En intern audit-funktion, der følger IIA’s standarder, skal have en ekstern kvalitetsvurdering mindst hvert femte år. Siden IIA’s særlige krav om cybersikkerhed trådte i kraft 5. februar 2026, ser vurderingen også på, om funktionen har begrundet de cyberkrav, den har valgt fra.
For revisionsudvalget er vurderingen en af de få uafhængige kilder til at vide, om den interne revision faktisk lever op til sin egen standard. Det gælder også den del af arbejdet, der handler om cybersikkerhed.
Hvad standard 8.4 kræver
Global Internal Audit Standards beskriver den eksterne kvalitetsvurdering i standard 8.4. Gengivet med egne ord:
- Plan · revisionschefen drøfter planen for den eksterne vurdering med bestyrelsen.
- Hyppighed · vurderingen sker mindst hvert femte år.
- Vurdereren · en kvalificeret og uafhængig vurderer eller gruppe. Mindst én i gruppen skal have en aktiv CIA-betegnelse, IIA’s certificering for interne revisorer.
- Alternativ · en selvevaluering med uafhængig validering.
- Bestyrelsens godkendelse · bestyrelsen godkender omfang, hyppighed, vurdererens kompetence og uafhængighed.
- Resultatet · bestyrelsen modtager det fulde resultat direkte fra vurdereren og godkender handlingsplaner og tidsplan.
IIA gengiver de samme hovedpunkter på sin side om kvalitetsprogrammet. Bestyrelsen får dermed sikkerhed om kvaliteten gennem programmet, også gennem sin egen direkte gennemgang af resultatet.
Det sidste punkt er værd at hæfte sig ved. Resultatet går til bestyrelsen fra vurdereren, ikke gennem revisionschefen. Det er en af de få steder i standarderne, hvor bestyrelsen får en kilde, funktionen ikke selv har redigeret.
Hvorfor cyber nu er en del af vurderingen
Ifølge IIA’s særlige krav om cybersikkerhed skal revisionen ved hver opgave om cybersikkerhed skrive ned, at hvert krav er vurderet for relevans, og gemme en begrundelse for hvert fravalg. Overensstemmelsen vurderes ved kvalitetsvurderingerne.
I IIA’s spørgsmål og svar fra februar 2025 står det mere direkte. Vurdereren læser begrundelserne for fravalgte krav, og hvis de mangler, eller hvis kravene er ignoreret, kan det tælle med, når vurdereren konkluderer, om funktionen følger standarden. IIA henviser desuden til sin manual for kvalitetsvurderinger og til test af to bestemte standarder. Manualen er ikke gennemgået her.
Konsekvensen for en koncern er enkel at forklare. Hvis den interne revision har revideret cybersikkerhed uden at gå kravene igennem, kan det blive et fund i den næste eksterne vurdering af funktionen.
Hvad revisionsudvalget kan bruge vurderingen til
Ingen regel beskriver, hvordan et udvalg skal læse en kvalitetsvurdering. Det følgende er praksis.
Udvalget kan spørge, om vurderingens omfang dækker opgaverne om cybersikkerhed, og om vurdereren har de kompetencer, det kræver at vurdere dem. Standarden lader bestyrelsen godkende både omfang og kompetence, så spørgsmålet hører hjemme, før vurderingen begynder.
Når resultatet foreligger, kan udvalget se efter tre ting: om der er fund om dokumentationen af cyberkravene, om der er fund om kompetencer, og om handlingsplanen har en ejer og en dato. Resultatet kan også lægges ved siden af funktionens egen årlige rapport. Siger de to forskellige ting, er det et emne for et møde med revisionschefen uden direktionen.
Det er også praksis at spørge, hvordan funktionen har forberedt sig på kravet om cybersikkerhed før vurderingen, fx om den har en skabelon for vurdering af relevans, og om den har set ældre opgaver igennem. Svaret siger noget om, hvor modent funktionen selv arbejder med området.
Selvevaluering med uafhængig validering
Standarden tillader en selvevaluering, der valideres af en uafhængig part. Det kan være en løsning for en mindre funktion. Valget skal stadig godkendes af bestyrelsen, og kravene til den uafhængige parts kompetence og uafhængighed gælder fortsat.
Det er sitets vurdering, at en selvevaluering især kræver omhu på cyberområdet. En funktion, der mangler cyberkompetencer i sine opgaver, mangler dem ofte også, når den vurderer sig selv.
Hvad vurderingen ikke er
Den eksterne kvalitetsvurdering er en vurdering af den interne audit-funktion. Den er ikke en vurdering af virksomhedens cybersikkerhed. En god kvalitetsvurdering siger, at funktionen arbejder efter sine standarder. Den siger ikke, at sikkerheden er god.
Den er heller ikke det samme som en ekstern sikkerhedsvurdering eller en modenhedsmåling. De to kan supplere hinanden, men de besvarer forskellige spørgsmål. Hvordan intern revision og en ekstern sikkerhedsvurdering deler arbejdet, står i intern revision og ekstern sikkerhedsvurdering.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen sætter tid af til at godkende omfang og vurderer, før arbejdet starter, og til at modtage resultatet direkte. Det kræver også, at funktionen har sin dokumentation for cyberkravene i orden, før vurdereren kommer.
Springer bestyrelsen godkendelsen over, bestemmer funktionen selv, hvem der vurderer den. Og mangler dokumentationen for cyberkravene, kan funktionen få et fund, der svækker tilliden til alle dens rapporter om cybersikkerhed. Udvalget mister desuden den ene kilde til viden om funktionens kvalitet, som funktionen ikke selv har formet.
Det skal I lade være med
- At lade revisionschefen alene vælge vurdereren · bestyrelsen godkender kompetence og uafhængighed.
- At modtage resultatet gennem funktionen · standarden lader det gå direkte til bestyrelsen.
- At læse en god kvalitetsvurdering som bevis på god cybersikkerhed · den vurderer funktionen, ikke sikkerheden.
Det skal gennemgangen kunne vise
- ☐ Dato for seneste eksterne kvalitetsvurdering og planen for den næste.
- ☐ Bestyrelsens godkendelse af omfang, vurderer og hyppighed.
- ☐ Om omfanget har dækket opgaver om cybersikkerhed og begrundelser for udeladte krav.
- ☐ En handlingsplan med ejer og tidsplan, godkendt af bestyrelsen.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 8.3 og 8.4, læst 14. november 2026.
- IIA, Quality Assurance and Improvement Program, læst 14. november 2026.
- IIA, Cybersecurity Topical Requirement, februar 2025, læst 14. november 2026.
- IIA, Cybersecurity Topical Requirement Questions and Answers, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoen for funktionens seneste eksterne kvalitetsvurdering, og spørg, om den næste dækker cyberkravene.
Læs også: Global Internal Audit Standards · Revisorlovens § 31
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
