Et nyt bestyrelsesmedlem skal kunne svare på fire spørgsmål om IT efter introduktionen. Hvem leder IT i virksomheden, og hvilke roller er hentet udefra? Hvilke aftaler løber, og hvornår skal de tages op? Hvad har bestyrelsen tidligere besluttet om IT og sikkerhed? Og hvilke risici følger bestyrelsen med i? Svarene kan samles i en kort introduktionspakke på få sider, som opdateres en gang om året. Ligger en del af IT-ledelsen hos en ekstern, kan vedkommende med fordel stå for en del af introduktionen og være til stede ved et af de første møder.
Hvorfor IT hører med i introduktionen
Introduktionen af et nyt bestyrelsesmedlem handler oftest om strategi, økonomi, kunder og ejerforhold. IT bliver let til en bemærkning om, at det er outsourcet til en leverandør. Det giver et ufuldstændigt billede, for bestyrelsen har et ansvar, som også rækker ind i IT.
I et selskab med bestyrelse skal den efter selskabslovens § 115 varetage den overordnede og strategiske ledelse, sikre en forsvarlig organisation og påse, at der findes de nødvendige procedurer for risikostyring og interne kontroller. Er virksomheden omfattet af NIS2, kommer artikel 20 i direktivet oveni. Den lægger godkendelsen af virksomhedens cybersikkerhedsforanstaltninger hos ledelsesorganerne, gør dem ansvarlige for at holde øje med, at foranstaltningerne bliver gennemført, og kræver, at medlemmerne deltager i kurser. Om det enkelte bestyrelsesmedlem er omfattet, afhænger af virksomhedens forhold og bør afklares med en rådgiver. Hvordan rollerne spiller sammen med kravene, er beskrevet i NIS2 og valg af rolle.
Indholdet af introduktionspakken
Pakken bør kunne læses på en halv time. Den kan bestå af følgende dele.
Hvem leder IT. En kort oversigt over, hvem der ejer IT-beslutningerne, hvem der har ansvaret for sikkerhed og databeskyttelse, og hvem der styrer driften. Står der en ekstern bag en af rollerne, nævnes rollen, timerammen og mandatet.
Roller hentet udefra. Hvilke eksterne roller virksomheden har, fx en ekstern IT-chef, en CISO på deltid eller en DPO, og hvad de hver især rapporterer om. Rollerne er forklaret på siden om rollerne i ekstern IT-ledelse.
De vigtigste aftaler. Driftsleverandør, forretningssystem, cloudtjenester og eventuelle eksterne ledelsesroller med udløbsdato og opsigelsesvarsel. Kun de aftaler, der har betydning for forretningen.
Tidligere beslutninger. Hvad bestyrelsen har besluttet om IT og sikkerhed de seneste to til tre år, fx godkendte budgetter, en sikkerhedspolitik, et systemskifte eller valget af en ekstern rolle. En beslutningslog gør det let at finde, og den er beskrevet i Beslutningslog for IT.
De risici, bestyrelsen følger. Den aktuelle risikoliste i kort form med de punkter, bestyrelsen har bedt om at blive holdt orienteret om.
Rapporteringen. Hvad bestyrelsen modtager om IT, hvor ofte, og fra hvem. Formen er gennemgået i Rapportering til ledelsen.
Den eksternes bidrag
Har virksomheden en ekstern IT-leder eller en ekstern sikkerhedsrolle, er det oplagt at bruge personen i introduktionen. Den eksterne kender de aktuelle sager og kan forklare risikobilledet uden fagsprog. Et møde på en time mellem det nye medlem og den eksterne giver mulighed for at stille de spørgsmål, som ellers ikke bliver stillet i et fuldt bestyrelsesmøde.
