Audit hedder på dansk oftest revision eller gennemgang, men de danske ord dækker over forskellige ting, og kun nogle af dem er knyttet til en lov. Ordet i sig selv siger derfor lidt om, hvad I får, og I bør beskrive det ønskede resultat i aftalen frem for at lade ét ord stå alene.
Forvirringen opstår, fordi samme ord bruges af revisorer, sikkerhedsrådgivere, certificeringsorganer og IT-leverandører. En kunde kan bede om “en audit”, en bestyrelse om “en revision af IT-sikkerheden”, og en leverandør tilbyder “et sikkerhedstjek”. Nedenfor står, hvad der ligger i ordene, og hvad der skal stå på papiret.
Audit
Audit er en proces. Den internationale definition, som bl.a. NIST gengiver, kalder det en proces, der følger en plan, udføres af en uafhængig og efterlader dokumentation, og hvor det indsamlede bevis holdes objektivt op mod kriterier. Ordet siger altså noget om fremgangsmåden. Det siger intet om, hvem der må udføre den, eller hvilken form resultatet har.
Revisorloven nævner ikke ordet audit, og vi har ikke fundet en dansk regel, der knytter det til en bestemt faggruppe. Hvad en sikkerhedsaudit indeholder i praksis, står i hvad er en sikkerhedsaudit.
Revision
Revision er det ord, de fleste forbinder med revisor og årsregnskabet. Revisorloven, lovbekendtgørelse nr. 206 af 20. februar 2025, gælder efter § 1, stk. 2, når en revisor påtegner et regnskab, og når en revisor afgiver en anden erklæring med sikkerhed, som også er beregnet til andre end hvervgiveren.
Det er vores tolkning, at loven regulerer revisors erklæringer og titlerne. Ordet revision i almindelig betydning nævnes ikke som forbeholdt. En virksomhed kan efter den læsning bede om en “revision af IT-sikkerheden” fra en anden end en revisor. Bliver der derimod bedt om en erklæring, som en lov eller en aftale kræver afgivet af en godkendt revisor, er det den lov eller aftale, der afgør, hvem der må afgive den. Forskellen på årsrevisionens IT-del og en sikkerhedsaudit står i sikkerhedsaudit eller revisors IT-revision.
Titlerne er beskyttet
Revisorlovens § 5 siger, at betegnelserne “statsautoriseret revisor” og “registreret revisor” kun må bruges af personer, der er godkendt som sådan. Betegnelser, der kan forveksles med dem, er heller ikke tilladt. Ordet auditor står ikke i bestemmelsen. Den, der ikke er godkendt, kan derfor ikke præsentere sig som revisor i lovens forstand, uanset hvad opgaven hedder.
Gennemgang og tjek
Gennemgang og tjek er almindelige danske ord uden særlig juridisk betydning. De bruges ofte om noget mere afgrænset end en fuld audit, fx en gennemgang af ét system eller et IT-sikkerhedstjek af de vigtigste områder i en mindre virksomhed. Hvor grundigt der kigges, fremgår ikke af ordet. Det skal stå i opdraget.
Erklæring
En erklæring er noget andet end en rapport. Efter den internationale standard ISAE 3000 (Revised) afgives en erklæring med en bestemt grad af sikkerhed. Ved høj grad af sikkerhed udtaler erklæringsgiveren sig positivt om emnet. Ved begrænset sikkerhed udtaler erklæringsgiveren, om noget er kommet til hans kendskab, der giver grund til at tro, at oplysningerne er væsentligt forkerte. De danske betegnelser er vores oversættelse af standardens engelske udtryk.
Standarden forudsætter, at holdet er underlagt etiske regler om bl.a. uafhængighed og krav til kvalitetsstyring. En auditrapport fra en sikkerhedsrådgiver følger ikke den standard og er derfor ikke en erklæring med sikkerhed. Valget mellem de to former er beskrevet i erklæring eller auditrapport.
Hvad I beder om i kontrakten
Når et af ordene står i en kontrakt, et spørgeskema eller en henvendelse fra en kunde, er det almindelig praksis at oversætte det til fire spørgsmål, før noget bestilles:
Hvad er resultatet? En rapport med fund og anbefalinger, en erklæring efter en navngiven standard, eller et certifikat fra et certificeringsorgan.
Hvem modtager det? Ledelsen alene, en bestemt kunde eller flere modtagere uden for virksomheden. En erklæring er lavet til at blive læst af andre. En auditrapport er som regel skrevet til ledelsen.
Hvad måles der imod? Kriterierne skal være konkrete, fx jeres politik, et rammeværk eller en kundes krav. Se auditkriterier.
Hvem må udføre det? Kræver modtageren en godkendt revisor, et akkrediteret organ eller blot en uafhængig fagperson?
Kan I ikke svare på de fire spørgsmål, er det et godt tidspunkt at spørge den, der stiller kravet, før I bestiller noget. Hvordan opdraget skrives, står i sådan bestiller I en sikkerhedsaudit.
Teksten her er en forenkling til brug i en bestilling. Er der tvivl om en konkret aftale eller et lovkrav, bør den læses af en jurist.
Hvad det kræver, og hvad det koster at lade være
Det kræver et kvarter med den kontrakt eller henvendelse, der bruger ordet, og en kort mail til modtageren, hvis noget er uklart. Svaret kan ofte gives i én linje.
Bestiller I ud fra ordet alene, kan I ende med en rapport, når kunden ville have en erklæring, eller med en erklæring, når ledelsen ville have fund og anbefalinger. Begge dele koster en ny bestilling og den tid, der allerede er brugt.
Det skal I lade være med
- At læse “audit” og “revision” som det samme · ordet afgør ikke, hvem der må udføre arbejdet.
- At skrive “revision” i en aftale uden at nævne resultatet · modtageren kan forvente en erklæring.
- At kalde en rapport for en erklæring · en erklæring følger en standard og har en defineret grad af sikkerhed.
Det skal auditten kunne vise
- ☐ Hvilken form resultatet har: rapport, erklæring eller certifikat.
- ☐ Hvem der er modtager, og om rapporten må gå videre.
- ☐ Hvilke kriterier der er brugt.
- ☐ Hvem der har udført arbejdet, og med hvilken baggrund.
Kilder
- Retsinformation, Lovbekendtgørelse nr. 206 af 20. februar 2025 (revisorloven), §§ 1 og 5, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
- IAASB, ISAE 3000 (Revised), afsnit 1, 3 og 12, https://www.iaasb.org/system/files/publications/files/ISAE%203000%20Revised%20-%20for%20IAASB.pdf, læst 12. november 2026.
- NIST, Computer Security Resource Center, Glossary, “audit”, https://csrc.nist.gov/glossary/term/audit, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Intern og ekstern audit · Hvad en sikkerhedsaudit ikke kan
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
