En koncern med mange enheder kan sjældent vurdere dem alle grundigt hvert år. En udbredt løsning er, at enhederne måler sig selv efter et fælles skema, og at en uafhængig part efterprøver et udsnit af svarene med bevis. Modellen giver bred dækning til en overkommelig indsats, men den virker kun, hvis efterprøvningen er reel, og hvis resultatet af den får betydning.
Modellens udformning er praksis. Den bygger dog på en tanke, som både IIA’s tre linjer og de globale standarder for intern revision beskriver: forskellige parter giver forskellige grader af sikkerhed.
Tre grader af sikkerhed
IIA’s Three Lines Model beskriver, at ledelsen giver værdifuld sikkerhed gennem sine egne erklæringer, at anden linje kan give yderligere sikkerhed, og at intern revision giver den højeste grad af objektivitet. Overført til koncernens måling betyder det:
- Selvrapportering · Hvem: Enhedens ledelse og IT · Grad af sikkerhed: Ledelsens egen erklæring
- Central efterprøvning · Hvem: Koncernens sikkerhedsfunktion · Grad af sikkerhed: Anden linjes kontrol
- Uafhængig efterprøvning · Hvem: Intern revision eller ekstern part · Grad af sikkerhed: Højeste objektivitet
Selvrapporteringen er ikke værdiløs. Den giver enhederne ejerskab og et billede af, hvor de selv mener, de står. Men den kan ikke stå alene, når tallene skal bruges til prioritering i bestyrelsen.
Sådan bygges modellen
Fælles skema med krav til bevis. Hvert spørgsmål besvares med et trin og med en henvisning til det bevis, der underbygger svaret. Det gør efterprøvningen mulig og får enhederne til at tænke over, om de har beviset.
Udvælgelse af det, der efterprøves. Efterprøvningen kan vælge enheder, spørgsmål eller begge. Mange koncerner efterprøver alle svar i nogle få enheder og nogle få kritiske spørgsmål i alle enheder. Udvælgelsen bør være risikobaseret og delvis uforudsigelig.
Konsekvens af afvigelser. Finder efterprøvningen, at en enhed har svaret for højt, skal det have betydning. Den mest almindelige løsning er, at enhedens score justeres, og at enheden får en større efterprøvning næste år. Uden konsekvens lærer enhederne, at efterprøvningen ikke betyder noget.
Tilbagemelding. Enhederne skal se resultatet af efterprøvningen. Det kalibrerer deres forståelse af skalaen til næste gang. En kort gennemgang af de største afvigelser på et fælles møde for de lokale IT-chefer gør det samme for alle på én gang.
Hvad afvigelserne fortæller
Afvigelser mellem selvrapportering og efterprøvning er et resultat i sig selv. Svarer enhederne generelt for højt på et bestemt spørgsmål, er spørgsmålet måske uklart. Svarer én enhed for højt på alt, er der et problem med ærligheden eller forståelsen. Svarer nogle for lavt, er de måske for strenge eller usikre.
Registrér afvigelserne pr. spørgsmål og pr. enhed over flere år. Det giver et mål for, hvor meget selvrapporteringen kan bruges, og hvor efterprøvningen skal sættes ind.
Når intern revision bygger på selvrapporteringen
Ifølge standard 9.5 i IIA’s Global Internal Audit Standards koordinerer revisionschefen med andre, der giver sikkerhed, og kan vælge at lægge deres arbejde til grund. Gør funktionen det, skriver den ned hvorfor, og konklusionen forbliver dens egen. Når arbejdet er vurderet, kan funktionen også teste dele af det igen. Kravene gælder for de revisionsfunktioner, som har tilsluttet sig standarderne.
I finanssektoren er reglen strengere. I revisionsbekendtgørelsen for finansielle virksomheder må intern revision ikke lade sin konklusion hvile på kontrolfunktionernes arbejde alene. Begrundelsen er, at funktioner som risikostyring og compliance er mindre uafhængige. Deres arbejde skal derfor vurderes og testes (bilag 4, pkt. 2.2). Uden for finans er det en sammenligning, men den peger i samme retning: selvrapportering og anden linjes kontrol er et grundlag, ikke en konklusion.
Et tænkt eksempel på kalibrering
En koncern har femten enheder, der måler sig selv (tænkt eksempel). Første år efterprøves fem enheder fuldt og alle femten på tre kritiske spørgsmål. Efterprøvningen viser, at spørgsmålet om test af gendannelse er besvaret for højt i elleve enheder. De fleste har en backup, men ingen dokumenteret test. Koncernen omformulerer spørgsmålet og tilføjer, at et trin over 2 kræver en testrapport. Andet år falder afvigelsen på netop det spørgsmål markant. Selvrapporteringen er blevet mere brugbar, fordi skemaet er blevet tydeligere.
Hvem efterprøver?
Efterprøvningen bør laves af en, der er uafhængig af den enhed, der efterprøves. Koncernens sikkerhedsfunktion kan gøre det, men den er en del af ledelsen og har måske selv designet nogle af kontrollerne. Intern revision eller en ekstern part giver en højere grad af uafhængighed. Hvordan den almene auditmetode tilrettelægges, er beskrevet under den almene auditmetode.
Hvad det kræver, og hvad det koster at lade være
Det kræver et fælles skema med krav til bevis, en risikobaseret udvælgelse af det, der efterprøves, en klar konsekvens af afvigelser og en tilbagemelding til enhederne. Det kræver også, at koncernen registrerer afvigelserne over tid.
Uden efterprøvning er selvrapporteringen kun et udtryk for, hvad enhederne tror eller ønsker. Bestyrelsen får tal, der ikke er efterprøvet, og prioriteringen kan ramme forkert. Med efterprøvning uden konsekvens lærer enhederne, at det ikke betyder noget.
Det skal I lade være med
- At bruge selvrapporterede tal i bestyrelsen uden efterprøvning · de er ledelsens egen erklæring.
- At efterprøve uden konsekvens for scoren · så holder efterprøvningen op med at virke.
- At lade enheden selv vælge, hvad der efterprøves · udvælgelsen skal være uafhængig.
Det skal gennemgangen kunne vise
- ☐ Et fælles skema med krav til bevis for hvert svar.
- ☐ En dokumenteret udvælgelse af det, der efterprøves.
- ☐ Afvigelser mellem selvrapportering og efterprøvning pr. spørgsmål og enhed.
- ☐ Konsekvensen af afvigelser for scoren.
Kilder
- The Institute of Internal Auditors, The IIA’s Three Lines Model, 2020, opdateret september 2024, s. 12, læst 14. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 2024, standard 9.5, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, bilag 4, pkt. 2.2, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Se på jeres seneste selvrapportering, og find de svar med højest trin og tyndest bevis. Dér skal efterprøvningen starte.
Læs også: Når anden linje måler sig selv · Hvor mange enheder skal besøges?
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
