Jeg studerede datalogi, som er lidt ligesom en schweizerkniv inden for IT-branchen. Som en del af mit studie, lærte jeg det grundlæggende inden for næsten alle områder af IT, lige fra programmering til arkitektur til analyse. Jeg besluttede at træde ind på arbejdsmarkedet med dette solide, alsidige grundlag. Jeg startede hos Strator i en rolle, der var en blanding af forretningskonsulent, analytisk konsulent og teknisk konsulent. Med tiden bevægede jeg mig mere over mod den tekniske side. 

Nu får jeg hovedsageligt tekniske opgaver, hvilket jeg er rigtig glad for! Mit første længerevarende projekt var en stor datamigrering, hvor vi skulle udtrække metadataene og tilpasse dem til den organisatoriske omstrukturering, som kunden var i gang med. Vi skulle omorganisere og omdøbe dokumenter, gennemføre migreringen og udarbejde en samlet rapport for at sikre, at alt forløb som planlagt. 

Jeg nød virkelig at lære den virksomhed at kende, som vi arbejdede sammen med. Normalt undersøger vi dataene, deres struktur, den aktuelle situation osv. Vi forsøger at finde ud af, hvad virksomheden har brug for, og hvorfor. Vi får lov til at lave en masse nørdede analyser af dataene og kombinere dem med forretningsudvikling for at danne os et overblik over situationen. Derefter kommer det tekniske aspekt, hvor man udvikler processer, applikationer eller software. Det er rigtig sjovt, fordi man får lov til at være teknisk og nørdet. 

Efter cirka et år var projektet afsluttet, og det var tid til noget nyt. Ulrich besluttede at tage mig under sine vinger og lærte mig alverdens om SharePoint. Jeg brugte næsten hele 2025 på at lære alt, hvad der er at vide om SharePoint, fra en erfaren ekspert på området. Det gav mig nye færdigheder og værktøjer, som jeg kan bruge i mit arbejde som teknisk konsulent 

Det er dejligt at høre, at du har lært så meget af din kollega. Er der meget støtte mellem kollegerne? 

De sjældne gange, hvor vi har en rolig dag, finder vi altid noget andet at lave ved at hjælpe vores kolleger. Det er sådan, vi arbejder proaktivt. Derudover synes jeg også, at vi er gode til at tage hensyn til alles behov og forskelle. Vi er gode til at tage imod folk og imødekomme dem. Hvis nogen har lidt for lidt at lave, har vi heller ingen problemer med at bede dem om at hjælpe til med forskellige ting. Det er bare sådan, vi gør tingene. 

På den måde får vi også et ret klart overblik over de forskellige medarbejderes styrker. Det giver os mulighed for virkelig at udnytte deres kompetencer fuldt ud, hvilket igen øger antallet af tjenester, som Strator kan tilbyde en kunde. Dinah er et godt eksempel på dette. Hun besidder en række specifikke kompetencer og viden om, hvordan man klassificerer data og filer, og hun gør det med en særlig indsigt, som hun har med sig fra sin baggrund. Det førte til udviklingen af Strategic Information Management – Lite som en del af vores Summer Clean-Up-kampagne. Især lige nu kunne folk virkelig have brug for Dinahs specifikke kompetencer. Det bliver mere og mere vigtigt for hver dag, der går, at sikre, at ens datalandskab er ryddeligt og velordnet. 

Oplever I ofte sådanne problemer med uordnede datamiljøer i praksis? 

Det er et af de tilbagevendende problemer, vi støder på i vores arbejde. Vi påtager os ofte datamigrationsprojekter, hvor projektlederen naturligvis ønsker at udnytte den tildelte tid mest effektivt. Men ofte ser vi, at kunderne ønsker at spare tid på migrationen ved at springe den indledende oprydning over. Vi kommer ind i projektet og får til opgave at overføre store datamængder fra A til B, men vi kan ikke gennemføre vores indledende analyse, som den bør, fordi dataene ikke er strukturerede, ikke er klassificerede eller er klassificeret på en inkonsekvent måde. Tidspresset får kunderne til at bede os om at fortsætte med migreringen alligevel, men så mister vi i stedet mere tid på den anden side af migreringen. 

