At en koncernpolitik er vedtaget, siger intet om, hvorvidt den er kendt og fulgt ude i enhederne. Afstanden måles i tre lag: om politikken er nået frem, om den er omsat til lokale procedurer, og om procedurerne bliver fulgt i hverdagen. Hvert lag kræver sin egen form for bevis.
Mange modenhedsmålinger stopper ved det første lag. Spørgsmålet “har I en politik for adgangsstyring?” bliver besvaret med et ja, fordi koncernen har en. Det fortæller ikke, hvordan adgange faktisk bliver givet og fjernet på fabrikken i Jylland.
Tre lag mellem politik og praksis
- Kendt · Spørgsmål: Kender de ansvarlige i enheden politikken og den gældende version? · Bevis: Interview, kvittering for modtagelse, lokal henvisning til politikken
- Omsat · Spørgsmål: Er politikken oversat til lokale procedurer, roller og værktøjer? · Bevis: Lokale procedurer, rollebeskrivelser, opsætning i systemerne
- Fulgt · Spørgsmål: Bliver procedurerne fulgt? · Bevis: Stikprøver i sager, logfiler, observation
Opdelingen er sitets egen. Med den kan man se, i hvilket lag afstanden opstår. En enhed kan kende politikken godt og stadig mangle procedurer. En anden kan have gode procedurer, som ingen følger.
Hvorfor politikken ofte ikke er nået frem
Der er nogle tilbagevendende grunde. Politikken er skrevet til hovedkontorets forhold og passer dårligt til en fabrik eller et lager. Den er kun på ét sprog. Den er sendt ud én gang og aldrig fulgt op. Den lokale IT-chef er skiftet, og den nye kender den ikke. Eller den lokale ledelse er uenig i den og har valgt sin egen vej uden at sige det.
Ingen af grundene viser sig i et ja-nej-skema. De viser sig, når man spørger ind til, hvordan noget konkret foregår, og sammenholder svaret med politikkens ordlyd.
Sådan måles hvert lag
Kendt. Spørg den ansvarlige i enheden, hvilken version af politikken der gælder, og hvad den siger om et konkret emne. Svaret er hurtigt at få og siger meget.
Omsat. Bed om de lokale procedurer, der bygger på politikken. Mangler de, eller henviser de til en ældre version, er det et fund. Se også, om systemerne er sat op, så politikken kan overholdes. En politik om stærk autentifikation hjælper ikke, hvis den lokale løsning ikke understøtter det.
Fulgt. Tag en stikprøve af sager, fx nye medarbejdere, fratrædelser eller ændringer, og se, om procedurerne er fulgt. Det er det tungeste lag at måle og det, der siger mest. Vælg sagerne selv, så enheden ikke kan pege på de pæneste eksempler.
Når intern revision reviderer cybersikkerhed
IIA’s Cybersecurity Topical Requirement, som binder de interne revisionsfunktioner, der har valgt IIA’s standarder, kræver bl.a., at intern revision vurderer, om politikker og procedurer for cybersikkerhed er etableret og periodisk opdateret, og om roller og ansvar er etableret. Kravet gælder fra 5. februar 2026 ifølge IIA og binder den interne audit-funktion, ikke virksomheden. Det vurderer design og implementering.
For en koncern betyder det, at intern revision under en cyberopgave kommer til at se på netop afstanden mellem koncernens politik og enhedernes procedurer. En modenhedsmåling, der allerede har kortlagt de tre lag, er et godt udgangspunkt for det arbejde.
Versioner og ejerskab af politikken
Afstanden bliver større, når politikken ændres, uden at enhederne får det at vide. En koncernpolitik bør have et versionsnummer, en ejer og en liste over, hvem i hver enhed der skal have besked ved ændringer. Når målingen spørger, hvilken version der gælder lokalt, er svaret en hurtig indikator. Kender enheden kun en ældre version, er der en fejl i kommunikationen og ikke nødvendigvis i enhedens vilje.
Det hjælper også, at politikken siger, hvad der er bindende, og hvad der er vejledning. Mange politikker blander de to, og enhederne vælger selv, hvad de opfatter som krav. Måles afstanden kun på de bindende krav, bliver resultatet både skarpere og lettere at forklare for den lokale ledelse.
Hvad afstanden fortæller
En stor afstand er ikke altid enhedens skyld. Er politikken umulig at følge på en lokation, er det politikken, der skal ændres, eller der skal gives en dispensation. Hvordan en koncern formulerer et fælles minimum og håndterer undtagelser, er beskrevet i koncernens baseline.
Rapportér derfor afstanden med årsag. “Politikken kendes ikke” peger på kommunikation. “Politikken kan ikke følges med de lokale systemer” peger på investering eller dispensation. “Politikken følges ikke, selv om den kan” peger på ledelse.
En sammenligning af de tre lag på tværs af enheder kan også vise, om problemet sidder centralt. Mangler alle enheder lokale procedurer på samme område, er det sandsynligvis politikken, der er uklar.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at målingen går ud over spørgsmålet om, hvorvidt der findes en politik, og at der er tid til interview og stikprøver i enhederne. Det kræver også, at koncernen er villig til at ændre sin egen politik, når målingen viser, at den ikke passer.
Uden den måling tror ledelsen, at politikken er implementeret, fordi den er vedtaget. Afstanden opdages først ved en hændelse, og så står koncernen med en politik, der siger det rigtige, og en praksis, der gjorde noget andet.
Det skal I lade være med
- At tælle en vedtaget koncernpolitik som implementeret i alle enheder · det er kun det første skridt.
- At give enheden skylden for hele afstanden · politikken kan være umulig at følge lokalt.
- At måle uden stikprøver · det er i hverdagens sager, afstanden viser sig.
Det skal gennemgangen kunne vise
- ☐ Den gældende version af koncernpolitikken og hvem der har modtaget den.
- ☐ Lokale procedurer i hver enhed med henvisning til politikken.
- ☐ Stikprøver, der viser, om procedurerne følges.
- ☐ Afstanden pr. enhed og område med angivet årsag.
Kilder
- The Institute of Internal Auditors, Cybersecurity Topical Requirement, februar 2025, Governance B og C, læst 14. november 2026.
- IIA, Cybersecurity Topical Requirement (side med udstedelses- og ikrafttrædelsesdato), læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg ét område i koncernpolitikken, og spørg tre enheder, hvordan det konkret foregår hos dem.
Læs også: Uklart ansvar mellem koncern-CISO og enhederne · IIA’s Cybersecurity Topical Requirement
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
