Når hvert selskab i koncernen har sit eget risikoregister med sin egen skala, sine egne kategorier og sine egne ejere, kan registrene ikke lægges sammen til et billede for hele koncernen. En høj risiko i ét selskab betyder noget andet end en høj risiko i et andet, og koncernens samlede risikobillede bliver en sum af tal, der ikke kan sammenlignes. Det rettes med en fælles skala, fælles kategorier og en fast måde at samle registrene på.
Den amerikanske standardiseringsmyndighed NIST har beskrevet netop denne sammenlægning i sin vejledning om at integrere cybersikkerhed i virksomhedens samlede risikostyring.
Sådan ser fundet ud
Fundet viser sig, når koncernen beder selskaberne om deres største risici og får svar i vidt forskellige former. Ét selskab bruger en skala med tre trin, et andet med fem. Ét vurderer sandsynlighed og konsekvens hver for sig, et andet giver én samlet score. Ét har kategorien “IT”, et andet skelner mellem tyve tekniske kategorier. Og ejeren er i ét selskab en navngiven direktør, i et andet “IT-afdelingen”.
Når koncernens risikofunktion prøver at lægge registrene sammen, må den enten oversætte hvert register med egne skøn, eller den må vise selskabernes risici side om side uden at kunne sammenligne dem. I begge tilfælde får bestyrelsen et billede, der ikke kan bruges til at prioritere.
Hvad NIST’s vejledning siger
NIST IR 8286 Rev. 1, “Integrating Cybersecurity and Enterprise Risk Management (ERM)”, udgivet i december 2025, siger i sit resumé, at mange virksomheder ikke kommunikerer deres cyberrisici på konsistente og gentagelige måder, og at sammenlægningen af cyberrisici ofte er ad hoc og ikke sker med samme stringens som for andre risikotyper.
Afsnit 3.1 anbefaler, at ledelsen giver vejledning om, hvordan risiko beregnes, og at en fælles skala for at vurdere risikoniveauer understøtter ensartet vurdering, måling og rapportering. Fælles risikokategorier understøtter sammenlægningen.
Afsnit 3.8 beskriver, hvad der sker, når registrene fra systemer og organisationsenheder er færdige. Risiciene samles i ensartede kategorier, de normaliseres, så definitioner og værdier fra forskellige enheder bliver ensartede, og de analyseres for, om de er relevante på det niveau, de nu skal vurderes på. Vejledningen nævner, at manuel sammenlægning i regneark er tidskrævende, og anbefaler automatisering.
Afsnit 3.9 knytter risiciene til virksomhedens mål, strategiske, driftsmæssige, rapportering og compliance, for at gøre sammenlægning, normalisering og prioritering mulig. Afsnit 4 beskriver et porteføljesyn med et virksomhedsregister bygget af de normaliserede registre.
Vejledningen er skrevet til amerikanske forhold, men tilgangen er generel.
De tre greb, der retter fundet
Ud fra vejledningen kan fundet lukkes med tre greb:
- Fælles skala · Alle selskaber vurderer sandsynlighed og konsekvens på samme skala med samme beskrivelser af trinene
- Fælles kategorier · Alle risici placeres i et fælles sæt kategorier, som koncernens risikofunktion fastlægger
- Normalisering · Lokale registre, der ikke kan skifte skala med det samme, oversættes efter en fast nøgle, før de samles
Den fælles skala er den vigtigste, men også den sværeste, fordi selskaberne skal opgive deres vante måde at vurdere på. Det er praksis at indføre den ved næste årlige risikovurdering og at bruge en oversættelsesnøgle i overgangen.
Koblingen til modenhedsscoren
Risikoregistret og modenhedsmålingen bør tale samme sprog. En lav modenhedsscore på et område bør kunne genfindes som en risiko i registret, og en høj risiko bør kunne kobles til de kontroller, målingen ser på. Når registrene ikke kan lægges sammen, kan koblingen heller ikke laves på koncernniveau. Hvordan koblingen bygges, er beskrevet i fra modenhedsscore til risiko.
Det fælles register som koordinering
Vejledningen til standard 9.5 hos IIA bruger et fælles risikoregister som eksempel på, hvordan revisionen kan koordinere med andre, der giver sikkerhed. Et register, der kan lægges sammen, er altså også et redskab for intern revision og anden linje, ud over risikofunktionen.
Et tænkt eksempel
Tænk jer to datterselskaber, der begge har ransomware som deres største risiko. Det ene har vurderet den til fire på en skala til fem og placeret den under kategorien drift. Det andet har givet den en samlet score på ni på en skala til femogtyve og placeret den under IT. I koncernens oversigt står de to som forskellige risici med forskellig vægt, selv om det er den samme trussel mod den samme slags systemer. Først med fælles skala og kategori kan koncernen se, at den har én stor risiko i to selskaber. Eksemplet er tænkt.
Hvad en vurdering ser efter
En vurdering ser efter, om der findes en fælles skala og fælles kategorier, om de bruges i alle selskaber, og om koncernens samlede register er bygget af selskabernes ved en fast metode. Den ser også efter ejerskab: om hver risiko har en navngiven ejer med mandat, eller om ejeren er en afdeling.
Det er sitets anbefaling at teste med en stikprøve: Vælg en risiko, der optræder i flere selskaber, og se, om den har samme kategori og sammenlignelig vurdering i alle. Gør den ikke det, er fundet bekræftet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernens risikofunktion fastlægger skala og kategorier, at selskaberne går over til dem, og at der findes en fast metode til at samle registrene. Det kræver også, at overgangen planlægges, så måleserien ikke brydes uden forklaring.
Lader man det være, kan koncernen ikke prioritere mellem selskabernes risici, og bestyrelsen får et risikobillede, der i praksis er en samling af lokale meninger.
Det skal I lade være med
- At lægge registre med forskellige skalaer sammen uden oversættelse · tallene betyder noget forskelligt.
- At lade “IT-afdelingen” stå som risikoejer · ejeren skal være en person med mandat.
- At indføre en ny skala uden overgangsnøgle · så brydes sammenligningen med sidste år.
Det skal gennemgangen kunne vise
- ☐ En fælles skala og fælles kategorier, fastlagt af koncernen.
- ☐ Spor af, at alle selskaber bruger dem, eller en dokumenteret oversættelsesnøgle.
- ☐ En fast metode til at samle selskabernes registre.
- ☐ Navngivne risikoejere med mandat.
Kilder
- NIST, Integrating Cybersecurity and Enterprise Risk Management (ERM), NIST IR 8286r1, december 2025, resumé og afsnit 3.1, 3.8, 3.9 og 4, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.5, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg en risiko, der optræder i flere selskaber, og sammenlign, hvordan hvert selskab har vurderet og kategoriseret den.
Læs også: Benchmark på tværs af forretningsenheder · Risikoaccept af fund
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