Efter migreringen skal vi sikre os, at alle data er blevet overført korrekt, men hvis det oprindelige datasæt er i fuldstændig uorden, tager det meget længere tid at krydstjekke det hele. Udover tiden bruger det også langt mere af din datakvote, hvis du ikke rydder op i dine data på forhånd. Når vi rydder op, leder vi efter gamle, ubrugte, tomme og/eller beskadigede filer, der optager unødvendig plads. Det er fuldstændig meningsløst at migrere dem, og det er endda til skade for kunden. Når dataene er migreret, ser de måske pæne ud, fordi de ligger i en ny UI, men det er stadig det samme rod. Ved at klassificere dine data kan du faktisk opnå større effektivitet og udnytte nye teknologier til at videreudvikle din arbejdsgang. 

Fra vores side gør et ryddeligt udgangspunkt det lettere at forsikre kunden om, at alt arbejdet rent faktisk er udført korrekt. Hvis vi kan vise kunden konkret, at migreringen er gennemført med en optimal struktur, er der et reelt bevis på, at alt er i orden, overholder kravene, og at intet er gået tabt. Det er ikke umuligt at gennemføre en ustruktureret migrering, men det kræver blot flere ressourcer, fordi alt er mindre strømlinet. Ni ud af ti gange koster det i sidste ende mere tid og penge at springe en oprydning af den gamle struktur over for at spare tid. 

Mit råd til enhver læser vil være: Ryd op i dine data, før du går i gang med en migrering, og hold dem rene også efter migreringen. Gør det selv, lad os gøre det, eller lad en anden gøre det, for dine data fylder hurtigt op, og at have et rent datalandskab sparer dig for en masse tid og penge i det store og hele, selv uden for en migrering. 

Til sidst: Er der noget, du ser frem til hos Strator? 

Jeg ser frem til at få mere erfaring som en del af salgsteamet hos Strator. Jeg glæder mig meget til at hjælpe virksomheden med at nå nye højder og udvide sig, så vi kan arbejde på større projekter i større skala. Jeg vil meget gerne på sigt hjælpe Strator med at ekspandere og lande større projekter fra store kunder. 

Skiftet består i, at lifecycle, tilladelser og klassificering bliver forudsætningerne for at kunne anvende kunstig intelligens, snarere end valgfri finjusteringer, der kan håndteres senere. For enhver organisation, der planlægger en implementering af Microsoft 365 Copilot i anden halvdel af året, er det vigtigt at vide, at de ændringer, vi vil gennemgå i denne artikel, ikke er underordnede detaljer, men derimod de nye grundregler. Disse ændringer peger alle i samme retning.

At grundlægge Copilot i pålidelige kilder

Den mest iøjnefaldende af de nye funktioner er Authoritative Sites. Den giver en administrator mulighed for at udpege bestemte SharePoint-websteder som pålidelige, så Microsoft 365 Copilot prioriterer indholdet herfra, når det besvarer spørgsmål i Copilot Chat og Copilot Search. Indstillingen gælder for hvert enkelt websted, kræver en Copilot-licens og er som standard deaktiveret.

Intentionen er god. I en stor tenant skal Copilot basere sine svar på noget, og ikke alt indhold fortjener samme vægt. Den politik, der blev offentliggjort i sidste uge, og det forkastede udkast fra for flere år siden bør ikke have samme autoritet, og Authoritative Sites giver en organisation mulighed for at foretrække de kilder, der har opnået tillid.

