Når et fund lukkes i en koncern, kan det betyde tre forskellige ting: at enheden melder det løst, at anden linje har set beviset, eller at intern revision har efterprøvet det. De tre giver bestyrelsen forskellig sikkerhed, og fundregistret bør vise, hvilken af dem der ligger bag hver lukning.
Uden den skelnen kan en rapport til revisionsudvalget vise mange lukkede fund, selv om de fleste kun er lukket på enhedens eget ord.
Tre niveauer af lukning
Opdelingen i tre niveauer er sitets egen. Den bygger på rollerne i IIA’s Three Lines Model.
- Meldt løst · Hvem: Enheden, første linje · Hvad der er sket: Ejeren af fundet oplyser, at handlingen er gennemført · Sikkerheden for bestyrelsen: Ledelsens egen oplysning
- Bevis set · Hvem: Anden linje, fx sikkerhedsfunktionen · Hvad der er sket: Nogen uden for enheden har set dokumentation for handlingen · Sikkerheden for bestyrelsen: Ledelsens kontrol, ikke uafhængig
- Efterprøvet · Hvem: Intern revision eller en uafhængig part · Hvad der er sket: Handlingen er efterprøvet, og det er vurderet, om den virker · Sikkerheden for bestyrelsen: Uafhængig sikkerhed
Ikke alle fund skal op på tredje niveau. Pointen er, at niveauet skal fremgå, så ingen tror, at et fund er efterprøvet, når det kun er meldt løst.
Hvad IIA’s standard siger om opfølgning
Global Internal Audit Standards beskriver i standard 15.2, hvordan intern revision følger op. Revisionen skal bekræfte, at ledelsen har gennemført anbefalinger eller handlingsplaner, efter en fastlagt metode. Metoden kan omfatte forespørgsel om fremdrift, risikobaserede opfølgende vurderinger og opdatering af status i et opfølgningssystem. Omfanget afhænger af, hvor betydeligt fundet er.
Overskrides en frist, indhentes og dokumenteres en forklaring, og revisionschefen tager stilling til, om direktionen reelt har accepteret en risiko over tolerancen ved at lade sagen ligge. Opfølgende vurderinger af afsluttede handlingsplaner kan udføres selektivt efter risikoens betydning.
Det sidste er vigtigt for en koncern med mange fund. Intern revision skal ikke efterprøve alt. Den skal vælge efter risiko og kunne forklare valget.
Revisionsudvalgets rolle
Anbefalinger for god Selskabsledelse fra december 2020 giver revisionsudvalget til opgave at følge, hvordan direktionen handler på det, den interne revision konkluderer og anbefaler. Anbefalingerne er soft law for børsnoterede selskaber, og andre kan hente inspiration i dem.
Udvalget overvåger. Det lukker ikke selv fund. Men det kan bede om at se, på hvilket niveau fundene er lukket, og hvor mange der kun er meldt løst.
Finanssektoren som sammenligning
I finanssektoren er opfølgningen skrevet ind i reglerne. Efter DORA’s artikel 6, stk. 7, skal revisionens konklusioner følges af en formel proces, der sikrer, at kritiske resultater rettes og kontrolleres i tide. Revisionsbekendtgørelsen for finansielle virksomheder kræver i § 28 en status over alle bemærkninger i protokollatet, også de åbne fra året før.
Reglerne gælder kun finansielle virksomheder. De viser, at en lovgiver har set det som vigtigt, at kritiske fund efterprøves, og at åbne fund ikke forsvinder fra år til år.
Sådan bruges niveauerne i fundregistret
Det følgende er praksis. Fundregistret får et felt for lukningsniveau ved siden af status. Et fund kan skifte fra meldt løst til bevis set til efterprøvet, og datoen for hvert skift registreres.
Koncernen kan aftale, hvilket niveau forskellige fund skal nå. Et tænkt eksempel: fund med høj alvorlighed skal mindst have bevis set af anden linje, og intern revision efterprøver et udvalg af dem efter risiko. Fund med lav alvorlighed kan lukkes på enhedens melding.
Rapporten til revisionsudvalget kan så vise antallet af lukkede fund fordelt på niveau. Hvordan man i den enkelte audit beviser, at et fund er lukket, hører til den almindelige sikkerhedsaudit. Hvordan registret holdes samlet for hele koncernen, står i fundregistret for hele koncernen.
Når anden linje selv ejer fundet
Nogle fund ligger hos sikkerhedsfunktionen selv, fx en mangel i koncernens overvågning. Så kan anden linje ikke se sit eget bevis med samme troværdighed, og fundet bør efterprøves af intern revision eller en uafhængig part. Det følger af samme tanke som i når anden linje måler sig selv.
Et tænkt forløb
Et tænkt fund om manglende gennemgang af privilegerede adgange i et datterselskab får en frist i marts. Den lokale IT-chef melder det løst i februar. Sikkerhedsfunktionen beder om udtrækket fra den første gennemgang og ser, at den er udført og godkendt. Fundet står nu som bevis set.
Ved årets opfølgning vælger intern revision fundet ud, fordi det har høj alvorlighed. Revisionen ser, om gennemgangen er gentaget efter planen, og om de fjernede adgange faktisk er væk. Først da står fundet som efterprøvet. Hvert skift har fået en dato i registret, så udvalget kan se, hvor lang tid der gik.
Hvad det kræver, og hvad det koster at lade være
Det kræver et ekstra felt i fundregistret, en aftale om, hvilket niveau forskellige fund skal nå, og at anden linje og intern revision har tid til at se bevis og efterprøve. Det kræver også, at rapporten til udvalget viser niveauerne.
Uden det lukkes fund på papiret. Det samme fund dukker op igen ved næste vurdering, og bestyrelsen har i mellemtiden fået at vide, at det var løst. Gentagne fund er ofte et tegn på netop det, og de koster tillid hos både udvalget og enhederne.
Det skal I lade være med
- At rapportere lukkede fund uden at oplyse niveauet · udvalget kan ikke se, hvad lukningen bygger på.
- At kræve efterprøvning af alt · standarden tillader at vælge efter risiko.
- At lade anden linje lukke sine egne fund · det giver ikke uafhængig sikkerhed.
Det skal gennemgangen kunne vise
- ☐ Et fundregister med lukningsniveau og dato for hvert skift.
- ☐ En aftale om, hvilket niveau fund med forskellig alvorlighed skal nå.
- ☐ Intern revisions udvælgelse af fund til efterprøvning og begrundelsen.
- ☐ Forklaringer på overskredne frister.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 15.2, læst 14. november 2026.
- Komitéen for god Selskabsledelse, Anbefalinger for god Selskabsledelse, 2. december 2020, anbefaling 3.4.3, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 7, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, § 28, læst 14. november 2026.
- IIA, The IIA’s Three Lines Model (2020, opdateret september 2024), læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tæl, hvor mange af jeres lukkede fund fra sidste år der kun er meldt løst af enheden selv.
Læs også: Risikoaccept af fund · DORA artikel 6
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
