DORA lægger godkendelsen af de interne IKT-revisionsplaner hos ledelsesorganet i den finansielle enhed. Bestyrelsen skal godkende og jævnligt gennemgå planerne, revisionerne og væsentlige ændringer, og det kræver, at den ved, hvad den skal se efter.
En revisionsplan kan se fyldestgørende ud på papiret. Spørgsmålet for bestyrelsen er, om den dækker de IKT-risici, enheden faktisk har, og om fravalgene er begrundet.
Ordlyden
Artikel 5, stk. 2, i forordning (EU) 2022/2554 siger, at ledelsesorganet fastlægger, godkender, fører tilsyn med og har ansvar for gennemførelsen af rammen for IKT-risikostyring. Litra f siger, at ledelsesorganet “godkender og regelmæssigt gennemgår den finansielle enheds interne IKT-revisionsplaner, IKT-revisioner og væsentlige ændringer heraf”.
Bestemmelsen står sammen med en række andre opgaver i samme stykke. Ledelsesorganet har det endelige ansvar for IKT-risikoen (litra a), sørger for klare roller og ansvar (litra c), fastlægger strategien og risikotolerancen (litra d) og afsætter budget (litra g). Efter stk. 4 skal medlemmerne holde deres viden og færdigheder om IKT-risici ajour.
Kravet har gjaldt siden 17. januar 2025. Enheder under den forenklede ordning i artikel 16 er ikke omfattet af artikel 5.
Hvad godkendelsen betyder i praksis
Litra f bruger tre ord, der hver har sin betydning. Bestyrelsen godkender planerne. Den gennemgår dem regelmæssigt, også de revisioner, der er udført. Og den godkender væsentlige ændringer. En godkendelse én gang om året af et dokument, der derefter ændres uden bestyrelsens viden, opfylder ikke ordlyden.
Hvad der er en væsentlig ændring, står ikke i artikel 5. Det er praksis at aftale kriterierne med revisionschefen på forhånd, fx at en revision udskydes, at et område tages ud, eller at et nyt område kommer ind efter en hændelse.
Hvad bestyrelsen bør se i planen
Artikel 5 og 6 beskriver ikke planens indhold, ud over at intern revision efter artikel 6, stk. 6, sker efter revisionsplanen, og at revisionens omfang skal passe til risikoen. Spørgsmålene nedenfor er derfor praksis. De bruger IIA’s standard 9.4 for revisionsplaner som målestok.
- Bygger planen på en dokumenteret risikovurdering, der højst er et år gammel? · Standard 9.4 kræver en vurdering mindst én gang om året
- Er IT-styring dækket? · Standard 9.4 beder planen overveje dækning af IT-styring
- Er der højrisikoområder uden en revision, og er fravalget begrundet? · Efter standard 9.4 meddeles begrundelsen til bestyrelse og direktion
- Står hyppigheden i forhold til risikoen? · Artikel 6, stk. 6
- Har revisorerne den viden og uafhængighed, områderne kræver? · Artikel 6, stk. 6
- Er outsourcede efterprøvninger med, og er ansvaret beskrevet? · Artikel 6, stk. 10
IIA’s standarder er en forpligtelse for revisionsfunktionen, ikke for bestyrelsen. Men de giver bestyrelsen et ordforråd, når den skal spørge, og de er velkendte for de fleste revisionschefer.
Planen i en finansiel koncern
I en koncern med flere finansielle enheder har hver enheds ledelsesorgan opgaven efter litra f. Er den interne revision samlet i moderselskabet, er det praksis at lave én koncernplan med en tydelig opdeling pr. enhed, så hver bestyrelse kan se og godkende sin del. Revisionsbekendtgørelsen for finansielle virksomheder giver mulighed for, at funktionsbeskrivelsen udarbejdes for koncernen og tiltrædes af koncernvirksomhedernes bestyrelser.
Bestyrelsens egen viden
Stk. 4 kræver, at medlemmerne holder deres viden ajour. En bestyrelse, der skal godkende en IKT-revisionsplan, skal kunne vurdere, om planen rammer de vigtigste risici. Det er praksis at lade revisionschefen præsentere planen sammen med risikovurderingen bag, så bestyrelsen kan se sammenhængen og ikke kun en liste over opgaver.
Gennemgangen af de udførte revisioner
Litra f nævner både planerne og selve IKT-revisionerne. Det er sitets tolkning, at bestyrelsen dermed også skal se resultaterne og ikke kun planen. En praktisk løsning er en fast oversigt på hvert møde med udførte revisioner, de vigtigste konklusioner og status for opfølgningen efter artikel 6, stk. 7.
Oversigten kan holdes kort. Det vigtigste er, at bestyrelsen kan se forskellen mellem plan og virkelighed: hvad der var planlagt, hvad der er gennemført, og hvad der er udskudt.
Sammenhængen med resten af artikel 5
Litra f står ikke alene. Strategien og risikotolerancen efter litra d giver bestyrelsen et grundlag for at vurdere, om planen ser på de rigtige ting. Rollerne efter litra c afgør, hvem der skal revideres. Og budgettet efter litra g afgør, om planen kan gennemføres.
Det er praksis at lægge de fire ved siden af hinanden én gang om året, så bestyrelsen kan se, om planen passer til den risiko, den selv har accepteret. En plan, der dækker meget, men som ikke kan bemandes, giver ikke den sikkerhed, godkendelsen lover.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at IKT-revisionsplanen er et selvstændigt punkt på bestyrelsens dagsorden, med risikovurderingen og en liste over fravalgte områder som bilag. Det kræver også aftalte kriterier for, hvornår en ændring skal forelægges.
Uden det bliver godkendelsen en formalitet. Bestyrelsen har godkendt en plan, men kan ikke vise, at den har gennemgået revisionerne eller de ændringer, der kom undervejs. Bestyrelsen står så med et ansvar efter forordningen, som den ikke har haft grundlag for at løfte. Det er ikke et spørgsmål om mere papir. Det handler om, at bestyrelsen faktisk har set, hvad der revideres, hvad der ikke revideres, og hvorfor. Når det er på plads, tager godkendelsen sjældent lang tid, fordi grundlaget allerede er kendt.
Det skal I lade være med
- At godkende planen uden risikovurderingen bag · bestyrelsen kan ikke se, om den rammer.
- At lade væsentlige ændringer gå uden om bestyrelsen · litra f nævner dem udtrykkeligt.
- At læse IIA’s standarder som krav til bestyrelsen · de er en målestok, ikke en pligt.
Det skal gennemgangen kunne vise
- ☐ Bestyrelsens godkendelse af IKT-revisionsplanen med dato.
- ☐ Referat af bestyrelsens gennemgang af udførte IKT-revisioner.
- ☐ Aftalte kriterier for væsentlige ændringer og godkendelse af dem.
- ☐ En liste over højrisikoområder uden revision og begrundelsen.
Kilder
- Forordning (EU) 2022/2554 (DORA), artikel 5, stk. 2 og 4, artikel 6, stk. 6 og 10, artikel 16 og artikel 64, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, § 23, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed revisionschefen om at lægge risikovurderingen og listen over fravalgte områder ved næste IKT-revisionsplan.
Læs også: Risikobaseret udvælgelse · Flerårig auditplan
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
