Når koncernen er midt i et ERP-skifte, en reorganisering eller en outsourcing, er der tre muligheder for den planlagte måling: at udskyde den, at afgrænse den eller at gennemføre den som et bevidst før-billede. Det rigtige valg afhænger af, om målingen skal sige noget om, hvordan det er nu, eller om, hvordan det bliver.
En måling midt i en forandring er ikke spildt. Men den skal tilrettelægges, så resultatet ikke bliver læst som et billede af en tilstand, der er ved at forsvinde.
Hvorfor forandringen påvirker målingen
En stor forandring flytter kontroller. Ved et ERP-skifte skifter adgangsstyringen, logningen og ændringsstyringen for de vigtigste forretningssystemer. Ved en reorganisering skifter ansvaret, og nogle roller står tomme i en periode. Ved en outsourcing flytter driften og dermed en stor del af de kontroller, der skal måles, over til en leverandør.
I alle tre tilfælde kan en måling ramme et øjebliksbillede, hvor de gamle kontroller er ved at blive afviklet, og de nye endnu ikke er på plads. Scoren falder, men det siger måske mere om tidspunktet end om modenheden.
Hvad reglerne siger om forandringer
Bilaget til gennemførelsesforordning 2024/2690 knytter flere steder gennemgangene til forandringer. Overvågningen af overholdelse i punkt 2.2.3, den uafhængige gennemgang i punkt 2.3.4 og effektivitetsvurderingen i punkt 7.3 skal gentages med faste mellemrum og desuden, når drift eller risici ændrer sig væsentligt, eller der sker en væsentlig hændelse. Forordningen binder alene de digitale udbydere, den selv opregner; for en industri- eller servicekoncern er den et forbillede.
I DORA’s artikel 6, stk. 5, skal finansielle enheder gennemgå IKT-risikorammen efter større IKT-relaterede hændelser. Det er et krav til den finansielle sektor og ikke til andre.
Standard 9.4 i IIA’s regelsæt kræver, at revisionsplanen er dynamisk og opdateres ved ændringer i forretning, risici, systemer og kultur. Hvad der tæller som en væsentlig ændring, bør efter vejledningen være aftalt med bestyrelsen, før den opstår.
Fælles for kilderne er, at forandring er en grund til at se efter, ikke en grund til at lade være.
Udskyd målingen
Udskydelse giver mening, når forandringen er tæt på at være færdig, og målingen ellers ville måle noget, der forsvinder om få måneder. Det giver også mening, når de mennesker, der skal interviewes, er fuldt optaget af forandringen.
Ulempen er, at måleserien får et hul, og at koncernen kan stå uden et billede i netop den periode, hvor risikoen er størst. Udskydelsen bør derfor begrundes over for revisionsudvalget og have en ny dato.
Afgræns målingen
Den anden mulighed er at måle det, der ikke ændrer sig, og lade de berørte områder vente. Ved et ERP-skifte kan målingen dække styring, kontinuitet, leverandørstyring og de systemer, der ikke er berørt, og udskyde vurderingen af ERP-området til efter idriftsættelsen.
Det er praksis at markere de udskudte områder tydeligt i rapporten og ikke beregne en koncernscore, der ser fuldstændig ud. Enten beregnes scoren uden de udskudte områder og markeres som delvis, eller sidste års resultat for området bruges og markeres som gammelt.
Brug målingen som før-billede
Den tredje mulighed er at gennemføre målingen bevidst før forandringen og bruge den som udgangspunkt. Det passer især ved outsourcing og centralisering, hvor ledelsen gerne vil kunne vise, om forandringen gjorde sikkerheden bedre eller dårligere. En måling før og en måling efter med samme skala og samme spørgsmål giver et sammenligningsgrundlag.
Hvordan en måling før og efter en outsourcing tilrettelægges, er beskrevet i outsourcing af driften. Kontrollen af den nye leverandør er et andet spørgsmål end koncernens egen modenhed og hører til leverandørens audit.
Forandringen som område i sig selv
Uanset valget kan selve forandringen være et emne for vurderingen. Er sikkerheden med i projektet? Er der en plan for, hvordan kontrollerne flyttes? Har nogen ansvaret for de roller, der står tomme? Det er spørgsmål, en vurdering kan stille midt i forandringen og få nyttige svar på. Den almene tilgang til en audit under forandring er beskrevet under den almene auditmetode.
Det er sitets vurdering, at en kort vurdering af selve forandringsprojektet ofte giver mere værdi end en fuld måling af en tilstand, der er ved at ændre sig.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den, der styrer målingen, kender koncernens store projekter og deres tidsplaner, og at valget mellem de tre muligheder træffes bevidst og begrundes. Det kræver også, at revisionsudvalget accepterer en rapport, der er delvis.
Gennemføres målingen uden at tage hensyn til forandringen, får bestyrelsen et fald i scoren, som ingen kan forklare, eller en stigning, der skyldes, at de svære områder ikke blev set. Begge dele svækker tilliden til måleserien.
Det skal I lade være med
- At beregne en fuld koncernscore med udskudte områder · tallet ser mere komplet ud, end det er.
- At udskyde uden ny dato · hullet i måleserien bliver permanent.
- At blande koncernens egen modenhed sammen med leverandørens · det er to forskellige vurderinger.
Det skal gennemgangen kunne vise
- ☐ En oversigt over igangværende forandringer, der berører målingen.
- ☐ Et begrundet valg mellem at udskyde, afgrænse og måle før.
- ☐ Tydelig markering af udskudte områder i rapporten.
- ☐ En dato for den opfølgende måling.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 2.2.3, 2.3.4 og 7.3, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 5, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg koncernens store projekter ved siden af måleplanen, og beslut for hvert berørt selskab, om målingen skal vente, afgrænses eller tages som før-billede.
Læs også: Skift af ramme midt i en måleserie · Når scoren falder
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
