Den rette auditor til en koncernvurdering kan forklare, hvordan mange selskaber måles efter samme skala, hvordan fælles tjenester regnes ind, og hvordan resultatet kan sammenlignes med næste års måling. Det er de spørgsmål, der skiller en, der har tænkt koncernen igennem, fra en, der tilbyder den samme tjekliste til alle.
Spørgsmålene nedenfor er praksis. Ingen regel fastsætter, hvordan en auditor til en frivillig vurdering skal vælges.
Hvad reglerne siger om kompetence
I forordning 2024/2690, bilagets punkt 2.3.2, udføres den uafhængige gennemgang af personer med passende auditkompetence. Bruges egne medarbejdere, må de hverken være over- eller underordnet dem, der arbejder i det gennemgåede område. Pligten rammer kun de digitale tjenester, forordningen selv nævner. For en koncern uden for den kreds peger punktet alligevel på to ting at spørge til: faglig kunnen og afstand til det, der vurderes.
I DORA, artikel 6, stk. 6, stilles der krav om, at de revisorer, der foretager intern revision af IKT-risikorammen, har tilstrækkelig viden, kompetence og ekspertise om IKT-risici og er tilstrækkeligt uafhængige. Kravet gælder finansielle enheder.
IIA’s standarder for intern revision fra 2024 siger i standard 9.5, at revisionen, når den bygger på andres arbejde, vurderer bl.a. interessekonflikter, rapporteringsforhold, relevant erfaring og kvalifikationer. Det er en nyttig liste, også når koncernen selv vælger en ekstern auditor.
Ifølge katalogoplysningerne om ISO 19011:2026 rummer den nye udgave også vejledning om, hvordan auditorers kompetence bedømmes. Det afsnit er ikke læst her, og indholdet gengives ikke.
Spørgsmål om koncernen
Disse spørgsmål viser, om auditoren har tænkt i flere selskaber:
- Hvordan sikrer I, at samme skala bruges ens i alle selskaber, også når flere personer gennemfører interviewene?
- Hvordan regnes fælles tjenester ind i det enkelte selskabs score?
- Hvordan beregnes koncernscoren, og hvordan vægtes selskaberne?
- Hvordan håndterer I et selskab, der lige er kommet til koncernen?
- Hvordan kan resultatet sammenlignes med næste års måling, også hvis vi vælger en anden?
Svarene behøver ikke være de samme som koncernens egne overvejelser. Men en auditor, der ikke har et svar, har sandsynligvis ikke målt mange koncerner før.
Spørgsmål om bevis og metode
- Hvilken bevisdybde bruges for hver del af vurderingen: spørgeskema, interview, dokument eller stikprøve?
- Hvor mange selskaber og lokationer besøges, og hvordan vælges de?
- Hvilken ramme bruges som målestok, og hvordan tilpasses den koncernen?
- Hvordan dokumenteres scoren, så den kan efterprøves?
Det sidste spørgsmål er vigtigt for måleserien. En score, der ikke er dokumenteret med bevis, kan ikke genvurderes af en anden, og så hænger serien på den enkelte auditor. Hvordan de forskellige metoder til at måle fungerer, er beskrevet i spørgeskema, interview eller stikprøve.
Spørgsmål om uafhængighed
- Har I eller jeres samarbejdspartnere leveret ydelser til koncernen, som vurderingen skal se på?
- Har I forhandleraftaler med leverandører af produkter, I kan komme til at anbefale?
- Hvem i koncernen rapporterer I til, og hvem ser rapporten først?
Uafhængighed handler om mere end formelle bånd. En auditor, der har hjulpet med at bygge en kontrol, vil have svært ved at vurdere den kritisk. Det er det, IIA kalder selvgennemsyn. Hvordan opdragsgiveren påvirker uafhængigheden, er beskrevet i hvem bestiller.
Spørgsmål om kompetence og certificeringer
Koncernen kan spørge enhver auditor, hvilke faglige certificeringer de personer, der skal udføre arbejdet, har, og hvilken erfaring de har med koncerner af samme størrelse og type. Certificeringer kan være et tegn på, at en person har en bestemt viden. De siger mindre om erfaring med netop koncernens situation.
Det er praksis at få oplyst, hvem der konkret skal lave arbejdet, frem for at nøjes med firmaets samlede profil. Det er også praksis at spørge, om de samme personer gennemfører alle selskaber, eller om arbejdet fordeles på flere.
Spørgsmål om leverancer
- Hvilke rapporter leveres, og til hvem?
- Får hvert selskab sin egen rapport, eller kun koncernen?
- Leveres der en prioriteret plan, og hvem står for den?
- Hvordan præsenteres resultatet for revisionsudvalget eller bestyrelsen?
En auditor, der kun leverer en samlet rapport, kan være det rigtige valg for en første måling. Skal resultatet bruges i hvert selskab, skal leverancerne kunne bære det.
Spørgsmål til referencer
Det er almindeligt at bede om referencer. Spørg referencerne, om resultatet kunne bruges i bestyrelsen, om selskaberne oplevede vurderingen som retfærdig, og om måleserien kunne fortsættes året efter. Tilfredshed alene siger lidt.
Om valget af auditor til en audit af ét selskab findes der en grundigere gennemgang under den almene auditmetode. Hvilket teknisk bevis en auditor bør kunne efterprøve, fremgår af gennemgangen af tekniske kontrolpunkter.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen skriver sine spørgsmål ned, før tilbuddene kommer, og stiller de samme spørgsmål til alle. Så kan svarene sammenlignes.
Vælges auditoren på overskriften alene, risikerer koncernen at få en tjekliste, der er lavet til et enkelt selskab og ganget op. Resultatet bliver svært at bruge i de enkelte selskaber og svært at sammenligne med næste år.
Det skal I lade være med
- At vælge på firmaets samlede kompetencer · spørg til de personer, der udfører arbejdet.
- At overse rådgivning, auditoren selv har leveret · så vurderer den sit eget arbejde.
- At spørge referencer om tilfredshed alene · spørg, om resultatet kunne bruges.
Det skal gennemgangen kunne vise
- ☐ En liste over spørgsmål, stillet ens til alle tilbudsgivere.
- ☐ Navne og erfaring på de personer, der udfører arbejdet.
- ☐ En erklæring om tidligere ydelser og andre bånd til koncernen.
- ☐ En beskrivelse af, hvordan scoren dokumenteres og kan efterprøves.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 2.3.2, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 6, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 2.1 og 9.5, læst 14. november 2026.
- EVS, katalogside for ISO 19011:2026, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv spørgsmålene om koncernen ned, og send dem med forespørgslen, så alle svarer på det samme.
Læs også: Samme auditor hvert år eller skift? · ISO 19011:2026
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
