I en virksomhed uden IT-chef ender ansvaret for IT hos direktøren, enten fordi nogen har besluttet det, eller fordi ingen andre har det. Arbejdet kan flyttes til en leverandør eller en ekstern IT-chef. Ansvaret for, at det bliver gjort, og for at virksomheden er organiseret ordentligt, bliver hos ledelsen. Ordet IT står ikke i selskabslovens bestemmelser om ledelsens opgaver, så koblingen i denne artikel er vores tolkning. Selve bestemmelserne er korte og klare, og en tolkning af dem er nyttig at have med, når I fordeler opgaverne.
Det står der i selskabsloven
Selskabsloven beskriver ledelsens opgaver i tre paragraffer:
- § 115. Bestyrelsen skal “sikre en forsvarlig organisation”. Den skal også holde øje med bogføring og regnskab (nr. 1) og med, om der er etableret “procedurer for risikostyring og interne kontroller” (nr. 2).
- § 117, stk. 2. Har selskabet ingen bestyrelse, sikrer direktionen den forsvarlige organisation.
- § 118. Direktionen har ansvaret for en bogføring efter reglerne og for en betryggende formueforvaltning.
Driver I virksomheden i en anden form end et selskab, er det et spørgsmål til revisor eller advokat, hvad der gælder for jer.
Sådan læser vi koblingen til IT
Her er vi ovre i tolkning. Ingen af bestemmelserne taler om servere, systemer eller leverandører. Vores læsning er, at IT i dag er så tæt vævet ind i den daglige drift, at det er svært at tale om en forsvarlig organisation, hvis ledelsen ikke ved, hvem der tager sig af IT. Bogføringen foregår i et system, formuen ligger i banken og i et økonomisystem, og de interne kontroller er ofte adgange og godkendelser på en skærm.
Tolkningen er forsigtig og kan ikke erstatte juridisk rådgivning. Spørgsmålet om, hvad det konkret kræver af jer, eller hvad der kan få følger for den enkelte leder, er et spørgsmål til revisor eller advokat.
Bogføringen er mere konkret
På ét område er IT skrevet direkte ind i reglerne. Bogføringsloven gælder alle erhvervsdrivende, og for dem, der skal bogføre digitalt efter § 16, stk. 1, kræver stk. 2, at systemet er registreret eller opfylder § 15. Ansvaret følger valget, så udbyderen hæfter for et registreret system, og virksomheden selv hæfter for et ikke-registreret, også for tredjepartsapplikationer. Valget af system er altså en beslutning med en ansvarsfordeling indbygget.
To punkter mere angår ledelsen direkte. Materialet skal opbevares i 5 år, sikret mod ødelæggelse, fejl og misbrug (§§ 12 og 13). Og ved ophør står den senest fungerende ledelse for opbevaringen, mens en fratrædende ledelse overfører materialet til den nye (§ 14). Læs mere om registrering og hæftelse.
Det kan I ikke give videre til leverandøren
En kontrakt kan flytte opgaver og en del af ansvaret for en leverance. Følgende bliver efter vores vurdering hos ledelsen, uanset hvor meget der er købt ude:
- At vide, hvem der gør hvad. Der skal være en ansvarsfordeling, og nogen hos jer skal kende den.
- At vælge og følge op. Ledelsen har valgt leverandøren og må holde øje med, at aftalen bliver leveret.
- At prioritere. Hvad må stå stille, hvor længe, og hvad må det koste? Det kan kun I svare på.
- At eje data og adgange. Virksomhedens oplysninger og nøgler skal stå i virksomhedens navn, se Hvem har administratoradgang hos jer?.
- At tage stilling til risici. Leverandøren kan pege på dem, men accepten er jeres.
Opgaverne kan forberedes af andre. En ekstern IT-chef kan samle overblikket, indstille og følge op, og det er det, opgaven består af. Beslutningen træffes stadig af jer. Hvad det betyder i hverdagen, står på listen over det, ejeren kan lægge fra sig.
Hvis virksomheden er omfattet af NIS2
Virksomheder, der er omfattet af NIS2, har særlige regler for ledelsens ansvar for cybersikkerhed. Det emne er for stort til en side om den daglige IT, og det er gennemgået under NIS2 og ledelsens ansvar. Ved I ikke, om reglerne gælder for jer, så begynd dér.
Sådan kan ansvaret ses på papiret
Det bedste svar, en ledelse kan give, er et lille dokument. Skriv, hvem der har ansvaret for IT hos jer, hvem der udfører opgaverne, og hvad ledelsen har taget stilling til det sidste år. Tre ting er nok:
- en ansvarsfordeling på en side med navne,
- et fast punkt om IT på ledelsesmødet eller bestyrelsesmødet, se IT på bestyrelsesmødet,
- et referat med de trufne beslutninger.
Ingen af delene kræver teknisk viden. De viser, at ledelsen har taget stilling, og de gør det lettere at svare, når revisoren spørger.
Det gør I nu
Skriv på en halv side, hvem der har ansvaret for drift, systemer, leverandører, adgange og bogføringssystem. Står der “ingen” eller “direktøren, når der er tid”, har I fundet det første punkt til næste møde. Tjek derefter, om bogføringssystemet er registreret. Vis ansvarsfordelingen til revisor næste gang I mødes, og spørg, om der er noget, der mangler.
Det skal I lade være med
- At antage, at leverandøren har ansvaret, fordi I betaler for driften · leverandøren svarer for det aftalte og intet andet.
- At lade ansvaret stå uskrevet · så står det hos direktøren, uden at nogen har besluttet det.
- At bruge denne artikel som juridisk svar · konkrete spørgsmål hører til hos revisor eller advokat.
Det skal I kræve af den eksterne
- ☐ En ansvarsfordeling på en side, som ledelsen kan godkende.
- ☐ En klar grænse mellem det, den eksterne forbereder, og det, I beslutter.
- ☐ Faste indstillinger til ledelsen med skriftlig begrundelse.
- ☐ Forsigtige formuleringer om lovkrav og henvisning til rådgiver, når spørgsmålet er juridisk.
Kilder
- Selskabsloven (lovbekendtgørelse nr. 331 af 20. marts 2025): § 115, § 117, stk. 2, og § 118.
- Bogføringsloven (lov nr. 700 af 24. maj 2022): § 1, §§ 12 til 14, § 16 og §§ 19 og 20.
- Erhvervsstyrelsen: ikke-registrerede digitale bogføringssystemer: ansvarsfordelingen.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Revisoren spørger til IT · Syv tegn på, at virksomheden mangler en IT-chef
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
