Auditprogram over flere år

Ingen større koncern kan gennemgå alle selskaber og alle sikkerhedsområder hvert år. Spørgsmålet er derfor, hvad der bliver set i år, hvad der venter, og hvordan bestyrelsen ved det. Et auditprogram fordeler gennemgangene over en cyklus, vælger årets områder efter en regel og koordinerer med intern revision, revisor og kunders kontrolbesøg. Artiklerne her beskriver, hvordan programmet bygges, afgrænses og bestilles, og hvordan auditoren vælges, så måleserien holder.

Temaet er skrevet til den, der styrer programmet, ofte CISO eller revisionschefen, og til revisionsudvalget, der godkender planen. Den almene auditmetode for den enkelte gennemgang findes under sikkerhedsaudit trin for trin. Her handler det om koncernen og serien.

Planen og programmet

• Flerårig auditplan: rullende dækning af koncernen Rullende dækning over en cyklus.
• Risikobaseret udvælgelse: sådan vælges årets auditområder Fire kriterier, vægtet ens.
• ISO 19011:2026 for den, der styrer et auditprogram Vejledning for programstyring.
• Auditprogrammets egne nøgletal: dækning, gennemløbstid og lukkede fund Programmet målt på sig selv.
• Auditkalenderen: koordinering med intern revision, revisor og kunders kontrolbesøg Alle gennemgange i én kalender.

Omfang og afgrænsning

• Afgrænsning af en koncernvurdering: enheder, systemer, lokationer og spørgsmål Fire valg før omfanget.
• Bred eller dyb: hele koncernen let eller få enheder grundigt? Bevisdybde mod bredde.
• Måling midt i en forandring: ERP-skifte, reorganisering eller outsourcing Udskyde, afgrænse eller måle før.
• Forretningsprocesser som udgangspunkt for omfanget i stedet for systemlisten Processerne frem for listen.
• Vurdering uden en samlet aktivoversigt Manglen som fund.

Bestilling, materiale og auditor

• Hvem bestiller: bestyrelse, revisionsudvalg, direktion eller CISO? Bestilleren sætter mandatet.
• Dokumentanmodningen til en koncernvurdering: det materiale, der bedes om først Materialet fra to niveauer.
• Hvad påvirker omfanget af en koncernvurdering, og hvordan får I et tilbud? Seks forhold, der styrer omfanget.
• Tilbud på en modenhedsvurdering: skala, bevisdybde, antal enheder og leverancer Fire ting at lægge ved siden af hinanden.
• Valg af auditor til en koncernvurdering: spørgsmål til tilbuddet Spørgsmålene, der skiller tilbuddene.
• Samme auditor hvert år eller skift? Kontinuitet i måleserien mod friske øjne Kontinuitet eller friske øjne.

Hvad det kræver, og hvad det koster at lade være

Et program over flere år kræver en ejer, en cyklus, der er godkendt af revisionsudvalget eller bestyrelsen, og en regel for, hvordan årets områder vælges. Det kræver også, at programmet koordineres med de andre gennemgange, der rammer selskaberne, og at det selv måles på dækning og opfølgning. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Uden et program bliver gennemgangene bestilt fra sag til sag. De samme selskaber bliver set flere gange, mens andre går fri i årevis, og ingen kan sige, hvad der ikke blev set. Skift af auditor og metode sker uden plan, og serien mister sin værdi som sammenligning.

Det skal I lade være med

• At vælge årets områder uden en regel · valget skal kunne forklares.
• At sende samme spørgsmål til et selskab tre gange · samordn kalenderen.
• At sammenligne tilbud på overskriften · skala og bevisdybde skal ligge side om side.
• At skifte auditor uden at sikre skalaen · serien skal kunne fortsætte.

Det skal gennemgangen kunne vise

• ☐ Hvilke selskaber og områder der er dækket i cyklussen, og hvilke der venter.
• ☐ Hvordan årets områder blev valgt.
• ☐ Hvordan programmet er koordineret med intern revision og revisor.
• ☐ Hvilken skala og bevisdybde auditoren har brugt.

Senest gennemgået: november 2026.

Næste skridt

• Flerårig auditplan
• Afgrænsning af en koncernvurdering

Læs også: Den interne audit-funktion · Typiske fund i store organisationer

→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT