leverer hver deres afsnit, og direktionen godkender den færdige side. Bestyrelsen orienteres og kan stille krav til retningen, men den skriver ikke selv. Strategien opdateres én gang om året og følges op hvert kvartal. Holdes den på én side, bliver den læst, og den kan bruges, når der skal siges ja eller nej til et nyt system. Artiklen viser, hvem der gør hvad, og hvordan siden kan bygges op.
Hvorfor én side er nok
En IT-strategi i en virksomhed med 20 til 150 ansatte skal svare på få spørgsmål. Hvad skal IT kunne for forretningen de næste to til tre år? Hvad prioriterer vi først? Hvad vælger vi bevidst fra? Hvilke risici accepterer vi, og hvilke vil vi af med? Svarene fylder sjældent mere end en side, når de skrives kort.
Den lange version med baggrundsanalyser, systemoversigter og leverandørvurderinger kan sagtens findes. Den hører til som bilag. Det, direktionen godkender og bestyrelsen ser, er den korte side. Bliver strategien for lang, ender den i en mappe, og ingen kan huske, hvad der blev besluttet.
Hvem skriver udkastet
Udkastet skrives af den rolle, der har det samlede ansvar for IT. I de fleste mindre virksomheder er det den eksterne IT-chef eller CTO. Personen kender systemerne, leverandørerne og budgettet og kan oversætte direktionens mål til konkrete prioriteringer.
Udkastet skrives efter samtaler med direktøren og de vigtigste afdelingsledere. Den eksterne spørger, hvor forretningen skal hen, og hvad der bremser i dag. En strategi, der ikke bygger på de svar, bliver en teknisk plan med ledelsens underskrift.
Har virksomheden ingen samlet IT-rolle, men kun en sikkerhedsansvarlig eller en driftschef udefra, kan en af dem skrive udkastet. Det skal så stå tydeligt, at strategien dækker mere end deres eget område. Hvordan rollerne adskiller sig, er forklaret i rollerne i ekstern IT-ledelse.
Hvem bidrager
Flere roller har noget at sige, og deres bidrag bør komme skriftligt til den, der holder pennen.
- Sikkerhedsansvarlig eller CISO: de vigtigste sikkerhedsmål og de risici, ledelsen skal tage stilling til i perioden.
- DPO: forhold om persondata, der påvirker valg af systemer og leverandører, fx nye behandlinger eller overførsler til lande uden for EU.
- Driftsleverandøren: levetid på udstyr og systemer, kendte begrænsninger og planlagte ændringer hos leverandøren.
- Økonomifunktionen: de rammer, budgettet skal holde sig inden for.
Bidragene redigeres sammen af den, der skriver udkastet. Strategien må ikke ende som fire afsnit, der hver især taler for sin egen sag. Den eksternes opgave er at afveje dem mod hinanden og skrive en samlet prioritering. Hvordan flere eksterne rådgivere arbejder sammen, beskrives i flere eksterne rådgivere om IT.
Hvem godkender
Direktionen godkender strategien. Det følger af, at direktionen står for den daglige ledelse og dermed for, hvordan IT bruges i driften. Den eksterne kan indstille, men beslutningen ligger hos den, der har ansvaret.
Bestyrelsen skal ikke godkende hver linje. Den bør dog orienteres om strategien og om de væsentligste risici, så den kan sikre, at organisationen er forsvarlig. Gælder NIS2-loven for virksomheden, skal ledelsesorganet også godkende de valgte sikringstiltag og holde øje med, at de bliver gennemført. Den del af strategien, der handler om sikkerhed, skal derfor kunne genkendes i det, ledelsen godkender efter loven.
Skriv godkendelsen ned med dato og navn. En strategi uden synlig godkendelse er et forslag, og leverandører og medarbejdere vil behandle den sådan.
Sådan ser siden ud
En brugbar side har seks dele. Rækkefølgen kan variere, men alle dele bør være med.
- Formål: to sætninger om, hvad IT skal understøtte i forretningen.
- Prioriteter: tre til fem indsatser i rækkefølge, hver med en ansvarlig.
- Fravalg: det, I bevidst venter med eller lader være.
- Risici: de tre væsentligste og hvad der gøres ved dem.
- Rammer: budget, timeramme og de krav, kunder eller myndigheder stiller.
- Opfølgning: hvornår strategien gennemgås, og hvem der gør det.
Tænk på en maskinfabrik med 45 medarbejdere og tre faste IT-leverandører. Her kan prioriteterne være at samle brugerstyringen ét sted, at skifte et forældet planlægningssystem og at få styr på backup af produktionsdata. Fravalget kan være en ny intranetløsning, som afdelingerne har ønsket, men som må vente et år.
Hvor ofte, og hvordan følges den op
Strategien skrives om én gang om året, gerne i god tid før budgettet lægges. Hvert kvartal gennemgår direktionen og den eksterne prioriteterne. Er de i gang, er de forsinkede, og er der kommet noget nyt, der ændrer rækkefølgen? Opfølgningen kan ligge som et fast punkt i den månedlige rapport, se rapportering til ledelsen.
Større ændringer midt i året, fx et opkøb eller et nyt krav fra en stor kunde, kan udløse en ny version før tid. Skriv så en kort note om, hvad der er ændret og hvorfor. Den mere udførlige IT-plan for den mindre virksomhed, med systemer, leverandører og budget linje for linje, er et arbejdsdokument under strategien.
Det skal I kræve af den eksterne
- ☐ Et udkast efter samtaler med direktion og afdelingsledere.
- ☐ Skriftlige bidrag fra sikkerhed, DPO og driftsleverandør, samlet i én prioritering.
- ☐ Højst én side med baggrund i bilag.
- ☐ Tydelige fravalg og en ansvarlig for hver prioritet.
- ☐ En plan for kvartalsvis opfølgning og årlig revision.
- ☐ Strategien gemt i jeres egen mappe med dato og godkendelse.
Det skal I lade være med
- At lade leverandøren skrive strategien · den bliver let en plan for leverandørens egne løsninger.
- At godkende uden fravalg · en strategi, der siger ja til alt, prioriterer intet.
- At glemme bestyrelsen · den skal kende retningen og risiciene.
- At skrive en ny strategi hvert halve år · hyppige skift gør det umuligt at måle fremdriften.
- At gemme strategien hos den eksterne · dokumentet tilhører virksomheden.
Kom i gang
Start med at aftale en dato for den første strategisamtale mellem direktøren og den eksterne. Tag med til mødet, hvad forretningen skal kunne om to år, og hvad der irriterer mest i dag. Den eksterne kan derefter samle bidragene og komme med et udkast inden for nogle uger. Strategien hører naturligt til i opstarten, som beskrevet i de første 90 dage.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse af og tilsyn med foranstaltningerne.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver og § 117 om direktionens daglige ledelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Beslutningslog for IT · Fra aftale til afslutning
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT
