Hvem der ser hvilke tal og fund, skal aftales, før målingen begynder. Når resultaterne først findes, er det for sent: enhederne har svaret ud fra en forventning, og en rapport, der deles bredere end ventet, ødelægger tilliden til næste måling. Aftalen bør skelne mellem samlede scorer, enhedernes scorer og de detaljerede fund, fordi de har meget forskellig følsomhed.
Artiklen handler om fortroligheden inde i koncernen. Deling af resultater med kunder, myndigheder eller andre uden for koncernen er et andet spørgsmål.
Hvorfor resultaterne er følsomme
En modenhedsrapport beskriver, hvor koncernen er svag. De detaljerede fund kan være en vejviser for en angriber: hvilke systemer der mangler opdateringer, hvor overvågningen har huller, hvilke enheder der deler netværk med resten. Samtidig er enhedernes scorer følsomme på en anden måde. De kan påvirke ledernes omdømme, budgetter og karriere.
De to former for følsomhed kræver forskellig beskyttelse. Fundene skal beskyttes mod misbrug. Scorerne skal beskyttes mod at blive brugt på en måde, der får enhederne til at svare mindre ærligt.
Tre lag af resultater
- Samlet billede · Indhold: Koncernens score, udvikling og de vigtigste temaer · Typisk modtager: Bestyrelse, revisionsudvalg, koncernledelse
- Enhedsbillede · Indhold: Hver enheds score og profil · Typisk modtager: Koncernledelse, koncernens sikkerhedsfunktion, enhedens egen ledelse
- Detaljerede fund · Indhold: Konkrete svagheder, systemer og beviser · Typisk modtager: Ejeren af fundet og den, der følger op
Inddelingen er sitets egen, og den lader koncernen aftale adgang pr. lag frem for pr. rapport.
Et almindeligt princip er, at hver enhed ser sit eget fulde billede og et anonymt eller samlet billede af de andre. Koncernledelsen ser alle enhedsbilleder. De detaljerede fund ses kun af dem, der skal bruge dem.
Det, aftalen skal indeholde
Aftalen kan være kort. Den bør mindst sige:
- Hvem der modtager hvilket lag.
- Om enhederne ser hinandens scorer, og i hvilken form.
- Hvordan rapporten opbevares, og hvem der har adgang til den.
- Om resultaterne må bruges i ledernes mål eller vurdering.
- Hvem der må dele dele af rapporten videre, og efter hvilken godkendelse.
- Hvor længe de detaljerede fund opbevares.
Aftalen skal være kendt af enhederne, før de svarer. Den bør stå i udmeldingen af målingen, sådan som det er beskrevet i enhederne med i målingen.
Når aftalen skal ændres
Der kan komme gode grunde til at dele mere, end aftalen siger, fx når en enhed skal have hjælp fra en anden, eller når et fund berører flere selskaber. Så bør ændringen besluttes af den, der ejer aftalen, og de berørte enheder bør vide det, før oplysningerne deles. Det tager kort tid og bevarer tilliden. Det modsatte, at en rapport bliver sendt videre i god tro uden at nogen spørger, er den hyppigste måde, fortroligheden glider på.
Når intern revision håndterer resultaterne
IIA’s Global Internal Audit Standards kræver, at interne revisorer bruger oplysninger i overensstemmelse med organisationens politikker og beskytter dem mod uautoriseret adgang og videregivelse, internt og eksternt (standard 5.1). Ved koordinering med andre leverandører af sikkerhed tager revisionschefen hensyn til fortrolighedskrav, før oplysninger deles mellem dem (standard 9.5). Det er krav til funktionen selv og ikke til koncernen.
For koncernen betyder det, at intern revision forventes at have en politik at følge. Har koncernen ikke en aftale om modenhedsmålingens resultater, mangler intern revision det grundlag.
Datterselskabernes bestyrelser
Et særligt spørgsmål er, hvad datterselskabernes bestyrelser må se. De har brug for deres eget selskabs billede for at kunne udfylde deres egen rolle. Men skal de se koncernens samlede billede eller de andre selskabers scorer? Det bør aftales. Hvordan datterselskabets bestyrelse bruger målingen, er beskrevet i datterselskabets egen bestyrelse.
Bestyrelsen og revisionsudvalget
Bestyrelsen i moderselskabet får typisk det samlede billede, og revisionsudvalget kan have brug for mere. Aftal, om udvalget skal se enhedsbillederne, og om de detaljerede fund må indgå i udvalgets materiale. Bestyrelsesmateriale bliver ofte delt bredt i et bestyrelsessystem og gemt længe. Detaljerede tekniske fund hører sjældent hjemme dér. Et resumé med henvisning til, hvor den fulde rapport kan ses under adgangskontrol, er ofte en bedre løsning.
Beskyttelse af selve rapporten
Rapporten bør behandles som fortroligt materiale. Det betyder adgangsstyring til de steder, hvor den ligger, en liste over modtagere, versionsstyring og en klar regel for, hvordan den sendes. Detaljerede fund bør ikke sendes som vedhæftet fil til brede fordelingslister. Hvad der deles uden for koncernen, og hvordan, ligger uden for denne artikel. Deling udadtil er behandlet sammen med auditmetoden og NIS2.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale om adgang pr. lag, som er kendt af enhederne før målingen, en beskyttet opbevaring af rapporten og en modtagerliste. Det kræver også, at koncernen holder fast i aftalen, når resultaterne er interessante for flere.
Uden aftalen bliver resultaterne delt efter behov og øjeblikkets lyst. Enhederne opdager, at deres svar blev set af flere end forventet, og svarer mere forsigtigt næste gang. Detaljerede fund kan havne steder, hvor de gør skade.
Det skal I lade være med
- At beslutte fordelingen, efter at resultaterne er kommet · enhederne har svaret ud fra en forventning.
- At sende detaljerede fund til brede lister · de kan være en vejviser for en angriber.
- At behandle scorer og fund som samme slags oplysning · de kræver forskellig beskyttelse.
Det skal gennemgangen kunne vise
- ☐ En aftale om adgang til samlet billede, enhedsbilleder og detaljerede fund.
- ☐ Bevis for, at enhederne kendte aftalen før målingen.
- ☐ En modtagerliste og adgangsstyring til rapporten.
- ☐ En regel for videredeling og opbevaring.
Kilder
- The Institute of Internal Auditors, Global Internal Audit Standards, 2024, standard 5.1 og 9.5, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv en kort aftale om, hvem der ser hvilket lag af jeres næste måling, og send den med udmeldingen.
Læs også: Rapportens opbygning · Én vurdering, flere rapporter
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