Bidraget bør aftales med direktøren på forhånd. Den eksterne arbejder for direktionen, og en introduktion uden om direktøren kan skabe tvivl om, hvem personen refererer til. Direktøren ejer introduktionen, og den eksterne leverer den faglige del. Hvordan rollen over for bestyrelsen kan se ud, er beskrevet i Bestyrelsens rolle.
Efter introduktionsmødet er det en god idé at give det nye medlem en fast kanal til spørgsmål, fx via direktøren eller formanden, så spørgsmål om IT ikke ender som mails direkte til den eksterne.
Når det nye medlem skal bidrage med IT-viden
Nogle bestyrelser vælger et nyt medlem netop for at få mere viden om IT og digitalisering. Det er nyttigt, men det ændrer ikke ved, hvem der leder IT i den daglige drift. Et bestyrelsesmedlem stiller spørgsmål og fører tilsyn. Ledelsen af IT ligger hos direktionen og de roller, direktionen har udpeget. Grænsen er værd at drøfte ved introduktionen, så forventningerne er afstemt. Valget mellem et nyt medlem, en rådgiver og en ekstern leder er behandlet i Bestyrelsen mangler IT-kompetence.
Et tænkt eksempel
En logistikvirksomhed med 70 ansatte får et nyt bestyrelsesmedlem med baggrund i salg. Virksomheden har en ekstern IT-chef på deltid og en ekstern DPO, og driften ligger hos en leverandør. Introduktionspakken fylder fire sider. Den viser, hvem der har hvilket ansvar, at driftsaftalen udløber om et år, at bestyrelsen sidste år godkendte en plan for at udskifte lagersystemet, og at de tre største risici er afhængigheden af lagersystemet, manglende test af gendannelse fra backup og et kundekrav om sikkerhedsdokumentation.
Efter et møde på en time med den eksterne IT-chef kan det nye medlem stille relevante spørgsmål ved næste bestyrelsesmøde, bl.a. om tidsplanen for lagersystemet og om, hvornår gendannelsen sidst blev afprøvet. Introduktionen har altså givet bestyrelsen et medlem, der kan føre tilsyn med IT fra første møde.
Det skal I lade være med
- At sende det nye medlem en mappe med alle kontrakter · få sider med overblik bruges mere end hundrede sider bilag.
- At udelade de eksterne roller · bestyrelsen skal vide, hvem der står bag ansvaret, også når personen ikke er ansat.
- At beskrive IT som noget, leverandøren tager sig af · ansvaret for at styre leverandøren ligger hos virksomheden selv.
- At lade introduktionspakken blive forældet · en pakke, ingen har opdateret i tre år, giver et forkert billede.
- At lade den eksterne præsentere uden direktørens deltagelse · rollefordelingen skal være tydelig fra start.
Det skal I kræve af den eksterne
- ☐ Et kort afsnit til introduktionspakken om rollen, mandatet og de aktuelle sager.
- ☐ En risikoliste, der kan forstås uden tekniske forudsætninger.
- ☐ Deltagelse i et introduktionsmøde efter aftale med direktøren.
- ☐ En opdatering af den eksternes del af pakken mindst en gang om året.
- ☐ Klare svar på, hvad der er besluttet, og hvad der afventer bestyrelsen.
Før næste bestyrelsesmøde
Gennemgå den nuværende introduktion til nye medlemmer, og notér, hvad den siger om IT. Mangler et eller flere af punkterne ovenfor, så bed direktøren om et udkast. Er der ingen, der kan svare på, hvem der leder IT, er det i sig selv et tegn på, at området mangler en ejer.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver, herunder risikostyring og interne kontroller.
- Direktiv (EU) 2022/2555 (NIS2): artikel 20 om ledelsesorganernes godkendelse, tilsyn og kurser.
- Lov nr. 434 af 6. maj 2025: den danske gennemførelse af NIS2.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Spørgsmål og svar for bestyrelsesformanden · Ny direktør og IT-ledelsen · Fonde og foreninger: IT-ledelse, når bestyrelsen er frivillig
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
