Omfanget af en koncernvurdering bestemmes især af seks forhold: antallet af selskaber og lokationer, hvor ens IT’en er på tværs af koncernen, den bevisdybde, I ønsker, sprog, driftsteknologi i produktionen og hvor meget af driften der er lagt ud. Jo bedre I kan beskrive de seks forhold, jo mere præcist kan en forespørgsel besvares.
Artiklen nævner ingen beløb eller timetal. Den beskriver, hvad der gør opgaven større eller mindre, så I kan forberede jer.
Antal selskaber og lokationer
Det mest åbenlyse forhold er, hvor mange selskaber og lokationer der indgår. Det er alligevel sjældent selve antallet, der afgør omfanget, men hvor forskellige enhederne er. Ti selskaber på samme platform med samme politik kan vurderes hurtigere end tre selskaber, der hver har deres egen IT-afdeling, egne leverandører og egen historie.
Det er praksis at skelne mellem enheder, der kan vurderes samlet, fordi de deler styring og drift, og enheder, der skal vurderes hver for sig. Den skelnen bør stå i forespørgslen.
Hvor ens er IT’en?
En koncern med fælles identitet, fælles netværk og en central driftsorganisation har en stor del af kontrollerne samlet ét sted. De kan vurderes én gang. En koncern, hvor hvert selskab har sin egen opsætning, kræver, at de samme spørgsmål stilles mange gange, og at svarene sammenlignes.
Opkøbte selskaber, der endnu ikke er integreret, tæller i praksis som selvstændige enheder, også selv om de står i koncernens organisationsdiagram. Hvordan de håndteres i måleserien, er beskrevet i det opkøbte selskab i måleserien.
Bevisdybden
Den største enkeltfaktor er ofte bevisdybden. En vurdering, der bygger på spørgeskemaer og interview, er mindre end en, hvor kontrollerne efterprøves med stikprøver i systemerne. De to giver forskellige konklusioner, og forskellen bør afspejles i forventningerne.
Det er almindeligt at kombinere: let bevisdybde for de fleste enheder, større dybde for de mest kritiske. Valget mellem bredde og dybde er uddybet i bred eller dyb. Tekniske efterprøvninger af de enkelte kontrolpunkter er beskrevet under tekniske kontrolpunkter.
Sprog og udenlandske enheder
Har koncernen selskaber i flere lande, påvirker sproget omfanget. Dokumenter skal læses, interview skal gennemføres, og rapporten skal måske leveres på flere sprog. Lokale regler kan også betyde, at nogle spørgsmål skal stilles anderledes.
Produktion og driftsteknologi
Har koncernen produktion med styringssystemer, lagerautomatik eller anden driftsteknologi, er det et valg, om den skal med. Driftsteknologien kræver ofte andre spørgsmål og andre folk i interviewene, og besøg på lokationen er sværere at erstatte med møder på afstand.
Driften ligger ude
Når store dele af driften ligger hos leverandører, flytter en del af vurderingen fra koncernens egne kontroller til spørgsmålet om, hvordan koncernen styrer og følger leverandørerne. Det kan gøre vurderingen mindre, hvis leverandørerne kan dokumentere deres del, og større, hvis dokumentationen mangler. Kontrollen af den enkelte leverandør er sit eget emne og er beskrevet under kontrol af leverandører.
Hvad koncernen selv kan gøre for at holde omfanget nede
Meget af arbejdet i en koncernvurdering går med at finde materiale og folk. Koncernen kan selv gøre opgaven mindre ved at samle politikker, organisationsdiagrammer, oversigter over systemer og leverandører og seneste rapporter fra andre gennemgange, før arbejdet går i gang. Hvad der typisk bedes om, er beskrevet i dokumentanmodningen til en koncernvurdering.
Det hjælper også at udpege en kontaktperson i hvert selskab og at aftale interviewdatoer tidligt. Det er praksis, men det har stor betydning for, hvor lang tid vurderingen tager fra start til rapport.
Leverancerne
Omfanget påvirkes også af, hvad der skal komme ud af vurderingen. En samlet rapport til bestyrelsen er én leverance. Enhedsrapporter til hver selskabsledelse, en prioriteret køreplan og en gennemgang for revisionsudvalget er flere. Det er praksis at aftale leverancerne, før arbejdet går i gang, så de også kan indgå i vurderingen af omfanget.
Også IIA’s revisionsstandarder fra januar 2024 forventer i 9.4, at en plan oplyser, hvilke ressourcer opgaverne kræver. Standarden gælder interne revisionsfunktioner, men tanken passer på enhver koncernvurdering: omfanget skal kunne forklares ud fra de opgaver, der skal løses.
Det skal en forespørgsel indeholde
En forespørgsel kan skrives med faste felter. Eksemplerne i parentes er tænkte.
- Formål · (Første samlede billede af koncernens modenhed til bestyrelsen)
- Selskaber og lokationer · (Otte selskaber, fire lande, tolv lokationer)
- Fælles tjenester · (Identitet og netværk drives centralt)
- Bevisdybde · (Interview og dokumenter for alle; stikprøver i tre selskaber)
- Driftsteknologi · (Én fabrik med styringssystemer, ønskes med)
- Leverandører · (Drift af datacenter og servicedesk ligger ude)
- Leverancer · (Koncernrapport, enhedsrapporter, gennemgang i revisionsudvalget)
- Tidsramme · (Rapport før bestyrelsesmødet i et bestemt kvartal)
Med de felter udfyldt kan en rådgiver beskrive omfanget og stille de spørgsmål, der mangler. Den almene vej fra forespørgsel til aftale for en enkelt sikkerhedsaudit står under den almene auditmetode.
Pris og tilbud
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud. Et tilbud bygger på de oplysninger, I giver, og bliver mere præcist, jo flere af felterne ovenfor der er udfyldt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen i koncernen samler oplysningerne om selskaber, fælles tjenester og leverandører, før forespørgslen sendes. Det er ofte det første skridt, der viser, hvor meget koncernen selv ved om sin IT.
Sendes en forespørgsel uden de oplysninger, bliver tilbuddene svære at sammenligne, og omfanget må forhandles igen, når arbejdet er gået i gang.
Det skal I lade være med
- At beskrive koncernen ud fra organisationsdiagrammet alene · IT’en følger sjældent diagrammet.
- At udelade driftsteknologi og leverandører af forespørgslen · de ændrer opgaven mest.
- At aftale leverancerne efter, at arbejdet er i gang · de er en del af omfanget.
Det skal gennemgangen kunne vise
- ☐ En forespørgsel med formål, selskaber, fælles tjenester og bevisdybde.
- ☐ En oversigt over, hvilke enheder der vurderes samlet, og hvilke hver for sig.
- ☐ En aftalt liste over leverancer.
- ☐ Et notat om, hvad der er holdt uden for omfanget.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Udfyld felterne i forespørgslen for jeres koncern, og læg mærke til, hvilke oplysninger I ikke kan finde.
Læs også: Afgrænsning af en koncernvurdering · Valg af auditor til en koncernvurdering
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
