Et omfang, der tager udgangspunkt i koncernens vigtigste forretningsprocesser, følger arbejdet fra ordre til levering eller fra produktion til fakturering på tværs af selskaber, systemer og leverandører. Det finder afhængigheder, som en liste over systemer ikke viser, fordi listen opdeler verden efter teknik i stedet for efter det, forretningen faktisk ikke kan undvære.
Systemlisten er stadig nødvendig. Men som udgangspunkt for omfanget fører den let til en vurdering, der måler hvert system for sig og overser, hvor processen går i stykker.
Hvorfor systemlisten er det naturlige valg
De fleste koncerner har en eller anden form for systemoversigt. Den er konkret, den kan tælles, og den passer til den måde, IT-organisationen er bygget op på. Det er derfor nærliggende at afgrænse en vurdering ved at vælge de vigtigste systemer på listen.
Problemet er, at systemlisten ofte er skrevet af IT og prioriteret efter teknisk størrelse eller antal brugere. Den siger sjældent, hvilken forretningsproces et system indgår i, hvor kritisk processen er, eller hvilke andre systemer og leverandører processen også afhænger af. I en koncern kommer dertil, at listerne ofte er lavet pr. selskab, så en proces, der går på tværs af tre selskaber, aldrig står samlet nogen steder.
Hvad reglerne og standarderne peger på
Bilaget til gennemførelsesforordning 2024/2690 begynder aktivfortegnelsen med en liste over aktiviteter og tjenesteydelser (punkt 12.4.2, litra a) og først derefter net- og informationssystemerne. Kontinuitetskravene skal efter punkt 4.1.3 bygge på en forretningskonsekvensanalyse. Bindende er det alene for den håndfuld digitale tjenestetyper, artikel 1 nævner, men rækkefølgen kan alle lære af: først hvad virksomheden laver, derefter hvad der understøtter det.
For banker, forsikringsselskaber og andre finansielle enheder går DORA samme vej. Artikel 8, stk. 1, beder dem kortlægge hver IKT-understøttet forretningsfunktion sammen med de aktiver, funktionen hviler på, og afhængighederne imellem dem. Ingen uden for finanssektoren er bundet af det, men bestemmelsen er et klart eksempel på, at en lovgiver har valgt forretningsfunktionen som indgang.
Også IIA regner processer med blandt de typer enheder, et revisionsunivers kan bestå af, i vejledningen til standard 9.4. Processen er altså en anerkendt enhed for en revision, på linje med forretningsenheden og systemet.
Hvad et procesomfang finder
Det er sitets vurdering, at et omfang bygget på processer finder især fire slags risici, som en systemliste let overser:
- Overdragelser mellem selskaber. Hvor en ordre går fra salgsselskabet til produktionsselskabet, skifter data system, ejer og ofte sikkerhedsniveau.
- Små systemer med stor betydning. En integration, et regneark eller en lille tjeneste, der ikke står højt på systemlisten, men som processen står stille uden.
- Leverandører midt i processen. En ekstern tjeneste, der håndterer et led, og som ingen har registreret som en del af den kritiske kæde.
- Manuelle trin. Steder, hvor processen afhænger af en person, en mail eller en printet liste, og hvor ingen IT-kontrol gælder.
Ingen af de fire er usynlige for en grundig systemvurdering. Men de dukker sjældent op, når udgangspunktet er listen.
Sådan bygges et procesomfang
En gængs fremgangsmåde begynder med, at ledelsen udpeger de få processer, koncernen ikke kan undvære i mere end kort tid. I en produktionskoncern kan det være ordre til levering, indkøb til betaling og produktionsstyring. I en servicekoncern kan det være kundeoprettelse, levering af ydelsen og fakturering.
For hver proces tegnes vejen gennem koncernen: hvilke selskaber, systemer, leverandører og manuelle trin den passerer. Først derefter vælges, hvilke systemer og kontroller vurderingen skal se på. Systemlisten bruges som tjek undervejs, ikke som indgang.
Det er praksis at begrænse sig til tre til fem processer i en første vurdering. Flere gør omfanget uoverskueligt, og de vigtigste processer dækker ofte de fleste kritiske systemer alligevel.
Procesomfanget og koncernscoren
Et procesomfang passer ikke umiddelbart til en score pr. selskab, fordi processen går på tværs. Det er sitets anbefaling at rapportere begge dele: en modenhedsscore pr. selskab efter den faste skala og en vurdering pr. proces, der viser, hvor kæden er svagest. Procesvurderingen siger ofte mere til bestyrelsen, fordi den taler om det, forretningen forstår.
Kombineret giver de to perspektiver et billede, hvor et selskab med en pæn score kan vise sig at være det svage led i en kritisk proces, fordi netop dets del af processen hviler på et lille system uden ejer. Hvordan selve afgrænsningen af enheder og lokationer gribes an, er beskrevet i afgrænsning af en koncernvurdering. Den almene metode for at tage udgangspunkt i kritiske processer i en enkelt audit står under den almene auditmetode.
Et tænkt eksempel
Tænk jer en koncern, hvor ordren tages i et salgsselskab, produceres i et andet og sendes fra et tredje. Systemlisten viser tre ERP-installationer, som alle er vurderet og scorer pænt. Procesvurderingen viser, at ordren flyttes mellem selskaberne af en integration, som en tidligere medarbejder har bygget, og som kører på en server uden for koncernens drift. Ingen har vurderet den, fordi den ikke står på nogen liste. Eksemplet er tænkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ledelsen udpeger de kritiske processer, og at nogen fra forretningen deltager i at tegne dem. Det kræver også, at de enkelte selskaber er villige til at se deres del som et led i en kæde.
Uden processen som indgang måler vurderingen systemerne hver for sig. Bestyrelsen får en pæn score for hvert system og ingen viden om, hvor den kritiske proces kan gå i stå.
Det skal I lade være med
- At afgrænse alene ud fra systemlistens rækkefølge · den er sjældent prioriteret efter forretningens behov.
- At tegne processen pr. selskab · den kritiske overdragelse ligger ofte mellem dem.
- At tage for mange processer med første gang · tre til fem er nok til at finde de svage led.
Det skal gennemgangen kunne vise
- ☐ En liste over koncernens kritiske processer, godkendt af ledelsen.
- ☐ En tegning af hver proces på tværs af selskaber, systemer og leverandører.
- ☐ En oversigt over systemer, der indgår i processerne, men mangler på systemlisten.
- ☐ En vurdering pr. proces ved siden af scoren pr. selskab.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 4.1.3 og 12.4.2, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 8, stk. 1, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed direktionen udpege de tre processer, koncernen mindst kan undvære, og tegn vejen for den første på tværs af selskaberne.
Læs også: Bred eller dyb · Fælles tjenester og shared service
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