Det, som denne funktion ikke gør, er at opbygge tillid på dine vegne. At markere et websted som autoritativt er kun en fordel, hvis webstedet rent faktisk er opdateret, præcist og velforvaltet. Hvis du leder Copilot hen til et websted fyldt med forældet, duplikeret eller forkert mærket materiale, vil det, som man kunne forvente, resultere i en assistent, der mangler pålidelige oplysninger. Det er en assistent, der gentager dit dårligste indhold med fornyet selvtillid, nu med dit eget autoritetsstempel. Funktionen forudsætter, at organisationen allerede ved, hvilke af dens websteder der er troværdige. Det gør de fleste ikke, og den antagelse er den røde tråd, der går igennem alt andet.

Ekstern deling bliver som standard underlagt styring

I årevis har deling af indhold med personer uden for organisationen været baseret på en engangskode, der blev sendt via e-mail. Denne mekanisme udfases nu. Fra juli 2026 begynder udfasningen af SharePoints autentificering med engangskoder, og ekstern deling

overgår fuldstændigt til Microsoft Entra B2B, hvilket forventes gennemført inden udgangen af august. Nye eksterne invitationer er allerede tidligere på året overgået til denne model.

I praksis bliver alle eksterne modtagere nu en administreret Entra B2B-gæst i stedet for indehaver af en midlertidig kode. Dette er en klar forbedring af styringen, da ekstern adgang dermed falder ind under de samme kontrolmekanismer som alt andet: betinget adgang, identitetsbeskyttelse og centraliseret gæstestyring. Det er også en deadline. Eksterne brugere, der har benyttet den gamle metode, kan miste adgangen til tidligere delt indhold, og den administrative indstilling, der tidligere styrede denne adfærd, fjernes.

Implikationen er enkel. Det gæsteområde, som mange organisationer aldrig formelt har revideret, er ved at blive et reguleret område, uanset om de er forberedte på det eller ej. Det er tid, der er godt brugt, at gennemgå, hvem der har ekstern adgang, inden overgangen er afsluttet.

Klassificering bliver en grænse, ikke et forslag

Tilladelser beskriver, hvad en bruger har lov til at åbne. De har aldrig i sig selv beskrevet, hvad et AI-system bør undlade at røre ved. Den skelnen trækkes nu.

Gennem Microsoft Purview kan følsomhedsmærker udelukke indhold fra Copilots grundlag, og håndhævelsen vil være fuldt implementeret inden udgangen af juli. Et dokument, der er klassificeret på et begrænset niveau, kan holdes uden for Copilots rækkevidde, selv for brugere, der har tilladelse til at åbne det direkte. Klassificering er ikke længere blot vejledende metadata, men bliver en håndhævelig grænse, der forhindrer Copilot i at få adgang blot fordi »brugeren havde adgang«, som det var den utilstrækkelige begrundelse før opdateringen.

For regulerede brancher er dette ikke blot en bekvemmelighed; det er forskellen mellem en Copilot-implementering, der kan forsvares, og en, der afslører kontrollerede oplysninger i et genereret svar, fordi tilladelserne tilfældigvis tillod det. Ligesom med autoritative websteder fungerer beskyttelsen kun, hvor mærkningerne allerede findes. En grænse opretholdes kun, hvor nogen har fastlagt den.

Governance bliver en disciplin, man kan se

Det mere underliggende tema bag disse ændringer er, at governance i sig selv behandles som en operationel disciplin snarere end en årlig oprydning. Microsoft samler aktiviteterne i forbindelse med gennemgang af websteder, inaktivitet, ejerskab og attestering i mere overskuelige grænseflader for de ansvarlige, og forbedrer rapporteringen, så administratorer kan identificere overdreven deling og risici ved tilladelser, så man ikke længere behøver at gætte sig frem.

Governance får sine egne arbejdsredskaber, hvilket betyder, at den kan måles, tildeles og håndteres som et løbende arbejde.

