Gør PKA’s it-risici målbare og PKA’s leverandørstyring sammenhængende.
Stillingen indebærer tre primære ansvarsområder. Specialisten skal sætte tal på PKA’s it-risici, så ledelsen kan prioritere indsatser og fastlægge risikotolerance. Derudover skal specialisten professionalisere styringen af PKA's IKT-leverandører og sikre en solid, løbende rapportering til direktion, risikokomité, revisionsudvalg og bestyrelse.
DORA sætter rammen, men målet er mere end compliance. Forca A/S ønsker et setup, der virker i praksis og giver et klart billede af PKA’s risici, afhængigheder og handlemuligheder.
Specialisten bliver en del af et lille team i Økonomi, It og Skat og refererer til underdirektøren. Der er kort fra specialistens arbejde til de beslutninger, det skal understøtte.
Det første år: to strategiske indsatser
Gør it-risiciene konkrete.
- At etablere et troværdigt it-risikoregister.
- At vurdere sikkerhedsniveauet gennem interviews og udvalgte tests.
- At estimere sandsynligheder og økonomiske konsekvenser.
- At indarbejde metoden i politikken for operationelle risici og forberede den til Risikokomitéen.
- At bidrage til at fastlægge risikotolerancegrænser og omsætte resultaterne til rapportering for ledelse og bestyrelse.
Det handler ikke om at gøre usikre forhold kunstigt præcise. Det handler om en gennemskuelig og fagligt solid metode, der giver bedre beslutninger om risiko, sikkerhed og investeringer. I denne rolle vil specialisten opnå erfaring med kvantitativ it-risikostyring, der bruges til at prioritere.
Videreudvikling af leverandørstyringen i PKA-fællesskabet.
I dag er en stor del af overblikket ikke systemunderstøttet. Opgaven indebærer:
- At opdatere DORA-gap-analysen, prioritere handlingerne og sikre, at kravene understøttes af relevante politikker, forretningsgange, SLA’er og kontroller.
- At kvalitetssikre leverandørvurderinger – kritikalitet, due diligence, risikovurdering og exitplan – både for leverandører via Forca og dem, PKA selv indgår aftaler med.
- At videreudvikle det eksisterende indkøbsflow, så processen for relevante vurderinger af nye IKT-leverandører er optimeret og forretningsorienteret fra start.
- At skabe et årshjul for vurderinger, kontroltest og indberetninger.
- At sikre løbende opfølgning på aftalte ydelseskrav og tilsyn med leverandører.
Målet er en sammenhængende proces for hele leverandørens livscyklus, fra den første indkøbsanmodning til en eventuel exit.
Rapportering, der klæder ledelsen på.
Ud over de to indsatser har specialisten ansvaret for den løbende rapportering om it-risici, informationssikkerhed, digital operationel modstandsdygtighed og outsourcing. Rapporteringen skal give ledelsen et reelt beslutningsgrundlag og kunne svare på:
- Hvilke it-risici er de væsentligste?
- Hvor sandsynlige er de, og hvad kan de koste?
- Hvilke leverandører og teknologier er PKA mest afhængige af?
- Lever kontrollerne op til PKA's krav?
- Hvilke risici accepteres?
Specialisten gør komplekst teknisk stof forståeligt uden at miste nuancerne. Specialisten står på mål for materialet, når det behandles i Direktion, Risikokomité, Revisionsudvalg og Bestyrelse, i tæt samspil med underdirektøren.
Rollen udfører og udfordrer
En væsentlig del af PKA’s it-drift og sikkerhedsarbejde udføres af Forca. PKA har ansvaret, sætter kravene og fører tilsyn.
Forca A/S stiller krav til og følger op på Forcas tekniske og organisatoriske sikkerhedsforanstaltninger, for eksempel adgangskontrol, logning, patch- og sårbarhedshåndtering. Specialisten vurderer resultaterne af kontroltests, sårbarhedsvurderinger og beredskabsøvelser. Specialisten udarbejder selv analyser, risikovurderinger, processer, indstillinger og rapportering. Specialisten koordinerer med Forca, forretningen, Jura og Governance samt Risikostyring og Compliance.
Det kræver, at specialisten kan stille fagligt begrundede krav og gå i teknisk dialog. Specialisten skal kunne vurdere kontroller og dokumentation og følge op på handlingsplaner og afvigelser, så arbejdet bevæger sig fremad uden at gå ud over samarbejdet. Underdirektøren sætter retningen sammen med specialisten. Specialisten driver opgaverne fra første analyse til den løsning, der skal fungere i hverdagen.
Specialisten skal have erfaring med at omsætte regulering til drift
Specialisten skal have arbejdet med it-risikostyring, it-revision, informationssikkerhed, it-compliance eller IKT-leverandørstyring i en reguleret organisation. Specialistens baggrund kan være juridisk, økonomisk, teknisk eller noget fjerde.
Følgende kompetencer og erfaringer er essentielle fra dag ét:
- Erfaring med DORA eller tilsvarende krav til it-risici og outsourcing i den finansielle sektor.
- Erfaring med it-risikostyring, for eksempel risikovurderinger, kontroldesign eller kontroltest.
- Erfaring med rapportering på it-risici, operationel modstandsdygtighed eller outsourcing til ledelse og bestyrelse.
- Erfaring med at vurdere og følge op på outsourcingleverandører, risikovurdering, due diligence, SLA-opfølgning og gerne exitplaner.
- Teknisk forståelse nok til at udfordre leverandører og vurdere deres dokumentation.
- En relevant videregående uddannelse.
Erfaring fra en pensionskasse, et forsikringsselskab, et pengeinstitut eller en anden reguleret virksomhed er en fordel. Pensionsbranchen er ikke et krav.
PKA’s operationelle model kan læres i rollen.
Kendskab til ISO 27001/27005 eller NIST CSF er et plus. Det samme gælder certificeringer som CISM, CRISC, CISA, CISSP eller ISO 27001 Lead Implementer/Auditor.
Personlige kompetencer
Forca A/S er bevidst om, at der efterlyses en person, der kan omsætte DORA-krav til en kontrol, gennemskue en SLA, stille Forca de rigtige tekniske spørgsmål og bagefter forklare det hele for en bestyrelse på fem slides. Specialisten behøver ikke være ekspert i det hele, men det er essentielt, at specialisten finder netop den bredde sjov.
Specialisten får ikke et team at uddelegere til, men et væld af kompetente samarbejdspartnere. Specialisten skriver selv analysen, bygger selv processen og står selv frem, når den skal forsvares.
Specialisten skal sætte tal på risici, hvor der ikke findes et facit. Det betyder, at specialisten skal kunne stå ved et skøn og forklare, hvordan vedkommende er nået frem til det, også når nogen trykker på.
Specialisten ejer ikke selv driften; den ligger hos Forca. Specialistens rolle er at stille kravene, holde fast i dem og vurdere, om leverancen er god nok. Hvis specialisten foretrækker at have hænderne i teknikken selv, er dette ikke den rette stilling.
Ansøgningsproces
Send CV og ansøgning senest 15. november 2026. Ansøgningen skal beskrive kandidatens motivation og de erfaringer, vedkommende vil trække på i arbejdet med PKA’s it-risikostyring og IKT-leverandører. Giv gerne et kort eksempel på, hvordan kandidaten har omsat et komplekst regulatorisk krav til en løsning, der fungerede i praksis.
