Hvad sker der digitalt, den dag nøglepersonen stopper?

Det starter typisk med en opsigelse.

Medarbejderen har tre måneders opsigelse. Der er en god stemning, og alle ønsker hinanden det bedste. Men tre uger inde i perioden opdager nogen, at den pågældende medarbejder er den eneste, der kender adgangskoden til regnskabssystemet. Og at hun er den eneste administrator på virksomhedens Google Workspace. Og at domænet forny­es automatisk via hendes private kreditkort.

Det er ikke et usædvanligt scenarie. Det er det mest almindelige.

Hvad "styr på IT" egentlig betyder

I mange SMV'er er IT uformelt fordelt: én person ved, hvordan alt virker. Det er en fordel i dagligdagen og en sårbarhed, den dag vedkommende ikke er der.

Problemet er ikke ond vilje. Det er, at digitale adgange og ejerskab aldrig er gjort eksplicitte. Ingen har stillet spørgsmålet: hvad sker der, hvis hun stopper i morgen?

En analyse fra Styrelsen for Samfundssikkerhed (2024) viser, at 60 % af danske SMV'er ikke kan udføre kerneforretningsfunktioner uden adgang til deres IT-systemer. Nøglepersonafhængighed i det digitale er en direkte trussel mod forretningskontinuitet.

De systemer, det oftest gælder

Virksomhedens e-mailplatform og tenant. Hvis Microsoft 365 eller Google Workspace er opsat med nøglepersonen som eneste globale administrator, er det hendes konto, der styrer det hele. Mister hun adgang, mister virksomheden administratorkontrol.

Domæner og hosting. Domæner fornyes typisk automatisk via den betalingsmetode, der er registreret. Er det et privat kreditkort, stopper fornyelsen, når kortet lukkes eller personen melder sig ud. Punktum.dk kan reetablere adgang, men det tager tid og kræver dokumentation.

Annoncekonti. Google Ads og Meta Business Manager gemmer historiske data, pixels og brugerdefinerede målgrupper. Er nøglepersonen eneste administrator, mister virksomheden adgangen til de data, der er opbygget over år.

Adgangskodehvælv og 2-faktor-opsætninger. Bruger nøglepersonen et personligt adgangskodehvælv til virksomhedens konti, er alle de adgangskoder i praksis hendes. 2-faktor-koder, der sendes til hendes private telefon, kan ikke overdrages.

Leverandørkontakter og serviceaftaler. Mange leverandørrelationer er personlige. IT-leverandøren ringer til hende, ikke til virksomheden. Serviceaftalerne er indgået pr. e-mail til en adresse, der nu er inaktiv.

Det Datatilsynet siger om det

Datatilsynets vejledning om rettighedsstyring fra december 2023 adresserer præcis dette. Vejledningen understreger, at virksomheder systematisk skal gennemgå, hvem der har adgang til hvilke systemer, og sikre, at adgange trækkes tilbage, når en medarbejder skifter rolle eller forlader virksomheden.

Det kræver, at virksomheden ved, hvilke systemer medarbejderen havde adgang til. Uden et opdateret aktivregister er det umuligt at gøre det systematisk.

Hvad du bør have dokumenteret inden

Der er fire konkrete ting, der gør overdragelsen håndterbar.

Det første er, at alle kritiske systemer har mindst to administratorer. Nøglepersonen er én af dem, virksomheden er den anden.

Det andet er, at domæner, hosting og betalingsaftaler er knyttet til en virksomhedsmail og et virksomhedskort, ikke til personlige.

Det tredje er et aktivregister, der viser, hvilke systemer nøglepersonen har adgang til. Det er forudsætningen for at lukke adgangene systematisk, når hun stopper.

Det fjerde er en overdragelsesprocedure: en tjekliste for, hvad der skal gennemgås og overdrages, inden fratrædelsen er effektiv.

Ejerblik er bygget til at give det overblik. Se, hvad der sker, når en nøgleperson fratræder, og hvad Ejerblik konkret hjælper med.

Opret en gratis konto og byg det register, der gør en fratrædelse håndterbar.