Firmakortet har blitt bedriftens skjulte IT-avdeling

Når ansatte kjøper Office, KI-verktøy eller andre skytjenester med firmakortet, ser det ofte ut som effektiv problemløsning. I realiteten kan kjøpet flytte IT-beslutninger, kontoer og abonnementer ut av virksomhetens kontroll.

Dette er en kommentar basert på praktiske erfaringer fra IT-arbeid med små virksomheter. Eksemplene er generalisert og inneholder ikke kundeopplysninger.

Firmakortet var en gang først og fremst et betalingsmiddel. Nå fungerer det også som en snarvei til programvare, skylagring, KI-tjenester, designverktøy, møteplattformer og en lang rekke andre digitale abonnementer.

En ansatt møter et problem, finner en tjeneste som ser ut til å løse det, registrerer en konto og legger inn kortet. Jobben kan fortsette. Ingen trenger å vente på et prosjekt, en innkjøpsrunde eller et langt møte.

Det høres ut som praktisk handlekraft. Min erfaring er at det nesten alltid er et symptom på noe annet: IT-behovet er reelt, men virksomheten mangler en tydelig vei fra behov til godkjent løsning.

Kjøpet løser dagens problem og oppretter morgendagens

Det er lett å forstå hvorfor dette skjer. Hvis en medarbeider trenger et skrivebordsprogram for å få gjort jobben, er det fristende å kjøpe det som dukker opp først. Et mønster jeg har sett flere ganger, er at ansatte ender med hvert sitt private eller hjemmerettede Office-abonnement fordi de trengte skrivebordsprogrammene der og da.

Problemet er ikke bare om bedriften betaler noen kroner for mye. Problemet er at løsningen blir knyttet til enkeltpersonens konto, e-postadresse, betalingshistorikk og valg. Når den ansatte bytter rolle eller slutter, må noen først oppdage at abonnementet finnes.

Microsoft skiller selv mellom abonnementer for personlig bruk og egne Microsoft 365-planer for bedrifter. Bedriftsplanene er bygget rundt brukere, administrasjon og tjenester for virksomheten. Det betyr ikke at alle bedrifter må velge den dyreste pakken. Det betyr at arbeidsverktøy bør velges som arbeidsverktøy, med en eier og en plan.

Den største kostnaden står sjelden på kvitteringen

Små korttrekk virker udramatiske. Ti eller tjue små abonnementer kan likevel bli en skjult IT-portefølje som ingen har ansvar for. Da oppstår spørsmål som regnskapet alene ikke kan svare på:

• Hvem eier kontoen og kan tilbakestille tilgangen?
• Hvilke data er lagret i tjenesten?
• Har den ansatte brukt privat e-postadresse?
• Kan abonnementet overføres når noen slutter?
• Hvem vurderte sikkerhet, personvern og avtalevilkår?
• Fornyes tjenesten automatisk, og hvem følger den opp?
• Finnes samme funksjon allerede i en løsning bedriften betaler for?

Det er her firmakortet blir en skjult IT-avdeling. Betalingen går gjennom bedriften, men beslutningen, oppsettet og den praktiske forvaltningen ligger hos én ansatt. Ledelsen ser utgiften, men ikke nødvendigvis avhengigheten.

Den samme svakheten oppstår når privat e-post brukes for å få en tjeneste raskt i drift. Vi har tidligere skrevet om når privat e-post på jobb blir et problem. Kontoen kan fungere fint helt til virksomheten trenger historikken, må stenge tilgangen eller ikke lenger får kontakt med personen som opprettet den.

Dette er først og fremst et ledelsesproblem

Det er enkelt å skylde på ansatte som «bare kjøper ting». Det er sjelden hele forklaringen. Hvis medarbeidere stadig må finne egne løsninger for å få gjort en vanlig arbeidsoppgave, har ledelsen og IT-funksjonen sannsynligvis gjort bestillingsveien for uklar, langsom eller utilgjengelig.

Samtidig må grensen være tydelig: ansatte skal ikke på egen hånd etablere systemer som lagrer virksomhetsdata eller blir nødvendige for driften. Et firmakort er ikke en fullmakt til å velge identitetsløsning, lagringssted, databehandler eller lisensmodell.

NSM anbefaler virksomheter å etablere en prosess for å kartlegge programvare i bruk, fastsette retningslinjer for godkjent programvare og vedlikeholde en oversikt over hva som er godkjent. Prinsippet gjelder også uautorisert programvare. Det er ikke byråkrati for byråkratiets skyld. Uten oversikt er det vanskelig å beskytte, vedlikeholde og avslutte løsningene på en kontrollert måte. Se NSMs anbefaling om å kartlegge enheter og programvare.

Forbud alene virker dårlig

En regel om at «ingen får kjøpe programvare» løser heller ikke problemet dersom ansatte fortsatt mangler verktøyene de trenger. Da flyttes kjøpene bare til private kort, gratisversjoner eller tjenester som aldri blir synlige i regnskapet.

Virksomheten trenger derfor både en grense og en fungerende bestillingsvei. Den kan være enkel:

1. Lag en kort liste over godkjente standardverktøy.
2. Gi ansatte ett sted å melde behov for noe som mangler.
3. Krev at arbeidsrelaterte kontoer opprettes med virksomhetens e-post og kan overtas av virksomheten.
4. Registrer eier, formål, kostnad, fornyelsesdato og hvilke data tjenesten behandler.
5. Gå gjennom korttransaksjoner og abonnementer jevnlig, ikke bare når noen slutter.

Dette trenger ikke bli en tung innkjøpsprosess. Målet er at et legitimt behov skal kunne løses raskt, men på en måte som gjør løsningen synlig og håndterbar etterpå.

Dokumentasjon må følge kjøpet

En kvittering forteller hva som ble belastet. Den forteller ikke hvorfor tjenesten ble valgt, hvem som administrerer den eller hvordan data kan hentes ut. Derfor bør nye digitale abonnementer inn i den samme oversikten som resten av IT-miljøet.

Det handler også om eierskap. Som vi har argumentert for tidligere, bør bedriften eie sin egen IT-dokumentasjon. En tjeneste som bare finnes i nettleseren til én ansatt, med et abonnement på firmakortet og innlogging via en privat konto, er det motsatte av dette.

Firmakortet bør varsle, ikke bestemme

Regnskapet kan være en nyttig kilde til å oppdage nye tjenester. Et ukjent månedlig trekk bør utløse et spørsmål: Hva er dette, hvem bruker det, og er det satt opp riktig?

Men korttransaksjonen må ikke bli selve beslutningsprosessen. Før virksomheten betaler, bør noen ha tatt stilling til behov, eierskap og forvaltning. Etter kjøpet må løsningen inn i oversikten og få en ansvarlig person.

Min konklusjon er derfor ganske tydelig: Når ansatte bygger sin egen samling av arbeidsverktøy med firmakortet, er det ikke først og fremst et tegn på smidighet. Det er et tegn på at virksomheten har overlatt IT-styringen til tilfeldige enkeltkjøp.

Den riktige reaksjonen er ikke å gjøre ansatte redde for å foreslå nye verktøy. Den er å lage en kort vei fra et reelt behov til en løsning bedriften faktisk eier, forstår og kan avslutte.