Uenighed om en score er normal, og den er nyttig, hvis den håndteres efter faste regler. En enhed, der kan pege på bevis, som auditoren har overset, skal have scoren rettet. En enhed, der blot er utilfreds, skal have en begrundet afvisning. Begge dele skal dokumenteres.
Det farlige er uenighed, der løses ved forhandling. Hvis den enhed, der protesterer mest, får den højeste score, mister målingen sin værdi for alle de andre.
Kalibrering som en del af metoden
ENISA’s NIS360 er ikke en måling af virksomheder, men af hele sektorer i EU. Metoden er alligevel et godt eksempel. Tredje udgave fra maj 2026 beskriver i bilag B, at data kalibreres for bl.a. indbyggede skævheder i selvvurdering og forskellig fortolkning af kriterierne for modenhed og kritikalitet. ENISA skriver samtidig, at målet er vurderinger, der stemmer så godt overens, at kalibrering bliver unødvendig.
Det er sitets brug af eksemplet, at en måler med respekt for sine tal skriver kalibreringen ind i metoden fra start. Den samme tanke kan bruges i en koncern. Indsigelser er ikke en undtagelse, der håndteres fra sag til sag. De er en fast del af processen.
Indsigelsesvejen og dokumentationen er derudover praksis.
En fast vej i fem trin
Det er sitets forslag at give alle enheder samme vej for indsigelser.
- Udkast til enheden · enheden får sit enhedsbillede og sine fund som udkast med en frist for bemærkninger.
- Skriftlig indsigelse med bevis · en indsigelse skal pege på et konkret område eller fund og vedlægge det bevis, som enheden mener ændrer vurderingen.
- Vurdering af auditoren · auditoren vurderer beviset efter samme kriterier som før og skriver en kort begrundelse.
- Kalibrering ved tvivl · er der fortsat uenighed, går sagen til en funktion, der ser på tværs af enheder, fx anden linje.
- Afgørelse og log · afgørelsen står i en log med indsigelsen, beviset, begrundelsen og den endelige score.
Det vigtige er, at beviset bedømmes efter de samme kriterier som alle andre enheders. En enhed får ikke en højere score, fordi den skriver en længere indsigelse.
Hvad der kan ændre scoren, og hvad der ikke kan
Det er praksis at skelne mellem tre slags indsigelser.
- Bevis, der fandtes, men ikke blev set · fx en procedure, der blev overset ved dokumentanmodningen. Ændrer scoren, hvis beviset holder.
- Forhold, der er rettet efter målingen · ændrer ikke scoren på målingstidspunktet. Kan noteres og ses ved næste måling.
- Uenighed om kriteriet · fx at enheden mener, at et område ikke bør gælde for den. Afgøres centralt og gælder så for alle enheder.
Den sidste type er den mest værdifulde. Når flere enheder er uenige i samme kriterium, kan det være kriteriet, der skal præciseres.
Når enheden er uenig i et fund
Uenighed om et enkelt fund følger samme vej. Det er praksis, at et fund, der fastholdes trods indsigelse, står i rapporten med en note om, at enheden er uenig, og hvorfor. Det giver ledelsen et ærligt billede og gør det klart, at uenigheden er hørt.
Uenighed i en audit generelt behandles på sitet om den almene auditmetode. Når kunde og leverandør er uenige om et fund, hører det hjemme på sitet om leverandøraudit.
Uenighed som oplysning til næste år
Loggen over indsigelser er et værdifuldt materiale. Den viser, hvilke kriterier der er uklare, hvilke beviser enhederne har svært ved at finde frem, og hvor auditoren har ramt ved siden af. Det er god praksis at gennemgå loggen, før næste måling planlægges, og at præcisere kriterier og dokumentanmodning ud fra den.
Det styrker også måleserien. Når kriterierne præciseres mellem målingerne, skal det stå i metoden, så en ændring i scoren ikke forveksles med en ændring i sikkerheden.
Hvem afgør i sidste ende
Det bør stå i metoden, hvem der har det sidste ord. I mange koncerner er det den funktion, der har bestilt målingen, fx koncernens CISO eller den interne revision. Enhedens ledelse kan altid få sin uenighed noteret, men den kan ikke selv ændre sin score. Den arbejdsdeling bør meldes ud, før målingen begynder, så ingen bliver overrasket.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig proces for indsigelser, en frist, en funktion til kalibrering og en log. Det kræver også, at ledelsen bakker op, når en indsigelse afvises.
Lader man være, bliver uenighed løst i telefonen eller på gangen. Scoren flytter sig for de enheder, der har mest gennemslagskraft, og måleserien kan ikke længere bruges til at sammenligne enhederne.
Det skal I lade være med
- At ændre scoren uden nyt bevis · så er den forhandlet.
- At tælle rettelser efter målingen med · de hører til næste måling.
- At slette uenigheden fra rapporten · noter den, og skriv begrundelsen.
Det skal gennemgangen kunne vise
- ☐ En skriftlig proces for indsigelser med frist.
- ☐ En log med indsigelser, bevis, begrundelse og afgørelse.
- ☐ Kalibrering på tværs af enheder ved tvivl.
- ☐ Præciserede kriterier efter gennemgang af loggen.
Kilder
- ENISA NIS360, tredje udgave, 28. maj 2026, bilag B, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de fem trin ned som en side i målingens metode, og send den til enhederne, før næste måling begynder.
- Nøgletal og rapportering til bestyrelse og revisionsudvalg
- Selvrapportering fra enhederne med central stikprøvekontrol
Læs også: Alvorlighedsgrader for fund · Når scoren falder
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
