Et fælles fundregister samler alle fund fra modenhedsvurderinger, audits og intern revision i alle selskaber med de samme felter: hvad fundet er, hvem der ejer det, hvornår det skal være lukket, og hvor det står nu. Uden et sådant register kan koncernen ikke se, hvilke fund der hober sig op, og revisionsudvalget kan ikke følge direktionens opfølgning.
Registrets felter er praksis. Rammen kommer fra Komitéen for god Selskabsledelse og fra NIST.
Hvorfor revisionsudvalget har brug for det
Ifølge anbefaling 3.4.3 fra Komitéen for god Selskabsledelse bør revisionsudvalget, hvor selskabet har en intern revisionsfunktion, se til, at direktionen reagerer på intern revisions konklusioner og anbefalinger. Børsnoterede selskaber skal følge anbefalingerne eller forklare, hvorfor de ikke gør det.
Anbefalingen siger ikke, hvordan overvågningen skal ske. Men det er svært at se, hvordan et udvalg kan følge opfølgningen uden et register, der viser status for alle fund. Det er sitets tolkning, at registret er det praktiske grundlag for den opgave, også når fundene kommer fra andre end intern revision.
Registre, der kan lægges sammen
Ifølge NIST IR 8286 Rev. 1 rulles risikoregistre op fra system- og enhedsniveau til virksomhedens samlede register. Der holdes restrisici op mod den appetit og tolerance, topledelsen har fastsat.
Samme tanke gælder fund. Et fund i et datterselskab skal kunne ses i koncernens samlede billede, og det kræver, at registrene i selskaberne bruger samme felter og samme skala. Lokale registre i hver sin form kan ikke lægges sammen. Det problem er beskrevet i lokale risikoregistre, der ikke kan lægges sammen.
NIST CSF 2.0 har under Identify kategorien ID.IM, der handler om forbedringer, der kommer ud af evalueringer, test og drift. Registret er det sted, hvor de forbedringer følges.
Felterne
Det er sitets forslag, at et koncernregister som minimum har disse felter:
- ID · (Fortløbende nummer på tværs af koncernen)
- Kilde · (Modenhedsvurdering år 2, intern revision, ekstern audit)
- Selskab og område · (Datterselskab B, adgangsstyring)
- Beskrivelse · (Fratrådte medarbejdere bevarer adgang i op til en måned)
- Alvorlighed · (Høj efter koncernens fælles skala)
- Ejer · (Datterselskabets IT-chef)
- Frist · (Næste kvartal)
- Status · (Åben, i gang, meldt lukket, verificeret lukket, accepteret)
- Verificeret af · (Anden linje i koncernen)
- Historik · (Ændringer i frist og status med dato og begrundelse)
Status skal skelne mellem meldt lukket og verificeret lukket. Ellers bliver registret pænere end virkeligheden. Rollerne ved verificeringen gennemgås i lukning af fund i tre linjer.
Fund fra mange kilder
I en koncern kommer fundene fra mange steder: modenhedsvurderinger, intern revision, ekstern audit, revisors bemærkninger, tilsyn og hændelser. Hver kilde har sin egen form.
Det er praksis at føre dem alle ind i samme register med en markering af kilden. Så kan koncernen se, når to kilder peger på det samme problem, og undgå at det samme fund følges op to steder med to forskellige frister. Den almene opfølgning på en enkelt audit er beskrevet under opfølgning efter en audit.
Roller
Registret skal have en ejer, typisk i anden linje. Ejeren holder øje med, at felterne udfyldes ens, at fristerne følges, og at verificeringen sker. Selskaberne opdaterer status på egne fund. Intern revision har læseadgang og kan bruge registret i sin planlægning.
Fortrolighed spiller en rolle. Ikke alle selskaber skal kunne se hinandens fund i detaljer. Det er praksis at give selskaberne adgang til egne fund og koncernens samlede tal, mens detaljerne om andre selskaber kun ses centralt.
Det, revisionsudvalget ser
Revisionsudvalget har sjældent brug for hele registret. Det har brug for et udtræk: antal åbne fund pr. alvorlighed, fund over fristen, fund, der går igen, og accepterede risici. Udtrækket skal kunne laves på samme måde hver gang, så udviklingen kan følges.
Når fund skifter ejer
I en koncern ændrer organisationen sig. Selskaber fusioneres, sælges eller lægges ind under en fælles funktion. Hver gang flytter ansvaret for fund, og det er let at miste nogle undervejs.
Det er praksis at gennemgå registret, når en sådan ændring sker. Hvert åbent fund får en ny ejer, eller det markeres som overført, hvis selskabet forlader koncernen. Historikken bevares, så det senere kan ses, hvad der skete.
Det samme gælder, når en person forlader koncernen. Fund, der står på en fratrådt medarbejder, bliver sjældent lukket. En simpel kontrol hvert kvartal, hvor ejerne sammenholdes med listen over aktive medarbejdere, fanger de fleste.
Nye selskaber skal også ind. Når et opkøbt selskab kommer med i koncernen, bør dets åbne fund fra tidligere gennemgange overføres til registret, så de ikke står uden for koncernens opfølgning. Det kræver, at felterne oversættes til koncernens skala, og at det fremgår, hvilken kilde fundet kom fra.
Registret og målingen
Registret er også et godt grundlag for næste modenhedsvurdering. Den, der vurderer, kan se, hvilke fund der er lukket, og hvilke der står åbne, og målrette stikprøverne derefter. Det er praksis at give den, der vurderer, læseadgang til de relevante dele af registret, når en ny måling begynder.
Hvad det kræver, og hvad det koster at lade være
Det kræver fælles felter og skala i alle selskaber, en ejer af registret og en fast rytme for opdatering og udtræk.
Uden et fælles register forsvinder fund mellem gennemgangene. Den næste vurdering finder de samme problemer, og ingen kan se, om de blev lukket og genopstod, eller om de aldrig blev lukket.
Det skal I lade være med
- At lade hvert selskab føre sit register i egen form · så kan det ikke lægges sammen.
- At behandle meldt lukket som lukket · verificering er et selvstændigt trin.
- At føre fund fra hver kilde for sig · det samme fund ender med to frister.
Det skal gennemgangen kunne vise
- ☐ Et register med fælles felter for alle selskaber.
- ☐ Fund fra alle kilder med markering af kilden.
- ☐ Skel mellem meldt og verificeret lukning.
- ☐ Et fast udtræk til revisionsudvalget.
Kilder
- Komitéen for god Selskabsledelse, Anbefalinger for god Selskabsledelse, 2. december 2020, anbefaling 3.4.3, læst 14. november 2026.
- NIST IR 8286 Rev. 1, december 2025, læst 14. november 2026.
- NIST CSF 2.0 (NIST CSWP 29), 26. februar 2024, bilag A, ID.IM, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sammenlign felterne i selskabernes registre med listen her, og aftal de fælles felter før næste vurdering.
Læs også: Gentagne fund · Hvem må se enhedernes resultater?
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
