Revisors påtegning vedrører regnskabet. Når revisor ser på IT-kontroller, sker det som led i revisionen af regnskabet, og en ren påtegning er derfor ikke en vurdering af virksomhedens cybersikkerhed.
Det lyder selvfølgeligt, men i mange bestyrelseslokaler bliver en påtegning uden forbehold og et revisionsprotokollat uden alvorlige IT-bemærkninger læst som et tegn på, at sikkerheden er i orden. Den slutning har ikke grundlag i, hvad revisionen er sat til at gøre.
Hvad loven knytter overvågningen til
Efter revisorlovens § 31, stk. 3, nr. 3, følger revisionsudvalget kontrollen, risikostyringen og en eventuel intern revision, men kun for så vidt angår regnskabet og bæredygtighedsrapporteringen. Erhvervsstyrelsen understreger i sin vejledning, at overvågningen gælder med hensyn til regnskabsaflæggelsen.
Udvalgets lovpligtige opgave følger altså samme spor som revisionen. Begge er bygget op om regnskabet. Hvad det betyder for udvalget, er gennemgået i revisorlovens § 31.
Hvad påtegningen siger, og hvad den ikke siger
De internationale revisionsstandarder, som beskriver påtegningen og revisors arbejde med IT-kontroller, er ikke gennemgået her. Det følgende holder sig derfor til, at påtegningen vedrører regnskabet. Slutningerne nedenfor er sitets tolkning.
Påtegningen er en udtalelse om regnskabet. Den er ikke en udtalelse om, at virksomhedens systemer er beskyttet mod angreb. Den er heller ikke en udtalelse om beredskabet eller om de dele af IT, der ikke har betydning for regnskabet, fx produktionsanlæg, kundeportaler eller udviklingsmiljøer.
Det er vores tolkning, at revisors arbejde med IT-kontroller følger samme formål og derfor især rammer de systemer, der bærer regnskabsdata. En kontrol kan være tilstrækkelig til revisionens formål og samtidig være svag set fra en sikkerhedsvinkel.
Fem slutninger, bestyrelsen ikke kan drage
Slutningerne er sitets tolkning, men de følger af, at revisionen er knyttet til regnskabet.
- Sikkerheden er god · påtegningen er ikke en sikkerhedsvurdering.
- Der er ingen alvorlige sårbarheder · revisionen har et andet formål end at finde dem.
- Beredskabet virker · det indgår kun, hvis det har betydning for regnskabet.
- Hele koncernens IT er set · revisionen dækker det, der har betydning for regnskabet.
- NIS 2-kravene er opfyldt · påtegningen handler ikke om dem.
Finanssektoren er en undtagelse
I finansielle virksomheder er billedet et andet. Revisionsbekendtgørelsens § 11, nr. 1, beder revisor om en konklusion i protokollatet om hele system-, data- og driftssikkerheden. Revisor ser efter bilag 2 på de generelle it-kontroller, tester dem ved stikprøver og læser leverandørernes erklæringer.
Uden for finans er der i de kilder, der er gennemgået her, ingen tilsvarende pligt for revisor. Undersøgelsen er ikke udtømmende. Er I en finansiel virksomhed, får bestyrelsen altså en konklusion fra revisor om driftssikkerheden. Er I det ikke, skal I ikke forvente den.
Hvad en sikkerhedsvurdering gør anderledes
En sikkerhedsvurdering eller en modenhedsmåling starter fra risikoen for virksomheden, ikke fra regnskabet. Den ser på styring, beskyttelse, detektion, beredskab og leverandører i hele virksomheden og kan gå i dybden med de tekniske kontroller. Hvordan de enkelte tekniske kontrolpunkter efterprøves, er beskrevet på sitet om tekniske kontroller og teknisk bevis.
Den ene erstatter ikke den anden. Revisionen er lovpligtig og har sit eget formål. Sikkerhedsvurderingen er et valg, bestyrelsen træffer for at få svar på et andet spørgsmål. Hvor de to kilder overlapper og efterlader huller, kan vises i assurance-kortet.
Hvad bestyrelsen kan spørge revisor om
Spørgsmålene er praksis. De kan stilles, når revisionsprotokollatet gennemgås.
Hvilke IT-systemer har revisionen omfattet? Hvilke IT-kontroller er testet, og hvilke er kun forespurgt? Er der forhold, revisor har set, som ikke har betydning for regnskabet, men som bestyrelsen bør kende? Svarene viser, hvor revisionens billede slutter, og hvor bestyrelsen må finde en anden kilde.
Når revisor nævner IT i protokollatet
Revisor kan i sit revisionsprotokollat nævne forhold om IT, som er set under revisionen. Det er værdifulde oplysninger, men de er set med regnskabets øjne. Det er sitets vurdering, at en bemærkning om IT i protokollatet bør føre til et spørgsmål om, hvorvidt samme svaghed findes i systemer uden for regnskabet.
Fravær af bemærkninger betyder omvendt ikke, at der ikke er svagheder. Det betyder kun, at revisor ikke har fundet noget, der skulle nævnes i den sammenhæng, revisionen er udført i.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen skelner mellem tre kilder i sin rapportering: revisors arbejde med regnskabet, ledelsens egne tal om sikkerheden og eventuelle uafhængige sikkerhedsvurderinger. Hver kilde får sin egen linje i rapporten.
Uden den skelnen bliver påtegningen den eneste uafhængige kilde, bestyrelsen har, og den bliver læst som noget, den ikke er. Bestyrelsen kan stå med en ren påtegning og en alvorlig hændelse samme år, uden at det er en modsigelse. Det er ikke revisors fejl. Det er en følge af, at bestyrelsen har brugt en kilde til et spørgsmål, kilden ikke er sat til at besvare.
Det skal I lade være med
- At tage en påtegning uden forbehold som tegn på god sikkerhed · den vedrører regnskabet.
- At gå ud fra, at revisionen har dækket al IT · omfanget følger regnskabet.
- At overføre finanssektorens regler til andre virksomheder · konklusionen om driftssikkerhed er en særregel.
Det skal gennemgangen kunne vise
- ☐ Hvilke IT-systemer og -kontroller revisionen har omfattet.
- ☐ En kilde til sikkerhed for de dele af IT, revisionen ikke dækker.
- ☐ En rapport til bestyrelsen, der holder revision og sikkerhedsvurdering adskilt.
- ☐ Revisors svar på bestyrelsens spørgsmål om omfanget.
Kilder
- Lovbekendtgørelse nr. 206 af 20. februar 2025 af lov om godkendte revisorer og revisionsvirksomheder, § 31, stk. 3, læst 14. november 2026.
- Erhvervsstyrelsen, Vejledning om revisionsudvalg, version 2, afsnit 4.3, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, § 11 og bilag 2, pkt. 34, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg revisor ved næste gennemgang af protokollatet, hvilke IT-systemer revisionen har omfattet, og hvilke den ikke har.
Læs også: Modenhedsvurdering, audit eller teknisk gennemgang i en koncern · Høj modenhed er ikke det samme som høj sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
