Når et fælles servicecenter driver identitetsstyring, netværk eller backup for hele koncernen, ejer servicecentret kontrollen, men enheden ejer stadig risikoen for sine egne processer. Et fund i en fælles tjeneste hører hjemme hos servicecentret. Enheden skal vide, at fundet findes, og hvad det betyder for den.
Uden den opdeling sker der to ting. Enhederne bliver målt på noget, de ikke styrer, og fund i de fælles tjenester bliver gentaget i hver enkelt enheds rapport uden at nogen tager dem.
Tre linjer og fælles tjenester
IIA’s Three Lines Model beskriver, at roller i første og anden linje kan være blandet eller adskilt, og at ansvaret for at styre risiko forbliver hos ledelsen og første linje. Modellen understreger, at linjerne er roller og ikke afdelinger. Et servicecenter kan altså udføre første linjes drift for mange enheder, uden at enhedernes ledelse slipper sit ansvar for, at deres egne processer er beskyttet.
For målingen er konsekvensen, at både servicecentret og enheden har noget at blive målt på, men ikke det samme.
Sådan deles kontrollerne op
- Identitetsstyring · Ejes af servicecentret: (Den tekniske løsning, opsætning, logning) · Ejes af enheden: (Hvem der skal have adgang, og at fratrædelser meldes)
- Backup · Ejes af servicecentret: (Kørsel, opbevaring, test af gendannelse) · Ejes af enheden: (Hvilke data der er kritiske, og hvor hurtigt de skal tilbage)
- Netværk · Ejes af servicecentret: (Fælles net, firewall, segmentering) · Ejes af enheden: (Lokale enheder og udstyr tilsluttet nettet)
- Klienter · Ejes af servicecentret: (Standardopsætning og opdateringer) · Ejes af enheden: (Lokale undtagelser og særlige maskiner)
Eksemplerne i tabellen er tænkte. Den konkrete opdeling afhænger af, hvad servicecentret leverer. Det vigtige er, at opdelingen er skrevet ned og kendt af begge parter.
Hvem ejer fundet?
Et fund placeres hos den, der ejer kontrollen. Mangler test af gendannelse i den fælles backup, er det servicecentrets fund. Har enheden ikke meldt, hvilke data der er kritiske, er det enhedens.
En praktisk regel er, at fund i fælles tjenester registreres én gang, hos servicecentret, og at hver berørt enhed får en henvisning til fundet. Så står fundet ikke tyve gange i rapporten, og det er tydeligt, hvem der skal lukke det. Et fælles fundregister, hvor fund kan knyttes til flere enheder, gør det lettere.
Scoren for den enkelte enhed
Hvordan skal en fælles tjeneste tælle i enhedens score? Der er to almindelige måder. Den ene er at lade enheden arve servicecentrets score på de områder, centret ejer. Den anden er at holde de fælles områder ude af enhedens score og vise dem særskilt.
Den første giver et samlet billede af den risiko, enheden faktisk står med. Den anden viser bedre, hvad enhedens egen ledelse har gjort. Mange koncerner viser begge tal side om side: enhedens egen indsats og den samlede risiko inklusive de fælles tjenester. Vælg én måde og hold fast i den, så måleserien kan sammenlignes over tid. Skriv valget ind i metodebeskrivelsen.
Servicecentret som leverandør
Er en enhed omfattet af NIS 2, skal den selv have passende foranstaltninger, også for sikkerheden i forsyningskæden (NIS 2-loven § 6, stk. 1, nr. 4). Om et koncerninternt servicecenter skal behandles som leverandør i den forstand, siger loven ikke direkte. Artiklen anbefaler det, men det er en tolkning og ingen juridisk vurdering.
I praksis betyder tolkningen, at enheden bør have en beskrivelse af, hvad servicecentret leverer, med hvilke sikkerhedskrav, og hvordan enheden får indsigt i, om kravene er opfyldt. Hvordan en kunde kontrollerer sin leverandør, er beskrevet under kontrollen af IT-leverandøren. Ligger servicecentret i et andet selskab end enheden, bliver det endnu mere relevant.
Når servicecentret selv måles
Servicecentret bør måles som en selvstændig enhed i koncernens måling med sin egen score og sine egne fund. Det gør det muligt at se, om de fælles tjenester trækker hele koncernen op eller ned. Det er ofte her, de største gevinster ligger, fordi én forbedring slår igennem i alle enheder på én gang.
Hvordan selve auditten af en funktion afgrænses og gennemføres, hører under den almene auditmetode og behandles ikke her.
Aftalen mellem servicecenter og enhed
Opdelingen holder bedst, når den står i en intern aftale. Aftalen behøver ikke være lang. Den bør sige, hvilke tjenester servicecentret leverer, hvilke sikkerhedskrav der gælder for dem, hvad enheden selv skal gøre, og hvordan enheden får besked om fund og hændelser i de fælles tjenester. Mange koncerner har allerede en intern aftale om leveranceomfang og afregning. Sikkerheden kan skrives ind i den samme aftale. Så bliver den også taget op, når aftalen genforhandles, og ændringer i servicecentrets ydelser når frem til enhederne, før de opdager dem i en måling.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig opdeling af kontrollerne mellem servicecentret og enhederne, et fundregister, der kan knytte ét fund til flere enheder, og en fast regel for, hvordan fælles tjenester tæller i scoren.
Uden opdelingen bliver enhederne målt på kontroller, de ikke kan påvirke, og de mister tilliden til målingen. Fund i de fælles tjenester bliver gentaget i mange rapporter, mens ingen føler sig som ejer. Det er den slags fund, der står uændret år efter år.
Det skal I lade være med
- At registrere samme fund i hver enkelt enheds rapport · registrér det én gang hos ejeren.
- At skifte måde at tælle fælles tjenester på mellem målinger · så kan scoren ikke sammenlignes.
- At undlade at måle servicecentret som egen enhed · det er ofte dér, gevinsten ligger.
Det skal gennemgangen kunne vise
- ☐ En skriftlig opdeling af kontrolområder mellem servicecenter og enheder.
- ☐ Servicecentrets egen score og fund.
- ☐ Fund i fælles tjenester registreret én gang med henvisning til berørte enheder.
- ☐ En fast regel for, hvordan fælles tjenester indgår i enhedens score.
Kilder
- The Institute of Internal Auditors, The IIA’s Three Lines Model, 2020, opdateret september 2024, s. 5, læst 14. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hver fælles tjeneste, hvilke dele af kontrollen servicecentret ejer, og hvilke enhederne ejer.
Læs også: Tre linjer efter IIA’s model fra 2020 · Uklart ansvar mellem koncern-CISO og enhederne
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