Den fælles forudsætning: Styring er adgangsbilletten

Ser man bort fra de enkelte funktioner, er den fælles forudsætning umulig at overse. Hver enkelt funktion læser oplysninger, som forventes allerede at findes på webstedet, og handler

ud fra dem. Autoritative websteder er afhængige af at vide, hvilke websteder der er troværdige. Purviews beskyttelse bygger på, at der er tildelt mærker. Kontrol af ejerskab og attestering forudsætter, at der findes en gyldig ejer, der kan kontaktes. Ingen af disse kontrolmekanismer skaber de underliggende oplysninger; de bruger dem alle sammen.

Hvilket rejser spørgsmålet: hvor kommer disse oplysninger fra?

Den side af livscyklussen, som ingen styrer

Microsoft styrer midten af et websteds levetid og dets afslutning. Registrering af inaktivitet, ejerskabsgennemgange, attestering og arkivering er alle kontroller, der finder sted under normal drift og ved udløb af levetiden. De forudsætter, at et websted allerede eksisterer, allerede har en ejer, allerede har en klassificering og en fornuftig tilladelsesmodel. De bygger på metadata, som nogen på et tidligere tidspunkt forventedes at have indført.

Der er næsten ingen styring af begyndelsen, og det er netop i begyndelsen, at resultatet afgøres. Et websted, der oprettes uden en klar ejer, efterlader attesteringspolitikken uden nogen at underrette. Et websted, der oprettes uden en følsomhedsmærkning, giver Purview-grænsen intet at håndhæve. Et websted, der oprettes med brede, arvede tilladelser, bliver præcis det, som rapporten om overdreven deling senere vil omtale. Den kostbare afhjælpning, der udgør hovedparten af de fleste styringsprogrammer, er næsten udelukkende den akkumulerede pris for websteder, der aldrig blev oprettet korrekt fra starten.Det er netop dette hul, som Strators eksperter er trænet til at lukke.

Microsofts værktøjer er kun så pålidelige som de oplysninger, der allerede er registreret på webstedet. Arbejdet med at sikre, at disse oplysninger findes fra første øjeblik, og at reparere dem, hvor de mangler, er en separat disciplin i forhold til de kontroller, der senere afhænger af dem.

To halvdele af den samme livscyklus

Strators tilgang og Microsofts indbyggede livscyklusstyring er ikke alternativer til hinanden. De regulerer forskellige halvdele af den samme livscyklus, og den del, der omhandler klargøring, er en forudsætning for, at den del, der omhandler stabil drift, kan fungere.

Forholdet er direkte på alle punkter. »Authoritative Sites« bliver troværdigt, når webstederne allerede er klassificeret efter niveau, fordi denne klassificering udgør den naturlige udvælgelse af kilder, der har opnået Copilot-prioritet. Purviews klassificeringsgrænse bliver legitim, når mærkater tildeles ved oprettelsen i stedet for at blive eftermonteret under pres.

Ejerskabs- og attestationsgennemgange bliver meningsfulde, når der fra starten findes gyldige ejere, så der ikke er nogen forsømte websteder, der kan forsinke gennemgangen. Og rapporter om overdreven deling har mindre at finde, når webstederne som standard tildeles adgang med mindst mulig privilegier. I alle fald arver den indbyggede kontrol et fundament, som den ikke selv har skullet opbygge.

Hvor en Copilot-implementering egentlig begynder

Erfaringerne fra sommerens ændringer viser, at en Copilot-implementering ikke starter med en licens. Den starter i det underliggende indholdsmiljø, i den ikke særlig glamourøse disciplin omkring ejerskab, livscyklus og klassificering, som hver eneste af disse nye funktioner i al stilhed er afhængig af. De organisationer, der vil indføre Copilot med tillid, er dem, der først har udført dette arbejde og betragtet det som et fundament snarere end en oprydning.

Microsoft styrer midten og slutningen af et websteds levetid. Strator styrer begyndelsen. Og det er begyndelsen, der afgør, om man kan stole på alt det, der følger efter.

