Har en finansiel virksomhed haft mindst 125 fuldtidsansatte i snit over de to seneste regnskabsår, kræver revisionsbekendtgørelsen en intern revision. Revisionen skal dække alle væsentlige og risikofyldte områder, og den ledes af en revisionschef, som kun bestyrelsen kan ansætte og afskedige.
For en finansiel koncern er det derfor ikke et spørgsmål, om cybersikkerheden skal revideres internt. Spørgsmålet er, om den interne revision dækker den, og hvordan det hænger sammen med den eksterne revisors arbejde.
Hvem reglerne gælder
Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder gælder blandt andet finansielle virksomheder og holdingvirksomheder efter lov om finansiel virksomhed, forsikringsselskaber, fondsmæglerselskaber og investeringsforeninger. Den gælder også koncerner som helhed og de enkelte koncernvirksomheder.
Finanstilsynet indledte ifølge IIA Danmark i september 2026 en høring af branchen med sigte på at revurdere og ajourføre bekendtgørelsen. Det følgende gengiver den bekendtgørelse, der var gældende ved gennemgangen. Kontrollér, om der er kommet en ny, før I bygger på reglerne.
Hvornår intern revision er pligt
Efter § 17 kan bestyrelsen altid oprette intern revision. Uden en intern revision skal behovet på bestyrelsens dagsorden hvert år, med kompleksitet og outsourcing som hensyn. Ved et gennemsnit på 125 fuldtidsansatte eller flere over to regnskabsår bliver det en pligt, og det samme gælder koncerner. Investeringsforeninger og visse andre er undtaget.
Uafhængighed og revisionschefen
§ 18 siger, at intern revision fungerer uafhængigt af den daglige ledelse. Den ledes af en revisionschef, som kun bestyrelsen ansætter og afskediger, og det kan ske for koncernen som helhed. Bekendtgørelsen stiller også krav til revisionschefens uddannelse og erfaring.
§ 21 indeholder de strengeste regler. Revisionschefen og medarbejderne må ikke deltage i andet arbejde end revision, og intet af det, de laver, må give en udenforstående med indsigt grund til tvivl om deres uafhængighed. Revisionschefen kan heller ikke konkludere på et grundlag, som funktionen eller dens konsulenter selv har lavet.
Hvad revisionen skal dække
Revisionen skal efter § 21, stk. 1, omfatte alle væsentlige og risikofyldte områder. Revisionschefen har adgang til alle nødvendige oplysninger, også bestyrelsesprotokollen.
Efter § 27 konkluderer intern revision i sit årsprotokollat, om risikostyring, compliancefunktion, forretningsgange og interne kontroller på alle væsentlige og risikofyldte områder er betryggende. § 28 kræver en status over alle bemærkninger, også de åbne fra året før.
Hvilke områder der er væsentlige, afgøres i den enkelte virksomhed. Det er en tolkning, men i de fleste finansielle virksomheder vil IT- og cybersikkerhed høre til de væsentlige og risikofyldte områder, og så skal intern revision dække dem.
Funktionsbeskrivelsen
§ 23 kræver en funktionsbeskrivelse, som bestyrelsen godkender. I en koncern kan den udarbejdes for hele koncernen og tiltrædes af koncernvirksomhedernes bestyrelser. Intern revision må kun påtage sig opgaver, den har kompetencer og ressourcer til.
Det sidste har betydning for cyberområdet. Har funktionen ikke kompetencerne, kan den bruge eksperter eller outsourcing efter bilag 4, pkt. 1.3, men ansvaret for konklusionen mindskes ikke. For en koncern er det praksis at lade funktionsbeskrivelsen sige, hvordan cyberområdet dækkes i hver koncernvirksomhed, og hvem der står for de dele, funktionen køber.
Den eksterne revisors rolle
Det er vigtigt at holde de to revisioner adskilt. § 11, nr. 1, pålægger den eksterne revisor at tage stilling i protokollatet til, om system-, data- og driftssikkerheden samlet set er betryggende. Bilag 2, pkt. 34, beskriver arbejdet: de generelle it-kontroller vurderes og testes ved stikprøver, og systemleverandørernes erklæringer læses.
Konklusionen om system-, data- og driftssikkerhed er altså den eksterne revisors opgave, ikke den interne revisions. Den interne revision kan ikke læne sig op ad den, og den eksterne revisors konklusion erstatter ikke den interne revisions dækning af området.
Kontrolfunktionernes arbejde skal testes
Efter bilag 4, pkt. 2.2, kan revisionen ikke nøjes med det, risikostyring, compliance og andre kontrolfunktioner har gjort, da de ikke er lige så uafhængige. Revisionen må selv vurdere og teste deres arbejde. For cyberområdet betyder det, at sikkerhedsfunktionens nøgletal og modenhedsscorer kan være et udgangspunkt, men ikke en konklusion.
DORA stiller supplerende krav til intern revision af IKT-risikostyringen. De er gennemgået i DORA artikel 6.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at revisionsplanen viser, hvordan IT- og cybersikkerhed dækkes som væsentligt område, og at funktionen har eller køber de kompetencer, det kræver. Det kræver også, at bestyrelsen kan se forskel på den interne og den eksterne revisors konklusion.
Uden det risikerer bestyrelsen at tro, at den eksterne revisors konklusion om driftssikkerhed dækker det hele. Så kan den interne revisions dækning af cyberområdet være tynd, uden at nogen har besluttet det. Ved et tilsyn kan det blive svært at vise, at intern revision har dækket et område, som de fleste vil regne for væsentligt og risikofyldt.
Det skal I lade være med
- At lade intern revision bygge på sikkerhedsfunktionens tal uden test · bilag 4 kræver, at de vurderes og testes.
- At blande de to revisioners konklusioner sammen · konklusionen efter § 11 er den eksterne revisors.
- At skrive, at bekendtgørelsen er ændret · en revurdering er kun sat i gang.
Det skal gennemgangen kunne vise
- ☐ En revisionsplan, der viser IT- og cybersikkerhed som væsentligt område.
- ☐ En funktionsbeskrivelse godkendt af bestyrelsen.
- ☐ Hvordan intern revision har vurderet og testet kontrolfunktionernes arbejde.
- ☐ Status over alle bemærkninger, også de åbne fra året før.
Kilder
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, §§ 1, 11, 17, 18, 21, 23, 27 og 28, bilag 2 og bilag 4, læst 14. november 2026.
- IIA Danmark, nyhed om møde med Finanstilsynet, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg revisionsplanen ved siden af listen over væsentlige og risikofyldte områder, og find cybersikkerheden i begge.
Læs også: Må intern revision rådgive om det, den senere skal revidere? · Revisors påtegning og IT-revision
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
