Et auditprogram, der måler koncernens sikkerhed, bør selv måles. Fem nøgletal dækker det meste: dækning i forhold til planen, andel af nøglerisici gennemgået, gennemløbstid fra fund til lukning, andel af fund lukket til tiden og interessenternes tilfredshed.
Nøgletallene giver revisionsudvalget et grundlag for at vurdere, om programmet leverer det, der blev godkendt, og de gør det muligt at evaluere programmet hvert år.
Hvad standarderne for intern revision kræver
Standard 12.2 i IIA’s globale revisionsstandarder fra 2024 stiller krav om, at revisionschefen fastsætter mål for funktionens præstation, en metode til at måle dem og en handlingsplan. Standarden gælder interne revisionsfunktioner. For en koncern, hvor programmet styres af anden linje, er den et forbillede.
Vejledningen nævner eksempler på målekategorier:
- Dækning af de opgaver, mandatet forventer.
- Andel af nøglerisici og kontroller, der er gennemgået.
- Andel af den godkendte plan, der er gennemført til tiden.
- Andel af anbefalinger eller handlingsplaner, ledelsen har gennemført med det ønskede resultat.
- Interessenternes tilfredshed.
- Balancen mellem assurance- og rådgivningsopgaver.
Standarden tilføjer et vigtigt forbehold til det fjerde punkt. Andelen af gennemførte handlingsplaner afspejler ikke alene revisionens præstation, fordi ledelsen har ansvaret for at gennemføre dem.
Nøgletal pr. selskab og for koncernen
I en koncern giver nøgletallene mest mening på to niveauer. På koncernniveau viser de, om programmet holder planen. Pr. selskab viser de, hvor fundene hober sig op, og hvor lukningen går i stå.
- Dækning · Koncernniveau: Andel af planlagte selskaber og områder gennemgået · Selskabsniveau: Seneste gennemgang pr. område
- Gennemløbstid · Koncernniveau: Median fra fund til verificeret lukning · Selskabsniveau: Ældste åbne fund
- Lukkede fund · Koncernniveau: Andel lukket inden fristen · Selskabsniveau: Antal åbne fund over fristen
- Gentagne fund · Koncernniveau: Andel fund, der også stod i sidste rapport · Selskabsniveau: Fund, der går igen i samme selskab
Opdelingen er sitets forslag. Den gør det muligt at se, om et godt koncerntal dækker over to selskaber, hvor intet bliver lukket. Den gør det også lettere at tale med de lokale ledere, fordi hvert selskab kan se sine egne tal ved siden af koncernens og forstå, hvor det selv trækker gennemsnittet op eller ned.
Gennemløbstid er sitets forslag
Ingen kilde nævner gennemløbstid som nøgletal for et auditprogram. Det er sitets forslag at måle tiden fra et fund registreres, til det er verificeret lukket. Tallet siger noget, som andelen af lukkede fund ikke siger: om lukningen sker hurtigt, eller om fundene først lukkes lige før næste gennemgang.
Det er vigtigt at skelne mellem den dato, enheden melder fundet løst, og den dato, lukningen er efterprøvet. Bruges den første, bliver gennemløbstiden kunstigt kort. Rollerne bag de to datoer er forklaret i lukning af fund i tre linjer.
Status og frister
Efter IIA’s standard 15.2 skal revisorerne bekræfte, at ledelsen har gennemført anbefalingerne, og opdatere status i et opfølgningssystem. Er en frist overskredet, skal ledelsens forklaring indhentes og dokumenteres. Det giver det datagrundlag, nøgletallene bygger på.
For finansielle enheder kræver DORA i artikel 6, stk. 7, en formel opfølgning, hvor kritiske resultater af IKT-revisioner bliver efterprøvet og rettet inden for en rimelig frist. Efter artikel 27, stk. 2, litra h, i den delegerede forordning 2024/1774 skal rapporten om gennemgangen af IKT-risikorammen for hver svaghed angive foranstaltninger, forventet dato, status og om fristen er i fare. Begge regelsæt gælder kun finansielle enheder, men felterne er et brugbart forbillede for et fundregister i enhver koncern.
Hvor nøgletallene snyder
Et højt antal lukkede fund kan skyldes, at fundene var små. Et lavt antal kan skyldes, at de største fund kræver investeringer, som bestyrelsen endnu ikke har besluttet. Nøgletallene bør derfor vises sammen med fundenes alvorlighed.
Dækning kan også pyntes. Tælles et selskab som dækket, når der er sendt et spørgeskema, men ingen har set et bevis, siger tallet mindre, end det ser ud til. Det er sitets anbefaling, at dækning kun tælles, når gennemgangen har nået den bevisdybde, planen lover.
Hvem nøgletallene er til
Nøgletallene har tre modtagere. Revisionsudvalget bruger dem til at vurdere, om programmet holder det, der blev godkendt. Direktionen bruger tallene pr. selskab til at se, hvor lukningen går i stå, og hvor ledelsen lokalt skal presses. Den, der styrer programmet, bruger dem til at justere plan og ressourcer.
Det er praksis at vise de samme tal for alle tre, men i forskellig detalje. Udvalget har brug for koncerntallet og de få selskaber, der skiller sig ud. Direktionen har brug for hele listen.
Den årlige evaluering
En gængs praksis er at evaluere programmet én gang om året sammen med revisionsudvalget. Evalueringen ser på nøgletallene, på om planens prioriteringer holdt, og på om de fravalgte områder stadig kan vente. Den munder ud i ændringer til næste års plan.
Registret, som nøgletallene trækkes fra, er beskrevet nærmere i fundregistret for hele koncernen.
Hvad det kræver, og hvad det koster at lade være
Det kræver et fundregister, hvor datoer og status registreres ens i alle selskaber, og et fast sæt nøgletal, der ikke ændres hvert år. Når registret er på plads, kan tallene trækkes uden meget ekstra arbejde.
Uden egne nøgletal ved ingen, om programmet virker. Revisionsudvalget kan se, at der laves gennemgange, men ikke om de dækker det godkendte, og om fundene faktisk bliver lukket.
Det skal I lade være med
- At bruge enhedens egen melding som lukkedato · tallet bliver for pænt.
- At tælle et spørgeskema som dækning · dækning kræver den lovede bevisdybde.
- At skifte nøgletal hvert år · så kan programmet ikke sammenlignes med sig selv.
Det skal gennemgangen kunne vise
- ☐ Et fast sæt nøgletal for programmet med definitioner.
- ☐ Tal pr. selskab og for koncernen.
- ☐ Forskellen mellem meldt og verificeret lukning.
- ☐ En dokumenteret årlig evaluering med beslutninger om næste plan.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 12.2 og 15.2, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 7, læst 14. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 27, stk. 2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg fire nøgletal for programmet, skriv deres definitioner ned, og træk dem første gang pr. selskab.
Læs også: Flerårig auditplan · Nøgletal, ingen kan handle på
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
