Et assurance-kort er en oversigt over koncernens cyberrisici og de kilder, der giver sikkerhed for hver af dem, med en vurdering af, hvor stærk sikkerheden er. Det viser bestyrelsen på én side, hvor flere kilder ser på det samme, og hvor ingen ser på noget.
I en større virksomhed er der ofte mange kilder: enhedernes egenkontrol, sikkerhedsfunktionen, compliance, intern revision, revisor, certifikater, leverandørers erklæringer og eksterne vurderinger. Hver for sig giver de mening. Samlet ved ingen, hvad de dækker.
Hvor tanken kommer fra
IIA’s Global Internal Audit Standards beskriver kortet under standard 9.5 om koordinering. Vejledningen til standarden kalder det et assurance map: en matrix over risici og de leverandører af sikkerhed, der dækker dem, med en vurdering af sikkerhedsniveauet pr. risikokategori. Kortet viser huller og dobbelthed.
Samme sted nævnes combined assurance, hvor leverandørerne koordinerer for at mindske hyppighed og dobbeltarbejde. Standarden lister assurance-kort og planer for combined assurance blandt de eksempler på bevis, der kan vise, at koordineringen finder sted.
IIA’s Three Lines Model peger samme vej. Første og anden linje og den interne revision skal arbejde sammen, så unødig dobbelthed, overlap og huller undgås.
Den frivillige britiske kodeks for bestyrelsers cyberstyring beder bestyrelsen få sikkerhed for, at cyberhensyn er integreret i den revision og kontrol, der allerede findes internt og eksternt. Koden gælder ikke i Danmark, men den beskriver netop det, kortet skal vise.
Kortets opbygning
Der er ingen fast skabelon. Opbygningen nedenfor er praksis, og indholdet i parentes er tænkte eksempler.
- (Adgang til økonomisystemet) · Egenkontrol i enheden: (Kvartalsvis gennemgang) · Anden linje: (Stikprøve) · Intern revision: (Revideret sidste år) · Revisor: (Generelle IT-kontroller) · Samlet niveau: (Stærkt, med overlap)
- (Beredskab i produktionen) · Egenkontrol i enheden: (Plan findes) · Samlet niveau: (Svagt)
- (Drift hos leverandør) · Anden linje: (Leverandørmøder) · Certifikat eller erklæring: (Leverandørens erklæring) · Samlet niveau: (Middel)
- (Detektion og overvågning) · Egenkontrol i enheden: (Egen drift) · Anden linje: (Nøgletal) · Ekstern vurdering: (Gennemgang hvert andet år) · Samlet niveau: (Middel)
Den første række er typisk. Kontrollerne omkring regnskabet bliver set fra mange sider. Den anden række er også typisk. Det, der ikke har med regnskabet at gøre, kan stå helt uden uafhængig sikkerhed.
Hvad der skrives i felterne
Det er praksis at skrive tre ting pr. felt: hvem der giver sikkerheden, hvornår den sidst blev givet, og hvad den faktisk dækker. Det sidste er det sværeste.
Et certifikat har et omfang, som ikke nødvendigvis rummer den del af virksomheden, kortet handler om. Revisors påtegning vedrører regnskabet. Kortet bør derfor ikke skrive, hvad en bestemt type erklæring dækker i almindelighed, men hvad den konkrete erklæring dækker. Læs omfanget i dokumentet selv.
Genbrug af det, der findes
Kortet er også et redskab til at undgå dobbeltarbejde. Er et område dækket af en nylig revision med et passende omfang, kan næste vurdering bygge på den i stedet for at gentage den. Standard 9.5 kræver, at grundlaget for at bygge på andres arbejde dokumenteres, og vejledningen lister de forhold, der skal ses på, fra uafhængighed og faglighed til metode og bevis.
Genbrug af erklæringer i den enkelte audit er et emne for den almindelige sikkerhedsaudit. Her er fokus koncernens samlede kort.
Fortrolighed
Kortet samler oplysninger fra mange kilder. Vejledningen til standard 9.5 minder om, at revisionschefen tager hensyn til fortrolighedskrav, før oplysninger deles mellem leverandørerne. Det er praksis at vise detaljerne til dem, der har brug for dem, og give bestyrelsen det samlede billede.
Hvem ejer kortet
Har koncernen intern revision, er det naturligt, at revisionschefen ejer kortet, fordi standard 9.5 lægger koordineringen dér. Uden intern revision kan sikkerhedsfunktionen eller risikostyringen eje det, men så er kortet anden linjes værktøj, og bestyrelsen skal vide det. Hvem der står hvor, er beskrevet i tre linjer efter IIA’s model.
Kortet i en koncern
I en koncern får kortet en ekstra akse: selskaberne. Det samme område kan være dækket af intern revision i ét selskab, af en leverandørs erklæring i et andet og af ingen i et tredje. Det er praksis at lave et samlet kort for koncernen og et udsnit pr. selskab, så både koncernens bestyrelse og datterselskabernes bestyrelser kan se deres del.
Kortet kan også vise, hvor gammel sikkerheden er. En revision for fire år siden står i samme felt som en fra sidste måned, hvis datoen ikke er med. Det er sitets vurdering, at alderen er lige så vigtig som kilden, fordi både systemer og trusler ændrer sig.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over cyberrisici på det niveau, bestyrelsen arbejder med, og en indsamling af de rapporter, erklæringer og certifikater, der findes. Første udgave tager tid. Derefter opdateres den, når en ny rapport kommer.
Uden kortet stoler bestyrelsen på summen af mange rapporter, som ingen har lagt sammen. Nogle områder bliver revideret år efter år, mens andre aldrig bliver set af nogen uafhængig. Ressourcerne bruges, hvor de altid er blevet brugt, frem for hvor risikoen er størst, og ingen kan pege på hullerne, før en hændelse gør det.
Det skal I lade være med
- At skrive en erklæringstype ind som dækkende uden at læse omfanget · dækningen står i det konkrete dokument.
- At tælle egenkontrol som uafhængig sikkerhed · den er ledelsens egen.
- At lave kortet én gang · det forældes, når rapporter udløber.
Det skal gennemgangen kunne vise
- ☐ Et kort over cyberrisici og de kilder, der giver sikkerhed for hver.
- ☐ Dato og omfang for hver kilde.
- ☐ En vurdering af niveauet pr. risiko og de huller, kortet viser.
- ☐ Hvem der ejer kortet, og hvornår det sidst blev opdateret.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 9.5, læst 14. november 2026.
- IIA, The IIA’s Three Lines Model (2020, opdateret september 2024), s. 9, læst 14. november 2026.
- Department for Science, Innovation and Technology, Cyber Governance Code of Practice, princip E4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres fem største cyberrisici, og skriv for hver, hvem der sidst gav uafhængig sikkerhed for den.
Læs også: Auditkalenderen · Den britiske Cyber Governance Code of Practice som målestok
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
