...
Den interne audit-funktion og de tre linjer
Hvem står egentlig inde for tallene om cybersikkerheden? Det spørgsmål stiller revisionsudvalget før eller siden. Er det CISO, der selv har indført kontrollerne, compliance, der følger op, eller den interne revision, der rapporterer til bestyrelsen? Modellen med tre linjer giver sproget til at svare. Artiklerne her viser, hvor hver funktion står, hvad IIA’s standarder kræver af den interne revision, og hvad lovgivningen faktisk lægger hos revisionsudvalget og bestyrelsen. En ekstern vurdering placeres i samme billede som et supplement.
Temaet er skrevet til revisionschefer, CISO’er og medlemmer af revisionsudvalg. IIA’s tekster er faglige standarder for den funktion, der har tilsluttet sig dem, og artiklerne holder dem adskilt fra lovkrav.
De tre linjer
- Tre linjer efter IIA’s model: hvor CISO, compliance, intern revision og den eksterne vurdering står Roller frem for afdelinger.
- Når anden linje måler sig selv: uafhængighed i modenhedsmålingen Interessekonflikten skal frem.
- Assurance-kortet: hvem giver hvilken sikkerhed for hvilket område? Kilderne til sikkerhed på én side.
- Lukning af fund i tre linjer: hvem verificerer hvad? Tre slags lukning.
- CISO’s rapporteringslinje som auditpunkt: adgang til direktion og bestyrelse Hvor sikkerhedsfunktionen sidder.
Den interne revision
- Intern revision og ekstern sikkerhedsvurdering: arbejdsdelingen Hvem ejer konklusionen.
- Global Internal Audit Standards: fem domæner og bestyrelsens rolle over for intern revision Fem domæner og bestyrelsens del.
- IIA’s Cybersecurity Topical Requirement: det, intern revision skal vurdere fra 5. februar 2026 Minimum for cyberrevision.
- Ekstern kvalitetsvurdering af intern revision hvert femte år: hvad den siger om cyberrevisionen Kvalitetsvurderingen og fravalgte krav.
- Egen cyberrevisionskapacitet, fælles løsning med eksterne eller rent køb Tre modeller, samme ansvar.
- Må intern revision rådgive om det, den senere skal revidere? Rådgivning og objektivitet.
- Skal vi have intern revision? Revisionsudvalgets vurdering af behovet Behovet vurderes af udvalget.
Lov, regler og revisors rolle
- Revisorlovens § 31: hvad revisionsudvalget skal overvåge, og hvor cybersikkerheden falder udenfor Opgaven er afgrænset til regnskabet.
- Revisors påtegning og IT-revision: hvad bestyrelsen ikke kan slutte om cybersikkerheden Påtegningen handler om regnskabet.
- Finansiel virksomhed: intern revision er pligt fra 125 fuldtidsansatte, og hvad den skal dække Pligt og dækning i finansielle virksomheder.
- DORA artikel 6: årlig gennemgang, intern revision og opfølgningsproces, og hvad koncernens måling kan levere til dem Gennemgang, revision og opfølgning.
- DORA artikel 5, stk. 2, litra f: bestyrelsen godkender IKT-revisionsplanen Bestyrelsen godkender planen.
Hvad det kræver, og hvad det koster at lade være
En klar arbejdsdeling kræver, at bestyrelsen ved, hvilke funktioner der giver hvilken sikkerhed for hvilket område, og hvor uafhængige de er. Det kræver et assurance-kort, en revisionsplan, der dækker cybersikkerhed, og regler for, hvem der må lukke et fund. Hvor intern revision ikke selv har kompetencen, skal det besluttes, hvordan den hentes ind, uden at ansvaret for konklusionen flytter.
Uden arbejdsdelingen hører bestyrelsen den samme historie fra tre kilder, mens andre områder ikke bliver set af nogen. Anden linje kommer til at måle sig selv, og en ren påtegning fra revisor bliver læst som et udsagn om cybersikkerheden, den aldrig har været.
Det skal I lade være med
- At tage revisors påtegning som en vurdering af cybersikkerheden · den handler om regnskabet.
- At lade den, der har indført kontrollen, give den karakter · det er ikke uafhængigt.
- At gøre en IIA-standard til et lovkrav · den binder funktionen, der har tilsluttet sig.
- At lukke fund uden at sige, hvem der har set beviset · tre slags lukning er ikke ens.
Det skal gennemgangen kunne vise
- ☐ Hvilken linje der står bag hvert tal i rapporten til bestyrelsen.
- ☐ Hvordan intern revision dækker cybersikkerhed i sin plan.
- ☐ Hvilke af IIA’s cyberkrav der er valgt fra, og hvorfor.
- ☐ Hvem der har verificeret de lukkede fund.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Auditprogram over flere år · Bestyrelse og revisionsudvalg
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
Skal modenheden i jeres koncern måles?
Skriv kort, hvilke enheder det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Målingen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
