Når sikkerhedsfunktionen både har skrevet politikken, hjulpet enhederne med at indføre den og derefter giver dem en modenhedsscore, er målingen ikke uafhængig. Den kan stadig være brugbar, men bestyrelsen skal vide, at tallet kommer fra ledelsens egen side, og opdraget skal sige, hvordan interessekonflikten håndteres.
Problemet er sjældent ond vilje. Det er, at den, der har bygget noget, ser det med sine egne øjne, og at en lav score også er en vurdering af eget arbejde.
Hvad modellen siger om anden linje
IIA’s Three Lines Model beskriver anden linje som de roller, der hjælper med at styre risiko, og nævner informations- og teknologisikkerhed blandt eksemplerne. Modellen er klar på ét punkt: anden linje er en del af ledelsens ansvar og aldrig fuldt uafhængig af ledelsen, uanset hvem den rapporterer til.
Det betyder, at en CISO med direkte adgang til bestyrelsen stadig er anden linje. Rapporteringslinjen giver bestyrelsen et direkte billede, men den gør ikke målingen uafhængig. Hvor sikkerhedsfunktionen står i modellen, er gennemgået i tre linjer efter IIA’s model.
Hvad uafhængighed betyder i tredje linje
Modellens femte princip handler om tredje linjes uafhængighed. Den sikres ved, at den interne revision står til ansvar over for det øverste ledelsesorgan, kan komme til alle medarbejdere, data og ressourcer og kan planlægge og udføre sit arbejde uden indblanding.
Modellen nævner to værn mere. Revisionen træffer ingen beslutninger på ledelsens vegne, og den afviser opgaver, hvor den skulle udtale sig om noget, den selv står for nu eller stod for indtil for kort tid siden.
Global Internal Audit Standards følger samme spor i standard 7.1. Har revisionschefen varige roller uden for intern revision, som skal revideres, skal sikkerheden for dem komme fra en alternativ kilde, fx en objektiv ekstern leverandør, der rapporterer uafhængigt til bestyrelsen. Er rollerne midlertidige, gælder det i perioden og de følgende 12 måneder.
Tre situationer i en koncern
Situationerne nedenfor er tænkte, men de er typiske for en større virksomhed.
- (Koncern-CISO scorer datterselskaberne efter en fælles model) · Hvem måler: Anden linje · Hvad tallet er: Ledelsens egen måling af enhederne
- (Datterselskabernes IT-chefer scorer sig selv, og koncern-CISO tager stikprøver) · Hvem måler: Første linje med anden linjes kontrol · Hvad tallet er: Selvrapportering med en vis kontrol
- (Intern revision eller en ekstern part vurderer både enhederne og koncernens sikkerhedsfunktion) · Hvem måler: Uafhængig af det målte · Hvad tallet er: Sikkerhed, bestyrelsen kan bruge som uafhængig
Den første situation har en særlig blind plet. Koncern-CISO kan score enhederne, men kan ikke på samme troværdige måde score koncernens egen styring, fordi det er funktionens eget område. Det er netop dér, bestyrelsen oftest spørger.
Sådan beskrives uafhængigheden i opdraget
Ingen regel fastsætter, hvordan et opdrag til en modenhedsmåling skal skrives. Det følgende er praksis.
Opdraget kan sige, hvem der har bestilt målingen, og hvem resultatet går direkte til. Det kan sige, hvilke områder den, der måler, selv har haft ansvar for eller har rådgivet om, og hvordan de områder i stedet bliver vurderet. Og det kan sige, om den, der måler, må ændre scoren efter drøftelse med enheden, og hvem der afgør uenighed.
Er målingen en selvevaluering, er det ærligste at kalde den det. Bestyrelsen kan godt bruge en selvevaluering, hvis den ved, hvad den er. Det er sitets vurdering, at problemet først opstår, når en selvevaluering præsenteres med samme vægt som en uafhængig vurdering.
Når en ekstern part kommer ind
En ekstern vurdering er ikke automatisk uafhængig. Har den samme part hjulpet med at indføre de kontroller, der nu skal måles, eller har den en interesse i opfølgningsopgaver, er der en interessekonflikt af samme slags. Det er god praksis at spørge den eksterne part direkte, hvad den tidligere har leveret til virksomheden, og at skrive svaret i opdraget.
Den almene vurdering af en auditors uafhængighed og valget af auditor hører hjemme hos den almindelige sikkerhedsaudit. Denne side holder sig til koncernens egne linjer.
Rotation og adskillelse
Nogle koncerner løser konflikten ved at lade forskellige personer i sikkerhedsfunktionen måle og rådgive. Det hjælper på den enkelte medarbejders objektivitet, men ændrer ikke ved, at funktionen som helhed stadig er anden linje. Det er praksis at bruge den interne revision eller en ekstern part til de områder, sikkerhedsfunktionen selv ejer, og lade anden linje måle resten.
Uanset model kan rapporten til bestyrelsen have en kort note om, hvem der har målt hvert område, og om den målende har haft andre roller på området inden for det seneste år. IIA’s standarder bruger 12 måneder som grænse for en intern revisors tidligere ansvar, og samme tidshorisont kan bruges som pejlemærke i en måling. Det er en analogi, ikke et krav.
Hvad det kræver, og hvad det koster at lade være
Det kræver et opdrag, der siger, hvem der måler hvad, og hvilke områder der vurderes af en anden end den, der har bygget dem. Det kræver også, at rapporten til bestyrelsen skriver, om tallet er en selvevaluering, ledelsens måling eller uafhængig sikkerhed.
Uden den skelnen læser bestyrelsen alle tal som lige troværdige. Den laveste score i rapporten bliver måske aldrig givet til den sikkerhedsfunktion, der skrev rapporten. Tallet er ikke forkert, men det mangler den uafhængighed, bestyrelsen tror, den har fået.
Det skal I lade være med
- At kalde sikkerhedsfunktionens måling uafhængig · sikkerhedsfunktionen står på ledelsens side, også med direkte linje til bestyrelsen.
- At lade den, der har bygget en kontrol, give den dens score · det er ledelsens egen vurdering.
- At blande selvevalueringer og uafhængige vurderinger i samme kolonne · tallene har forskellig vægt.
Det skal gennemgangen kunne vise
- ☐ Et opdrag, der angiver bestiller, modtager og hvem der måler hvad.
- ☐ En liste over områder, den målende funktion selv har ansvar for eller har rådgivet om.
- ☐ Hvem der vurderer de områder i stedet.
- ☐ En markering i rapporten af, hvilke tal der er selvevaluering.
Kilder
- IIA, The IIA’s Three Lines Model (2020, opdateret september 2024), princip 5 og s. 11, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 7.1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Markér i jeres næste rapport, hvilke tal sikkerhedsfunktionen selv har givet, og hvilke der er vurderet af en anden.
- Den interne audit-funktion og de tre linjer
- Selvrapportering fra enhederne med central stikprøvekontrol
Læs også: Må intern revision rådgive om det, den senere skal revidere? · Assurance-kortet
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
