Få hjælp til modenhedsmåling og koncernaudit

Artiklerne på sitet kan bruges uden hjælp udefra, og meget af målingen kan anden linje og intern revision klare selv. Ønsker bestyrelsen eller revisionsudvalget en uafhængig vurdering, er der to ydelser at vælge imellem: en måling af sikkerhedsmodenheden og en enterprise-audit på tværs af koncernen. Siden beskriver begge, hvad de indeholder, og hvad der forventes af jer, så I kan afgøre, om en ekstern vurdering giver noget, den interne ikke kan.

Før I beslutter

Tre artikler giver et grundlag for beslutningen, uanset om I vælger hjælp udefra eller ej.

• Modenhedsvurdering, audit eller teknisk gennemgang i en koncern: tre spørgsmål, tre leverancer Spørgsmålet afgør leverancen.
• Hvem bestiller: bestyrelse, revisionsudvalg, direktion eller CISO? Bestilleren sætter mandatet.
• Tilbud på en modenhedsvurdering: skala, bevisdybde, antal enheder og leverancer Tilbuddene lagt side om side.

To ydelser

Sikkerhedsmodenhed. En måling af, hvor systematisk virksomheden arbejder med sikkerhed område for område, efter en skala og en ramme, der vælges sammen med jer. Leverancen er en nuværende profil, et forslag til målniveau pr. område og en baseline, der kan gentages. Ydelsen passer, når spørgsmålet er, hvor langt I er nået, og hvordan udviklingen skal følges over tid.

Enterprise-audit. En gennemgang af koncernens sikkerhed på tværs af selskaber, lokationer og fælles tjenester. Den ser på ansvarsfordelingen mellem koncern og enheder, på intern revision, rollerne i de tre linjer og på, hvordan fund følges op og rapporteres. Ydelsen passer, når spørgsmålet er, om styringen virker i hele koncernen, og hvem der står for hvad.

De to kan kombineres. En enterprise-audit kan bruge målingens skala, så fundene og scoren kan følges i samme serie.

Tre typiske anledninger

Bestyrelsen vil have en baseline. Der findes ingen tidligere måling, eller den kan ikke sammenlignes med noget. Arbejdet fastlægger skala, områder og beviskrav, så næste måling kan bygge videre.

Koncernen har ændret sig. Et opkøb, et frasalg, en centralisering eller en outsourcing har flyttet ansvaret. Gennemgangen viser, hvor det ligger nu, og hvordan måleserien skal justeres.

Revisionsudvalget vil have en uafhængig vurdering. Anden linje har målt sig selv, eller intern revision mangler kompetence på området. Den eksterne vurdering kan bruges som grundlag, intern revision selv tager stilling til.

Det, arbejdet ser på

Omfanget tilpasses koncernen og anledningen. Typisk er disse emner med:

• Styring · ansvar mellem koncern og selskaber, mandat, rapportering og CISO’s placering.
• Målestok · valg af ramme, skala, vægtning og koblingen til andre krav.
• Selskaberne · selvrapportering, stikprøver, fælles tjenester og selskaber med egen IT.
• Tre linjer · arbejdsdelingen mellem første og anden linje, intern revision og ekstern vurdering.
• Risiko og fund · risikoregister, fundregister, risikoaccept og opfølgning.
• Rapportering · nøgletal, tolerancer og rapporten til bestyrelse og revisionsudvalg.

Forløbet

Først aftales opdraget: bestiller, selskaber, områder, skala og modtagere af rapporten. Fortrolighed og adgang til materiale aftales, før noget udleveres, også reglerne for, hvem i koncernen der ser enhedernes resultater. Dokumentationen læses fra koncernen og fra hvert selskab, og spørgsmålene samles til interviews med koncernfunktionerne og de udvalgte enheder. Hvor det er aftalt, efterprøves udvalgte svar med stikprøver. Enhederne ser deres foreløbige resultater og kan pege på bevis, der er overset. Rapporten samler resultatet for hele koncernen, viser hver enhed for sig og lister fundene med alvorlighed, ejer og forslag. Den slutter med de beslutninger, bestyrelsen bør tage stilling til.

Det, ydelserne ikke omfatter

Arbejdet er ikke revision og erstatter hverken revisor, intern revision eller et tilsyns egen kontrol. Der afgives ingen erklæringer og udstedes ingen certifikater. Penetrationstest og red teaming er andre opgaver. Rettelserne laver selskaberne og jeres leverandører, og da der ingen forhandleraftaler er, peger anbefalingerne på styring, kontroller og ansvar, og ikke på bestemte produkter.

Hvad det kræver, og hvad det koster at lade være

Opgaven forudsætter en bestiller med mandat i hele koncernen, adgang til materiale fra både koncern og selskaber og tid til interviews i de udvalgte enheder. Omfanget afhænger især af antallet af selskaber og lokationer, af hvor ens IT’en er, og af den bevisdybde, I ønsker. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kan anden linje eller intern revision selv gennemføre målingen med artiklerne som støtte, er det ofte et godt sted at begynde. Måler den funktion, der har indført kontrollerne, dog sig selv år efter år, får bestyrelsen aldrig et uafhængigt billede, og blinde vinkler kan overleve, indtil en hændelse viser dem.

Det skal I lade være med

• At starte uden et skrevet opdrag · bestiller og omfang først.
• At regne med en erklæring · leverancen er fund med bevis og en score med metode.
• At love enhederne fortrolighed, der ikke holder · aftal adgangen til resultaterne på forhånd.

Det skal forløbet kunne vise

• ☐ Hvem der bestilte, hvilke selskaber og områder der var med, og hvilken skala der blev brugt.
• ☐ Fundene med bevis, alvorlighed og ejer.
• ☐ Hvor materialet lå under opgaven, og hvornår det blev slettet.
• ☐ Hvilke beslutninger bestyrelsen skal tage stilling til.

Senest gennemgået: november 2026.

Næste skridt

Skriv ned, hvad der har sat målingen i gang, og hvem der bestiller. Det er udgangspunktet for den første samtale.

• Modenhed: hvad der måles, og hvordan
• Kontakt

Læs også: Auditprogram over flere år · Om cybermodenhed.dk

→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT