Uden for den finansielle sektor er der i de kilder, vi har gennemgået, ingen generel lovpligt til at have intern revision. For børsnoterede selskaber anbefaler Komitéen for god Selskabsledelse, at revisionsudvalget vurderer behovet, og cyberrisikoen er et af de forhold, der kan ændre svaret.
Spørgsmålet er altså ikke, om loven kræver det. Det er, om bestyrelsen kan få den sikkerhed, den har brug for, uden en funktion, der rapporterer direkte til den.
Anbefalingen
Anbefalinger for god Selskabsledelse er fra 2. december 2020 og er stadig den udgave, komitéen kalder gældende. Anbefaling 3.4.3 siger, at bestyrelsen nedsætter et revisionsudvalg, som ud over de lovbestemte opgaver blandt andet skal vurdere behovet for intern revision og se de interne kontrol- og risikoområder igennem, så de største risici er under styring.
Nedsætter bestyrelsen en intern revision efter indstilling fra udvalget, beder anbefalingen udvalget om at udarbejde kommissorium, komme med anbefalinger om ansættelse og afskedigelse af lederen og om budgettet, påse, at der er ressourcer og kompetencer nok, og holde øje med, hvordan direktionen følger op på revisionens konklusioner.
Erhvervsstyrelsen gengiver anbefalingen i sin vejledning om revisionsudvalg fra 2022.
Hvem anbefalingen gælder
Anbefalingerne er soft law for danske selskaber med aktier optaget til handel på et reguleret marked i Danmark. De følger princippet om at følge eller forklare. Andre virksomheder, fx privatejede, fondsejede og statslige, kan hente inspiration i dem.
For en stor privatejet koncern er anbefalingen derfor ikke et krav. Men spørgsmålet, den stiller, er lige så relevant.
Finanssektoren som sammenligning
Revisionsbekendtgørelsen for finansielle virksomheder viser, hvordan en lovgiver har skrevet det. Har bestyrelsen ikke en intern revision, skal den tage behovet op hvert år og se på, hvor kompleks virksomheden er, og hvor meget der er lagt ud. Når antallet af fuldtidsansatte i snit har været 125 eller mere over to regnskabsår, er en intern revision obligatorisk, også i koncerner.
Reglerne gælder kun finansielle virksomheder. IIA Danmark oplyser, at Finanstilsynet i september 2026 begyndte at samle input til en mulig revision af reglerne. Se efter, om der er kommet nye regler, før I læner jer op ad dem. Kravene er gennemgået i artiklen om intern revision i finansielle virksomheder.
Hvad cyberrisikoen kan betyde for svaret
Hvordan cyberrisikoen skal påvirke vurderingen, står ingen steder. Det følgende er sitets tolkning og praksis.
Det første spørgsmål er, hvem der i dag giver bestyrelsen sikkerhed for cybersikkerheden. Er svaret sikkerhedsfunktionen alene, kommer sikkerheden fra anden linje, som efter IIA’s model aldrig er fuldt uafhængig af ledelsen. Er svaret revisor, dækker den lovpligtige overvågning regnskabsaflæggelsen, ikke cybersikkerheden som helhed.
Det andet spørgsmål er, hvor kompleks virksomheden er. Mange selskaber, lokationer og driftsleverandører betyder mange steder, hvor en kontrol kan svigte uden at nogen opdager det. Finansreglerne nævner netop kompleksitet og outsourcing som hensyn.
Det tredje spørgsmål er, om bestyrelsen kan få det, den mangler, på anden måde. En ekstern vurdering efter en fast plan kan give uafhængig sikkerhed på cyberområdet uden en fast funktion. Den giver dog ikke den løbende adgang og opfølgning, en intern revision har.
Et tænkt eksempel
En tænkt industrikoncern med tolv selskaber og fire fabrikker har ingen intern revision. Sikkerhedsfunktionen rapporterer kvartalsvis til direktionen, og revisor nævner generelle IT-kontroller i sit revisionsprotokollat. Ingen har set på beredskab og leverandørstyring uafhængigt af den, der ejer dem.
Udvalget kan konkludere, at behovet er der, men at det i første omgang dækkes af en ekstern vurdering hvert år, som rapporterer direkte til udvalget. Det er en gyldig vurdering, hvis den er skrevet ned og tages op igen hvert år.
Hvis svaret bliver ja
Vælger bestyrelsen at oprette intern revision, beskriver IIA’s Global Internal Audit Standards, hvad bestyrelsen selv skal tage sig af: mandat og charter, direkte rapporteringslinje, ressourcer og adgang. De er gennemgået i Global Internal Audit Standards. Om funktionen skal ansættes, købes eller blandes, er et spørgsmål for sig.
Bliver svaret nej, er det praksis at skrive, hvordan bestyrelsen i stedet får uafhængig sikkerhed for cyberrisikoen, og hvornår vurderingen tages op igen. Et nej kan ændre sig, når koncernen køber selskaber, lægger driften ud eller bliver omfattet af nye regler.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at revisionsudvalget hvert år skriver sin vurdering ned, med de hensyn den bygger på og hvor sikkerheden for cyberrisikoen kommer fra. Vurderingen kan være kort.
Uden den bliver spørgsmålet aldrig stillet. Bestyrelsen går ud fra, at nogen giver den uafhængig sikkerhed, mens den i virkeligheden kun har ledelsens egne tal og revisors arbejde med regnskabet. Det er sjældent en bevidst beslutning. Det er et spørgsmål, ingen fik stillet i tide, og som først bliver aktuelt efter en hændelse.
Det skal I lade være med
- At skrive, at loven kræver intern revision uden for finans · det har vi ikke fundet i de gennemgåede kilder.
- At regne revisors arbejde med regnskabet som sikkerhed for cybersikkerheden · overvågningen er knyttet til regnskabsaflæggelsen.
- At vurdere behovet én gang og aldrig igen · kompleksitet og risiko ændrer sig.
Det skal gennemgangen kunne vise
- ☐ Revisionsudvalgets skriftlige vurdering af behovet for intern revision.
- ☐ En beskrivelse af, hvor bestyrelsens sikkerhed for cyberrisikoen kommer fra i dag.
- ☐ Hvilke hensyn vurderingen bygger på, fx kompleksitet og outsourcing.
- ☐ Dato for seneste gennemgang af vurderingen.
Kilder
- Komitéen for god Selskabsledelse, Anbefalinger for god Selskabsledelse, 2. december 2020, indledningen og anbefaling 3.4.3, læst 14. november 2026.
- Erhvervsstyrelsen, Vejledning om revisionsudvalg, afsnit 4.3, læst 14. november 2026.
- Bekendtgørelse nr. 1529 af 5. december 2024 om revisionens gennemførelse i finansielle virksomheder, § 17, læst 14. november 2026.
- IIA Danmark, nyhed om møde med Finanstilsynet, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv på én side, hvor bestyrelsens sikkerhed for cyberrisikoen kommer fra i dag, og læg den frem i revisionsudvalget.
- Den interne audit-funktion og de tre linjer
- Egen cyberrevisionskapacitet, fælles løsning eller rent køb
Læs også: Revisorlovens § 31 · Revisors påtegning og IT-revision
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
