At bruge samme auditor år efter år gør måleserien mere sammenlignelig, fordi skalaen tolkes ens, og spørgsmålene stilles på samme måde. At skifte giver friske øjne, der ser det, den gamle auditor er holdt op med at se. Ingen regel afgør valget for cybersikkerhedsvurderinger, så det er en afvejning, koncernen selv må træffe og begrunde.
Afvejningen handler mindst lige så meget om måleserien som om uafhængighed. En koncern, der vil kunne vise udvikling over flere år, har brug for, at tallene betyder det samme fra år til år.
Hvad kilderne siger, og hvad de ikke siger
Ingen af de kilder, artiklen bygger på, fastsætter rotation for vurderinger af cybersikkerhed. Der er hverken en lov, en forordning eller en standard, der siger, at en koncern skal skifte auditor efter et bestemt antal år. Reglerne om rotation for regnskabsrevisorer hører til et andet område og er holdt uden for artiklen.
I vejledningen til IIA’s revisionsstandarder fra 2024 nævnes under standard 2.1 en række eksempler på bias, der kan svække objektiviteten. Blandt dem er selvgennemsyn og det, standarden kalder “familiarity bias”: antagelser bygget på tidligere erfaring, der kan svække den professionelle skepsis. Standarden er skrevet til interne revisorer, men risikoen er den samme for en ekstern auditor, der kommer igen og igen.
Forordning 2024/2690 forstår i bilagets punkt 2.3.2 uafhængighed som adskillelse fra det område, der gennemgås. Forordningen, som binder de digitale udbydere i artikel 1 og er en målestok for andre, siger intet om rotation.
Hvad kontinuitet giver
En auditor, der har lavet de seneste målinger, kender koncernens struktur, selskaber og historie. Det sparer tid. Endnu vigtigere er det, at auditoren tolker skalaen på samme måde. Et trin tre i år betyder det samme som et trin tre sidste år, og en stigning i scoren afspejler en forbedring frem for en ny fortolkning.
Kontinuitet gør det også lettere at følge op på fund. Auditoren ved, hvad der blev lovet, og kan se, om det er sket.
Hvad et skift giver
En ny auditor ser koncernen uden forudfattede meninger. Det, der er blevet accepteret som “sådan gør vi her”, bliver spurgt til igen. Fund, der er blevet lagt til side, fordi de altid står der, bliver set med nye øjne.
Et skift kan også afsløre, hvor afhængig måleserien er af den enkelte auditors skøn. Falder scoren markant ved et skift, kan det betyde, at den tidligere auditor har været for mild, eller at den nye tolker skalaen strengere. Begge dele er nyttig viden, men den kræver, at forskellen bliver forklaret.
Når skiftet rammer måleserien
Det er sitets vurdering, at det største problem ved et skift er, at det bryder måleserien. Er skalaen beskrevet så præcist, at to auditorer giver samme score for det samme bevis, er bruddet lille. Er skalaen løst beskrevet, og hviler scoren på skøn, kan bruddet være så stort, at tallene før og efter ikke kan sammenlignes.
En gængs måde at mindske bruddet på er at lade den nye auditor genvurdere et udsnit af sidste års bevis efter samme skala. Det viser, om forskellen ligger i virkeligheden eller i tolkningen. Samme problem ved et skift af rammeværk behandles i artiklen om rammeskift i en måleserie, og logikken gælder også, når auditoren skiftes.
Mellemveje
Mange koncerner vælger en mellemvej. Nogle beholder auditoren, men skifter de personer, der gennemfører interviewene i de enkelte selskaber. Andre beholder auditoren til den brede måling, men lader en anden lave dybe gennemgange af udvalgte selskaber. Atter andre aftaler et skift efter en fastsat periode, som koncernen selv har valgt og kan begrunde.
Det er praksis at skrive valget og begrundelsen ned, så revisionsudvalget kan se, at afvejningen er truffet bevidst. Er der intern revision i koncernen, kan den vurdere, om den eksterne auditor stadig er tilstrækkeligt objektiv. IIA’s standard 9.5 beder revisionen se på bl.a. interessekonflikter, erfaring og kvalifikationer, når den bygger på andres arbejde, og samme spørgsmål kan stilles til en auditor, der har været der i mange år.
Sådan træffes valget
Spørgsmålene, der kan hjælpe, er sitets:
- Er skalaen beskrevet så præcist, at en ny auditor vil give samme score for samme bevis?
- Har den nuværende auditor fundet noget nyt de seneste to gange, eller er rapporterne blevet ens?
- Er der områder, auditoren aldrig er kommet ind på?
- Hvad betyder et brud i serien for den rapportering, bestyrelsen er vant til?
Svarer koncernen nej til det første og ja til det andet, taler meget for at beholde auditoren. Er rapporterne blevet ens, og er nogle områder aldrig set, taler meget for et skift.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beskrevet skala, en bevidst beslutning og en plan for at håndtere bruddet, hvis auditoren skiftes. Det kræver også, at nogen ser kritisk på, om rapporterne fortsat finder noget.
Lader man valget ligge, beholder koncernen typisk den samme auditor af vane. Måleserien bliver stabil, men risikoen er, at den også bliver blind for det, som ingen længere spørger til.
Det skal I lade være med
- At skrive en rotationsregel ind som krav · ingen kilde fastsætter den.
- At skifte auditor uden at genvurdere et udsnit · så kan bruddet ikke forklares.
- At beholde auditoren, fordi det er nemmest · valget skal kunne begrundes.
Det skal gennemgangen kunne vise
- ☐ En dokumenteret beslutning om at beholde eller skifte, med begrundelse.
- ☐ En skala, der er beskrevet så præcist, at to auditorer kan bruge den ens.
- ☐ Ved skift en genvurdering af et udsnit af sidste års bevis.
- ☐ En vurdering af auditorens objektivitet efter flere års samarbejde.
Kilder
- IIA, Global Internal Audit Standards, januar 2024, standard 2.1 og 9.5, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 2.3.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg de to seneste rapporter ved siden af hinanden, og se, om den seneste fandt noget, den første ikke fandt.
Læs også: Måling over tid · Skalaen
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
