Rollerne i ekstern IT-ledelse

Ekstern IT-ledelse dækker syv roller, som hver ejer et bestemt ansvar: IT-chefen og CTO’en ejer retningen, CISO’en og cyber security advisoren ejer sikkerheden, DPO’en overvåger behandlingen af persondata, CPO er en forkortelse med tre betydninger, og IT-driftschefen ejer hverdagen hos leverandørerne. Fælles for dem er, at personen arbejder for virksomheden uden at være ansat, og at ledelsen bevarer det endelige ansvar.

Siden her giver overblikket. Hver rolle har sin egen side, og artiklerne går i dybden med de enkelte spørgsmål. Er begrebet nyt for jer, så start med Hvad er ekstern IT-ledelse?, som forklarer, hvad der adskiller en ekstern leder fra en IT-konsulent med et afgrænset projekt.

Syv roller i korte træk

• IT-chef · ejer prioriteringen af virksomhedens IT, leverandøraftalerne og budgettet. Rollen giver mest mening, hvor IT er et redskab for forretningen.
• CTO · ejer teknologien i virksomheder, hvor den er en del af produktet: arkitektur, valg af platform og samspillet med udviklerne.
• CISO · ejer sikkerhedsstrategien, risikovurderingen og rapporteringen om sikkerhed til direktion og bestyrelse.
• Cyber security advisor · en betegnelse for den samme sikkerhedsrolle, ofte brugt, når omfanget er tilpasset en mindre virksomhed.
• CPO · en forkortelse med tre betydninger, forklaret på CPO-siden. Spørg altid, hvilken af de tre der menes.
• DPO · databeskyttelsesrådgiveren efter EU’s databeskyttelsesforordning, med lovbestemte opgaver og krav om uafhængighed.
• IT-driftschef · ejer opfølgningen på driften: at leverandørerne leverer det aftalte, og at fejl bliver lukket.

Rollesiderne uddyber hver af dem: IT-chef og CTO, CISO og sikkerhedsledelse, CPO, DPO og IT-driftschefen.

Tre slags ansvar: retning, beskyttelse og hverdag

Rollerne bliver lettere at skelne, når de sorteres efter det spørgsmål, de besvarer. Den første gruppe spørger, hvor virksomhedens IT skal hen. Det er IT-chefens og CTO’ens felt, og svaret handler om investeringer, systemvalg og leverandører over flere år. Den anden gruppe spørger, hvad der kan gå galt, og hvordan virksomheden beskytter sig. Her hører CISO’en, cyber security advisoren og to af CPO-betydningerne hjemme. DPO’en hører også til beskyttelsen, med den særlige opgave at se på de registreredes rettigheder frem for virksomhedens egne interesser.

Den tredje gruppe spørger, om det, der allerede er købt, virker i dag. Det er IT-driftschefens område. Rollen er tættest på leverandørens servicedesk og har kortest tidshorisont.

I en mindre virksomhed kan behovet sagtens ligge i alle tre grupper på én gang. Det kan godt løses af én person, så længe ledelsen ved, hvilket ansvar den henter udefra, og hvilket den selv beholder.

Hvad ingen ekstern rolle kan overtage

Ledelsen kan uddelegere arbejdet, men ansvaret for, at virksomheden er forsvarligt organiseret, bliver hos direktion og bestyrelse. Det gælder IT som alt andet. En ekstern IT-leder kan forberede beslutningerne, indstille og i aftalte tilfælde handle på virksomhedens vegne, men det er ledelsen, der vedtager budgettet, godkender risikoniveauet og skriver under på de store aftaler.

Det samme gælder forholdet til IT-leverandøren. Driften kan købes, men nogen i virksomheden skal stadig stille krav og vurdere, om de bliver opfyldt. Hvordan ansvaret fordeles mellem ledelsen, den eksterne og leverandøren, er beskrevet i Ekstern IT-ledelse og jeres IT-leverandør.

Bestyrelsen har sin egen plads i billedet. Den skal vide, hvem der styrer IT, og hvad den selv bør modtage af information. Det uddybes i Bestyrelsens rolle, når IT-ledelsen ligger uden for huset.

Hvor rollerne overlapper

Overlap er normalt og kan bruges, så længe nogen har tegnet grænserne. Tre steder skaber oftest tvivl.

IT-chef og CISO. IT-chefen vil have systemerne til at virke og leverandørerne til at levere. CISO’en vil vide, hvad der sker, når de ikke gør. Begge ser på leverandører og adgange, men med hvert sit formål. I en lille virksomhed kan én person dække begge dele, hvis ledelsen er indforstået med, at den samme person både træffer driftsbeslutningerne og vurderer sikkerheden bag dem.

CISO og DPO. Sikkerhedsrollen beskytter virksomhedens informationer. DPO’en overvåger, at virksomheden behandler personoplysninger lovligt, og skal kunne sige fra over for ledelsen. Forskellen og de steder, hvor rollerne skal holdes adskilt, er gennemgået i DPO, CPO og CISO: hvem gør hvad?.

IT-chef og IT-driftschef. IT-chefen beslutter, hvad der skal købes. IT-driftschefen følger op på, at det købte virker. I praksis glider de to sammen i virksomheder med få leverandører.

Det skal I lade være med

• At vælge efter titlen · den samme titel dækker forskellige opgaver hos forskellige udbydere. Bed om en opgavebeskrivelse.
• At lade leverandøren udfylde rollen · den, der leverer driften, kan vanskeligt også kontrollere den.
• At samle DPO-rollen med en beslutningsrolle · DPO’en skal kunne vurdere beslutninger, den ikke selv har truffet.
• At købe flere roller, før den første virker · start med det ansvar, der i dag ikke ligger hos nogen.

Det skal I kræve af den eksterne

• En skriftlig beskrivelse af rollen · hvad den ejer, hvad den indstiller, og hvad den ikke rører.
• En klar afgrænsning til andre roller · især hvis den samme person dækker mere end én.
• Oplysning om bindinger · forhandleraftaler eller provision fra leverandører påvirker anbefalingerne.
• Dokumentation, der bliver i huset · kortlægning, beslutninger og aftaler tilhører virksomheden.

Sådan finder I den rolle, der mangler

Begynd med det ansvar, som ingen ejer i dag. Hvem bliver ringet op, når en kunde sender et spørgeskema om sikkerhed? Hvem vurderer leverandørens næste tilbud? Hvem ved, hvor persondataene ligger? Det første spørgsmål, der ender med svaret “ingen” eller “direktøren”, peger som regel på rollen. Når rollen er fundet, er næste spørgsmål, hvordan den skal købes: på deltid, som interim, som fractional eller as a service. De fire modeller er beskrevet på Deltid, interim, fractional og as a service.

Næste skridt

• Hvad er ekstern IT-ledelse?
• Vælg rolle og model
• Ordliste om ekstern IT-ledelse

Læs også: DPO, CPO og CISO: hvem gør hvad? · Fra aftale til afslutning

→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT