Revisionsudvalget kan være det sted, hvor modenhedsscoren og de åbne fund følges tæt mellem bestyrelsesmøderne. Det er et valg, bestyrelsen kan træffe. Loven lægger ikke cybersikkerhed ind under udvalget.
Artiklen afklarer, hvad loven siger om udvalgets opgaver, hvad anbefalingerne tilføjer, og hvad udvalget kan se af scoren og fundene, hvis bestyrelsen giver det opgaven.
Hvad loven siger
Revisorlovens § 31 kræver revisionsudvalg i virksomheder af interesse for offentligheden, med visse undtagelser. Efter § 31, stk. 3, nr. 3, skal udvalget overvåge, om virksomhedens interne kvalitetskontrol- og risikostyringssystemer og i givet fald den interne revision fungerer effektivt med hensyn til regnskabsaflæggelsen og i givet fald bæredygtighedsrapporteringen.
Opgaven er altså afgrænset til regnskabsaflæggelsen og bæredygtighedsrapporteringen. Den omfatter ikke cybersikkerhed generelt. Erhvervsstyrelsens vejledning om revisionsudvalg fra juni 2022 understreger, at udvalget ikke er en del af selskabets interne kontrolfunktion.
Hvad anbefalingerne tilføjer
Anbefalingerne for god selskabsledelse giver i punkt 3.4.3 revisionsudvalget flere opgaver end loven. Udvalget skal bl.a. hjælpe bestyrelsen med at gennemgå kontrol- og risikoområderne, så de største risici bliver styret. Findes der en intern revision, skal udvalget også holde øje med, at direktionen handler på de konklusioner og anbefalinger, der kommer fra den interne revision.
Komitéen anbefaler desuden i kapitel 5, at risikostyring indgår som et fast emne på bestyrelsens årshjul. Anbefalingerne er følg-eller-forklar for selskaber med værdipapirer på et reguleret marked.
For NIS 2-enheder skriver Styrelsen for Samfundssikkerhed i vejledningen fra maj 2025, at ledelsesorganet kan uddelegere opgaver til et revisionsudvalg eller lignende, men at ansvaret bliver hos hele ledelsesorganet, som skal holde øje med udvalgets arbejde.
Hvis cybersikkerhed lægges under revisionsudvalget, er det altså en beslutning, bestyrelsen træffer ud fra anbefalingerne og egne behov. Det bør stå i udvalgets kommissorium.
Hvad udvalget kan følge
Får udvalget opgaven, er det praksis, at det følger fire ting mellem bestyrelsesmøderne.
- Udvikling i scoren · Måleserien pr. område og pr. enhed siden sidste vurdering
- Åbne fund · Antal og alvorlighed, overskredne frister, fund der går igen
- Lukning · Om lukkede fund er verificeret af en anden end den, der lukkede dem
- Risikoaccept · Fund, som ledelsen har valgt at acceptere frem for at rette
Udvalget behøver ikke se hvert fund. Det bør se de alvorlige fund, de overskredne frister og mønstre på tværs af enheder.
Udvalget og intern revision
Har koncernen en intern revision, der dækker cybersikkerhed, kan udvalget bruge den som sin kilde til at efterprøve tallene. Komitéens punkt om direktionens opfølgning på intern revision passer direkte på de åbne fund. Arbejdsdelingen mellem intern revision og en ekstern vurdering er beskrevet i intern revision og ekstern sikkerhedsvurdering.
Rapporteringen videre til bestyrelsen
Udvalget rapporterer til den samlede bestyrelse, som bevarer ansvaret. Det er praksis, at rapporteringen er kort: hvad udvalget har set, hvor udviklingen går den forkerte vej, og hvad bestyrelsen bør tage stilling til. Komitéens anbefaling om risikostyring som fast emne på årshjulet giver et naturligt sted at placere udvalgets rapportering, mindst én gang om året.
Mellem de årlige punkter kan udvalgets formand give en kort mundtlig status på hvert møde, hvis der er noget, der kræver bestyrelsens opmærksomhed.
Kompetencer i udvalget
Revisorloven kræver, at mindst ét medlem har kvalifikationer inden for regnskabsvæsen eller revision, og at medlemmerne samlet har kompetencer af relevans for sektoren. Loven nævner ikke IT-kompetencer. Får udvalget ansvar for cybersikkerhed, er det en vurdering, om det skal styrkes med den slags viden, eller om det skal have adgang til en rådgiver.
Et tænkt eksempel på et udvalgsmøde
Forestil jer et revisionsudvalg i en tænkt koncern med syv selskaber. Til mødet får udvalget en side fra direktionen med måleserien for de fem områder, der blev målt sidst, de tre selskaber med flest åbne alvorlige fund og en liste over fund, hvor fristen er overskredet. Den interne revision har efterprøvet lukningen af et udvalg af fund og fundet to, der var meldt lukket uden at være det.
Udvalget beder direktionen om en forklaring på de overskredne frister og om en plan for de to fund, der ikke var lukket. Til bestyrelsens næste møde rapporterer udvalgets formand kort om udviklingen og om, at lukningen af fund i et bestemt selskab halter. Bestyrelsen beslutter at bede om en opfølgende måling i det selskab.
Eksemplet viser, at udvalget ikke selv skal rette noget. Det skal se mønstrene, og bestyrelsen skal høre om dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver et kommissorium, der siger, at udvalget følger cybersikkerhed, og en fast rapport fra direktionen med måleserie og åbne fund. Det kræver også, at udvalget har den viden, der skal til for at stille de rigtige spørgsmål.
Lader man være, bliver scoren set én gang om året i bestyrelsen, og de åbne fund følges kun af dem, der skal lukke dem. Så opdages en stillestående opfølgning først ved næste vurdering.
Det skal I lade være med
- At skrive, at loven pålægger udvalget cybersikkerhed · loven taler om regnskabsaflæggelsen.
- At lade udvalget overtage bestyrelsens ansvar · den samlede bestyrelse bevarer det.
- At vise udvalget alle fund · de alvorlige og de overskredne er nok.
Det skal gennemgangen kunne vise
- ☐ Et kommissorium, der omfatter cybersikkerhed, hvis udvalget har opgaven.
- ☐ En fast rapport med måleserie og åbne fund.
- ☐ Udvalgets rapportering til den samlede bestyrelse.
- ☐ Opfølgning på overskredne frister og gentagne fund.
Kilder
- Revisorloven, LBK nr. 206 af 20. februar 2025, § 31, læst 14. november 2026.
- Erhvervsstyrelsen, Vejledning om revisionsudvalg, version 2, juni 2022, læst 14. november 2026.
- Komitéen for god Selskabsledelse, Anbefalinger, 2. december 2020, anbefaling 3.4.3 og kapitel 5, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, maj 2025, kapitel 2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs revisionsudvalgets kommissorium, og se, om det nævner cybersikkerhed. Gør det ikke, så tag det op med bestyrelsens formand.
Læs også: Lukning af fund i tre linjer · Modenhedsvurderingen i bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
