En fælles auditkalender samler alle de gennemgange, der rammer koncernens selskaber i løbet af året: intern revision, den eksterne revisors IT-gennemgang, certificeringsaudits, myndighedstilsyn, kunders kontrolbesøg og koncernens egen modenhedsmåling. Formålet er, at det samme selskab ikke svarer på de samme spørgsmål tre gange, og at intet område falder mellem to gennemgange.
Kalenderen er et praktisk redskab for de selskaber, der skal tage imod, men den har også en styringsværdi. Den viser bestyrelsen, hvem der giver sikkerhed for hvad, og hvor der er huller.
Hvad standarderne siger om koordinering
IIA’s globale standarder for intern revision fra januar 2024 kræver i standard 9.5, at revisionschefen arbejder sammen med de øvrige interne og eksterne, der giver sikkerhed, og overvejer at bygge på deres arbejde. Standarden begrunder det med, at koordinering mindsker dobbeltarbejde og viser huller i dækningen af nøglerisici.
Vejledningen til standarden nævner en række måder at koordinere på: at synkronisere tidspunkt og omfang, at bruge fælles begreber, at give adgang til hinandens rapporter, at have et fælles risikoregister og en samlet rapportering. Den nævner også et assurancekort, en matrix over risici og hvem der giver sikkerhed for dem. Blandt de interne leverandører nævnes bl.a. informationssikkerhed, compliance og risikostyring.
Vejledningen til standard 9.4 tilføjer, at revisionen ved tidsplanlægningen bør overveje tidsplanen for eksterne revisioner og myndighedsgennemgange. Standarderne gælder interne revisionsfunktioner, men ideen er den samme for den, der styrer koncernens måling.
Hvem der banker på i løbet af et år
I en større koncern kan et enkelt datterselskab i løbet af et år få besøg af mange forskellige. Det er praksis at skrive dem op, før kalenderen bygges.
- Intern revision · Typisk afsender: Koncernens egen funktion · Hvad den ser på: Risici og kontroller efter revisionsplanen
- Revisors IT-gennemgang · Typisk afsender: Den eksterne revisor · Hvad den ser på: IT-kontroller med betydning for regnskabet
- Certificeringsaudit · Typisk afsender: Certificeringsorgan · Hvad den ser på: Ledelsessystemet mod standarden
- Myndighedstilsyn · Typisk afsender: Tilsynsmyndighed · Hvad den ser på: Lovkrav for omfattede enheder
- Kunders kontrolbesøg · Typisk afsender: Kunder med kontraktlig revisionsret · Hvad den ser på: Kontroller, der beskytter kundens data og leverance
- Modenhedsmåling · Typisk afsender: Koncernen selv eller ekstern · Hvad den ser på: Modenhed efter koncernens skala
Kunders kontrolbesøg er et særligt kapitel for koncerner, der selv er leverandører. Store kunder har ofte revisionsret i kontrakten og bruger den. Besøgene har ingen kilde i de standarder, artiklen bygger på; at de bør med i kalenderen, er praksis. Hvordan revisionsretten virker set fra kunden og leverandøren, er beskrevet under kontrol af leverandører.
Hvordan kalenderen bygges
En gængs opbygning har selskaberne som rækker og månederne som kolonner. Hver gennemgang står med afsender, omfang og kontaktperson. Kalenderen ejes centralt, typisk af den, der styrer koncernens auditprogram, og selskaberne melder kendte besøg ind.
Det vigtigste felt er omfanget. To gennemgange, der begge handler om adgangsstyring i det samme selskab, kan ofte lægges sammen eller bygge på hinanden. To gennemgange, der bare ligger i samme måned, giver ikke den samme gevinst.
Genbrug af svar og bevis
Når kalenderen viser, at den samme kontrol bliver set af flere, kan beviset samles én gang. Et selskab, der har lagt dokumentation for sin gendannelsestest frem for revisor i foråret, kan lægge den samme dokumentation frem for koncernens måling i efteråret, hvis testen stadig er den seneste.
IIA’s standard 9.5 siger, at hvis revisionen bygger på andres arbejde, skal grundlaget dokumenteres, og revisionen beholder ansvaret for sine egne konklusioner. Det gælder på samme måde for en modenhedsmåling. Den kan bruge andres bevis, men den skal selv vurdere, om beviset er tilstrækkeligt.
Kalenderen og koncernscoren
Kalenderen kan også bruges til at forklare udsving i koncernscoren. Har et selskab haft et tilsyn og lukket fund lige før målingen, kan scoren stige mere end normalt. Har et andet selskab været igennem tre gennemgange på et halvt år, kan svarene i målingen være præget af træthed. Det er sitets vurdering, at sådanne forhold bør stå i noterne til enhedsbilledet.
Et tænkt eksempel
Tænk jer et datterselskab, der i løbet af ét år får besøg af den eksterne revisor i februar, af en stor kunde i april, af certificeringsorganet i juni og af koncernens modenhedsmåling i oktober. Alle fire spørger til adgangsstyring, tre spørger til backup, og to spørger til leverandørstyring. Med en fælles kalender kan koncernen se det i januar, lægge modenhedsmålingen i forlængelse af certificeringsaudit og bede selskabet samle beviset for adgang og backup én gang. Eksemplet er tænkt.
Assurancekortet ved siden af
Kalenderen viser hvornår og hos hvem. Et assurancekort viser hvad. Sammen giver de bestyrelsen et billede af, hvilke områder der får sikkerhed fra flere sider, og hvilke der ikke får nogen. Hvordan kortet bygges, er beskrevet i assurance-kortet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at én person ejer kalenderen, at selskaberne melder besøg ind, og at omfanget af hver gennemgang beskrives kort. Arbejdet er størst første år. Derefter opdateres kalenderen løbende.
Uden kalender bruger selskaberne tid på at svare på de samme spørgsmål flere gange, og koncernen mister overblikket over, hvem der har set hvad. Dertil kommer, at huller ikke bliver opdaget, fordi alle går ud fra, at en anden har kigget.
Det skal I lade være med
- At lægge gennemgange sammen ud fra datoen alene · det er omfanget, der afgør gevinsten.
- At bruge andres bevis uden selv at vurdere det · ansvaret for konklusionen flytter ikke.
- At glemme kundernes kontrolbesøg · de rammer ofte de samme selskaber som koncernens egen måling.
Det skal gennemgangen kunne vise
- ☐ En fælles kalender med alle kendte gennemgange pr. selskab.
- ☐ Omfang og kontaktperson for hver gennemgang.
- ☐ Dokumentation for, hvornår og hvordan andres bevis er brugt.
- ☐ En oversigt over områder, som ingen gennemgang dækker i året.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4 og 9.5, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed hvert selskab om at melde årets kendte gennemgange ind, og læg dem i én kalender med omfang.
Læs også: Intern revision og ekstern sikkerhedsvurdering · Flerårig auditplan
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
