En koncernvurdering afgrænses ved fire valg: hvilke selskaber og enheder der er med, hvilke systemer og fælles tjenester der hører til hvem, hvilke lokationer der besøges, og hvilke spørgsmål bestyrelsen vil have svar på. Først når de fire valg er truffet, kan omfanget aftales, og først da ved man, hvad koncernscoren kommer til at sige.
Afgrænsningen er den beslutning, der har størst betydning for, om resultatet kan bruges. En vurdering med uklart omfang giver et tal, ingen kan forklare.
Start med spørgsmålet, ikke med listen
Det er almindelig praksis at begynde med det, opdragsgiveren vil kunne konkludere bagefter. Vil bestyrelsen vide, om koncernen som helhed lever op til sin egen politik? Om de NIS2-omfattede selskaber er på plads? Om et bestemt forretningsområde er så sårbart, som direktionen frygter? Hvert spørgsmål giver en anden afgrænsning.
Et spørgsmål om hele koncernen kræver, at alle selskaber er repræsenteret, men ikke nødvendigvis i dybden. Et spørgsmål om et forretningsområde kræver dybde, men kun i de selskaber, der indgår i området. Afvejningen mellem de to er beskrevet i bred eller dyb.
Enhederne: juridiske selskaber eller forretningsenheder
Revisionsstandarderne fra IIA nævner i vejledningen til standard 9.4, at de enheder, der kan auditeres, kan være forretningsenheder, processer, programmer og systemer. I en koncern er det første valg, om vurderingen skal følge den juridiske struktur eller den måde, forretningen faktisk er organiseret på.
Den juridiske struktur er nem at afgrænse og passer til de regler, der gælder pr. selskab. Forretningsenhederne passer ofte bedre til, hvordan IT og sikkerhed faktisk drives. Mange koncerner har et forretningsområde, der går på tværs af fem selskaber, eller ét selskab, der rummer tre forretningsområder med hver sin IT.
Det er sitets vurdering, at afgrænsningen bør angive begge dele: hvilke juridiske selskaber der er med, og hvordan de er grupperet i den vurdering, der laves. Så kan resultatet bruges både af den enkelte selskabsledelse og af koncernen.
Fælles tjenester og systemer
De fleste koncerner har fælles platforme, fx identitet, netværk, ERP eller en fælles servicedesk. Afgrænsningen skal sige, om de vurderes én gang centralt eller som en del af hvert selskab. Vurderes de centralt, skal det fremgå, hvordan resultatet regnes ind i det enkelte selskabs score.
En gængs løsning er at vurdere de fælles tjenester som en selvstændig enhed og lade selskaberne arve resultatet for de kontroller, der ligger der. Det kræver, at man på forhånd har aftalt, hvem der ejer hvilken kontrol. Spørgsmålet tages op i fælles tjenester og shared service.
Lokationer og besøg
Ikke alle lokationer kan besøges. Afgrænsningen bør angive, hvilke der besøges fysisk, hvilke der vurderes på afstand, og hvilke der kun indgår gennem dokumentation. Valget af lokationer er en stikprøve, og stikprøvens logik bør stå i afgrænsningen, så det er tydeligt, hvad resultatet kan sige om de lokationer, der ikke blev set.
Mennesker, processer og teknologi
Punkt 2.3.1 i forordning 2024/2690’s bilag beskriver den uafhængige gennemgang som en gennemgang af tilgangen til sikkerhedsstyring “herunder mennesker, processer og teknologier”. Forordningen gælder kun de digitale tjenesteudbydere i dens artikel 1, men formuleringen er et nyttigt tjek for alle andre. En afgrænsning, der kun nævner systemer, dækker ikke de roller og processer, som ofte er der, hvor koncernens svagheder sidder.
Koncernstrukturen skal stå i afgrænsningen
Den delegerede forordning 2024/1774 kræver i artikel 27, stk. 2, litra a, at rapporten om gennemgangen af IKT-risikorammen beskriver koncernstrukturen, hvis den er relevant. Kravet gælder kun finansielle enheder. Det er alligevel et godt eksempel på, at læseren af en vurdering skal kunne se, hvilke dele af koncernen resultatet dækker.
Hvad afgrænsningen gør ved koncernscoren
Afgrænsningen bestemmer, hvad koncerntallet er et gennemsnit af. Tages et svagt selskab ud, stiger tallet. Tages fælles tjenester med som egen enhed, kan de trække tallet op, fordi de ofte er de bedst styrede dele af koncernen.
Sitets anbefaling er at aftale på forhånd, hvordan koncernscoren beregnes: om selskaberne vægtes ens eller efter størrelse eller kritikalitet, og om de fælles tjenester tæller som enhed eller kun arves. Aftales det først bagefter, er der risiko for, at beregningen vælges, så tallet ser pænt ud.
Et afgrænsningsnotat
Notatet kan holdes på én side. Indholdet i parentes nedenfor er opdigtet til illustration.
- Spørgsmål · (Lever de NIS2-omfattede selskaber op til koncernens baseline?)
- Selskaber med · (Fem selskaber, oplistet med navn)
- Selskaber uden · (Et minoritetsejet selskab; begrundelse)
- Fælles tjenester · (Identitet og netværk vurderes centralt og arves)
- Lokationer · (Tre besøges; resten vurderes på afstand)
- Beregning af koncernscore · (Lige vægt pr. selskab; fælles tjenester tæller ikke selvstændigt)
- Forbehold · (Produktionsnettet er uden for omfanget i år)
Den almene metode for at afgrænse en enkelt sikkerhedsaudit er beskrevet under den almene auditmetode. Denne artikel ser på de valg, der først opstår, når der er flere selskaber.
Hvad det kræver, og hvad det koster at lade være
Det kræver en opdateret koncernoversigt, en aftale om ejerskab af de fælles tjenester og en drøftelse med opdragsgiveren om, hvad der skal kunne konkluderes. Arbejdet tager nogle møder, før vurderingen går i gang.
Uden en klar afgrænsning bliver omfanget forhandlet undervejs, enkelte selskaber falder ud uden begrundelse, og koncernscoren dækker noget andet, end bestyrelsen tror.
Det skal I lade være med
- At afgrænse ud fra en systemliste alene · mennesker og processer falder ud.
- At aftale beregningen af koncernscoren efter resultatet · så kan tallet tilpasses.
- At tie om selskaber, der er holdt uden for · læseren skal kunne se hullet.
Det skal gennemgangen kunne vise
- ☐ Et afgrænsningsnotat med spørgsmål, selskaber og fælles tjenester.
- ☐ En skriftlig grund til, at et selskab står uden for.
- ☐ En aftalt beregning af koncernscoren, dateret før vurderingen.
- ☐ En oversigt over lokationer og hvordan hver af dem indgår.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 2.3.1, læst 14. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 27, stk. 2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv det spørgsmål, bestyrelsen vil have besvaret, øverst på et afgrænsningsnotat, og udfyld resten af felterne ud fra det.
Læs også: Forretningsprocesser som udgangspunkt for omfanget · Hvem bestiller?
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