Denne skelnen er vigtigere nu end nogensinde før, fordi de strategiske indsatser er reelle, og markedsføringen omkring dem er højlydt. To nylige og omfattende undersøgelser hjælper med at skære igennem støjen: Digitaliseringsstyrelsens rapport fra december 2025 om open source i den offentlige sektor og en international undersøgelse af seksten digitalt modne lande, som Digitaliseringsstyrelsen bestilte året før. Læst i sammenhæng peger de på den samme ubehagelige men nyttige konklusion. Digital suverænitet er en formåen, og formåen skal opbygges. 

Suverænitet er ikke et produkt du kan købe 

Det er fristende at tro, at en bestemt type platform afgør spørgsmålet. Det gør den ikke. Man kan være reelt uafhængig på en proprietær platform, hvis man har en god styring, og fuldstændig fanget i open source, hvis man ikke har det. Mærket på emballagen betyder meget lidt. Organisationen bag den afgør næsten alt. 

De store udbydere er selv et godt eksempel på dette. I løbet af det seneste år har Microsoft færdiggjort sin EU Data Boundary og indført suverænitetsløsninger såsom krypteringsnøgler, der opbevares hos kunden, adgangskontrol baseret i Europa og lokal implementering af centrale arbejdsbelastninger – alt sammen med direkte fokus på suverænitetshensyn. Det er betydelige investeringer, og de gør det muligt at opnå digital suverænitet på en hyperscale-kommerciel cloud på en måde, der ikke var mulig for blot få år siden. Samtidig er der stadig uafklarede spørgsmål, såsom udenlandsk lovgivnings rækkevidde over data, der fysisk er lagret i Europa, hvilket ingen indkøbsbeslutning i sig selv fuldt ud kan fjerne. Læren er ikke, at én udbyder er sikker, og en anden ikke er det. Læren er, at uanset hvad man vælger, overgår ansvaret for at forstå, hvad man besidder, hvor det befinder sig, og hvordan man ville afhænde det, hvis det blev nødvendigt, ikke til leverandøren. Det forbliver hos dig. 

Så det egentlige spørgsmål er aldrig »hvilken platform giver os digital suverænitet«. Det er »forstår vi vores konfiguration, ejer vi vores data, kender vi vores kontrakter, og har vi en økonomisk bæredygtig måde at skifte kurs på«. Det er organisatoriske egenskaber, ikke produktegenskaber. 

Kontrol og ansvar er én og samme beslutning 

Digitaliseringsstyrelsens rapport fra 2025 taler klart om den handel, som ingen bryder sig om at nævne. Når du får større kontrol over din teknologi, påtager du dig også et større ansvar: licensbetingelser, sikkerhedsopdateringer, support, maintenance og ganske enkelt at vide, hvad du arbejder med. Kontrol er ikke en præmie, man modtager. Det er en arbejdsbyrde, man påtager sig. Rapporten undgår omhyggeligt at hævde, at mere åbenhed altid er bedre; den siger tværtimod det modsatte. Træf valg ud fra den værdi, de tilfører, og vær ærlig om, hvorvidt du kan gennemføre det, du har valgt. 

Danmark oprettede et særligt open source-kontor til sundhedssektoren. Selvom det var teknisk højt anset, gik det alligevel i opløsning. Ikke på grund af kodens kvalitet, men på grund af manglende organisatorisk og økonomisk opbakning. Teknisk ekspertise er ikke i sig selv nok til at sikre vedvarende operationel opbakning. Det gør finansiering, ejerskab og lederskab derimod. Især lederskab. Det samme mønster viser sig omvendt, hvor suverænitet lykkes. Den opretholdes af en organisation med et lederskab, der har besluttet at afsætte ressourcer til den, ikke af en licens, der tilfældigvis tillod det. 

