Der findes intet fast antal. Hvor mange lokationer og selskaber der skal besøges, afhænger af, hvor meget de ligner hinanden, hvor kritiske de er, og hvad resultatet skal bruges til. En holdbar udvælgelse bygger på risiko og størrelse, besøger de kritiske enheder hvert år og roterer resten over en årrække.
Artiklen handler om udvælgelsen af enheder, ikke om stikprøver af sager eller transaktioner inden for en enkelt kontrol. Det er to forskellige spørgsmål, selv om begge bliver kaldt stikprøve.
Hvorfor der ikke er et rigtigt tal
Ingen regel eller standard, der er læst til denne artikel, fastlægger, hvor mange enheder en koncernvurdering skal omfatte. Der er heller ikke fundet en kilde, der giver en statistisk formel for udvælgelse af lokationer i en sikkerhedsvurdering. Enhederne i en koncern er sjældent ens nok til, at en statistisk stikprøve giver mening. Et hovedkontor, en fabrik og et salgskontor er forskellige ting.
Udvælgelsen er derfor en faglig vurdering. Det vigtige er, at vurderingen er skrevet ned, så den kan efterprøves og gentages.
Fire hensyn i udvælgelsen
- Kritikalitet · Spørgsmål: Hvilke enheder bærer de vigtigste forretningsprocesser eller data? · Konsekvens for udvælgelsen: Besøges hvert år
- Størrelse · Spørgsmål: Hvor mange brugere, systemer og lokationer har enheden? · Konsekvens for udvælgelsen: Store enheder vægter tungere
- Lighed · Spørgsmål: Bruger enheden de fælles systemer og processer? · Konsekvens for udvælgelsen: Ens enheder kan repræsenteres af nogle få
- Historik · Spørgsmål: Hvornår blev enheden sidst besøgt, og hvad blev fundet? · Konsekvens for udvælgelsen: Enheder med gamle eller mange fund prioriteres
En model, som mange koncerner bruger, deler enhederne i tre grupper: dem der altid besøges, dem der besøges efter tur, og dem der måles ved selvrapportering med efterprøvning af et udsnit. Grupperingen er en praktisk opdeling og ikke en regel.
Lighed er nøglen
Den vigtigste antagelse i en udvælgelse er, at de besøgte enheder siger noget om de ikke-besøgte. Det holder kun, hvis de ligner hinanden. Bruger alle salgskontorer samme centrale IT, samme identitetsstyring og samme klienter, kan et besøg på to af dem sige noget om resten. Har hvert kontor sin egen lokale leverandør, siger det meget lidt.
Før I vælger, så kortlæg derfor, hvilke enheder der deler systemer, processer og leverandører. Grupper dem efter det. Inden for hver gruppe kan et udsnit give et rimeligt billede. Mellem grupperne kan det ikke.
Rotation over flere år
En koncern med mange enheder kan sjældent besøge alle hvert år. En rullende plan, hvor de enheder, der ikke er kritiske, besøges efter tur over tre til fire år, giver dækning over tid. Planen bør være skrevet ned, så det kan ses, at ingen enhed falder ud i flere perioder i træk. Opbygningen af en sådan plan er beskrevet i den flerårige auditplan.
Lad være med at gøre rotationen helt forudsigelig. Ved enheden præcis, hvornår den besøges, kan forberedelsen blive en engangsindsats. Et par uanmeldte eller fremrykkede besøg holder billedet ærligt.
Et tænkt eksempel på udvælgelse
En koncern har 24 enheder (tænkt eksempel). Fire er kritiske: hovedkontoret, to fabrikker og det fælles servicecenter. De besøges hvert år. Tolv salgskontorer bruger samme centrale IT og samme klientopsætning. De deles i tre grupper efter region, og ét kontor fra hver gruppe besøges hvert år efter tur. Otte enheder har egen IT. To af dem besøges hvert år, valgt efter risiko og historik, så alle otte er besøgt i løbet af fire år. De øvrige seks måler sig selv efter det fælles skema, og et udsnit af deres svar efterprøves på afstand.
Resultatet er ni besøg om året. Det kan forklares, det kan gentages, og det efterlader ingen enhed umålt i mere end fire år. Om fire år er den rigtige rytme, afhænger af, hvor hurtigt enhederne forandrer sig.
Når enheder lægges sammen eller skilles ad
Udvælgelsen skal følge med, når koncernen ændrer sig. Fusioneres to enheder, eller deles en enhed op, skal oversigten opdateres, og rotationen justeres, så ingen falder ud af planen. Det samme gælder, når en enhed får ny leverandør eller flytter sine systemer til den fælles drift. Så ændrer den gruppe, og dens plads i rotationen skal genovervejes.
Hvad resultatet kan bære
Bliver kun en del af enhederne besøgt, skal rapporten sige det tydeligt. Formuleringen “koncernens modenhed er 3,1” er misvisende, hvis tallet bygger på fem ud af tyve enheder. Mere præcist er at skrive, hvilke enheder der er besøgt, hvilke der er selvrapporteret, og hvilke der ikke er målt i år.
Hvordan stikprøver af sager inden for en kontrol vælges, er et andet emne, som hører under den almene auditmetode. Hvad der kan efterprøves teknisk på de besøgte lokationer, hører under de tekniske kontrolpunkter og er et emne for sig.
Hvad det kræver, og hvad det koster at lade være
Det kræver en opdateret oversigt over koncernens enheder med kritikalitet, størrelse og fælles systemer, og en skriftlig begrundelse for, hvorfor netop disse enheder besøges i år. Det kræver også en flerårig plan for resten.
Uden en begrundet udvælgelse ender besøgene der, hvor det er nemmest, typisk tæt på hovedkontoret. De fjerne og små enheder, hvor risikoen ofte er størst, bliver aldrig set. Bestyrelsen får et tal, der kaldes koncernens, men som beskriver de mest synlige enheder.
Det skal I lade være med
- At lade bekvemmelighed styre, hvem der besøges · så bliver de fjerne enheder aldrig set.
- At skrive et koncerntal uden at vise dækningen · læseren tror, alle enheder er med.
- At gå ud fra, at forskellige enheder kan repræsentere hinanden · det holder kun, når de ligner hinanden.
Det skal gennemgangen kunne vise
- ☐ En oversigt over alle enheder med kritikalitet, størrelse og fælles systemer.
- ☐ En skriftlig begrundelse for årets udvælgelse.
- ☐ En flerårig plan, der viser, hvornår hver enhed besøges.
- ☐ Rapportens angivelse af, hvilke enheder resultatet bygger på.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over jeres enheder, og markér hvilke der deler systemer og leverandører. Det er grundlaget for at vælge.
- Koncernen på tværs af enheder og lokationer
- Bred eller dyb: hele koncernen let eller få enheder grundigt?
Læs også: Selvrapportering fra enhederne med central stikprøvekontrol · Risikobaseret udvælgelse af auditområder
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
