En ansvarsmatrix er en side, der for hver vigtig IT-opgave viser, hvem der udfører den, hvem der godkender, hvem der skal rådgive, og hvem der blot skal orienteres. Sammen med en kort rollebeskrivelse for den eksterne gør den det tydeligt, hvor grænserne går mellem direktionen, den eksterne IT-leder, de øvrige rådgivere og driftsleverandøren. Den eksterne skriver udkastet i opstarten, direktionen godkender det, og matricen ses igennem én gang om året eller når en rolle skifter. Den bruges især, når der opstår tvivl om, hvem der har en opgave.
Rollebeskrivelsen kommer først
Før matricen giver mening, skal hver ekstern rolle have en kort beskrivelse. Den kan holdes på en halv side og svare på fem spørgsmål.
- Hvad er formålet med rollen?
- Hvilke områder har den ansvaret for?
- Hvad må den beslutte selv, og hvad skal forelægges direktionen?
- Hvem refererer den til?
- Hvilken timeramme og tilgængelighed er aftalt?
Beskrivelsen bygger på aftalen og mandatet og gentager dem i et sprog, som medarbejdere og leverandører kan forstå. Mandatet er uddybet i mandat og beslutningskompetence, og aftalen i aftalen om ekstern IT-ledelse.
De fire bogstaver
Matricen bygger ofte på en kendt model, der på engelsk kaldes RACI. På dansk kan de fire roller beskrives sådan.
- Udfører: den, der gør arbejdet. Der kan være flere.
- Ansvarlig: den ene person, der står til regnskab for, at opgaven bliver løst, og som godkender resultatet.
- Rådgiver: dem, der skal spørges, før der træffes beslutning.
- Orienteres: dem, der skal have besked, når det er sket.
Hold fast i, at der kun er én ansvarlig pr. opgave. To ansvarlige betyder i praksis, at begge venter på den anden.
Matricen kan skrives som en punktliste, hvor hver opgave står som overskrift i fed, og de fire roller står i linjen under. Den kan også ligge i et regneark med opgaverne i rækker og personerne i kolonner. Det vigtigste er, at alle kan finde den og læse den på få minutter.
Hvilke opgaver hører med
Matricen skal dække de opgaver, hvor der typisk opstår tvivl. Tyve til tredive linjer er nok i de fleste mindre virksomheder. Gode kandidater er:
- IT-strategi og budget.
- Valg af nye systemer og leverandører.
- Forhandling og opsigelse af kontrakter.
- Oprettelse og nedlæggelse af brugere.
- Administratoradgange og gennemgang af rettigheder.
- Backup og test af genetablering.
- Håndtering af en sikkerhedshændelse og beslutning om at anmelde den.
- Brud på persondatasikkerheden.
- Besvarelse af kunders spørgeskemaer om sikkerhed.
- Rapportering til direktion og bestyrelse.
Tag en NIS2-underleverandør med 30 ansatte, hvor IT-chef og sikkerhedsrådgiver er eksterne, og driften ligger hos en leverandør. For linjen “test af genetablering” udfører driftsleverandøren testen, sikkerhedsrådgiveren er rådgiver, IT-chefen er ansvarlig og godkender resultatet, og direktøren orienteres. For linjen “anmeldelse af en hændelse” er direktøren ansvarlig, sikkerhedsrådgiveren udfører vurderingen, og IT-chefen og driftsleverandøren rådgiver.
Hvem skriver, og hvem godkender
Den eksterne IT-leder skriver udkastet, fordi personen har overblik over opgaverne og kender leverandørerne. Udkastet sendes til de øvrige eksterne roller og til driftsleverandøren, som hver især bekræfter deres linjer. Leverandørens bekræftelse er vigtig, fordi den skal passe med det, der står i driftsaftalen. Er der uoverensstemmelse, er det et tegn på, at kontrakten bør ses igennem, se IT-ledelse og IT-leverandøren.
Direktionen godkender matricen. Visse opgaver kan ikke flyttes ud af ledelsen. Det gælder fx ansvaret for at sikre en forsvarlig organisation og, for virksomheder omfattet af NIS2-loven, ledelsesorganets godkendelse af og tilsyn med sikkerhedsforanstaltningerne. Den eksterne kan udføre og rådgive, men i de linjer står ledelsen som ansvarlig. For DPO’en gælder, at rollen ikke må få opgaver, der skaber en interessekonflikt, og at ingen må instruere den i, hvordan den løser dem. Det skal kunne ses i matricen.
Hvor ofte, og hvornår den bruges
Matricen bygges i de første uger af samarbejdet, gerne som en del af opstarten beskrevet i de første 90 dage. Derefter gennemgås den én gang om året og altid, når en rolle eller en leverandør skiftes ud.
I hverdagen bruges den, når der opstår tvivl. Hvem skulle have opsagt licensen? Hvem skulle have godkendt den nye bruger med administratorrettigheder? Matricen giver svaret og viser, om fejlen skyldes en uklar fordeling eller en opgave, der ikke blev løst. Viser det sig, at en linje mangler eller er uklar, rettes den med det samme.
Matricen er også nyttig, når der kommer nye medarbejdere i ledelsen eller nye eksterne. Den fortæller på en side, hvordan IT-arbejdet er fordelt.
Den bruges desuden, når en leverandør skal skiftes. Før skiftet går I linjerne igennem og ser, hvilke opgaver den gamle leverandør har stået for. Hver af dem skal have en ny udfører, før den gamle aftale ophører. Ellers kan en opgave som overvågning af backup forsvinde i overgangen, uden at nogen opdager det.
Det skal I kræve af den eksterne
- ☐ En rollebeskrivelse på højst en halv side.
- ☐ Et udkast til matricen inden for de første uger.
- ☐ Én ansvarlig pr. linje.
- ☐ Bekræftelse fra de øvrige roller og fra driftsleverandøren.
- ☐ Ledelsen står som ansvarlig, hvor loven lægger ansvaret dér.
- ☐ Matricen gemt i jeres egen mappe og gennemgået årligt.
Det skal I lade være med
- At skrive to ansvarlige på samme linje · opgaven ender hos ingen.
- At lave en matrix med hundrede linjer · ingen bruger den.
- At springe leverandøren over · så passer matricen ikke med kontrakten.
- At lade matricen ligge urørt i årevis · roller og leverandører skifter.
- At sætte den eksterne som ansvarlig for ledelsens pligter · ansvaret følger ledelsen.
Næste skridt for jer
Bed den eksterne om at lave en liste over de tyve opgaver, hvor der oftest opstår tvivl. Udfyld matricen sammen på et møde, send den til leverandøren til bekræftelse, og godkend den på næste møde i direktionen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver og § 117 om direktionens daglige ledelse.
- Forordning (EU) 2016/679 på EUR-Lex: art. 38, stk. 3 og 6, om DPO’ens instruktionsfrihed og andre opgaver.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Flere roller hos samme person · Fra aftale til afslutning
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