Derfor kæmper de mindste organisationer mest, og hvorfor svaret sjældent er en heroisk genopbygning internt. Duelighed er krævende netop fordi det er rigtigt arbejde, og at lade som om en platform fjerner det arbejde er hvordan afhængighed stille og roligt hober sig op. 

Forudsætningerne er det sted, hvor suveræniteten egentlig opbygges 

Hvis digital suverænitet er en duelighed, bliver det praktiske spørgsmål, hvad denne duelighed består af. Digitaliseringsstyrelsens rapport, der bygger på erfaringer fra offentlige myndigheder i Danmark og i udlandet, opstiller en klar og fordelsagtigt neutral leverandørliste over forudsætninger. Disse forudsætninger gælder i lige så høj grad for proprietær software som for open source. 

Den første forudsætning er organisation og ledelse. Nogen skal stå bag beslutningen, formulere begrundelsen for den og investere i den kompetence, der skal til for at gennemføre den, uanset om denne kompetence opbygges internt eller købes. Den anden er en bevidst beslutning om support og maintenance. Der er behov for det, uanset om softwaren er open source eller ej. Al software har brug for support og maintenance, og det ville være en fejl at lade den stå uden ejerskab. Den tredje forudsætning er evnen til at vurdere sikkerhed og modenhed, til at bedømme, om der står et aktivt fællesskab eller en kompetent leverandør bag en komponent, i stedet for at antage, at en licens garanterer det. Den fjerde forudsætning er et reelt overblik over licenser, kontrakter og data; at vide, hvilke vilkår der binder dig, hvor dine oplysninger befinder sig, og hvad dine aftaler rent faktisk siger. Det femte punkt er open standards og integration, så systemerne kan kommunikere med hinanden, og – hvad der er afgørende – så man senere kan skifte leverandør uden at skulle afmontere det hele. Det sidste punkt er en honest lifetime economics, hvor man sammenligner en løsnings samlede omkostninger i stedet for den angivne pris, fordi værdien af at kunne skifte aldrig fremgår af en faktura. 

Ingen af disse forudsætninger er tekniske kneb. De er alle discipliner. Tilsammen udgør de det, som digital suverænitet reelt består af, og det opmuntrende er, at de kan udvikles bevidst. 

Organisationer behøver ikke at stå alene  

Organisationer behøver ikke at erhverve evnen til at udøve digital suverænitet på selvstændig vis, og de mest udviklede lande har indset dette. Det gennemgående mønster i den internationale undersøgelse er fremkomsten af fælles forvaltning: neutrale organisationer, der har denne formåen på vegne af mange. I Danmark giver OS2-fællesskabet kommunerne mulighed for at samle midler og kompetencer med fælles løsninger, ud fra princippet om, at de, der er afhængige af noget, bidrager til at opretholde det og bevarer muligheden for at skifte leverandør. Estland og Finland gik så langt som til at oprette en fælles institution med personale og et budget, udelukkende med det formål at forvalte den software, de deler. Italien har oprettet et statsligt kontor til at vejlede og støtte indførelsen af open source, Tyskland har etableret både et offentligt organ til at udvikle fælles løsninger og et agentur til at finansiere vedligeholdelsen af kritisk open source, og Den Europæiske Union er i færd med at sammensætte fælles byggesten, som flere lande kan trække på. 

Det afgørende er ikke, hvilken model der vinder, men, at hver enkelt af dem betragter duelighed som noget, der skal finansieres, bemandes og deles, snarere end noget, der tages for givet. Digital suverænitet i stor skala er lige så meget en kollektiv disciplin som en individuel. 

