IIA’s Global Internal Audit Standards blev offentliggjort 9. januar 2024 og gælder ifølge IIA fra 9. januar 2025. De har fem domæner og 15 principper, og det tredje domæne beskriver, hvad bestyrelsen skal gøre, for at den interne revision kan fungere.
Det gør standarderne til mere end en håndbog for revisorer. For en bestyrelse eller et revisionsudvalg er de en liste over det, den selv bør gøre, og det, den kan forlange af revisionschefen, også når emnet er cybersikkerhed.
Standarder, ikke lov
Standarderne er en obligatorisk del af IIA’s faglige ramme, og IIA forventer, at alle interne audit-funktioner er i overensstemmelse med dem. De binder funktionen, der har forpligtet sig til dem. De er ikke et lovkrav for virksomheden eller for bestyrelsen.
Standarderne skelner selv mellem ordene. Krav, der skal opfyldes, står som “must” i afsnittene med krav. Det, der bør eller kan gøres, står som “should” eller “may” i afsnittene med overvejelser. Bestyrelsens og direktionens opgaver står i domæne III som “essential conditions”, altså forudsætninger for, at funktionen kan virke.
De fem domæner
- I Formålet med intern revision · Hvad intern revision er til for
- II Etik og professionalisme · Blandt andet objektivitet (2.2) og fortrolighed (5.1)
- III Styring af den interne audit-funktion · Bestyrelsens og direktionens rolle (6.1 til 8.4)
- IV Ledelse af den interne audit-funktion · Blandt andet revisionsplan (9.4), koordinering (9.5) og bemanding (10.2)
- V Udførelse af revisionsopgaver · Blandt andet opfølgning på fund (15.2)
Det er uden betydning for standardernes gyldighed, om revisorerne er egne folk, indkøbte eller begge dele. Bestyrelsens pligt til at bakke funktionen op og holde øje med den består under alle omstændigheder.
Hvem er bestyrelsen?
Ordet “board” dækker i standarderne det højeste organ med ansvar for styring, fx bestyrelsen eller revisionsudvalget. I koncerner og multinationale organisationer med flere ledelsesorganer er det det organ, der giver funktionen dens bemyndigelse, og revisionschefen dokumenterer strukturen. I en koncern med intern revision i moderselskabet er det altså vigtigt at vide, hvilket organ funktionen svarer til.
Bestyrelsens opgaver efter domæne III
Gengivet med egne ord er de vigtigste forudsætninger for bestyrelsen:
- Mandat (6.1) · bestyrelsen drøfter funktionens bemyndigelse, rolle og ansvar og godkender chartret. Revisionschefen overvejer mindst årligt, om ændringer som et større opkøb eller en omorganisering kræver, at mandatet tages op igen.
- Charter (6.2) · bestyrelsen godkender og gennemgår chartret.
- Støtte (6.3) · uhindret adgang til data, personer og lokaler, godkendelse af revisionsplan, budget og ressourceplan, og møder med revisionschefen uden direktionen. Vejledningen nævner mindst én gang om året og kalder kvartalsvise møder ledende praksis.
- Uafhængighed (7.1) · direkte rapporteringslinje til bestyrelsen, godkendelse af ansættelse og afskedigelse af revisionschefen, og opmærksomhed på svækket uafhængighed, når revisionschefen får andre roller.
- Kvalifikationer (7.2) · bestyrelsen godkender revisionschefens roller og fastlægger de nødvendige kvalifikationer.
- Interaktion (8.1) · bestyrelsen fastsætter, hvor ofte den vil have rapportering, og hvilke kriterier og hvilken proces der gælder for eskalering.
- Ressourcer (8.2) · bestyrelsen drøfter mindst årligt, om funktionen har folk nok med de rette kompetencer.
- Kvalitet (8.3 og 8.4) · bestyrelsen godkender funktionens præstationsmål og følger de interne og eksterne kvalitetsvurderinger.
Hvad det betyder for cybersikkerheden
Cybersikkerhed kommer ind ad flere veje. Efter standard 9.4 skal revisionsplanen overveje dækning af IT-styring, og en beslutning om ikke at have en assurance-opgave på et højrisikoområde skal meddeles bestyrelse og direktion. Planen og væsentlige ændringer godkendes af bestyrelsen.
For bestyrelsen betyder det, at den bør se, hvor cybersikkerhed står i planen, og hvis den ikke står der, hvorfor. Sammen med IIA’s særlige krav om cybersikkerhed, som gælder fra 5. februar 2026, giver det udvalget to faste spørgsmål: dækker planen cyberrisikoen, og følger opgaverne minimumskravet? Kravet er gennemgået i IIA’s Cybersecurity Topical Requirement.
Det er praksis at bruge punktet om ressourcer (8.2) til at spørge, om funktionen har kompetencer nok til cybersikkerhed, eller om den skal købe dem. Vejledningen nævner selv outsourcing og gæsterevisorer som muligheder.
Bestyrelsen i en koncern
Har datterselskaberne egne bestyrelser, kan der være flere organer, der hver især har et tilsynsansvar. Standarderne beder revisionschefen dokumentere strukturen, når der er flere ledelsesorganer. Det er praksis at skrive i chartret, hvilke selskaber funktionen dækker, og hvordan resultater for et datterselskab når dets egen bestyrelse.
Efter et større opkøb peger standard 6.1 på en ny drøftelse af mandatet. For en koncern, der jævnligt køber selskaber, er det praksis at gøre drøftelsen til et fast punkt efter hver handel, så det er klart, hvornår det nye selskab kommer ind i funktionens dækning.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen eller revisionsudvalget gennemgår domæne III som en tjekliste mindst én gang om året sammen med revisionschefen. Det tager et møde, når chartret og planen ligger på bordet.
Uden den gennemgang hviler funktionens uafhængighed på vaner. Bestyrelsen opdager måske først, at cybersikkerhed er valgt fra, når en hændelse rammer et område, ingen havde set. Det er netop den situation, domæne III er skrevet for at forhindre, og gennemgangen er derfor et lille arbejde med stor virkning.
Det skal I lade være med
- At skrive, at standarderne pålægger bestyrelsen pligter ved lov · de beskriver forudsætninger for funktionen.
- At godkende revisionsplanen uden at se, om IT-styring er dækket · standard 9.4 beder planen overveje det.
- At lade revisionschefen alene vurdere ressourcerne · bestyrelsen drøfter dem årligt.
Det skal gennemgangen kunne vise
- ☐ Et charter, som bestyrelsen har godkendt, med mandat og omfang.
- ☐ En revisionsplan med dækning af IT-styring eller en begrundelse for fravalg.
- ☐ Referat af møder mellem bestyrelsen og revisionschefen uden direktionen.
- ☐ Bestyrelsens årlige drøftelse af ressourcer og kompetencer.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, Fundamentals, domæne III og standard 9.4, læst 14. november 2026.
- IIA, Global Internal Audit Standards (standardside), læst 14. november 2026.
- IIA, Quality Assurance and Improvement Program, om ikrafttræden, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg domæne III frem på næste møde i revisionsudvalget, og markér de forudsætninger, I ikke kan dokumentere.
- Den interne audit-funktion og de tre linjer
- Ekstern kvalitetsvurdering af intern revision hvert femte år
Læs også: Skal vi have intern revision? · Hvem bestiller
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
