Efter IIA’s standarder må intern revision gerne rådgive, også om cybersikkerhed, men før den senere giver sikkerhed på samme område, skal revisionschefen bekræfte, at rådgivningen ikke har svækket objektiviteten. I finansielle virksomheder er reglerne strengere: dér må intern revision kun revidere.
Spørgsmålet dukker ofte op, når en koncern bygger sit sikkerhedsprogram. Intern revision kender kontrollerne bedst, og det er fristende at bede den om hjælp til at designe dem.
Hvad rådgivning er efter IIA
Global Internal Audit Standards definerer rådgivning som ydelser, hvor funktionen hjælper uden at give sikkerhed og uden at påtage sig ledelsesansvar. Ordlisten nævner rådgivning om design af politikker og systemer, træning og facilitering som eksempler.
Grænsen går ved ledelsesansvar. Ifølge IIA’s Three Lines Model holder revisionen sig fri af ledelsens beslutninger og siger nej til at give sikkerhed for noget, den selv har stået for, også i den nære fortid.
Reglerne i standard 2.2
Standard 2.2 om objektivitet indeholder tre regler, der er relevante her. Med egne ord:
- Eget ansvar · en intern revisor må ikke vurdere aktiviteter, vedkommende selv har haft ansvar for. Objektiviteten formodes svækket, hvis revisoren giver sikkerhed inden for 12 måneder efter at have haft ansvaret.
- Tidligere rådgivning · har funktionen rådgivet på et område, skal revisionschefen før en assurance-opgave bekræfte, at rådgivningen ikke svækker objektiviteten, og fordele medarbejderne derefter.
- Revisionschefens egne områder · assurance på områder, revisionschefen selv har ansvar for, skal overvåges af en uafhængig part uden for funktionen.
Rådgivning er altså ikke det samme som ansvar. En revisor, der har kommenteret et udkast til en adgangspolitik, har ikke ejet politikken. En revisor, der har styret indførelsen af den, har.
Et tænkt eksempel
En tænkt koncern beder intern revision om at kommentere designet af en ny proces for privilegerede adgange. Revisionen leverer sine kommentarer, men sikkerhedsfunktionen træffer alle beslutninger og ejer processen.
Året efter skal processen revideres. Revisionschefen vurderer, om rådgivningen svækker objektiviteten, og lader en medarbejder, der ikke var med i rådgivningen, lede opgaven. Vurderingen og fordelingen dokumenteres. Det er i tråd med standard 2.2.
Havde intern revision selv drevet indførelsen, ville den have haft ansvar for aktiviteten. Så ville en assurance-opgave inden for 12 måneder være udelukket efter standarden, og sikkerheden skulle komme fra en anden.
Finanssektorens strengere regler
Revisionsbekendtgørelsen for finansielle virksomheder går længere. § 21 siger, at revisionschefen og medarbejderne ikke må deltage i andet arbejde end revision, ikke må påtage sig noget, der kan så tvivl om uafhængigheden hos en velorienteret udenforstående, og at revisionschefen ikke må udtale sig om noget, revisionen selv eller dens konsulenter har lagt grunden til.
Bilag 4 uddyber. Intern revision må fx ikke udføre kontrolopgaver, stå for indførelse af ændrede driftsrutiner eller den daglige overvågning og rapportering af målopfyldelse. Den kan ikke påtage sig udviklings- og kontrolopgaver og kan ikke varetage compliancefunktionen, fordi det ville være selvrevision.
Finanstilsynet er ifølge IIA Danmark i gang med at høre branchen, før bekendtgørelsen eventuelt revideres. Reglerne ovenfor gjaldt, da artiklen blev skrevet. Kontrollér, om de er ændret, før I bygger på dem.
Hvad det betyder for en koncern uden for finans
En koncern uden for finans er ikke bundet af bekendtgørelsen. Følger den interne revision IIA’s standarder, er rammen standard 2.2. Følger den ingen standard, er der ingen regel, og så er det bestyrelsens egen beslutning, hvor grænsen skal gå.
Det er praksis at skrive grænsen ind i funktionens charter. Chartret kan sige, hvilke typer rådgivning funktionen må give, hvordan det registreres, og hvordan revisionschefen vurderer objektiviteten før en senere revision. Så kan revisionsudvalget se, hvad der er rådgivet om, når det godkender revisionsplanen.
Rådgivning et sted, revision et andet
I en koncern sker rådgivningen ofte ét sted og revisionen et andet. Intern revision kan have rådgivet koncernens sikkerhedsfunktion om en fælles politik, som senere skal revideres i et datterselskab. Det er sitets tolkning, at standard 2.2 også gælder her, fordi det er samme område. Loggen bør derfor registrere området og ikke kun selskabet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en log over funktionens rådgivningsopgaver med område og dato, og en dokumenteret vurdering, hver gang et af de områder senere skal revideres. Det kræver også, at sikkerhedsfunktionen ved, at rådgivning ikke er en godkendelse.
Uden loggen kan revisionen ende med at give sikkerhed for noget, den selv var med til at forme. Det svækker tilliden til konklusionen, og i en finansiel virksomhed kan det være i strid med reglerne. Det er også svært for revisionsudvalget at vurdere en konklusion, når det ikke ved, at funktionen selv har været med til at forme det, den har revideret.
Det skal I lade være med
- At lade intern revision eje eller indføre kontroller · det er ledelsesansvar og udelukker senere assurance.
- At revidere et område uden at vurdere tidligere rådgivning · standard 2.2 kræver en bekræftelse fra revisionschefen.
- At bruge IIA’s regler i en finansiel virksomhed alene · bekendtgørelsen er strengere.
Det skal gennemgangen kunne vise
- ☐ En log over rådgivningsopgaver med område og dato.
- ☐ Revisionschefens vurdering af objektiviteten før assurance på samme område.
- ☐ Hvilke medarbejdere der rådgav, og hvilke der reviderede.
- ☐ Chartrets beskrivelse af tilladt rådgivning.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 2.2 og ordlisten, læst 14. november 2026.
- IIA, The IIA’s Three Lines Model (2020, opdateret september 2024), s. 11, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, § 21 og bilag 4, læst 14. november 2026.
- IIA Danmark, nyhed om møde med Finanstilsynet, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over de områder, jeres interne revision har rådgivet om de seneste to år.
Læs også: Finansiel virksomhed: intern revision fra 125 fuldtidsansatte · Global Internal Audit Standards
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