Digital suverænitet er en ledelsesmæssig holdning 

Alt dette fører tilbage til ét enkelt punkt, og det er et punkt, som CTO’en og CIO’en skal tage ansvaret for. Ledelsen, nærmere bestemt CIO’en og/eller CTO’en, er dem, der skal træffe beslutninger om digital suverænitet. Det er vigtigt, at de gør dette allerede under selve indkøbsprocessen. Datalokalisering, mulighed for at skifte leverandør, open standards og klarhed omkring kontrakter bør ikke være eftertanker, der først kommer frem, når en platform allerede er valgt. De hører som standard til kravene, der gælder for alle leverandører, uanset hvem de er. Behandlet på den måde bliver digital suverænitet beslutningen om at tage ansvar for sin egen infrastruktur, at vide, hvad man kører og hvorfor, samt bevidst at holde sine muligheder åbne. 

De mest holdbare eksempler er governed, ikke improviseret. Aarhus blev for eksempel ikke mere digitalt uafhængigt ved blot at skifte til et andet produkt. Byen fastlagde en retning over mange år – fra et krav om at overveje alternativer, over en handlingsplan og en digital strategi, til afsatte budgetmidler med henblik på at udvide udvalget af leverandører. Den røde tråd er ikke en teknologi. Det er vedvarende, værdidrevet governance og en afvisning af at lade andre bestemme tempoet som udgangspunkt. Det langvarige princip bag det er værd at huske: Vælg den bedste og mest økonomiske løsning uanset softwaretype. Disse løsninger skal vælges af en organisation, der forstår, hvad den vælger. 

Det er netop denne formåen, vi opbygger hos Strator. Platformen er jeres uanset om den er kommerciel eller open source, i skyen eller on-premises. Det egentlige spørgsmål er, om I kan styre den, og om I kan forlade den, hvis I nogensinde bliver nødt til det. Digital suverænitet er ikke blot en sætning i kontrakten; det er bevidstheden om, at organisationen kender sin situation og har evnen til at migrere, hvis den vælger det.  

Når organisationer etablerer en compliance- eller styringsmodel, begynder arbejdet næsten altid med dokumentation. Politikker skal formuleres, procedurer beskrives, og ansvar og arbejdsgange skal gøres tydelige. Det er en nødvendig og vigtig del af at skabe et fælles grundlag for styring.

Når politikker er skrevet, procedurer publiceret, dokumenter placeret i et system, og relevante medarbejdere er informeret og trænet, er etableringsfasen i vidt omfang gennemført. Organisationen har fået formuleret sine regler og gjort dem tilgængelige.

Men dokumentationen er kun udgangspunktet. Regulatoriske krav retter sig i sidste ende ikke mod dokumenterne i sig selv, men mod organisationens faktiske handlinger – og mod evnen til at dokumentere, at disse handlinger er udført kontrolleret.

Der ligger derfor en væsentlig forskel mellem dokumentation og dokumenteret adfærd. Dokumenter kan beskrive, hvordan noget bør foregå. Compliance opstår først, når organisationens handlinger følger de fastlagte retningslinjer, og når disse handlinger efterlader sporbar evidens.

Dokumenterne etablerer altså rammen. Evidensen opstår først i de handlinger og registreringer, som viser, at retningslinjerne faktisk er fulgt i praksis.

Når styringen flytter sig fra dokumenter til handlinger

Når den grundlæggende dokumentation er etableret, begynder det egentlige arbejde. Fokus flytter sig fra at beskrive reglerne til at sikre, at de bliver fulgt i praksis.

Her bliver det tydeligt, at compliance ikke først og fremmest dokumenteres gennem politikker og procedurer, men gennem de spor organisationens handlinger efterlader. Det gælder eksempelvis registreringer af godkendelser, ændringer i systemer, adgangstildelinger eller håndteringen af hændelser.

En procedure for ændringskontrol skaber ikke i sig selv kontrol over ændringer. En politik for adgangsstyring sikrer ikke i sig selv korrekt adgang. Og en hændelsesprocedure håndterer ikke i sig selv en sikkerhedshændelse.

Dokumenterne beskriver den forventede adfærd. Compliance kan først dokumenteres, når organisationens systemer og processer understøtter, at denne adfærd faktisk finder sted – og når de samtidig registrerer, hvad der er gjort, af hvem og hvornår.

