Årets auditområder vælges bedst ud fra en kort liste af kriterier, der vægtes ens for alle selskaber i koncernen: risiko, ændringer siden sidst, åbne fund og tid siden seneste gennemgang. Valget skal kunne forklares bagefter, også over for det selskab, der ikke kom med.
Udvælgelsen er det sted, hvor en flerårig plan bliver til et konkret år. Den afgør, hvilke enheder der får besøg, og hvilke enhedsbilleder bestyrelsen får at se.
Kriterierne i standarderne for intern revision
De globale standarder, som IIA udgav for interne revisionsfunktioner i januar 2024, beskriver i vejledningen til standard 9.4, hvad revisionschefen kan overveje, når opgaverne prioriteres. Listen rummer lovpligtige opgaver, opgaver, der er kritiske for strategien, områder med betydelig risiko, spørgsmålet om alle væsentlige risici har tilstrækkelig dækning, ønsker fra bestyrelse og direktion, ressourcer og forventet udbytte.
Standarden peger også på, at risikoniveauet skal holdes op mod den kendte kontroleffektivitet. Et område med høj risiko og en kontrol, der netop er efterprøvet og fundet virksom, kan vente. Et område med middel risiko og ukendt kontroltilstand bør måske ses først.
Som begrundelse for den enkelte opgave nævner vejledningen bl.a. risikoens betydning, et tema eller en bagvedliggende årsag på tværs, et regelkrav og tid siden sidste gennemgang. Standarderne gælder interne revisionsfunktioner, men kriterierne kan bruges af enhver, der styrer et auditprogram.
Stol ikke blindt på ledelsens risikobillede
Vejledningen til 9.4 siger, at revisionen bør validere nøglerisiciene selv og kun bygge på ledelsens risikooplysninger, hvis risikostyringen vurderes at være effektiv. I en koncern er det en vigtig pointe. Selskabernes egne risikoregistre bruger ofte forskellige skalaer, og et selskab, der vurderer sig selv lavt, er ikke nødvendigvis lavrisiko.
En gængs løsning er at supplere selskabernes egne vurderinger med nogle få objektive indikatorer fra koncernniveau: hvor kritisk selskabets drift er for koncernen, hvor mange persondata det behandler, om det har haft hændelser, og om det har egen IT eller bruger fælles tjenester.
Koncernens egne udvælgelseskriterier
Ud over IIA’s liste har en koncern nogle kriterier, der ikke findes i et enkelt selskab. De er praksis, ikke krav.
- Nye selskaber efter handlen · Selskaber, der endnu ikke er målt efter koncernens skala
- Nye systemer eller platforme · Områder, hvor sidste års score ikke længere beskriver virkeligheden
- Outsourcing eller skift af driftsleverandør · Kontroller, der har skiftet ejer
- Åbne fund fra sidste år · Selskaber, hvor lukningen skal efterprøves
- Hændelser i perioden · Områder, hvor en kontrol har svigtet
- Tid siden sidste gennemgang · Selskaber, der ellers aldrig når toppen
Forordning 2024/2690 siger i bilagets punkt 7.2, at vurderingen af foranstaltningernes effektivitet skal tage hensyn til risikovurderingen og til tidligere væsentlige hændelser. Forordningen gælder kun bestemte digitale tjenesteudbydere, men som målestok støtter den, at hændelser og risikovurdering skal indgå i udvælgelsen.
Point eller faglig vurdering?
Mange koncerner giver hvert kriterium point og lægger dem sammen. Det gør valget gennemsigtigt, og det er let at forklare et datterselskab, hvorfor det kom med. Ulempen er, at pointene kan give en falsk præcision. To selskaber med næsten samme sum kan have meget forskellige risici.
Det er sitets vurdering, at en pointmodel bør bruges som første sortering, og at de sidste valg træffes ved en drøftelse, hvor begrundelsen skrives ned. Så ligger der både et tal og en forklaring, hvis bestyrelsen spørger.
Udvælgelsen og scoren
Valget af enheder påvirker, hvad koncernens score kan bruges til. Udvælges kun de mest risikable selskaber, vil koncerntallet ofte falde, fordi de svageste er med. Det er ikke et tilbageskridt, men en ændring i udsnittet. Rapporten bør derfor oplyse, efter hvilke kriterier enhederne blev valgt.
Hvordan risikoen og modenhedsscoren hænger sammen i koncernens register, er beskrevet i fra modenhedsscore til risiko. For den del af udvælgelsen, der handler om leverandørerne, ligger kontrollen af den enkelte leverandør hos leverandørens audit.
Et tænkt eksempel
Tænk jer en koncern med tolv selskaber, hvor to er opkøbt i løbet af året, ét har skiftet driftsleverandør, og ét havde en alvorlig hændelse i foråret. Pointmodellen sender de fire øverst. Drøftelsen tilføjer et femte selskab, som ikke er set i fire år, selv om det scorer lavt på risiko, fordi ingen længere ved, hvordan det står til. De syv øvrige får kun den faste kerne af styringsspørgsmål. Begrundelsen for alle tolv står i et notat til revisionsudvalget.
Eksemplet er tænkt, men det viser, hvordan kriterierne og den faglige vurdering arbejder sammen, og hvordan valget bliver forklarligt.
Det fravalgte skal også frem
Efter 9.4 skal revisionschefen forklare bestyrelse og direktion, hvorfor et højrisikoområde er sprunget over, og hvilken pris manglende ressourcer har for dækningen. Vejledningen nævner, at planen kan rumme en liste over de opgaver, der ville være lavet med flere ressourcer.
I en koncern er den liste ofte mere nyttig for bestyrelsen end selve planen. Den viser, hvilke selskaber og områder der bevidst er lagt til side i år, og den gør det muligt at træffe et valg om ressourcer med åbne øjne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fælles liste over kriterier, data om selskaberne og en drøftelse, der dokumenteres. Det tager typisk et par møder om året, når grundlaget først er bygget.
Uden en risikobaseret udvælgelse ender valget hos de selskaber, der svarer hurtigst, eller hos dem, der selv beder om besøg. Så bruges kræfterne på de selskaber, der i forvejen er gode, og bestyrelsen får et billede, der er pænere end virkeligheden.
Det skal I lade være med
- At lade selskabernes egne risikoskøn stå uprøvet · de bruger ofte hver sin skala.
- At skjule de fravalgte områder · bestyrelsen skal kunne se, hvad der ikke blev set.
- At læse et fald i koncerntallet som et tilbageskridt uden at se på udsnittet · udvælgelsen ændrer gennemsnittet.
Det skal gennemgangen kunne vise
- ☐ En dokumenteret liste over udvælgelseskriterier, der er brugt ens for alle selskaber.
- ☐ En begrundelse for hver valgt og hver fravalgt højrisikoenhed.
- ☐ Spor af, at hændelser og åbne fund indgik i valget.
- ☐ En oplysning i rapporten om, hvordan udsnittet påvirker koncernscoren.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4 med vejledning, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 7.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres udvælgelseskriterier op på én side, og brug dem på alle selskaber, før næste års plan lægges.
Læs også: Bred eller dyb · Det opkøbte selskab i måleserien
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
