Bestyrelsesformanden har brug for korte svar, når direktionen foreslår at hente IT-ledelsen udefra. Ansvaret bliver i bestyrelsen og direktionen, den eksterne rapporterer til direktionen, og bestyrelsen får et uddrag med jævne mellemrum. Fravær og afslutning skal være aftalt på forhånd, og samarbejdet vurderes mindst én gang om året ud fra de mål, der blev sat ved starten. Herunder følger de spørgsmål, formænd oftest stiller, med et kort svar og et link til artiklen, der går i dybden.
Hvem har ansvaret, når IT-ledelsen er ekstern?
Ansvaret bliver, hvor det var. Efter selskabsloven skal bestyrelsen sørge for en forsvarlig organisation af virksomheden, og direktionen står for den daglige ledelse. Den eksterne kan udføre opgaverne og rådgive, men ledelsens ansvar kan ikke overlades til en rådgiver. Under NIS2-loven har ledelsesorganet egne pligter, herunder godkendelse af sikringstiltagene, tilsyn og kursus for medlemmerne. Baggrunden er forklaret i bestyrelsens rolle.
Formanden kan derfor med fordel spørge direktionen, hvordan bestyrelsen bliver i stand til at føre tilsyn med det arbejde, den eksterne udfører. Svaret bør nævne rapporteringen, de beslutninger, der forelægges bestyrelsen, og hvordan bestyrelsen hører om alvorlige hændelser.
Hvem rapporterer den eksterne til?
Den eksterne rapporterer til direktionen, typisk til den administrerende direktør. Det sker med en kort, fast rapport hver måned og et møde, hvor beslutningerne bliver truffet. Bestyrelsen får hvert kvartal eller halvår et kortere sammendrag, hvor de største risici og beslutninger står øverst. En DPO har en særlig stilling og rapporterer direkte til det øverste ledelsesniveau. Formen er beskrevet i rapportering til ledelsen.
Bestyrelsen kan også tale med den eksterne selv, fx før en større investering eller ved den årlige gennemgang af risici. Lad direktionen vide det på forhånd, så kommandovejen forbliver klar for alle tre parter. Hvordan den eksterne deltager i møderne, står i den eksterne på ledelsesmøder.
Hvor ofte bestyrelsen skal høre fra den eksterne, afhænger af, hvor meget IT betyder for forretningen, og hvilke krav virksomheden møder. En virksomhed med kritiske systemer eller krav fra NIS2-loven har brug for tættere kontakt end en virksomhed, hvor IT er en støttefunktion.
Hvad må den eksterne beslutte selv?
Det, der står i mandatet. Direktionen fastlægger mandatet skriftligt, fx hvilke beløb den eksterne kan godkende, hvilke leverandører personen må forhandle med, og hvad der altid skal forelægges. Større investeringer og kontrakter med lang binding hører typisk under direktionen eller bestyrelsen. Se mandat og beslutningskompetence.
Bestyrelsen behøver ikke kende hele mandatet. Den bør dog vide, hvor grænsen går for beløb og binding, og hvilke typer beslutninger der skal på bestyrelsens bord. Er mandatet bredt, bør rapporteringen være tilsvarende grundig, så det kan ses, hvordan det bliver brugt.
Hvad sker der ved fravær, eller hvis samarbejdet stopper?
Begge dele skal stå i aftalen. Spørg, hvem der træder til ved sygdom og ferie, hvor hurtigt man kan få fat i nogen ved en alvorlig hændelse, og om der er en stedfortræder, der kender virksomheden. Aftalen skal også have en rimelig opsigelsesfrist og en plan for overdragelse. Virksomheden skal eje dokumentationen, beslutningsloggen og alle administratoradgange, så den eksterne kan afløses uden tab af viden. Bestyrelsen bør spørge direktionen, om denne plan findes. Se overdragelse fra en ekstern.
Spørg også, hvad der sker, hvis den eksterne selv vælger at stoppe. En rimelig aftale giver virksomheden tid til at finde en afløser og sikrer, at den eksterne hjælper med overdragelsen i opsigelsesperioden.
Hvordan vurderer vi, om samarbejdet virker?
Sæt nogle få mål ved starten, fx at der skal være overblik over leverandører og risici efter et kvartal, eller at et bestemt projekt skal være afsluttet. Gennemgå dem mindst én gang om året. Se også på, om listen over åbne punkter bliver kortere, om direktøren bruger mindre tid på IT, og om bestyrelsen får svar på sine spørgsmål. Metoden står i vurdér, om samarbejdet virker.
En ærlig vurdering kræver, at både direktionen og den eksterne kommer til orde. Bed den eksterne om en kort selvevaluering af, hvad der er nået, hvad der mangler, og hvad der har bremset. Sammenhold den med direktionens egen vurdering. Er de to billeder meget forskellige, er det et emne for bestyrelsen.
Er rådgivningen uafhængig af leverandørerne?
Det bør bestyrelsen spørge direkte om. En ekstern IT-leder skal forhandle med leverandørerne på virksomhedens vegne og må ikke have økonomiske interesser hos dem. Bed om en skriftlig oplysning om eventuelle forhandleraftaler, provisioner eller andre bindinger. Emnet er behandlet i uvildig IT-rådgivning.
For bestyrelsen er spørgsmålet vigtigt, fordi anbefalinger om større køb ofte kommer fra den eksterne. Er der en binding til leverandøren, kan bestyrelsen ikke vurdere anbefalingen på et sagligt grundlag.
Det skal I kræve af den eksterne
- ☐ En kort, fast rapport til direktionen og et uddrag til bestyrelsen.
- ☐ Et skriftligt mandat, som personen holder sig inden for.
- ☐ En aftale om stedfortræder og tilgængelighed ved hændelser.
- ☐ Dokumentation og adgange, der ejes af virksomheden.
- ☐ Oplysning om bindinger til leverandører.
- ☐ Deltagelse i bestyrelsesmøder, når IT er på dagsordenen.
Det skal I lade være med
- At tro, at ansvaret følger med opgaven · det bliver hos ledelsen.
- At lade bestyrelsen gå uden om direktionen · det skaber uklare kommandoveje.
- At godkende en aftale uden plan for afslutning · overdragelsen bliver svær.
- At undlade at sætte mål · så kan samarbejdet ikke vurderes.
- At nøjes med mundtlige orienteringer · bestyrelsen skal kunne dokumentere sit tilsyn.
Hvad formanden kan gøre nu
Sæt ekstern IT-ledelse på dagsordenen til næste bestyrelsesmøde. Bed direktionen om at svare skriftligt på spørgsmålene ovenfor og om at præsentere mandat, rapportering og plan for afslutning. Overvej, om bestyrelsen selv har den nødvendige IT-kompetence til at føre tilsynet.
Det kan også være nyttigt at invitere den eksterne til et af de første møder, efter samarbejdet er gået i gang. Bestyrelsen får så et indtryk af personen og af, hvordan virksomhedens IT står, set med nye øjne.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver og § 117 om direktionens daglige ledelse.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse, tilsyn og kurser.
- Forordning (EU) 2016/679 på EUR-Lex: art. 38, stk. 3, om DPO’ens rapportering til det øverste ledelsesniveau.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Rollerne i ekstern IT-ledelse · Nye bestyrelsesmedlemmer og IT
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
