Intern revision kender virksomheden, dens processer og dens historie, og den rapporterer til bestyrelsen. En ekstern sikkerhedsvurdering bringer specialviden og sammenligning udefra. Arbejdsdelingen fungerer, når intern revision ejer konklusionen over for bestyrelsen og bruger den eksterne vurdering som et grundlag, den selv har vurderet.
Det går galt, når de to arbejder hver for sig. Så stiller begge de samme spørgsmål til de samme enheder, og bestyrelsen får to rapporter, der ikke taler sammen.
Hvad intern revision er bedst til
Den interne audit-funktion har efter IIA’s Three Lines Model den højeste grad af objektivitet i organisationen, ud over det første og anden linje kan give. Den har fri adgang til personer og data, kender beslutningsgangene og kan følge et fund over flere år. Den ser cybersikkerhed i sammenhæng med resten af virksomhedens styring, fx økonomi, compliance og projekter.
Det er praksis, at intern revision er stærkest i det, der handler om styring: ansvar, beslutninger, opfølgning og om rapporteringen til bestyrelsen holder.
Hvad den eksterne vurdering er bedst til
En ekstern part kan bringe dyb teknisk viden, et bredt kendskab til rammeværk og et sammenligningsgrundlag fra andre organisationer. Modellen beskriver eksterne leverandører af sikkerhed som en kilde, ledelse og bestyrelse kan vælge for at supplere de interne kilder.
Global Internal Audit Standards peger på det samme. Vejledningen til standard 3.1 peger på en uafhængig part udefra, hvis funktionen mangler den nødvendige viden. Under standard 9.5 nævnes specialområder uden for funktionens kompetence som en af grundene til at bygge på andres arbejde.
Hvordan de bygger på hinanden
Standard 9.5 er den vigtigste regel for arbejdsdelingen. Revisionschefen skal afstemme arbejdet med de andre, der giver sikkerhed, i og uden for huset, og overveje, om deres resultater kan bruges. Hvorfor de kan bruges, skrives ned, og konklusionen forbliver revisionens egen.
Vejledningen til standarden nævner, hvad der vurderes, før man bygger på en anden part: den anden parts interessekonflikter og rapporteringslinjer, dens kvalifikationer og metode, og om dens konklusioner er underbygget af nok bevis. Det er en nyttig liste for en koncern, også når den interne revision ikke er bundet af standarderne.
Modellens fjerde princip siger det samme kort: tredje linje må trække på andres arbejde.
En arbejdsdeling i praksis
Opdelingen nedenfor er tænkt. Den viser én måde at fordele opgaverne på i en koncern med intern revision og en ekstern sikkerhedsvurdering hvert år.
- (Revisionsplan og valg af områder) · Intern revision: Ejer og indstiller til bestyrelsen · Ekstern vurdering: Giver input om trusler og tekniske risici
- (Styring, ansvar og opfølgning) · Intern revision: Vurderer selv · Ekstern vurdering: Indgår i den samlede score
- (Tekniske kontroller og konfiguration) · Intern revision: Vurderer grundlaget og metoden · Ekstern vurdering: Udfører gennemgangen
- (Konklusion til revisionsudvalget) · Intern revision: Skriver og står inde for den · Ekstern vurdering: Leverer sin rapport som bilag
Det afgørende er sidste række. Den eksterne rapport kan ligge bag konklusionen, men det er intern revision, der over for udvalget har vurderet, om den kan bruges.
Hvem bestiller den eksterne vurdering?
Bestiller intern revision selv den eksterne vurdering, indgår den som en del af funktionens arbejde. Bestiller sikkerhedsfunktionen den, er den anden linjes redskab, og intern revision skal så vurdere den som enhver anden kilde. Bestiller bestyrelsen den direkte, er den et selvstændigt supplement. Valget er praksis, men det bør stå klart i opdraget, fordi det afgør, hvem rapporten skal hjælpe.
I den offentlige sektor findes egne regler for revision og tilsyn. De er samlet på sitet om revision og tilsyn med IT i det offentlige og indgår ikke her.
Hvis I er en finansiel virksomhed
Revisionsbekendtgørelsen for finansielle virksomheder tillader, at intern revision bruger eksperter og outsourcing, men ansvaret for konklusionen mindskes ikke. Den tilføjer, at revisionen ikke må lade kontrolfunktionernes arbejde stå alene, fordi de er mindre uafhængige. Revisionen skal selv efterprøve det. Reglerne gælder kun finansielle virksomheder, men de viser, hvordan en lovgiver har trukket linjen.
Når de to når forskellige resultater
Det sker, at intern revision og en ekstern vurdering ser forskelligt på samme område. Den ene kan have set processen, den anden konfigurationen. Det er praksis at stille de to vurderinger op mod hinanden, før de går til revisionsudvalget, og at forklare forskellen frem for at vælge den pæneste.
Efter standard 9.5 er det intern revision, der bærer ansvaret for sin egen konklusion. Er den uenig i den eksterne rapport, skal den sige det og begrunde det. En uforklaret forskel mellem to rapporter er i sig selv en oplysning, udvalget bør få.
Hvad det kræver, og hvad det koster at lade være
Det kræver en aftale mellem intern revision og den, der bestiller den eksterne vurdering, om omfang, adgang til arbejdspapirer og tidsplan. Det kræver også, at intern revision dokumenterer, hvorfor den kan bygge på den eksterne rapport.
Uden aftalen bliver enhederne besøgt to gange for de samme spørgsmål. Bestyrelsen får to konklusioner, som ingen har stillet op mod hinanden, og huller mellem de to forbliver usynlige. Til sidst er det revisionsudvalget, der skal finde ud af, hvilken af de to rapporter det skal tro på, og det er ikke udvalgets opgave.
Det skal I lade være med
- At lade den eksterne rapport stå som intern revisions konklusion · intern revision bevarer ansvaret.
- At bygge på et arbejde, ingen har vurderet · metode, kvalifikationer og bevis skal ses først.
- At planlægge de to hver for sig · koordinering er en del af standarden.
Det skal gennemgangen kunne vise
- ☐ En aftale om arbejdsdelingen mellem intern revision og den eksterne vurdering.
- ☐ Dokumentation for, hvorfor intern revision kan bygge på den eksterne rapport.
- ☐ Bestiller og modtager af den eksterne vurdering.
- ☐ En plan, der viser, at intet område bliver gennemgået dobbelt.
Kilder
- IIA, The IIA’s Three Lines Model (2020, opdateret september 2024), princip 4 og s. 8 og 12, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 3.1 og 9.5, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, bilag 4, pkt. 1.3 og 2.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt intern revision og den, der bestiller jeres eksterne vurdering, sammen om én fælles plan for næste år.
Læs også: Egen cyberrevisionskapacitet, fælles løsning eller rent køb · Auditkalenderen
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
