En koncern kan revidere cybersikkerheden med egne folk, med en blanding af egne og eksterne eller ved at købe hele opgaven. IIA’s standarder gælder i alle tre modeller, og ansvaret for konklusionen bliver i funktionen og hos bestyrelsen, uanset hvem der udfører arbejdet.
Valget handler derfor mindre om, hvem der må gøre arbejdet, og mere om, hvem der kan stå inde for det over for revisionsudvalget.
Hvad standarderne siger om modellerne
Global Internal Audit Standards skelner ikke mellem en funktion af egne medarbejdere, en indkøbt funktion og en blandet. Standardernes ordliste skelner mellem outsourcing, hvor opgaven helt eller delvist ligger hos en ekstern part, og cosourcing, hvor egne og eksterne arbejder sammen.
Mangler funktionen selv viden på et område, lægger vejledningen til standard 3.1 op til at hente en uafhængig part ind. Standard 8.2 lader bestyrelsen tage bemandingen op hvert år, både antallet og kompetencerne, og vejledningen nævner outsourcing og gæsterevisorer som muligheder. Under standard 10.2 nævnes blandt andet geografisk kompleksitet, forskellige kulturer og sprog og forholdet mellem ansættelse og køb som hensyn ved bemanding.
IIA skriver desuden, at revisionschefen bevarer ansvaret for supervision af arbejdet, også når det udføres af andre.
Tre modeller side om side
Afvejningen er praksis. Tabellen samler de hensyn, der typisk indgår, og beløb indgår ikke.
- Egen kapacitet · Styrke: Kender koncernen og kan følge fund over år · Svaghed: Svær at holde bred nok på et område, der skifter hurtigt · Passer typisk, når: Cybersikkerhed er en stor og fast del af revisionsplanen
- Fælles løsning · Styrke: Egne folk ejer planen og konklusionen, eksterne bringer specialviden · Svaghed: Kræver styring af to parter og klar ansvarsfordeling · Passer typisk, når: Funktionen har en kerne, men mangler dybde på dele af området
- Rent køb · Styrke: Adgang til bred viden fra første dag · Svaghed: Funktionen skal stadig kunne vurdere og stå inde for arbejdet · Passer typisk, når: Cybersikkerhed revideres sjældent, eller der er ingen intern revision
Ansvaret flytter ikke med
Det vigtigste fællestræk er, at ansvaret bliver, hvor det var. Det går igen i alle de kilder, der er gennemgået her.
Efter IIA’s standarder skal bestyrelsen fortsat bakke funktionen op og føre tilsyn, og revisionschefen skal fortsat lede og kontrollere arbejdet.
Finanssektorens regler siger det samme med lovens ord. Bekendtgørelsen om revision i finansielle virksomheder for finansielle virksomheder tillader eksperter og outsourcing, men intern revisions ansvar for konklusionen mindskes ikke. DORA’s artikel 6, stk. 10, tillader, at opgaver med at efterprøve overholdelsen outsources til koncerninterne eller eksterne virksomheder, og den finansielle enhed forbliver fuldt ansvarlig.
Uden for finans er de to regelsæt en sammenligning, ikke et krav. Men de viser, at en lovgiver, der har taget stilling, har valgt at lade ansvaret blive i virksomheden.
DORA som målestok for kompetence
Efter DORA’s artikel 6, stk. 6, skal dem, der reviderer IKT-risikostyringen, kende IKT-risici godt nok og have den fornødne faglighed, og de skal være uafhængige nok. Jo større risiko, jo oftere og grundigere revision.
Kravet gælder kun finansielle enheder. For en anden koncern kan det bruges som et spørgsmål, revisionsudvalget kan stille uanset model: har dem, der reviderer cybersikkerheden, den viden og den uafhængighed, opgaven kræver?
Hvad koncernen skal kunne selv
Det er sitets vurdering, at selv ved rent køb skal funktionen kunne fire ting. Den skal kunne skrive opdraget, så omfang og spørgsmål passer til koncernens risici. Den skal kunne vurdere den eksterne parts metode, kvalifikationer og uafhængighed. Den skal kunne læse rapporten kritisk og afgøre, om konklusionerne bygger på tilstrækkeligt bevis. Og den skal kunne følge op på fundene bagefter.
Kan funktionen ikke det, er der ikke tale om en købt revision, men om en ekstern vurdering, som bestyrelsen modtager uden et internt led. Det kan være fint, men det skal kaldes det rette navn. Hvordan de to kan dele opgaven, står i artiklen om arbejdsdelingen.
Uafhængighed ved køb
Køber funktionen hjælp, gælder kravene til objektivitet også den eksterne part. Har den samme part rådgivet om eller indført de kontroller, den nu skal revidere, er der en interessekonflikt. Hvordan IIA trækker grænsen, er gennemgået i artiklen om rådgivning og revision i samme funktion.
Hvilke kompetencer der skal dækkes
Hvilke kompetencer cyberrevisionen kræver, kan læses ud af IIA’s krav om cybersikkerhed. Kravet dækker styring, risikostyring og kontrolprocesser, og den sidste del går ned i konfiguration, kryptering, patchning, netværk og kommunikationstjenester. Det er sitets vurdering, at få interne funktioner har dybde i alle tre områder på én gang.
En almindelig løsning er at lade egne folk dække styring og risikostyring og købe hjælp til de tekniske kontroller, men valget afhænger af koncernens risici. En koncern med enheder i flere lande kan desuden have brug for revisorer, der kan arbejde lokalt på sproget, og det kan tale for en blanding af egne og eksterne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en bevidst beslutning, som bestyrelsen genbesøger, når den årligt drøfter ressourcerne. Beslutningen bør sige, hvem der ejer opdraget, hvem der vurderer den eksterne parts arbejde, og hvem der skriver konklusionen.
Uden den beslutning ender koncernen let med en model, ingen har valgt. Eksterne rapporter går direkte videre, og ingen i funktionen kan forklare udvalget, hvorfor de kan bruges. Rapporterne kan være gode, men ingen i huset har afgjort, om de passer til koncernens risici, og ingen følger op på dem bagefter.
Det skal I lade være med
- At tro, at ansvaret følger med opgaven ud af huset · det bliver i funktionen og hos bestyrelsen.
- At købe hjælp hos den, der har bygget kontrollerne · det svækker objektiviteten.
- At vælge model én gang for alle · bestyrelsen drøfter ressourcerne hvert år.
Det skal gennemgangen kunne vise
- ☐ En beskrivelse af den valgte model og begrundelsen for den.
- ☐ Hvem der ejer opdraget, supervisionen og konklusionen.
- ☐ Referat af bestyrelsens årlige drøftelse af bemandingen.
- ☐ En vurdering af eksterne parters kvalifikationer og uafhængighed.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, Fundamentals, ordlisten og standard 3.1, 8.2 og 10.2, læst 14. november 2026.
- IIA, Quality Assurance and Improvement Program, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 6 og 10, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, bilag 4, pkt. 1.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem i jeres funktion der i dag kan vurdere en ekstern cyberrevisors metode og bevis.
Læs også: Sikkerhedsfunktionen er for lille til opgaven · Valg af auditor til en koncernvurdering
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