Det er i denne registrerede adfærd, at den egentlige evidens for compliance opstår.

Dokumenter beskriver – systemer dokumenterer

Hvis compliance ikke først og fremmest handler om dokumenter, hvad handler det så om? Det handler om dokumenteret kontrol.

Kontrol betyder i denne sammenhæng, at organisationen udfører bestemte handlinger under bestemte betingelser som en del af sine processer. Ordet bruges her i den faglige betydning af en kontrolmekanisme – ikke i hverdagens betydning af at tjekke noget (eller nogen). Dokumenteret kontrol betyder, at disse handlinger kan dokumenteres efterfølgende.

Dokumenter spiller stadig en vigtig rolle i denne sammenhæng, men i en anden funktion end man ofte forestiller sig. De beskriver kontrollerne og fastlægger rammerne for arbejdet. Selve evidensen opstår i registreringen af de handlinger, der udføres.

Når en leder godkender et dokument i et system, er evidensen derfor ikke selve dokumentet. Evidensen er registreringen af godkendelsen: hvem godkendte, hvornår og hvilken version der blev godkendt. På samme måde er det i ændringsstyring ikke proceduren, der dokumenterer compliance, men historikken over vurderinger, beslutninger og implementerede ændringer.

Dokumenter etablerer rammen for adfærden. Evidensen opstår i de sporbare registreringer af, at kontrollerne faktisk er udført.

Kontroller i praksis

Når man ser på organisationers kontrolmiljøer, er dette princip tydeligt i en række velkendte mekanismer.

Godkendelser er et oplagt eksempel. Når en kontrakt, en rapport eller en ændring godkendes, registrerer systemet typisk hvem der har godkendt, tidspunktet for godkendelsen og hvilken version der blev godkendt. Disse registreringer udgør den sporbare evidens.

Det samme gælder ændringskontrol. Når ændringer registreres, vurderes og implementeres gennem en kontrolleret proces, opstår en historik over beslutninger og handlinger, som gør det muligt efterfølgende at dokumentere, hvordan ændringen er håndteret.

Adgangsstyring og hændelseshåndtering fungerer på tilsvarende måde. Compliance dokumenteres ikke gennem politikken for adgang eller proceduren for incident management, men gennem registreringerne af hvem der fik adgang, hvilke hændelser der opstod, og hvordan de blev håndteret.

Det fælles træk er, at evidensen opstår i registreringen af handlinger.

Systemernes rolle

Når compliance forstås som dokumenteret adfærd, bliver systemernes rolle central.

Digitale systemer gør det muligt at registrere handlinger konsekvent og ensartet. De kan sikre, at godkendelser registreres med identitet og tidspunkt, at ændringer ikke implementeres uden en dokumenteret beslutning, og at historik bevares gennem audit trails.

Dermed bliver systemerne den ramme, hvor organisationens kontroller både udføres og dokumenteres. Det er denne sporbarhed, der gør det muligt efterfølgende at efterprøve, hvad der er sket.

Compliance opstår derfor ikke i dokumentbiblioteket alene, men i samspillet mellem dokumenter, systemer og de handlinger organisationens medarbejdere udfører.

Fra dokumentstyring til dokumenteret kontrol

Dokumentstyring er en vigtig disciplin, fordi den sikrer, at organisationens politikker, procedurer og instruktioner er entydige, tilgængelige og versionsstyrede.

Men compliance vurderes i sidste ende ikke på dokumenternes struktur. Den vurderes på, om organisationens kontroller faktisk udføres – og om de kan dokumenteres.

Det er derfor dokumenteret adfærd, der udgør kernen i et velfungerende kontrolmiljø. Dokumenterne beskriver, hvordan arbejdet skal udføres. Systemer og processer skaber evidensen for, at det faktisk sker.