En bred vurdering ser alle selskaber i koncernen, men med lav bevisdybde. En dyb vurdering ser få selskaber, men efterprøver kontrollerne. Valget afhænger af, hvad bestyrelsen skal kunne konkludere bagefter, og det skal stå åbent i rapporten.
Ingen regel afgør valget. Det er en afvejning, og den bliver bedre, når den træffes bevidst og skrives ned.
To slags konklusioner
En bred vurdering kan sige noget om koncernen som helhed: hvor stor afstanden er mellem politik og praksis, hvilke selskaber der skiller sig ud, og hvilke områder der er svage overalt. Den kan sjældent sige, om en bestemt kontrol virker i et bestemt selskab, fordi den bygger på selvrapportering, interview og dokumenter.
En dyb vurdering kan sige med høj sikkerhed, hvordan det står til i de valgte selskaber. Den kan ikke sige meget om resten, medmindre udvalget er en egentlig stikprøve, og de valgte selskaber ligner dem, der ikke blev set.
IIA’s standarder fra januar 2024 nævner i standard 11.3, at konklusioner på niveau med forretningsenheden eller organisationen kan være et forventet resultat af revisionens arbejde. Om en konklusion på koncernniveau kan bæres af en let gennemgang, er sitets vurdering: det kan den, når konklusionen formuleres i forhold til den bevisdybde, der er brugt.
Hvad bevisdybde betyder her
Bevisdybden er forskellen på, at et selskab siger, at en kontrol findes, at nogen har set et dokument, og at nogen har efterprøvet, at kontrollen virker. En bred vurdering ligger typisk på de to første trin. En dyb vurdering når det tredje. Begreberne er uddybet i spørgeskema, interview eller stikprøve.
I en koncern kan de to kombineres. En gængs model er en bred måling af alle selskaber efter samme skala og en dyb gennemgang af nogle få, valgt efter risiko. Den dybe del bruges så også til at kalibrere den brede: Viser det sig, at de dybt gennemgåede selskaber har vurderet sig selv for højt, er der grund til at tro, at de andre har gjort det samme.
Hvornår den brede vurdering er det rigtige valg
Den brede vurdering passer, når koncernen ikke har målt før og har brug for et første billede. Den passer også, når spørgsmålet er, om alle selskaber har de samme grundlæggende kontroller, og når bestyrelsen vil kunne sammenligne enhederne med hinanden.
Den brede vurdering har en svaghed, der bør stå i rapporten. Den finder sjældent de fund, der kun viser sig, når nogen ser på bevis. Et selskab kan svare ja til, at adgange gennemgås hvert halvår, selv om det sidst skete for to år siden.
Hvornår den dybe vurdering er det rigtige valg
Den dybe vurdering passer, når der er et konkret spørgsmål om bestemte selskaber: efter en hændelse, efter et opkøb, eller når et selskab driver noget, der er kritisk for hele koncernen. Den passer også, når en tidligere bred måling har vist et selskab, der skiller sig ud, og man vil vide hvorfor.
Den dybe vurderings svaghed er, at den kan give et skævt billede af koncernen, hvis resultatet bliver læst som om det gjaldt alle. Risikoen er størst, når en dyb gennemgang af de største selskaber står alene i bestyrelsespakken uden en linje om resten. Konklusionen skal holdes til de selskaber, der faktisk blev set.
Valget skal stå åbent i rapporten
For interne revisionsfunktioner lægger standard 9.4 en pligt på revisionschefen til at gøre ledelsen opmærksom på de huller, som knappe ressourcer efterlader, og til at begrunde, når et risikabelt område holdes ude. Princippet passer på enhver vurdering: de udeladte selskaber skal fremgå, sammen med grunden.
Det er praksis at skrive valget ind i rapportens første side: hvor mange selskaber der er set, med hvilken bevisdybde, og hvad konklusionen derfor kan og ikke kan bære.
Et tænkt eksempel
Tænk jer en koncern med tyve selskaber. Bestyrelsen spørger, om koncernen er klar til NIS2. En bred måling af alle tyve giver et billede af, hvor afstanden til baseline er størst, men ingen kan sige med sikkerhed, at de selskaber, der scorer højt, også har det, de siger. En dyb gennemgang af de fire omfattede selskaber giver sikkerhed for netop dem, men ingen viden om de seksten andre.
Svaret i eksemplet er en kombination: en let måling af alle tyve og en dyb gennemgang af de fire. Rapporten skriver tydeligt, hvilken del af konklusionen der hviler på hvad. Eksemplet er tænkt.
Valget over flere år
Valget behøver ikke være det samme hvert år. En gængs rytme er en bred måling det første år, dybe gennemgange af de svageste selskaber det næste, og en ny bred måling året efter for at se, om koncernen som helhed har flyttet sig. Hvordan det passer ind i en rullende plan, er beskrevet i flerårig auditplan.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at opdragsgiveren formulerer sit spørgsmål, før omfanget aftales, og at rapporten skriver bevisdybden ind ved konklusionen. Det er et spørgsmål om disciplin mere end om ressourcer.
Lader man være, ender koncernen med en bred måling, der læses som om den var dyb, eller en dyb gennemgang, der læses som om den gjaldt alle. I begge tilfælde træffer bestyrelsen beslutninger på et grundlag, der ikke bærer.
Det skal I lade være med
- At læse en bred selvrapportering som efterprøvet · den viser hensigt mere end virkning.
- At generalisere fra få dybe gennemgange til hele koncernen · konklusionen gælder de valgte.
- At udelade bevisdybden i rapportens konklusion · læseren skal vide, hvad tallet hviler på.
Det skal gennemgangen kunne vise
- ☐ Det spørgsmål, vurderingen skal besvare, skrevet før omfanget.
- ☐ Antal selskaber og bevisdybde for hver del af vurderingen.
- ☐ En konklusion, der er formuleret i forhold til bevisdybden.
- ☐ En begrundelse for fravalgte højrisikoselskaber.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4 og 11.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv bestyrelsens spørgsmål ned, og beslut ud fra det, hvor mange selskaber der skal ses, og med hvilken bevisdybde.
Læs også: Selvrapportering fra enhederne med central stikprøvekontrol · Hvor mange enheder skal besøges?
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
